Automotive & Zulieferer · Prototypenschutz

Pentest für Automotive-Zulieferer: Werksgelände, Entwicklung, Prototyp

TISAX ist für Zulieferer der deutschen Automobilindustrie praktisch Pflicht. Das vollständige Bild mit VDA ISA, Assessment-Level und Labels steht auf unserer TISAX-Seite. Diese Seite nimmt den Teil auseinander, den ein Fragebogen nicht abbildet: das, was physisch um einen Prototyp herum liegt. Werksgelände, Entwicklungsbereich, Produktionsnetz und die Zulieferer dahinter, Lage für Lage, so wie eine Explosionszeichnung ein Bauteil zerlegt.

Werksgelände prüfen lassen Zeichnung ansehen
  • Fokus: Gebäudebegehung & Prototypenschutz
  • Erfahrung mit OEM- & Tier-1-Anforderungen
  • Kostenloses Erstgespräch

Blattkopf

Prüfblatt Automotive-Standort

Prüfgegenstand
Werksgelände, Entwicklungsbereich, Prototypenlager, Produktionsnetz
Prüftiefe
AL 1-3
alle TISAX-Assessment-Level abgedeckt
Bericht nach Testabschluss
5 Werktage
mit Mapping auf die VDA-ISA-Kontrollen
Abgeschlossene Pentests
100+
physisch, netzwerkseitig und über Social Engineering

Was Access Granted liefert, ist der Test und der technische Nachweis. Das TISAX-Label selbst vergibt die ENX Association über zugelassene Prüfdienstleister, nicht wir.

Die Zeichnung

Ein Automotive-Standort, auseinandergezogen

Ein Prototyp steht nie allein. Um ihn herum liegen Lagen, die alle einzeln versagen können: das Werkstor, der Entwicklungsbereich, die Halle nebenan, die Zulieferer dahinter. Zusammengebaut sieht das nach einem geschlossenen Standort aus. Auseinandergezogen sieht man, an welcher Lage ein Angreifer tatsächlich ansetzt.

Stückliste

01 Werkstor & Perimeter Zaun, Schleuse, Pforte, Nebeneingang 02 Entwicklungsbereich CAD-Daten, Konzeptunterlagen, Musterbau 03 Prototyp & Lagerung Testfahrzeug, Abdeckung, Geheimhaltungsbereich 04 Produktionsnetz Fertigungslinie, Steuerungstechnik, Fernwartung 05 Lieferkette Tier 2 und 3, Dienstleister, Zugänge von außen
gerade betrachtet im Prüfumfang außerhalb des Prüfumfangs

Die Zeichnung läuft von selbst durch die fünf Lagen. Wer eine Position anwählt, hält sie an.

Pos. 01

Werkstor & Perimeter

Zaun, Schleuse, Pforte, Nebeneingang

Wie ein Angreifer hier vorgeht

Am Werkstor entscheidet sich fast alles Weitere. Wer mit Warnweste, Klemmbrett und einer plausiblen Lieferung auftritt, wird selten nach mehr gefragt. An einer stark frequentierten Schleuse reicht es oft, kurz hinter jemandem mit Badge durchzugehen. Tailgating funktioniert dort am besten, wo im Schichtwechsel viele Menschen gleichzeitig ein- und ausgehen, weil Nachfragen dann den Ablauf aufhalten würde.

Was wir an dieser Lage prüfen

Wir versuchen den Zutritt so, wie ihn jemand ohne Berechtigung versuchen würde: an Toren, Nebeneingängen, Anlieferung und Besucherbereich, zu Zeiten mit viel und mit wenig Betrieb. Geprüft wird, ob die Pforte Ausweise wirklich kontrolliert, ob Besucher begleitet werden und ob jemand eingreift, wenn ein Unbekannter im Werk steht. Das ist der Teil, auf den euer Auditor bei der Vor-Ort-Prüfung auf AL 3 schaut.

Zum Physical Pentest

Woher der Druck kommt

Der Prüfdruck kommt von oben, der Angriff von unten

Geprüft werdet ihr von eurem Kunden, nicht von einer Behörde. Das unterscheidet Automotive von KRITIS oder NIS2, und es macht die Sache nicht entspannter: ein Kunde kann den Auftrag schneller zurückziehen als eine Behörde ein Verfahren eröffnet.

  1. OEM

    Hersteller

    Verlangt den Nachweis, bevor Daten und Teile fließen. BMW, VW, Mercedes-Benz, Porsche und Audi fordern TISAX von ihren Lieferanten, große Tier-1-Zulieferer wie Bosch und Continental geben die Anforderung an ihre eigenen Lieferanten weiter.

