SDV und Hacker-Angriffe: Was bedeutet die WP.29 konkret?

Vernetztes und autonomes Fahren braucht umfangreiche Sensorik: Autos erheben technische und personenbezogene Daten und werden zu fahrenden Computern - zu Software Defined Vehicles. Diese Computer sind kompromittierbar: Gehackte Autos, die aus der Ferne übers Internet gesteuert werden, sind längst kein Science-Fiction-Szenario aus einem Hollywood-Film mehr. So ließ beispielsweise das Tech-Magazin Wired ein Fahrzeug in den USA zu Testzwecken hacken. Der Fahrer musste hilflos mitansehen, wie er die Kontrolle verlor und Hacker die Steuerung vom Scheibenwischer bis hin zum Motor übernahmen.

ARD-Berichten zufolge nimmt Porsche nun seine Verbrenner wie Macan, Cayman und Boxster vom Markt.  VW tut es gleich mit dem VW up! und dem Transporter T6.1.  Dies liegt darin begründet, dass diese Fahrzeuge die aus der UN-Verordnung (WP.29) abgeleiteten Cybersecurity-Anforderungen nicht rechtzeitig umgesetzt haben. Stichtag hierfür war Juli 2024.  Nur, wenn Fahrzeuge vor diesem Termin produziert, ausgeliefert und zugelassen werden, greifen die neuen Regeln noch nicht. Damit läuft eine Art Schonfrist für bestehende Modelle aus – neu entwickelte Fahrzeuge müssen den Anforderungen bereits seit Mitte 2022 genügen. Für viele der betroffenen Modelle, wie den Kleinwagen VW up! wird es keine direkten Nachfolger geben: Für die Hersteller ist es schlicht zu teuer, die Fahrzeuge nachzurüsten, da hier Kosten in Millionenhöhe pro Fahrzeug anfallen können.

Die UN-Verordnung (WP.29) - in der EU als Richtlinie umgesetzt - macht ganzheitliches End-to-End Risikomanagement während des gesamten Lebenszyklus eines Fahrzeugs verpflichtend. Sie gilt seit diesem Jahr für alle neu produzierten Fahrzeuge. Damit dürfen nur noch Fahrzeuge zugelassen werden, die über ein zertifiziertes Cybersecurity Management System (CSMS) verfügen. Die Anforderungen hierfür definiert die UN-Regulierung R155 zu Cybersecurity Management Systemen: Hersteller müssen Bedrohungen und Schwachstellen aus der Ferne überwachen, Cyberangriffe detektieren und abwehren können. Dafür müssen Fahrzeugsystemdaten übertragen werden, etwa aus Speicherprotokollen und Softwareverhalten, um über den Zustand des Autos im Bilde zu bleiben. Doch ein CSMS ist nicht alles: Damit ein System sicher bleibt, muss es aktualisiert werden können. Das schreibt die UN-Regulierung R156 zu Software Update Management Systemen (SUMS) vor – samt den Vorgaben, die Hersteller bei der Aktualisierung von Fahrzeugsoftware einhalten müssen. Außerdem wird eine Blackbox verpflichtend, die alle Ereignisse mitschneidet und speichert, das Automated Lane Keeping System (ALKS).

Neue Rolle, neue Umsatzpotenziale

Die Sicherheit der Fahrzeuge über Jahre oder Jahrzehnte aufrechtzuerhalten, ist eine schwierige Aufgabe. Gleichwohl stellt sie aber auch eine Chance dar, sofern OEMs ihre Rolle des klassischen Produzenten ablegen, sich zu Software-driven Companies weiterentwickeln und damit neue Umsätze erschließen: weg von den klassischen Geschäftsfeldern Leasing und Wartung hin zu digitalen Diensten über den gesamten Nutzungszeitraum eines Fahrzeugs.

Dabei ist es essenziell, dass OEMs sich als vertrauenswürdige Hüter von Fahrzeugdaten positionieren - als Trust Center. So sichern sie sich nicht nur das Vertrauen der Käufer, sondern auch eine strategische Position mit Wettbewerbsvorteil in der Datenökonomie künftiger Mobilitätssysteme: Tech-Riesen wie Google, Apple oder Microsoft drängen zwar mit Macht auf den Automobilmarkt, haben jedoch ein Imageproblem, was den Datenschutz angeht. Hier können OEMs punkten.

Um Unternehmens- und Fahrzeugdaten (inkl. Kundendaten) zu schützen und die Sicherheit der Fahrzeuge zu gewährleisten, müssen OEMs eine Ende-zu-Ende-Sicht auf Cyber-Security einnehmen. Diese hat vier Säulen: eine übergeordnete Strategie, Security-by-Design in der Entwicklung, die Produktion, die nun als Teil der Sicherheitskette wahrgenommen wird und nicht zuletzt die Sicherheit auf den Straßen.

