Mit der UNECE den Hackern das Handwerk legen

Wie lässt sich das verhindern? Ein wichtiger Schritt ist, Security und Safety – also die Cybersecurity und die Fahrzeugsicherheit – zusammen zu denken. Ein Angreifer braucht nur einen Weg finden, um ein Fahrzeug anzugreifen, die Entwickler wiederum müssen alle kennen und schützen. So kann die Safety im Auto durch einen Remote-Angriff wie im oben genannten Beispiel gezielt unterwandert werden. Safety und Security hängen somit eng zusammen – auch wenn sie in der Vergangenheit meist separat betrachtet wurden.

Um die Cybersicherheit von Fahrzeugen weiter zu verbessern, haben sich auch die Vereinten Nationen eingeschaltet: So arbeitet die Working Party on Automated/Autonomous and Connected Vehicles (GRVA) innerhalb der UN/ECE-Wirtschaftskommission an einer neuen Regelung zu Cybersecurity und Softwareupdates. Geplant sind umfassende Änderungen, die zwar noch nicht allumfänglich in Kraft getreten sind – und dennoch schon heute Auswirkungen auf die Arbeit von Herstellern und Lieferanten haben, da sie für die Typzulassung ab 2022 und für alle Neuzulassungen ab 2024 relevant sein werden.

Ein zentraler Punkt der neuen Regelungen ist, dass Hersteller, Subunternehmer, Lieferanten und potenzielle Dritte künftig gemeinsam dafür verantwortlich sind, die Sicherheit der Systeme in Fahrzeugen zu verbessern. Dabei müssen alle nachweisen, dass sie die behördlichen Anforderungen bei den Grundsätzen der Security erfüllen. Fahrzeugarchitekturen müssen künftig so konzipiert sein, dass durch Überwindung einer Komponente nicht auf die nächste zugegriffen werden kann. Darüber hinaus wird es in Zukunft Aufgabe der Unternehmen sein, die Cybersicherheit während der gesamten Lebensdauer eines Fahrzeugs digital zu überwachen und auf Vorfälle entsprechend zu reagieren.

Eine Mammutaufgabe für alle Beteiligten also – auch für IAV. So müssen beispielsweise alle Steuergeräte mit Safety-Relevanz überprüft und um Funktionen wie ein dediziertes Sicherheitsmodul für die Kommunikation (z. B. Autosar SecOC – Secure Onboard Communication) erweitert werden. Auch den Kundenprozess verändern die neuen Normen grundlegend: Damit wird eine Risikoanalyse für jedes System und jede Funktion in Zukunft zentral sein.

IAV arbeitet bereits mit Hochdruck daran, diese Komplexität zu meistern und die neuen Normen umzusetzen. So definiert das Unternehmen derzeit Prozesse und Rollen neu – auch gemeinsam mit den Kunden. Zudem erweitern wir die Methodenkompetenz der Mitarbeiter durch Security-Schulungen. Bereits heute führen wir im Auftrag unserer Kunden auch Risikoanalysen durch. Zwar liegt bei der Umsetzung der Richtlinie noch ein wenig Arbeit vor uns – doch das Ziel ist klar: Wir wollen den Hackern keine Chance geben.

• der Etablierung eines Cyber­security-Management-Systems
• der Analyse von Bedrohungen und Risiken
• der Erstellung von Cybersecurity-Konzepten auf Prozess-, Produkt- und Informations-Ebene
• der Auslegung von Fahrzeug­architektur mit Domänentrennung
• der Beobachtung von Hacker-Fortschritten, CVEs und CWEs (insb. für FOSS-Software)
• Penetrationstests

Cybersecurity erfordert vom Fahrzeug u. a.:

• Architektur mit Domänentrennung
• Security-Schutz für kritische Fahrzeugsysteme wie z. B. Systeme mit Einfluss auf:
  • Außenschnittstellen
  • Safety (u. a. Längs- und Querbeschleunigung)
  • Verfügbarkeit (u. a. Diebstahlschutz)
  • Typgenehmigungen
  • Emissionen
  • personenbezogene Daten
• Manipulationserkennung (Intrusion Detection)
• Penetrationstests

Cybersecurity erfordert von den Unternehmen u. a.:

• Etablierung Cybersecurity Management System (CSMS)
• Einführung von Prozessen und Verantwortlichen (Rollen)
• Security-Management für Lieferanten und Dienstleister
• Risiko-Erkennung, -einschätzung und -begegnung
• Monitoring von Angriffen, Bedrohungen und Schwachstellen (z. B. Hacking-Erfolge, Quantencomputer)
• laufende Beurteilung bisheriger Maßnahmen-Wirksamkeit
• Reaktionsbereitschaft auf (erkannte und drohende) Angriffe
• schnelle Security-Patches bis weit nach EOP

Der Artikel erschien in der automotion 02/2020, dem Automotive Engineering-Fachmagazin von IAV. Hier können Sie die automotion kostenfrei bestellen.