DE102013209612A1

DE102013209612A1 - Verfahren zum Durchführen eines automatischen Öffnens eines Fahrzeugs oder eines Bezahl-Vorgangs sowie zugehörige Vorrichtung

Info

Publication number: DE102013209612A1
Application number: DE102013209612.7A
Authority: DE
Inventors: Andreas Ziller
Original assignee: Siemens AG
Current assignee: Siemens AG
Priority date: 2013-05-23
Filing date: 2013-05-23
Publication date: 2014-11-27
Also published as: WO2014187767A1; EP2979255A1; US20160125675A1; CN105339989A; US10217300B2

Abstract

Erläutert wird u.a. ein Verfahren zum Durchführen eines automatischen Öffnens und/oder Freischaltens der Startmöglichkeit eines Fahrzeugs (12), enthaltend: – Empfangen eines ersten Signals (20) oder einer ersten Nachricht (20), mit dem oder mit der ein automatisches Öffnen und/oder Freischalten eines Fahrzeugs (12) durchgeführt wird, – abhängig von dem Empfang des ersten Signals (20) oder der ersten Nachricht (20) Erzeugen eines zweiten Signals (28) oder einer zweiten Nachricht (28) für den Fahrer des Fahrzeugs (12).

Description

Die Erfindung betrifft u.a. ein Verfahren zum Durchführen eines automatischen Öffnens eines Fahrzeugs und/oder eines Freischaltens der Startmöglichkeit eines Fahrzeugs, z.B. Freischalten eines Startknopfes im Fahrzeug. Solche Systeme sind als Keyless Go Systeme bekannt und weit verbreitet. Es kann ein elektronischer Schlüssel verwendet werden, der bspw. keinen Schlüsselbart mit Aussparungen mehr hat, die auf Zuhaltungen in einem Türschloss abgestimmt sind. Alternativ kann ein mechanischer Schlüssel als Reserve vorhanden sein.
Ähnliche Technologien werden auch beim kontaktlosen elektronischen Bezahlen verwendet, bei dem im Gegensatz zu Kreditkartenzahlungen oder EC-Kartenzahlungen kein elektrisch leitfähiger Kontakt zwischen einer Kasse und einer Bezahlvorrichtung des Käufers erfolgt. So kann z.B. eine NFC (Near Field Communication) zum Bezahlen verwendet werden. NFC kann auch im Zusammenhang mit einem Zugangssystem verwendet werden, insbesondere zu einem Auto.
Sowohl das Keyless Go System als auch das Bezahlsystem sind insbesondere bei einer kostengünstigen und damit einfachen Ausführung nur in einem bestimmten Maße sicher gegen Missbrauch. Insbesondere sind diese Systeme dadurch angreifbar, dass die Bedienvorrichtung des Fahrers bzw. des Kunden Signalen ausgesetzt wird, wie sie in der Nähe des Autos oder der Kasse auftreten. Diese Signale werden jedoch missbräuchlich über eine größere Strecke von dem Auto oder von der Kasse übertragen. Die Bedienvorrichtung geht dann fälschlicherweise von einer Nähe zum Auto oder zu einer Kasse aus.
Die Erfindung betrifft ein Verfahren zum Durchführen eines automatischen Öffnens und/oder Freischaltens der Startmöglichkeit eines Fahrzeugs, enthaltend:

– Empfangen eines ersten Signals oder einer ersten Nachricht, mit dem oder mit der ein automatisches Öffnen und/oder Freischalten eines Fahrzeugs durchgeführt wird, und
– abhängig von dem Empfang des ersten Signals oder der ersten Nachricht Erzeugen eines zweiten Signals oder einer zweiten Nachricht für den Fahrer des Fahrzeugs.

Die Erfindung betrifft weiterhin ein Verfahren zum Durchführen eines automatischen kontaktlosen Zugangs-Vorgangs oder kontaktlosen Bezahl-Vorgangs,

– wobei wahlweise abhängig vom Auftreten oder Ausbleiben eines Abbruchsignals oder einer Abbruchnachricht an einer mobilen Vorrichtung der Vorgang durchgeführt wird, wenn innerhalb einer vorgegebenen Zeit nach der Erzeugung eines Signals oder einer Nachricht für eine an dem Vorgang beteiligte Person kein Abbruchsignal oder keine Abbruchnachricht erzeugt wird, und wobei der Vorgang nicht ausgeführt wird, wenn die Person das Abbruchsignal oder die Abbruchnachricht innerhalb einer vorgegebenen Zeit erzeugt.

Außerdem betrifft die Erfindung eine Vorrichtung zum Durchführen eines automatischen Öffnens und/oder Freischaltens der Startmöglichkeit eines Fahrzeugs, enthaltend:

– eine Empfangseinheit zum Empfangen eines ersten Signals oder einer ersten Nachricht, mit dem oder mit der ein automatisches Öffnen und/oder Freischalten eines Fahrzeugs durchgeführt wird,
– eine Sendeeinheit, die abhängig von dem Empfang des ersten Signals oder der ersten Nachricht ein zweites Signal oder eine zweite Nachricht für den Fahrer des Fahrzeugs sendet.

Es ist Aufgabe der Erfindung einfache Verfahren zum Durchführen automatischer Vorgänge anzugeben, die insbesondere einen besseren Schutz gegen Missbrauch bieten und/oder den Bedienkomfort nicht oder nur unwesentlich herabsetzen. Außerdem soll eine zugehörige Vorrichtung angegeben werden.
Diese Aufgabe wird durch ein Verfahren nach Anspruch 1 gelöst. Außerdem wird die Aufgabe durch ein Verfahren nach dem unabhängigen Verfahrensanspruch und durch eine Vorrichtung gemäß dem unabhängigen Vorrichtungsanspruch gelöst. Weiterbildungen sind in den Unteransprüchen angegeben.
Ein Verfahren zum Durchführen eines automatischen Öffnens und/oder Freischaltens der Startmöglichkeit eines Fahrzeugs, kann enthalten:

