Auto­mo­ti­ve Cyber­se­cu­ri­ty: BSI stellt Lage­bild vor

Anfang des Monats hat das Bun­des­amt für Sicher­heit in der Infor­ma­ti­ons­tech­nik (BSI) sein Bran­chen­la­ge­bild Auto­mo­ti­ve vor­ge­stellt und for­dert dar­in von Her­stel­lern, Zulie­fe­rern, Ent­wick­lern und ande­ren Dienst­leis­tern der Auto­mo­bil­in­dus­trie unter ande­rem eine früh­zei­ti­ge Berück­sich­ti­gung der recht­li­chen Vor­ga­ben für Auto­mo­ti­ve Cybersecurity.

Idea­ler­wei­se sol­len die gesetz­li­chen Vor­ga­ben, so das BSI, schon unmit­tel­bar in den Ent­wick­lungs­zy­klus neu­er Fahr­zeug­mo­del­le ein­be­zo­gen wer­den. Gene­rell stellt die Behör­de fest, dass sich mit der fort­schrei­ten­den Digi­ta­li­sie­rung und Ver­net­zung der Mobi­li­tät die Angriffs­mög­lich­kei­ten auf Fahr­zeu­ge und Infra­struk­tur ver­viel­fa­chen. Als neue Angriffs­flä­che benennt das BSI dabei ins­be­son­de­re auch die zuneh­men­de Ver­net­zung und Abhän­gig­keit inner­halb der Lie­fer­ket­te (Sup­p­ly Chain). Risi­ken bestehen hier z. B. dar­in, dass Zulie­fe­rer in das Visier von Angrei­fern gera­ten, die den Angriff nut­zen, um sich Zugriff auf Sys­te­me des eigent­lich anvi­sier­ten Her­stel­lers zu ver­schaf­fen. Damit erhal­ten Angrei­fer Zugangs­mög­lich­kei­ten zu Unter­neh­men, die selbst über aus­ge­reif­te Abwehr­me­cha­nis­men verfügen.

Die stei­gen­de Abhän­gig­keit und Ver­net­zung der IT-Infrastrukturen von Her­stel­lern und Zulie­fe­rern und deren Risi­ken zei­gen sich bei­spiels­wei­se auch bei Angrif­fen mit Ver­schlüs­se­lungs­tro­ja­nern (sog. Ran­som­wa­re). Hier sind immer wie­der Fäl­le zu bekla­gen, in denen Unter­neh­men nicht nur mit der Löse­geld­for­de­rung zur Ent­schlüs­se­lung der Daten kon­fron­tiert sind, son­dern gesam­te Lie­fer­ket­ten durch Pro­duk­ti­ons­still­stän­de wirt­schaft­lich geschä­digt wer­den. Dane­ben kön­nen mani­pu­lier­te Soft- und Hard­ware­kom­po­nen­ten eine erheb­li­che Gefahr für den öffent­li­chen Stra­ßen­ver­kehr und damit für eine Viel­zahl von Per­so­nen darstellen.

Regu­la­to­ri­sche Anfor­de­run­gen an Cybersecurity

Mit der Umset­zung der UNECE-Regelungen liegt auf euro­päi­scher Ebe­ne erst­mals ein ver­bind­li­ches und ein­heit­li­ches Rege­lungs­sys­tem hin­sicht­lich der Cyber­si­cher­heit und Soft­ware­up­dates im Auto­mo­bil­sek­tor vor, wel­ches sich auf den Bereich der Typen­ge­neh­mi­gung aus­wirkt. Zwar adres­sie­ren die meis­ten Anfor­de­run­gen unmit­tel­bar die Her­stel­ler, jedoch wir­ken sich die­se damit auch mit­tel­bar auf Zulie­fe­rer aus. Wei­te­re regu­la­to­ri­sche Anfor­de­run­gen erge­ben sich ins­be­son­de­re im Bereich des auto­no­men Fah­rens, der zuletzt durch das Gesetz zum auto­no­men Fah­ren zen­tra­le Neu­re­ge­lun­gen erfah­ren hat. Bei der Ver­ar­bei­tung von per­so­nen­be­zo­ge­nen Daten spielt dar­über hin­aus die Datenschutzgrund-Verordnung (DSGVO) eine zen­tra­le Rol­le, die eben­falls im Rah­men der Pro­dukt­ent­wick­lung berück­sich­tigt wer­den soll­te. Zen­tra­le Neu­re­ge­lun­gen für den Bereich des After­mar­kets und Dritt­an­bie­ter dürf­te außer­dem eine dele­gier­te Ver­ord­nung zur Radio Equip­ment Direc­ti­ve (RED) brin­gen, die der­zeit von der EU-Kommission vor­be­rei­tet wird.

Erfah­run­gen aus der Beratungspraxis

Die stei­gen­de Bedeu­tung recht­li­cher Ver­pflich­tun­gen für Cyber­se­cu­ri­ty und Daten­schutz im Bereich der Mobi­li­tät stel­len wir auch in unse­rer Bera­tungs­pra­xis fest. Eine Her­aus­for­de­rung bei ent­spre­chen­den Man­da­ten ist, die Viel­zahl gesetz­li­cher (Neu-)Regelungen für Unter­neh­men in einer struk­tu­rier­ten und nach­hal­ti­gen Wei­se auf­zu­ar­bei­ten, sodass die häu­fig abs­trak­ten Vor­schrif­ten in der Pra­xis umge­setzt wer­den kön­nen. Dies gelingt uns, indem wir gemein­sam mit unse­ren Man­dan­ten ein Cybersecurity-Compliance-Managementsystem eta­blie­ren bzw. die bestehen­de Pro­zess­land­schaft so anpas­sen, dass sich gesetz­li­che und ver­trag­li­che Vor­ga­ben für Cyber­se­cu­ri­ty und Daten­schutz im Rah­men der tech­ni­schen Pro­zes­se abbil­den lassen.