Digitalisierung und UN-Regulierung: Cybersicherheit als kritischer Erfolgsfaktor in der Automobilbranche

Durch zunehmende Digitalisierung und wachsende Zahl an veröffentlichten Hacks ist die Cybersicherheit von Fahrzeugen in den Fokus von Verbrauchern, Unternehmen und Regulatoren gelangt. In der Folge laufen weltweit Bestrebungen, Cybersicherheit zu regulieren und zu standardisieren, um Vertrauen und einen angemessenen Schutz zu erhalten. Die neuen Anforderungen stellen für die gesamte Branche einen Paradigmenwechsel dar: Die Typgenehmigung von Fahrzeugen wird künftig an die angemessene Implementierung eines Cyber Security-Managementsystems (CSMS) geknüpft sein. Damit wird die schnelle, risikoangepasste und konforme Umsetzung der Produktsicherheit zu einem zentralen Aspekt der Wettbewerbsfähigkeit von Herstellern und Zulieferern.

Die Anzahl und Reichweite möglicher Angriffsszenarien auf Fahrzeuge nimmt drastisch zu. Das Risiko nicht ausreichend geschützter Fahrzeuge für Hersteller, Besitzer und Verkehrsteilnehmer zeigt sich immer deutlicher. Ein wesentlicher Grund liegt in der wachsenden Angriffsfläche durch zunehmende Digitalisierung und Konnektivität der Fahrzeuge. Aufgrund der hohen Komplexität sowohl der Produkte als auch der Lieferkette im Automobilbereich müssen Cyberrisiken über den gesamten Lebenszyklus eines Fahrzeuges von Konzeption und Entwicklung bis zu Produktion und Betrieb sowie Cyber Security-Abhängigkeiten von Lieferanten und Dienstleistern betrachtet und fortlaufend behandelt werden.

Cybersicherheit im automobilen Ökosystem

Um das Vertrauen in die Cybersicherheit aufrechtzuerhalten, bedarf es einer genauen Analyse der Teilnehmer im automobilen Ökosystem und ihres jeweilig notwendigen Beitrags zu einem angemessenen Schutzlevel. Dieser Level muss durch technische und organisatorische Maßnahmen untermauert werden: Zum einen müssen in den Produkten selbst Vertrauensanker implementiert sein, bspw. Hardware Security Module oder Trusted Execution Environments; zum anderen kann über Audits und Zertifizierungen das Vertrauen in die Fähigkeiten der Zulieferer und Hersteller gestärkt werden.

Das komplexe Automobil-Ökosystem mit seinen vielen Beteiligten und Wechselwirkungen aus Security-Sicht.

Neue Vorgaben für Cybersicherheit von Fahrzeugen

Weltweit laufen daher Bestrebungen, Cybersicherheit weiter zu regulieren, zu standardisieren und einen ganzheitlichen Ansatz im Umgang mit den entsprechenden Risiken zu fordern. So gibt es Gesetzesinitiativen in allen wesentlichen Märkten, von den USA über die EU bis hin zu China und Japan. In all diesen Regulierungen lassen sich drei wesentliche Trends erkennen:

  • Eine stärkere Konkretisierung von Cybersicherheit auf Spezifika der Automobilindustrie,
  • die Anforderung, die Sicherheit der Fahrzeuge im Feld aufrechtzuerhalten, sowie
  • der zunehmend verpflichtende Charakter der Vorgaben und deren Überprüfung zum Zeitpunkt der Typgenehmigung.

Diese Trends manifestieren sich insbesondere in der aktuellen regulatorischen Initiative der UNECE WP.29 TF-CS/OTA und der kommenden Norm ISO/SAE 21434, die explizite Managementsysteme zum Schutz von Fahrzeugen definieren.

Im Spannungsfeld zwischen Zeitdruck und Ungewissheit

Die Automobilindustrie hat seit dem JeepHack 2015 den Schutz von Fahrzeugen zwar verstärkt, mit der UN-Regulierung und dem neuen ISO/SAE-Standard jedoch wird Cybersicherheit über den unverbindlichen Status hinauswachsen und zur Voraussetzung für die Geschäfts- und Wettbewerbsfähigkeit von Herstellern und Zulieferern. Dabei bewegen sich die Unternehmen in einem Spannungsfeld zwischen dem Zeitdruck, die Anforderungen bis zur Typgenehmigung neuer Fahrzeugtypen ab 2022 umzusetzen, und der Ungewissheit, wie die finalen Vorgaben der Regulatoren für ein angemessenes CSMS im Detail aussehen werden. Die Norm ISO/SAE 21434 als wesentlicher Baustein und Orientierung für ein angemessenes Managementsystem zum Schutz von Fahrzeugen wird erst Ende 2020 in einer finalen Version vorliegen. Unternehmen müssen aber spätestens jetzt ihre Maßnahmen zur ganzheitlichen Umsetzung eines CSMS starten, um den Nachweis der Anwendung im Rahmen der Typgenehmigung erbringen zu können. Das CSMS muss nicht nur implementiert, sondern gemäß dem Plan-Do-Check-Act (PDCA)-Zyklus eines Management-Systems auch operativ gelebt werden, zumal typische Entwicklungszyklen im Automobilbereich  3-5 Jahre betragen.

