Sicherheit für Satelliten im Rahmen des Cyber Resilience Act: Die Antwort gibt es bereits

Der Raumfahrtsektor verzeichnet ein rasantes Wachstum und eine zunehmende Kommerzialisierung. Die Entwicklung verlagert sich von missionsspezifischen Konstruktionen hin zu skalierbaren und wiederverwendbaren Produktplattformen, wobei in zunehmendem Maße auf handelsübliche Technologien (COTS) und komplexe Lieferketten zurückgegriffen wird. Gleichzeitig werden Raumfahrtsysteme zu einem Bestandteil der kritischen Infrastruktur und müssen das Vertrauen von Betreibern, Kunden und Aufsichtsbehörden gleichermaßen genießen.

Da die Diskussionen rund um die Cybersicherheit von Raumfahrtsystemen an Fahrt gewinnen, wächst der Druck, völlig neue Sicherheitsrahmenwerke zu entwickeln, die speziell auf den Raumfahrtbereich zugeschnitten sind. Die Absicht ist nachvollziehbar. Raumfahrtsysteme sind einzigartig, doch bevor zusätzliche Standards, Rahmenwerke und Zertifizierungsmechanismen geschaffen werden, lohnt es sich, eine einfachere Frage zu stellen: Verfügen wir bereits über bewährte Ansätze, die einen Großteil des Problems heute lösen?

Eine der bedeutendsten regulatorischen Entwicklungen in diesem Zusammenhang ist der Europäische Cyber-Resilienz-Akt (CRA), der Cybersicherheitsanforderungen für Produkte mit digitalen Elementen festlegt, die auf dem europäischen Markt in Verkehr gebracht werden. Er führt Produktklassen mit unterschiedlichen Sicherheitsanforderungen ein, je nach ihrer Kritikalität, und viele in Raumfahrtsystemen verwendete Komponenten fallen in höhere Klassen, was bedeutet, dass eine unabhängige Bewertung obligatorisch wird. Dies steht im Übrigen im Einklang mit der Einbeziehung des Raumfahrtsektors in den Geltungsbereich von NIS2 und unterstreicht dessen Bedeutung für kritische Infrastrukturen und wesentliche Dienste.

In der Praxis bestimmen nur wenige Komponenten die Sicherheit eines Satellitensystems, darunter kryptografische Module, Schnittstelleneinheiten sowie der Bordcomputer und das Kommunikationssubsystem. Gemeinsam sind sie für die Authentifizierung von Befehlen, den Schutz der Kommunikation, die Überprüfung der Softwareintegrität und die Verwaltung kryptografischer Schlüssel verantwortlich. Werden diese Funktionen beeinträchtigt, ist auch die Vertrauenswürdigkeit des gesamten Systems gefährdet. Daher hat die Konzentration auf diese entscheidenden Komponenten einen überproportional großen Einfluss auf die Gesamtsicherheit und sollte folglich das vorrangige Ziel der Sicherheitsbewertung sein.

Im Sinne des risikobasierten Ansatzes der CRA sollte das Sicherheitsniveau in einem angemessenen Verhältnis zu den Auswirkungen eines Sicherheitsvorfalls stehen. Angesichts der kritischen Rolle vieler Raumfahrtsysteme und ihrer Sicherheitsfunktionen sind Bewertungsmethoden mit hohem Sicherheitsniveau erforderlich, weshalb die Common Criteria die naheliegende Wahl darstellen. Die Common Criteria bieten ein strukturiertes Rahmenwerk, um Sicherheitsziele zu beschreiben, relevante Bedrohungen zu identifizieren, erforderliche Sicherheitsfunktionen zu spezifizieren und unabhängig zu bewerten, ob diese Funktionen korrekt implementiert sind. Dazu gehört die Definition eines klar abgegrenzten Bewertungsobjekts (Target of Evaluation, TOE), das ausschließlich die sicherheitsrelevanten Komponenten und Funktionen umfasst.

