Die wichtigsten Botschaften aus der Veranstaltung waren die Forderung, Hackerangriffe nachweisen, die Hersteller aber bei Funktionsstörungen nach systemischen Cyberangriffen auch in die Pflicht nehmen zu können. Sollte es nach Hackerzugriffen auf einzelne Fahrzeuge zu Unfällen kommen, ist Versicherungsschutz gegeben. Unbenommen davon fordert die Allianz ein branchenübergreifend und europaweit agierendes „Automotive Security Information Center“, in dem unterschiedlichste Institutionen ihre Erfahrungen im Kampf gegen automobilen Cyberterror bündeln.
110 Millionen vernetzte Fahrzeuge bis 2023
"Hackerangriffe auf vernetzte Ökosysteme sind kein unrealistisches Szenario", sagte Röhler bei dem erstmals digital in ganz Europa übertragenen Allianz-Autotag am 22. September. Neben dem Logistik- und Energiesektor sah er insbesondere das vernetzte Auto als eines der künftigen Hauptziele der IT-Kriminalität. Schließlich steige alleine schon die Anzahl der vernetzten Fahrzeuge in Europa von 37 Millionen Pkw im Jahr 2018 auf 110 Millionen Fahrzeuge bis 2023 weiter rasant an. Mit Blick auf die IT-Sicherheit komme dem Auto deshalb eine besondere Bedeutung zu, da sich sein Lebenszyklus – von der Fahrzeugentwicklung über den Produktionszeitraum und die Fahrzeugnutzung bis hin zum Recycling – über 20 bis 30 Jahre erstrecke. Deshalb lautete die zentrale Frage auf der Allianz Veranstaltung, wie es gelingen kann, Sicherheit für vernetzte Fahrzeuge über den gesamten Lebenszyklus hinweg gegenüber Cyberangriffen zu gewährleisten.
Ruf nach EU-weiter Abwehrplattform
Angesichts der Herausforderungen, vor denen die Industrie, aber auch die Versicherungswirtschaft bezüglich des Umgangs mit Hackerangriffen stehen, forderte die Allianz auf ihrem Autotag deshalb eine europäische Lösung für ein branchenübergreifendes "Automotive Security Information Center". Röhler wörtlich: "Wir haben es mit einer Bedrohung zu tun, die weder an Unternehmens- noch an Landesgrenzen haltmacht, und wir sind der Überzeugung, dass ein solches Center Daten und Kompetenzen unter anderem von Regierungsbehörden, Fahrzeugherstellern, Automobilzulieferern, Telekommunikationsbetreibern, Forschungseinrichtungen, Reparaturbetrieben und Versicherern zusammenführen muss."
Cyberangriffe müssen nachvollziehbar sein
Ein weiteres Kardinalthema war der Zugriff auf die Fahrzeugdaten im Fall eines Hackerangriffs. Das vernetzte Auto müsse deshalb bezüglich möglicher Cyberrisiken hinreichenden Schutz bieten – gleichzeitig aber einen einfachen und schnellen Zugriff auf Fahrzeugdaten erlauben, um so die Entwicklung und Bereitstellung neuer Produkte und Services auch von Dritten zu ermöglichen. Ergänzend zu den Forderungen auf dem Allianz Autotag 2019 bezüglich der Nutzung von Fahrzeugdaten zur Unfallaufklärung beim automatisierten Fahren sollten künftig auch Cyberangriffe bei einem unabhängigen Datentreuhänder erfasst werden. Eine solche Erfassung könnte ohne Übermittlung personenbezogener Informationen datenschutzkonform erfolgen. Die Erfassung der Cyberangriffe könne dazu dienen, die Systeme zu verbessern und zukünftige Schäden zu vermeiden.
Unfälle nach Hackerzugriff versichert
Hackerangriffe lösen verschiedene Risikoszenarien aus, die für Versicherer relevant sind. Dazu gehören Verkehrsunfälle, Fahrzeugentwendungen oder Erpressungen nach der Systemübernahme der Fahrzeuge durch Hacker.
