4,8 Google Meisterbetrieb Herstellerdiagnose XENTRY · ODIS · ISTA Hardegsen b. Göttingen
Tuning-Schule · Schutz-Systeme

Tuning-Schutz, Zertifikate und Verschluesselung — Moderne ECU-Sicherheit verstehen

Moderne Steuergeraete sind keine offenen Mikrocontroller-Computer mehr. Sie haben Hardware Security Module, RSA-signierte Bootloader, Online-Server-Auth und Cybersecurity-Domains. Wer Tuning-Praxis nach 2018 verstehen will, muss diese Schutz-Architekturen kennen — und vor allem wissen, wo Werks-konforme Loesungen moeglich sind und wo der RFT-Werks-Service die einzige rechtssichere Werkstatt- Option ist.

Warum gibt es Tuning-Schutz ueberhaupt?

Werks-Hersteller bauen Tuning-Schutz aus mehreren parallelen Gruenden in moderne Steuergeraete ein. Es ist nicht nur eine Werks-Service-Bindung — es ist eine Mischung aus rechtlichen, technischen und Cybersecurity-Anforderungen.

1. Werks-Garantie-Schutz

Hersteller haften ueber die Werks-Garantie-Zeit fuer Werks-Auslegung der Werks- Hardware. Wenn ein Werks-Steuergeraet aufgrund eines unautorisierten Tuning-Files ueberlastet wird und Folge-Schaden am Motor entsteht, will der Hersteller diese Schaeden nicht decken. Der Tuning-Schutz ist also auch ein juristisches Werks-Garantie-Werkzeug.

2. Abgas-Norm-Konformitaet

Hersteller haften gegenueber den Werks-Zulassungsbehoerden (KBA, EU-Type-Approval) fuer die EU-Norm-Konformitaet ihrer Werks-Auslegung. Bei Manipulation des Werks- Kennfelds — z.B. durch Deaktivierung der AGR oder DPF-Off-Files — kann die Werks-EU-Konformitaet erlischen. Der Hersteller will das nachweisbar verhindern, was nur ueber technische Werks-Schutz-Mechanismen geht.

3. Cybersecurity-Verordnung UN-R155

Seit 7/2024 verpflichtet die UN-R155 die Hersteller zu einem Cybersecurity- Management-System (CSMS) ueber den gesamten Fahrzeug-Lebenszyklus. Hersteller muessen nachweisen, dass ihre Steuergeraete gegen unautorisierte Aenderungen geschuetzt sind — die starke Verbreitung von HSM und Online-Auth in modernen Werks-Steuergeraeten ist eine direkte Folge dieser Verordnung.

4. Werks-Service-Bindung

Hersteller bevorzugen Werkstatt-Service ueber das eigene Werks-Service-Netz — bessere Werks-Kunden-Bindung, hoehere Werks-Service-Margen, vollstaendige Werks-Daten ueber Werks-Fahrzeuge. Tuning-Schutz erschwert die Werks-Service- Vergabe an unabhaengige Werkstaetten — auch wenn die unabhaengigen Werkstaetten oft die Werks-Reparatur deutlich besser durchfuehren als das Werks-Netz selbst.

Geschichte der Tuning-Schutz-Mechanismen

Generation 1: Read-Protection-Bit (1995-2008)

Aeltere Steuergeraete der EDC15-/EDC16-/ME7-/MED9-Aera hatten einen einfachen Werks-Read-Protection-Mechanismus: ein einzelnes Lockbit im ECU-Flash. Bei aktivem Lockbit blockierte die Werks-Firmware den Werks-Read-Zugriff ueber OBD. Aber: ueber die BDM-/Boot-Mode-Schnittstelle direkt am Mikrocontroller-Pad war der Werks-Speicher trotzdem voll lesbar — die Werks-Schutz-Tiefe war begrenzt.

