Die europäische Wirtschaftskommission diskutiert derzeit, ob neue UN-Vorgaben für die Cybersecurity bei Fahrzeugen nötig werden. Aufgrund immer komplexerer Software in neueren Kfz sehen Fachleute eine wachsende Angriffsfläche. Das Muster kennen wir: mehr Digitalisierung bringt neue Möglichkeiten — und neue Risiken.
Fahrzeuge gehören zum IoT
In einer stark vernetzten Welt verliert man schnell den Überblick, was alles zum „Internet der Dinge“ gehört. In diesem Beitrag haben wir einige Beispiele aufgeführt. Du steuerst die Heizung vom Handy aus, gibst dem Kühlschrank eine Einkaufsliste mit, regelst Licht und Geräte per Sprachbefehl.
Auch Autos gehören zum IoT — vorausgesetzt, sie bringen die passende Technik mit. Kaum ein Neuwagen lässt sich heute nicht mit dem eigenen Netzwerk oder dem Smartphone verbinden. Das bekannteste Beispiel: die Heizung vorwärmen, bevor du einsteigst.
UNECE setzt sich für Kfz Cybersecurity ein
Die europäische Wirtschaftskommission (UNECE) arbeitet an detaillierten Vorschriften für Cybersecurity bei Fahrzeugen. Die zuständige Arbeitsgruppe setzt sich aus Regierungsvertreterinnen und -vertretern sowie Vertreterinnen und Vertretern der Zivilgesellschaft zusammen. Ziel ist es, konkrete Anforderungen an Kfz-Hersteller zu definieren.
Cybersecurity bei Kfz bisher ein vernachlässigtes Thema
Fachleute beobachten, dass sich Fahrzeughersteller bislang fast ausschliesslich auf die Hardware konzentrieren. Software und zugehörige Dienste — etwa Updates — bleiben dabei oft auf der Strecke. Hinzu kommt: In der Fertigung kommen noch zu häufig veraltete Codebasen zum Einsatz. Das Ergebnis sind erhebliche Sicherheitslücken.
Analysen von Expertenteams zeigen, dass Cybersecurity im Kfz-Herstellungsprozess bisher kaum systematisch berücksichtigt wird. Ein Auto ist zwar Teil des IoT — lässt sich aber nicht einfach mit einem Haushaltsgerät gleichsetzen. Selbst ein herkömmlicher Computer ist ein schwacher Vergleich: Ein Betriebssystem wie Windows kommt auf rund 35 Millionen Codezeilen. Einzelne Fahrzeugkomponenten enthalten bis zu 100 Millionen.
Neue Anforderungen an digitale Fahrzeugsicherheit
Das UNECE-Team hat bereits diverse Vorschläge erarbeitet. Die EU will diese Anforderungen bis Sommer 2022 verbindlich machen — für alle Fahrzeugmodelle. Einige Länder und Hersteller machen es vor: In Japan gelten die neuen Regeln bereits für Neufertigungen. Die USA arbeiten ebenfalls an eigenen Sicherheitsvorgaben für Kfz — auf Basis der UN-Vorgaben.
Hier ein Überblick über die wichtigsten neuen Anforderungen. Wer sie erfüllt, erhält ein CSMS-Zertifikat:
- Der Autohersteller trägt Verantwortung für den gesamten Fertigungsprozess — einschliesslich der rechtlichen Genehmigung.
- Künftig werden auch Zulieferer in die Pflicht genommen.
- Alle beteiligten Parteien müssen eine vollständige Dokumentation von Systemen, Komponenten und Software vorlegen können.
- Hinweise auf Zero-Day-Exploits und Sicherheitslücken müssen nachverfolgt werden.
- Ein CSMS-Zertifikat gilt maximal drei Jahre.
- Jeder zertifizierte Hersteller betreibt ein klar definiertes Cybersecurity Management-System (CSMS) — über Entwicklung und Konstruktion hinaus jetzt auch in der Postproduktion.
- Für das Zertifikat sind diverse Nachweise erforderlich, darunter:
- ein konkretes Verfahren zur Identifizierung von Cyberrisiken
- angemessene Beurteilung, Behandlung und Behebung erkannter Risiken
- eine Risikobewertung für jeden Fahrzeugtyp
- Verfahren zur regelmässigen Aktualisierung aller Indikatoren
- ein entsprechendes Monitoring
- Zertifizierte Hersteller weisen dedizierte Kapazitäten für die Einhaltung der CSMS-Vorschriften nach.
- Testverfahren vor der Zertifizierung sind verpflichtend.
Was diese Anforderungen für die Branche bedeuten
Diese Anforderungen sind hoch — keine Frage. Zwei Jahre sind eine enge Zeitspanne, wenn man bedenkt, dass der Grossteil des Prozesses der eigentlichen Produktion gilt.
Trotzdem: Es war längst überfällig, dass auch der Gesetzgeber Cybersecurity in alle betroffenen Branchen trägt. Digitalisierung ist kein einzelnes Thema, und sie funktioniert nicht im Silo. Wer Teil einer vernetzten Welt ist, muss auch seinen Teil dazu beitragen.