Sicherheit im Connected Car Bessere Cybersecurity für Software Defined Vehicles

Moderne Pkw werden auf vielfältige Weise durch Software unterstützt. Für Fahrerinnen und Fahrer bieten sie dadurch unter anderem mehr Sicherheit, Komfort und Update-Funktionalitäten. Gleichzeitig führt ihre vernetzte IT-Infrastruktur aber zu einer höheren Komplexität sowie Verletzlichkeit gegen Software-Probleme oder gar Hackerangriffe.

Welche potenziellen Risiken bestehen, zeigt schon ein einfacher Vergleich: Während die IT-Architekturen aktueller Flugzeugmodelle, etwa die Boeing 787 oder der Airbus A350, auf rund 12 Millionen Zeilen Sourcecode zurückgreifen, sind es bei typischen Software Defined Vehicles (SDVs) ungefähr 120 Millionen Zeilen – sprich: Faktor zehn.

Hinzu kommt ein hoher Vernetzungsgrad: SDVs sind so konzipiert, dass sie eine Vehicle-to-Everything-Kommunikation (V2X) erlauben und daher leichtgängig mit intelligenter Verkehrsinfrastruktur – beispielsweise Verkehrsleitsystemen – oder auch mobilen Devices kommunizieren können. Für Fahrerinnen und Fahrer bedeutet dies alles eine erhöhte physische Sicherheit und zusätzliche Komfortoptionen. Gleichzeitig entstehen allerdings neue Einfallstore für Cyberangriffe.

SDVs und Cyber Security – auch eine Aufgabe für die Gesetzgeber

Um diese zu verhindern, setzen Fahrzeughersteller auf komplexe Cyber-Security-Konzepte. Regelungen dafür finden sie in diversen internationalen, europäischen und nationalen Vorgaben. Besonders hervorzuheben sind dabei die zwischenstaatlichen Vorgaben, da gerade diese den Automobilherstellern eine globale (oder im ersten Schritt zumindest europäische) Marktharmonisierung erlauben und ihnen so ausreichend große Marktvolumina für Skaleneffekte und überschaubare Kosten bieten.

Internationale Marktregulierung: Einstieg in ein globales Marktdesign?

Die UNECE (United Nations Economic Comission for Europe) sieht dafür zwei zentrale Regeln vor:

• die UN-Regulation 155 (R155) zu Cyber-Security-Management-Systemen (CSMS) sowie

• die UN-Regulation 156 (R156) zu Software-Updates.

Beide Regeln sind dabei eng aufeinander abgestimmt. Diese Vorgabe verpflichtet Unternehmen dazu, für alle fahrzeugbezogenen Maßnahmen eine firmeninterne, organisatorische Plattform zu schaffen, auf der sie die gesamten Cyber-Security-Aktivitäten bündeln. Die Bestimmung zu regelmäßigen Software-Updates dient ergänzend dazu, die Sicherheitsinfrastruktur laufend zu aktualisieren und auf neue Bedrohungsszenarien anzupassen.

Ein zentraler Vorteil der UNECE-Regelungen ist, dass sie Ansätze für ein internationales Marktdesign schaffen. Dieses reicht sogar weit über den Anwendungsbereich des EU-Rechts, da nicht alle an der UNECE beteiligten Staaten gleichzeitig auch EU-Mitglieder sind (z. B. Japan, Korea). Als UN-Tochter kann die UNECE perspektivisch so leichter zu weltweit einheitlicheren Marktregeln beitragen.

Ein Nachteil der beiden Resolutionen ist allerdings, dass sie eher weich – sprich: generisch – formuliert sind. Sie regeln so primär das „Was“, weniger das „Wie“. Eine gute Ergänzung bietet daher die Internationale Organisation für Normung (ISO) den Automotive-Unternehmen mit der ISO-Norm ISO/SAE 21434, in der sie den prozessualen Aufbau der CS in der Fahrzeugentwicklung näher definiert, sowie mit der ISO-Norm PAS 5112, nach deren Vorgaben Unternehmen die entsprechenden Systeme zertifizieren lassen können. Damit bieten sie zumindest teilweise eine wichtige Orientierungshilfe. Dennoch deckt auch diese nicht alle Anforderungen ab: So bezieht sich die UN-Regulation R155 auf das komplette Ökosystem des Fahrzeugs – einschließlich Backend und Produktion –, während sich die ISO/SAE-Norm 21434 auf die Fahrzeugentwicklung beschränkt.

