Von der Compliance zur Cyber Resilience: Warum Fahrzeugsicherheit nicht mit der Zulassung endet

Das moderne Fahrzeug ist kein abgeschlossenes mechatronisches System mehr. Es kommuniziert mit Cloud-Plattformen und Smartphones, erhält Software-Updates über das Mobilfunknetz und verfügt über zahlreiche Steuergeräte. Was für Kund:innen neue Funktionen ermöglicht, vergrößert gleichzeitig die Angriffsfläche.

„Ein Auto ist mittlerweile ein Computer auf vier Rädern“, brachte es Klaus Kainrath, Automotive Cybersecurity Manager bei Magna Vehicle Engineering, in seiner Opening Keynote am Cyber Crime Forum 2026 in Graz auf den Punkt. Die Konsequenz: Cybersecurity muss von Beginn an in die Fahrzeugentwicklung integriert und über den Produktlebenszyklus weitergeführt werden.

Mit der Vernetzung wird das Fahrzeug Teil eines digitalen Ökosystems. Kainrath geht noch einen Schritt weiter: Automobilhersteller seien heute faktisch IT-Service-Provider. Dieses Verständnis müsse in der Branche teilweise erst wachsen.

Automotive Cybersecurity unterscheidet sich jedoch wesentlich von klassischer IT. Viele Steuergeräte verfügen über begrenzte Rechenleistung und Speicher, gleichzeitig bewegen sich Fahrzeuge in einem Safety-kritischen Umfeld. Security-Maßnahmen dürfen zeitkritische Funktionen nicht beeinträchtigen. Klassische IT-Security-Konzepte lassen sich deshalb nicht einfach auf Fahrzeuge übertragen.

Mit UNECE R155 müssen Fahrzeughersteller ein Cybersecurity Management System (CSMS) nachweisen. Cybersecurity wird damit zur Voraussetzung für die Fahrzeugzulassung.

Den methodischen Rahmen für die Umsetzung liefert ISO/SAE 21434. Die Norm verankert Cybersecurity über den Entwicklungsprozess hinweg, vom Gesamtfahrzeug bis zu einzelnen Komponenten. Security wird damit nicht erst kurz vor Produktionsstart relevant, sondern beginnt bereits in der Entwicklung.

Ähnliche Herausforderungen beschäftigen die gesamte Industrie: Wie Unternehmen unterschiedliche Cybersecurity-Vorgaben in der Praxis umsetzen können, zeigt der LSZ-Artikel „Fünf Gesetze, eine Frist: Was Produktionsbetriebe bei Cybersecurity jetzt umsetzen müssen“.

Welche Bedrohungen sind für ein Fahrzeug, System oder Bauteil tatsächlich relevant? Diese Frage steht am Anfang der Threat Analysis and Risk Assessment (TARA). Risiken werden identifiziert und bewertet, daraus entstehen Security Goals sowie konkrete Anforderungen und Gegenmaßnahmen.

Diese Anforderungen reichen bis in die Lieferkette. Hersteller, Entwicklungspartner und Lieferanten müssen Security auf Fahrzeug-, System- und Komponentenebene zusammendenken.

Entscheidend ist dabei: Eine TARA ist keine einmalige Aufgabe. Neue Schwachstellen und Angriffsmethoden verändern die Risikolage. Analysen müssen deshalb während des Lebenszyklus aktualisiert werden.

Hier verschiebt sich die Perspektive von Compliance zu Cyber Resilience. Ein Fahrzeug kann zum Produktionsstart alle Anforderungen erfüllen und Jahre später von einer neu entdeckten Schwachstelle betroffen sein.

Continual Cybersecurity, Vulnerability Management, Monitoring und Incident Response werden deshalb zu dauerhaften Aufgaben. Werden relevante Schwachstellen entdeckt, müssen Hersteller reagieren und gegebenenfalls Software-Updates bereitstellen.

UNECE R156 adressiert dafür das Software Update Management. Gerade hier zeigt sich erneut der Unterschied zur klassischen IT: Updates in einem Safety-kritischen Fahrzeug müssen kontrolliert erfolgen und dürfen andere Funktionen nicht gefährden.

Die vielleicht schwierigste Frage stellte Kainrath gegen Ende seiner Keynote: Wie lange muss ein Fahrzeug cybersecure gehalten werden?

Autos bleiben zehn, 15 oder 20 Jahre auf der Straße. Währenddessen werden neue Schwachstellen bekannt, Hardware und Software altern und Entwicklungsumgebungen verschwinden.

Was passiert, wenn eine 15 Jahre alte Komponente eine kritische Sicherheitslücke aufweist? Technisch muss ein Update überhaupt noch möglich sein. Organisatorisch müssen Know-how und Prozesse verfügbar bleiben. Wirtschaftlich stellt sich die Frage, wer Entwicklung, Tests und Verteilung finanziert.

Damit wird Cyber Resilience zur Managementaufgabe. Produktlebenszyklen, technische Architektur, Lieferketten und Verantwortlichkeiten müssen über viele Jahre zusammengedacht werden.

Wie real Cyberrisiken im Automotive-Bereich sind, zeigte unter anderem der bekannte Jeep-Cherokee-Hack. Sicherheitsforscher demonstrierten dabei, welche Auswirkungen eine kompromittierte vernetzte Fahrzeugarchitektur haben kann.

Mit zunehmender Vernetzung geht es jedoch nicht nur um einzelne Fahrzeuge. Angriffe können potenziell auch Flotten, Backend-Infrastrukturen oder zentrale Dienste betreffen.

Compliance schafft dafür einen verbindlichen Rahmen. Cyber Resilience geht einen Schritt weiter: Hersteller und ihre Partner müssen Schwachstellen auch Jahre nach dem Produktionsstart erkennen, bewerten und darauf reagieren können.

Die entscheidende Frage lautet deshalb nicht nur: Ist ein Fahrzeug bei der Zulassung compliant? Sondern: Wie bleibt seine Cybersecurity über einen Lebenszyklus von 15 oder 20 Jahren beherrschbar?

Welche Cyberrisiken Unternehmen aktuell beschäftigen und wie sie ihre Resilienz stärken können, diskutiert die LSZ Security-Community beim nächsten Cyber Crime Forum am 10. November in Linz.