Leitfaden für Cybersicherheit und DMS-Resilienz im Autohaus

1. Die tatsächliche Angriffsfläche des Autohauses modellieren

Ein DMS steht selten allein. Es tauscht Kunden-, Fahrzeug-, Preis-, Reparatur-, Teile- und Buchhaltungsdaten mit CRM, OEM-Portalen, Finanzdienstleistern, Websites, Telefonsystemen, Diagnosewerkzeugen und Tabellen aus. Standortnetzwerke umfassen Büroendgeräte, Werkstattausrüstung, WLAN, Drucker, Kameras und Fernzugänge von Anbietern. Jede Identität und jede Schnittstelle gehört zur Betriebsgrenze.

Beginnen Sie mit einem Inventar der Ressourcen und Datenflüsse. Erfassen Sie Verantwortlichen, Zweck, Benutzer, Administrator, Internetexposition, Authentifizierung, Integrationen, Datensensibilität, Anbieter und Wiederherstellungsabhängigkeit. Berücksichtigen Sie inaktive Schnittstellen und Automatisierungskonten. Unbekannte Altverbindungen sind besonders gefährlich, weil sie nach Wegfall ihres Geschäftszwecks weitreichende Berechtigungen behalten können.

ENISA analysierte für den Threat Landscape 2025 insgesamt 4.875 Vorfälle. Innerhalb der Teilmenge Cyberkriminalität entfielen 81,1 % auf Ransomware, während mit Ransomware verbundene Sicherheitsverletzungen 15,2 % aller Vorfälle ausmachten. [1] Diese Bezugsgrößen sind unterschiedlich und dürfen nicht vermischt werden. Die operative Lehre lautet, dass Händler sowohl Prävention als auch Wiederherstellbarkeit benötigen.

2. Identität zur Sicherheitskontrollebene machen

Verlangen Sie, sofern verfügbar, phishingresistente Mehrfaktorauthentifizierung, insbesondere für Administratoren, E-Mail, Fernzugriff und Finanzfunktionen. Zentralisieren Sie die Anmeldung, wo es praktikabel ist, und sperren Sie gemeinsam genutzte Benutzerkonten. Dienstkonten benötigen Verantwortliche, eng begrenzte Berechtigungen, regelmäßig erneuerte Geheimnisse und dürfen nicht interaktiv genutzt werden. API-Zugangsdaten gehören in eine Geheimnisverwaltung, nicht in Skripte oder Tickets.

Implementieren Sie einen Eintritts-, Wechsel- und Austrittsprozess, der Personalfluktuation und Rollenänderungen im Autohaus abbildet. Deaktivieren Sie Zugriffe bei Austritt umgehend, entfernen Sie beim Wechsel alte Standortberechtigungen und prüfen Sie privilegierte Zugriffe regelmäßig. Trennen Sie die Berechtigungen zum Anlegen eines Lieferanten, zur Zahlungsfreigabe, zum Export von Kundendaten und zur Änderung von Sicherheitseinstellungen.

Überwachen Sie ungewöhnliche Anmeldeorte, unmögliche Reisebewegungen, Massenexporte, Berechtigungsänderungen, deaktivierte Protokolle und massenhafte Datensatzänderungen. Warnmeldungen benötigen Verantwortliche und Reaktionsleitfäden. Bewahren Sie Audit-Protokolle außerhalb der Reichweite des überwachten Kontos auf und synchronisieren Sie die Systemzeiten, damit Ermittler Ereignisse rekonstruieren können.

3. Technische Exposition und Integrationsrisiken verringern

Patchen Sie internetexponierte und bereits ausgenutzte Schwachstellen zuerst und berücksichtigen Sie dabei Kritikalität und Bedrohungsnachweise. Entfernen Sie nicht unterstützte Fernsteuerungssoftware und schließen Sie ungenutzte Ports. Trennen Sie Diagnose- und Werkstattgeräte von Finanz- und Identitätsdiensten. Anbieterzugriffe sollten zeitlich begrenzt, freigegeben und überwacht sein.

Sichern Sie Integrationen wie produktive Software. Validieren Sie Schema und Autorisierung, verhindern Sie mit Idempotenz doppelte Finanzereignisse, begrenzen Sie zurückgegebene Daten und schützen Sie Webhook-Endpunkte vor Spoofing und Replay-Angriffen. Verwenden Sie getrennte Zugangsdaten je Umgebung und Partner. Ein einziges allmächtiges Integrationskonto unterläuft das Rollenkonzept.

4. Wiederherstellung an den Autohausprozessen ausrichten

Definieren Sie Wiederherstellungspunktziel, Wiederherstellungszeitziel und maximal tolerierbare Ausfallzeit für Lead-Erfassung, Werkstattplanung, Teilewesen, Rechnungsstellung, Fahrzeugfreigabe und Entgeltabrechnung. Abhängigkeiten sind entscheidend: Die Wiederherstellung des DMS ohne Identität, DNS, Dokumentenspeicher oder OEM-Verbindung stellt möglicherweise keinen nutzbaren Betrieb her.