Somit kann der Fahrer immer bzw. in ungewöhnlichen Situationen von Vorgängen zum Öffnen und/oder Starten seines Fahrzeugs in Kenntnis gesetzt werden. Dies gilt auch für den Fall, dass sich eine unberechtigte Person einen Zugang zu dem Fahrzeug verschaffen will. Ein aktives Eingreifen des Fahrers zum Öffnen wird jedoch nicht gefordert, so dass der Bedienkomfort erhalten bleibt, d.h. das Fahrzeug öffnet sich nach wie vor bei Annäherung des Fahrers, der einen elektronischen Schlüssel trägt, diesen jedoch nicht bedienen muss.
Das zweite Signal verschafft dem Fahrer zusätzliche Sicherheit. Das Maß an zusätzlicher Aufmerksamkeit für das zweite Signal kann verringert werden, wenn das zweite Signal bspw. nur abhängig von einer nicht erfolgreichen Plausibilitätsprüfung der Umstände beim Öffnen und/oder Starten erzeugt wird. Ist alles plausibel, kann das zweite Signal nicht erzeugt werden. Jedoch sind Vorkehrungen für den Fall einer negativen Plausibilitätsprüfung dahingehend getroffen, dass dann das zweite Signal oder die zweite Nachricht erzeugt wird.
Dem Fahrer kann eine Möglichkeit gegeben werden, das Öffnen bzw. das Freischalten abzubrechen. Jedoch kann eine einfache Variante des Verfahrens auch ohne eine solche Möglichkeit arbeiten, d.h. der Fahrer wird nur durch das zweite Signal bzw. die zweite Nachricht in Kenntnis gesetzt.
Der Begriff Signal betont mehr den analogen Charakter einer Übertragung. Dagegen betont Nachricht mehr den digitalen Charakter einer Übertragung.
Im Verlauf des Verfahrens kann geprüft werden, ob innerhalb einer vorgegebenen Zeit ein Abbruchsignal oder eine Abbruchnachricht empfangen wird, das oder die angibt, dass das Öffnen und/oder das Freischalten abgebrochen werden soll. Alternativ kann geprüft werden, ob innerhalb der vorgegebenen Zeit kein solches Abbruchsignal oder keine solche Abbruchnachricht empfangen worden ist. Weiterhin kann wahlweise das Öffnen und/oder das Freischalten der Startmöglichkeit durchgeführt werden, wenn das Abbruchsignal oder die Abbruchnachricht nicht empfangen worden ist. Andererseits kann das Öffnen und/oder das Freischalten der Startmöglichkeit unterlassen werden, wenn das Abbruchsignal oder die Abbruchnachricht empfangen worden ist.
Das Öffnen der Tür des Fahrzeugs kann bspw. in Kombination mit dem Umfassen des Griffs erfolgen. Das Freischalten der Startmöglichkeit des Fahrzeugs erfolgt bspw. durch Aktivieren eines Startknopfes im Fahrzeug, mit dem der Motor nur im aktivierten Zustand gestartet werden kann.
Das zweite Signal oder die zweite Nachricht kann für eine Person erzeugt werden, die üblicherweise an dem Vorgang beteiligt sein sollte.
Das Abbruchsignal kann z.B. ein Knopfdruck an einem Knopf an derjenigen Vorrichtung sein, die das Verfahren durchführt, oder an einer Vorrichtung, zu der die zweite Nachricht übermittelt worden ist. Alternativ oder zusätzlich können andere Nutzereingaben das Abbruchsignal bewirken.
Es kann nur auf eine der beiden angegebenen Bedingungen geprüft werden. Die andere Möglichkeit liegt vor, falls die geprüfte Bedingung nicht eintrifft.
Das Unterlassen des Vorgangs kann z.B. durch Abbrechen und/oder Sperren und/oder Unterlassen des Sendens einer dritten Nachricht erfolgen.
"Wahlweise" kann hier bedeuten, dass im Einzelfall nur eine angegebene Möglichkeit zutrifft, bei einer anderen Konstellation aber auch die andere Möglichkeit auftreten kann, so dass entsprechende Vorkehrungen zu treffen sind.
Die technische Wirkung des Verfahrens kann darin gesehen werden, dass die Einbeziehung bzw. Inanspruchnahme einer Person auf ein Minimum reduziert wird, was insbesondere bei technischen Vorrichtungen von Vorteil ist, die gerade diesem Zweck dienen, z.B. Öffnen eines Fahrzeugs ohne Einführen eines Schlüssels in ein Türschloss und/oder Starten eines Fahrzeugs ohne Einführen eines Schlüssels in ein Zündschloss.
Der Fahrer bleibt auf Grund des zweiten Signals oder der zweiten Nachricht immer bzw. in kritischen Situationen über Vorgänge an oder in seinem Fahrzeug informiert. Insbesondere wird der Fahrer informiert, wenn sich Andere auf unberechtigte Art und Weise Zugang zu dem Fahrzeug verschaffen wollen, z.B. mit einem sogenannten Relay (Relais oder Weiterleitung) Verfahren.
Selbst wenn der Fahrer die Abbruchmöglichkeit verpasst, ist er zumindest vorgewarnt und kann bspw. unverzüglich zu seinem Fahrzeug gehen oder eine andere Maßnahme ergreifen.
Die vorgegebene Zeit kann im Bereich von einer Sekunde bis zu 10 Sekunden liegen, vorzugsweise im Bereich von 1 bis 2 Sekunden oder im Bereich von 1 bis 3 Sekunden. Das erste Signal oder die erste Nachricht kann ein Datum enthalten, zu dem der Empfänger des ersten Signals oder der ersten Nachricht ein Antwortdatum erzeugen soll, insbesondere im Rahmen eines Herausforderungs-Antwort-Verfahren (Challenge-Response) zur Feststellung der Identität des Empfängers des ersten Signals bzw. der ersten Nachricht.
Selbst wenn eine Zeit von bspw. kleiner als 3 Sekunden im Einzelfall zu kurz ist, um sofort zu reagieren, kann der Fahrer oder die Fahrerin noch andere Maßnahmen ergreifen. Andererseits ermöglicht eine kurze Verzögerungszeit ein schnelles Öffnen/Starten des Fahrzeugs, wenn der Fahrer schnell auf sein Auto zugeht bzw. den Startknopf nach dem Einsteigen schnell betätigen möchte.
Sogenannte Challenge Response Verfahren ermöglichen auf eine einfache aber sichere Art das Feststellen der Identität einer Empfängervorrichtung, was auch als Authentisierung bezeichnet wird.
Das Herausforderungsdatum und das Antwortdatum können bzw. sollten verschlüsselt übertragen werden, z.B. mit einem symmetrischen, wie AES (advanced encryption standard), DES (data encryption standard), oder einem asymmetrischen Verfahren, wie RSA (Rivest, Shamir und Adleman) oder Diffie Hellmann (DH/DSS – digital signing standard). Auch hybride Verfahren aus den genannten Verschlüsselungsverfahren können verwendet werden.
Aus dem Herausforderungsdatum kann nach einem vorgegebenen Berechnungsverfahren das Antwortdatum ermittelt werden. Dieses Berechnungsverfahren kann ein allgemein bekanntes oder ein nur dem Sender und dem Empfänger bekanntes Verfahren sein. Bspw. kann jedoch ein für die Durchführung des Verfahrens erforderlicher Parameter bzw. ein erforderliches Datum nur dem Sender und dem Empfänger bekannt sein. Es kann sich auch um mehrere Parameter bzw. Daten handeln, die nach einem vorgegebenen Schema zu verwenden sind, insbesondere nach einem Auswahlschema.
Die erste Nachricht kann im Langwellenbereich (LF – low frequency) übertragen werden. z.B. im Bereich von 120 KHz (Kilohertz) bis 135 KHz.
Die Nachricht zur Übermittlung des Antwortdatums, z.B. eine dritte Nachricht oder ein drittes Signal, kann im UHF (ultra high frequency) Bereich übertragen werden, z.B. im Bereich von 200 MHz (Megahertz) bis 500 MHz, insbesondere bei gleichzeitiger Verwendung einer Fernsteuerfunktion für das Öffnen und das Schließen des Fahrzeugs.
Bei einer Ausgestaltung enthält das erste Signal bzw. die erste Nachricht (Prüfen, wake up) dagegen kein Herausforderungsdatum, aus dem ein Antwortdatum berechnet werden soll. Das erste Signal bzw. die erste Nachricht soll bspw. nur feststellen, ob ein elektronischer "Schlüssel" bzw. eine Vorrichtung mit der Funktion eines elektronischen Schlüssels in der Nähe ist. Der elektronische Schlüssel kann dann mit einer dritten Nachricht/Signal auf die erste Nachricht/Signal antworten, wobei die dritte Nachricht kein Antwortdatum im Rahmen eines Challenge-Response-Verfahrens enthält. Erst wenn der Schlüssel antwortet, werden längere Nachrichten erzeugt, z.B. Nachrichten, die auch ein Herausforderungsdatum enthalten.
In beiden Fällen kann in dem Signal oder in der Nachricht mit dem Herausforderungsdatum ein Kennzeichendatum für das Fahrzeug enthalten sein.
Das zweite Signal kann ein Tonsignal und/oder ein Vibrationssignal und/oder ein Lichtsignal sein. Das Tonsignal hat bspw. eine Frequenz im Bereich von 200 Hz (Hertz) bis 20 KHz (Kilohertz). Das Vibrationssignal kann eine Frequenz kleiner als 200 Hz haben. Alternativ oder zusätzlich kann auch ein visuell erfassbares Signal verwendet werden, z.B. ein mit einer LED (light emitting device) erzeugtes Signal.
Der elektronische Schlüssel kann bei einer Ausgestaltung jedoch selbst in einem Gerät untergebracht sein, das weitere Funktionen hat, d.h. z.B. in einem Mobilfunktelefon (Handy, Smartphone) oder in einer Uhr, die ggf. mit weiteren Funktionen ausgerüstet ist.