Ein europäischer Binnenmarkt für SDVs

Die Verordnung (EU) 2018/858 (sowie folgend EU 2022/2236) verpflichtet die OEMs schon heute zu weitgehenden Cyber-Security-Vorkehrungen, wenn sie neue Fahrzeugtypen genehmigen lassen wollen. Zuletzt liefen hier einige Übergangsfristen aus, die den Unternehmen eine Karenzzeit für die Umstellung verschafften: In der Konsequenz verloren einige Modelle prompt das Recht auf Neuzulassung.

Künftig wird ferner die NIS-2-Richtlinie verbindliche Mindeststandards zum Thema Cyber Security auf dem europäischen Markt festlegen. Dazu beinhaltet sie unter anderem enge Vorgaben, um die kritische Infrastruktur abzusichern: Neben der medizinischen Versorgung umfasst diese auch die Wasser- und Energieversorgung sowie den gesamten Verkehrssektor – einschließlich der Ladeinfrastruktur für E-Mobilität. Zudem sieht die Richtlinie, die nach aktueller Planung am 18. Oktober 2024 in Kraft treten soll, verpflichtend regelmäßige Risiko-Assessments vor. Teilweise überschneidet sich NIS-2 damit zu ohnehin bestehenden Regelungen, ist anders als diese allerdings branchenübergreifend gültig.

Wie aus Gesetzen Prinzipien erwachsen

Auf den ersten Blick wirkt die Vielzahl der Regelungen erschreckend. Im Kern ist dies aber eine Folge der unterschiedlichen Regulierungsebenen. Oft überschneiden und ergänzen sich diese. Im Ergebnis verdichten sie sich so zu wenigen, zentralen Prinzipien, Vorgaben und Konzepten, an denen sich die Unternehmen in der praktischen Arbeit sehr gut orientieren können. Zu nennen sind dabei insbesondere:

• Der Security-by-Design-Ansatz: Dieser Ansatz verpflichtet die OEMs, Cyber Security in den Mittelpunkt ihrer Fahrzeugentwicklung zu stellen. Sicherheitsrelevante Aspekte sollen die Ingenieurinnen und Ingenieure beim Design neuer Fahrzeuge somit von Beginn an mitdenken. Ausgangspunkt dafür sind Risikobewertungen von Expertinnen und Experten, Studien über typische Bedrohungsszenarien, bisherige Erfahrungen oder auch fingierte Hackerangriffe unter kontrollierten Bedingungen. Aufbauend darauf können die Hersteller die Sicherheitsarchitektur anpassen – etwa softwareseitig oder durch den Einsatz End-to-End-basierter Verschlüsselungsverfahren bei der potenziellen Gefahr von nicht legitimierten Drittzugriffen (Man-in-the-Middle-Angriff).

• Das Lifecycle-Management-Konzept: Anders als klassische Automobile sind SDVs komplexe, IT-gestützte Maschinen. Unkontrolliert können sie im schlimmsten Fall auch unbeteiligte Dritte gefährden. Leider können die Hersteller aber nicht jedes mögliche Risiko vorausahnen. Daher müssen sie die Sicherheit über den gesamten Produktlebenszyklus hinweg garantieren und dazu neue Bedrohungsszenarien proaktiv monitoren. Werden diese bekannt, sind sie verpflichtet, unverzüglich zu handeln und Sicherheitslücken zu schließen – beispielsweise über Software-Updates. Zusätzliche Relevanz gewinnt ein proaktives Monitoring ferner durch die Pflicht zu regelmäßigen Risiko-Assessments gemäß der NIS-2-Richtlinie sowie der UN-Regulation R155.

