ISO/SAE 21434 Neuer Standard für Cybersicherheit für die Automobilindustrie

Anbieter zum Thema

Arvato Systems

TXOne Networks

Outpost24 GmbH

Aptiv Services Deutschland GmbH

Angesichts der zunehmenden Vernetzung von Fahrzeugen mit ihrer Umgebung müssen Automobilhersteller für umfassende Sicherheitsmaßnahmen sorgen. Zur effektiven Bewältigung der damit verbundenen Herausforderungen braucht es jedoch einen koordinierten Ansatz der gesamten Branche. Der neue Standard ISO/SAE 21434 ist daher der Schritt in die richtige Richtung.

Die heutigen Cybersecurity-Standards haben ihren Ursprung in der IT-Branche und lassen sich nicht immer auf Anwendungen in der Automobilindustrie übertragen. Denn hier steht die Sicherheit des Fahrers, der Beifahrer und anderer Verkehrsteilnehmer an erster Stelle. Hinzu kommt, dass Fahrzeugtechnologien einen langen Lebenszyklus haben und die Systeme in die Steuergeräte integriert sind.

Damit besteht die Gefahr, dass Hacker die Fahrzeugsysteme über WLAN, Bluetooth oder sogar physisch angreifen. Möglich ist auch, dass sie die Mobilfunkverbindung nutzen, über die Over-the-Air-Updates für Features und Funktionen im Fahrzeug übertragen werden. Möglich wäre auch der Zugriff über Verbindungen mit der städtischen Infrastruktur sowie vernetzte Informationen, die das Infotainment-System liefert. Auch wenn der Mobilfunkzugang enorme Vorteile für den Fahrer bietet: Es besteht das Risiko, dass er zum Einfallstor für Hacker wird.

Strukturierter Prozess

Bisher haben die OEMs und Zulieferer eigene Wege beschritten, um diesbezügliche Bedenken auszuräumen. Es gab noch nicht einmal eine gemeinsame Sprache, um die Cyber-Risiken für verschiedene Fahrzeugfunktionen zu beschreiben. Doch jetzt stehen die International Organization for Standardization (ISO) und die Organisation SAE International kurz vor der Fertigstellung eines Standards, der erstmals einen strukturierten Prozess definiert und damit von Anfang an ein bestimmtes Maß an Cyber-Sicherheit für Fahrzeuge gewährleisten soll.

Der Entwurf des Standards ISO/SAE 21434:2021 (Road vehicles — Cybersecurity engineering) ist in einer Sprache verfasst, in der sich Cyber-Risiken für Systeme und Funktionen in Fahrzeugen über die gesamte Lieferkette hinweg quantifizieren lassen. Unternehmen können damit Maßnahmen vereinbaren, um bestehende Risiken einzudämmen. Und die Industrie kann Produkte entwickeln, die diese Schwachstellen gezielt adressieren.

Risikobewertung

Bei ISO/SAE 21434 gibt es zwei wesentliche Faktoren, um ein Risiko zu bewerten: die Möglichkeit, dass ein Angriff stattfindet, sowie die Auswirkungen einer Attacke. Außerdem wird mit dem neuen Standard das Konzept der Cybersecurity Assurance Level (CAL) eingeführt. Damit lässt sich ermitteln, in welchem Umfang ein bestimmtes System vor Angriffen zu schützen ist. Auf Basis des CAL kann ein Unternehmen seine Cybersecurity-Aktivitäten skalieren – also je nach CAL-Wert mehr oder weniger strenge Sicherheitsmaßnahmen implementieren.

Das Konzept ähnelt dem Automotive Safety Integrity Level (ASIL), der in der Norm ISO 26262 für funktionale Sicherheit spezifiziert wird und Ausfallrisiken bei bestimmten Automobilsystemen ermittelt. Der neue Standard weist daher auch darauf hin, dass die Auswirkungen von Sicherheitsrisiken auf der Grundlage von ISO 26262 zu bewerten sind.

Best Practices für mehr Sicherheit

Zudem enthält ISO/SAE 21434 Best Practices für das Management von Cyber-Risiken über den gesamten Lebenszyklus eines Produkts hinweg. Beschrieben wird die Entdeckung von Schwachstellen an Fahrzeugen, die bereits im Einsatz sind, sowie an Fahrzeugen, die zum Verkauf stehen. Enthalten ist zudem eine Anleitung, wie personenbezogene Daten, die sich möglicherweise noch in den Systemen befinden, zu löschen sind, bevor das Fahrzeug an eine andere Person übergeht.

Mit den Best Practices soll der Standard sicherstellen, dass die Cyber-Sicherheitsmaßnahmen von Anfang an in die Prozesse der Hersteller integriert werden – von der Konstruktion und Entwicklung bis hin zur Fertigung.

Der neue Standard schreibt dem Unternehmen nicht vor, bestimmte Cybersecurity-Technologien oder -Lösungen einzusetzen. OEMs und Zulieferer haben also nach wie vor die Möglichkeit, sich über unterschiedliche Verfahren und Produkte für die Fahrzeugsicherheit zu differenzieren.

Management-System für Cyber-Sicherheit

Unternehmen der gesamten Automotive-Branche haben großes Interesse an ISO/SAE 21434, bekundet. Ansonsten könnten auch die Regierungen Druck auf sie ausüben, den Standard einzuführen. Die Arbeitsgruppe 29 für Europa der Wirtschaftskommission der Vereinten Nationen sieht in dem neuen Standard die Möglichkeit, die europäischen Vorschriften (derzeit bezeichnet als UN-1R55) zu erfüllen. Demnach müssen Fahrzeuge über ein Management-System für Cyber-Sicherheit verfügen. Diese Anforderungen sind bereits genehmigt und sollen in der EU im Sommer 2022 verbindlich werden.

Das Thema Cyber-Sicherheit für Automotive-Anwendungen ist eine enorme Herausforderung für uns alle. Es ist großartig, dass sich Experten auf der ganzen Welt zusammengetan haben, um diese Aufgabe gemeinsam zu stemmen. Die finale Version des Standards soll noch in diesem Jahr veröffentlicht werden.

Über die Autorin: Jada Smith, Global Engineering Director Software Platform, Advanced Safety & User Experience bei Aptiv, ist dafür verantwortlich, die Software-Exzellenz voranzutreiben, die Produkt- und Prozessqualität sicherzustellen und die Wiederverwendung von Softwarelösungen zu erhöhen. Ihre Karriere in der Automobilindustrie begann 2004 als Software-Ingenieurin für Advanced Safety & User Experience bei Aptiv. Anschließend hatte sie mehrere Führungspositionen inne – unter anderem als Global Director of Program Management für Connection Systems.

(ID:47739564)