Das zweite Signal oder die zweite Nachricht kann an ein Telefon oder an eine Uhr gesendet wird. Die Einbeziehung weiterer Geräte kann sicher stellen, dass die berechtigte Person das zweite Signal oder die zweite Nachricht nicht übersehen oder überhören bzw. aus anderen Gründen nicht wahrnehmen kann. Die zusätzlichen Geräte können einen größeren Energiespeicher als ein elektronischer Schlüssel haben und/oder leistungsfähigere Funktionen, um die Aufmerksamkeit der Person zu erhalten und/oder um die Plausibilität zu prüfen. Die Übertragung des zweiten Signals/Nachricht kann bspw. über Bluetooth oder ein anderes geeignetes Verfahren erfolgen.
Es kann eine Plausibilitätsprüfung durchgeführt werden, bei der geprüft wird, ob für ein Fahrzeug und eine Vorrichtung zum Öffnen und/oder Starten des Fahrzeugs gleiche Bedingungen oder Bedingungen in einem gleichen Bereich erfüllt sind. Die Bedingungen können an physikalische Parameter geknüpft sein, z.B. Daten zur Beschreibung des Ortes, der Temperatur, des Luftdrucks oder anderer Umgebungsbedingungen. Die Beschreibung des Orts kann unter Nutzung von GPS (Global Positioning System), GLONASS oder anderen satellitengestützen Systemen erfolgen. Zusätzlich oder alternativ können bei der Bestimmung des Ortes bspw. auch vorhandene WLANs (Wireless Area Network) einbezogen werden, bspw. eine Liste dieser WLANs oder eine Auswertung der Position der Sendeantennen der WLANs oder anderer Funknetze.
Die Plausibilitätsprüfung kann vor einem Zeitpunkt durchgeführt wird, zu dem das zweite Signal oder die zweite Nachricht erzeugt wird. Wahlweise kann das zweite Signal oder die zweite Nachricht abhängig vom Ergebnis der Plausibilitätsprüfung erzeugt werden, wenn die Plausibilitätsprüfung negativ war. Bei positiver Plausibilitätsprüfung kann das zweite Signal nicht erzeugt werden.
Somit wird nicht versucht, die Aufmerksamkeit einer Person zu erhalten, wenn das Öffnen bzw. Starten plausibel ist. Dies führt zu einer Entlastung der Person. Auch ein "Abstumpfen" der Aufmerksamkeit der Person kann auf diese Weise vermieden werden.
Bei einer Ausgestaltung wird erst das zweite Signal oder die zweite Nachricht erzeugt. Erst danach wird die Plausibilitätsprüfung durchgeführt. Das Ergebnis der Plausibilitätsprüfung kann dann bspw. unabhängig vom Antwortsignal verwendet werden, um den Vorgang abzubrechen.
Bei einem einfachen Verfahren wird keine Plausibilitätsprüfung durchgeführt.
Ein erstes Umgebungsdatum kann in oder an dem Fahrzeug ermittelt werden, insbesondere in einem Abstand kleiner als zehn Meter oder kleiner als drei Meter. Die Vorrichtung kann zum Durchführen des Verfahrens ein zweites Umgebungsdatum vorzugsweise in ihrer eigenen Umgebung ermitteln. Die beiden Umgebungsdaten können oder beim Fehlen eines Umgebungsdatums kann diese Tatsache und das andere Umgebungsdatum für die Plausibilitätsprüfung verwendet werden. Beispielsweise kann aus zwei Ortsdaten eine Entfernung ermittelt werden.
Das erste Umgebungsdatum kann bspw. von einer Vorrichtung ermittelt werden, die fest mit dem Fahrzeug verbunden ist. Anschließend kann das erste Umgebungsdatum dann zu der Vorrichtung zum Durchführen des Verfahrens, d.h. z.B. zu einem elektronischen Schlüssel, übertragen werden. Alternativ kann das erste Umgebungsdatum von der Vorrichtung zum Durchführen des Verfahrens, d.h. z.B. von einem elektronischen Schlüssel beim Verriegeln des Fahrzeugs, d.h. in der Nähe des Fahrzeugs, ermittelt werden.
Weil bspw. ein GPS Signal innerhalb von Gebäuden oft nicht verfügbar ist, kann die Tatsache, dass kein Ortsignal vorhanden ist, für eine Plausibilitätsprüfung verwendet werden. Ist bspw. ein Umgebungsdatum, z.B. Ortsdatum, ermittelbar und das andere nicht, so kann dies schon so gewertet werden, dass die Daten nicht plausibel sind. So könnte das Fahrzeug in einer Tiefgarage stehen und die Person bzw. der Fahrer im Freien. Umgekehrt könnte das Fahrzeug im Freien stehen und die Person in einem Gebäude. Beide Fälle sind bspw. nur im Fall eines Missbrauchs bzw. einer Fehlfunktion möglich, so dass das Öffnen bzw. Starten des Fahrzeugs automatisch oder unter Einbeziehung einer automatisch benachrichtigten Person verhindert werden sollte.
Das erste Umgebungsdatum kann ein Ortsdatum oder ein Temperaturdatum oder ein Luftdruckdatum sein. Damit ein sinnvoller Vergleich möglich ist, kann auch das zweite Umgebungsdatum vom gleichen Typ sein, d.h. Ortsdatum, Temperaturdatum oder ein Luftdruckdatum. Auch andere Umgebungsdaten können zur Plausibilitätsprüfung verwendet werden.
Das Ortsdatum kann bzw. die Ortsdaten können mit Hilfe eines Satellitensystems und/oder mit Hilfe eines Mobilfunknetzes und/oder mit Hilfe mindestens eines WLAN ermittelt werden. Solche Verfahren sind bspw. unter dem Namen GPS (global positioning system) oder "assisted" bzw. unterstütztes GPS bekannt.
Die Plausibilitätsprüfung kann nach dem Erzeugen des zweiten Signals oder der zweiten Nachricht durchgeführt werden. Somit bekommt der Fahrer auf jeden Fall das zweite Signal. Die Zeit für die Plausibilitätsprüfung kann dann schon der dem Fahrer für eine Reaktion bleibenden Zeit zugerechnet werden.
Die Plausibilitätsprüfung kann auch beim Ausbleiben des Abbruchsignals oder der Abbruchnachricht durchgeführt werden. Somit entsteht eine zusätzliche Sicherheit für den Fall, dass der Fahrer das Signal nicht hört bzw. nicht oder zu spät reagiert. Das Öffnen bzw. Starten des Fahrzeugs kann unterbleiben, wenn keine Plausibilität der Umgebungsdaten am Fahrzeug und am elektronischen Schlüssel festgestellt wird.
Bei einer Ausgestaltung wird das Verfahren zum Schutz gegen Diebstahl unter Verwendung sogenannter Relay Angriffe verwendet. Bisher kann ein Schutz gegen solche Angriffe nur relativ aufwendig erreicht werden, bspw. durch Erfassung von Signallaufzeiten (Signal Bouncing) bzw. Nachrichtenübertragungszeiten oder auf andere Art und Weise.
Bei einer weiteren Ausgestaltung wird das Verfahren mit einem Verfahren zur Erfassung von Signallaufzeiten kombiniert, um den Schutz zu erhöhen. Das Erfassen von Signallaufzeiten kann insbesondere im Rahmen der Plausibilitätsprüfung durchgeführt werden. Vorzugsweise kann die Signallaufzeit über die Dauer zwischen einem gesendeten und einem daraufhin empfangenen Signal/Nachricht (round trip – Umlauf) bestimmt werden, wobei insbesondere die oben erwähnte Verzögerung nicht zu einer Verlängerung der erfassten Zeit führen sollte.
Das Verfahren zum Öffnen und/oder Starten kann ohne die Erfassung von Signallaufzeiten (Signal Bouncing) bzw. Nachrichtenübertragungszeiten durchgeführt wird. Auf einfache Art und dennoch vergleichsweise sicher kann so auf Grund der Benachrichtigung des Fahrers, die im Rahmen eines Relay-Verfahrens nicht ohne weiteres unterdrückt werden kann, ein großer Schutz gegen Missbrauch gewährleistet werden.
Bei einem Verfahren zum Durchführen eines kontaktlosen automatischen Zugangs-Vorgangs oder eines kontaktlosen Bezahl-Vorgangs, insbesondere nach einem der oben erläuterten Verfahren, kann wahlweise abhängig vom Auftreten oder Ausbleiben eines Abbruchsignals oder einer Abbruchnachricht an einer mobilen Vorrichtung der Vorgang durchgeführt werden, wenn innerhalb einer vorgegebenen Zeit nach der Erzeugung eines Signals oder einer Nachricht für eine an dem Vorgang beteiligte Person kein Abbruchsignal oder keine Abbruchnachricht erzeugt wird. Der Vorgang wird nicht ausgeführt, wenn die Person das Abbruchsignal oder die Abbruchnachricht innerhalb einer vorgegebenen Zeit erzeugt.
Viele der Überlegungen und technischen Wirkungen für das Öffnen und/oder Starten von Fahrzeugen gelten auch für Bezahlvorgänge. Auch dort sind Relay-Angriffe möglich. Eine Benachrichtigung des Inhabers einer elektronischen Bezahlvorrichtung, z.B. elektronische Geldbörse (e-Wallet), insbesondere ein mit NFC (near field communication) ausgestattetes Mobiltelefon, kann einen solchen Missbrauch verhindern, wenn der Besitzer von einem Transfer benachrichtigt wird und ggf. eine Antwort seines Gerätes durch eine Eingabeaktion verhindern kann, z.B. Spracheingabe wie "nein" oder ein Knopfdruck oder eine Geste. Auch wenn die Eingabeaktion verspätet kommt, ist er doch aufmerksam geworden, was ihm ggf. noch ein Eingreifen ermöglicht, bspw. Aufsuchen eines nahe gelegenen Kassenbereichs bzw. Geldautomaten und unverzügliche Benachrichtigung des Kassierers oder anderer verantwortlicher Personen.
Bei einer Ausgestaltung wird auch das Verfahren zum Durchführen des Bezahlvorgang ohne das Prüfen auf ein Abbruchsignal oder auf eine Abbruchnachricht durchgeführt, wie oben für das Verfahren zum Öffnen und/oder Starten eines Fahrzeugs erläutert worden ist.
Bei Weiterbildungen des Bezahlverfahrens werden die oben für das Fahrzeug erläuterten Merkmale bzw. Verfahrensschritte verwendet, wobei dieselben oder ähnliche technische Wirkungen gelten.
Eine Vorrichtung zum Durchführen eines automatischen Öffnens und/oder Freischaltens der Startmöglichkeit eines Fahrzeugs kann enthalten:

– eine Empfangseinheit zum Empfangen eines ersten Signals oder einer ersten Nachricht, mit dem oder mit der ein automatisches Öffnen und/oder Freischalten eines Fahrzeugs durchgeführt wird, und
– eine Sendeeinheit, die abhängig von dem Empfang des ersten Signals oder der ersten Nachricht ein zweites Signal oder eine zweite Nachricht für den Fahrer des Fahrzeugs sendet.

Bei einer Ausgestaltung enthält die Vorrichtung außerdem:

– eine Prüfeinheit, die prüft, ob innerhalb einer vorgegebenen Zeit ein Abbruchsignal oder eine Abbruchnachricht empfangen wird, das oder die angibt, dass das Öffnen und/oder das Freischalten abgebrochen werden soll, oder ob innerhalb der vorgegebenen Zeit kein solches Abbruchsignal oder keine solche Abbruchnachricht empfangen worden ist, und/oder
– eine Steuereinheit, die wahlweise das Öffnen und/oder das Freischalten durchführt, wenn das Abbruchsignal oder die Abbruchnachricht nicht empfangen worden ist, oder die das Öffnen und/oder das Freischalten unterlässt, wenn das Abbruchsignal oder die Abbruchnachricht empfangen worden ist.

Die Steuereinheit kann einen Prozessor enthalten, z.B. einen Mikroprozessor oder einen Mikrocontroller, der in einem elektronischen Speicher gespeicherte Befehle ausführt. Alternativ kann eine elektronische Schaltung ohne Prozessor verwendet werden. Die Vorrichtung kann weitere Einheiten zum Durchführen der oben angegebenen Verfahren enthalten, so dass die oben genannten technischen Wirkungen auch für die Vorrichtung gelten.
Mit anderen Worten ausgedrückt, wird ein Relay-Attacken erkennendes Keyless-Go-System erläutert. Automobilhersteller bieten für ihre Fahrzeuge der Oberklasse, der oberen Mittelklasse und immer häufiger auch für die unteren Klassen automatische Fahrberechtigungssysteme an. Diese sind auch unter der Bezeichnung "Keyless Go" bekannt. Hierbei handelt es sich um eine Funktionalität, die es Kunden als Evolutionsschritt von der Funkfernbedienung für die Fahrzeugentriegelung ermöglicht, durch das Mitführen eines Gerätes, das als Fahrzeugschlüssel fungiert, ein Fahrzeug ohne aktive Handlung aufzuschließen und zu starten. Über eine Relay-Attacke, in der die Funkstrecke zwischen Schlüssel und Fahrzeug künstlich erweitert wird, ist es Angreifern möglich, ein Fahrzeug ohne das Wissen des Fahrers zu öffnen und zu starten. Hierfür ist keine physische Einwirkung auf den Fahrer oder auf das Fahrzeug notwendig, bspw. auch keine Entwendung des Schlüssels oder keine Manipulation des Schlosses.
Bei einem Keyless Go System geschieht die Entriegelung des Fahrzeugs automatisch, sobald sich der Fahrzeugschlüssel in der Nähe des Fahrzeugs befindet und ggf. der Fahrer seine Hand um den Griff schließt. Anschließend kann er, wenn er eingestiegen ist und sich der Schlüssel mit ihm im Fahrzeug befindet, den Wagen über einen Startknopf starten und seine Fahrt beginnen. Die Prüfung der Berechtigung geschieht durch den Fahrzeugschlüssel, der über Funk mit dem Fahrzeug kryptografische Verfahren anwendet, die nur von bestimmten, mit dem Fahrzeug fest gepaarten Schlüsseln, erfolgreich durchgeführt werden können. Die vom Benutzer geführten Aktionen, nämlich das Schließen der Hand um den Griff bzw. das Drücken des Startknopfes, dienen nur zur Festlegung des Momentes des Entriegelns bzw. des Startens des Fahrzeugs und bringen keine zusätzlichen Sicherheit.
Wesentlich für die Sicherheit der Fahrberechtigungsprüfung ist, dass das kryptografische Verfahren zwischen authentischen Partnern erfolgt, d.h. zwischen Schlüssel und Fahrzeug. Die zusätzliche durch technische Maßnahmen gesicherte Präsenz des Schlüssels im Innenraum zum Starten des Fahrzeugs ist nur durch die Produktsicherheit begründet, die im Englischen als "Safety" bezeichnet wird.
Um nun die Anfälligkeit des Systems gegenüber Relay-Attacken zu verstehen, ist hier vereinfacht der Sicherheitsmechanismus erklärt. Dabei wird angenommen, dass nicht zwischen Schlüssel im Innen- und Außenraum unterschieden werden muss, da, wie oben erwähnt, dies keine wesentliche Notwendigkeit für Sicherheit im Sinne von Security ist.
Das Grundprinzip ist, dass das Fahrzeug immer dann entriegelt wird, wenn sich der Schlüssel in der Nähe des Fahrzeugs befindet und der Griff umfasst wird. Es ist entscheidend, ob und wann die Entriegelung stattfindet. Damit das Fahrzeug entscheiden kann, ob sich ein Schlüssel in der Nähe befindet, muss eine Kommunikation zwischen dem Fahrzeug und dem Schlüssel stattfinden. Hierfür befinden sich beide Geräte ständig in Bereitschaft und können über Funk Beacons bzw. Synchronisationsnachrichten die gegenseitige Präsenz detektieren und die Authentifikation mit einem kryptografischen Challenge-Response-Verfahren starten. Hierbei authentifiziert sich der Schlüssel gegenüber dem Fahrzeug. Dabei kommt entweder ein symmetrisches oder asymmetrisches Kryptografie-Verfahren zum Einsatz, in dem im Endeffekt der Schlüssel dem Auto beweist, dass er im Besitz eines Geheimnisses ist, dass nur der echte Schlüssel haben kann und dass auch nicht auf anderen Wegen bezogen werden kann.
Die Sicherheit beruht darauf, dass das kryptografische Verfahren sicher ist und dass der Schlüssel und damit der Fahrer in der Nähe des Fahrzeuges ist und so einen möglichen Angreifer auf das Fahrzeug durch die physische Gegenwart abhält. Dies bedeutet, dass der Abstand in der das Authentisierungsverfahren abläuft nicht zu groß ist, damit der Fahrer eine möglicherweise anwesende unberechtigte Person vor dem Einsteigen hindert.
Für dieses Challenge-Response-Verfahren können beliebige als sicher geltende kryptografischen Verfahren mit beliebigen Schlüssellängen zum Einsatz kommen, ohne dass dies Auswirkungen auf die erfolgreiche Anwendung eines Relay-Angriffs hätte.
Für die Relay-Attacke wird nun dem Fahrzeug und dem Schlüssel fälschlicherweise suggeriert, dass sie sich in absoluter physischer Gegenwart zueinander befinden. Diese Gewissheit entsteht für beide nur dadurch, dass sie sich in gegenseitiger Funkreichweite befinden und diese aufgrund der physikalischen Parameter der Funkübertragung nur bei tatsächlicher physischer Nähe möglich ist. Die Funkreichweite ist dementsprechend unter normalen Bedingungen nur auf wenige Meter beschränkt. Eine tatsächliche Wahrnehmung der realen Entfernung ist für solche Systeme nicht möglich, da kein Verfahren anwendbar ist, dass aufgrund von Laufzeit oder Feldstärke die physische Entfernung abschätzbar macht. Erstes ist aufgrund der Lichtgeschwindigkeit einer Übertragung nicht oder nur sehr schwer messbar und letzteres ist nicht praktikabel, da es von zu vielen physischen Faktoren abhängig ist.
Die Relay-Attacke wird gestartet, wenn sich der Fahrer zusammen mit dem Schlüssel in einer gewissen Mindestentfernung vom Fahrzeug befindet und das Fahrzeug deshalb nicht mehr im Blick hat. Hierzu wird die Übertragung vom Fahrzeug, die zum Beispiel der Präsenzerkennung dient, durch Relays (Weiterleitungsstationen, z.B. Antennen) entsprechend funktechnisch aufbereitet, so dass sie an die Stelle gelangt, wo sich der Schlüssel tatsächlich befindet und von diesem empfangen werden kann. Die Sendedaten des Schlüssels werden ggf. in ähnlicher Weise zu dem Ort des Fahrzeugs übertragen. Es werden also ggf. zwei Relays verwendet, die auf diese Weise quasi einen Tunnel erzeugen. Beispielsweise könnten zwei kooperierende Angreifer ein Relay jeweils in der Nähe des Schlüssels und des Fahrzeugs deponieren. Die Übertragung vom Auto würde von dem Relay in der Nähe des Autos zu dem zweiten Relay in der Nähe des Schlüssels weitergeleitet werden, das dieses wiederum zum Schlüssel weiterleitet. Die Kommunikation in der Gegenrichtung wird ggf. analog bzw. entsprechend weitergeleitet. Eine Modifikation des Inhalts findet nicht statt, ebenso finden keine Attacken auf die kryptografische Sicherheit statt. Da dieser Kanal für Schlüssel und Fahrzeug transparent ist, ist dieser Angriff erfolgreich.
In Erica Naone, "Autoklau per Antenne", Technology Review, 10.1.2011, http://www.heise.de/tr/artikel/Autoklau-per-Antenne-1165992.html, ist die Anfälligkeit von fast allen sich derzeit auf dem Markt befindlichen Fahrberechtigungssystemen gezeigt worden. In Aurélien Francillon, Boris Danev, Srdjan Capkun, "Relay Attacks on Passive Keyless Entry and Start Systems in Modern Cars", NDDS (network and distributed system security symposium) 2011, http://eprint.iacr.org/2010/332.pdf, ist die Attacke wissenschaftlich aufbereitet dargestellt. Die Attacke ist reproduzierbar mit allgemein zugänglichem Wissen über das Verfahren, mit verbreiteten elektrotechnischen bzw. nachrichtentechnischen Know How und mit geringem Materialaufwand.
Für dieses Problem gibt es bisher nur wenige praktikable Lösungen. Zwar könnte auf den Einsatz eines Keyless-Go-Systems verzichtet werden. Auf diese Weise wäre eine aktive Handlung eines Fahrers notwendig, die aufwändiger zu kompromittieren wäre. Alternativ könnte auch die Funkstrecke zwischen Fahrzeug und Schlüssel unterbrochen werden, bspw. in dem der Schlüssel in einem funktechnisch abgeschirmten Behältnis transportiert wird. Dies hätte jedoch den Nachteil, dass der funktionale Gewinn durch die Vermeidung einer aktiven Handlung zerstört werden würde. Es gibt mittlerweile eine große Nachfrage nach solchen Systemen, da sie zum einen der logische Evolutionsschritt einer traditionellen Funkfernbedienung sind und daher von den Automobilfirmen gut vermarktet werden können. Nicht zuletzt wird diese Funktionalität sehr gut vom Markt angenommen. Letzteres ist sicherlich auch sehr stark dadurch bedingt, dass der genaue Ablauf und die Gefahr des Verfahrens der breiten Masse der Nutzer nicht bekannt ist.
Der Mechanismus, der dieser Erfindung zugrunde liegt, kann die prinzipielle Anwendbarkeit einer Relay-Attacke nicht beeinträchtigen. Jedoch wird hier ein Verfahren vorgestellt, das einen Fahrer auf eine sich im Ablauf befindliche Relay-Attacke aufmerksam macht und ihm so ermöglicht, diese zu unterbrechen. Hierzu wird der Entriegelungsmechanismus um zusätzliche Schritte erweitert.

1. Das Fahrzeug sendet eine Challenge oder eine andere Nachricht an den Schlüssel.
2. Der Schlüssel empfängt die Challenge bzw. die andere Nachricht und verzögert die Verarbeitung zunächst um eine feste aber beliebige Zeitspanne. Beispielsweise in der Zwischenzeit wird der Fahrer bspw. über akustische, optische und/oder Vibrationssignale über eine sich im Ablauf befindliche Authentifikation informiert. Er hat nun die Gelegenheit, innerhalb einer definierten Zeitspanne aktiv durch das Betätigen einer Taste am Schlüssel den Ablauf der Authentisierung abzubrechen, sollte diese unerwartet sein, weil er sich beispielsweise nicht in der Nähe seine Fahrzeuges befindet oder er sein Fahrzeug nicht entriegeln möchte.
3. a) Der Fahrer hat den Kopf gedrückt: Der Vorgang bricht ab.
3. b) Der Fahrer drückt den Knopf nicht: Der Schlüssel überträgt die berechnete Response an das Fahrzeug und das Fahrzeug ist bereit zur Entriegelung.

