„Bus Driver“-Angriff: Winziges WLAN-Implantat übernimmt Autopiloten einer Boeing 737

Auf dem 35. USENIX Security Symposium in Baltimore präsentierten Forscher der University of California San Diego und des Oberlin College am 13. August 2026 einen neuartigen Proof-of-Concept-Angriff auf die kommerzielle Luftfahrt. Der sogenannte „Bus Driver“-Angriff nutzt einen münzgroßen Hardware-Implantat, der den Autopiloten und die Flugmanagementsysteme von Boeing 737 Next Generation und MAX übernehmen kann – und das alles mit weniger als einer Minute physischem Zugang zu einem ungesicherten externen Port am Flugzeug .

Wie der „Bus Driver“-Angriff funktioniert

Die Forscher – unter der Leitung des ehemaligen UCSD-Doktoranden Sam Crow – entwarfen, bauten und programmierten eine kleine Leiterplatine, die als bösartiges Drittgerät zwischen zwei kritischen Bordcomputern fungiert . So läuft der Angriff ab:

Physische Installation in unter 60 Sekunden

Das Gerät, etwa so groß wie ein 2-Euro-Stück und in der Herstellung unter 100 Dollar teuer, wird durch eine externe Luke am Flugzeugrumpf im sogenannten Electronics and Equipment (E&E)-Bay installiert . Ein Angreifer kann diese Luke in etwa 15 Sekunden ohne spezielles Werkzeug öffnen und den Implantat dann in einen freiliegenden Port des Onboard Maintenance Computers (OMC) stecken . Der gesamte Vorgang dauert weniger als 60 Sekunden, und das Gerät ist klein genug, um unter der Staubschutzkappe des Ports verborgen zu bleiben – bei Routineinspektionen unsichtbar .

Ausnutzung des ARINC-429-Avionikbusses

Nach dem Anschluss zapft der Implantat den unverschlüsselten ARINC-429-Avionik-Datenbus an, einen seriellen Single-Master-Bus, der die gesamte Kommunikation zwischen dem Flight Management Computer (FMC) und dem Multifunction Control and Display Unit (MCDU) des Piloten überträgt . ARINC 429 verfügt über keine eingebaute Authentifizierung oder Verschlüsselung. Entscheidend ist, dass sein elektrisches Design Impedanzanpassungswiderstände verwendet, die es einem bösartigen Gerät erlauben, legitime Signale elektrisch zu überschreiben, indem es mehr Strom auf die Busleitungen treibt als der autorisierte Sender . Diese Signalunterdrückungstechnik nennen die Forscher den „Bus Driver“-Angriff .

Was der Implantat verändern kann

Sobald der Bus-Driver-Implantat den Bus überschreibt, kann er gefälschte Befehle einspeisen, um:

• Wegpunkte zu ändern und das Flugzeug von seiner programmierten Route abzubringen
• Startgewichtberechnungen zu verändern, was direkten Einfluss auf die V-Speeds (die Rotationsgeschwindigkeit beim Start) hat
• Außentemperatur und Treibstoffmengenwerte zu modifizieren, was kritische Leistungsberechnungen verändert

Tarnung: Das gefälschte Piloten-Display

Gleichzeitig sendet das Gerät gefälschte Daten an die Cockpit-Anzeigen, sodass der Pilot den ursprünglichen, unveränderten Flugplan sieht – alle Änderungen bleiben verborgen . Der Pilot würde auf dem MCDU-Bildschirm keine Warnung oder Abweichung sehen, was den Angriff aus dem Cockpit extrem schwer erkennbar macht .

WLAN-Steuerung während des Fluges

Der Implantat enthält ein WLAN-Funkmodul, sodass ein Angreifer Befehle in Echtzeit drahtlos senden oder sogar ein bösartiges Software-Update während des Fluges einspielen kann . Das bedeutet, das Gerät kann vom Moment der Installation an während des gesamten Fluges dynamisch gesteuert werden.

Boeings Reaktion

Das Forschungsteam meldete die Schwachstelle Boeing erstmals im Jahr 2020 und arbeitete anschließend eng mit dem Hersteller zusammen, um den Angriff in Boeings eigenem Labor zu testen und zu validieren .

Als Reaktion gab Boeing eine Erklärung heraus, die das praktische Risiko herunterspielte: „Unsere technischen Experten sind zuversichtlich, dass die Schutzschichten im Flugzeug, einschließlich des Systemdesigns und der Betriebsumgebung, ausreichende Minderungsmaßnahmen bieten, um die Durchführbarkeit und das Risiko realer Angriffe erheblich zu begrenzen“ . Boeing erklärte außerdem, dass es als Reaktion auf die Ergebnisse der Forscher eine eigene Überprüfung der relevanten Komponentendesigns, Installationen und Schnittstellen durchgeführt habe .

Empfohlene Gegenmaßnahmen

Die Forscher schlugen eine Reihe von Maßnahmen zur Behebung der Schwachstelle vor, darunter :

• Physische Blockierung des Zugangs zum externen OMC/Service-Port, z. B. durch abschließbare Paneele oder manipulationssichere Siegel
• Verbesserung der elektrischen Isolierung auf dem ARINC-429-Bus, um Bus-Driver-Angriffe zu erschweren
• Einführung kryptografischer Authentifizierung für ARINC-429-Nachrichten
• Implementierung von Sensordatenfusion und Quervergleichen, sodass Diskrepanzen zwischen Flugparametern von redundanten Systemen erkannt werden
• Verbesserung der Cockpit-Warnungen, damit Piloten auf Abweichungen zwischen FMC- und Anzeigedaten aufmerksam gemacht werden

Die Forscher betonten, dass ihre Ergebnisse keine Stilllegung der Flotte erforderlich machen, sondern zu praktischen, kurzfristigen Verbesserungen der physischen Sicherheit und der Integrität der Avionikbusse aufrufen .