In den letzten Jahren haben die vier „ACES“-Disruptionen, nämlich autonomes Fahren, Connectivity, Elektrofahrzeuge und Shared Mobility, die Agenda in der Automobilindustrie dominiert. Mit dem rasanten Fortschritt der Digitalisierung zählen Software-Komponenten heute bereits zu den grundlegenden Innovationen in modernen Fahrzeugen. Dies eröffnet der Automobilbranche zahlreiche Chancen. Der globale Markt für Automotive-Software und -Elektronik wird laut einer McKinsey-Studie bis 2030 voraussichtlich ein Volumen von 462 Milliarden US-Dollar erreichen. Dies entspricht einer jährlichen Wachstumsrate von 5,5 Prozent zwischen 2019 und 2030. Der Automobilsoftware-Markt allein wird sich voraussichtlich mehr als verdoppeln, von 31 Milliarden US-Dollar im Jahr 2019 auf etwa 80 Milliarden US-Dollar im Jahr 2030.
Parallel dazu entwickelt sich das Bewusstsein der Kunden weiter. Sie sind heute mehr denn je über Security-Themen informiert, was auch auf die zahlreichen Berichte über Hackerangriffe zurückzuführen ist, wie zum Beispiel der Diebstahl von 43 Autos mit schlüssellosen Einstiegssystemen in Columbus im US-Bundesstaat Ohio durch Simulation der Signale von Autoschlüsseln.
IT-Sicherheit als elementarer Bestandteil des softwarebasierten Fahrzeugs
Daher hat sich die IT-Sicherheit in der Fahrzeugtechnologie zu einem zentralen Differenzierungsmerkmal entwickelt, das neben den etablierten Verkaufsargumenten steht und im Zulassungsprozess unabdinglich ist. Der steigende Bedarf an digitalen Produkten und Services erfordert ein proaktives Vorgehen von Automobilherstellern und Zulieferern, um die Sicherheit der Kunden zu gewährleisten. Es besteht ein dringender Bedarf an starken Risikomanagement-Maßnahmen und geeigneten Prozessen für die Rechtssicherheit.
Als Teil der Fahrzeugsicherheit ist die IT-Sicherheit wiederum ein relativ neues Feld, das sich noch in den Anfangsphasen der Anpassung an neue regulatorische und normative Herausforderungen befindet. Es ist nicht direkt möglich, bewährte Sicherheitsprozesse aus dem Non-IT-Bereich einfach auf die Software-Komponenten zu übertragen. IT-Sicherheit erfordert spezifische Überlegungen wie den Schutz vor Malware, die Sicherheit von Datenübertragungen und die Gewährleistung der Integrität von Software-Updates.
Komplexe Regelwerke machen ein IT-Sicherheitssystem unverzichtbar
In den letzten Jahren hat sich die Automobilbranche in einem sich wandelnden regulatorischen Umfeld wieder gefunden, geprägt von zunehmenden Anforderungen der Gesetzgeber wie der UNECE WP.29 R155 und R156 Regulierung und normativen Anforderungen wie der ISO/SAE 21434 für Cybersecurity-Management-Systeme (CSMS) und der ISO 24089 für Software-Updates. Dazu kommen weitere Standards wie etwa der ISO/IEC 27001 für Informationssicherheitsmanagementsysteme (ISMS) oder das für die Automobilwirtschaft spezifische TISAX-Zertifikat. Weil ein Großteil der Verantwortung bei den Zulieferern liegt, müssen diese also zugleich die regulatorischen Vorgaben meistern und den Anforderungen der Automobilhersteller aus den Lieferantenverträgen gerecht werden. Zulieferer stehen vor einem Balance-Akt, wenn sie versuchen, alle Anforderungen effizient und ressourcenschonend zu erfüllen.
