Warum Security im SDV weit vor dem Fahrzeug beginnen muss

Mit dem Software Defined Vehicle (SDV) verändern sich die Anforderungen an die Cybersecurity grundlegend. Die Absicherung einzelner Steuergeräte reicht nicht mehr aus, wenn Fahrzeugfunktionen kontinuierlich weiterentwickelt und über vernetzte Systeme bereitgestellt werden. Damit geraten die gesamte Softwarelieferkette und der anschließende Betrieb der Fahrzeugflotte in den Fokus. Miriam Gruber, Head of Integrated Management Systems bei Cariad, und Prof. Dr. Hans-Joachim Hof, Forschungsprofessor für Automotive Cybersecurity an der Technischen Hochschule Ingolstadt, erläutern, welche technischen und organisatorischen Herausforderungen daraus entstehen.

Wenn KI das Fahrzeug prägt – automotiveIT car.summit 2026

Der automotiveIT car.summit 2026 ist die Konferenz für Entscheider:innen aus Engineering und IT, die den nächsten Sprung der Automobilindustrie aktiv gestalten wollen: vom Software-Defined Vehicle (SDV) hin zum AI-Defined Vehicle (AIDV). Im Mittelpunkt steht die Frage, wie künstliche Intelligenz künftig nicht mehr nur unterstützend wirkt, sondern Fahrzeugverhalten, Nutzerinteraktion und Systementscheidungen kontinuierlich prägt.

Am 19. und 20. November 2026 in München bringt das Event führende OEMs, Zulieferer und Technologieunternehmen zusammen, um genau diese Transformation zu diskutieren. Teilnehmer profitieren von praxisnahen Einblicken, strategischen Impulsen und hochkarätigem Networking mit Entscheidern auf C-Level und Expertenebene.

👉 Jetzt Tickets sichern!

Cybersecurity beginnt in der Software Factory

Mit der Entwicklung zum SDV verschiebt sich der Ausgangspunkt der Fahrzeugsicherheit. Klassische Schutzmechanismen wie Secure Boot oder Hardware Security Modules bleiben relevant, reichen für die Absicherung moderner Fahrzeugplattformen jedoch nicht mehr aus. „Ein kompromittierter Entwicklungsprozess lässt sich eben später nicht durch ein Softwareupdate heilen“, warnt Gruber. Entscheidend sei deshalb bereits die Umgebung, in der die Fahrzeugsoftware entsteht.

Bei Cariad erfolgt die Softwareentwicklung zunehmend übergreifend für verschiedene Funktionen und Fahrzeugplattformen. Die VW-Softwaretochter arbeitet dabei mit Stacks für Bereiche wie Cloud, Experience, Driver und Motion. Das Fahrzeug wird dadurch zum Bestandteil eines digitalen Ökosystems aus Entwicklungsumgebungen, Backend-Systemen, mobilen Anwendungen und Cloud-Infrastrukturen.

Damit verändert sich auch die Perspektive potenzieller Angreifer. Anstatt ein bereits abgesichertes Fahrzeug zu kompromittieren, könnten sie früher in der Entwicklungskette ansetzen. Gelingt etwa die Manipulation einer Build-Umgebung, lässt sich Schadcode möglicherweise schon vor der Auslieferung in die Software einschleusen. Gruber fordert deshalb, die Software Factory als sicherheitskritisches Asset zu betrachten. Neben der Integrität gewinnt dabei die Verfügbarkeit an Bedeutung. Ein Angriff auf Entwicklungsplattformen kann Softwareteams lahmlegen und geplante Releases verzögern. Das Unternehmen selbst wird somit ebenfalls zum Angriffsziel. Die digitale Softwareproduktion benötigt deshalb ein ähnlich konsequentes Sicherheits- und Qualitätsmanagement wie die klassische Fahrzeugfertigung.

„Die Idee ist das Prinzip Security by Design“

Cariad ist seit Oktober 2025 eines der ersten Unternehmen, das nach ISO/SAE-21434 zertifiziert ist. Miriam Gruber, Head of Integrated Management Systems bei Cariad, über die Bedeutung der Norm für das Unternehmen, die Produkte und für die Endkunden.

