Volkswagen

[SvenDom]

Am 21.12.2024 um 07:35 von BWL0815:

Im ungünstigsten Fall scheitert die Elektromobilität während die Verbrenner-Produktion schon nicht mehr in Europa stattfindet.

 

vor 22 Stunden von alex08:

Ob das Verbrennerverbot kommt oder nicht ist unerheblich. Der chinesische Markt ist weg. D.h. es wird ein kleineres VW geben müssen.

 

Ohne Garantie natürlich, aber das sind für mich die wahrscheinlichsten Szenarien aktuell.

[CorMaguire]

Datenschätzchen bei VW: "Wir wissen, wo dein Auto steht"

"Bewegungsdaten von 800.000 E-Autos sowie Kontaktinformationen zu den Besitzern standen ungeschützt im Netz. Sichtbar war, wer wann zu Hause parkt, beim BND oder vor dem Bordell."

--> https://www.spiegel.de/netzwelt/web/volkswagen-konzern-datenleck-wir-wissen-wo-dein-auto-steht-a-e12d33d0-97bc-493c-96d1-aa5892861027

 

[hattifnatt]

vor einer Stunde von CorMaguire:

Bewegungsdaten von 800.000 E-Autos sowie Kontaktinformationen zu den Besitzern standen ungeschützt im Netz.

Das ist einfach nur irre. Die können echt keine IT. Da sollte eine drastische Geldstrafe nach Art. 83 Abs. 5 DSGVO drin sein ...

[fancY]

Vortrag zum Datenleck gibt es heute 22:05 Uhr auf dem Chaos Communication Congress.

--> https://fahrplan.events.ccc.de/congress/2024/fahrplan/talk/Q8ZAV9/

 

Übrigens wurde 2015 dort im Zusammenhang des Abgasskandals ein VW-Steuergerät reverse engineered.

--> https://media.ccc.de/v/32c3-7331-the_exhaust_emissions_scandal_dieselgate#t=2399

[Cit]

vor 6 Stunden von hattifnatt:

Das ist einfach nur irre. Die können echt keine IT. Da sollte eine drastische Geldstrafe nach Art. 83 Abs. 5 DSGVO drin sein ...

Nicht nur keine IT, auch kein integres Geschäft.

[CorMaguire]

vor 16 Stunden von fancY:

Vortrag zum Datenleck gibt es heute 22:05 Uhr auf dem Chaos Communication Congress.

--> https://fahrplan.events.ccc.de/congress/2024/fahrplan/talk/Q8ZAV9/...

Hier die Aufzeichnung des Talks --> https://streaming.media.ccc.de/38c3/relive/598

(Beginn so 11:40, vorläufige Version)

[alex08]

vor 2 Stunden von CorMaguire:

Hier die Aufzeichnung des Talks --> https://streaming.media.ccc.de/38c3/relive/598

(Beginn so 11:40, vorläufige Version)

Danke. Das ist pures Gold. 

[Alles Aktien]

Da präsentiert offensichtlich ein Tesla Fahrer  

[Stift]

Am 28.12.2024 um 07:27 von alex08:

Danke. Das ist pures Gold. 

+1

[WalleWalle]

Die Geodaten von den ganzen modernen VW Fahrzeugen inkl. Klarnamen und Email der Halter

 

 

 

[SvenDom]

Ohne Worte! Unfassbar!

[Flughafen]

Am 27.12.2024 um 11:35 von hattifnatt:

Die können echt keine IT.

Den Verdacht habe ich auch. Das ist auch einer der Gründe, warum ich mich als ITler dort nicht bewerbe. Wie schlecht muss die VW-IT organisiert sein, wenn sie sich solche Patzer leisten.

[Holgerli]

vor 13 Stunden von WalleWalle:

Die Geodaten von den ganzen modernen VW Fahrzeugen inkl. Klarnamen und Email der Halter

Wirklich "witzig" wird es, wenn man Bild zwei und drei kombiniert und dann auch noch den Klarnamen hat.

 

Vor zwei Jahren gab es die SPAM-Erpressung "Ich habe die Kamera an Deinem PC gehackt und ein Film von Dir gemacht, als Du Dir Pornos angeschaut und an Dir umgespielt hast. Wenn Du nicht 0,x Bicoin (waren irgendwas um 1.000 Euro damals) dann werde ich den Film veröffentlichen und Dein Ruf runieren!".