Werks-konforme Werkstatt-Werkzeuge dieser Generation: KTAG (BDM-Modus), MagicMotorsport Flex (BDM/Boot-Mode), KT200, AutoTuner (alle ab 2010er Generation). Werks-Tuning- Bearbeitung war ueber diese Hardware-Werkzeuge gut moeglich, ohne dass die Werks-Service-Bindung umgangen werden musste.

Generation 2: Tricore-Bootloader mit RSA-Signing (2008-2018)

Mit der Werks-Einfuehrung der Tricore-Mikrocontroller-Familie (Infineon TC1797, TC1791) bei EDC17, MED17, MEVD17, DDE7 kam ein neuer Werks-Schutz-Layer dazu: signierter Bootloader mit RSA-1024-Code-Signing. Beim Werks-Start prueft der Bootloader die Werks-Signatur der Werks-Firmware — Werks-gueltige Signatur -> Werks-Code wird ausgefuehrt; Werks-Signatur invalid -> Werks-Werkstatt-Modus.

Werks-Schwachstelle dieser Generation: bekannte Tricore-Lock-Bypass-Techniken (z.B. "Tricore Crack" 2014-2017 verbreitet) erlaubten den Bypass des Werks- Signaturen-Checks ueber Boot-Mode-Schwachstellen. Werks-Werkzeuge dieser Generation: alle modernen Profi-Werkzeuge mit Werks-Subscription (Magic-Motorsport-Flex Master, KESS3 Master, AutoTuner Master).

Generation 3: HSM + Online-Auth (ab 2018)

Mit Bosch MD1/MG1, Continental SIM2k-25x, ZF 8HP Generation 4 sind Werks-Schutz- Architekturen vollstaendig geworden:

Werks-konforme Werkstatt-Bearbeitung dieser Generation ist nur noch ueber Werks- autorisierte Service-Verfahren moeglich. Das ist die Werks-Logik hinter dem Magic-Motorsport-RFT-Service.

Generation 4: Domaenen-Architektur (ab 2024)

Die neueste Werks-Generation (Mercedes MB.OS, BMW iDrive 8 Cybersecurity-Domain, VW MEB-Plattform, Stellantis STLA-Plattform) hat zentrale Cybersecurity-Domains: nicht mehr einzelne Werks-Steuergeraete sind geschuetzt, sondern ganze Werks- Funktions-Domains (Antrieb, Body, Infotainment) sind ueber zentrale Werks- Cybersecurity-Module abgesichert.

Werks-Tuning ist hier nur noch in autorisierter Werks-Service-Kooperation moeglich — z.B. ueber Werks-zertifizierte Werks-Tuning-Programme (Mercedes-AMG-Performance- Programm, BMW-M-Performance-Service, Audi-RS-Plus-Programm). Klassische unabhaengige Werkstatt-Tuning-Bearbeitung ist auf diesen Plattformen aktuell nicht moeglich.

Werks-Schutz-Mechanismen im Detail

Hardware Security Module (HSM)

Das HSM ist der wichtigste Werks-Schutz-Baustein moderner Werks-Steuergeraete. Konkretes Werks-Beispiel: Infineon Aurix Tricore TC3xx-Familie (TC397, TC298) hat einen integrierten Werks-HSM-Bereich. Werks-Eigenschaften:

Werks-Bedeutung: selbst bei vollstaendigem physischem Werks-Zugriff auf das Werks-Steuergeraet (BDM/Boot-Mode-Anschluss am Werks-Mikrocontroller) sind die Werks-Keys nicht auslesbar. Klassische BDM-/Boot-Mode-Werks-Werkzeuge sind hier wirkungslos.

