Damage Scenario (Schadensszenario)
Ein Damage Scenario (Schadensszenario) beschreibt nach ISO/SAE 21434 die nachteiligen Folgen, die eintreten, wenn eine Sicherheitseigenschaft eines Assets verletzt wird — etwa die Manipulation der Bremsfunktion nach Kompromittierung der Integrität einer Steuergeräte-Software. Damage Scenarios beantworten die Frage nach dem „Was wäre schlimm?“ und bilden damit die eine Hälfte der Risikobewertung; die andere Hälfte liefert die Durchführbarkeit der zugehörigen Angriffe.
Bewertung über vier Impact-Kategorien
Jedes Damage Scenario wird in vier Kategorien bewertet: Safety (Personenschäden), Financial (finanzielle Schäden), Operational (Beeinträchtigung von Fahrzeugfunktionen) und Privacy (Verletzung der Privatsphäre), kurz S/F/O/P. Für jede Kategorie sieht die Norm eine vierstufige Skala von vernachlässigbar (negligible) bis schwerwiegend (severe) vor. Aus dieser Einstufung ergibt sich der Impact Level des Szenarios. Bewertet wird aus Sicht der betroffenen Road User; die Safety-Kategorie schlägt dabei die Brücke zur Schweregrad-Einstufung der HARA aus der ISO 26262.
Die Rolle in der TARA
In der Threat Analysis and Risk Assessment (TARA) hängen Damage Scenarios an den Assets des Items: Ein Asset ist genau dann schützenswert, wenn die Verletzung einer seiner Sicherheitseigenschaften — Vertraulichkeit, Integrität oder Verfügbarkeit — zu einem relevanten Schaden führt. Bedrohungsszenarien beschreiben anschließend, wie es zu dieser Verletzung kommen kann. Der Risk Level eines Risikos ergibt sich aus der Kombination von Impact Level und Attack Feasibility Level über die Risikomatrix. Cybersecurity Goals adressieren schließlich die Damage Scenarios, deren Risiko reduziert werden soll.
Damage Scenarios in der Praxis
Dieselben Schadensszenarien tauchen in realen Analysen an vielen Stellen auf: Ein Szenario wie „Fahrzeug lässt sich aus der Ferne stilllegen“ wird von mehreren Bedrohungsszenarien über unterschiedliche Angriffspfade erreicht. Ändert sich seine Bewertung, müssen alle abhängigen Risikoentscheidungen nachgezogen werden. Für konsistente, prüffähige Analysen nach ISO/SAE 21434 lohnt es sich deshalb, Damage Scenarios als eigenständige, wiederverwendbare Elemente zu führen statt als Textzeile je Tabellenzeile — einen Einstieg gibt unser Artikel zur TARA.