Götz Fuchslocher

Vernetzung vergrößert die Angriffsfläche

Die wachsende Vernetzung erhöht zugleich die Reichweite möglicher Sicherheitsvorfälle. Besonders kritisch sind Angriffe auf zentrale Systeme, die zahlreiche Fahrzeuge gleichzeitig betreffen können. „Wenn ich jetzt zum Beispiel die Cloud angreife, habe ich natürlich eventuell auch Zugang auf eine gesamte Fahrzeugflotte“, erklärt Gruber. Attraktiv seien für Angreifer insbesondere Schwachstellen, die sich über einzelne Fahrzeuge hinaus ausnutzen ließen.

Eine kompromittierte Softwarekomponente kann damit zum Risiko für unterschiedliche Modelle werden. Das gilt insbesondere für gemeinsam genutzte Bibliotheken oder Open-Source-Bestandteile. Gleichzeitig bleiben klassische Angriffsmöglichkeiten bestehen. Hof verweist beispielsweise auf weiterhin auftretende Relay-Angriffe auf Fahrzeugschlüssel. Das SDV ersetzt bestehende Bedrohungen folglich nicht, sondern erweitert das Spektrum potenzieller Angriffspunkte.

Für den Wissenschaftler liegt die grundlegende Herausforderung in der Verbindung von hoher Systemkomplexität, zahlreichen externen Schnittstellen und langen Produktlebenszyklen. „Sie haben es nicht einfach in der Branche, muss man ehrlich sagen, denn Sie haben sich ein sehr komplexes System ausgesucht, das auch noch verbunden ist mit Backend-Systemen und das Sie über eine lange Lebenszeit aktiv halten müssen“, beschreibt Hof die Ausgangslage. Die Automobilindustrie müsse deshalb Sicherheitsarchitekturen entwickeln, die sich über viele Jahre an veränderte Bedrohungen anpassen lassen.

Sicherheit muss Teil der Softwareentwicklung werden

Mit häufigeren Softwareupdates steigen auch die Anforderungen an Sicherheitsprüfungen. Werden diese ausschließlich als manuelle Freigabeschritte organisiert, können sie die Entwicklung erheblich verlangsamen. Gruber fordert deshalb, Security unmittelbar in die Entwicklungs- und Build-Pipelines zu integrieren. Dazu gehören automatisierte Codeanalysen, die Suche nach ungeschützt abgelegten Zugangsdaten und die Prüfung verwendeter Softwarekomponenten. Kontrollierte Build-Umgebungen und signierte Releases sollen gewährleisten, dass ausgelieferte Software aus nachvollziehbaren Entwicklungsprozessen stammt.

Regulatorische Vorgaben betrachtet die Cariad-Managerin dabei vor allem als Orientierung. „Ich sehe das Thema Regulierung mehr als Rahmenwerk. Es ist eine Leitlinie, eine Leitplanke, die am Ende auch die Intention hat, den Endkunden zu schützen.“ Sicherheitsanforderungen sollten deshalb von Beginn an berücksichtigt werden, statt erst vor einer Freigabe überprüft zu werden. Hof sieht in der zunehmenden Trennung von Hard- und Software zusätzliche Möglichkeiten. Durch Simulationen und automatisierte Tests ließen sich mehr Szenarien untersuchen als mit physischen Testaufbauten. Voraussetzung dafür seien geeignete Architekturen und durchgängige Entwicklungsprozesse.

Mit dem Produktionsstart beginnt der Sicherheitsbetrieb

Eine besonders weitreichende Veränderung betrifft die Verantwortung nach dem Produktionsstart. Während der Start of Production (SOP) traditionell einen wichtigen Abschluss der Fahrzeugentwicklung markiert, beginnt für die Cybersecurity damit eine dauerhafte operative Aufgabe.

Werden Schwachstellen in bereits ausgelieferter Software bekannt, müssen Hersteller deren Auswirkungen bewerten, Korrekturen entwickeln und diese nach erfolgreicher Validierung über Over-the-Air-Updates verteilen. Anschließend muss überprüft werden, ob die betroffenen Fahrzeuge tatsächlich abgesichert sind.

