Die Automobilindustrie
Allein in den letzten Jahren hat sich die Technik in unseren Pkw und Lkw erheblich verbessert. Funktionen wie die Vorwärtskollisionswarnung und die automatische Notbremsung, die durch Fortschritte bei Sensoren und der Echtzeit-Datenanalyse ermöglicht wurden, haben unsere Fahrzeuge und uns sicherer gemacht.
Autonome Fahrzeuge, die in einigen Städten bereits im Einsatz sind, haben das Potenzial, die Sicherheit der Fahrer weiter zu verbessern, indem sie das Risiko menschlicher Fehler verringern. Doch mit diesen neuen Technologien gehen auch neue Risiken einher – Risiken, die wir bei der Herstellung von Fahrzeugen unbedingt berücksichtigen und minimieren müssen.
Richtlinien zur Cybersicherheit für Fahrzeuge
Vor kurzem hat das US-Verkehrsministerium (DOT) einen wichtigen ersten Schritt zur Bewältigung dieser neuen Risiken unternommen, indem es den Entwurf der „ “ sowie Cybersicherheitsrichtlinien (öffnet in einem neuen Tab) für Fahrzeuge veröffentlicht hat. Dazu gehören eine Reihe von empfohlenen Vorgehensweisen, wie beispielsweise die Einschränkung der Möglichkeit, die Fahrzeug-Firmware zu ändern, sowie die Segmentierung von Steuerungssystemen, die für Fahrzeughersteller zum Standard werden sollten. Doch obwohl diese Richtlinien eine solide Grundlage bilden, haben Verbraucher – da sie freiwilliger Natur sind – nach wie vor keine Möglichkeit zu erfahren, inwieweit ein Hersteller sich an die Richtlinien gehalten hat, wenn überhaupt.
Die Regierung sollte den Verbrauchern diese Transparenz gewährleisten, genauso wie sie von den Automobilherstellern verlangt hat, andere Sicherheitsmerkmale, wie beispielsweise Crashtest-Bewertungen, öffentlich bekannt zu geben. Da Menschenleben auf dem Spiel stehen, darf Cybersicherheit nicht losgelöst von der physischen Sicherheit betrachtet werden.
Das DOT kann dieses Problem lösen, indem es ein Sicherheitsetikett für Fahrzeuge einführt – ähnlich den von der EPA vorgeschriebenen MPG-Angaben –, auf dem die Ergebnisse einer umfassenden Sicherheitsbewertung angegeben werden. Die Richtlinien empfehlen einen ähnlichen Test, doch da auch hier keine Offenlegung der Ergebnisse vorgeschrieben ist, haben Verbraucher keine Möglichkeit zu erfahren, wie sicher – oder unsicher – ihr Fahrzeug tatsächlich ist. Diese Prüfungen sollten verpflichtend sein und von einer staatlich zertifizierten unabhängigen Stelle durchgeführt werden, wobei die Gesamtarchitektur des Fahrzeugs, die kritischen Komponenten im zugrunde liegenden Code, die benutzerdefinierten Kommunikationsprotokolle sowie die Reaktionsfähigkeit des Fahrzeugs auf aktive oder passive Angriffe auf Sensoren untersucht werden sollten.
Festlegung spezifischer Kriterien für Bewertungen
Um die konkreten Kriterien für diese Bewertungen festzulegen, sollte das Verkehrsministerium eine Arbeitsgruppe aus Automobilherstellern und Cybersicherheitsexperten einberufen. Diese Gruppe kann entscheiden, wer Anbieter als qualifiziert für die Durchführung dieser Bewertungen zertifizieren soll, wann dies geschehen soll und welche Informationen für die Verbraucher am nützlichsten sind.
Da ich bereits vielen Kunden, darunter auch großen US-amerikanischen Fahrzeugherstellern, bei der Einhaltung von Cybersicherheitsvorschriften geholfen habe, bin ich mir der regulatorischen Belastung besonders bewusst und weiß, dass zu viele oder falsch ausgerichtete Vorschriften die Sicherheit eher beeinträchtigen als verbessern können. Die Forderung nach einer Sicherheitsüberprüfung stellt keine übermäßige Belastung dar. Sie schreibt den Herstellern keine bestimmte Methodik zur Sicherung ihrer Fahrzeuge vor und erlegt ihnen keine kostspieligen Auflagen auf; sie bietet den Verbrauchern jedoch die Transparenz, die ihnen zusteht, um zu verstehen, wie sicher ihr Fahrzeug ist.
Das DOT erließ erstmals im Jahr 1967 die „Federal Motor Vehicle Safety Standards“ (Bundesnormen für die Sicherheit von Kraftfahrzeugen), um sicherzustellen, dass „die Öffentlichkeit vor unzumutbaren Unfallrisiken geschützt ist, die sich aus der Konstruktion, dem Bau oder der Leistung von Kraftfahrzeugen ergeben, und dass sie zudem vor unzumutbaren Risiken von Tod oder Verletzung geschützt ist, falls es doch zu Unfällen kommen sollte.“
Schlussfolgerung
Die Cybersicherheit sollte letztendlich in denselben Geltungsbereich fallen – auf einer Stufe mit Sicherheitsgurten und Airbags. Vorerst sollte die Regierung jedoch diesen kurzfristigen, zwischengeschalteten Schritt unternehmen und den Verbrauchern die korrekten, geprüften Informationen zur Verfügung stellen, die sie benötigen, um fundierte Entscheidungen treffen zu können. Dies ist eine der wirksamsten Maßnahmen, die sie ergreifen können, um die Fahrzeugsicherheit insgesamt zu verbessern, wobei die Auswirkungen auf die Gewinne der Hersteller relativ gering sind.
Über den Autor: Als Chief Security Officer ist David Damato für die strategische Produktausrichtung bei der Modulentwicklung für die Tanium-Plattform verantwortlich und leitet das interne Sicherheitsprogramm des Unternehmens. David bringt umfangreiches Fachwissen im Bereich Sicherheit bei Tanium ein, das von der Reaktion auf Sicherheitsvorfälle und Forensik über Schwachstellenanalysen und die Entwicklung von Sicherheitsprogrammen bis hin zum Sicherheitsbetrieb sowie zur Netzwerk- und Sicherheitsarchitektur reicht. Vor seiner Tätigkeit bei Tanium war David zuletzt als Geschäftsführer bei Mandiant, einem Unternehmen der FireEye-Gruppe, tätig, wo sein Team die Maßnahmen zur Reaktion auf Sicherheitsvorfälle und zur Behebung der Folgen von Sicherheitsverletzungen bei über 100 der 500 Fortune-Unternehmen leitete. Bei Mandiant war David zudem maßgeblich an der Entwicklung neuer Kompetenzen im Bereich der Incident-Response-Dienstleistungen sowie am Aufbau von Beratungsniederlassungen im In- und Ausland beteiligt. Vor seiner Tätigkeit bei Mandiant leitete David Sicherheitsberatungsteams bei PwC im Rahmen der „Washington Federal Practice“ und bekleidete IT-Positionen bei Raytheon, wobei sein Schwerpunkt auf der Verwaltung interner und staatlicher Netzwerke lag. David teilt sein Fachwissen und seine Erkenntnisse regelmäßig auf Branchenveranstaltungen und gegenüber den Medien.
