VanMoof ohne Herstellerserver: Alternativ-Apps ausprobiert

Kann ein Fahrrad wirklich zu Elektroschrott werden, nur weil der Hersteller insolvent ist? Bei VanMoof scheint das tatsächlich möglich. c’t 3003 hat sich ein VanMoof S1 und ein S3 besorgt und ausprobiert, was ohne Server noch funktioniert.

Transkript des Videos

(Hinweis: Dieses Transkript ist für Menschen gedacht, die das Video oben nicht schauen können oder wollen. Der Text gibt nicht alle Informationen der Bildspur wieder.)

Guckt mal hier, ich fahre hier auf meinem Rad ‘rum. Und jetzt stellt euch mal vor, der Hersteller von meinem Fahrrad geht pleite. Ist ja egal, denkt ihr? Nee, ist es nicht, zumindest, wenn mein Fahrrad von VanMoof kommt. Denn viele Funktionen bei diesen ziemlich beliebten Fahrrädern funktionieren nur, wenn die VanMoof-Server laufen. Im schlimmsten Fall kann man so ein Fahrrad GAR NICHT MEHR benutzen, wenn die Server ausgeschaltet sind.

Tja, und nun hat VanMoof Insolvenz angemeldet, es weiß also niemand, wie das mit den Servern weitergeht. Sind die Räder jetzt alle Elektroschrott, wenn die Server abgeschaltet werden? Und wie kann das eigentlich sein, dass man sich was kauft – also zum Beispiel ein Fahrrad – und dann darauf keinen Zugriff mehr hat, nur weil der Hersteller pleite ist? Skandal! Achso, wir haben uns mal ein VanMoof S1 und S3 besorgt und gucken, was wir damit ohne Hersteller-Server noch anfangen können. Bleibt dran.

Liebe Hackerinnen, liebe Internetsurfer, herzlich willkommen hier bei…

Das hier ist echt mal wieder so eine Story, die vor zehn Jahren einfach komplett absurde Science-Fiction gewesen wäre, die einem niemand glauben würde. Besitzt man ein Elektrofahrrad des Herstellers VanMoof, kann das sein, dass man das Teil in Zukunft nicht mehr benutzen kann. Weil der Hersteller nämlich vor ein paar Tagen Insolvenz angemeldet hat. Und eigentlich ist das ja erstmal total irrelevant für das mechanische Objekt „Fahrrad“, das Rad bleibt ja ein Rad, egal, was mit dem Hersteller passiert.

Aber: VanMoof-Räder funktionieren erst, wenn man sie über eine Smartphone-App aktiviert hat. Mit der App kann man dann nicht nur Sachen wie Getriebefunktion oder Beleuchtung einstellen, sondern damit öffnet man auch das Schloss beziehungsweise schaltet die mechanische Wegfahrsperre aus. Das war damals ein Alleinstellungsmerkmal, klingt ja auch ersmal nice: Sobald man mit dem eigenen Telefon in die Nähe des Fahrrads kommt, öffnet es sich. Geht man weg, schließt es sich ab. Super.

Tja, und würde das alles einfach nur über die App und unverschlüsseltes Bluetooth funktionieren, wäre das ja zumindest temporär kein Problem, wenn VanMoof die Server abstellt. Weil: Die App liegt in den Appstores von Apple und Google, dafür braucht man ja VanMoof-Server nicht, also zumindest, solange die Smartphone-Betriebssysteme die App noch unterstützen.

Nun ist es aber so: Die Bluetooth-Verbindung ist bei VanMoof grundsätzlich verschlüsselt, die App holt sich bei jeder Nutzung vom VanMoof-Server einen digitalen Schlüssel ab. Kommt der nicht, weil die Server down sind, kann man sich auf den Kopf stellen: Dann kann man das Smartphone nicht mehr mit dem Fahrrad verbinden. Das heißt, man kann nix mehr einstellen, aufschließen und einschalten kann man es auch nicht mehr. Es scheint zwar so zu sein, dass die Keys für eine Zeit auf dem Handy gespeichert werden, aber definitiv nicht für ewig. Tja, und wenn das Handy kaputtgeht, ist natürlich eh Feierabend.

Eine wirklich einfach zu bedienende Alternative gibt es leider nur für VanMoof-Modelle der Dreier-Serie, also S3/X3. Da hat die Konkurrenzfirma Cowboy eine Alternativ-App für Android und iOS-Smartphones herausgebracht. Die holt sich die Sicherheitsschlüssel vom VanMoof-Server, speichert sie auf dem Telefon und bildet dann auch die Grundfunktionen der VanMoof-Original-App nach. Da ist man dann erstmal auf der sicheren Seite und kann das Rad auch weiter per App steuern, auch wenn die VanMoof-Server abgeschaltet werden.

Wir haben die Bikey-App ausprobiert, funktioniert problemlos mit dem S3, man kann damit zwar nicht komplett alle Einstellungen der Original-VanMoof-App vornehmen, also zum Beispiel ganz detailliert die Schaltstufen, aber die wichtigsten Dinge klappen, also vor allem Fahrrad entsperren, Unterstützungsstufen einstellen, und am allerwichtigsten, den Hupen-Sound festlegen. Zum einloggen braucht man dann tatsächlich nicht mehr das VanMoof-Login und Passwort, sondern sagt einfach “import key”, wählt die lokal gespeicherte Datei aus und zack, ist man mit dem Fahrrad verbunden. Ziemlich cool. Beim S1 konnten wir mit der Bikey-App nur den Sicherheitsschlüssel sichern, aber leider nicht das Rad bedienen oder entsperren.