Ein Keyless-Go-System würde vor dem Hintergrund dieser Erfindung immer noch funktionieren, da der Fahrer, der tatsächlich berechtigt sein Auto öffnen möchte, die Meldung durch den Schlüssel ignorieren könnte und das Auto sich so nach wie vor ohne aktive Handlung automatisch entriegeln würde. Das erfindungsgemäße Verfahren würde ggf. lediglich eine längere Zeitspanne für den Vorgang benötigen. In diesem Zeitraum müssen sich Schlüssel und Auto in gegenseitiger Reichweite befinden. Diese sollte ausreichend groß sein, damit eine Verzögerung für den Fahrer vermieden wird, weil dieser bspw. das Auto erreicht, bevor der Authentisierungsvorgang abgeschlossen ist. Dementsprechend sollte in Abhängigkeit der typischen Gehgeschwindigkeit eines Menschen eine möglicherweise höhere Reichweite realisiert werden.
Die Modifikation des Ablaufs kann bspw. auch einen Bedienknopf oder ein anderes Eingabemittel am Schlüsselgerät erfordern.
Das System würde bspw. dann keine zusätzliche Sicherheit erreichen, wenn der Fahrer das Signal durch seinen Schlüssel nicht wahrnimmt. Er könnte sich bspw. in lauten Umgebungen befinden oder den Schlüssel nicht in seiner unmittelbaren Nähe aufbewahren. Die Wahrnehmbarkeit durch den Fahrer könnte verbessert werden, wenn der Schlüssel möglicherweise direkt am Körper getragen wird oder zusätzliche Geräte, bspw. eine vibrierende Armbanduhr, ebenfalls aktiviert werden.
Beispielsweise könnte ein aufgewerteter Schlüssel die Umgebungsbedingungen erkennen und so die Plausibilität einer initiierten Türöffnung erkennen. Denkbar ist auch, dass der Schlüssel bspw. über Bluetooth Low Energy oder eine ähnliche Technologie mit dem Smartphone (bspw. iPhone, z.B. ab Version 4S) des Fahrers in Verbindung steht. Dieses verfügt über mehr Rechenleistung, Energiespeicher und Sensoren, so dass die Plausibilität sicherer erkannt werden könnte.
Unabhängig davon, ob nun der Schlüssel oder das Smartphone die Plausibilität erkennt, wären folgende zusätzliche Plausibilitätsprüfungen möglich:
Erkennung über Position:

– Der Abstellort des Fahrzeugs ist bekannt, die eigene Position könnte bspw. per GPS ermittelt werden und mit der Position des Fahrzeugs verglichen werden. Bei einer Abweichung würde der Vorgang abgebrochen und der Benutzer benachrichtigt werden.
– Die Positionsbestimmung durch Smartphones ist heutzutage sehr leistungsfähig und auch sehr schnell. Diese funktioniert aber nur im Freien. Sollte daher kein GPS über einen längeren Zeitraum zur Verfügung stehen, was typischerweise im Freien nicht vorkommt, könnte dies der Hinweis für den Aufenthalt des Schlüssels in einem geschlossenen Gebäude sein und damit für eine nicht plausible Fahrzeugentriegelung, falls bspw. für das Fahrzeug GPS Koordinaten vorliegen. In diesem Fall wird der Fahrer alarmiert und aufgefordert zu entscheiden, ob die Türentriegelung tatsächlich beabsichtigt ist oder nicht. Es ist zu beachten, dass zwar "assisted" GPS für die Erfassung der Positionen durch die Präsenz von WLAN Beacons (periodische Synchronisationssignale) verwendet werden kann, dass diese aber ebenfalls getunnelt werden könnten.

Eine Plausibilität durch weitere funktechnische Signale könnte zwar zusätzliche Sicherheit erbringen, diese könnten allerdings von einem Angreifer ebenfalls getunnelt werden. Hierbei ist allerdings ein größerer technischer Aufwand notwendig, da bspw. durch die Notwendigkeit der Präsenz eines Hochfrequenzsignals für die Plausibilitätsüberprüfung, eine größere Bandbreite abgedeckt werden muss.
Eine Plausibilitätsüberprüfung könnte durch weitere Sensoren unterstützt werden. Beispielsweise durch Temperatur oder Luftdruck könnte eine Aussage über den Aufenthalt in Räumen möglich sein.
Ein Schritt besteht darin, dass ein bestehendes Verfahren um zusätzliche Schritte erweitert wird, so dass die Sicherheit von Keyless-Go-Systemen erhöht wird, ohne den Komfort (Öffnen ohne aktive Handlung) zu beeinträchtigen oder das System grundsätzlich in Frage zu stellen. Darüber hinaus wurde konzeptionell die Erweiterung des Mechanismus auf eine automatische Plausibilitätsüberprüfung der Fahrzeugöffnung beschrieben.
Die oben beschriebenen Eigenschaften, Merkmale und Vorteile dieser Erfindung sowie die Art und Weise, wie diese erreicht werden, werden klarer und deutlicher verständlich im Zusammenhang mit der folgenden Beschreibung der Ausführungsbeispiele. Sofern in dieser Anmeldung der Begriff "kann" verwendet wird, handelt es sich sowohl um die technische Möglichkeit als auch um die tatsächliche technische Umsetzung. Sofern in dieser Anmeldung der Begriff "etwa" verwendet wird, bedeutet dies, dass auch der exakte Wert offenbart ist. Die Figuren sind nicht maßstabsgerecht gezeichnet, insbesondere können die Aspektverhältnisse der Elemente anders gewählt werden.
Im Folgenden werden Ausführungsbeispiele der Erfindung an Hand der beiliegenden Zeichnungen erläutert. Darin zeigen:
1 Nachrichten, die zwischen einem Fahrzeug und einem elektronischen Schlüssel gemäß einem ersten Ausführungsbeispiel übertragen werden,
2 Nachrichten, die zwischen einem Fahrzeug und einem elektronischen Schlüssel gemäß einem zweiten Ausführungsbeispiel übertragen werden,
3 Verfahrensschritte gemäß einem ersten Verfahren,
4 Verfahrensschritte gemäß einem zweiten Verfahren,
5 Verfahrensschritte zum Prüfen der Plausibilität von Ortsdaten, und
6 Einheiten in einem elektronischen Schlüssel.
Die 1 zeigt Nachrichten 10, die zwischen einem Fahrzeug 12 und einem elektronischen Schlüssel 14 gemäß einem ersten Ausführungsbeispiel übertragen werden, das sehr energieeffizient arbeitet. Das Fahrzeug 12 ist bspw. ein Auto (PKW – Personenkraftwagen), ein Motorrad oder ein Laster. An Stelle eines Fahrzeugs kann auch ein Boot oder Flugzeug verwendet werden. Alternativ kann auch eine andere Zugangskontrolle oder ein Bezahlvorgang auf die gleiche Art verwirklicht werden.
Der elektronische Schlüssel 14 wird unten an Hand der 6 näher erläutert und enthält bspw. eine elektronische Schaltung mit Prozessor oder ohne Prozessor.
Das Fahrzeug 12 sendet periodisch Aufwachnachrichten (wake up) 20, die kurze Signalfolgen enthalten, um den Schlüssel 14 aus einem Ruhemodus in einen Aktivmodus zu versetzten, siehe z.B. Zeitpunkt t2. Es wird angenommen, dass sich der Schlüssel 14 innerhalb eines Radius R1 um das Fahrzeug 12 befindet, in dem er die Nachricht 20 empfangen kann, bspw. in einem Radius R1 kleiner als 10 Meter. Die Nachricht 20 kann bspw. im LF (Low frequency) Frequenzbereich gesendet werden.
Der Schlüssel 14 bestätigt im Aktivmodus die Nachricht 20 mit einer Bestätigungsnachricht 22 (Acknowledgement bzw. kurz Ack), siehe Zeitpunkt t4, der nach dem Zeitpunkt t2 liegt.
Außerdem erzeugt der Schlüssel 14 zu einem Zeitpunkt t6 ein Signal 28 für den Fahrer des Fahrzeugs 12, was unten an Hand der 3 und 4 noch näher erläutert wird, z.B. ein Tonsignal. Das Signal 28 kann den Fahrer auf einen Missbrauch seines Schlüssels aufmerksam machen, was unten noch näher erläutert wird. An Stelle des Signals 28 kann auch ein Signal bzw. eine Nachricht für ein Gerät des Fahrers erzeugt werden, bspw. für ein Mobilfunkgerät oder für eine Uhr.
Optional kann geprüft werden, ob der Fahrer ein Abbruchsignal 29 erzeugt, siehe z.B. t8. Mit dem Signal 29 kann der Fahrer einem Missbrauch vorbeugen, wie unten ebenfalls noch näher erläutert wird. Der Missbrauch kann bspw. dadurch unterbunden werden, dass beim Auftreten des Signals 29 die Nachricht 22 oder eine weiter unten erläuterte Nachricht 26 nicht erzeugt wird. Die Nachricht 22 kann bspw. im UHF (ultra high frequency) Frequenzbereich gesendet werden. Das Signal 29 kann direkt vom Fahrer kommen oder von einem Gerät des Fahrers, an das auch das Signal bzw. die Nachricht 28 gesendet worden ist.
Zu einem Zeitpunkt t10 sendet das Fahrzeug 12 eine im Vergleich zu der Nachricht 20 längere Nachricht 24, die bspw. ein Kennzeichendatum ID (Identifikation) für das Fahrzeug 12 und ein sogenanntes Challengedatum (Herausforderung) enthält. Die Nachricht 24 kann bspw. im LF (Low frequency) Frequenzbereich gesendet werden.
Der Schlüssel 14 empfängt die Nachricht 24 und erzeugt daraufhin zu einem Zeitpunkt t12 eine Responsenachricht 26, die ein Responsedatum (Antwortdatum) enthält, das bspw. unter Verwendung des zuvor empfangenen Challenge-Datums berechnet worden ist. Auf diese Art und Weise kann der Schlüssel 14 seine Identität beweisen. Der Schlüssel 14 prüft vor dem Senden der Nachricht 26 bspw. auch die ID des Fahrzeugs, so dass er nur auf Nachrichten 24 "seines" zugehörigen Fahrzeugs antwortet. Die Nachricht 26 kann bspw. im UHF (ultra high frequency) Frequenzbereich gesendet werden.
Das Fahrzeug 12 empfängt die Nachricht 26, prüft die Richtigkeit des Responsedatums und öffnet ggf. die Tür, z.B. falls auch noch eine Person, vorzugsweise der Fahrer, die Tür berührt, oder schaltet einen Motorstartknopf frei, bspw. falls sich der Schlüssel 14 bzw. ein von ihm weitergeleitetes Signal schon im Innenraum des Fahrzeugs 12 befindet.
Die Nachrichten 20 bis 26 können verschlüsselt übertragen werden, wobei bspw. ein in der Einleitung genanntes elektronisches Verschlüsselungsverfahren verwendet wird.
Werden unberechtigte Zugriffe auf den Schlüssel 14 durchgeführt, so kann der Radius R1 auch ein Mehrfaches des oben genannten Wertes betragen. So können die vom Fahrzeug 10 kommenden Nachrichten 20, 24 bspw. über ein Kabel weitergeleitet werden. Alternativ oder zusätzlich können die Nachrichten 20, 24 auch mit einer Antenne empfangen werden und mit oder ohne Verstärkung an einen weiter entfernten Schlüssel 14 weitergeleitet werden. Somit können Positionen P1 (Fahrzeug), P2 (Schlüssel) bspw. mehr als 30 Meter oder sogar mehr als 50 Meter auseinander liegen, obwohl die Signale vom Fahrzeug 12 eigentlich nur die oben genannte vergleichsweise geringe Reichweite von bspw. kleiner 10 Meter haben.
Für den Rückkanal, d.h. Nachrichten 22 und 26 kann ebenfalls ein unberechtigtes Weiterleiten erfolgen. Die UHF-Signale können jedoch eine größere Reichweite als die LF-Signale haben, so dass ein zusätzliches Weiterleiten der UHF-Signale im Falle eines Missbrauchs des Schlüssels 14 durch nicht berechtigte Personen ggf. nicht erforderlich ist.
Die Signale 28 und das optionale Signal 29 können auch zwischen den Zeitpunkten t10 und t12 liegen. Alternativ liegt z.B. das Signal 28 zwischen den Zeitpunkten t4 und t10 und das optionale Signal 29 zwischen den Zeitpunkten t10 und t12. Der Radius R1 kann für das Öffnen gelten und verschieden von einem Radius für das Starten sein.
Die 2 zeigt Nachrichten 10b, die zwischen einem Fahrzeug 12b und einem elektronischen Schlüssel 14b gemäß einem zweiten Ausführungsbeispiel übertragen werden, bei dem das Auto periodisch längere Nachrichten sendet, die bereits ein Challengedatum (Herausforderungsdatum) enthalten.
Es gelten die oben gemachten Aussagen ebenfalls:

