Standardisierung: »Chips muss man vertrauen können«

VDE dialog: Während der VDE gerade in seinem Positionspapier „Hidden Electronics IV“ durchdekliniert, was zu tun ist, um den Chip-Standort Deutschland bzw. Europa zu stärken, arbeitet die DKE im Rahmen des EU-Projekts „Trusted Chips“ an mehr Regulierung dieser Industrie. Ein Widerspruch?

Claus Westenberger: Nein, im Gegenteil. Die politische Regulierung, welche die Richtung vorgibt, und die Regelsetzung für die technische Umsetzung, gehen Hand in Hand. Das ergänzt sich. Momentan arbeitet jedes Unternehmen für sich an Lösungen, um Probleme zu beheben. Mit „Trusted Chips“ wollen wir diese Ansätze bündeln und koordinieren. Ziel ist es, Chips zu definieren, denen man vertrauen kann, die also zuverlässig das tun, was sie tun sollen.

Also ist Normung hier keine Belastung, sondern soll der Industrie helfen?

Richtig. In diesem Fall geht es darum, überhaupt erst einmal eine gemeinsame Definition für vertrauenswürdige Mikrochips zu schaffen. Nehmen Sie das Beispiel Airbag: Der darf nicht einfach so bei Tempo 180 auslösen, nur weil irgendjemand das System gehackt hat. Aber er sollte eben schon aufgehen, wenn ich gegen eine Mauer fahre. Hierfür brauchen wir klare Definitionen, wann und wie ein Produkt funktionieren soll.

Was genau ist das Ziel des Projekts „Trusted Chips“?

Das Projekt befasst sich mit der Normung und Zertifizierung sicherer, vertrauenswürdiger Mikrochips. Ziel ist es, die Cybersicherheit, Authentizität und Zuverlässigkeit von Chips zu definieren, die in zahlreichen vor allem sicherheitsrelevanten Branchen wie Energie, Gesundheit, Verkehr oder IT eine Schlüsselrolle spielen. Die DKE leitet das Projekt unter dem Dach der europäischen Normungsorganisationen CEN und CENELEC. Am Ende soll eine Art europäische Roadmap stehen, die Standardisierungslücken identifiziert und konkrete Maßnahmen für ein einheitliches Zertifizierungsverfahren vorschlägt – auch im Kontext des Cyber Resilience Act der EU.

Ist „Trusted Chips“ nur ein neues Buzzword oder wird sich unter diesem Schlagwort wirklich etwas ändern?

In vielen Fällen ist Normung Teil einer neuen Strömung, die noch nicht den gesamten Markt erfasst hat. Ich bin fest davon überzeugt, dass in fünf oder zehn Jahren das Thema „Trusted Chips“ etabliert ist und sich tatsächlich damit auch etwas ändern wird. Was übrigens nicht heißt, dass das Thema nicht längst eine große Relevanz hat, schließlich gibt es Mikrochips schon eine ganze Weile. Ich vergleiche das gerne mit dem Begriff „Cybersecurity“: Das Thema war ja schließlich auch schon relevant, als man noch von IT-Sicherheit gesprochen hat.

Wo liegen aktuell die größten Herausforderungen?

Es geht um Sicherheit und Verlässlichkeit entlang der  gesamten Wertschöpfungskette – von der Entwicklung über die Produktion bis zur Nutzung und sogar noch darüber hinaus. Stichworte: Reuse und Recycling. Jede Firma hat ihre eigenen Qualitätsstandards. Es fehlt eine gemeinsame Grundlage, auf die sich alle beziehen können. Wir wollen keine Technik vorschreiben, sondern Anforderungen definieren. Das schafft Transparenz: Der Anwender soll nachvollziehen können, ob ein Chip einer bestimmten Anforderung entspricht und ob er getestet wurde.

Vertrauen durch Transparenz?

Genau. Wenn ich weiß, wo ein Chip hergestellt wurde, mit welchen Materialien und unter welchen Bedingungen, kann ich ihm eher vertrauen. Wenn ich hingegen ein Bauteil von einem Wiederverkäufer kaufe, das angeblich alles kann, aber nie geprüft wurde, ist das ein Risiko. Gerade bei kritischen Anwendungen ist Vertrauen entscheidend.

Also muss man je nach Anwendungsfall abwägen?

Ein Chip in einer elektrischen Zahnbürste hat andere Anforderungen als beispielsweise einer im Flugzeug. Da muss man – und das gilt auch für den ganzen Cyber Resilience Act – die jeweils benötigten Sicherheitslevel beachten und definieren, um nicht mit Kanonen auf Spatzen zu schießen. Und am Ende hängt eben auch immer ein Preisschild dran: Idealerweise hätte man höchste Sicherheit zum Nulltarif, aber so funktioniert es nun einmal nicht. Man muss priorisieren.

Welche Akteure sind am Projekt beteiligt?

Wir haben ein zentrales Projektteam und ein Steuerungsgremium, das sich regelmäßig trifft. Eine ausgewogene Beteiligung von Expertinnen und Experten von namhaften Chip-Herstellern, -Zulieferern, -Verwendern, sowie kleineren Unternehmen und Verbänden sind im Projekt vertreten. Es geht darum, gemeinsam eine erste tragfähige Basis für neue Normungsvorhaben zu schaffen.

Das Projekt läuft bis Ende des Jahres. Was wird bis dahin erreicht?

Unser Projekt ist sozusagen Teil eins. Wir legen die Grundlage für die eigentliche Normungsarbeit in Teil zwei. Dazu gehört eine Definition von „Trusted Chips“, eine Analyse bestehender Normen – wir haben etwa 150 relevante identifiziert – und die Feststellung, wo es Lücken gibt. Am Ende steht ein Dokument, das als Grundlage für Normungsprozesse dienen kann.

Das heißt, dann beginnt erst die eigentliche Normungssarbeit?

Nein, die Gremien sind bereits jetzt aktiv und involviert – auch wenn unser erster Teil noch nicht ganz abgeschlossen bzw. veröffentlicht ist. Das Thema entwickelt sich einfach sehr schnell. Die Technik entwickelt sich parallel weiter.

Das heißt, die Normung hinkt zwangsläufig hinterher?

Der Eindruck kann entstehen. Durch die direkte Beteiligung und der Expertise aus dem Markt ist die Normung allerdings auf dem aktuellen Stand. Der Prozess zur Erstellung einer Norm dauert in der Regel zwei Jahre, weil eine breite Beteiligung an Stakeholdern – in diesen Fall aus unterschiedlichen Ländern der EU  – einbezogen ist. Der Ablauf ist aufwendig, aber notwendig. Wer den Normungsprozess beschleunigen will, indem er ihn nach dem Prinzip „quick and dirty“ gestaltet, riskiert gravierende Qualitätseinbußen. Normen müssen mit größter Sorgfalt entwickelt werden – sie bilden schließlich die Grundlage für Sicherheit, Rechtskonformität und Marktfähigkeit technischer Produkte. Ein übereilter Prozess gefährdet ihre Akzeptanz und langfristige Tragfähigkeit.