Heute könnt es dann wohl heissen: "Ich brauchte Deinen PC garnicht zu hacken. Ich habe die Bewegungsdaten Deines Volkswagen! Wie willst Du Deiner Frau erklären, dass Du 5x im Puff warst? Das wird eine teurer Scheidung. Oder Du bezahlst 0,25 Bicoin!"

[Tradeoff]

Ist Spam, die haben das Video von dir nicht wirklich 

 

Dementsprechend wird es auch kein Spam sein, wenn sowas kommt. Dazu müsstest du a) einen VW haben und b) im Puff gewesen sein und c) die eine Frau haben. Die Schnittmenge von abc ist zu gering für Spam (anders als Masturbation vor dem Handy/Rechner). Wenn abc zutrifft und du so eine Meldung bekommst - dann zahle…

[Nachdenklich]

vor einer Stunde von Tradeoff:

Wenn abc zutrifft und du so eine Meldung bekommst - dann zahle…

....   oder der Empfänger der Nachricht ist ein netter Mensch und bringt seine Frau regelmäßig zur Arbeit.

 

In meinen Augen ist das Problem nicht in erster Linie, daß diese Daten im Netz stehen (natürlich ist das ein Problem, aber überall wo solche Daten zusammenlaufen, wird es irgendwann derartige Fehlleistungen geben) sondern daß moderne Autos derartige Daten überhaupt senden.

 

 

[magicw]

vor 4 Minuten von Nachdenklich:

daß moderne Autos derartige Daten überhaupt senden.

das ist ganz einfach: Sie taten es offenbar freiwillig: https://www.adac.de/news/vw-datenleck/

Zitat

Betroffen seien ausschließlich Daten von Fahrzeugen gewesen, die für Online-Dienste registriert waren und über eine Online-Konnektivität verfügten.

 

[Nachdenklich]

vor 5 Minuten von magicw:

das ist ganz einfach: Sie taten es offenbar freiwillig:

Aus Deiner Quelle:

"Dass moderne Autos riesige Datenmengen sammeln und speichern, ist seit Jahren bekannt. Denn aktuelle Autos sind vernetzte Autos. Die Digitalisierung macht Autos zu Datenzentren, die nahezu alles verarbeiten, was gerade geschieht. Der ADAC ließ bereits 2016 vier Fahrzeugmodelle beispielhaft von den externen Experten Stefan Nürnberger (CISPA/DFKI) und Dieter Spaar untersuchen. Ihr Fazit: Bei den vier Beispielautos werden ständig Daten erfasst, die Rückschlüsse auf das Nutzungsprofil, die Intensität der Nutzung, die Anzahl der Fahrer oder sogar den Fahrstil erlauben. Gespeichert wurden zum Beispiel gefahrene Strecken, GPS-Daten, Gurtstraffungen oder die Betriebsstunden der Fahrzeugbeleuchtung."

 

Ich hoffe doch sehr, daß ich meinen alten Diesel noch viele Jahre fahren kann.

[fancY]

Die Fahrzeuge senden die Positionsdaten inkl. FIN beim Start und Stoppen, auch ohne Nutzung einer zusätzlichen App und ohne Account bei VW.

 

In der oben verlinkten Präsentation des CCC wird detailliert erklärt was in den Datensätzen steht und wie auch ohne persönliche Daten (wie z.B. e-mail) Rückschlüsse auf die Besitzer möglich sind.

 

Sie konnten z.B. Bewegungsprofile von Politiker erstellen, Wohnorte von BND-Mitarbeitende herausfinden, Einsatzfahrten der Polizei protokollieren, herausfinden wer Zugang zu mehreren US-Militärstützpunkten in Deutschland hat.

[WalleWalle]

3 hours ago, magicw said:

das ist ganz einfach: Sie taten es offenbar freiwillig: https://www.adac.de/news/vw-datenleck/

 

Es wird den wenigsten wirklich bewusst gewesen sein, wie umfangreich die Datenüberwachung ist. Solche gravierenden Dinge dürfen nicht irgendwo im Kleingedruckten versteckt werden. Zudem werden mehrere praktische Angebote im Online-Dienst gebündelt und sind nur verfügbar mit einer GPS-Totalüberwachung, obwohl diese technisch nicht notwendig ist. So etwas kann eigentlich nicht mit dem Datenschutz in Dtl und der DEU kompatibel sein. Das anlasslose Speichern von GPS-Daten muss grundsätzlich verboten werden.

