Automotive Cybersecurity

Tests zur Cybersicherheit

Unverzichtbar für die Automobilindustrie

VDA-Positionspapier zur Rechtssicherheit bei

Cybersicherheitstests

18. Sept 2024 –  Der VDA (Verband der Automobilindustrie) hat kürzlich ein Positionspapier veröffentlicht, in dem er auf die Notwendigkeit von Rechtssicherheit bei Cybersicherheitstests hinweist. Da Fahrzeuge immer digitaler und vernetzter werden, ist die Cybersicherheit für die Automobilhersteller zu einem wichtigen Anliegen geworden. Das Positionspapier des VDA befasst sich mit der komplexen regulatorischen Landschaft rund um Cybersicherheitstests und fordert einen klareren Rechtsrahmen, um sicherzustellen, dass solche Tests effektiv und sicher durchgeführt werden können.

Während die Automobilindustrie verpflichtet ist, Cybersicherheitslücken in ihren Produkten durch Tests zu identifizieren und zu beseitigen, machen sich nach der aktuellen Gesetzeslage beauftragte Spezialisten und eigenmotivierte Sicherheitsforscher strafbar.  Vorrangiges Ziel dieses Papiers ist es, die entsprechenden Regelungen im deutschen Strafrecht - den Hacker-Paragraphen - zu überarbeiten, um Rechtssicherheit für alle Beteiligten bei der Gewährleistung der Sicherheit von Produkten zu schaffen. Dies gilt insbesondere für Tester mit einer guten Absicht, die Systeme testen, um potenzielle Schwachstellen zu identifizieren und die allgemeine Resilienz zu erhöhen.

Continental strebt eine hohe Qualität der Produkte an, bei denen Cybersicherheit und Resilienz eine wichtige Säule in unserer hypervernetzten Welt sind. Daher unterstützen wir nachdrücklich die Bemühungen des VDA-Positionspapiers um die entscheidende Aktualisierung der regulatorischen Rahmenbedingungen.

Empfehlungenaus der Automobilindustrie

Die deutsche Automobilindustrie fordert eine Anpassung der einschlägigen Vorschriften, um die Cybersicherheit von Produkten zu gewährleisten. Beauftragte interne und externe Tester sowie nicht beauftragte externe Sicherheitsforscher müssen in der Lage sein, inversive Cybersicherheitstests wie Penetrationstests ohne kriminelles Risiko durchzuführen. Sie müssen jedoch verpflichtet werden, ihre Erkenntnisse über Sicherheitslücken verantwortungsvoll und vertraulich gegenüber den betroffenen Unternehmen offenzulegen ("Koordinierte Offenlegung von Schwachstellen").

Kriterien für positive und negative Absicht

Das Positionspapier nennt mehrere Schlüsselkriterien als Beleg für die positive Absicht der Tester, darunter der verantwortungsvolle Umgang mit identifizierten Schwachstellen, der Beitrag zur Cybersicherheit des betreffenden Systems und der Beitrag zum Schutz von Herstellern und Nutzern.

Auf der anderen Seite würde eine negative Absicht entstehen, wenn ein Tester versucht, unbefugte monetäre Vorteile zu erlangen, die über jedes öffentlich angebotene "Bug-Bounty"-Programm hinausgehen.

Bestehende regulatorische Cybersicherheitsanforderungen im deutschen Recht

Die aktuellen regulatorischen Anforderungen an die Cybersicherheit stellen Hersteller vor das bereits erwähnte Dilemma – Risiken der Rechtsunsicherheit, insbesondere in Form von Penetrationstests nach folgenden deutschen gesetzlichen Regelungen:

  • - § 202a StGB: Unbefugter Datenzugriff
  • § 202b StGB: Unbefugtes Abfangen von Daten
  • § 202c StGB: Vorbereitung einer unerlaubten Handlung nach § 202a oder § 202b StGB
  • § 303a ff. StGB: Unbefugte Änderung von Daten
  • § 23 GeschGehG: Verletzung von Geschäftsgeheimnissen
  • §§ 106 108b UrhG: Unerlaubte Vervielfältigung und Verwertung

Zugehörige Themen