Tesla Model S auf dem Genfer Automobilsalon 2014.
Christiane Brünglinghaus
Neben dem Skandal um die Abgaswerte einiger Autohersteller gibt es jetzt noch einen weiteren Krisenfall: Mit einem Todesfall und zusätzlichen, noch nicht aufgeklärten Unfällen ist die Autopiloten-Funktion des US-Herstellers Tesla in die Schlagzeilen geraten. Nachdem ein Fahrer eines Tesla Model S im Mai in Florida tödlich verunglückt war, weil das Assistenzsystem einen querenden Lastwagen übersehen hatte, war die Aufregung groß. Die einen sagten, die Fahrer von Tesla-Fahrzeugen würden als Testfahrer missbraucht. Andere wiederum hielten dagegen, dass menschliches Versagen viel häufiger zu Unfällen führe. Wie auch immer die Meinungen zum Unfall ausfielen, eines machte er klar: Der Hype um Tesla ist groß und die Debatte um die Sicherheit automatisierter Fahrzeuge ist durch diesen Unfall neu entfacht.
Derweil untersucht die US-amerikanische Straßenverkehrsbehörde NHTSA den Unfall. Die US-Börsenaufsicht prüft, ob Tesla die Anleger zu spät über den tödlichen Unfall informiert hat. Auch die deutschen Behörden ermitteln - möglicherweise seien in den Tesla-Autopilot Funktionen integriert worden, für die es im Rahmen der sogenannten Typgenehmigung keine Sicherheitsüberprüfung gegeben habe. Damit würde das Fahrzeug seine Zulassung auf dem deutschen und europäischen Markt verlieren. In der Zwischenzeit hat Tesla selbst Unfälle im Zusammenhang mit der Autopilot-Technik bestätigt, jedoch hat das Unternehmen keine Zahl veröffentlicht. Bundesverkehrsminister Alexander Dobrindt treibt parallel die geplante Ethikkommission voran, die moralische Leitlinien für autonome Fahrzeuge bei künftigen Unfällen entwickeln soll.
Software als Gefahr
"Diese Situation zeigt deutlich, wie sich die technische Welt verändert. Software wird zu einem maßgeblichen und mehr als sicherheitsrelevanten Bestandteil eines Fahrzeuges. Das muss auch bei der Erteilung einer Typgenehmigung bedacht werden, die ebenfalls zwingend Updates durchlaufen muss", fordert Paul Arndt, Leiter Fachbereich Cybersecurity beim Beratungsunternehmen Invensity. Die Autopilotenfunktion wurde per Update in die Elektrofahrzeuge aus Palo Alto eingespielt, die Nutzung der als Beta-Version gekennzeichneten Funktion wurde den Fahrern überlassen. "Hier siegte schnell der Spieltrieb über die Funktion. Ein Softwarehersteller darf sicherheitsrelevante Funktionen nicht so einfach freigeben, wenn der Nutzer nicht das erforderliche Wissen zur Nutzung hat", kritisiert der Senior Consultant von Invensity. Tesla-Chef Elon Musk betonte ungeachtet der Ermittlungen, dass das Autopilot-System weiterhin aktiviert bleiben werde. Den Fahrern solle in einem Blogeintrag jedoch besser erklärt werden, wie es funktioniere und wie sie sich dabei verhalten sollten, sagte Musk dem Wall Street Journal.
Die Kritik an der Vernetzung von Tesla-Fahrzeugen ist nicht neu. Auf der 2. Internationalen ATZ-Fachtagung Fahrerassistenzsysteme im vergangenen April, wurde sie zwar nicht auf dem Podium und in den Vorträgen geäußert, jedoch aber in Hintergrundgesprächen, wie Markus Schöttle in seinem Tagungsbericht aus der ATZelektronik 3-2016 schreibt. "In Hintergrundgesprächen sprach man über lebensgefährliche Fahrmanöver, die man selbst mit Testfahrzeugen der Marke erlebt habe, ausgelöst durch fehlerhafte Fahrerassistenzsysteme. Wenn diese auch noch durch Updates nachträglich ‘over the air‘ geordert und aktiviert werden, müsste nach Meinung einiger Experten eigentlich die Fahrerlaubnis erlöschen", führt Schöttle in seinem Bericht aus.
Die Sicherheit von Fahrzeugen hängt heute in hohem Maße von Elektronik und Software ab. Und diese Abhängigkeit von Software wird in den nächsten Jahren deutlich steigen, erst recht, wenn Autos vernetzt und weiter automatisiert werden. Umso wichtiger ist die korrekte Funktion der sicherheitsbezogenen Systeme. Neben der funktionalen Sicherheit (Safety) ist hier aber auch das Thema Cybersecurity relevant. Wenn ein System den Wagen zum Unfall bringen kann, muss sichergestellt sein, dass dieses System auch gegen Hacker geschützt ist.
Security und Safety greifen ineinander
"Software-Updates Over-the-air (SOTA) werden bereits heute bei Infotainment-Systemen und, im Fall von Tesla, auch bei sicherheitskritischen automatischen Features angewendet. Software-Updates sind für die Automobilindustrie extrem interessant, da sie sowohl schnelle Lösungen für sicherheitskritische Softwarefehler als auch die Einführung neuer Features ermöglichen. Aber eine Schwachstelle in einem Software-Update-Mechanismus könnte verheerende Folgen haben, und ein Hacker könnte die bereits vorhandene Infrastruktur verwenden, um Millionen von Fahrzeugen mit Malware zu infizieren“, schreibt André Weimerskirch im Artikel Cybersecurity für vernetzte und automatisierte Fahrzeuge aus der ATZelektronik 3-2016. Weimerskirch arbeitet am Transportation Research Institute der University of Michigan in Ann Arbor, USA. Um Autos vor Hackern zu schützen, erarbeitet das Institut verschiedene technische Lösungen. Darunter sind neben sicheren Software-Updates Over-the-air, Anomalie-Erkennungssysteme, cloudbasierte Forensik-Mechanismen, Schlüsselmanagement-Systeme, sichere Referenzarchitekturen und Kontrollalgorithmen. Zudem spricht sich das Institut auch für übergreifende Cybersecurity-Standards aus.
Ist das noch aufzubauende Know-how in den Bereichen Safety und Security also ein Bottleneck, das die Einführung automatisiert fahrender Fahrzeuge ausbremsen kann? Vor allem ist es ein komplexer Prozess, denn Security, also der Schutz vor Eingriffen von außen, und Safety greifen ineinander. "Es reicht nicht mehr, isolierte Safety- und Security-Lösungen anzustreben. Nur über eine holistische Gesamtbetrachtung der Risiken im Vorfeld der Entwicklung lässt sich das vernetzte Fahrzeug zuverlässig gegen heutige und künftige Risiken absichern", schreibt Etas im Artikel Neues Denken für sicher vernetzte Fahrzeuge aus der ATZelektronik-Jubiläumsausgabe 7-2015. Das Unternehmen kommt zu dem Schluss: "Bei der Entwicklung von Software, Hardware und allen Prozessen über die gesamte Lebensdauer hinweg sollte daher die Maxime 'Safe and Secure by Design' gelten."