Nach über 120 Tagen koordinierter Offenlegung über den offiziellen Kanal des Volkswagen-Konzerns (Bugcrowd) und direktem Kontakt mit VW CERT — und nachdem alle Befunde als „Informational“ geschlossen und Re-Evaluierungsanfragen unbeantwortet abgelaufen sind — veröffentlichen wir die Ergebnisse.
| App | myAudi |
|---|---|
| Paket | de.myaudi.mobile.assistant |
| Plattform | Google Play Store (Android) |
| Methodik | Ausschließlich statische Analyse der öffentlich verfügbaren APK-Datei |
| Standard | ISO 29147 / ISO 30111 |
Ein zentraler kryptographischer Schlüssel ist als String-Literal im dekompilierten APK-Code eingebettet. Der AES-256-Schlüssel wird für die Verschlüsselung lokaler Daten verwendet. Durch die Einbettung im APK ist der Schlüssel für jeden extrahierbar, der die App dekompiliert.
Insgesamt 34 hartcodierte Zugangsdaten und Secrets wurden im Quellcode identifiziert, darunter:
Neun Google Maps API-Schlüssel sind als String-Literale im APK eingebettet. Diese Schlüssel:
Missbrauchspotenzial bei 9 unrestricted Keys: geschätzt bis zu $850.000 pro Nacht (basierend auf öffentlichen Google Maps Platform-Preisen).
Der Hersteller stuft die Einbettung von Google Maps API Keys als „by-design client-side inclusion“ ein. Die fehlende API-Restriction ist jedoch keine technische Notwendigkeit.
Die myAudi-App implementiert kein Certificate Pinning. Die gesamte API-Kommunikation ist durch einen Man-in-the-Middle-Angriff mit einem benutzerinstallierten Zertifikat abfangbar.
Alle Befunde wurden über den offiziellen VW-Konzern-Kanal (Bugcrowd) eingereicht und am 30. Juli 2026 als „Informational“ (5 Punkte) geschlossen. Die technischen Bewertungen des Herstellers:
Eine Re-Evaluierungsanfrage wurde am 30. Juli 2026 eingereicht und ist am 13. August 2026 unbeantwortet abgelaufen.
VW hat am 2. Juli 2026 explizit mitgeteilt, dass öffentliche oder formale Anerkennungen „not part of our current company policy“ seien.
Die 9 Google Maps API Keys verteilen sich über mehrere VW-Konzernmarken:
| Marke | Anwendung | API Keys |
|---|---|---|
| Audi AG | myAudi | 3 |
| Volkswagen AG | We Connect | 3 |
| Audi AG | Connect Plug & Play | 3 |
9 Keys × parallele Nutzung × 8 Stunden = bis zu $850.000 pro Nacht
Der tatsächliche Schaden hängt von vorhandenen Billing-Limits ab, die bei Enterprise-Konten oft sehr hoch oder nicht konfiguriert sind.
| Behörde | Status |
|---|---|
| BaFin | Verfahren eingeleitet (VW/Audi) |
| Europäischer Ombudsmann | Akte 202602428 (ENISA NIS2 Art. 12) |
| DG CONNECT | Policy-Benachrichtigung zugestellt |
Statische Analyse der öffentlich verfügbaren APK-Datei aus dem Google Play Store gemäß ISO 29147.
Alle Einschätzungen basieren auf eigener Sicherheitsanalyse. Unabhängige Verifizierung durch den Hersteller bleibt maßgeblich.
Diese Veröffentlichung ist Teil einer laufenden Serie koordinierter Offenlegungen gegenüber über 40 Herstellern. Bisherige Full Disclosures: