- Ein Security Gateway ist eine elektronische Firewall zwischen OBD-Stecker und Fahrzeugnetzwerk und blockiert Lese- sowie Schreibzugriff ohne Autorisierung.
- Die UN-Regelung R155 verlangt seit Juli 2024 für alle neu zugelassenen Fahrzeuge ein zertifiziertes Cybersecurity-Managementsystem beim Hersteller – in der Praxis bringt deshalb nahezu jeder Neuwagen eine Zugangsabsicherung mit. Stellantis, Hyundai/Kia und Mercedes waren früh dabei.
- Ohne SGW-Zugang scheitern selbst Routinearbeiten wie Servicereset, Bremsbelagwechsel mit elektrischer Parkbremse oder RDKS-Anlernen.
- Wir verfügen über [XENTRY](https://kfz-dietrich.com/glossar/#xentry), [ODIS](https://kfz-dietrich.com/glossar/#odis) und [ISTA](https://kfz-dietrich.com/glossar/#ista) sowie über professionelle Mehrmarken-Diagnosetechnik mit Freischaltung für gesicherte Gateways.
- Rechtsgrundlage des Zugangs ist die EU-Typgenehmigungsverordnung 2018/858 (Reparatur- und Wartungsinformationen, RMI); für diebstahl- und sicherheitsrelevante Daten kommt die SERMI-Zertifizierung des Betriebs hinzu.
Ein Kunde kommt mit seinem Fiat 500 Baujahr 2020 in eine freie Werkstatt. Die Motorkontrollleuchte leuchtet. Der Mechaniker schließt sein Diagnosegerät an den OBD-Stecker an – und bekommt nichts. Keine Fehlercodes, keine Live-Daten, keine Kommunikation mit den Steuergeräten. Das Gerät erkennt das Fahrzeug, stellt eine Verbindung her, doch die Antwort bleibt aus. Der Grund: ein Security Gateway.
Was wie ein Softwarefehler aussieht, ist ein bewusst implementierter Schutzmechanismus. Und er betrifft längst nicht nur Fiat. Das Security Gateway wird in den kommenden Jahren zur größten Herausforderung für unabhängige Werkstätten – sofern sie nicht in die entsprechende Infrastruktur investieren.
Was ist ein Security Gateway?
Ein Security Gateway (SGW) ist ein elektronisches Schutzmodul, das zwischen dem OBD-Diagnosestecker und den internen Fahrzeugnetzwerken sitzt. Es fungiert als Firewall: Jeder externe Zugriff auf die Steuergeräte muss zunächst authentifiziert und autorisiert werden, bevor eine Kommunikation stattfinden kann.
Ohne gültige Autorisierung blockiert das SGW sämtliche Schreibzugriffe und in vielen Fällen sogar Lesezugriffe auf die CAN-Bus-Netzwerke des Fahrzeugs. Das bedeutet:
- Keine Fehlercode-Auslesung aus relevanten Steuergeräten
- Kein Löschen von Fehlerspeichern
- Keine Codierung oder Anpassung von Steuergeräten
- Keine Programmierung oder Software-Updates
- Kein Stellgliedtest zur Fehlereingrenzung
- Keine Kalibrierung von Assistenzsystemen
Das Diagnosegerät zeigt in solchen Fällen entweder gar keine Daten oder nur oberflächliche Informationen, die für eine fundierte Diagnose nicht ausreichen.
Warum gibt es das Security Gateway?
Die Einführung von Security Gateways ist keine Schikane der Hersteller gegenüber freien Werkstätten. Der Hintergrund ist die zunehmende Vernetzung moderner Fahrzeuge und die daraus resultierende Angriffsfläche für Cyberkriminalität.
Fahrzeuge kommunizieren heute über Mobilfunk, WLAN und Bluetooth mit der Außenwelt. Steuergeräte für Motor, Getriebe, Lenkung und Bremsen sind über interne Netzwerke miteinander verbunden. Ein ungeschützter OBD-Zugang öffnet potenziell eine Tür zu sicherheitsrelevanten Systemen – von der Motorsteuerung bis zur elektrischen Lenkung.