Kommt es nach einem Cyberangriff zu einem Unfall, bei dem Menschen verletzt oder das eigene oder fremde Fahrzeuge beschädigt werden, bestehe hierfür "generell Versicherungsschutz bei den europäischen Töchtern der Allianz Gruppe". Die Schäden Dritter übernimmt dabei die Kfz-Haftpflichtversicherung, die Schäden am eigenen Fahrzeug die Vollkaskoversicherung. Wird durch einen Hackerangriff ein Diebstahl des Fahrzeugs ermöglicht, ist dies über die Teilkaskoversicherung in den meisten Ländern mitversichert. In Deutschland übernimmt die Allianz in der Vollkaskoversicherung sogar Schäden an der Software.
"Auch wenn es nicht zu einem Unfall kommt, der Hackerangriff aber Schäden an der Software verursacht, werden diese seit einem Jahr bei der Allianz über die Vollkaskoversicherung erstattet, sofern der Hackerangriff unmittelbar auf das Fahrzeug erfolgt“, sagte ergänzend Frank Sommerfeld, Vorstandsvorsitzender der Allianz Versicherungs-AG.
Auch die Hersteller haften
Führt ein Angriff auf die Server oder die digitale Plattform des mit dem Fahrzeug kommunizierenden Fahrzeugherstellers in der Folge zu Funktionsstörungen bei mehreren Fahrzeugen oder sogar bei allen Fahrzeugen eines bestimmten Fahrzeugtyps, "ist der Fahrzeughersteller in der Verantwortung". Hier geht die Allianz konform mit einem bereits vor gut zwei Jahren von GDV-Hauptgeschäftsführer Dr. Jörg Freiherr von Fürstenwerth erhobenen Postulat. Denn es gehöre zur "Risikosphäre des Herstellers, für die dauerhafte Funktionsfähigkeit seiner Fahrzeugelektronik zu sorgen und diese vor Angriffen zu schützen". Das gelte auch dann, wenn sich dieser Angriff unmittelbar auf die Funktion des Fahrzeugs auswirkt.
"Kommt es aber infolge der durch eine Cyberattacke hervorgerufenen Funktionsstörung zu Verkehrsunfällen, würden wir als Versicherer dafür aufkommen, wenn die beteiligten Fahrzeuge beschädigt oder Menschen dabei verletzt werden“, sagte Sommerfeld.
Weitere Autotag-Experten
Mit Video-Statements der Dital-Live-Veranstaltung zugeschaltet waren außerdem:
• Allianz Schaden-Vorstand Jochen Haug,
• AZT-Geschäftsführer Dr. Christoph Lauterwasser,
• Dr. Claudius Leibfritz, CEO Allianz Automotive.
Die Expertenrunde ergänzt hatten ferner:
• Conrad Meyer, Fachgruppenleiter der Abteilung Cyber-Physical Systems Security und verantwortlich für den Geschäftsbereich Automotive Security,
• Rico Förster als Leiter Commercial Motor, Global P&C der Allianz,
• Hans Adlkofer, Senior Vizepräsident Automotive Systems der Infineon Technologies AG,
• Prof. Dr. Rudi Hackenberg von der OTH Regensburg, Fakultät für Informatik und Mathematik – er befasst sich mit Computerarchitektur und Informationssicherheit in hochskalierbaren und volatilen Systemen wie Automobil und IOT.
• Prof. Dr. Christoph Krauß rundete den fachlichen Pool mit seinem Bereich ab: Er ist Fachgruppenleiter der Abteilung Cyber-Physical Systems Security und verantwortlich für den Geschäftsbereich Automotive Security am Fraunhofer-Institut für Sichere Informationstechnologie. Das "SIT" gilt als die führende Forschungseinrichtung für angewandte Cybersicherheit in Deutschland. (EFvK)