RSA-Code-Signing

Bei RSA-Code-Signing wird jede Werks-Firmware mit einem privaten Werks-Key signiert (typ. RSA-2048 oder RSA-4096 Bit). Werks-Ablauf:

  1. Werks-Hersteller compiliert Werks-Firmware-Image.
  2. Werks-Hersteller bildet Werks-Hash der Firmware (typ. SHA-256).
  3. Werks-Hash wird mit privatem Werks-RSA-Key verschluesselt -> Werks-Signatur.
  4. Werks-Firmware-Image + Werks-Signatur werden in das ECU geschrieben.
  5. Werks-Bootloader im HSM hat den passenden Werks-Public-Key fest hinterlegt.
  6. Beim Werks-Start des ECU: Werks-Bootloader bildet erneut Werks-Hash der Werks-Firmware und entschluesselt die Werks-Signatur mit Werks-Public-Key.
  7. Werks-Hash und entschluesselter Werks-Wert vergleichen — gleich: Werks-gueltig, ungleich: Werks-ungueltig.

Werks-Bedeutung: ohne den privaten Werks-RSA-Key kann keine Werks-gueltige Signatur erzeugt werden. Tuning-Files muessen entweder den Werks-Key auslesen (HSM verhindert das) oder eine Werks-Schwachstelle in der Werks-Signatur-Pruefung finden (extrem selten und schnell von Hersteller gepatcht).

Online-Server-Authentifizierung

Bei modernen Werks-Steuergeraeten ist die Werks-Diagnose-Session nicht mehr nur ein lokaler Werks-Vorgang zwischen ECU und Diagnose-Werkzeug. Stattdessen wird zusaetzlich ein Werks-Online-Server kontaktiert:

Werks-konforme Werkstaetten haben Werks-Service-Konten und damit Werks-Zugang zu diesen Werks-Online-Auth-Servern. KFZ Dietrich hat als Werks-konforme Werkstatt offiziellen Werks-Zugang zu XENTRY (Mercedes), ODIS (VAG) und ISTA (BMW/Mini) — das ist einer unserer staerksten Werks-USPs.

Secure Onboard Communication (SecOC)

SecOC ist ein AUTOSAR-Standard fuer signierte Inter-ECU-Kommunikation. Beim klassischen CAN-Bus konnten alle ECUs alle Werks-Botschaften lesen und schreiben — bei SecOC werden die Werks-Botschaften mit Werks-MAC-Tags (Message Authentication Codes) versehen. Werks-empfangende ECUs pruefen den Werks-MAC-Tag und akzeptieren nur Werks-gueltig signierte Werks-Botschaften.

Werks-Bedeutung fuer Tuning: bei Manipulation einer einzelnen Werks-ECU (z.B. Motor-ECU) erkennen die anderen Werks-ECUs (Getriebe-TCU, ABS-ECU, Body-Control-Modul) die Werks-Botschaften als ungueltig und gehen in Werks- Notlauf. Werks-konformes Tuning muss daher in einem zusammenhaengenden Werks- Domaenen-Update durchgefuehrt werden — alle betroffenen ECUs werden zusammen adaptiert, oder es muessen Werks-Werkzeuge mit voller Werks-SecOC-Schluessel- Versorgung genutzt werden.

Zertifikat-Ketten

Moderne Werks-Steuergeraete haben eine Werks-PKI (Public Key Infrastructure) mit Werks-Wurzelzertifikat und Werks-Sub-Zertifikaten:

Werks-Bedeutung: Werks-Tools brauchen aktive Werks-Subscription, sonst laufen die Werks-Zertifikate aus. Das ist auch der Grund, warum Werks-konforme Tuning-Werkzeuge wie Magic-Motorsport-Flex Master FULL eine aktive Werks- Subscription benoetigen — ohne Werks-Subscription keine gueltigen Werks- Zertifikate fuer den Werks-RFT-Service.

Konkrete moderne geschuetzte Werks-Steuergeraete

Bosch MD1 / MG1 (ab 2018)

Werks-Plattform: Tricore TC298 / TC397 mit Werks-HSM, RSA-2048 Werks-Code-Signing. Werks-Anwendungen:

Werks-konforme Tuning-Werkzeuge: Magic-Motorsport-Flex Master FULL mit RFT-Service (offizieller Werks-Weg), AutoTuner Master mit MMC-Subscription (kommerzielle Alternative), KESS3 Master (limitierter Werks-Plattform-Zugang). Klassische Werks-BDM/Boot-Werkzeuge ohne Werks-Subscription funktionieren hier nicht.