– für ein dem Fahrzeug 12 entsprechendes Fahrzeug 12b, und
– für ein dem Schlüssel 14 entsprechenden Schlüssel 14b.

Das Fahrzeug 12b sendet periodisch Nachrichten 30, die bspw. ein Kennzeichendatum ID für das Fahrzeug 12b und ein sogenanntes Challengedatum (Herausforderung) enthalten, siehe z.B. Zeitpunkt t20. Die Nachricht 30 kann bspw. im LF (Low frequency) Frequenzbereich gesendet werden.
Der Schlüssel 14b empfängt die Nachricht 30 und erzeugt zu einem Zeitpunkt t22 ein Signal 40, das dem Signal 28 entspricht. Auch das Signal 40 kann den Fahrer auf einen Missbrauch seines Schlüssels aufmerksam machen, was unten noch näher erläutert wird. An Stelle des Signals 40 kann auch ein Signal bzw. eine Nachricht für ein Gerät des Fahrers erzeugt werden, bspw. für ein Mobilfunkgerät oder für eine Uhr.
Optional kann geprüft werden, ob der Fahrer ein Antwortsignal 41 erzeugt, das dem Signal 29 entspricht, siehe z.B. Zeitpunkt t24. Mit dem Signal 41 kann der Fahrer einem Missbrauch vorbeugen, wie unten ebenfalls noch näher erläutert wird. Der Missbrauch kann bspw. dadurch unterbunden werden, dass beim Auftreten des Signals 41 eine weiter unten erläuterte Nachricht 32 nicht erzeugt wird. Das Signal 41 kann direkt vom Fahrer kommen oder von einem Gerät des Fahrers, an das auch das Signal bzw. die Nachricht 40 gesendet worden ist.
Zu einem Zeitpunkt t26 erzeugt der Schlüssel bspw. eine Responsenachricht 32, die ein Responsedatum enthält, das bspw. unter Verwendung des zuvor empfangenen Challenge-Datums berechnet worden ist. Auf diese Art und Weise kann der Schlüssel 14b seine Identität beweisen. Der Schlüssel 14b kann vor dem Senden der Nachricht 32 auch die ID des Fahrzeugs prüfen, so dass er nur auf Nachrichten 24 "seines" zugehörigen Fahrzeugs 12b antwortet. Die Nachricht 32 kann bspw. im UHF (ultra high frequency) Frequenzbereich gesendet werden.
Das Fahrzeug 12b empfängt die Nachricht 32, prüft die Richtigkeit des Responsedatums und öffnet ggf. die Tür, z.B. falls auch noch eine Person, vorzugsweise der Fahrer, die Tür berührt, oder schaltet einen Motorstartknopf frei, bspw. falls sich der Schlüssel 14b bzw. ein von ihm stammendes und missbräuchlich weitergeleitetes Signal, schon im Innenraum des Fahrzeugs 12 befindet.
Die Nachrichten 30 und 32 können verschlüsselt übertragen werden, wobei bspw. ein in der Einleitung genanntes elektronisches Verschlüsselungsverfahren verwendet wird.
Bezüglich des Missbrauchs des Schlüssels 14b gilt das an Hand der 1 zum Missbrauch des Schlüssels 14 Gesagte. Den Positionen P1 und P2 entsprechen in der 2 die Positionen P1b und P2b. Dem Radius R1 entspricht ein Radius R1b. Der Radius R1b kann für das Öffnen gelten und verschieden von einem Radius für das Starten sein.
Die 3 zeigt Verfahrensschritte gemäß einem ersten Verfahren. Das Verfahren beginnt in einem Verfahrensschritt 100. Im Folgenden werden die Verfahrensschritte auch kurz als Schritt bezeichnet. In einem nach dem Schritt 100 ausgeführten Schritt 102 wird die Nachricht 20 bzw. die Challenge-Nachricht 24 bzw. 30 vom Fahrzeug 12, 12b zu dem Schlüssel 14, 14b übertragen.
Nach dem Empfang der Nachricht 20, 24 bzw. 30 erzeugt der Schlüssel 14, 14b das Signal 28 bzw. 40 für den Fahrer, siehe Schritt 104. Danach wird in einem Verzögerungsschritt 106 dem Fahrer Zeit gegeben, auf das Signal 28 bzw. 40 zu reagieren, bspw. um einen Missbrauch des Schlüssels 14, 14b zu verhindern.
Nach dem Schritt 106 kann unmittelbar ein Schritt 110 folgen, in welchem geprüft wird, ob der Fahrer das Signal 29 bzw. 41 erzeugt hat, um das Öffnen bzw. das Starten abzubrechen. Ist dies der Fall, so wird unmittelbar nach dem Schritt 110 ein Schritt 112 ausgeführt, der zu einer Sperre des Schlüssels 14 bzw. 14b führt. Alternativ wird bspw. das Senden von Antwortnachrichten bezogen auf eine Antwortnachricht, auf mehrere Antwortnachrichten oder bezogen auf eine weitere Zeitspanne verhindert. Damit hat das Verfahren ein erstes Ende erreicht, siehe Schritt 114.
Wird dagegen im Schritt 110 festgestellt, dass der Fahrer kein Signal 29, 41 innerhalb einer festgelegten Zeitspanne erzeugt hat, so kann nach dem Schritt 110 unmittelbar ein Schritt 118 folgen, in dem die Nachricht 26 bzw. 32 übertragen wird.
Nach dem Schritt 118 kann ein Schritt 120 erfolgen, wobei das Fahrzeug 12 bzw. 12b die Tür öffnet oder einen Motorstartknopf frei gibt. Damit ist das Verfahren an einem zweiten Ende beendet, siehe Schritt 122.
Das an Hand der 3 erläuterte Verfahren kann auch bei anderen Ausführungsbeispielen, als oben an Hand der 1 und 2 erläutert, eingesetzt werden.
Zwischen den Schritten 106 und 110 oder zwischen den Schritten 110 und 118 kann eine Plausibilitätsprüfung durchgeführt werden, die z.B. unten an Hand der 5 näher erläutert wird oder wobei zusätzlich oder alternativ andere Prüfgrößen verwendet werden, bspw. die in der Einleitung genannten Größen Umgebungstemperatur und/oder Umgebungsdruck.
Für die Plausibilitätsprüfung 108 kann gelten, dass bei vorhandener Plausibilität unmittelbar der Schritt 110 folgt, d.h. der Fahrer hat dennoch die Möglichkeit die Signale 29 und 41 zu erzeugen, um das Öffnen/Starten zu unterbinden. Wird dagegen bei der Plausibilitätsprüfung 108 festgestellt, dass keine Plausibilität gegeben ist, so kann direkt der Schritt 112 folgen. Somit wird der Schlüssel 14, 14b gesperrt ohne dass es auf die Reaktion des Fahrers ankommt, d.h. das Signal 29 bzw. 41.
Für die Plausibilitätsprüfung 116 kann gelten, dass bei vorhandener Plausibilität unmittelbar der Schritt 118 folgt, d.h. die nächste Nachricht zum Fahrzeug 12, bzw. 12b wird übertragen. Wird dagegen bei der Plausibilitätsprüfung 116 festgestellt, dass keine Plausibilität gegeben ist, so kann direkt der Schritt 112 folgen. Somit wird der Schlüssel 14, 14b gesperrt, auch wenn der Fahrers nicht reagiert hat, d.h. das Signal 29 bzw. 41 nicht gesendet worden ist.
Alternativ könnte die Plausibilitätsprüfung auch schon vor dem Schritt 106 bzw. vor dem Schritt 104 begonnen werden. Wird die Plausibilitätsprüfung auch vor diesen Schritte 106 bzw. 104 beendet, so entsteht ein Verfahren, das dem unten an Hand der 4 erläuterten Verfahren entspricht.