Für Gruber nähert sich die Automotive Cybersecurity damit zunehmend den Aufgaben eines klassischen Cyber Defense Centers. Kontinuierliches Flottenmonitoring, Threat Intelligence und eingeübte Incident-Response-Prozesse werden zu zentralen Fähigkeiten. Auch bekannte Risiken müssten regelmäßig neu bewertet werden, da sich Angriffsmethoden und Bedrohungslagen verändern.

Hof hält die schnelle Behebung von Schwachstellen für eine der wichtigsten Kompetenzen der Hersteller. „Es geht nicht darum, keine Schwachstellen zu haben. Das ist illusorisch. Entscheidend ist vielmehr, Schwachstellen schnell schließen zu können.“ Dafür benötigten Unternehmen technische Voraussetzungen und eingespielte Abläufe, die im Ernstfall eine unmittelbare Reaktion ermöglichen.

Besonders anspruchsvoll bleibt dabei die lange Nutzungsdauer von Fahrzeugen. Software muss unter Umständen über Jahrzehnte gepflegt werden. Hof verweist auf die Schwierigkeiten, nach einer derart langen Zeit überhaupt noch geeignete Entwicklungswerkzeuge und Compiler bereitzustellen. Der langfristige Sicherheitsbetrieb müsse deshalb bereits bei der Entwicklung berücksichtigt werden.

Softwarehoheit bleibt Verantwortung des Herstellers

Mit der wachsenden Bedeutung von Software verändert sich auch das Verhältnis zwischen Automobilherstellern und ihren Partnern. Cloud-Anbieter, Entwicklungsdienstleister und Open-Source-Projekte tragen zu einer zunehmend komplexen Lieferkette bei. Damit stellt sich die Frage, welche Kompetenzen Hersteller selbst beherrschen müssen.

Gruber formuliert dazu eine klare Anforderung. „Ich muss als OEM ganz genau wissen, was für Software in meinem Fahrzeug ist. Ich muss jede Open-Source-Komponente am Ende kennen, um dann im Fall der Angriffe ja auch zu wissen, ob ich betroffen bin oder nicht.“ Die eigentliche Softwareentwicklung könne ausgelagert werden. Die Kenntnis über eingesetzte Komponenten und deren Verwendung müsse jedoch beim Hersteller zusammenlaufen.

Diese Transparenz ist notwendig, um bei neu entdeckten Schwachstellen schnell feststellen zu können, welche Funktionen, Fahrzeuge und Modellvarianten betroffen sind. Dafür benötigen die Unternehmen eine durchgängige Rückverfolgbarkeit ihrer Software und zentral verfügbare Informationen in ausreichender Datenqualität. Fragmentierte Datenbestände können die Reaktionsfähigkeit erheblich einschränken.

Augen auf in der Software-Lieferkette

Software ist zum Herz von Fahrzeugen geworden und damit auch zum Einfallstor für Cyberrisiken. Darauf wird mit regulatorischen Vorgaben wie dem Cyber Resilience Act reagiert. Höchste Zeit, dass OEMs ihre Software-Lieferketten transparent machen.

Chris Löwer

Hof ergänzt, dass Cybersecurity eine Systemeigenschaft und damit vor allem eine Aufgabe des Systems Engineering sei. „Aus meiner Sicht wird in der Automobilindustrie gerade Cybersecurity zu sehr aus Compliance-Sicht gesehen und zu wenig aus technischer Sicht.“ Hersteller benötigten deshalb fundierte Kompetenzen in der System- und Sicherheitsarchitektur. Gemeinsame Plattformen mit qualifizierten Sicherheitsbausteinen könnten zudem helfen, die Komplexität zu beherrschen und bestehende organisatorische Silos aufzubrechen.

KI verändert Angriff und Verteidigung

Zusätzliche Herausforderungen ergeben sich aus dem zunehmenden Einsatz künstlicher Intelligenz. Beide Experten sehen darin erhebliche Potenziale für die Cybersecurity, verweisen zugleich aber auf neue Risiken. Gruber nennt insbesondere die automatisierte Analyse von Systemen, KI-gestützte Penetrationstests und die Auswertung großer Mengen an Logdaten. Dadurch könnten Unternehmen Angriffe schneller erkennen und angemessen reagieren. Dieselben Technologien stünden jedoch auch Angreifern zur Verfügung. KI könne deren Aktivitäten automatisieren und die Durchführung komplexer Angriffe erleichtern.

