Threat Modeling (Bedrohungsmodellierung)
Threat Modeling (Bedrohungsmodellierung) ist die systematische Analyse eines Systems aus Angreifersicht: Welche Werte sind schützenswert, über welche Wege könnte ein Angreifer sie kompromittieren, und welche Gegenmaßnahmen sind angemessen? Es ist die methodische Grundlage normativer Risikoanalysen wie der TARA nach ISO/SAE 21434.
Die vier Grundfragen
Unabhängig von der konkreten Methodik beantwortet jedes Threat Modeling dieselben vier Fragen:
- Woran arbeiten wir? — Systemgrenze, Komponenten, Schnittstellen und Datenflüsse festlegen. Ohne saubere Abgrenzung analysiert man ins Leere.
- Was kann schiefgehen? — Bedrohungen und Angriffspfade systematisch ableiten, statt sie aus dem Bauch zu sammeln.
- Was tun wir dagegen? — Gegenmaßnahmen auswählen und Risiken bewusst behandeln: reduzieren, vermeiden, teilen oder begründet akzeptieren.
- Haben wir es gut genug gemacht? — Ergebnis prüfen und die Analyse pflegen, wenn sich System oder Bedrohungslage ändern.
Methoden: STRIDE und Angriffsbäume
Threat Modeling gibt es lange vor den heutigen Automotive-Normen — aus der IT-Sicherheit sind Ansätze wie STRIDE oder Angriffsbäume seit Jahrzehnten etabliert. STRIDE kategorisiert Bedrohungen danach, welche Sicherheitseigenschaft sie verletzen:
| Kategorie | Verletzte Eigenschaft | Beispiel |
|---|---|---|
| Spoofing | Authentizität | Vortäuschen einer fremden Identität gegenüber einem Steuergerät |
| Tampering | Integrität | Manipulation von Firmware oder Bus-Nachrichten |
| Repudiation | Nichtabstreitbarkeit | Aktionen ohne beweisbare Zuordnung zu einem Verursacher |
| Information Disclosure | Vertraulichkeit | Auslesen personenbezogener oder kryptografischer Daten |
| Denial of Service | Verfügbarkeit | Lahmlegen einer Funktion oder Kommunikationsverbindung |
| Elevation of Privilege | Autorisierung | Ausweitung von Zugriffsrechten über das Vorgesehene hinaus |
Angriffsbäume ergänzen diese Sicht: Sie zerlegen ein Angriffsziel hierarchisch in die einzelnen Schritte, die ein Angreifer dafür kombinieren muss — und machen so sichtbar, wo eine Gegenmaßnahme den größten Effekt hat. STRIDE ist dabei nur ein Beispiel: Welche Methodik passt, hängt von Domäne und System ab.
Threat Modeling und TARA
Die TARA nach ISO/SAE 21434 erfindet Threat Modeling nicht neu. Sie nimmt die etablierte Disziplin und schnürt sie in einen normativen Rahmen: definierte Bewertungsskalen für Schadenspotenzial und Angriffsdurchführbarkeit, eine feste Risikomatrix, geforderte Arbeitsergebnisse und die Pflicht zur Pflege über den Lebenszyklus. Threat Modeling ist die Denkweise, die TARA ist die auditierbare, für die Typgenehmigung nach UNECE R155 taugliche Form davon. Wer bereits Threat Modeling betreibt, hat den schwierigeren Teil verstanden — es fehlt dann vor allem die Nachvollziehbarkeit im Sinne der Norm.
Threat Modeling in der Praxis
Der häufigste Fehler ist, Threat Modeling als einmaligen Workshop zu behandeln. Ein Bedrohungsmodell ist ein lebendes Arbeitsergebnis: Jede Architekturänderung, jede neue Schnittstelle und jede neu bekannt gewordene Schwachstelle kann Angriffspfade verändern, die bisher als unkritisch galten. Tragfähig wird die Analyse erst, wenn Entscheidungen dokumentiert und wiederauffindbar sind — sonst beginnt man bei jeder Änderung von vorn. Genau diese Konsistenz über Systemänderungen hinweg ist erfahrungsgemäß schwieriger als die erste Analyse selbst.