• Das Zero-Trust-Prinzip: In der EU bestehen durch die DSGVO und den EU-Data-Act enge Vorgaben für Datenschutz und -sicherheit. In Anlehnung an das Recht zur informationellen Selbstbestimmung können Fahrende daher prinzipiell selbst entscheiden, welche Daten sie teilen wollen – sofern Gesetze hier keine spezifischen Ausnahmen formulieren. Es gilt der Grundsatz des Privacy-by-Design. Der Datenaustausch zwischen Fahrzeug und Dritten muss daher verschlüsselt erfolgen. Ergänzend empfiehlt sich zudem das Zero-Trust-Prinzip. Jeder Zugriff gilt dabei so lange als riskant, bis das Gegenteil nachgewiesen ist. Erst nach einer Authentifizierung wird ein Zugriff daher freigegeben und durch das System verarbeitet. Soll ein E-Fahrzeug beispielsweise mit einer Ladesäule verbunden werden, muss die Fahrerin oder der Fahrer diese Verbindung durch ein Passwort und einen zweiten Faktor (die festgelegte Antwort auf eine Frage, eine TAN usw.) verifizieren. Eine Grenze findet dieser Ansatz allerdings dort, wo die Authentifizierung die physische Sicherheit der Fahrzeuginsassen gefährdet. Registriert das Fahrzeug beispielsweise über die verbaute Sensorik einen schweren Unfall, sollte es im Zweifel auch ohne Authentifizierung den Notdienst verständigen und Standortdaten übermitteln dürfen.

CSMS, DevSecOps und Tisax – keine Angst vor neuen Begriffen!

Von den Details entkleidet, offenbaren die regulatorischen Vorgaben essenzielle Leitprinzipien für die praktische Arbeit. Die schwierige Aufgabe für Hersteller und Zulieferer stellt somit in erster Linie der Aufbau eines Cyber-Security-Management-Systems und der begleitenden (Kommunikations-) Infrastruktur dar – gerade wegen der hohen Detaildichte. Daher empfehlen wir Herstellern und Zulieferern grundsätzlich, dies durch spezialisierte Expertinnen und Experten begleiten zu lassen.

Im Tagesgeschäft erfordert der Trend zu SDVs dagegen vor allem einen Mentalitätswandel in der Automobilindustrie: weg vom reinen Produktverkauf und hin zu kontinuierlichen Service-Leistungen und -Prozessen. Die Automobilindustrie kann dafür auf einen weiten Fundus zur IT-Projekt-Methodik zurückgreifen. Um eine enge, schnelle und sichere Kommunikation zwischen Risiko- und Systemtestern sowie Software­entwickelnden zu ermöglichen, stehen ihnen so beispielsweise praxiserprobte DevSecOps-Konzepte zur Verfügung.

Auch für eine sichere und DSGVO-konforme Kommunikation sowie den engen Informationsaustausch, für die reibungslose Kooperation zwischen Zulieferern, OEMs und anderen Beteiligten, hat der Verband der deutschen Automobilindustrie (VDA) mit TISAX (Trusted Information Security Assessment Exchange) unlängst ein zertifiziertes Prüfverfahren etabliert, mit denen Unternehmen ihre Informationssicherheit-Management-Systeme zuverlässig evaluieren können. Der VDA liefert damit zusätzlichen Support für die IT-Abteilungen der Automobilindustrie.

Dennoch: Der Wandel auf vielen Ebenen in der Automobilindustrie fällt den Unternehmen schwer. Immerhin handelt es sich um eine der traditionsreichsten Industrien überhaupt. Sie hat aber mehr als einmal bewiesen, dass sie dazu in der Lage ist. Mit der vielfach möglichen Unterstützung wird sie sich auch dieses Mal weiterentwickeln.

Über den Autor: Marcus Klische ist Experte für Cyber Security bei MHP.

(ID:50195866)