Die 4 zeigt Verfahrensschritte gemäß einem zweiten Verfahren, bei dem das Signal 28, 40 oder ein anderes Signal für den Fahrer nur dann erzeugt wird, wenn ein unplausibler Sachverhalt festgestellt wird, der auf einen Missbrauch hindeutet. Das Verfahren beginnt in einem Verfahrensschritt 200. Im Folgenden werden die Verfahrensschritte auch kurz als Schritt bezeichnet. In einem nach dem Schritt 200 ausgeführten Schritt 202 wird die Nachricht 20 bzw. die Challenge-Nachricht 24 bzw. 30 vom Fahrzeug 12, 12b zu dem Schlüssel 14, 14b übertragen.
Nach dem Empfang der Nachricht 20, 24 bzw. 30 führt der Schlüssel eine Plausibilitätsprüfung durch, die bspw. in der Einleitung oder unten näher erläutert ist. Bspw. werden dabei die Positionen P1 (Fahrzeug), P2 (Schlüssel) bzw. P1b (Fahrzeug) und P2b (Schlüssel) erfasst, siehe Schritt 204. Ist der Abstand zwischen den Positionen zu groß oder gibt es andere Abweichungen bezüglich der Positionen, bspw. ist eine Position ermittelbar und die andere Position ist nicht ermittelbar, so liegt keine Plausibilität vor. Stimmen dagegen bspw. beide Positionen P1, P2 bzw. P1b und P2b überein bzw. liegen sie nicht zu weit auseinander, so liegt Plausibilität vor.
Wird in einem Prüfungsschritt 206 festgestellt, dass keine Plausibilität vorliegt, so wird unmittelbar nach dem Schritt 206 ein Schritt 208 ausgeführt, in welchen bspw. ein Signal für dem Fahrer erzeugt wird, siehe bspw. Signale 28 bzw. 40.
Danach folgt in einem Schritt 210 eine Verzögerung im Bereich von bspw. 1 bis 2 Sekunden oder im Bereich von 1 bis 3 Sekunden.
Danach wird in einem Schritt 212 geprüft, ob der Fahrer eine Eingabe gemacht hat, d.h. ob der Schlüssel 14, 14b bspw. das Signal 29 bzw. 41 empfangen hat. Ist dies der Fall, so folgt dem Schritt 212 unmittelbar ein Schritt 214. Im Schritt 214 wird der Schlüssel gesperrt bzw. das Öffnen und/oder das Starten des Fahrzeugs 14, 14b auf andere Art und Weise unterbunden. Das Verfahren ist damit an einem ersten Ende, siehe Schritt 216.
Wird dagegen im Schritt 212 festgestellt, dass der Fahrer kein Abbruchsignal, z.B. 29, 41 in der vorgegebenen Zeit erzeugt hat, so kann nach dem Schritt 212 unmittelbar ein Schritt 220 folgen, der dem Schritt 118 entspricht, d.h. Übertragen einer Nachricht vom Schlüssel 14, 14b zum Fahrzeug 12, 12b. Nach dem Schritt 220 folgt dann ein Schritt 222, der dem Schritt 120 entspricht, bspw. das Öffnen bzw. Starten des Fahrzeugs. Anschließend wird das Verfahren in einem Schritt 224 beendet.
Die 5 zeigt Verfahrensschritte 300 bis 310 zum Prüfen der Plausibilität von Ortsdaten. Das Prüfen der Plausibilität beginnt nach dem Beschaffen aller relevanten Daten bspw. in dem Verfahrensschritt 300, kurz Schritt 300.
In einem dem Schritt 300 folgenden Schritt 302 wird bspw. geprüft, ob für die beiden Positionen P1, P2 bzw. P1b, P2b GPS Koordinaten GPS1 bzw. GPS2 ermittelt werden konnten. Konkret wird zunächst geprüft, ob die GPS Koordinaten GPS1 für die Position P1 bzw. P1b vorhanden sind und die Koordinaten GPS2 für die Position P2 bzw. P2b nicht ermittelt werden konnten. Trifft dies zu, so liegt keine Plausibilität vor und das Verfahren wird in einem Schritt 310 beendet. Trifft die Bedingung dagegen nicht zu, so folgt ein Schritt 304 nach dem Schritt 302.
Im Schritt 304 wird konkret geprüft, ob die GPS Koordinaten GPS1 für die Position P1 bzw. P1b nicht vorhanden sind und die Koordinaten GPS2 für die Position P2 bzw. P2b ermittelt werden konnten. Trifft dies zu, so liegt wiederum keine Plausibilität vor und das Verfahren wird wieder in dem Schritt 310 beendet. Trifft die Bedingung dagegen nicht zu, so folgt ein Schritt 306 nach dem Schritt 304.
Im Schritt 306 wird geprüft, ob die GPS Koordinaten GPS1 für die Position P1 bzw. P1b nicht vorhanden sind und ob die Koordinaten GPS2 für die Position P2 bzw. P2b ebenfalls nicht ermittelt werden konnten. Trifft dies zu, so liegt Plausibilität vor und das Verfahren wird in einem Schritt 308 beendet, in welchem Plausibilität vermerkt wird. Trifft die Bedingung dagegen nicht zu, so folgt der Schritt 310 nach dem Schritt 306, d.h. es wird keine Plausibilität festgestellt.
Alternativ oder zusätzlich kann im Rahmen der Plausibilitätsprüfung auch ein Abstand zwischen den GPS Koordinaten GPS1 und GPS2 ermittelt werden. Anschließend kann geprüft werden, ob der berechnete Abstand kleiner als ein vorgegebener Abstand ist. Ist dies der Fall liegt Plausibilität vor. Ist der berechnete Abstand dagegen größer als der vorgegebene Abstand so kann dies als unplausibel gewertet werden. Bspw. können für das Öffnen und für das Freigeben des Startens die gleichen vorgegebenen Abstände oder voneinander verschiedene vorgegebene Abstände verwendet werden.
Die an Hand der 5 erläuterte Prüfung der Plausibilität(en) kann bspw. in 3 im Schritt 108 bzw. 116 durchgeführt werden oder in 4, Schritte 204 und 206.
Die Reihenfolge der Schritte 100 bis 310 ist beispielhaft und kann auch verändert werden. Es können zusätzliche Schritte zwischen den genannten Schritten ausgeführt werden. Auch müssen nicht immer alle in einer 3 bis 5 gezeigten Schritte ausgeführt werden.
Die 6 zeigt Einheiten in einem elektronischen Schlüssel 350, der bspw. als Schlüssel 14 bzw. 14b verwendet werden kann. Der elektronische Schlüssel 350 enthält:

– eine Sendeeinheit S zum Senden der Nachricht 22, 26 bzw. 32,
– eine Empfangseinheit E zum Empfangen der Nachricht 20, 24 bzw. 30,
– einen Prozessor P, insbesondere einen Mikrocontroller,
– einen elektronischen Speicher M, der bspw. einen flüchtig speichernden Teil (z.B. RAM – random access memory) und einen nicht flüchtig speichernden Teil (z.B. ROM – read only memory) zum Speichern von Programmbefehlen und Daten enthält.
– bspw. optional einen Knopf bzw. Schalter 352 oder eine andere Eingabevorrichtung, mit der der Fahrer den Öffnungsvorgang bzw. das Freischalten des Startknopfes unterbinden kann,
– bspw. einen Lautsprecher 354 oder eine andere Ausgabeeinrichtung, mit der der Fahrer auf einen Öffnungsvorgang bzw. Startvorgang aufmerksam gemacht werden kann, und
– eine Prüfeinheit 356, die bspw. den Prozessor P enthält und die bspw. die oben an Hand der 1 bis 5 erläuterten Prüfschritte durchführt.

