Für manche Modelle könnten die Vorgaben zur Cybersicherheit das Aus bedeuten – wie etwa für den VW Up. Doch was steckt dahinter?

Kleinwagen haben ein Kostenproblem, und das schon seit Jahren. Der Aufwand, den die Hersteller betreiben müssen, um sie zu einem vertretbaren Preis sicher, sauber und komfortabel zu machen, ist oft (zu) hoch. Nächster Prüfstein für die Kleinen schien die neue Abgasnorm Euro 7 zu werden, von der die Hersteller fürchteten, dass die Abgasnachbehandlung zu aufwändig werden würde. Doch wie sich nun erweist ist der Stolperstein ein anderer.

Nicht Abgase, Knautschzonen und Crashtests, sondern Viren, Firewalls und Software-Protokolle werden plötzlich zu den Killerkriterien: „Moderne Fahrzeuge werden immer mehr zu vernetzten Endgeräten. Fahrzeughersteller müssen im Zuge dieser Entwicklung verstärkt die Perspektive eines Soft- und Hardware-Anbieters einnehmen. Damit gehen auch entsprechende Anforderungen an die Cybersicherheit einher“, sagt Harald Wimmer, Partner und Global Automotive Leader, bei der Unternehmensberatung PwC Deutschland. Ein erstes prominentes Opfer ist der VW Up, der mit Verweis auf zu großen Aufwand vom Markt genommen wird, worüber wir jüngst berichteten.

Cybersicherheit ist keine Empfehlung

Denn Cybersicherheit ist keine Empfehlung, sondern mittlerweile sogar Gesetz: 2020 hat die United Nations Economic Commission for Europe (UNECE) neue Datenschutzregelungen verabschiedet und die Hersteller damit zu hohen Standards im Cyberspace verpflichtet. Autohersteller müssen dafür ein Konzept einführen, das die Fahrzeuge gegen Cyber-Angriffe umfassend schützt. Zudem müssen sie dafür Sorge tragen, dass die Software inklusive Codierungen und Datensätzen prozesskonform identifiziert und den UNECE-Regelungen zugeordnet werden können sowie Software-Updates das Auto abgesichert erreichen und lückenlos dokumentiert werden.

Galten diese Regelungen seit Anfang 2022 nur für neu homologierte Modelle, werden sie ab Sommer 2024 für alle neu zugelassenen Modelle verbindlich, selbst wenn die Konstruktion und der Softwarestand schon viele Jahre alt ist. Und das kann für so manches Auto das vorzeitige Aus bedeuten: „Mit der neuen Datenschutzverordnung der UNECE werden die Hürden für die digitale Sicherheit so hoch, dass einige Modelle daran scheitern könnten“, sagt Christian Kaiser vom Strategieberater Berylls in München.

Solche Opfer gibt es viele, selbst wenn nicht alle Hersteller darüber so offen reden wie VW: Dass Mercedes zum Beispiel jetzt den CLS einstellt, Porsche den aktuellen Macan nach der Premiere des elektrischen Nachfolgers nur noch in den USA und China weiterverkauft oder Ford den Fiesta eingestellt hat, hat sicher nicht nur mit der Nachfragekurve und dem Platzbedarf in der Produktion zu tun. Sondern ganz sicher spielt da auch die Software eine Rolle.

Es gibt schon einige Opfer

Zwar fühlen sich einige Ingenieure, Projekt- und Baureihenleiter – mal wieder – zu Unrecht von der Bürokratie gegängelt. Doch sind die Regelungen für ein Cyber Security Management Systems (CSMS) durchaus sinnvoll: „Im weiteren Sinne bildet das die Grundlage für eine solide Cybersicherheit in modernen Fahrzeugen. Es gewährleistet nicht nur den Schutz der Verkehrsteilnehmer vor gefährlichen Eingriffen in die Steuersysteme, sondern reduziert auch das Risiko von Angriffen auf das digitale Ökosystem der herstellenden Unternehmen“, erläutert PwC-Experte Joachim Mohs. Und da lauern offenbar große Gefahren: „Cybersecurity ist eine wachsende Herausforderung“, mahnt Beratungshaus Q-Perior und untermauert das mit beängstigenden Zahlen: Allein im Jahr 2020 hätten sich die Schäden durch Cyberkriminalität für Firmen in den USA auf 1.000 Milliarden Dollar belaufen. Das ist neunmal so viel, wie zum Beispiel Mercedes im letzten Jahr insgesamt umgesetzt hat.

Auch wenn die VW-Ankündigung mit dem vorzeitigen Ende des Up viele überrascht hat, wussten die Hersteller, was auf sie zukommt. Und viele haben sich entsprechend darauf vorbereitet: Audi zum Beispiel hat deshalb schon vor geraumer Zeit ein bereichsübergreifendes Projektteam aufgesetzt, das die reibungslose und termingerechte Vorbereitung und Umsetzung aller notwendigen Maßnahmen zur Aufgabe hatte. Experten aus den Fachbereichen technische Entwicklung, Qualitätssicherung, Produktion, Vertrieb und IT hätten die Umsetzung der Richtlinie mit all ihren Zertifizierungsanforderung und den relevanten Typgenehmigungsumfängen vorbereitet, erläutert ein Sprecher und meldet Erfolg: „Bei Audi wird wegen der Umstellung auf UNECE kein Modell aus dem Portfolio genommen.“

Cybersicherheit könnte auch Vorteile bringen

Doch offenbar haben nicht alle die Dringlichkeit erkannt. „Obwohl alle Hersteller angaben, bereits ein CSMS implementiert zu haben, befindet sich der Entwicklungsstand der meisten Managementsysteme noch in der Konzeptionsphase“, hat PwC noch im Sommer 2022 in einer Umfrage ermittelt und dabei vier große Hürden ausgemacht: Fehlende Fachkräfte, knappe Zeitfenster für die Realisierung, der Mangel an gängigen Interpretationen und Spezifikationen der Standards, sowie die Komplexität moderner Wertschöpfungsketten hätten die Umsetzung dramatisch verzögert.

Dabei wären die Hersteller gut beraten, sich zu beeilen. Zwar seien diese Richtlinien R155 und R156 mit großem Aufwand verbunden, räumt Berylls-Partner Kaiser ein. Doch sieht er die Hürde trotzdem als Hilfe: Schließlich kann ohne das Zertifikat kein Auto auf den EU-Markt gebracht werden. Für Hersteller aus anderen Ländern bedeute das einen großen Mehraufwand, der bisher nur in Großbritannien, Südkorea und Japan im Gesetz verankert sei. „Wenn das so bleibt, sind die Vorschriften für die europäischen Hersteller eher ein Plus. Denn der Status der Zertifizierungen bei US-Unternehmen wie Tesla oder den chinesischen Herstellern ist derzeit offen.“ SP-X/Titelfoto: Bosch