  2. Tier 1

    Direktzulieferer

    Entwicklung, Prototypen und Serienteile im eigenen Haus. Meist Assessment-Level 2, bei Prototypen AL 3.

  3. Tier 2/3

    Vorgelagerte Zulieferer

    Kleiner, seltener geprüft, mit denselben Zugängen zu Daten und Werksgeländen wie die Großen.

Anforderung

Ab Assessment-Level 2 gehört eine Prüfung durch einen zugelassenen Prüfdienstleister zum TISAX-Ablauf, bei AL 3 ein vollständiges Vor-Ort-Audit mit Dokumentenprüfung und Interviews. Genau dort wird geschaut, ob Werksgelände, Entwicklungsbereiche und Prototypenlager einem echten Zutrittsversuch standhalten.

Angriffsweg

Der Angriff nimmt denselben Weg in die andere Richtung. Wer an die Daten eines Herstellers will, sucht sich die Stelle in der Kette, an der am wenigsten geprüft wird, und das ist selten der Konzern an der Spitze.

Das vollständige VDA-ISA-Mapping, die Unterschiede zwischen AL 1, AL 2 und AL 3 und die einzelnen Labels stehen auf unserer TISAX-Seite. Zur TISAX-Seite

Ein realistisches Szenario

Vom Werkstor bis in Sichtweite des Prototyps

Drei Schritte, mehr braucht es an den meisten Standorten nicht. Jeder einzelne wirkt für sich harmlos, und genau deshalb greift an keinem davon jemand ein.

  1. 01

    Der Vorwand

    Ein Tester gibt sich am Werkstor als Mitarbeiter eines bekannten Zulieferers oder als Lieferfahrer aus, mit Warnweste, Klemmbrett und einer plausiblen Lieferung im Gepäck.

    Was hier zählt: ob die Pforte den Ausweis sehen will oder die Geschichte glaubt.

  2. 02

    Der Zutritt

    An einer stark frequentierten Schleuse oder einem Seiteneingang zum Entwicklungsflügel reicht oft, kurz hinter einem Mitarbeiter mit Badge durchzugehen. Tailgating funktioniert dort besonders gut, wo viele Menschen gleichzeitig ein- und ausgehen.

    Was hier zählt: ob jemand die Tür zuhält und nachfragt, obwohl es unhöflich wirkt.

  3. 03

    Die Nähe zum Prototyp

    Einmal im Entwicklungsbereich zeigt sich, ob Abdeckungen, Zutrittszonen und Kamerabereiche tatsächlich verhindern, dass ein Unbefugter unbemerkt in Sichtweite eines getarnten Testfahrzeugs gelangt.

    Was hier zählt: ob der Weg an dieser Stelle endet oder ob ein Foto möglich gewesen wäre.

Jeder Schritt läuft kontrolliert und vorab abgestimmt, inklusive eines festgelegten Ansprechpartners, der im Ernstfall sofort informiert wird.

Maßstab

Welches Assessment-Level euer Kunde verlangt, entscheidet über die Prüftiefe

TISAX kennt drei Schutzbedarfsstufen. Euer Kunde gibt vor, welche für euch gilt. Für die Seite hier ist vor allem eines wichtig: Ab hohem Schutzbedarf verlangt der VDA ISA eine technische Prüfung kritischer Systeme und nennt den Penetrationstest als Mittel dafür, bei AL 3 kommt die Prüfung vor Ort dazu.

AL 1

Normaler Schutzbedarf

Was der Auditor tut
Keine externe Prüfung, eine qualifizierte Selbstauskunft genügt
Wo geprüft wird
Kein Termin erforderlich
Technischer Pentest
Freiwillig empfohlen

Was wir dazu beitragen

Ein kompakter Test als freiwilliger Zusatznachweis, wenn ihr eure eigene Selbstauskunft belegen wollt. Ein auf der ENX-Plattform teilbares Label entsteht auf dieser Stufe nicht.

AL 2

Hoher Schutzbedarf

Was der Auditor tut
Ein zugelassener Prüfdienstleister prüft die Selbstauskunft anhand von Nachweisen und Interviews auf Plausibilität
Wo geprüft wird
In der Regel per Web-Konferenz
Technischer Pentest
In der Praxis erwartet

Was wir dazu beitragen

Der Pentest-Bericht, den der Auditor als technischen Nachweis sehen will, mit den Befunden auf die VDA-ISA-Kontrollen gemappt. Häufigste Stufe bei Tier-1-Lieferanten.

