Wenn sich in diesen Tagen die Automobilszene zur Branchenmesse IAA mobility erstmals in München statt in Frankfurt trifft, werden nicht nur der Messeplatz und der Name des Events neu sein, das sich in Zukunft nicht mehr bloß als PS-Show, sondern vielmehr als Mobilitätsforum präsentieren will. Abseits der (noch immer glänzenden) Neuheiten auf den Messeständen wird ein Thema, stärker denn je, die Diskussionen um die Zukunft des vernetzten Verkehrs bestimmen: Die Frage, wie sicher (oder auch gefährdet) es sich eigentlich im Zeitalter der digitalisierten Mobilität reist. Und dabei geht es nicht um Tempolimits oder Knautschzonen, sondern um die Bedrohung durch Cyberattacken.
Dass das mehr als Gedankenspiele sind, sondern ganz konkrete Angriffsszenarien, zeigen Attacken wie der Angriff auf einen Zulieferer von Karosserieteilen in Deutschland, dem Hacker Anfang 2021 nicht nur umfangreiche Kundendaten, sondern auch Konstruktionspläne gestohlen haben. Dazu kommen zahlreiche weitere Zulieferer, die in diesem Jahr erfolgreich mit Erpressungssoftware attackiert wurden – mit der Folge, dass ihre Kunden teils wochenlang auf wichtige Komponenten warteten.
Das ließe sich noch als zwar ärgerlich, aber zumindest als nicht sicherheitsgefährdend abtun, tatsächlich aber geht die Bedrohung viel weiter. Das zeigte sich im Mai 2021, als es Sicherheitsforschern gelang, nicht alleine per Fernzugriff auf das Infotainmentsystem eines großen Autoherstellers beispielsweise die Innenbeleuchtung in Fahrzeugen zu aktivieren, sondern auch Steuerbefehle an den CAN-Bus zu übergeben. Das ist das universelle Datennetzwerk moderner Autos, über das auch sicherheitskritische Steuerbefehle für die Fahrzeugelektronik geleitet werden. Zumindest in Laborversuchen gelang es Cybersicherheitsspezialisten in anderen Fällen zudem, sogar während der Fahrt den Motor auszuschalten und damit die Servolenkung oder den Bremskraftverstärker zu deaktivieren.
IT-Sicherheit künftig so wichtig wie die Bremsen
Noch sind derlei Vorfälle rare Ausnahmen und nach Einschätzung von Fachleuten mehr Beispiele für künftige Angriffsszenarien, denn akute Bedrohungen für Autofahrer. Doch das Risiko, dass sie zur ganz realen Gefahr im Alltag werden, nimmt gerade rasant zu. Mit jeder zusätzlichen Vernetzung, die moderne Fahrzeuge mit anderen Wagen oder der digitalisierten Umwelt verbindet, öffnen sich neue Optionen für Hacker, via Mobilfunk, WLAN oder Bluetooth auch sicherheitskritische Funktionen der Fahrzeugelektronik von Ferne zu attackieren.
Das ist eine der Erkenntnisse des neuen Lagebilds zur „Cybersicherheit in der Automobilbranche“, den das Bundesamt für Sicherheit in der Informationstechnik (BSI) am Dienstag zur IAA in München präsentieren wird und das der WirtschaftsWoche exklusiv vorab vorliegt. „Computer sind das Hirn jedes modernen Fahrzeugs und übernehmen längst zentrale Steuerungsfunktionen“, betont BSI-Präsident Arne Schönbohm. Für ihn ist klar: „Cybersicherheit wird künftig genauso wichtig wie funktionierende Bremsen.“
Vorbei die Zeiten, in den Autos vor allem fahrende Maschinen waren. Heute seien sie hochkomplexe, vielfach vernetzte IT-Systeme – mit allen damit verbundenen Risiken für die Cybersicherheit, heißt es beim BSI. Dort richtet man sich denn auch auf eine sich verschärfende Bedrohungslage im vernetzten Verkehr der Zukunft ein. Sei es durch die direkte Kommunikation zwischen mehreren Fahrzeugen, sei es durch die potenzielle Anfälligkeit der Software in künftig autonom fahrenden Autos.
Dieses wachsende Risiko soll sich deshalb in Zukunft auch in den Zulassungshürden für neue Fahrzeuge widerspiegeln. Diese sogenannte Typzulassung beim Kraftfahrtbundesamt (KBA) muss bisher schon jedes Auto durchlaufen, das ein Hersteller erstmals neu in den Verkehr bringen will. Bislang lag der Fokus dabei auf Kriterien wie der technischen Verkehrssicherheit aber auch der Einhaltung von Abgasvorschriften. Einer Hürde, bei deren Bewältigung so mancher Hersteller in der Vergangenheit auch schon auf unerlaubte Tricks zurückgegriffen hatte.
