TISAX und Datenaustausch: Was Zulieferer beim Teilen von Entwicklungsdaten beachten sollten

Montagmorgen bei einem Zulieferer für Fahrwerkskomponenten: Der Hersteller schickt neue Zeichnungen für ein Fahrzeug, das erst in drei Jahren vorgestellt wird. Die Konstruktion leitet einen Teil davon an den Werkzeugbauer weiter, die Qualität an ein Prüflabor. Am Ende der Woche liegen die Daten an sechs Orten, und keiner weiß genau, wo. Genau an dieser Stelle setzt TISAX an.

Was TISAX ist und wen es betrifft

TISAX (Trusted Information Security Assessment Exchange) ist das Prüf- und Austauschverfahren der Automobilindustrie für Informationssicherheit. Betrieben wird es von der ENX Association im Auftrag des Verbands der Automobilindustrie. Grundlage ist der Fragenkatalog VDA ISA, der sich an ISO/IEC 27001 orientiert und um branchenspezifische Anforderungen ergänzt ist, etwa zum Prototypenschutz.

Wer vertrauliche Informationen eines Herstellers verarbeitet, wird in der Regel aufgefordert, ein TISAX-Ergebnis vorzulegen. Das betrifft längst nicht mehr nur große Systemlieferanten, sondern auch Ingenieurbüros, Werkzeugbauer, Prüflabore und Agenturen.

Schutzbedarf und Prüftiefe

TISAX unterscheidet nach dem Schutzbedarf der Informationen, mit denen ein Unternehmen arbeitet, zum Beispiel:

• Informationen mit hohem oder sehr hohem Schutzbedarf,
• Prototypen und Prototypteile, einschließlich Fahrzeugen und Erprobungen,
• personenbezogene Daten im Auftrag des Herstellers.

Je höher der Schutzbedarf, desto genauer die Prüfung: vom Nachweis per Dokumentation bis zur Prüfung vor Ort. Das Ergebnis teilt das Unternehmen über die ENX-Plattform mit seinen Auftraggebern. Es gilt in der Regel drei Jahre.

Der blinde Fleck: Daten auf dem Weg zu Partnern

Viele Unternehmen bereiten sich gründlich auf Serverräume, Zutrittskontrolle und Richtlinien vor. Der Datenaustausch mit Dritten bleibt oft eine Lücke. Dabei fragt der Katalog ausdrücklich danach, wie Informationen klassifiziert, übertragen und bei Partnern geschützt werden.

Typische Schwachstellen im Alltag:

1. E-Mail-Anhänge mit Zeichnungen, die sich nicht zurückholen lassen.
2. Filesharing-Links ohne Ablaufdatum, die jeder öffnen kann, der sie kennt.
3. Weitergaben an Unterlieferanten, die niemand protokolliert.
4. Keine Geheimhaltungsvereinbarung, bevor die ersten Daten fließen.

Merksatz: Im Assessment zählt nicht, was in der Richtlinie steht, sondern was Sie belegen können: wer welche Daten wann bekommen hat und unter welchen Regeln.

So sieht ein prüffester Austausch aus

Ein Austausch, der zu TISAX passt, hat vier Eigenschaften:

• Verschlüsselt vor dem Versand: Daten werden auf dem Gerät verschlüsselt, der Dienst sieht nur Geheimtext.
• Regeln statt Vertrauen: benannte Empfänger, Ablaufdatum, Anzahl der Öffnungen, bei Bedarf nur Ansehen mit Wasserzeichen.
• Geheimhaltung zuerst: Die NDA wird unterschrieben, bevor die erste Zeichnung sichtbar wird.
• Protokoll: Wer hat wann was geöffnet, bestätigt oder heruntergeladen? Diese Nachweise lassen sich dem Auditor vorlegen.

Weil Entwicklungsdaten oft viele Jahre vertraulich bleiben müssen, gehört auch der Schutz vor künftigen Angriffen dazu. Warum heute abgefangene Daten später lesbar werden können, erklärt der Beitrag Harvest now, decrypt later.

Was Sie jetzt tun können

1. Datenflüsse kartieren: Welche Daten des Herstellers gehen an wen weiter?
2. Schutzbedarf festlegen: Welche Daten sind hoch, welche sehr hoch eingestuft?
3. Kanäle vereinheitlichen: Ein Weg für vertrauliche Daten statt E-Mail, USB-Stick und fünf Cloud-Dienste.
4. NDA-Ablauf festlegen: Unterschrift vor Zugriff, zentral abgelegt.
5. Nachweise sammeln: Protokolle und Bestätigungen gehören in die Unterlagen für das Assessment.

PQVault im Zulieferer-Alltag

Mit PQVault Spaces richten Sie Projekträume für Hersteller und Unterlieferanten ein, mit Freigaben, Wasserzeichen und Protokoll. PQVault Store & Share liefert Links mit Regeln für schnelle Weitergaben. Und mit PQVault Partner Flow laufen NDA, Datenfreigabe und Bestätigungen als nachvollziehbarer Ablauf je Partner. Alles ist Ende-zu-Ende verschlüsselt, zusätzlich mit NIST-standardisierten Post-Quanten-Verfahren. Mehr Szenarien aus der Branche: Mobility.