Continental SIM2k-25x (Hyundai-Kia ab 2018)

Werks-Plattform: Continental-Werks-Mikrocontroller mit Werks-Online-Server- Authentifizierung. Bei jeder Werks-Diagnose-Session erfolgt Werks-Kontakt zum Werks-Hyundai-Server. Werks-Anwendungen:

Werks-konforme Tuning-Werkzeuge: Magic-Motorsport-Flex Master mit RFT-Service, AutoTuner mit Hyundai-Kia-Werks-Lizenz. Werks-Online-Auth-Bypass-Verfahren ueber spezielle Werks-Bench-Mode-Adapter (z.B. KESS3 mit dediziertem Bench-Adapter) sind teilweise verfuegbar, aber Werks-rechtlich umstritten.

ZF 8HP Generation 4+ (TCU)

Werks-Plattform: ZF-Werks-Cybersecurity-Modul ab Generation 4 (ab 2018). Werks-Schaltkennfelder sind signiert. Werks-Anwendungen:

Werks-konforme TCU-Tuning-Werkzeuge: Magic-Motorsport-Flex Master mit RFT-Service (Werks-konforme Loesung). Klassische TCU-Werkzeuge wie KESS3 funktionieren nur bei aelteren ZF 8HP-Generationen (Gen 1-3) ohne aktivem Cybersecurity-Modul.

Mercedes MB.OS (ab 2024)

Werks-Plattform: zentrale Werks-Domain-Architektur mit Werks-XENTRY-Online- Validierung. Werks-Anwendungen:

Werks-konforme Werkstatt-Bearbeitung dieser Plattformen ist aktuell extrem eingeschraenkt — Werks-XENTRY-Online-Auth wird fuer fast alle Werks-Schreibzugriffe gefordert. Wir empfehlen bei diesen Werks-Modellen Werks-Mercedes-AMG-Performance- Programm-Bearbeitung als Werks-konforme Tuning-Loesung.

BMW iDrive 8 + Cybersecurity-Domain (ab G-Reihe)

Werks-Plattform: zentrale Werks-Cybersecurity-Domain mit Werks-ISTA-Online-Auth. Werks-Anwendungen: alle G-Reihe-Modelle ab 2019, alle BMW-i-Modelle (i4, iX, iX3), alle MINI-Modelle ab F66 / J01.

Werks-konforme Werkstatt-Tuning-Bearbeitung dieser Werks-Plattformen ist nur ueber Werks-ISTA-Online-Verbindung moeglich. Magic-Motorsport-RFT-Service deckt einen Teil der Werks-MEVD17-Generation ab; bei Werks-MG1-Plattformen (M3 G80, M4 G82, M5 G90) ist der Werks-RFT-Service der Werks-konforme Weg.

Werkstatt-Praxis bei modernen Werks-Schutz-Mechanismen

Werks-konforme Optionen bei modernen Werks-Schutz-Steuergeraeten

1. Magic-Motorsport-RFT-Service

Der Werks-konforme Weg fuer Bosch MD1/MG1, einige Continental SIM2k-Plattformen und ZF 8HP Gen4+: das Werks-Steuergeraet wird zu Magic-Motorsport eingeschickt, dort wird der Werks-Tuning-Schutz im zertifizierten Werks-Verfahren geoeffnet, anschliessend kommt das Werks-Geraet "ready for writing" zurueck und kann mit Flex/StageX/WinOLS programmiert werden. Wir sind als Werks-Flex-Master-FULL- Lizenzinhaber im aktiven Werks-RFT-Zugang. → RFT-Workflow erklaert

2. AutoTuner mit MMC-Subscription

AutoTuner (Tools-Republic) hat eine Werks-MMC-Subscription mit aehnlicher Werks-Reichweite wie der Magic-Motorsport-RFT-Service — alternative Werks- Plattform-Strategie mit teilweise unterschiedlichem Werks-Plattform-Coverage. Wir nutzen AutoTuner ergaenzend zu Magic-Motorsport bei spezifischen Werks- Anwendungen.

