Ein Demo-Account mit dem Passwort #audi4ringe in der Produktions-App — mit deaktivierter Zwei-Faktor-Authentifizierung. 87.000 Mitarbeiter-Gehaltsabrechnungen, IBAN-Daten und Elternzeit-Anträge hinter einem hartcodierten Testpasswort. Und ein Konzern, der den Bericht als „Informational" schloss.
| App | Befunde | Critical | High |
|---|---|---|---|
| Audi HR App | 11 | 1 | 2 |
| Connect Plug & Play | 13 | 0 | 5 |
| myAudi (VW-Konzern) | separat | unter VW analysiert | |
| Gesamt (neu) | 24 | 1 | 7 |
1 Critical 7 High Mitarbeiterdaten Fahrzeugtelemetrie
| Kategorie | Befund | Severity |
|---|---|---|
| Zugangsdaten | Hardcoded Demo-Account in Produktion: username „demo-hrapp", password „#audi4ringe", OTP-Bypass (requiresOtp: false) — Zugang zu 87K+ Mitarbeiter-Gehalts-, IBAN- und Personaldaten | Critical |
| Exploit Chain | ADM WebView JS-Bridge (appInterface + Android) mit aktiviertem JavaScript-, File- und Content-Zugriff + FileProvider root-path „/" = vollständige App-Daten-Exfiltration | High |
| OAuth | CARIAD OAuth client_secret hartcodiert — Zugriff auf prod.acpp.cariad.digital Fahrzeugtelemetrie-Backend | High |
| FileProvider | root-path „/" exponiert gesamtes internes Dateisystem inkl. Fahrzeugtelemetrie-SQLite (Geschwindigkeit, Drehzahl, Fahrten) | High |
| API Keys | 9 Google Maps API-Keys über VW-Konzern (Audi, VW, CARIAD, Bentley) — $850K Missbrauchspotenzial pro Nacht über Places API | High |
Die Audi HR-App enthält einen hartcodierten Demo-Account in der Produktions-APK mit deaktivierter Zwei-Faktor-Authentifizierung. Die App wird von 87.000+ Audi-Mitarbeitern für den Zugriff auf Gehaltsabrechnungen, IBAN-Daten, Schichtpläne und Abwesenheitsmeldungen verwendet.
66 HR-API-Endpunkte wurden identifiziert, darunter: Gehaltsabrechnung, IBAN/Banking, Pensionsansprüche, Elternzeit, Krankmeldung und Arbeitszeiterfassung.
Diese Daten fallen unter DSGVO Art. 9 (besondere Kategorien personenbezogener Daten) — Gesundheitsdaten über Krankmeldungen und Familienstatus über Elternzeit-Anträge.
Der Demo-Account wurde NICHT getestet (§202a StGB). Die Existenz des hartcodierten Zugangsdatensatzes in der öffentlich herunterladbaren APK ist der Befund.
Die Audi Connect Plug & Play App enthält eine WebView mit zwei JavaScript-Interfaces (appInterface + Android), aktiviertem Dateizugriff und einer FileProvider-Konfiguration mit root-path „/".
Diese Kombination ermöglicht die Exfiltration des gesamten App-internen Dateisystems — einschließlich einer SQLite-Datenbank mit Fahrzeugtelemetrie (Geschwindigkeit, Drehzahl, Fahrstrecken).
Zusätzlich wurde ein CARIAD OAuth client_secret identifiziert, der Zugang zum Produktions-Backend für Fahrzeugdaten ermöglicht (prod.acpp.cariad.digital).
Über vier VW-Konzern-Apps (Audi, VW, CARIAD, Bentley) wurden 9 Google Maps API-Keys identifiziert. Mehrere davon reagieren auf unrestriktierte API-Aufrufe.
Missbrauchspotenzial: 10 Keys × 5 Millionen Places-API-Aufrufe = ~$850.000 pro Nacht, abgerechnet über 4 separate Billing-Accounts des VW-Konzerns.
VW-Konzernposition: „by design client-side inclusion" — Risiko akzeptiert.
Der VW-Konzern leitet alle Sicherheitsmeldungen über die Bugcrowd-Plattform (volkswagen-og). Zuvor eingereichte Befunde für myAudi (AES-256 Master Key, 34 Secrets, OAuth) wurden als „Informational" geschlossen.
Die technische Gegenargumentation des Forschers — einschließlich detaillierter Nachweise zur API-Key-Restriktion und architektonischer Root-Cause-Analyse — blieb unbeantwortet und verfiel nach 14 Tagen.
VW lehnt die Ausstellung von Bestätigungsschreiben oder öffentlicher Anerkennung grundsätzlich ab: „Not part of our current company policy."
Statische Analyse öffentlich verfügbarer APK-Dateien aus dem Google Play Store. Kein Systemzugriff. Keine Zugangsdaten getestet. Kein Netzwerkverkehr abgefangen. ISO 29147.
Der hartcodierte Demo-Account wurde NICHT verwendet. Alle Einschätzungen basieren auf statischer Code-Analyse der öffentlich verfügbaren APK.