Sensor-Manipulation: Folie täuscht Kamera und Lidar – Belege fehlen

Eine Folie soll genügen, um Kameras und Lidar-Sensoren eines selbstfahrenden Autos in die Irre zu führen – das legt zumindest eine Meldung von Heise Security nahe. Forscher aus München hätten demnach Kamera- und Lidar-Systeme untersucht, um autonome Fahrzeuge besser vor gezielten Manipulationen zu schützen. Eine CVE gibt es dafür nicht, einen CVSS-Score ebenfalls nicht: Es geht nicht um eine ausnutzbare Software-Schwachstelle, sondern um einen physischen Eingriff in die Sensorwahrnehmung. Betroffen wären Hersteller und Betreiber hochautomatisierter Fahrzeuge mit Stacks aus Kamera, Lidar und Radar. Eine Ausnutzung im Feld ist nicht beobachtet, und die Münchner Folien-Arbeit ist selbst nicht belegt.

Sensor-Manipulation autonome Fahrzeuge: nur eine Schlagzeile, kein Paper

Wer die Münchner Arbeit einordnen will, stößt schnell an eine Grenze. Die einzigen Belege für den Folien-Angriff sind die Heise-Schlagzeile und das RSS-Snippet; keine der für diese Einordnung ausgewerteten Volltext-Quellen beschreibt eine Folie, ein Münchner Team oder einen passenden Angriffsmechanismus.

Unbekannt bleibt damit fast alles, was für eine Bewertung nötig wäre: welche Institution und welche Forscher in München beteiligt sind, wo die Arbeit veröffentlicht wurde oder wird – Paper, Preprint oder Konferenz –, aus welchem Material die Folie besteht und wie sie optisch und per Lidar täuschen soll. Auch Angriffsdistanz, Erfolgsrate und konkrete Gegenmaßnahmen sind nicht belegt. Offen ist zudem, ob die Meldung auf einem Original-Paper oder auf einer Pressemitteilung beruht.

Das ist kein Grund, die Meldung abzutun. Es ist aber ein Grund, sie nicht als bewiesene Schwachstelle zu behandeln. Wer aus der Schlagzeile eine Dringlichkeitsstufe ableitet, bewertet eine Behauptung und kein Ergebnis. Solange keine Primärquelle vorliegt, gilt der Münchner Folien-Angriff als unbewiesen.

Lidar und Kamera-Lidar-Fusion: was bereits belegt ist

Dass sich die Sensorik autonomer Fahrzeuge manipulieren lässt, ist keine neue Erkenntnis. Bereits 2022 zeigte ein Team der University of Florida, der University of Michigan und der University of Electro-Communications in Japan einen Laserangriff auf Lidar-Scanner. Das Prinzip ähnelt dem Radar: Der Scanner sendet Lichtwellen aus und misst die Zeit bis zur Rückkehr der Reflexion. Mit entsprechend getakteten Impulsen lässt sich diese Messung austricksen.

Die Folge ist erheblich: Dem Fahrzeug kann eine freie Straße vorgegaukelt oder ein nicht existierendes Hindernis vor die Stoßstange gesetzt werden. Die Forscher führten den Angriff aus fünf Metern Distanz durch; mit geeigneter Ausrüstung sollen auch größere Entfernungen möglich sein. Als Gegenmaßnahme entwickelten sie Software, die aktiv nach verdächtigen Licht-Signaturen sucht, um falsche Reflexionen zu erkennen.

Einen anderen Weg ging ein Team der Duke University. Die dort beschriebene „Frustum Attack" platziert 3D-Lidar-Datenpunkte gezielt im zweidimensionalen Sichtfeld einer Kamera – in Form eines Pyramidenstumpfs. Dadurch verschiebt sich die wahrgenommene Position eines nahen Fahrzeugs um mehrere Meter, was unter anderem einen adaptiven Tempomaten täuschen kann. Die Ergebnisse wurden vom 10. bis 12. August 2022 auf dem USENIX Security Symposium präsentiert.

Ein dritter, an der University of Michigan dokumentierter Angriff erzeugt falsche Hindernisse und überlistet dabei die Machine-Learning-Absicherung des Fahrzeugs. Die drei Arbeiten unterscheiden sich in Mechanismus und Team. Gemeinsam ist ihnen, dass sie die Wahrnehmungsebene angreifen und nicht die Software.

Warum die Kamera-Lidar-Fusion angreifbar bleibt

Autonome Fahrzeuge verlassen sich auf Kamera, Lidar und Radar. Die Sensoren ergänzen sich: Lidar liefert präzise Abstände, Kameras Details und Farben, Radar robuste Messungen auch bei schlechtem Wetter. Die Datenfusion soll Redundanz schaffen – wird ein Sensor getäuscht, sollen die anderen korrigieren.

Genau diese Annahme ist der Angriffspunkt. Die Frustum Attack zeigt, dass eine Fusion in die Irre geführt werden kann, wenn der Angreifer alle beteiligten Sensoren mit zueinander passenden Falschdaten versorgt. Redundanz schützt nur, solange die Kanäle unabhängig manipulierbar sind. Werden sie konsistent getäuscht, bestätigt die Fusion den Fehler, statt ihn zu erkennen.

Das erklärt, warum die Münchner Folien-Erzählung – falls sie sich bestätigt – interessant wäre: Eine einzelne Folie, die optisch und per Lidar wirkt, würde genau diese Konsistenz erzeugen. Belegt ist das nicht.

Gegenmaßnahmen: Software, Redundanz, zusätzliche Kanäle

Die dokumentierten Arbeiten deuten in unterschiedliche Richtungen. Gegen Laserangriffe setzen Forscher auf Software, die ungewöhnliche Licht-Signaturen erkennt. Die Duke-Forscher empfehlen Stereo-Kameras mit überlappenden Sichtfeldern sowie den Datenaustausch zwischen nahen Fahrzeugen, damit ein manipulierter Sensor durch die Umgebung auffällt.

Ergänzend arbeitet das Fraunhofer-Institut für Digitale Medientechnologie IDMT an akustischer Sensorik. Das „The Hearing Car" soll Sirenen, Stimmen und spielende Kinder erkennen und wurde auf der IAA MOBILITY 2025 vorgestellt. Ein zusätzlicher Kanal hilft aber nur, wenn er nicht mit denselben Mitteln täuschbar ist wie Kamera und Lidar.

Was Hersteller und Betreiber jetzt tun sollten

Für Admins und Sicherheitsteams gilt zunächst: Es gibt keinen Patch, weil es keine Software-Schwachstelle und keine CVE gibt. Ein physischer Angriff erfordert Nähe, Sichtlinie und Vorbereitung – er skaliert nicht wie ein Netzwerk-Exploit. Panik ist deshalb fehl am Platz.

Dennoch gehört Sensor-Manipulation auf die Agenda. Hersteller sollten prüfen, ob ihre Fusion Fehlkorrekturen erkennt, statt sie zu bestätigen, und ob zusätzliche, unabhängige Kanäle existieren. Betreiber von Flotten sollten Herstellerangaben zu Sensor-Redundanz einfordern und die Forschung zu physischen Angriffen verfolgen.

Entscheidend bleibt die Quellenlage. Solange die Münchner Folien-Arbeit nicht als Paper oder über eine Institution greifbar ist, gehört sie als unbelegte Meldung gekennzeichnet – nicht als neue Angriffsklasse. Sobald die Primärquelle vorliegt, lässt sich seriös bewerten, was eine Folie tatsächlich kann.

Quellen