Die Verschlüsselung, die Produktionszugangsdaten für die Mercedes-Benz Connected-Vehicle-API schützt, basiert auf XOR — einem Verfahren aus den 1960er-Jahren. Wir haben sie an einem Nachmittag geknackt. 63 Fahrzeugbewegungsbefehle. Chinesische SDKs in EU-Fahrzeugen. 120 Tage ohne Patch.
| App | Befunde | Critical | High |
|---|---|---|---|
| Mercedes me | 26 | 5 | 8 |
| Remote Parking | 24 | 4 | 7 |
| Driver's Log | 21 | 5 | 7 |
| Mercedes me Finance | 22 | 3 | 7 |
| MB Adapter (BLE) | 12 | 1 | 4 |
| Gesamt | 105+ | 18+ | 33+ |
+ 40 zusätzliche Befunde aus der XOR-Kryptoanalyse (v1.72.1) = 145+ gesamt
20+ Critical 35+ High Fahrzeugsteuerung Chinesische SDKs Supply Chain
| Kategorie | Befund | Severity |
|---|---|---|
| Kryptografie | XOR-basierte Verschlüsselung schützt OAuth-Zugangsdaten für die Connected-Vehicle-API — trivial umkehrbar, alle 18 Produktionsgeheimnisse entschlüsselt | Critical |
| Fahrzeugsteuerung | 63 Fahrzeugbewegungsbefehle (PARK, DRIVE, MANEUVER) im Remote-Parking-Protokoll extrahierbar | Critical |
| Supply Chain | JFrog Artifactory CI/CD-Token — Zugriff auf Build-Pipeline | Critical |
| Supply Chain | App Store Signing Keystore-Passwort — Signierung manipulierter APKs möglich | Critical |
| Code-Sicherheit | Coverity SAST-Zugangsdaten — Zugriff auf alle bekannten Mercedes-Bugs | Critical |
| Tracking | ByteDance (TikTok) & Alibaba (Umeng) SDKs in EU-Fahrzeug-Apps — Telemetrie an chinesische Server | High |
| Netzwerk | Certificate Pinning fleet-weit deaktiviert: USE_CERTIFICATE_PINNING=false | High |
| Bluetooth | BLE-Standardpasswort "12345678" im MB Adapter — 14 Transporter/Wohnmobil-Varianten | High |
| Architektur | sharedUserId "com.daimler" über alle 5 Apps — Cross-App-Datenzugriff | High |
Mercedes-Benz schützt Produktionszugangsdaten in seinen Android-Apps mit XOR-basierter Verschlüsselung und einem statischen Salt in einer nativen Bibliothek. XOR ist kein kryptografischer Algorithmus — es ist eine elementare Bitoperation, die keinerlei Sicherheit gegen Reverse Engineering bietet.
Der Verschlüsselungs-Salt wurde aus libnative-mystar-lib.so extrahiert. Alle 18 Produktionsgeheimnisse wurden entschlüsselt — darunter OAuth-Credentials für die Connected-Vehicle-API, die Fahrzeugfunktionen steuert.
Architektonisches Problem: Eine einfache Schlüsselrotation reicht nicht. Das XOR-Verfahren ist in die App-Architektur eingebettet — neue Schlüssel wären ebenso trivial extrahierbar. Es bedarf einer grundlegenden architektonischen Migration.
Alle Zugangsdaten sind in dieser Veröffentlichung GESCHWÄRZT. Die Methodik wird veröffentlicht, um die triviale Umkehrbarkeit nachzuweisen.
Die Remote-Parking-Applikation enthält 63 Fahrzeugbewegungsbefehle, darunter PARK, DRIVE und MANEUVER_CANCELED. Diese Befehle steuern die physische Bewegung des Fahrzeugs.
In Kombination mit den extrahierten OAuth-Zugangsdaten und der fleet-weit deaktivierten Zertifikatsprüfung stellt dies ein Fahrzeugsicherheitsrisiko gemäß UN ECE R155 dar.
In Mercedes-Benz-Applikationen für den europäischen Markt wurden folgende SDKs identifiziert:
• ByteDance / TikTok SDK — Telemetrie und Analysedaten
• Umeng / Alibaba SDK — Absturzmeldungen und Nutzungsanalysen
Diese SDKs erheben Gerätekennungen, Nutzungsmuster und potenziell Standortdaten von vernetzten Fahrzeugen europäischer Bürger. Ihre Präsenz wirft Fragen auf unter DSGVO Art. 44–49 (Drittlandtransfer), dem EU Cyber Resilience Act und nationalen Sicherheitsaspekten.
• BSI CERT-Bund — Bundesamt für Sicherheit in der Informationstechnik
• KBA — Kraftfahrt-Bundesamt (Fahrzeugsicherheit, UN ECE R155)
• LfDI Baden-Württemberg — Datenschutz (chinesische SDK-Drittlandtransfers)
• ENISA — EU-Cybersicherheitsagentur (NIS2 Art. 12)
Statische Analyse öffentlich verfügbarer APK-Dateien aus dem Google Play Store. Kein Systemzugriff. Keine Zugangsdaten verwendet. Kein Netzwerkverkehr abgefangen. Durchgeführt unter einer von Mercedes-Benz am 4. August 2026 erteilten Safe-Harbor-Vereinbarung.
Alle Zugangsdaten bleiben geschwärzt. Diese Veröffentlichung weist die Existenz und Ausnutzbarkeit der Schwachstellen nach, ohne waffenfähiges Material bereitzustellen. Alle Einschätzungen basieren auf eigener Sicherheitsanalyse.