[Nachdenklich]

vor 34 Minuten von WalleWalle:

Zudem werden mehrere praktische Angebote im Online-Dienst gebündelt und sind nur verfügbar mit einer GPS-Totalüberwachung, obwohl diese technisch nicht notwendig ist. So etwas kann eigentlich nicht mit dem Datenschutz in Dtl und der DEU kompatibel sein. Das anlasslose Speichern von GPS-Daten muss grundsätzlich verboten werden.

+1

Während ich bei der von vielen kritisch gesehenen elektronischen Patientenakte auch einen Nutzen auf der Seite des Patienten sehe, fehlt mir der hier aus Sicht des Käufers völlig.

[hattifnatt]

vor 56 Minuten von WalleWalle:

Es wird den wenigsten wirklich bewusst gewesen sein, wie umfangreich die Datenüberwachung ist. Solche gravierenden Dinge dürfen nicht irgendwo im Kleingedruckten versteckt werden.

Selbst im Kleingedruckten stand etwas anderes, z.B. dass die GPS-Daten gekürzt und damit nicht exakt sein sollten. Waren sie aber in über der Hälfte der Fälle nicht - aus den Vortragsfolien:

 

[henderson]

vor einer Stunde von hattifnatt:

Selbst im Kleingedruckten stand etwas anderes, z.B. dass die GPS-Daten gekürzt und damit nicht exakt sein sollten. Waren sie aber in über der Hälfte der Fälle nicht - aus den Vortragsfolien:

 

Leider wurde hier sowohl vom CCC als auch von den Medien die diesen Skandal aufgegriffen haben nicht tief genug recherchiert.

Die Folie oben stammt aus der Datenschutzerklärung unter dem Punkt "8. Analyse zur Verbesserung von Produkten".

Hier geht es um die Verarbeitung und Analyse der gesammelten Daten, nicht um die Speicherung. Es wird in der Erklärung nirgends behauptet, dass die Daten gekürzt oder pseudonymisiert gespeichert werden.

 

D.h.: VW speichert im Klartext, pseudonymisiert und kürzt die Daten aber bevor diese in "Analytics-Systemen ... analysiert" werden. Das gleiche gilt auch für die Verarbeitung zum Zwecke der Werbung, wie in 7. in der Datenschutzerklärung vereinbart wurde.

Das ist so datenschutzrechtlich meines Wissens auch nicht zu beanstanden, sofern der Kunde dazu eben eingewilligt hat.

 

Der CCC hat nun die Rohdaten abgezogen und genau das gemacht, was VW eben selbst nicht laut Datenschutzerklärung macht: Die Rohdaten ohne Kürzung und Pseudonymisierung ausgewertet. Das ist der entscheidende Punkt.

Natürlich hätte man erst gar nicht im Klartext speichern müssen und hätte den Skandal verhindern können. Dass VW sich nicht an ihr eigenes Kleingedrucktes gehalten haben soll, ist in der Form aber falsch.

 

Die Nachkommastelle in den GPS-Daten hat auch nichts damit zu tun, ob diese bereits gekürzt wurden. Die liegen alle ungekürzt vor, wurden bei der 1 Nachkommastelle aber technisch bedingt nicht genauer erfasst, so meine Vermutung.

[hattifnatt]

vor 1 Stunde von henderson:

Hier geht es um die Verarbeitung und Analyse der gesammelten Daten, nicht um die Speicherung. Es wird in der Erklärung nirgends behauptet, dass die Daten gekürzt oder pseudonymisiert gespeichert werden.

Im Sinne der DSGVO beinhaltet "Verarbeitung" auch die Speicherung der Daten - alles andere wäre ja IT-technisch und datenschutzrechtlich absurd:

https://dsgvo-gesetz.de/art-4-dsgvo/

Zitat

Im Sinne dieser Verordnung bezeichnet der Ausdruck:

...

2. „Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung;

Zudem gibt es in der DSGVO das Prinzip der Datensparsamkeit, demzufolge Daten, die nicht notwendig zur Verarbeitung und Analyse sind, gar nicht erst erfasst und gespeichert werden sollen. Und dass die Daten schlampig geschützt waren (mit durch eine Fehlkonfiguration öffentlich auslesbaren Zugangsdaten in AWS, nicht hinter einer Firewall und nicht verschlüsselt), setzt dem ganzen die Krone auf.

vor 1 Stunde von henderson:

Die Nachkommastelle in den GPS-Daten hat auch nichts damit zu tun, ob diese bereits gekürzt wurden. Die liegen alle ungekürzt vor, wurden bei der 1 Nachkommastelle aber technisch bedingt nicht genauer erfasst, so meine Vermutung.

