Autos sind längst zu komplexen, digitalen Produkten geworden. Das macht sie nicht nur für physische Autoknacker interessant, sondern erhöht signifikant das Risiko für Cyberangriffe. Je mehr Abläufe und Funktionen digitalisiert werden, desto wichtiger werden geeignete Security-Maßnahmen. Erhalten Sie in diesem Beitrag einen Überblick über die interdisziplinären Herausforderungen sowie aktuelle Lösungsansätze.
Zunehmende Automatisierung birgt zunehmende Angriffsflächen
Zuweilen klingen die „selbstfahrenden Autos“ noch wie eine Zukunftsvision, allerdings arbeiten die Autokonzerne und auch Firmen wie Google, Apple oder Uber bereits mit Hochdruck an vollständig autonomen Fahrzeugen. Zum Teil werden automatisierte Prozesse bereits jetzt wie selbstverständlich genutzt. Grundsätzlich spricht man von 5 Stufen des automatisierten Fahrens:
- Assistiertes Fahren: Einzelne Assistenzsysteme unterstützen in bestimmten Fahrsituationen.
- Teilautomatisiertes Fahren: In bestimmten Situationen greifen die Assistenzsysteme eigenständig ein (bremsen, beschleunigen, Spur halten). Die Kontrolle bleibt aber beim Fahrer.
- Hochautomatisiertes Fahren: In bestimmten voreingestellten Anwendungsfällen kann das Auto selbstständig und ohne menschlichen Eingriff agieren.
- Vollautomatisiertes Fahren: Die technischen Systeme führen alle Aufgaben selbstständig durch. Der Fahrer ist anwesend und kann auf Wunsch die Kontrolle übernehmen, ansonsten agiert das Auto aber vollkommen selbstständig in jeder Verkehrssituation.
- Autonomes Fahren: Der PKW fährt autonom. Insassen sind nur noch Passagiere, es gibt keine Fahrer mehr.
Zusätzlich zu den technischen Möglichkeiten sind dabei zahlreiche rechtliche und auch sicherheitsrelevante Fragen zu beantworten. Im Mai 2021 wurde in Deutschland ein Gesetz verabschiedet, welches ermöglicht, dass auf bestimmten, festgelegten Strecken Fahrzeuge der Stufe vier am öffentlichen Straßenverkehr teilnehmen dürfen.
In der Gesellschaft wird das Thema dennoch eher kontrovers diskutiert. Ein großer Aspekt dabei ist die Verlässlichkeit der digitalen Systeme und die Angst vor Sicherheitslücken und Hackern. Diese Sorgen sind nicht unberechtigt, denn mit steigender Digitalisierung, Automatisierung und damit einhergehender Vernetzung steigt auch das Risiko für Cyberangriffe.
Gefahren durch Cyberangriffe auf Autos
Cyberattacken auf Autos können unterschiedliche Ziele haben. Von der Überlistung des elektronischen Diebstahlschutzes über den Zugriff auf sensible Daten und Informationen bis hin zur Kontrolle über (Teil-)Systeme. Insbesondere Letzteres wird zur Gefahrenquelle für Personen im Straßenverkehr, wenn remote auf den Motor, die Airbag Control Unit oder das Brems- und Lenksystem zugegriffen werden kann.
Grundsätzlich unterscheidet man bei Cyber-Attacken vier Kategorien von Schäden, die prinzipiell auch auf die Automobilindustrie anwendbar sind:
- Funktionale Sicherheit: Störung der Funktionssicherheit, Manipulation von sicherheitsrelevanten Funktionen
- Finanzen: Lösegelderpressungen für die Freigabe von Daten oder Folgekosten zur Behebung von erfolgreichen Cyberangriffen
- Operative Sicherheit: Unterbrechung der Betriebsfähigkeit, Lahmlegen von Systemen
- Datensicherheit: Verlust oder Manipulation von sensiblen Daten und Informationen
Die Sachschäden, die der Automobilindustrie bei Cyberangriffen entstehen können, gehen in Millionenhöhe, von Imageschäden und im schlimmsten Fall Personenschäden ganz zu schweigen. Um für den nötigen Schutz zu sorgen, müssen daher unterschiedlichste Angriffspunkte gesichert werden. Diese Aufgabe ist komplex und die verschiedenen Gefahren machen innovative Sicherheitsstrategien und eine ganzheitliche Automotive Security unumgänglich.
Was muss die Automotive Security berücksichtigen?