Cowboy hat zumindest angekündigt, demnächst VanMoofs der 5er-Serie unterstützen, wer allerdings ein 1er, 2er- oder 4er hat, guckt zurzeit noch in die Röhre.

Was mit allen Modellen funktionieren sollte, ausprobiert haben wir das mit 1er und 3er, ist der Encryption-Key-Exporter von Justus Dietrich und: Marius Angelmann. Damit kann zumindest den Schlüssel fürs eigene Rad vom VanMoof-Server ziehen, solange das noch geht. Vielleicht wird dann später Software kommen, die die VanMoof-App-Funktionalität nachbildet und mit lokal auf dem Telefon gespeicherten Keys arbeitet.

Was man ebenfalls unbedingt machen sollte, solange die Server noch aktiv sind: Den manuellen Fahrrad-Einschaltcode aktivieren. Damit kann man nämlich mit so Morse-Code-artigen Tastendrücken das Rad entsperren – das geht dann künftig auch ohne gekoppeltes Handy.

Macht man das alles NICHT und VanMoof stellt die Server ab: Dann kann man tatsächlich nichts mehr mit dem Rad anfangen.

Obendrein gibt es aber auch noch andere Risiken, da habe ich mal Stefan gefragt, der testet für c’t eBikes:

[Interview mit Stefan Porteck zu Diebstahlschutz und SIM-Karten]

Stefan Porteck: Durch die alternativen Apps ist man schon in der Lage, dass man das Rad im Prinzip bis in alle Ewigkeit benutzen kann. Aber es werden Funktionen wegfallen, zum Beispiel die GPS-Ortung, wo man in der App sehen kann, wo sich das Fahrrad gerade befindet. Das wird irgendwann nicht mehr funktionieren. Die Fahrräder haben ja im Moment auch noch einen Datentarif und kommunizieren mit den Servern. Wenn die Server abgeschaltet werden, wird VanMoof irgendwann auch die Rechnung für die eingebauten SIM-Karten, die Datenmodems, die in den Rädern drin sind, nicht mehr bezahlen. Das Rad wird wahrscheinlich auch immer eine Fehlanmeldung im Display anzeigen. Und der Service von VanMoof, dass diese sogenannten Bike Hunter, die ein geklautes Fahrrad orten und zurückbringen, den wird es dann aller Voraussicht auch nicht mehr geben.

All das zeigt recht anschaulich, was der Always-Connected-Internet-of-Things-Smart-Trend für riesige Nachteile hat. Ok, kaufe ich mir ein digitales Videospiel oder einen Film bei Anbietern wie Steam oder Amazon, dann ist mein Kauf weg, wenn der Anbieter kein Geld mehr hat und die Server abschaltet. Daran haben wir uns ja schon gewöhnt – und da gibt es ja zumindest Alternativen: Die meisten Spiele kann man, wenn man das will, physisch auf Datenträgern kaufen; und Blu-Rays gibts ja auch (noch).

Dass man nun aber auch bei größeren Anschaffungen wie Fahrrädern, Autos, Staubsaugerroboter oder was auch immer inzwischen darauf achten muss, dass die Teile womöglich wertlos werden, wenn die Hersteller pleitegehen und die Server abschalten, ist glaube ich noch nicht in allzu vielen Köpfen angekommen. Aber stellt euch nur mal vor, ihr kauft einen Tesla für eine sagen wir mal sechsstellige Summe – was passiert, wenn der Hersteller pleitegeht? Und die Server abstellt: Welche Funktionen gehen dann alle nicht mehr? Ich finde, diese Fragen muss man sich vor dem Kauf stellen und die müssen die Hersteller auch beantworten. Klar, die Wahrscheinlichkeit, dass solche Riesenfirmen wie Amazon, Tesla, Apple oder Microsoft den Betrieb einstellen, ist sehr gering – aber ganz ausschließen kann man das nicht. Ich mein, VanMoof war noch vor wenigen Jahren der absolute Überflieger im Ebike-Business, die haben über 200 Millionen US-Dollar Risikokapital eingeworben, das war ein Erfolgsunternehmen. Ganz genau kann man noch nicht sagen, wie es zum finanziellen Niedergang bei VanMoof kam, vermutlich waren es Qualitätsprobleme und überbordende Reparaturkosten – aber eigentlich ist das ja auch egal: Wichtig ist nur, dass die Leute, die die Fahrräder gekauft haben, jetzt ein Problem haben. Und das finde wahrscheinlich nicht nur ich hochproblematisch. Also: Augen auf beim Kauf von “smarten” Dingen. Tschüss.

c’t 3003 ist der YouTube-Channel von c’t. Die Videos auf c’t 3003 sind eigenständige Inhalte und unabhängig von den Artikeln im c’t Magazin. Die Redakteure Jan-Keno Janssen und Lukas Rumpler sowie die Video-Producer Şahin Erengil und Pascal Schewe veröffentlichen jede Woche ein Video.