Die europäische Wirtschaftskommission diskutiert momentan darüber, dass neue UN-Vorgaben für die Cybersecurity bei Fahrzeugen nötig werden. Aufgrund der immer komplexer werdenden Software in neueren Kfz sehen Experten eine erhöhte Angriffsfläche. Wir sehen wieder einmal: mit zunehmender Digitalisierung erhalten wir zwar unzählige neuartige Möglichkeiten, aber auch das Risiko steigt.
Fahrzeuge gehören zum IoT
In unserer stark vernetzten Welt denken wir manchmal gar nicht mehr darüber nach, was tatsächlich so alles zum “Internet der Dinge” gehört. In diesem Beitrag nannten wir nur einige von unzähligen Beispielen. Teilweise steuern wir das ganze Heizungssystem bequem vom Handy aus, während wir nicht zu Hause sind. Ebenso mit dem Smartphone geben wir unserem Kühlschrank bei Bedarf eine Memo für die nächste Einkaufsliste mit. Wir regulieren das Licht oder aktivieren diverse Geräte einfach mit Sprachbefehlen.
Tatsächlich zählen auch Automobile zum IoT, also dem “Internet of Things”. Das gilt jedoch nur, sofern das entsprechende Kfz die passende Technik mitbringt. Kaum ein Auto, das heute erworben wird, enthält nicht mehr die Möglichkeit, es mit dem eigenen Netzwerk – respektive dem Handy – zu verbinden. Paradebeispiel für die smarte Bedienung am Auto ist die Aktivierung der Heizung, ehe der Besitzer einsteigt.
UNECE setzt sich für Kfz Cybersecurity ein
Die europäische Wirtschaftskommission (UNECE) plant die Erstellung detaillierter Vorschriften für Cybersecurity bei Fahrzeugen. Die entsprechende Arbeitsgruppe besteht aus Regierungsvertretern sowie Vertretern der Zivilgesellschaft. Besagte neue Vorgaben zielen darauf ab, spezifische Anforderungen an die Kfz-Hersteller zu definieren.
Cybersecurity bei Kfz bisher ein vernachlässigtes Thema
Experten sind derweil der Ansicht, dass Fahrzeughersteller sich bis dato ausschliesslich auf die Hardware fokussieren. Der Bereich Software und entsprechende Dienste, wie etwa Updates, werden hingegen grob vernachlässigt. Zudem finden bei der Herstellung noch viel zu oft veraltete Codes Anwendung. Dementsprechend kommen grosse Sicherheitslücken einher.
Analysen von Expertenteams ergaben, dass der Unterschied von Kfz in Sachen Cybersecurity im Herstellungsprozess nicht ausreichend Berücksichtigung findet. Das gewöhnliche Auto zählt demnach zwar zum IoT, allerdings darf man es nicht einfach mit anderen Haushaltsgeräten gleichsetzen. Sogar zum herkömmlichen Computer weist das Automobil einen enormen Unterschied auf. Während ein Betriebssystem, beispielsweise Windows, durchschnittlich 35 Millionen Codezeilen aufweist, enthalten einzelne Fahrzeugkomponenten ganze 100 Millionen solcher Codes.
Neue Anforderungen an digitale Fahrzeugsicherheit
Das Team der UNECE sammelte bereits diverse Vorschläge für die neuen Vorgaben. Die EU plant derweil, diese Anforderungen bis Sommer 2022 spruchreif zu machen. Spätestens dann sollen sie also für alle Fahrzeugmodelle verbindlich sein. Einige Länder und Hersteller gehen bereits mit gutem Beispiel voran. In Japan zum Beispiel sollen die neuen Regeln schon in diesem Jahr für Neufertigungen gelten. Auch die USA wollen eine eigene “Version” für neue Sicherheitsvorgaben für Kfz erstellen, immerhin auf Basis der UN-Vorgaben.
Nachfolgend listen wir Ihnen einige der neuen Anforderungen an Kfz Cybersecurity verständlich auf. Den neuen Regelungen zufolge erhält ein Kfz-Hersteller, der die gesetzlichen Ansprüche erfüllt, ein sogenanntes CSMS-Zertifikat.
- Der Autohersteller ist für den gesamten Fertigungsprozess verantwortlich, ebenso für die rechtliche Genehmigung.
- Zusätzlich werden künftig ebenfalls Zulieferer in die Pflicht genommen.
- Alle beteiligten Parteien müssen in der Lage sein, eine vollständige Dokumentation der Systeme, Komponenten und Software bereitzustellen.
- Hinweise auf sogenannte Zero-Day-Exploits und Sicherheitslücken müssen nachverfolgt werden.
- Ein erteiltes Zertifikat für Kfz Cybersecurity hat eine maximale Dauer von drei Jahren.
- Jeder zertifizierte Hersteller weist ein klar definiertes Cybersecurity Management-System (CSMS) auf. Dies beinhaltet die Phasen der Entwicklung, Konstruktion und neuerdings auch Postproduktion.
- Um ein CSMS-Zertifikat überhaupt zu erhalten, muss der Hersteller diverse Nachweise erbringen. Dazu zählen unter anderem:
- ein konkretes Verfahren zur Identifizierung von Cyberrisiken bei Fahrzeugen
- angemessene Beurteilung, Behandlung und Behebung identifizierter Risiken
- Erstellung einer Risikobewertung für jeden Fahrzeugtyp
- Verfahren zur regelmässigen Aktualisierung aller Indikatoren
- ein entsprechendes Monitoring
- Zertifizierte Hersteller weisen abgestellte Kapazitäten für die Einhaltung der CSMS-Vorschriften nach.
- Vorherige Testverfahren sind ebenso unabdingbar.
Fazit zur Cybersecurity bei Kfz
Diese ganzen definierten Prozesse klingen erst einmal nach extrem hohen Ansprüchen, denen Kfz-Hersteller sich nun recht hektisch stellen müssen. Zwei Jahre sind schliesslich keine allzu lange Zeitspanne, wenn man bedenkt, dass ein Grossteil des Prozesses logischerweise der eigentlichen Produktion dient.
Dennoch ist es längst an der Zeit, dass auch Gesetzgeber sich für Cybersecurity einsetzen – und endlich alle Branchen einbeziehen, die im Grunde von Anfang an betroffen waren. Digitalisierung besteht nicht nur aus einem Part, und sie geht auch nicht “alleine”. In einer vernetzten Welt, von der wir ein Teil sind, müssen wir eben diesen Teil auch beitragen.