Die zahlreichen Vorgaben und Rahmenwerke bieten die benötigte Hilfestellung für Zulieferer, ein umfassendes IT-Sicherheitssystem aufzusetzen. Beispielsweise unterstreichen die Standards die Notwendigkeit einer systematischen Risikobewertung, bei der Risiken identifiziert, analysiert und priorisiert werden. Die Etablierung eines Risikobehandlungsprozesses ist hierbei zentral. Im Bereich der Organisation und Governance wird von den Unternehmen erwartet, dass sie relevante interne und externe Aspekte ihrer Informationssicherheitspolitik bestimmen. Die Kommunikation dieser Policies und die Zuweisung von Verantwortlichkeiten sind für die erfolgreiche Umsetzung der Sicherheitsstrategien unerlässlich. Das Management von Sicherheitsvorfällen ist ein weiterer kritischer Aspekt, bei dem Organisationen Pläne für das Ansprechen und die Behebung von Sicherheitsvorfällen entwickeln müssen
Die strategische Konzeption eines IT-Sicherheitsmanagementsystems
Ein systematischer und strukturierter Ansatz für die langfristige Erfüllung der Sicherheitsvorgaben auf verschiedenen Ebenen – der IT-Sicherheit, dem Datenschutz, der Cybersicherheit, der funktionalen Sicherheit und den Software-Updates – ist daher zielführend, wenn nicht sogar unverzichtbar. In der Praxis mündet dieser Ansatz in die Einführung eines umfassenden IT-Sicherheitsmanagementsystems. Anstelle zahlreicher parallel laufender Systeme erlaubt diese Vorgehensweise, dass die einzelnen Module aufeinander aufbauen, was Effizienz und Adaptabilität ermöglicht. Als Grundbaustein dient hierbei die Erfüllung der Mindestanforderungen an die interne Unternehmenssicherheit und weitergehend die vollumfängliche Umsetzung der Vorgaben aus dem ISO/IEC 27001/TISAX. Darauf aufbauend lässt sich das System um die automobilspezifischen Standards zu CSMS und SUMS erweitern, was dann einerseits auf Projektebene, andererseits für die externe Umgebung, also die Fahrer und Verkehrsteilnehmer, die Sicherheit garantiert. Als dritter Baustein wird gewährleistet, dass das System die Integration weiterer Vorgaben ohne eine wesentliche und überflüssige Komplizierung der bestehenden Maßnahmen und Prozesse vollziehen kann. Schließlich ist als Sicherheitskontrolle dann „on top“ ein umfassendes Monitoring aufgesetzt, das die Effektivität und Vollständigkeit der bestehenden Maßnahmen überwacht und erlaubt, Schwachstellen ressourcensparend zu identifizieren und zu eliminieren.
Safety- und Security-Aspekte gemeinsam betrachten
Die Harmonisierung von Hardware- und Software-Sicherheitskonzepten spielt eine entscheidende Rolle in der Automobilindustrie. Dies kann durch die parallele Betrachtung der Safety- und Security-Anforderungen und die daraus abgeleiteten Prozesse verwirklicht werden. Ein zentraler Aspekt hierbei ist das Safety-Engineering, das sich auf den systematischen Prozess konzentriert, um die Sicherheit eines Fahrzeugs während seines gesamten Lebenszyklus zu gewährleisten. Die Synchronisation von Produktion, Entwicklung und Testen ist ein weiterer wichtiger Pfeiler im Sicherheitsmanagement. Durch die Schaffung einer einheitlichen Sicherheitsstrategie, die sowohl physische Komponenten als auch digitale Systeme aus einer Safety- und Security-Perspektive betrachtet, können Zulieferer die Komplexität der verschiedenen Anforderungen effektiver bewältigen.
Die enge Zusammenarbeit zwischen Automobilherstellern, Zulieferern und Sicherheitsexperten ermöglicht einen kontinuierlichen Informationsaustausch über potenzielle Sicherheitslücken und deren Behebung. Durch regelmäßige Sicherheitsaudits können Schwachstellen frühzeitig erkannt und behoben werden, was zu einer stetigen Verbesserung der Sicherheitsstandards führt.
Die Autor:innen
Fabian Meyer leitet als Managing Partner COREconsulting. Marian Matthies ist Transformation Director bei CORE und verantwortet dort die Leitung des Kompetenzbereichs Automotive. Muskaan Multani ist Transformation Associate bei CORE.
Kontakt:
EPAM Systems GmbH
Messeturm, Friedrich-Ebert-Anlage 49
60308 Frankfurt am Main
www.epam.de
