„Technology is changing mobility“ – so lautet ein zentrales Motto der diesjährigen IAA im September in München.
Dies zeigt einmal mehr: Der Automobilsektor wandelt sich. Fahrzeuge, früher vorwiegend bestehend aus mechanischen Komponenten und Verbrennungsmotoren, werden immer mehr zu Software Defined Vehicles (SDV).
Wie relevant Software für Autos ist, lässt sich auch mit Zahlen veranschaulichen: So umfasst die durchschnittliche Software in einem aktuellen Auto rund 120 Millionen Zeilen Code. Der Tarnkappen-Kampfjet F-35 von Lockhead Martin benötigt etwa 25 Millionen Zeilen, die Boing 787 rund 10 Millionen. Richtig bescheiden nimmt sich das Space Shuttle aus: Mit lediglich 400.000 Zeilen Code beförderte das Raumschiff jahrzehntelang Menschen ins All und wieder zurück.
„Für Fahrerinnen und Fahrer bringt die Digitalisierung der Fahrzeuge eine Reihe von Vorteilen mit sich. Dazu gehört neben einem besseren Fahrererlebnis und mehr Komfort in vielen Fällen auch eine zusätzliche (physische) Sicherheit: der Abstandhalter hilft dabei, Auffahrunfälle zu vermeiden, der Spurhalteassistent greift ein, wenn die Fahrerin oder der Fahrer in einen Sekundenschlaf fällt“, erläutert Marcus Klische, Cybersecurity-Experte bei MHP. Gleichzeitig ergeben sich aus der Digitalisierung aber auch neue Risiken. Immer häufiger werden die hochvernetzten Fahrzeuge Opfer von Cyberattacken.
Neue Vorschriften für mehr Sicherheit
Auch die Gesetzgeber haben dies längst erkannt – und reagieren mit entsprechenden regulatorischen Vorgaben. Oft orientieren sich diese an zwei Richtlinien der United Nations Economic Commission for Europe (UNECE): Die UNECE R 155 verpflichtet Automobilhersteller dazu, ein Cyber Security Management System (CSMS) in ihren Fahrzeugentwicklungsprozess zu integrieren. Die UNECE R 156 verlangt von den OEMs darüber hinaus ein Software Update Management System (SUMS). Ergänzt und konkretisiert werden diese Regeln zudem durch einige einschlägige ISO-Normen.
Das Cyber Security Management System & Security by Design
Ein Cyber Security Management System, ein Kernbestandteil der neuen Sicherheitsarchitekturen, erfüllt – grob skizziert – drei Aufgaben:
- Die Pflicht zum Risikomanagement: Dies umfasst Maßnahmen zur Risikoerkennung, -bewertung und -minderung bezüglich aller denkbaren Cybergefahren.
- Die Pflicht zum Monitoring: Die Automobilkonzerne werden verpflichtet, aktiv nach neuen Bedrohungsszenarien zu suchen und zeitnah auf diese zu reagieren – beispielsweise mit regelmäßigen Software-Updates.
- Die Plicht zur Zertifizierung: Jedes CSMS wird durch ein akkreditiertes Prüfinstitut zertifiziert. In Deutschland gehört zu diesen Instituten beispielsweise der TÜV.
Zusammenfassend steht damit fest: Hersteller und Lieferanten müssen bei der Entwicklung von Fahrzeugen umdenken – weg von einer sequenziellen und hin zu einer vernetzten Arbeitsweise. Marcus Klische: „Ausgangspunkt dafür ist das „Security-by-Design“-Konzept, bei dem die Software-Ingenieur*innen die IT-Architekturen so entwerfen, dass diese alle bereits zum Entwicklungszeitpunkt bekannten Angriffsszenarien berücksichtigt. Gleichzeitig muss sie fähig zu regelmäßigen Software-Updates sein, ohne dabei andere Funktionalitäten des Fahrzeugs zu beeinträchtigen.“
Zeit, zu handeln!
Im Ergebnis zeigt sich, dass jetzt Zeit für einen Wandel ist. Erfahrungsgemäß fällt er aber vielen Herstellern schwer – etwa, da ihnen die Erfahrung beim Aufbau der benötigten IT-Infrastrukturen fehlt. „In Zeiten, in denen Hackerangriffe mehr und mehr zum Alltag werden und Automobilkonzerne neue Geschäftskonzepte wie Abo-Modelle anbieten, führt dies zu vielfachen Risiken“, betont Marcus Klische. „Wir können dabei helfen, diese zu verringern, indem wir unsere Erfahrung beim Aufbau der erforderlichen Infrastruktur einbringen.“