Die UN-Regelung Nr. 155 (UNECE R155) verpflichtet die Fahrzeughersteller in den Vertragsstaaten des UNECE-1958-Abkommens seit Juli 2022 für neue Typgenehmigungen und seit Juli 2024 für alle neu zugelassenen Fahrzeuge zu einem zertifizierten Cybersecurity-Management-System. Vorgeschrieben ist damit der Nachweis eines Prozesses beim Hersteller, nicht ein bestimmtes Bauteil im Fahrzeug. Das Security Gateway ist die verbreitetste technische Antwort auf diese Anforderung. Es schützt das Fahrzeug vor:
- Unbefugtem Zugriff über den OBD-Stecker (z. B. Diebstahl durch Schlüsselprogrammierung)
- Manipulation von sicherheitsrelevanten Steuergeräten
- Kilometerstandfälschung durch Schreibzugriff auf das Kombiinstrument
- Illegaler Chiptuning-Software, die Abgaswerte verfälscht
Die Intention ist nachvollziehbar und im Sinne des Fahrzeughalters. Die Herausforderung liegt in der praktischen Umsetzung für den unabhängigen Aftermarket.
Die Rechtsgrundlage: Zugang zu Reparatur- und Wartungsinformationen
Ein Security Gateway darf den freien Werkstattmarkt nicht aussperren – und das ist keine Frage des guten Willens, sondern europäisches Recht. Die EU-Typgenehmigungsverordnung (EU) 2018/858 verpflichtet die Fahrzeughersteller, unabhängigen Marktteilnehmern einen uneingeschränkten, standardisierten und nichtdiskriminierenden Zugang zu den Reparatur- und Wartungsinformationen (RMI) einschließlich der Fahrzeug-OBD-Informationen zu gewähren. Die Informationen sind über die Hersteller-Portale bereitzustellen, und der Zugang darf auch dann nicht verwehrt werden, wenn die Kommunikation über ein gesichertes Gateway läuft.
Für diebstahl- und sicherheitsrelevante Informationen – Wegfahrsperre, Schlüsselanlernung, Airbag-Daten – gilt ein zusätzliches, formalisiertes Verfahren: das SERMI-Schema (Security-Related Repair and Maintenance Information). Es koordiniert die Akkreditierung und Autorisierung der Betriebe und ihrer Mitarbeiter, damit der Hersteller weiß, wem er diese besonders sensiblen Daten öffnet. In Deutschland wird die Zertifizierung über SERMA erteilt.
Wichtig für das Verständnis: SERMI regelt den Zugang zu Informationen und Funktionen des Herstellers. Es ist kein generelles Verbot, an Wegfahrsperre, Schlüsselsystem oder Airbag-Steuergerät zu arbeiten. Ohne diese Autorisierung bleiben dem Betrieb aber genau die Hersteller-Daten und Online-Funktionen verschlossen, ohne die solche Arbeiten an modernen Fahrzeugen praktisch nicht mehr fachgerecht durchführbar sind.
Welche Hersteller setzen auf Security Gateways?
Die Liste der betroffenen Hersteller wächst mit jedem Modelljahr. Hier ein Überblick über die wichtigsten Marken und den aktuellen Stand:
FCA / Stellantis (seit 2018)
Fiat Chrysler Automobiles – heute Stellantis – war einer der ersten Konzerne, der ein Security Gateway flächendeckend einführte. Betroffen sind:
- Fiat: 500, Panda, Tipo, Ducato (ab ca. 2018)
- Alfa Romeo: Giulia, Stelvio
- Jeep: Renegade, Compass, Wrangler
- Peugeot, Citroën, Opel, DS: neuere Modelle unter Stellantis-Plattformen
Besonders im Bereich der Nutzfahrzeuge (Fiat Ducato als Wohnmobil-Basis) sorgt das SGW regelmäßig für Probleme, da viele Aufbauer und Werkstätten den Zugang nicht besitzen.
Hyundai / Kia / Genesis
Der koreanische Konzern setzt bei neueren Modellgenerationen ebenfalls auf ein Security Gateway. Betroffen sind unter anderem:
- Hyundai: Tucson, Ioniq 5, Kona (neuere Generationen)
- Kia: Sportage, EV6, Ceed (neuere Generationen)
Der Zugang erfolgt über das herstellereigene System oder über autorisierte Drittanbieter-Lösungen.