Im ersten Schritt wird Sicherheit auf Unternehmensebene betrachtet. Es werden Bedrohungen und Schwachstellen sowie die daraus potenziell vorliegenden Risiken identifiziert. So entsteht Klarheit über mögliche Angriffswege und -ziele. Auf dieser Basis wird eine Cybersecurity-Strategie entwickelt und mittels einem Cybersecurity Management System (CSMS) implementiert. Hinsichtlich der Organisation sind Sicherheitsrichtlinien sowie die Definition von klaren Rollen und Verantwortlichkeiten notwendig. So entsteht ein funktionierendes Risikomanagement, das reaktionsfähig macht.

Wie kann Security-by-Design die Entwicklung absichern?

Automobilhersteller benötigen schon während der Entwicklung einen Security-by-Design-Ansatz. Sicherheit wird damit zum Kernprinzip der Architektur – und genauso wichtig wie die Geschäftsstrategie oder die Marktanforderungen. Die zahlreichen Beteiligten wie Systemarchitekten, Entwickler oder Zulieferer müssen hier mitziehen. Rollen und Verantwortlichkeiten in der Projektentwicklung müssen definiert werden; notwendig sind durchdachte Prozesse für die Entscheidungsfindung und ein klarer Eskalationspfad.

Für die Entwicklung von Sicherheits-Features werden auf Basis von Kenntnissen der Bedrohungslage Sicherheitsrisiken identifiziert. Überschreiten diese ein akzeptables Level, müssen sie gemindert werden. Das gelingt mit der Security-by-Design-Architektur und dezidierten Sicherheitsmechanismen wie der Verschlüsselung des Datenaustauschs. Strenge Soft- und Hardware-Tests stellen sicher, dass alle Sicherheitsmaßnahmen und die Produktfunktionalität geprüft werden. Dazu gehören zum Beispiel automatisches Vulnerability Scanning, manuelle Code-Reviews, Fuzz-Testing und Penetrationstests als externe Verifizierung der Produktsicherheit. Wichtig ist, dass auch Zulieferer den Security-by-Design-Ansatz einhalten.

Sicherheit setzt sich dann in der Produktion fort: Nun wird z.B. Kryptographie ins Fahrzeug integriert – private Schlüssel und Zertifikate, um Verschlüsselung und Authentifizierung beim Datentransport zu gewährleisten.  Diese Integration ist gerade angesichts der verschiedenen Zulieferer, die Fahrzeugteile bereitstellen, komplex. Hinzu kommt, dass nicht immer State-of-The-Art-Technologie verbaut wird. OEMs dürfen ferner die Cybersicherheit in Fabriken und Produktionsstätten als weiteren Faktor nicht vergessen: Kommt es zu durch Cybersecurity bedingten Unterbrechungen in der Produktion, kann das die Sicherheit der Fahrzeuge im Bau beeinträchtigen.

Cyberangriffe proaktiv abwehren

Nun muss ein softwaredefiniertes Fahrzeug mit vernetzten und teilautomatisierten Fahrfunktionen auch nach dem Kauf weiterhin sicher sein. Deswegen ist eine kontinuierliche Codeverbesserung und -aktualisierung notwendig. Ein Software Update Management System (SUMS) ermöglicht diese Updates over-the-air. Es identifiziert die Software, gewährleistet die Kompatibilität von Updates und deren Sicherheit. Neben den Updates müssen Strategien erarbeitet werden, um Cybersicherheitsvorfälle schnell zu erkennen und unmittelbar darauf reagieren zu können. Das bedeutet, dass Überwachung und Angriffsprävention sowohl onboard als auch offboard notwendig sind. Eine große Herausforderung besteht darin, dass all dies geschehen muss, ohne die Funktionen fahrender Fahrzeuge zu beeinträchtigen – eine neue Phase der Postproduktion. Das macht Sicherheitsteams mit Krisenmanagementfähigkeiten notwendig, um bei einem etwaigen Vorfall organisatorische und technische Maßnahmen einzuleiten sowie ad hoc Berichtspflichten einzuhalten.

Die Datenströme von Software Defined Vehicles stellen ein attraktives Ziel für Hacker dar. Der Gesetzgeber macht Autoherstellern deswegen scharfe Vorgaben für die Cybersicherheit: Sie muss Ende-zu-Ende durchdacht und von der Entwicklung des Fahrzeugs bis zu seiner Verschrottung gewährleistet sein. Das gelingt mit einem Security-by-Design-Ansatz, einer sicheren Produktion und Postproduktion, wenn das Fahrzeug beim Kunden ist. (na)