TISAX Prototypenschutz: Anforderungen und Maßnahmen für Automobilzulieferer

TISAX prüft nicht nur die allgemeine Informationssicherheit. Für Unternehmen, die mit unveröffentlichten Fahrzeugen, Bauteilen oder Designdaten arbeiten, gibt es ein eigenes Modul: den Prototypenschutz. Dieses Modul stellt Anforderungen, die über klassische IT-Sicherheit hinausgehen, von Kameraverboten über physische Zugangskontrollen bis hin zu Transportregelungen für getarnte Fahrzeuge. Dieser Artikel erklärt, was das Modul umfasst, welche konkreten Maßnahmen gefordert sind und worauf Assessoren bei der Prüfung achten.

Was ist das TISAX Modul Prototypenschutz?

Das TISAX Modul Prototypenschutz ist eines von drei Prüfmodulen im VDA ISA 6.0 Katalog. Es gilt für Unternehmen, die Fahrzeuge, Komponenten oder Bauteile verarbeiten, lagern oder transportieren, die noch nicht öffentlich vorgestellt wurden. Der Schutzbedarf entsteht, weil ein geleaktes Design oder ein fotografierter Prototyp auf einer Testfahrt dem Hersteller erheblichen wirtschaftlichen Schaden zufügen kann.

Der Unterschied zum Modul Informationssicherheit ist dabei klar abgegrenzt: Informationssicherheit schützt digitale und analoge Informationen generell, Zugriffe, Netzwerke, Benutzerkonten. Prototypenschutz adressiert den physischen und organisatorischen Schutz konkreter Objekte: Fahrzeuge in der Entwicklung, Testteile, CAD-Modelle unveröffentlichter Baureihen. Das bedeutet Sicherheitszonen, Einblickschutz, Kameraverbote und Transportvorschriften, Anforderungen, die in einem reinen IT-Security-Framework nicht vorkommen.

Das Modul umfasst 22 Controls in fünf Kapiteln (8.1 bis 8.5) und wird nur dann geprüft, wenn das Unternehmen tatsächlich mit schutzbedürftigen Prototypen arbeitet. Wer ausschließlich Serienteile liefert, braucht dieses Modul nicht. Einen Überblick über die allgemeinen TISAX-Anforderungen der Module Informationssicherheit und Datenschutz finden Sie im separaten Artikel.

Anforderungen im Prototypenschutz-Modul im Detail

Der VDA ISA 6.0 strukturiert den Prototypenschutz in fünf Kapitel. Jedes Kapitel adressiert einen anderen Aspekt des Schutzes, von der Gebäudesicherheit bis zum Umgang mit Testfahrzeugen auf öffentlichen Straßen.

Für jedes Control wird ein Reifegrad bewertet. Ein bestandenes Assessment erfordert typischerweise Reifegrad 3 ("Established"): Der Prozess ist dokumentiert, standardisiert und in die Organisation integriert. Ein Prozess, der nur auf Papier existiert, aber im Alltag nicht gelebt wird, erreicht diesen Reifegrad nicht.

Zusätzlich zu den physischen und organisatorischen Anforderungen verlangt der Prototypenschutz auch technische Maßnahmen für digitale Prototypen-Daten: Klassifizierung der Daten nach Schutzbedarf, Zugriffskontrolle auf CAD-Modelle und Simulationsdaten, Verschlüsselung (at rest und in transit), Audit-Trails für jeden Datenzugriff sowie Regelungen zur sicheren Vernichtung nach Projektende.

Typische Schutzmaßnahmen in der Praxis

Die Anforderungen des VDA ISA lassen sich in vier Kategorien von Maßnahmen übersetzen. In der Praxis greifen diese Kategorien ineinander: Ein physisch gesicherter Bereich nützt wenig, wenn Mitarbeiter dort ungehindert mit ihrem Smartphone fotografieren können.