Renault / Dacia / Nissan
Die Renault-Gruppe implementiert in neueren Fahrzeugen ein Sicherheitskonzept, das den Diagnosezugang einschränkt. Besonders betroffen sind Fahrzeuge auf der CMF-B- und CMF-CD-Plattform.
Mercedes-Benz
Mercedes-Benz setzt seit der aktuellen MBUX-Generation auf verschärfte Zugangsbeschränkungen. Für die herstellerspezifische Diagnose ist der Zugang über XENTRY mit entsprechender Zertifizierung erforderlich. KFZ Dietrich verfügt als eine von wenigen unabhängigen Werkstätten in der Region über diesen offiziellen Zugang.
BMW / Mini
BMW implementiert in neueren Modellen mit dem ISTA-System ebenfalls Zugangsbeschränkungen. Die Programmierung von Steuergeräten und bestimmte Codierungen erfordern eine authentifizierte Verbindung über das BMW-Serverbackend. Auch hier besitzt KFZ Dietrich den vollständigen ISTA-Zugang.
Volkswagen-Konzern (VW, Audi, Škoda, Seat, Cupra)
Der VW-Konzern implementiert seine Sicherheitsarchitektur sukzessive in neueren Modellgenerationen. Bestimmte Programmier- und Codierungsfunktionen sind nur mit autorisiertem ODIS-Zugang möglich – den KFZ Dietrich ebenfalls besitzt.
Was passiert in der Praxis ohne SGW-Zugang?
Zurück zu unserem Fiat-500-Kunden. Die erste Werkstatt konnte das Fahrzeug nicht diagnostizieren. Der Kunde wurde weitergeschickt – zunächst zum Vertragshändler, der einen Termin in drei Wochen anbot. Die Motorkontrollleuchte leuchtete weiter, der Kunde fuhr weiter, unsicher, ob das Fahrzeug ein ernstes Problem hatte.
Als der Kunde zu uns kam, stellten wir zunächst die Verbindung über unser autorisiertes SGW-Zugangssystem her. Innerhalb weniger Minuten kommunizierten wir mit allen relevanten Steuergeräten. Das Ergebnis: ein defekter Kurbelwellensensor, der sporadisch falsche Signale lieferte. Ein klar eingrenzbares Problem, eine gezielte Instandsetzung – ohne wochenlange Wartezeit.
Dieses Szenario wiederholt sich regelmäßig. Die Symptome variieren, das Grundproblem bleibt: Ohne SGW-Zugang ist eine freie Werkstatt bei betroffenen Fahrzeugen handlungsunfähig.
Typische Situationen, in denen Werkstätten ohne SGW-Zugang scheitern:
- Fehlersuche nach Warnleuchte: Keine Kommunikation mit dem betroffenen Steuergerät möglich
- Servicearbeiten mit Reset-Bedarf: Service-Intervallrückstellung blockiert
- Bremsbelagwechsel bei EPB: Elektrische Parkbremse lässt sich nicht in Serviceposition bringen
- Klimaservice: Kompressoransteuerung über SGW gesperrt
- Reifendrucksensor-Anlernung: RDKS-Module nicht beschreibbar
Wie KFZ Dietrich das Problem löst
Wir haben frühzeitig erkannt, dass das Security Gateway die Trennlinie zwischen zukunftsfähigen und eingeschränkten Werkstätten definieren wird. Deshalb haben wir in eine umfassende Diagnose-Infrastruktur investiert, die den autorisierten Zugang für ein breites Markenspektrum abdeckt.