Halte ich für unplausibel, weil die gekürzten "blauen" Daten neueren Ursprungs sind (Audi und Skoda von Anfang/Mitte 2024 vs. Seat/Volkswagen seit 2022/23, siehe die folgende Folie). Deswegen vermute ich eher, dass hier eine Kürzung implementiert wurde, die man vorher "vergessen" hatte.

[henderson]

vor 2 Stunden von hattifnatt:

Im Sinne der DSGVO beinhaltet "Verarbeitung" auch die Speicherung der Daten - alles andere wäre ja IT-technisch und datenschutzrechtlich absurd:

https://dsgvo-gesetz.de/art-4-dsgvo/

Zudem gibt es in der DSGVO das Prinzip der Datensparsamkeit, demzufolge Daten, die nicht notwendig zur Verarbeitung und Analyse sind, gar nicht erst erfasst und gespeichert werden sollen. Und dass die Daten schlampig geschützt waren (mit durch eine Fehlkonfiguration öffentlich auslesbaren Zugangsdaten in AWS, nicht hinter einer Firewall und nicht verschlüsselt), setzt dem ganzen die Krone auf.

Halte ich für unplausibel, weil die gekürzten "blauen" Daten neueren Ursprungs sind (Audi und Skoda von Anfang/Mitte 2024 vs. Seat/Volkswagen seit 2022/23, siehe die folgende Folie). Deswegen vermute ich eher, dass hier eine Kürzung implementiert wurde, die man vorher "vergessen" hatte.

Stimmt, ich präzisiere: Verarbeitung zur Analyse, Verarbeitung zum Zweck der Werbung.

Mit Verarbeitung ist nicht der reine Speichervorgang von Rohdaten gemeint. Es macht auch keinen Sinn personenbezogene Daten wie Name, Telefon oder E-Mail-Adresse direkt beim Speichervorgang zu pseudonymisieren. Dann wäre ja gar keine Ansprache mehr möglich.

Die Datensparsamkeit ist immer schwierig umzusetzen. Ein Außenstehender mag nicht immer nachvollziehen können, wofür bestimmte Daten analytisch oder technisch bedingt benötigt werden.

 

Die roten/blauen GPS Daten unterscheiden sich nicht nur im Datum sondern in der Marke. Es gibt nur blaue Daten von Audi und Skoda. Vom Skoda Enyaq liegen nur Daten seit Juli 2024 laut der Folie vor, obwohl das Modell seit 2020 auf dem Markt ist und in 2024 auch keine Modellpflege betrieben wurde. Warum gerade dort eine Implementierung einer verkürzten Speicherung erfolgt sein soll, wo die Daten vom Enyaq vor Juli 2024 sind und warum beim ID4 keine Implementierung der Kürzung erfolgte ( VW hat nur rote Daten), erschließt sich mir nicht ganz. Das muss noch einen anderen Hintergrund haben.

Hat der CCC eigentlich verlauten lassen, ob der Datensatz tatsächlich vollständig ist? Vielleicht sind die "fehlenden" Daten ja noch auf einer anderen AWS Instanz zu finden 

[BWL0815]

9 hours ago, WalleWalle said:

Es wird den wenigsten wirklich bewusst gewesen sein, wie umfangreich die Datenüberwachung ist. Solche gravierenden Dinge dürfen nicht irgendwo im Kleingedruckten versteckt werden. Zudem werden mehrere praktische Angebote im Online-Dienst gebündelt und sind nur verfügbar mit einer GPS-Totalüberwachung, obwohl diese technisch nicht notwendig ist. So etwas kann eigentlich nicht mit dem Datenschutz in Dtl und der DEU kompatibel sein. Das anlasslose Speichern von GPS-Daten muss grundsätzlich verboten werden.

 

Wem das nicht bewusst war, muss sehr naiv sein. Ich glaube so ein Datenleck ist grundsätzlich mit jedem modernen Auto möglich, besonders skeptisch wäre ich bei Tesla und den chinesischen Marken (Obacht Volvo und Smart sind heute auch chinesisch). Mindestens die Vertragswerkstatt müsste Zugriff auf sämtliche gespeicherte Daten haben.