Eine ISMS-Plattform wie SECJUR bündelt die Verwaltung dieser Maßnahmen: Richtlinien, Schulungsnachweise, NDA-Register und Audit-Trails liegen in einem System. Das erleichtert die Nachweisführung beim Assessment, weil der Prüfer nicht zwischen Excel-Tabellen, E-Mail-Ordnern und SharePoint-Seiten suchen muss.

Herausforderungen beim Prototypenschutz

Die Anforderungen des VDA ISA sind klar formuliert. Die Umsetzung wird schwierig, wenn sie auf die Realität moderner Entwicklungsumgebungen trifft. Vier Herausforderungen tauchen bei Unternehmen, die wir bei der Umsetzung begleiten, regelmäßig auf.

Globale Teams und Remote-Zugriff. Prototypen-Daten auf einen physischen Standort zu beschränken, ist in einer verteilten Entwicklungsorganisation kaum umsetzbar. Ingenieure in drei Zeitzonen arbeiten am selben CAD-Modell. Die Lösung liegt in einer Kombination aus VPN-Pflicht, granularer Zugriffskontrolle und vollständigem Logging. Wer auf welche Datei zugegriffen hat, muss jederzeit nachvollziehbar sein.

Sub-Tier-Management. Wenn ein Tier-1-Zulieferer Prototypen-Daten an seine eigenen Zulieferer weitergibt, muss er sicherstellen, dass auch dort die Prototypenschutz-Anforderungen eingehalten werden. Das erfordert vertragliche Regelungen (Geheimhaltungsklauseln, Prüfrechte), aber auch praktische Kontrollmechanismen. Der VDA ISA verlangt, dass der Umgang mit Prototypen-Informationen in der Lieferkette dokumentiert und kontrolliert wird.

Cloud-basierte Entwicklungsumgebungen. Virtuelle Prototypen in Cloud-CAD-Tools oder CI/CD-Pipelines stellen die Frage: Wo liegen die Daten physisch? Wer hat Zugriff auf die Infrastruktur? Cloud-Anbieter müssen über entsprechende Sicherheitszertifizierungen verfügen, und die Mandantentrennung muss auch auf Infrastrukturebene gewährleistet sein.

Datenaustausch mit Partnern. Der Austausch von Prototypen-Daten per E-Mail ist ein häufiger Befund im Assessment. Verschlüsselte Filesharing-Lösungen mit Ablaufdatum, Zugriffsprotokollierung und Widerrufsmöglichkeit sind die Alternative. Die Herausforderung: Jeder Partner nutzt ein anderes System, und die Akzeptanz zusätzlicher Tools ist begrenzt. Den gesamten Vorbereitungsprozess, einschließlich der Lieferketten-Absicherung, beschreibt unsere Schritt-für-Schritt-Anleitung zur TISAX Vorbereitung.

"Prototypenschutz ist kein reines IT-Thema. Die häufigsten Findings im Assessment betreffen organisatorische Lücken: Kameraverbote, die nicht durchgesetzt werden, Schulungen, die nicht stattfinden, und Mandantentrennung, die nur auf dem Papier existiert. Wer diese drei Punkte im Griff hat, hat die Hälfte des Audits bestanden."

Amin Abbaszadeh, Informationssicherheitsexperte bei SECJUR

Assessment: Was wird beim Prototypenschutz-Audit konkret geprüft?

Der Assessor prüft den Prototypenschutz anhand von fünf Methoden. Die Prüfung ist kein reiner Dokumentencheck. Bei Assessment Level 3 (Vor-Ort-Audit) begeht der Prüfer die Prototypenbereiche persönlich und führt Stichproben-Interviews mit Mitarbeitern.

Dokumentenprüfung: Der Assessor verlangt das Sicherheitskonzept für Prototypenbereiche, das NDA-Register, Schulungsnachweise, Zugangsregelungen und die Datenklassifizierung. Dokumente müssen aktuell sein. Ein Sicherheitskonzept von 2021, das nicht an die aktuelle Raumsituation angepasst wurde, wird beanstandet.