AL 3

Sehr hoher Schutzbedarf

Was der Auditor tut
Vollständiges Audit mit Dokumentenprüfung und Interviews, die höchste Prüftiefe innerhalb von TISAX
Wo geprüft wird
Vor Ort im Unternehmen
Technischer Pentest
Erwartet, erweiterter Scope

Was wir dazu beitragen

Der physische Teil in voller Breite: Zutrittsversuch, Prototypenbereiche, Sichtachsen, dazu der Infrastruktur-Pentest. Das ist die Stufe, auf der ein Prototyp geschützt sein muss.

Die Labels hängen an diesen Stufen: Confidential wird typischerweise über AL 2 nachgewiesen, Strictly Confidential ausschließlich über AL 3 mit vollständigem Vor-Ort-Audit. Ein vergebenes Label ist drei Jahre gültig. Assessment-Level im Detail

Toleranzfeld

Was auf diesem Blatt steht und was nicht

Eine Zeichnung, die nicht sagt, wo das Bauteil aufhört, ist keine Zeichnung. Deshalb hier ausgeschrieben, was wir übernehmen und was ihr woanders beauftragen müsst.

Im Prüfumfang

  • Der simulierte Zutrittsversuch auf Werksgelände, in Entwicklungsbereiche und Prototypenlager, an Toren, Nebeneingängen und im Schichtwechsel.
  • Der physische Teil des Prototypenschutzes: Zutrittszonen, Sichtachsen, Kamera-Totzonen, Abdeckungen im Alltag, Übergabe an Transporte.
  • Social Engineering als Vorbereitung und als eigener Prüfteil, vom Vorwand am Werkstor bis zur Phishing-Mail an die Entwicklung.
  • Netzwerkseitige Prüfung: Segmentierung zwischen Verwaltung, Entwicklung und Produktion, Fernwartungszugänge, Active Directory.
  • Ein Bericht, der die Befunde auf die VDA-ISA-Kontrollen mappt und den ihr eurem Auditor vorlegen könnt, fünf Werktage nach Testabschluss.

Nicht im Prüfumfang

  • Das TISAX-Label. Labels vergibt die ENX Association über zugelassene Prüfdienstleister. Wir liefern den Test, den Nachweis und die Vorbereitung darauf.
  • Rechtsberatung und die rechtliche Einordnung eurer Verträge. Was euer Kunde von euch verlangt, steht in eurem Liefervertrag, nicht in unserem Bericht.
  • Fahrzeug-Elektronik: Steuergeräte, Bussysteme und die Software im Fahrzeug. Dafür braucht es eigene Ausrüstung und eigene Leute.
  • Der Aufbau eures ISMS. Wir prüfen, ob die Maßnahmen in der Praxis halten, und schreiben auf, wo nicht. Die Dokumentation selbst bleibt bei euch.

TISAX ist eine eingetragene Marke der ENX Association. ISO 27001

Was passieren kann

Continental: Ransomware trifft auch Tier-1-Zulieferer

Continental AG · 2022 · nach öffentlicher Berichterstattung

2022 wurde Continental, einer der größten Tier-1-Zulieferer der deutschen Automobilindustrie, laut Medienberichten Ziel eines Angriffs der Ransomware-Gruppe LockBit. Der Fall zeigt: Auch etablierte, gut abgesicherte Zulieferer sind vor Ransomware nicht gefeit, unabhängig von Größe oder TISAX-Reifegrad.

Was wir daraus mitnehmen

Ein bestandenes Assessment beschreibt einen Zustand an einem Stichtag. Der Standort danach ist ein anderer: neue Halle, neuer Dienstleister, neuer Fernwartungszugang. Deshalb hat sich ein Rhythmus bewährt, bei dem der vollständige Test vor dem Assessment steht und danach jährlich ein kürzerer Test auf das folgt, was sich geändert hat.

Angaben nach öffentlicher Berichterstattung. Access Granted war an diesem Vorfall nicht beteiligt.

Weitere Fälle und Projekte

Stückliste der Tests

Diese Module ergänzen euer TISAX-Assessment

Für den physischen und netzwerkseitigen Teil eures Sicherheitsnachweises hat sich diese Kombination bei Automotive-Zulieferern bewährt. Welche Module ihr wirklich braucht, hängt am Assessment-Level und daran, was auf eurem Gelände steht.

  1. 01

    Physical Pentest

    Simulierter Zutritt zu Werksgelände, Entwicklungsflügeln und Prototypenbereichen, genau der Teil, auf den der Auditor bei der Vor-Ort-Prüfung auf AL 3 schaut. Der VDA ISA behandelt physische Sicherheit, Zutrittskontrolle und den Schutz von Serverräumen in einem eigenen Kapitel.