Hof bewertet den Nutzen für die Verteidigung überwiegend positiv, sieht allerdings Grenzen bei der Nachvollziehbarkeit der eingesetzten Modelle. Weiteren Anpassungsbedarf sieht der Wissenschaftler perspektivisch bei kryptografischen Verfahren. Leistungsfähigere Quantencomputer könnten einen Wechsel heute gebräuchlicher Algorithmen erforderlich machen. Sicherheitsarchitekturen müssten deshalb so flexibel sein, dass sich entsprechende Mechanismen auch nach der Auslieferung aktualisieren lassen.

Wie lässt sich wirksame Cybersecurity messen?

Ob eine Fahrzeugplattform ausreichend geschützt ist, lässt sich nur schwer anhand einzelner Kennzahlen beurteilen. Gruber verweist darauf, dass weder die Anzahl gefundener Schwachstellen noch die Zahl erfolgreicher Angriffe allein belastbare Aussagen über das tatsächliche Sicherheitsniveau erlauben. Unternehmen sollten deshalb zunächst festlegen, welche Risiken sie akzeptieren können, und ihre Sicherheitslage regelmäßig anhand dieser Vorgaben bewerten.

Hof empfiehlt, zusätzlich den Reifegrad konkreter Sicherheitsfähigkeiten zu untersuchen. Als geeignete Kennzahl nennt er beispielsweise die Zeitspanne zwischen der Bekanntgabe einer Schwachstelle und der erfolgreichen Verteilung eines Sicherheitsupdates an einen festgelegten Anteil der betroffenen Flotte. Die Zahl entdeckter Sicherheitslücken hält der Forscher dagegen für wenig aussagekräftig. „Ich kann Ihnen zeigen, dass etwas nicht sicher ist, weil ich etwas finde. Aber wenn ich nichts finde, heißt es nicht, dass es sicher ist.“ Entscheidend sei daher, wie zuverlässig Unternehmen Risiken erkennen, bewerten und geeignete Gegenmaßnahmen umsetzen können.

Vom SDV zum AI-Defined Vehicle

Mit KI verschiebt sich die Grenze der Fahrzeugentwicklung. Der automotiveIT car.summit am 19. und 20. November in München zeigt mit Vertretern von OEMs sowie Cariad, Xiaomi, Bosch, Aumovio und Valeo, welche technischen und organisatorischen Fragen (und Antworten) damit verbunden sind.

Dr. Martin Large

Cybersecurity braucht gemeinsame Verantwortung

Aus diesen Anforderungen ergeben sich Konsequenzen für die Organisation der Softwareentwicklung. Gruber spricht sich dafür aus, grundlegende Security-Kompetenzen unmittelbar in den Entwicklungsteams zu verankern. Spezialisierte Experten blieben notwendig, dürften aber nicht allein für die Absicherung komplexer Fahrzeugplattformen verantwortlich sein. Hof plädiert ebenfalls für eine durchgängige Verankerung im Systems Engineering. Gemeinsame Sicherheitsarchitekturen und verbindliche Plattformstandards könnten dazu beitragen, Entwicklungsaufwand zu reduzieren und die Zusammenarbeit zwischen Herstellern und Zulieferern zu verbessern. Als besonders wichtige Aufgabe der kommenden Jahre bezeichnet Gruber die Verbindung von Rückverfolgbarkeit, Transparenz und verlässlicher Datenqualität. Hof stellt vor allem die Fähigkeit in den Vordergrund, Cybersecurity dauerhaft im Fahrzeugbetrieb sicherzustellen.

Damit verschiebt sich das Sicherheitsverständnis der Automobilindustrie. Die Absicherung einzelner Fahrzeugfunktionen bleibt notwendig, reicht als alleiniger Ansatz jedoch nicht mehr aus. Entscheidend wird, ob Hersteller ihre Softwarelieferketten kontrollieren, Sicherheitsvorfälle über vernetzte Flotten hinweg beherrschen und erforderliche Anpassungen während des gesamten Fahrzeuglebenszyklus zuverlässig umsetzen können.