Herstellerspezifische Diagnosesysteme
Für die drei großen deutschen Premiumhersteller setzen wir auf die identischen Systeme, die auch in den Vertragswerkstätten zum Einsatz kommen:
- XENTRY für Mercedes-Benz – vollständige Diagnose, Codierung und Programmierung
- ODIS für den gesamten VW-Konzern (VW, Audi, Škoda, Seat, Cupra) – inklusive Online-Programmierung
- ISTA für BMW und Mini – inklusive Steuergeräte-Programmierung
Professionelle Mehrmarken-Diagnosetechnik mit SGW-Freischaltung
Für alle weiteren Hersteller setzen wir auf professionelle Mehrmarken-Diagnosetechnik mit tiefem Datenbestand und Freischaltung für gesicherte Gateways. Der Ablauf ist dabei bei allen Systemen derselbe:
- Authentifizierung gegen das Hersteller- oder Anbieter-Backend, bevor überhaupt eine Verbindung zum geschützten Netzwerk zustande kommt
- Bindung an Betrieb und Techniker – der Zugang hängt an einer geprüften Identität, nicht am Gerät allein
- Protokollierung jedes Zugriffs, sodass später nachvollziehbar bleibt, wer wann welchen Schreibvorgang ausgelöst hat
So behalten wir auch bei Stellantis, Hyundai, Kia, Renault, Dacia und zahlreichen weiteren Marken den Diagnosezugang. Welche Funktionen an einem konkreten Fahrzeug freigeschaltet sind, klären wir vorab anhand der Fahrgestellnummer – das ist ehrlicher, als pauschale Zusagen für ganze Markenlisten zu machen.
SERMI: der formale Weg zu sicherheitsrelevanten Daten
Neben den technischen Zugangslösungen steht das europäische SERMI-Verfahren (Security-Related Repair and Maintenance Information). Seit April 2024 ist die SERMI-Zertifizierung des Betriebs die Voraussetzung dafür, diebstahl- und sicherheitsrelevante Fahrzeugdaten beim Hersteller abzurufen – herstellerübergreifend und unabhängig vom eingesetzten Diagnosesystem. Erteilt wird sie in Deutschland über SERMA.
Betroffen sind die Informationen und Online-Funktionen zu:
- Wegfahrsperren: Programmierung, Anlernung, Austausch
- Schlüsselsystemen: Neue Schlüssel anlernen, Transponder programmieren
- Airbag-Steuergeräten: Fehlerspeicher löschen nach Auslösung, Crash-Reset
- Diebstahlschutzsystemen: Alarmanlage, Neigungssensor, Innenraumüberwachung
Das SERMI-Verfahren ist dabei eine Zugangs-, keine Verbotsregelung: Es untersagt einem Betrieb nicht generell, an diesen Baugruppen zu arbeiten. Ohne die Autorisierung bleiben ihm jedoch die dafür nötigen Hersteller-Daten und Freischaltungen verschlossen. Die Zertifizierung erfordert eine Überprüfung des Betriebs, polizeiliche Führungszeugnisse der beteiligten Mitarbeiter und die Einhaltung strenger Dokumentationspflichten; sie ist regelmäßig zu erneuern.
Was bedeutet das für Sie als Fahrzeughalter?
Wenn Sie ein Fahrzeug ab Baujahr 2018 oder neuer besitzen, ist die Wahrscheinlichkeit hoch, dass Ihr Fahrzeug über ein Security Gateway verfügt. Das hat konkrete Auswirkungen auf Ihre Werkstattwahl:
Fragen Sie Ihre Werkstatt vor dem Termin, ob sie über SGW-Zugang für Ihr Fahrzeug verfügt. Eine seriöse Werkstatt wird Ihnen diese Frage ehrlich beantworten. Eine Werkstatt, die das Thema nicht kennt oder herunterspielt, wird im Zweifelsfall vor einem verschlossenen System stehen – und Sie weiterverweisen müssen.
Bei KFZ Dietrich ist der SGW-Zugang für ein breites Markenspektrum gesichert; für Ihr konkretes Fahrzeug klären wir das vorab anhand der Fahrgestellnummer. Sie erhalten die gleiche Diagnosetiefe wie beim Vertragshändler – mit der persönlichen Betreuung und Transparenz eines unabhängigen Meisterbetriebs.
Die Zukunft: Security Gateways werden Standard
Mit der Umsetzung der UNECE R155 für alle neu zugelassenen Fahrzeuge seit Juli 2024 wird das Security Gateway zum Standard in der gesamten Automobilindustrie. Die Regelung schreibt zwar kein bestimmtes Bauteil vor, sondern ein zertifiziertes Cybersecurity-Managementsystem beim Hersteller – im Ergebnis bringt aber nahezu jedes heute zugelassene Fahrzeug eine Form der Zugangsabsicherung mit.