Der Schlüssel 350 kann auch weitere Einheiten zur Realisierung einer Fernsteuerfunktion zum Öffnen des Fahrzeugs 12, 12b enthalten.
Die Einheit 350 könnte auch eine elektronischen Geldbörse sein, die bspw. auf NFC (near field communication) beim Bezahlen basiert. Die oben an Hand der 1 bis 5 erläuterten Verfahren könnten dann auch zur Verhinderung des Missbrauchs bei Bezahlvorgängen durchgeführt werden.
Bei anderen Ausführungsbeispielen ist die Einheit 350 ohne Prozessor P realisiert, d.h. ohne Abarbeiten eines Programms zum Erbringen der Funktionen der Einheit 350. So kann ein Zustandsautomat mit einer integrierten Schaltung realisiert werden, z.B. mit einem FPGA (field programmable gate array).
Die Einheit 450 kann eine größte Abmessung (z.B. Länge) kleiner als 15 Zentimeter oder kleiner als 5 Zentimeter oder kleiner als 3 Zentimeter haben.
Die Einheit 350 kann als Bestandteil eines Mobilfunktelefons (Handy, Smartphone) realisiert sein, was für die Öffnungs- bzw. Freischaltfunktion oder auch für die Bezahlfunktion gelten kann. Auch können beide bzw. alle drei genannte Funktionen in einem Mobilfunktelefon/Smartphone realisiert werden.
Die Ausführungsbeispiele sind nicht maßstabsgetreu und nicht beschränkend. Abwandlungen im Rahmen des fachmännischen Handelns sind möglich. Obwohl die Erfindung im Detail durch das bevorzugte Ausführungsbeispiel näher illustriert und beschrieben worden ist, ist die Erfindung nicht durch die offenbarten Beispiele eingeschränkt und andere Variationen können vom Fachmann hieraus abgeleitet werden, ohne den Schutzumfang der Erfindung zu verlassen. Die in der Einleitung genannten Weiterbildungen und Ausgestaltungen können untereinander kombiniert werden. Die in der Figurenbeschreibung genannten Ausführungsbeispiele können ebenfalls untereinander kombiniert werden. Weiterhin können die in der Einleitung genannten Weiterbildungen und Ausgestaltungen mit den in der Figurenbeschreibung genannten Ausführungsbeispielen kombiniert werden.
ZITATE ENTHALTEN IN DER BESCHREIBUNG
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
Zitierte Nicht-Patentliteratur

Erica Naone, "Autoklau per Antenne", Technology Review, 10.1.2011 [0067]
http://www.heise.de/tr/artikel/Autoklau-per-Antenne-1165992.html [0067]
Aurélien Francillon, Boris Danev, Srdjan Capkun, "Relay Attacks on Passive Keyless Entry and Start Systems in Modern Cars", NDDS (network and distributed system security symposium) 2011 [0067]
http://eprint.iacr.org/2010/332.pdf [0067]

Claims

Verfahren zum Durchführen eines automatischen Öffnens und/oder Freischaltens der Startmöglichkeit eines Fahrzeugs (12, 12b), enthaltend, Empfangen eines ersten Signals (20, 30) oder einer ersten Nachricht (20, 30), mit dem oder mit der ein automatisches Öffnen und/oder Freischalten eines Fahrzeugs (12, 12b) durchgeführt wird, und abhängig von dem Empfang des ersten Signals (20, 30) oder der ersten Nachricht (20, 30) Erzeugen eines zweiten Signals (28, 40) oder einer zweiten Nachricht (28, 40) für den Fahrer des Fahrzeugs (12, 12b).
Verfahren nach Anspruch 1, enthaltend Prüfen (110, 212), ob innerhalb einer vorgegebenen Zeit ein Abbruchsignal (29, 41) oder eine Abbruchnachricht (29, 41) empfangen wird, das oder die angibt, dass das Öffnen und/oder das Freischalten abgebrochen werden soll, oder ob innerhalb der vorgegebenen Zeit kein solches Abbruchsignal (29, 41) oder keine solche Abbruchnachricht (29, 41) empfangen worden ist, wahlweise Durchführen des Öffnens und/oder des Freischaltens, wenn das Abbruchsignal (29, 41) oder die Abbruchnachricht (29, 41) nicht empfangen worden ist, oder Unterlassen des Öffnens und/oder des Freischaltens, wenn das Abbruchsignal (29, 41) oder die Abbruchnachricht (29, 41) empfangen worden ist.
Verfahren nach einem der vorhergehenden Ansprüche, wobei die vorgegebene Zeit (t) im Bereich von einer Sekunde bis zu 10 Sekunden liegt, vorzugsweise im Bereich von 1 bis 2 Sekunden oder im Bereich von 1 bis 3 Sekunden, und/oder wobei das erste Signal (20, 30) oder die erste Nachricht (20, 30) ein Datum enthält, zu dem der Empfänger (14, 14b) des ersten Signals (20, 30) oder der ersten Nachricht (20, 30) ein Antwortdatum erzeugen soll, insbesondere im Rahmen eines Herausforderungs-Antwort-Verfahren zur Feststellung der Identität des Empfängers (14, 14b) des ersten Signals (20, 30) oder der ersten Nachricht (20, 30).
Verfahren nach einem der vorhergehenden Ansprüche, wobei das zweite Signal (28, 40) ein Tonsignal und/oder ein Vibrationssignal und/oder ein Lichtsignal ist.
Verfahren nach einem der Ansprüche 1 bis 3, wobei das zweite Signal (28, 40) oder die zweite Nachricht (28, 40) an ein Telefon oder an eine Uhr gesendet wird.
Verfahren nach einem der vorhergehenden Ansprüche, wobei eine Plausibilitätsprüfung (108, 116, 206) durchgeführt wird, bei der geprüft wird, ob für ein Fahrzeug (12, 12b) und eine Vorrichtung (14, 14b) zum Öffnen und/oder Starten des Fahrzeugs (12, 12b) gleiche Bedingungen oder Bedingungen in einem gleichen Bereich erfüllt sind.
Verfahren nach Anspruch 6, wobei die Plausibilitätsprüfung (206) vor einem Zeitpunkt (t6, t22) durchgeführt wird, zu dem das zweite Signal (28, 40) oder die zweite Nachricht (28, 40) erzeugt wird, und wobei wahlweise das zweite Signal (28, 40) oder die zweite Nachricht (28, 40) abhängig vom Ergebnis der Plausibilitätsprüfung (206) erzeugt wird, wenn die Plausibilitätsprüfung (206) negativ war, oder wobei bei positiver Plausibilitätsprüfung (206) das zweite Signal (28, 40) oder die zweite Nachricht (28, 40) nicht erzeugt wird.
Verfahren nach einem der vorhergehenden Ansprüche, wobei ein erstes Umgebungsdatum (P1) in oder an dem Fahrzeug (12, 12b) ermittelt wird, insbesondere in einem Abstand (R1, R1b) kleiner als drei Meter, wobei in einer Vorrichtung (14, 14b) zum Durchführen des Verfahrens ein zweites Umgebungsdatum (P2) ermittelt wird, und wobei die beiden Umgebungsdaten (P1, P2) oder beim Fehlen eines Umgebungsdatums (P1, P2) diese Tatsache und das andere Umgebungsdatum (P1, P2) für die Plausibilitätsprüfung (302 bis 306) verwendet werden.
Verfahren nach Anspruch 8, wobei das erste Umgebungsdatum ein Ortsdatum (P1) oder ein Temperaturdatum oder ein Luftdruckdatum ist.
Verfahren nach Anspruch 9, wobei ein Ortsdatum (P1, P2) mit Hilfe eines Satellitensystems und/oder mit Hilfe eines Mobilfunknetzes und/oder mit Hilfe mindestens eines WLAN ermittelt wird.
Verfahren nach einem der Ansprüche 6 bis 10, wobei die Plausibilitätsprüfung (108) nach dem Erzeugen (104) des zweiten Signals (28, 40) oder der zweiten Nachricht (28, 40) durchgeführt wird.
Verfahren nach einem der vorhergehenden Ansprüche, wobei die Plausibilitätsprüfung (116) beim Ausbleiben des Abbruchsignals (29, 41) oder der Abbruchnachricht (29, 41) durchgeführt wird.
Verfahren nach einem der vorhergehenden Ansprüche, wobei das Verfahren zum Öffnen und/oder Starten ohne die Erfassung von Signallaufzeiten oder von Nachrichtenübertragungszeiten durchgeführt wird.
Verfahren zum Durchführen eines automatischen kontaktlosen Zugangs-Vorgangs oder kontaktlosen Bezahl-Vorgangs, insbesondere nach einem der vorhergehenden Ansprüche, wobei wahlweise abhängig vom Auftreten oder Ausbleiben eines Abbruchsignals oder einer Abbruchnachricht an einer mobilen Vorrichtung der Vorgang durchgeführt wird, wenn innerhalb einer vorgegebenen Zeit nach der Erzeugung eines Signals oder einer Nachricht für eine an dem Vorgang beteiligte Person kein Abbruchsignal (29, 41) oder keine Abbruchnachricht (29, 41) erzeugt wird, und wobei der Vorgang nicht ausgeführt wird, wenn die Person das Abbruchsignal (29, 41) oder die Abbruchnachricht (29, 41) innerhalb einer vorgegebenen Zeit erzeugt.
Vorrichtung (14, 14b, 350) zum Durchführen eines automatischen Öffnens und/oder Freischaltens der Startmöglichkeit eines Fahrzeugs (12, 12b), enthaltend, eine Empfangseinheit zum Empfangen eines ersten Signals (20, 30) oder einer ersten Nachricht (20, 30), mit dem oder mit der ein automatisches Öffnen und/oder Freischalten eines Fahrzeugs (12, 12b) durchgeführt wird, und eine Sendeeinheit (S), die abhängig von dem Empfang des ersten Signals (20, 30) oder der ersten Nachricht (20, 30) ein zweites Signal (28, 40) oder eine zweite Nachricht (28, 40) für den Fahrer des Fahrzeugs (12, 12b) sendet.