FFMEA WikiWissen · Methoden · Praxis

Automotive: Cyber-Security & vernetzte ECU (ISO 21434 / UN ECE R155)

Themenportal · ausschließlich ansehen. Keine Anmeldung, Bearbeitung, Speicherung oder KI-Nutzung.

Sicherstellung der Compliance und Schutz vor Cyber-Angriffen auf vernetzte Gateway-Steuergeräte mit Brutto-/Netto-Risikosteuerung.

Stammdaten
Titel
Risikoanalyse Gateway-ECU & Flotten-Security
Organisation
Automotive Tech Tier-1 Systems GmbH
unit
Entwicklung E/E & Product Cyber Security
author
Dr. Stefan Weber (Lead Security Engineer)
reviewer
Marcus Lindner (VP Quality & Product Safety)
Datum
2026-09-15
revision
2.1
Status
Freigegeben
scope
Zentrales Telematik- und Gateway-Steuergerät (Serienanlauf 2027)
risk appetite
8 (Kritische Risiken > 12 erfordern sofortigen Entwicklungsstopp)
notes
Geprüft nach ISO/SAE 21434 und UN ECE R155 Audit-Leitfaden.
items
  1. 1
    id
    r1
    code
    RSK-AUTO-01
    Titel
    Sicherheitslücke in OTA-Firmware-Update-Signaturkette
    category
    it_security
    Beschreibung
    Möglichkeit der Einschleusung manipulierter Firmware über kompromittierten privaten Signaturschlüssel.
    root cause
    Ungenügende HSM-Segmentierung und fehlende 4-Augen-Freigabe im CI/CD-Deployment-Server.
    impact
    Komplettübernahme des Fahrzeug-Gateways, Rückrufaktion, KBA-Zulassungswiderruf (Schaden > 10 Mio. €).
    brutto p
    3
    brutto s
    5
    strategy
    avoid
    action
    Einführung hardwarebasierter HSM-Modelle (Level 3) mit Dual-Control-Signierung und getrennten Offline-Root-Keys.
    action owner
    T. Richter (Security Architecture)
    action deadline
    2026-11-30
    effectiveness kpi
    100% bestandene externe Penetrationstests ohne kritischen Befund
    netto p
    1
    netto s
    4
    Status
    implemented
    last reviewed
    2026-09-10
  2. 2
    id
    r2
    code
    RSK-AUTO-02
    Titel
    Thermisches Durchgehen bei Hochstrom-Relais unter Dauerlast
    category
    quality
    Beschreibung
    Lokale Überhitzung an Lötstellen der Relais-Leistungsplatine bei extremen Umgebungstemperaturen (> 85°C).
    root cause
    Toleranzüberlagerung im Layout und unzureichende thermische Anbindung an das Aluminiumgehäuse.
    impact
    Fehlfunktion des Bordnetz-Hauptschalters, Brandgefahr im Motorraum, Feldausfall.
    brutto p
    4
    brutto s
    4
    strategy
    mitigate
    action
    Redesign der Leiterplatten-Kupferlagen (70 µm statt 35 µm) plus thermisches Gap-Pad zum Gehäusedeckel; 100% thermografische End-of-Line Prüfung.
    action owner
    M. Kern (Hardware Engineering)
    action deadline
    2026-10-15
    effectiveness kpi
    Maximale Kontakttemperatur < 75°C bei 120% Dauerstrom im HALT-Test
    netto p
    1
    netto s
    2
    Status
    implemented
    last reviewed
    2026-09-12
  3. 3
    id
    r3
    code
    RSK-AUTO-03
    Titel
    Single-Source Ausfall beim Microcontroller-Zulieferer
    category
    supply
    Beschreibung
    Lieferabriss von 32-Bit Dual-Core Automotive Microcontrollern durch Naturkatastrophe oder Fab-Havarie.
    root cause
    Exklusivvertrag mit einer einzelnen Wafer-Fabrik in Ostasien ohne Second Source.
    impact
    Bandstillstand bei 3 OEM-Kunden mit Pönale von 250.000 € pro Schichttag.
    brutto p
    3
    brutto s
    4
    strategy
    mitigate
    action
    Qualifizierung eines pin-kompatiblen Zweitherstellers und Aufbau eines 16-Wochen-Sicherheitslagers (Konsignationslager).
    action owner
    S. Bergmann (Lead Buyer Semiconductors)
    action deadline
    2027-01-31
    effectiveness kpi
    Reichweite Sicherheitsbestand >= 12 Wochen bei 100% Liefererfüllung
    netto p
    2
    netto s
    3
    Status
    in_progress
    last reviewed
    2026-09-14
  4. 4
    id
    r4
    code
    RSK-AUTO-04
    Titel
    Audit-Feststellung wg. unvollständiger Traceability nach ISO 26262
    category
    compliance
    Beschreibung
    Lücken in der bidirektionalen Nachverfolgbarkeit von Systemanforderungen zu Unit-Test-Ergebnissen.
    root cause
    Medienbrüche zwischen Anforderungstool (DOORS) und Testmanagement-System (Jira).
    impact
    Verzögerung der Serienfreigabe (Safety Case kann nicht geschlossen werden).
    brutto p
    3
    brutto s
    3
    strategy
    mitigate
    action
    Automatisierte CI/CD-Bridge zur Synchronisation aller Testberichte mit eindeutigen Req-IDs und wöchentlichem Lücken-Report.
    action owner
    C. Brandner (Functional Safety Manager)
    action deadline
    2026-10-31
    effectiveness kpi
    100% automatisierter Nachweis der Testabdeckung ohne manuelle Nachträge
    netto p
    1
    netto s
    2
    Status
    implemented
    last reviewed
    2026-09-15
review
audit completed
Ja
management summary
Alle kritischen Brutto-Risiken (Score >= 15) wurden durch technische Schutzmaßnahmen und HSM-Architektur auf ein akzeptables Restrisiko (Netto <= 6) gesenkt. Restrisiken liegen innerhalb des Risikoappetits.
approved by
Marcus Lindner (VP Quality)
approval date
2026-09-15
next review date
2026-12-15