IT-Sicherheit: OEMs benötigen Strategien und Security-by-Design

Autos sind heute hochkomplexe, fahrende IT-Systeme. In der zukünftigen Smart-Mobility-Welt autonomer Fahrzeuge werden sie Teil eines hochgradig vernetzten Internets. Hersteller sind gefordert, einen besonderen Fokus auf die Sicherheit von Fahrzeugen – egal ob autonom oder nicht – zu legen. Nicht nur der Endkunde, sondern auch die Gesetzgeber fordern Cybersecurity-Management-Systeme (CSMS), die in der Lage sind, Risiken zu erkennen, zu berichten und adäquate Gegenmaßnahmen einzuleiten.

Ohne die Zertifizierung eines solchen, genau spezifizierten Systems können schon jetzt keine neuen Fahrzeugtypen mehr registriert und ab 2024 nicht mehr homologiert und verkauft werden. Die Wirtschaftskommission der Vereinten Nationen für Europa (UNECE) macht mit der Verordnung WP.29 TF-CS/OTA genaue Vorgaben, welche Sicherheitsvorkehrungen in einem Fahrzeug implementiert sein müssen. Die Autoindustrie hat sich mit dem ISO/SAE 21434 selbst einen Standard erarbeitet, um die Cyberrisiken erfolgreich zu begrenzen.

Alle Fahrzeuge sind online

Die Digitalisierung aller Komponenten eines Fahrzeugs und die hochgradige Vernetzung mit allen internen Komponenten, einer Back-End-IT und dem Internet verändert alles: IT und OT (Operation Technology) sind nicht mehr getrennt. Früher konnten Autohersteller davon ausgehen, dass die OT-Komponenten elektrisch und elektronisch vom Rest der Welt getrennt waren („air-gapped“). Heutzutage gilt das nicht mehr; jetzt muss jegliche Technik im Auto digital kommunizieren. Das erledigt Software, die wiederum aus diversen Modulen besteht, die wiederum mit großer Wahrscheinlichkeit Schwachstellen aufweisen. Schwachstellen die, während der Lebenszeit der Fahrzeuge, gesucht, erkannt und beseitigt werden müssen.

Fahrzeughersteller mussten sich daher in jüngster Zeit vom ingenieurgetriebenen Hardwareunternehmen zu Software-Entwicklungsfirmen wandeln. Die Absicherung großer Software-Systeme gegen Angriffe ist allerdings eine herausfordernde Aufgabe, die Spezialsysteme erfordert und nicht „mit ein bisschen Verschlüsselung und VPN“ zu regeln ist. Hier spielen etwa Intrusion-Detection-Systeme (IDS), Zero-Trust-Konzepte und ein umfassendes Software-Lifecycle-Management wichtige Rollen, um das Fahrzeug selbst und das umgebende Smart-Mobility-Netzwerk zu schützen.

Angriffspunkte aktueller Fahrzeuge

Es gibt viele sogenannte Angriffsvektoren, um Teilsysteme eines Fahrzeugs oder verbundener Systeme zu kompromittieren:

• Die Täuschung und das Stören von Sensoren (Kameras, Lidar, Radar)
• Das Einschleusen oder der Austausch von Komponenten im Fahrzeug durch kriminelle Kräfte
• Der Angriff über Funkschnittstellen (WLAN, Bluetooth, Funkschlüssel, Mobilfunk), vernetzte Geräte (wie Smartphones) oder die Lade-Infrastruktur bei Elektrofahrzeugen
• Das Infiltrieren von Back-End-Systemen, die mit dem Fahrzeug verbunden sind (um Dienste bereitzustellen oder, im Falle von autonomen Fahrzeugen, diese zu steuern und Daten auszuwerten).

Jegliche Systeme im Fahrzeug, die Daten von anderen Systemen im oder außerhalb des Fahrzeugs erhalten, müssen diese auf Echtheit und Validität prüfen. Bei Unstimmigkeiten müssen in Echtzeit Entscheidungen getroffen werden ‒ bei (teil-)autonomen Fahrzeugen kann das sonst in Sekunden zu kritischen Situationen führen.

End-2-End-Architektur und Lifecycle-Management

Eine besondere Herausforderung ist die lange Lebenszeit von Fahrzeugen. Diese sind oftmals 20 Jahre auf der Straße. Im Laufe dieser Zeit werden Schwachstellen von Software-Komponenten bekannt, auf die die Hersteller reagieren müssen. Das ist keine Kleinigkeit, da viele Fahrzeugkomponenten mittlerweile einen starken Software-Fokus haben und die Betriebssoftware dieser Komponenten oft aus vielen verschiedenen Modulen bestehen. Es gilt also die Sicherheit von hunderten bis tausenden Software-Modulen zu managen. Dazu gehört eine Risiko-Einschätzung und – im Falle einer größeren Gefahr – ein Verfahren, wie die Schwachstelle behoben und die bereinigte Software in die Fahrzeuge eingespielt werden kann (möglichst ohne Werkstattbesuch). Autohersteller brauchen daher ein ausgefeiltes Schwachstellen-Management.

