Um die Sicherheit moderner, vernetzter Autos gewährleisten zu können, müssen zwei Aspekte bedacht werden: der Datenschutz beziehungsweise die Datensicherheit im "Inneren" der Systeme und der Schutz dieser Systeme vor externen Angriffen. Während ersteres - zumindest in technischer Hinsicht - dank kryptografischer Verschlüsselungsverfahren kein Problem mehr darstellt, erfordert der Schutz der komplexen IT-Architektur vor Hackerangriffen ein durchdachtes, ganzheitliches Sicherheitskonzept - das im Idealfall auf einer standardisierten Plattform basiert.

Fraunhofer setzt auf TPM-HSM

Am Fraunhofer-Institut für sichere Informationstechnologie (SIT) in Darmstadt wird daran bereits geforscht: Aufbauend auf dem Trusted Platform Module (TPM)-Standard, haben die Forscher eine Security-Lösung für vernetzte Fahrzeuge geschaffen, die auf Hardware-Sicherheits-Module (HSM) setzt. "Unsere Lösung ist eine Software-Plattform, um sichere Steuergeräte basierend auf TPM 2.0 zu entwickeln.", erklärt Projektleiter Andreas Fuchs. "Mit ihr lassen sich alle notwendigen Bestandteile von Fahrzeug-Steuergeräten - Hardware wie Software - für nahezu jede Anforderung zunächst simulieren und anschließend umsetzen.

Hersteller erhalten so bereits während der Entwicklung wichtige Informationen, um Fehler zu beheben und verschiedene Einsatzszenarien nachzustellen." Die TPM-basierten Lösungen kommen entweder direkt in den Steuergeräten zum Einsatz oder werden ihnen vorgeschaltet. Die kryptografischen Verschlüsselungs-Keys und sämtliche Security-Prozesse werden in diesem geschützten Bereich ausgeführt.

Zudem sollen die TPM-HSMs in der Lage sein, externe Angriffe zu erkennen und - zum Beispiel durch die Deaktivierung des Fahrzeugschlüssels - sofort gegenzusteuern. Dieselben Sicherheitsmodule mit denen Fraunhofer das vernetzte Auto sicherer machen will, kommen übrigens bereits seit vielen Jahren in diversen ITK-Produkten zum Einsatz und könnten für die Autohersteller von wegweisender Bedeutung sein, wie Fuchs klarstellt: "Unsere Entwicklungsumgebung hilft, dass der TPM-Standard auch in Autos mehr Verbreitung findet. Für die Hersteller wird es einfacher, die Standards und darauf aufbauende Anwendungen nun selbst umzusetzen." Laut Fraunhofer steht die Technologie für Autos kurz vor der Serienreife.

Car Security made in Europe

Die Fraunhofer-Lösung müsste allerdings bereits im Produktionsprozesses in die Automobile integriert werden. Für die nachträgliche Absicherung älterer Modelle müssen andere Lösungen her. Beispielsweise bietet der deutsche Security-Anbieter Secunet mit der sogenannten Application Control Unit (ACU) ebenfalls eine Sicherheitslösung für Connected Cars an. Diese soll unabhängig von Anwendungen und Betriebssystem das Bordnetz der Autos absichern. Eine updatefähige Policy, der Einsatz von kryptografischen Schlüsseln sowie die konsequente Trennung von Rechen- und Hardwareressourcen sollen optimalen Schutz vor Hackerangriffen gewährleisten. Secunet reagiert mit dem ACU auf die sicherheitstechnisch oft anfälligen Infotainment-Systeme in den Fahrzeugen vieler Hersteller.

Auch beim niederländischen Unternehmen Gemalto ist eine Security-Lösung in Vorbereitung. Beim Cinterion Secure Element (SE) handelt es sich um einen fälschungssicheren Chip, der speziell für Devices im IoT- und M2M-Umfeld konzipiert ist. Für Connected Cars soll sich der Cinterion SE ganz besonders eignen, da er laut Gemalto ein sicheres "Over-the-air"-Management sensibler Daten ermöglicht. Detaillierte Infos zu Verschlüsselungstechnologien und Datenspeicherung gibt es bislang noch nicht. Gemalto wird das Cinterion SE auf der IAA 2015 in Frankfurt am Main präsentieren.

Sichere Connected Cars: Das tut die Politik

Wegen der inkonsistenten IT-Sicherheitspolitik innerhalb der Autobranche fordert etwa der ADAC die Etablierung einheitlicher Security-Standards für Connected Cars. Dass diese in Form einer EU-Direktive früher oder später umgesetzt werden, gilt als sicher - spätestens wenn autonome Mobilität auf breiter Basis zum Einsatz kommen soll. Bleibt nur zu hoffen, dass dann ein Fiasko wie bei der Ermittlung von - völlig realitätsfernen - Pkw-Verbrauchswerten nach dem NEFZ (Neuer Europäischer Fahrzyklus) ausbleibt.

In den USA ist man hier bereits einen Schritt weiter: Dort haben die beiden Senatoren Edward Markey und Richard Blumenthal kurz nach dem aufsehenerregenden Hack eines Jeep-Cherokee einen ersten Entwurf zu den sogenannten "Automotive Security Standards" eingebracht. Dieser sieht vor, dass die US-Bundesbehörde für Verkehrssicherheit "National Highway Traffic Safety Administration" (NHTSA) künftig die Mindestanforderungen der IT-Security in vernetzten Fahrzeugen festlegt. Gleichzeitig sollen Autobauer dazu verpflichtet werden, die Systeme ihrer Connected Cars dauerhaft und in Echtzeit zu überwachen, um jeden unberechtigten Zugriffsversuch auf ein Fahrzeug sofort unterbinden zu können.

Der Gesetzesentwurf ist keineswegs eine öffentlichkeitswirksame Reaktion auf den Jeep-Hack: US-Senator Markey hatte bereits Anfang 2015 sechzehn verschiedene OEMs zu ihren IT-Security-Maßnahmen und ihrem Umgang mit den in den Fahrzeugen gesammelten Daten befragen lassen. Dass die Antworten unbefriedigend gewesen sein müssen, zeigt Markeys Forderung nach einem "Cyber Dashboard Sticker" der Autofahrern auf einen Blick zeigen soll, wie sie geschützt werden und welche Daten im Fahrzeug wofür gesammelt werden - inklusive der Möglichkeit, einer Nutzung der Daten zu widersprechen.