Künftig aber soll es nicht bei den primär technischen Prüfungen bleiben, sondern auch die Cybersicherheit neuer Fahrzeuge zu einem expliziten Prüfkriterium für die Typzulassung werden. Unterstützt von den IT-Spezialisten des BSI erarbeitet daher das KBA neue Regularien für die Prüfung der IT-Systeme in kommenden Fahrzeuggenerationen auf Hackerresistenz. „Wir brauchen einen Crashtest für Cyber-Sicherheit!“, bringt das BSI-Präsident Schönbohm auf den Punkt. „Wenn Autos mit anderen Autos oder mit der Straßeninfrastruktur vernetzt sind, müssen wir sichergehen können, dass wir beim Fahren vor Manipulationsversuchen Dritter geschützt sind.“
Neue Erlösmodelle als potenzielles Sicherheitsrisiko
Doch das ist leichter gesagt als geprüft. Denn die Cybersicherheit in den rollenden Rechenzentren lasse sich nicht so einfach prüfen, wie etwa die Wirksamkeit einer Knautschzone oder die Bruchfestigkeit einer Kopfstütze, geben IT-Experten zu bedenken. Schließlich verändere sich die mechanische Konstruktion eines einmal typzugelassenen Fahrzeuges bis zur nächsten Generation nicht mehr. Wohl aber die Software, weil regelmäßig neue Programmupdates eingespielt werden – sei es, weil damit Softwarefehler behoben, neu entdeckte Sicherheitslücken geschlossen oder auch zusätzliche Fahrzeugfunktionen nachgerüstet werden. Vor allem auf letztere Option hoffen die Hersteller als künftige, weitere Erlösoption.
Doch was den Autobauern neue Umsätze verspricht, treibt den IT-Sicherheitsexperten Sorgenfalten auf die Stirn. In der Vergangenheit wurde allenfalls mal bei der Inspektion und in einem überschaubaren und gesicherten Prozess neue Software für die Motosteuerung in die Fahrzeuge eingespielt. Inzwischen kommen die Updates hingegen zunehmend via Mobilfunk und werden beispielsweise über Nacht in den Bordrechnern aktualisiert. Was bei digitalen Vorreitern wie Tesla bereits die Norm ist, wird künftig auch bei den etablierten Herstellern der Regelfall.
Mit den entsprechenden Problemen für die Cybersicherheit. Denn selbst wenn ausgewiesene IT-Spezialisten die Hard- und Software bei der Typzulassung seziert und keine Lücken gefunden haben: Sobald mit dem nächsten Update eine modifizierte Software auf den Prozessoren läuft, können auch neue, bis dato unbekannte Schwachstellen ihren Weg in die Fahrzeuge gefunden haben.
Prüft der Tüv künftig auch auf IT-Schwachstellen?
Für die Sicherheitsexperten beim BSI ist daher klar, dass es auf Dauer nicht bei einem einmaligen IT-Check bei der Typzulassung bleiben kann. Heutige, in der Regel ja noch wenig vernetzte Fahrzeuge seien gegen Hackerattacken ausreichend geschützt, so die Überzeugung der Spezialisten im BSI. Aber dieses Maß an Sicherheit auch in Zukunft zu erhalten, werde eine große Herausforderung, wenn ständige Vernetzung in Autos die Regel werde oder gar Software komplett die Steuerung autonomer Fahrzeuge übernehmen solle, heißt es aus der Bonner Behörde. Ähnlich wie in anderen Branchen müsse das Schutzniveau von Prozessoren und Programmen deshalb auch in Fahrzeugen künftig regelmäßig geprüft werden.
Wie solche Sicherheitstests aussehen können, das diskutieren derzeit Fachleute von KBA, BSI und aus der Automobilindustrie. Allzu viel Zeit, sich auf einheitliche Prüfkriterien und -zyklen zu einigen, haben sie nicht mehr. Denn neue, international gültige Regeln für die Fahrzeugzulassung schreiben demnächst ausdrücklich Prüfungen auf IT-Sicherheit für Neufahrzeuge vor.
Die Vorschrift, die in der EU ab Juli kommenden Jahres wirksam wird, ist nach einer Übergangsfrist ab 2024 für die Branche verpflichtend. Cybersicherheit, so scheint es, wird auf der IAA zum Dauerthema.
Mehr zum Thema: Die deutsche Autoindustrie hat den Tesla-Schock überwunden und eine Jahrhunderttransformation Richtung nachhaltige Mobilität eingeleitet. Doch beim Comeback von Autoland werden einige auf der Strecke bleiben.