Automotive Security ist ein Sammelbegriff für alle Bereiche, bei denen in der Entwicklung, Herstellung, Betrieb und Wartung von digitalisierten Fahrzeugen hohe Sicherheitsanforderungen erfüllt werden müssen. Die Automotive Security dient dem Schutz von Daten, Funktionen und Personen. Einer der wichtigsten Aspekte dabei ist, dass die Security den gesamten Lebenszyklus der PKWs berücksichtigt. Das heißt, die Security-Maßnahmen müssen bereits von Beginn an in der Fahrzeugentwicklung fest verankert sein, das gesamte Fahrzeug sowie vernetzte Systeme umfassen und die Wirksamkeit der Schutzmaßnahmen sicherstellen, wenn das Fahrzeug auf dem Markt ist.
Automotive Security setzt sich somit aus vielen verschiedenen Teilbereichen zusammen und nutzt für die Erreichung der Ziele unterschiedlichste Technologien. Da sich die Methoden von Cyberkriminellen parallel zum technischen Fortschritt ständig verändern, muss auch die Automotive Security ständig Schritt halten und die Risikolage für das Fahrzeug und seine Komponenten muss regelmäßig proaktiv überprüft werden. Wenn ein Fahrzeug auf den Markt kommt, sollte sein Sicherheitsniveau sogar über den aktuellen Standards liegen, da Fahrzeuge über einen langen Zeitraum in Betrieb sind und das jeweils aktuelle Sicherheitsniveau halten müssen.
Neuer Standard durch die ISO/SAE DIS 21434 und die UN-Regelung 155
Im August 2021 wurde mit der Veröffentlichung der ISO/SAE DIS 21434 ein neuer Rahmen für die Sicherheitsanforderungen in der Automobilbranche geschaffen. Diese ISO-Norm berücksichtigt die Sicherheit über den gesamten Entwicklungsprozess hinweg. In Kombination mit der UN-Regelung 155 von Anfang des Jahres ergibt sich ein neuer Standard für die Automobilindustrie, der die Automotive Security zu einem einheitlichen Bestandteil der Branche machen soll.
Die Inhalte der Norm definieren dabei aber eben keine konkreten technischen Maßnahmen, sondern legen entsprechende Security-Ziele fest. Sie sollen daher nicht als Implementierungs-Leitfaden verstanden werden, sondern definieren eher ein Rahmenwerk für die Etablierung von Automotive Security. Ein wesentlicher Bestandteil der vorgeschlagenen Maßnahmen ist die Implementierung eines CSMS (Cyber-Security-Management-System), mit dem die Bewertung, Behebung und Abwehr von Cyberrisiken dauerhaft in den Prozessen, über den gesamten Produkt-Lebenszyklus hinweg, etabliert werden soll.
Falls Sie sich für die konkreten Anforderungen von ISO/SAE DIS 21434 und UN-Regelung 155 interessieren, können Sie sich bei uns zum „Cybersecurity Automotive Professional“ zertifizieren lassen. Die neue ISO-Norm ist dabei wesentlicher Bestandteil des Seminars.
Automotive Security mit anderen Experten diskutieren – Die HYBRID escar Europe 2021
Da Automotive Security ein komplexes und aktuell relevantes Thema ist, lohnt sich der interdisziplinäre Austausch mit anderen Experten. Genau dafür schaffen wir jährlich mit der escar Konferenz einen optimalen Rahmen. Die escar ist die weltweit führende Konferenz zum Thema „Automotive Cyber Security“ und findet in diesem Jahr bereits zum 19. Mal statt.
Vom 10. bis 11. November 2021 erwartet Sie ein breites Programm – von interessanten Vorträgen, über pointierte Keynotes und Invited Talks bis hin zu praxisorientierten Workshops. Der fachliche Input und Austausch wird gerahmt von zahlreichen Möglichkeiten zum lockeren Netzwerken bei leckerem Essen oder Kaffee.
Nachdem im vergangenen Jahr die 18. escar Europe bereits virtuell großen Zuspruch fand, wird die Konferenz aufgrund der großen Nachfrage in diesem Jahr zum ersten Mal hybrid stattfinden. Das bedeutet, Sie können sowohl persönlich vor Ort in Frankfurt teilnehmen, als auch virtuell und ortsunabhängig von Ihrem PC oder Tablet aus. Für das ultimative Konferenz-Erlebnis kommt hier unsere interaktive Event-App zum Einsatz, die bereits bei der virtuellen escar 2020 ein voller Erfolg war.
Alle Informationen zu Programm und den Speakern finden Sie auf europe.escar.info, wo Sie sich auch direkt anmelden können.
Wir freuen uns auf den Austausch mit Ihnen zu diesem vielseitigen und wichtigen Thema Automotive Security!
geschrieben von
Annika Brockhaus, für die isits AG International School of IT Security
