DIE HERAUSFORDERUNG: SOFTWARE-TRANSPARENZ IM GESAMTEN FAHRZEUG
Moderne Fahrzeuge vereinen Millionen von Codezeilen auf Dutzenden von Steuergeräten – in manchen Fällen mehr als 70 in einem einzigen Fahrzeug. Das macht es schwer, die Herkunft jeder Softwarekomponente nachzuvollziehen, auf neue Schwachstellen schnell zu reagieren und Audits in diesem Umfang vorzubereiten.
Der OEM brauchte daher einen belastbaren Weg, um Softwarekomponenten, Build- und Entwicklungsumgebungen sowie den Sicherheitsstatus über die gesamte Fahrzeugplattform hinweg durchgängig nachzuverfolgen – und sich gleichzeitig auf immer strengere regulatorische Vorgaben vorzubereiten. Dazu zählt auch die Anforderung, Beiträge von Mitwirkenden und Partnern aus Regionen auszuschließen, die als sicherheitskritisch eingestuft sind.
DIE LÖSUNG: EIN MASCHINENLESBARER SOFTWARE-STACK MIT SPDX 3.0
Der OEM führte eine Architektur auf Basis von SPDX 3.0 ein, die den Fahrzeug-Software-Stack als strukturiertes, maschinenlesbares System beschreibt – und nicht als Sammlung statischer SBOM-Dateien. Softwarekomponenten, Build-Metadaten, Schwachstelleninformationen und die in der Entwicklung genutzten Ressourcen werden damit durchgängig rückverfolgbar, sodass der OEM bei behördlichen Compliance-Prüfungen die erforderliche Sorgfalt belegen kann.
Die wichtigsten Bausteine der Umsetzung:
Core Profile: verknüpft den Software-Stack mit der Fahrzeugidentität und sichert die durchgängige Rückverfolgbarkeit.
Build Profile: erfasst kryptografisch gesicherte Angaben zu Mitwirkenden (Commit-Signierung), Compiler-Toolchains, Build-Umgebungen und Build-Standorten und bindet SBOMs sowie Compliance-Erklärungen der Tier-1-Zulieferer ein – so entstehen belastbare Herkunftsnachweise.
Security Profile: liefert einen tagesaktuellen Status zur Ausnutzbarkeit von Schwachstellen, erfüllt die gesetzlichen Anforderungen und hilft den Teams, die relevanten Risiken zu priorisieren.
KI- und Datensatz-Profil: dokumentiert die Herkunft der Modelle und der Trainingsdaten für ADAS-bezogene Funktionen.
RISIKOREICHE BEREICHE IM FAHRZEUG
Kommunikation (ICTS): Datensouveränität und die Gefahr, dass ausländische Akteure Schwachstellen ausnutzen, stehen hier im Fokus. SPDX 3.0 macht den gesamten Build-Pfad vom Zulieferer bis zum Fahrzeug transparent.
Zonensteuergeräte (CRA): Sicherheitskritische Software braucht einen schnelleren Überblick über Sicherheits- und Patch-Status.
Infotainment (ICTS, CRA): Eingeschleuste Exploits und komplexe Open-Source-Abhängigkeiten verlangen volle Transparenz über den Build-Pfad vom Zulieferer bis zum Fahrzeug.
OTA-Updates (ICTS): Das größte Risiko ist Schadcode, der von Dritten eingeschleust wird. SPDX 3.0 stellt sicher, dass Over-the-Air-Updates vor dem Ausrollen als sicher validiert sind.
ADAS-KI-Modelle (CRA): Modellintegrität und -herkunft verlangen eine lückenlose Rückverfolgbarkeit von Datensätzen und Modellartefakten.
DAS ERGEBNIS: NACHWEISBARE COMPLIANCE MIT WENIGER AUFWAND
Der neue Ansatz ersetzt fragmentierte Berichte durch maschinenlesbare Compliance-Daten und senkt damit den manuellen Aufwand deutlich – ein klarer Weg zur gesetzlich geforderten Compliance.
Die Analyse der Auswirkungen von Schwachstellen verkürzt sich von Wochen auf Minuten. Und bei Audits kann der OEM die Rückverfolgbarkeit sowie die umgesetzten „Security-by-Design“-Praktiken belastbar nachweisen.