    LagePos. 01 & 03 Mehr erfahren
  2. 02

    Social Engineering

    Der Vorwand am Werkstor, der Anruf in der Entwicklung, die Mail an den Musterbau. Der VDA ISA sieht Awareness als Teil des Sicherheitsmanagements vor, und ein Test zeigt schneller als jede Schulung, wo die Lücke sitzt.

    LagePos. 01 & 02 Mehr erfahren
  3. 03

    OT/ICS Pentest

    Sicherheitsprüfung von Fertigungslinien und Steuerungstechnik, ohne Risiko für den laufenden Produktionsbetrieb. Passive Aufnahme, abgestimmte Testfenster, keine aktiven Eingriffe an Anlagen, die gerade produzieren.

    LagePos. 04 Mehr erfahren
  4. 04

    Infrastruktur-Pentest

    Netzwerksegmentierung zwischen Entwicklung, Produktion und Verwaltung, inklusive Zugriffsrechten und Fernwartungszugängen. Deckt den IT-Teil ab, den der VDA ISA an technischen Nachweisen verlangt.

    LagePos. 04 & 05 Mehr erfahren
  5. 05

    Schulung & Awareness

    Nach dem Test der Termin mit den Leuten, die im Test vorkamen: Pforte, Werkschutz, Entwicklung. Anhand der eigenen Befunde statt an erfundenen Beispielen, das bleibt erfahrungsgemäß länger hängen.

    LagePos. 01 & 02 Mehr erfahren

Ablauf

Wie der Test bei euch abläuft

Vier Schritte, davon einer vor Ort. Die Testdauer liegt typischerweise zwischen 3 und 10 Werktagen, abhängig von Scope und Assessment-Level.

  1. OrtVideo-Call, 30 Minuten

    01Erstgespräch und Scope

    Wir klären, welches Assessment-Level euer Kunde verlangt, welche Standorte dazugehören und ob Prototypenbereiche im Spiel sind. Danach bekommt ihr in der Regel innerhalb von 24 Stunden ein festes Angebot.

  2. Ortschriftlich, vor dem Test

    02Rules of Engagement

    Zeitfenster, Bereiche, Ausschlusszonen und Notfallkontakte stimmen wir vorab mit Werkschutz und Werkleitung ab. Ein festgelegter Ansprechpartner weiß Bescheid und kann den Test jederzeit abbrechen, alle anderen nicht, sonst wäre das Ergebnis wertlos.

  3. Ort3 bis 10 Werktage, davon ein Teil vor Ort

    03Der Test

    Der Zutrittsversuch läuft so, wie ein echter Eindringling vorgehen würde. Linien werden dabei nicht angehalten, Maschinen nicht berührt, Arbeitssicherheit hat Vorrang. Läuft ein Tester in eine Situation, die den Betrieb stören könnte, bricht er ab.

  4. OrtVideo-Call, 5 Werktage danach

    04Bericht und Abschlussgespräch

    Der Bericht kommt fünf Werktage nach Testabschluss, mit den Befunden auf die VDA-ISA-Kontrollen gemappt, priorisiert und mit Fotos als Nachweis. Im Abschlussgespräch gehen wir ihn mit euch durch, bevor ihn euer Auditor sieht.

Die meisten Teams merken vom Test erst im Abschlussgespräch, dass er stattgefunden hat, und genau das ist das Ergebnis.

Häufige Fragen

Automotive & Prototypenschutz: eure Fragen

Unsere TISAX-Seite deckt das komplette Thema ab: VDA-ISA-Kontrollen, Assessment-Level AL 1 bis AL 3, TISAX-Labels und den Vergleich zu ISO 27001. Diese Seite hier fokussiert bewusst auf einen einzelnen Ausschnitt daraus, den physischen Zutritt zu Werksgelände und Prototypenbereichen, weil das oft der am wenigsten getestete Teil ist.

Prototypenschutz ist ein eigenständiges TISAX-Prüfmodul für den Schutz von Testfahrzeugen und -teilen vor unautorisierter Einsicht: Abdeckungen, Camouflage, sichere Lagerung, Transport und Zutrittskontrolle zu den entsprechenden Bereichen. Dahinter stehen mehrere Prüfobjekte statt eines einzelnen Labels, je nachdem, ob es um Bauteile, Prototypenfahrzeuge, Erprobungsfahrzeuge oder Veranstaltungen und Film- oder Fotoshootings geht. Details dazu und zu den zugehörigen Labels findet ihr auf unserer TISAX-Seite.