Software und deren Entwicklung muss deshalb über den gesamten Lebenszyklus, also End-2-End, gedacht werden. Dazu gehört eine Update-Funktionalität, der Einsatz von sicheren, normierten Schnittstellen und ein Secure-by-Design-Ansatz, der alle relevanten Angriffsszenarien schon bei der Entwicklung berücksichtigt. Das bedeutet, dass in der Kommunikation ein Zero-Trust-Ansatz zu implementieren ist, bei dem grundsätzlich alle Daten zwischen Fahrzeugkomponenten klassifiziert und entsprechend zielgerichtet authentisch und eventuell verschlüsselt übertragen werden. Zudem muss kryptographisch sichergestellt sein, dass nur vertrauenswürdige Komponenten Daten austauschen können. Grundsätzlich ist auch ein Intrusion Detection System notwendig, dass erkennt, wenn ungewöhnliche Geräte im Fahrzeugnetzwerk auftauchen oder plötzliche Kommunikations- oder Geräteanomalien darauf hindeuten, dass ein Angreifer sich Zugang verschafft hat.

Hersteller können sich nicht länger darauf verlassen, dass ihre Zulieferer das Thema Sicherheit irgendwie berücksichtigen, sondern müssen selbst eine End-2-End-Sicherheitsarchitektur entwerfen und kohärent durchsetzen. Diese muss einem Gesamtkonzept folgen, das Angriffe nicht nur bemerkt, sondern auch automatisch auf diese reagieren oder sogar beheben kann.

Fleet-Control-Systeme nicht vergessen

Aber nicht nur die Fahrzeuge selbst stellen lohnende Angriffsziele dar: Wenn Autos erst einmal autonom fahren können, rücken Flotten-Control-Systeme (FCS) in den Fokus von Angreifern, weil sich darüber gleich tausende Fahrzeuge beauftragen oder missbrauchen lassen. Ein (noch harmloses) Beispiel war dafür die sinnlose Zusammenkunft von mehr als 30 autonomen Taxis der Firma Cruise auf einer Kreuzung in San Francisco 2022. Einige Fahrzeuge ließen sich remote nicht aktivieren – sie wurden abgeschleppt. Offenbar hat eine Software-Manipulation dazu geführt, dass „ein Spaßvogel“ die Taxis alle zu einer Kreuzung beordert hat. Es wären aber auch andere Angriffe denkbar, wie etwa das plötzliche Ausschalten von Fahrzeugen auf einer belebten Autobahn.

Die Angriffspunkte beim Flottenmanagement sind ungleich höher: Hierbei geht es nicht nur um die technische Absicherung der Kommunikation und der Anbindung ans Internet, sondern auch die Sicherheit der Server und nicht zuletzt der Mitarbeitenden im Fleet-Control-Center (FCS). Da ein FCS ständigen und direkten Kontakt mit seinen Fahrzeugen hält, könnte schon ein Data-Overload oder die gezielte Manipulation von Funkprotokollen zu Fehlern in den Fahrzeugen führen. Schlimmer noch wäre eine Infizierung der Fahrzeuge mit Malware aus dem FCS. Der Reputationsschaden wäre enorm, wenn alle Fahrzeuge einer Marke oder Fahrzeugtyps plötzlich die Insassen oder andere Verkehrsteilnehmer gefährden.

FCS müssen deshalb wie Hochsicherheitsrechenzentren gesichert sein und entsprechende Vorkehrungen gegen Angriffe treffen. Das gilt auch für die redundante Anbindung ans Internet, Backup-Rechenzentren, Notstromversorgung, regelmäßige Sicherheits-Audits und Überprüfung der Mitarbeiter.

Erfahrene Security-Partner notwendig

Unternehmen, deren Schwerpunkt bisher auf ingenieurstechnischen Entwicklungen lagen, fehlt häufig das Know-how, um die umfangreichen und notwendigen Sicherheitsmaßnahmen bei der Fahrzeugentwicklung zu implementieren. Da die Sicherheitsvorkehrungen aber tief in die Fahrzeug-IT zu integrieren sind, brauchen OEMs Partner, die sowohl alle Security-Herausforderungen als auch technischen Konzepte und Plattformen in der Autoindustrie kennen. Cymotive Technologies hat sich auf die Cyber-Sicherheit bei der Fahrzeugentwicklung spezialisiert und berät und entwickelt Sicherheitssoftware für international tätige Automobilhersteller. (na)