Mit EUCC, dem auf den Common Criteria basierenden europäischen Zertifizierungssystem für Cybersicherheit, wird dieser Ansatz Teil eines europäischen Zertifizierungsrahmens, der darauf ausgelegt ist, eine harmonisierte und gegenseitig anerkannte Sicherheit für IKT-Produkte in der gesamten EU zu gewährleisten.

Schutzprofile sind ein wesentlicher Baustein der Common Criteria und können innerhalb einer Produktklasse als De-facto-Standard dienen. Sie definieren eine Reihe gemeinsamer Annahmen, Bedrohungen, Sicherheitsziele und Sicherheitsanforderungen, anhand derer Produkte bewertet werden. Für die Raumfahrtindustrie bedeutet dies, dass die Sicherheitsanforderungen nicht für jede Mission neu definiert werden müssen, sondern dass Komponenten anhand eines gemeinsamen und wiederverwendbaren Maßstabs bewertet werden können.

Ein praktischer nächster Schritt wäre die Definition von Schutzprofilen innerhalb der Raumfahrtindustrie für die sicherheitsrelevanten Komponenten, die in Satellitensystemen allgemein verbreitet sind. Ausgehend von den Komponenten, die bereits als primäre Bewertungsziele identifiziert wurden, könnten gemeinsame Annahmen, Bedrohungen, Sicherheitsziele und Sicherheitsanforderungen einmalig definiert und über Missionen und Plattformen hinweg wiederverwendet werden. Dies würde eine gemeinsame Grundlage für die Bewertung im Rahmen der EUCC schaffen und gleichzeitig die Vergleichbarkeit, Wiederverwendbarkeit und Skalierbarkeit branchenweit verbessern. Damit würde eine gemeinsame Sicherheitsbasis für die Raumfahrtindustrie geschaffen und der erste Schritt unternommen, sicherheitsrelevante Komponenten als wiederverwendbare, zertifizierbare Bausteine statt als missionsspezifische Ausnahmen zu behandeln.

Die Anwendung von Rahmenwerken wie den Common Criteria im Raumfahrtkontext erfordert ein Verständnis von Systemarchitekturen, Vertrauensgrenzen und der Frage, wie Bewertungsumfänge sinnvoll definiert werden können. Bei TÜV Informationstechnik wird dieses Fachwissen seit Jahrzehnten aufgebaut und angewendet. Wir sind seit den Anfängen des Standards an Common-Criteria-Bewertungen beteiligt und als Bewertungslabor in Deutschland und anderen Ländern anerkannt.

Über Produktbewertungen hinaus haben wir uns auch an der Entwicklung von Schutzprofilen in verschiedenen Bereichen wie biometrischen Systemen, eHealth, Datenbankmanagementsystemen und intelligenten Zählern beteiligt. Im Raumfahrtsektor hat TÜVIT zudem an der Technischen Richtlinie TR-03184 des BSI zur Informationssicherheit für Raumfahrtsysteme mitgewirkt, die Cybersicherheitsmaßnahmen und Sicherheitsanforderungen sowohl für das Raumfahrt- als auch für das Bodensegment definiert. Dies steht in engem Einklang mit dem in diesem Artikel skizzierten Ansatz: Es wird definiert, was sichere Raumfahrtsysteme leisten sollten, während die Common Criteria einen strukturierten Weg bieten, um zu bewerten und nachzuweisen, dass diese Anforderungen erfüllt sind.

Diese Kombination aus Erfahrung in der Bewertung und der Entwicklung von Profilen bildet eine praktische Grundlage für die Bewältigung ähnlicher Herausforderungen im Weltraumsektor. Die Unterstützung dieses Übergangs bedeutet, gemeinsam mit Herstellern und Systemintegratoren Bewertungsumfänge zu definieren, regulatorische Anforderungen zu interpretieren und diese in Anforderungen umzusetzen, die in der Praxis bewertet und wiederverwendet werden können.