Für Werkstätten bedeutet das: Die Investition in autorisierte Zugangssysteme ist keine Option mehr, sondern eine Grundvoraussetzung für die Arbeit an modernen Fahrzeugen. Für Fahrzeughalter bedeutet es: Die Wahl der richtigen Werkstatt wird zunehmend davon bestimmt, ob diese Werkstatt in der Lage ist, mit Ihrem Fahrzeug überhaupt zu kommunizieren.
Für Techniker: SecOC, UDS Security Access und PKI-Authentifizierung am SGW
Das Security Gateway ist technisch betrachtet eine Routing-ECU mit Firewall-Funktion auf dem zentralen CAN-FD- oder Ethernet-Backbone. Es verarbeitet Anfragen von der OBD-Buchse (typisch Pin 6/14 für CAN High/Low) und entscheidet pro UDS-Service (Unified Diagnostic Services nach ISO 14229), ob der Request an die Ziel-ECU weitergeleitet wird. Lese-Services wie 0x22 (Read Data By Identifier) sind teilweise offen, Schreib-Services wie 0x2E (Write Data By Identifier), 0x31 (Routine Control) oder 0x34/0x36 (Request/Transfer Download) erfordern Security Access via 0x27.
Die Absicherung der internen Buskommunikation stützt sich auf Secure Onboard Communication (SecOC), die mit AUTOSAR Classic 4.2 eingeführt wurde und symmetrische MAC-Verfahren (CMAC mit AES-128) nebst Schlüsselverteilung nutzt. Bei Stellantis (FCA SGW) läuft der Zugang über AutoAuth/SecureGateway-Server: Das Diagnosegerät meldet sich per HTTPS an, übergibt VIN und Techniker-Zertifikat und erhält ein zeitlich begrenztes Session-Token, das gegen das Fahrzeug-SGW per Challenge-Response getauscht wird. Die Gültigkeitsdauer legt der jeweilige Anbieter fest. Bei der VW-Gruppe heißt der Schreibschutz auf Steuergeräteebene SFD beziehungsweise SFD2 (Schutz Fahrzeug-Diagnose); freigeschaltet wird er über den GeKo-Zugang mit personalisierter Anmeldung. FAZIT ist demgegenüber die Fahrzeugdatenbank des Konzerns und der MirrorServer der lokale Datenspiegel – beides Datenquellen, keine Freischaltmechanismen. Bei BMW (AOS – Authorized Online Services) ist das Prinzip konzeptionell vergleichbar, kryptographisch aber inkompatibel.
Die SERMI-Autorisierung greift auf einer anderen Ebene: Sie arbeitet mit X.509-Zertifikaten, die zur Authentifizierung gegen die Hersteller-Backends für sicherheitsrelevante Daten (Wegfahrsperre, Schlüssel, Airbag-Crash-Reset) dienen. Das Zertifikat ist an den Betrieb und an den geprüften Techniker gebunden, wird über einen sicheren Token verwaltet und regelmäßig erneuert.
Workflow vor jedem SGW-Schreibzugriff: 1) Backend-Authentifizierung initiieren, 2) Token-Gültigkeit prüfen, 3) UDS Tester Present (0x3E) zyklisch senden, um Session offen zu halten, 4) Spannungsstabilisierung über 13,5 V (Ladegerät), 5) Schreibvorgang mit Lese-Verifikation. Wer Schritt 1 überspringt, bekommt ein NRC 0x33 (Security Access Denied) zurück.
Es gilt: Wer ohne legitime Schlüssel ins System will, kommt nicht weit — und hinterlässt Spuren im Audit-Log.
Weiterführende Informationen
- Spezialisierte Fahrzeugdiagnose & Instandsetzung
- Warum der Fehlerspeicher allein nicht reicht – Weshalb professionelle Diagnose weit über das Auslesen von Fehlercodes hinausgeht
- Bosch Car Service oder Herstellerdiagnose? – Ein Vergleich der verschiedenen Diagnoseansätze
- Unsere Diagnoseleistungen im Überblick – Alle Marken, alle Systeme
- Fahrzeugelektronik-Service – Spezialisierte Elektronik-Diagnose und Instandsetzung
- VW/Audi-Diagnose
- Bremsen-Service
Haben Sie technische Fragen zu Ihrem Fahrzeug? Schreiben Sie unserer Werkstatt direkt über die Warteliste für eine fachliche Ersteinschätzung.