Begehung vor Ort: Der Prüfer prüft, ob Einblickschutz tatsächlich vorhanden ist, ob Zutrittskontrollsysteme funktionieren, ob Kameraverbotsschilder angebracht sind und ob Prototypen-Teile verschlossen gelagert werden. Bei Testfahrzeugen prüft er Tarnmaßnahmen und Fahrereinweisungen.

Stichproben-Interviews: Mitarbeiter in Prototypenbereichen werden gefragt, ob sie die Geheimhaltungsregeln kennen, wann ihre letzte Schulung war und wie sie vorgehen, wenn sie einen Verstoß beobachten. Wenn ein Mitarbeiter die grundlegenden Regeln nicht kennt, ist das ein Finding.

Technische Tests: Der Assessor prüft stichprobenartig, ob die Zugriffskontrolle auf digitale Prototypen-Daten funktioniert, ob Logging aktiv ist und ob Verschlüsselung implementiert wurde.

Häufigste Findings: Fehlende oder veraltete Schulungsnachweise, Kameraverbote ohne dokumentierte Durchsetzung, lückenhafte NDA-Register (externe Partner ohne unterschriebene Geheimhaltung), unzureichende Mandantentrennung zwischen verschiedenen OEM-Projekten und fehlende Zugangs-Logs für Prototypenbereiche. Zusätzliche Prüfziele wie Prototypenschutz kosten erfahrungsgemäß 1.000 bis 2.000 Euro extra auf die regulären Assessmentgebühren. Was die Umsetzung des gesamten Prozesses kostet, erfahren Sie im TISAX-Kosten-Guide.

Best Practices und Lösungsansätze

Vier Prinzipien, die Unternehmen mit erfolgreichem Prototypenschutz-Assessment gemeinsam haben.

Zero-Trust für Prototypen-Daten. Kein implizites Vertrauen, auch nicht für interne Mitarbeiter. Jeder Zugriff auf Prototypen-Daten wird authentifiziert, autorisiert und geloggt. Das Need-to-know-Prinzip wird technisch erzwungen (nicht nur als Richtlinie formuliert). Praktisch heißt das: Rollenbasierte Zugriffskontrolle auf Projektebene, automatische Entzug bei Projektwechsel, und ein Monitoring, das ungewöhnliche Zugriffsmuster erkennt.

Data-Loss-Prevention konsequent einsetzen. DLP-Tools überwachen, ob Prototypen-Daten das Unternehmen über unerlaubte Kanäle verlassen. E-Mail-Filter blockieren Anhänge mit als vertraulich klassifizierten Dateien, USB-Ports werden für nicht autorisierte Geräte gesperrt, und Druckaufträge für klassifizierte Dokumente werden protokolliert. Der Aufwand für die Einrichtung ist überschaubar, der Nutzen im Assessment direkt nachweisbar.

Mandantentrennung physisch und digital durchziehen. Wenn ein Zulieferer für mehrere OEMs arbeitet, dürfen die Prototypen-Daten von VW nicht mit denen von BMW in derselben Umgebung liegen. Das gilt für physische Bereiche (separate Hallen oder abgetrennte Zonen), für IT-Systeme (separate Netzwerksegmente oder VLANs) und für organisatorische Zuständigkeiten (Projektteams mit klar getrennten Zugriffsrechten).

Schulungen quartalsweise, nicht einmalig. Eine jährliche Pflichtschulung reicht nicht. Neue Mitarbeiter, neue Projekte und neue Bedrohungsszenarien erfordern regelmäßige Auffrischung. Quartalsweise Kurzschulungen (30 Minuten) mit dokumentierten Teilnahmelisten sind beim Assessment überzeugender als eine umfangreiche Jahresschulung ohne Nachweis der tatsächlichen Durchführung. Mit einer ISMS-Plattform wie SECJUR lassen sich Schulungen automatisiert zuweisen, Teilnahmen tracken und Audit-Trails für das Assessment aufbauen, ohne manuelle Excel-Listen pflegen zu müssen.