Ja. Gerade kleinere Zulieferer geraten zunehmend ins Visier, weil sie häufig als einfacherer Weg in die Lieferkette großer OEMs gelten. Umfang und Scope passen wir an eure Unternehmensgröße und euer Assessment-Level an.

Das hängt von Anzahl und Größe der Standorte ab, sowie davon, ob Social Engineering als Vorbereitung mit einbezogen werden soll. Ein kurzes Erstgespräch reicht, um das einzugrenzen, danach bekommt ihr ein festes Angebot, in der Regel innerhalb von 24 Stunden.

Der physische Kern, also der simulierte Zutrittsversuch, ja, das lässt sich nicht remote testen. Vorbereitung, Scoping und Auswertung laufen dagegen wie gewohnt per Video-Call, sodass der Aufwand vor Ort auf den eigentlichen Test beschränkt bleibt.

Nein, wenn es richtig geplant ist. Wir stimmen Zeitfenster, Bereiche und Notfallkontakte vorab mit Werkschutz und Werkleitung ab und halten uns an die Rules of Engagement. Getestet wird, wie ein echter Eindringling vorgehen würde: Zutrittsversuche an Toren und Nebeneingängen, Tailgating im Schichtwechsel, der Weg vom Besucherbereich zum Prototypenlager. Linien werden dabei nicht angehalten, Maschinen nicht berührt, Arbeitssicherheit hat Vorrang. Läuft ein Tester in eine Situation, die den Betrieb stören könnte, bricht er ab. Die meisten Teams merken vom Test erst im Abschlussgespräch, dass er stattgefunden hat, und genau das ist das Ergebnis.

Ein TISAX-Label ist drei Jahre gültig, der VDA ISA verlangt aber eine regelmäßige Überprüfung der technischen Maßnahmen, nicht nur eine zum Assessment-Termin. In der Praxis hat sich ein vollständiger Test vor dem Assessment bewährt und danach jährlich ein kürzerer auf das, was sich geändert hat: ein neuer Standort, ein neuer Fernwartungszugang, ein umgebautes Prototypenlager. So steht zum Re-Assessment eine lückenlose Nachweiskette statt eines drei Jahre alten Berichts.

Unseren Bericht bekommt ihr, sonst niemand. Was ihr davon in euer TISAX-Ergebnis einfließen lasst, entscheidet ihr. Die Ergebnisse selbst werden nicht veröffentlicht, sondern über die ENX-Plattform geteilt, und über fünf Freigabestufen von A bis E legt ihr dort fest, wie viele Details ein anfragender Partner einsehen darf.

Für den Kunden in der Automobilindustrie in der Regel nicht. TISAX baut auf ISO/IEC 27001 auf und ergänzt sie um Anforderungen aus dem VDA-ISA-Katalog, Prototypenschutz zum Beispiel gibt es dort nicht. Vorhandene ISO-27001-Nachweise werden beim TISAX-Audit berücksichtigt, ersetzen es aber nicht. Der technische Teil des Nachweises ist für beide derselbe, ein Pentest zahlt also auf beides ein.

Am physischen Teil wenig, an der Berichterstattung schon. VDA ISA 6.0 ist seit dem 1. April 2024 für neu beauftragte Assessments verbindlich und ergänzt unter anderem Kontrollen zu Krisenmanagement, IT-Service-Continuity sowie Backup und Recovery, dazu eigene Verfügbarkeits-Labels. Unser Mapping folgt dem aktuellen Katalog, ihr müsst also nichts umrechnen.

Bereit, euer Werksgelände auf die Probe zu stellen?

In 30 Minuten besprechen wir euren Scope, klären, was für Prototypenschutz und Gebäudebegehung relevant ist, und ihr erhaltet ein unverbindliches, kostenloses Angebot.

Jetzt Erstgespräch buchen Kontakt aufnehmen

Kontakt

Adresse
Albert-Einstein-Straße 1, 95028 Hof
E-Mail
hello@access-granted.de
Telefon
+49 9281 5918506

AccessGranted X GmbH · HRB 7266 · Hof (Saale)

Unternehmen

Leistungen

Pentests für Regularien

Branchen

Netzwerke & Vertrauenszeichen
Vertrauenszeichen des Bundesverbands IT‑Sicherheit (TeleTrusT)
Teilnehmer der Allianz für Cyber-Sicherheit
© AccessGranted X GmbH Zuletzt aktualisiert: 19.09.2026