Halten Sie unveränderliche oder isolierte Sicherungen vor, die durch von der Produktionsadministration getrennte Zugangsdaten geschützt sind. Testen Sie die Wiederherstellung in einer sauberen Umgebung und prüfen Sie die Datenkonsistenz, nicht nur das Vorhandensein von Dateien. Dokumentieren Sie Dauer und manuelle Schritte. Bewahren Sie Anbieterkontakte und Lizenzinformationen in einem offline verfügbaren Notfallpaket auf.

Bereiten Sie kontrollierte Ausfallverfahren vor: Kunden verifizieren, Arbeiten erfassen, Fahrzeugfreigaben autorisieren, Teile dokumentieren, Papierformulare schützen und Transaktionen nach der Wiederherstellung abstimmen. Üben Sie mit den Standortleitern. Manuelle Betriebsfortführung ist keine Erlaubnis, Betrugs- und Datenschutzkontrollen zu umgehen.

5. Lieferanten als Teil der Kontrollumgebung behandeln

Fordern Sie risikogerechte Nachweise an: Hosting und Datenspeicherort, Verschlüsselung, Identitätskontrollen, Audit-Protokolle, sichere Entwicklung, Schwachstellenmanagement, unabhängige Prüfungen, Vorgehen bei Penetrationstests, Vorfallhistorie, Unterauftragsverarbeiter, Kontinuität sowie Datenrückgabe und -löschung. Ein Zertifikat ist hilfreich, beantwortet aber nicht, ob ein Händler MFA eingerichtet oder zu weitreichende Berechtigungen vergeben hat.

Verträge sollten Vorfallmeldung, Zusammenarbeit, Beweissicherung, Wiederherstellungsziele, Änderungen bei Unterauftragsverarbeitern und Unterstützung beim Ausstieg regeln. Erfassen Sie nachgelagerte Parteien, die den Dienst erheblich beeinträchtigen können. Bewerten Sie sie bei Vertragsverlängerung sowie nach wesentlichen Architektur- oder Eigentümeränderungen erneut.

Für personenbezogene Daten verpflichtet Artikel 32 DSGVO Verantwortliche und Auftragsverarbeiter zu risikogerechten Maßnahmen, darunter je nach Angemessenheit Verschlüsselung, Belastbarkeit, Wiederherstellung und regelmäßige Tests. [2] Dies ist risikobasiert und keine starre Checkliste.

6. NIS2 und Fahrzeugvorschriften ohne Übertreibung einordnen

NIS2 ist die Richtlinie (EU) 2022/2555 und wird daher von den Mitgliedstaaten in nationales Recht umgesetzt. Der Geltungsbereich hängt von Sektor, Unternehmenstyp, Größenregeln, nationalen Entscheidungen und Benennung ab. Die Herstellung von Kraftfahrzeugen steht in Anhang II; zudem fallen bestimmte Cloud-, Managed-Service- und Digitalanbieter in erfasste Kategorien. Ein gewöhnliches Autohaus fällt nicht automatisch darunter, nur weil es Fahrzeuge verkauft oder wartet. [3]

Auch wenn ein Händler nicht direkt erfasst ist, können OEM- oder Lieferantenverträge Anforderungen weiterreichen. Erfasste Unternehmen unterliegen nach nationaler Umsetzung Pflichten zu Governance, Risikomanagement und Vorfallmeldung. Prüfen Sie den konkreten Rechtsträger und die aktuelle nationale Gesetzgebung, statt sich auf eine Zusammenfassung auf EU-Ebene zu verlassen.

Die UNECE-Regelungen Nr. 155 und 156 behandeln Fahrzeug-Cybersicherheit und Software-Update-Management im Rahmen der Typgenehmigung. [4] Sie betreffen in erster Linie Hersteller und genehmigte Fahrzeugtypen, nicht die Zertifizierung jedes Autohaus-DMS. Händler können dennoch kontrollierte Softwareupdates, Kampagnennachweise und die Eskalation von Vorfällen in der weiteren automobilen Kette unterstützen.

Wo Omnetic einzuordnen ist

Die dokumentierten Module von Omnetic verbinden CRM-, Fahrzeuglebenszyklus-, Bestands-, Preis- und Prüfungsworkflows. Weniger unkontrollierte Übergaben können die operative Transparenz verbessern, doch Konsolidierung bündelt zugleich Abhängigkeiten und muss entsprechend geschützt werden. Die Produktdokumentation nennt APIs, Webhooks, externe Identifikatoren und geplante Exporte, veröffentlicht jedoch keinen vollständigen Sicherheits- oder Schnittstellenkatalog.

Fordern Sie Omnetic vor der Auswahl zu Nachweisen über Hosting, Datenspeicherort, Verschlüsselung, RBAC, MFA oder 2FA, Audit-Protokolle, Sicherungsisolation, Wiederherstellungstests, Vorfallregelungen, Schwachstellenmanagement, Unterauftragsverarbeiter und Integrationssicherheit auf. Validieren Sie Konfiguration und Verantwortlichkeiten für das vorgesehene Land und Paket.