Keine der fünf analysierten Mercedes-Benz Connected-Car-Apps implementiert Certificate Pinning. Das bedeutet: Jeder Angreifer im selben Netzwerk kann sämtliche Kommunikation zwischen App und Backend mitlesen und manipulieren.
Certificate Pinning bindet eine App an ein bestimmtes TLS-Zertifikat. Ohne Pinning akzeptiert die App jedes gültige Zertifikat — auch eines, das ein Angreifer ausgestellt hat. Ein Man-in-the-Middle-Angriff (MitM) wird damit trivial.
Branchenstandard: OWASP Mobile Top 10 listet fehlendes Pinning als M3 (Insecure Communication). Tesla, BMW und Audi implementieren Pinning in ihren Apps.
| App | Pinning | Impact |
|---|---|---|
| Mercedes me | Keines | Fahrzeugsteuerung, Standort, persönliche Daten |
| Mercedes me Store | Keines | Zahlungsdaten, Kaufhistorie |
| Mercedes me Charge | Keines | Ladeinfrastruktur, Standortdaten |
| EQC Companion | Keines | Fahrzeugtelemetrie |
| Mercedes me Adapter | Keines | OBD-Diagnosedaten |
Ein Angreifer in einem öffentlichen WLAN (Tankstelle, Autobahnraststätte, Tiefgarage) kann:
Der gesamte Angriff dauert unter 5 Minuten mit Standard-Tools (mitmproxy, Burp Suite).
Statische Analyse der öffentlich verfügbaren APKs. TLS-Konfiguration durch Dekompilierung verifiziert. Kein aktiver MitM-Angriff durchgeführt. ISO 29147.