Zwar kann auf Erfahrungen mit Informationssicherheitsstandards wie der ISO 27000-Reihe zurückgegriffen werden, jedoch besteht die wesentliche Herausforderung bei der Ausgestaltung eines CSMS in der Berücksichtigung der Automobilspezifika. Zum einen sind Produkt und Lieferkette überaus komplex. Zum anderen unterliegt das Fahrzeug ganz spezifischen kritischen Aspekten wie etwa den Wechselwirkungen mit funktionaler Sicherheit, der Einhaltung von Umweltvorschriften und dem Diebstahlschutz.

Die Erfahrung aus anderen regulierten Branchen wie Energie, Pharma oder dem Finanzsektor zeigen zudem, dass es nicht nur gilt, die regulatorischen Anforderungen zu erfüllen, sondern diese sachgerecht zu interpretieren, um gemäß der eigenen Unternehmensstrategie einen optimalen, risikoorientieren Security-Ansatz mit der höchsten Wirksamkeit zu wählen. Der Ansatz sollte dazu führen, dass durchgängig für den Fahrzeugtyp, dessen externe Schnittstellen und dessen Subsysteme ein angemessenes Schutzniveau ermittelt, erreicht und erhalten werden kann.

Ein CSMS umfasst klassische Domänen des Security-Managements (außen und innen) sowie Domänen mit Fokus auf den Produkten und ihren Anwendern (mittlerer Ring)

Nachrüstung von Fahrzeugen

Ab 2024 soll die UN-Regulierung auch beim Neuverkauf von bereits vor 2022 zugelassenen Fahrzeugtypen greifen. Hersteller und Zulieferer müssen daher potenziell erneut in Komponenten und Systeme investieren und damit ihre Entwicklungsabteilung der Doppelbelastung aussetzen, sowohl die nächste Produktgeneration fristgerecht fertigzustellen als auch Legacy-Produkte bis 2024 ggf. nachzurüsten.

Daher ist es kritisch, die Balance zwischen tatsächlichem Sicherheitsgewinn und Wirtschaftlichkeit zu wahren. Eine technische Lückenanalyse der Fahrzeugarchitektur – vergleichbar mit einem internen Audit der Organisation auf Prozessebene – kann eine solide Entscheidungsgrundlage für diese Abwägungen schaffen.

Mit Erfahrung, Expertenwissen und eigenen Stärken zum Ziel

Umfangreiche Expertise aus der Managementsystem-Erfahrung, Compliance und Automotive Security muss zusammengeführt werden, um ein effektives CSMS aufzusetzen und die Typgenehmigungen zu meistern. Wie viele andere Branchen wird auch die Automobilindustrie auf einen Fachkräftemangel blicken: Experten sind rar, die sowohl Cybersicherheit als auch die speziellen Anforderungen der Automobilindustrie verstehen.

Gleichzeitig wachsen die Cyberrisiken aufgrund der Digitalisierung so rasant, dass das eigene Wissen der Unternehmen auf dem Gebiet der Cybersicherheit typischerweise nicht ausreicht, um alle Herausforderungen rechtzeitig und alleine zu bewältigen. Denn aufgrund der Typgenehmigungsrelevanz ist es dringend geboten, bereits im ersten Anlauf alle Anforderungen sicher und möglichst effizient umzusetzen. Bestandsaufnahmen schaffen hierfür eine Grundlage: Sie identifizieren vorhandene Bausteine, wie erprobte Prozesse im Bereich funktionaler Sicherheit oder bestehende Managementsysteme. Daraus lassen sich auf die individuelle Situation des Unternehmens passgenaue Umsetzungspläne ableiten.

Angesichts der komplexen Aufgabenstellung ist es ratsam, auf die Hilfestellung externer Cybersicherheitsexperten zurückzugreifen. Fahrzeughersteller und Zulieferer benötigen Security-Partner, die einerseits spezielle Erfahrung darin haben, Cybersicherheit in der Automobilindustrie von der Konzeption bis hin zur Serienreife zu führen und anschließend im Betrieb das gewünschte Sicherheitsniveau aufrechtzuerhalten, und andererseits große Fachkenntnis im Assessment und dem Ausrollen von Sicherheitsmanagementsystemen mitbringen. Eine derartige Symbiose komplementärer Expertise ermöglicht es, die – im Sinne eines holistischen Ansatzes – notwendigen Änderungen auf der Organisations- und Prozessebene so zu gestalten, dass Auswirkungen auf die Entwicklung und den wirtschaftlichen und effektiven Betrieb der Sicherheitslösungen berücksichtigt und optimiert sind. Erfahrung im Aufbau von Managementsystemen, Expertenwissen zu Automotive Security und eigene Stärken sind die wesentlichen Faktoren erfolgreicher  Cybersicherheits-Programme.

Die Autoren: 

Dr. Moritz Minzlaff ist Senior Manager bei der ESCRYPT GmbH. Er hat über zehn Jahre Erfahrung im Bereich Cyber Security und berät dazu Automobilunternehmen weltweit, von spezialisierten Zulieferern und Herstellern bis hin zu den Top 5 OEMs. Bei ESCRYPT trägt er die Gesamtverantwortung für die Beratungsdienstleistungen zu Cyber Security-Managementsystemen. Internet: www.escrypt.com/, Telefon: 0234 43870  200 

 

 

 

Jan Stölting ist Senior Manager bei der KPMG AG Wirtschaftsprüfungsgesellschaft. Er hat über zehn Jahre Erfahrung in der Beratung im Bereich Cyber Security und insbesondere der Steuerung von großen Security-Transformationsprojekten und berät u.a. große OEMs und Zulieferer der Automobilbranche. Internet: www.kpmg.de/, Telefon: 069 95870