VW Immo IV/V: Schlüssel anlernen bei Golf 7, 8 und Audi

Der gesamten Immobilizer-Entwicklung liegt ein einziges Prinzip zugrunde: Eine Aussage über Identität ist wertlos, solange sie nicht unabhängig überprüfbar ist. Ein Schlüssel, der lediglich behauptet, der richtige zu sein, taugt nicht als Sicherung – geprüft werden muss, ob er ein Geheimnis kennt, das nur der echte Schlüssel kennen kann. Genau dieses Problem löst eine Wegfahrsperre: Der Schlüssel behauptet, der richtige zu sein. Das ECU muss unabhängig beweisen, dass diese Behauptung stimmt – ohne den geheimen Schlüssel preiszugeben.

Die Evolution von Immo III → IV → V ist ein Geschichte eines immer enger gezogenen Beweiszirkels:

Immo III (Referenz: Golf 6, Passat B6, Audi A4 B8). Transponder mit eindeutiger ID + Challenge-Response über eine 48-bit-Krypto-Variante. Das Immo-Steuergerät sitzt physisch im Kombiinstrument, Schlüssel-Slot sendet Challenge, Transponder antwortet mit Key-abhängigem Hash, Kombi vergleicht, ECU wird freigegeben. Die Schwachstelle: Das Geheimnis steckt nur im Kombiinstrument. Wer das Kombi öffnet und die EEPROM-Daten ausliest (typisch 95320 SPI-Chip), bekommt die Schlüssel-Datenbank – und kann anschließend mit einem freien Programmiergerät neue Transponder anlernen, ohne ODIS. Das ist der historische Grund, warum Immo III mit “Aftermarket-Tools” teilweise funktionierte.

Immo IV (Golf 7 ab 2012, Passat B7/B8 bis ~2017). Separates Immo-Steuergerät, Kryptografie auf 128-bit AES-ähnliche Block-Chiffre erweitert, Komponentenschutz: Das Immo-Steuergerät ist an das Motorsteuergerät und das Gateway kryptografisch gebunden. Ein Ausbau und Wiedereinbau in ein anderes Fahrzeug funktioniert nicht ohne Komponentenschutz-Entsperrung. Die Anlernsequenz läuft über UDS ISO 14229 Service $27 SecurityAccess mit SA-Level spezifisch für Immo-Zugriff – und der dafür notwendige Seed-Key-Algorithmus ist an den Workshop System Authorization (WSA)-Code gebunden. ODIS mit aktivem WSA-Zugang kann lokal anlernen, weil die dafür notwendigen Secrets im ODIS-Login hinterlegt sind. Aftermarket-Tools ohne WSA-Lizenz scheitern am $27 – sie bekommen den Seed, können aber den Key nicht korrekt berechnen (ähnlich wie bei FBS3 an Mercedes).

Immo V (Golf 8 ab 2019, Audi A4 B9 ab ~2018, Tiguan 2 ab ~2019). Setzt den Trend von Mercedes FBS4 fort: Das Geheimnis liegt nicht mehr lokal im Fahrzeug, sondern server-gebunden beim VW-Konzern. Der Anlernprozess baut eine TLS-gesicherte Verbindung vom ODIS-Tester zum GeKO/FAZIT-Server (VW-Komponentenschutz-Server) auf. Das Fahrzeug sendet eine Challenge, der Server antwortet mit einem für genau diese VIN + diesen Zeitstempel + diese Werkstattnummer signierten Token. Das Fahrzeug prüft die Signatur gegen hinterlegten Server-Public-Key und akzeptiert den Anlernvorgang nur bei gültiger Signatur. Die Werkstattnummer wird dabei server-seitig protokolliert – wer Immo V programmiert, hinterlässt eine forensische Spur.

Die Konsequenzen für die Praxis:

• Szenario “Zweitschlüssel zulernen bei vorhandenem Originalschlüssel” (häufigster Fall): Immo IV offline per ODIS-WSA, Immo V meist auch offline – das Fahrzeug akzeptiert den Zweitschlüssel, solange der Original-Transponder die Anlernsequenz autorisiert.
• Szenario “Alle Schlüssel verloren”: Immo IV noch teilweise offline über Notlauf-Verfahren (abhängig von Baujahr und Modell), Immo V zwingend online über den GeKO/FAZIT-Server. Ohne Server-Freigabe gibt es keinen funktionierenden Schlüssel. Fremdtools ohne Engineering-Zugriff kommen hier nicht weiter – auch nicht mit EEPROM-Dumping, weil das Geheimnis eben nicht lokal im Fahrzeug liegt.
• Szenario “ECU-Tausch”: Immo V verlangt Komponentenschutz-Freigabe vom VW-Server, bevor das neue ECU startet. Das ist der Grund, warum VW-ECUs aus eBay-Schrottplatz-Ankäufen bei neueren Fahrzeugen nicht mehr funktionieren – das Ziel-ECU ist an ein anderes GeKO-Freigabe-Paket gebunden.

Der kryptografische Beweiszirkel hat sich damit von “liegt im Kombi” (Immo III) über “liegt in den Werkstatt-Lizenzen” (Immo IV) zu “liegt ausschließlich beim Hersteller” (Immo V) verengt. Für den Fahrzeugeigentümer bedeutet das: Die Wahl der Werkstatt ist nicht mehr primär eine Preisfrage, sondern eine Zugriffsfrage. Wer nicht den Lizenzstatus hat, kommt nicht rein – Verbal Kint würde sagen: “The greatest trick the devil ever pulled was convincing the world he wasn’t there.” Der Server ist da, aber nur wer die richtige Login-Kette mitbringt, bekommt ihn zu Gesicht.