3. KESS3 mit Master-Subscription

KESS3 (Alientech) hat eine Werks-Master-Subscription mit Werks-konformer Reichweite bei vielen klassischen EDC17-/MED17-Plattformen. Bei modernen MD1/MG1-Plattformen ist die Werks-Reichweite begrenzt — KESS3 ist hier mehr Werks-Ergaenzung als Werks-Hauptwerkzeug.

4. ATF Slave-File-Service

Bei bestimmten VAG-Werks-Plattformen ist eine Werks-Slave-File-Strategie ueber Werks-zertifizierte Werks-Master-Werkstaetten moeglich — wir holen Werks-konforme Werks-Slave-Files vom Werks-Master, bearbeiten und schreiben in unserer Werkstatt zurueck.

Was wir nicht machen

Wir nutzen ausschliesslich Werks-konforme zertifizierte Werks-Werkzeuge mit aktiver Werks-Subscription:

Wann der Werks-RFT-Service die einzige Werks-konforme Loesung ist

Bei Werks-Plattformen mit voll aktivem HSM und RSA-Code-Signing sind klassische Werks-BDM/Boot-Mode-Werkzeuge wirkungslos. Konkrete Werks-Plattformen, bei denen wir ausschliesslich ueber Werks-RFT-Service arbeiten:

Rechtliche Aspekte

UN-R155 / R156 Cybersecurity

Die UN-R155 (Cybersecurity Management System) und UN-R156 (Software Update Management System) sind seit Juli 2024 Pflicht für alle Neufahrzeuge in der EU. Die Konsequenz: Hersteller können die Manipulation eines geschützten Steuergeräts als Cybersecurity-Vorfall im rechtlichen Sinne geltend machen.

Eine Bearbeitung über den offiziellen RFT-Service oder über autorisierte Werkzeuge ist rechtlich zulässig, weil der Hersteller über die RFT-Autorisierung der Bearbeitung ausdrücklich zustimmt. Bypass-Methoden ohne Zustimmung des Herstellers bewegen sich dagegen in einem zunehmend grauen rechtlichen Bereich.

HU-Konformität bleibt unverändert

Auch bei sauberer Bearbeitung über den RFT-Service gilt: Die Leistungssteigerung muss in die Fahrzeugpapiere eingetragen werden, um HU-konform zu bleiben. Wir kooperieren dafür mit TÜV Nord und Dekra.

§ 202c StGB / § 69e UrhG

Das Reverse Engineering von Verschlüsselungs-Algorithmen kann unter bestimmten Umständen gegen § 202c StGB (Vorbereitung des Ausspähens und Abfangens von Daten) oder § 69e UrhG (Dekompilierung von Software) verstoßen. Wir nutzen ausschließlich autorisierte Werkzeuge mit gültiger Lizenz — rechtlich klar auf der sicheren Seite.

Verwandte Themen in der Tuning-Schule

Anwendung auf konkrete ECU-Familien

Schutz-Status und passende Werkzeug-Methodik je ECU-Familie:

Tuning-Bearbeitung anfragen

Sie haben ein Fahrzeug mit modernen Schutzmechanismen (Bosch MD1/MG1, Continental SIM2k-25x, ZF 8HP Gen4+) und möchten eine saubere Bearbeitung über den RFT-Service? Senden Sie uns per WhatsApp oder Formular ein Foto des ECU-Aufklebers, Ihre Fahrzeugdaten und Ihr Anliegen. Wir bestätigen Ihnen die RFT-Verfügbarkeit und einen verbindlichen Festpreis binnen eines Werktags.

WhatsApp