TISAX Prototypenschutz – ein Leitfaden für Lieferanten

Wer als Lieferant in der Automobilindustrie erstmals mit TISAX und dem Prüfziel „Schutz von Prototypen“ konfrontiert wird, sieht oft einen Berg an Anforderungen. Dieser Beitrag zeigt, welche Basics aus dem Modul Prototypenschutz des VDA ISA Katalogs wirklich zählen und wo die typischen Stolpersteine liegen.

TISAX – der Rahmen für Lieferanten

TISAX (Trusted Information Security Assessment Exchange) ist das von der ENX Association betriebene Austauschverfahren für Informationssicherheits-Assessments in der Automobilindustrie. Die fachlichen Anforderungen kommen aus dem VDA ISA Katalog des Verbands der Automobilindustrie, aktuell in der Version 6.0 (verbindlich seit April 2024). Für Lieferanten sind drei Punkte besonders relevant:

• Assessment Level (AL): TISAX kennt die Stufen AL 1, AL 2 und AL 3. AL 1 ist eine reine Selbstauskunft ohne externen Nachweis. AL 2 kombiniert die Selbstauskunft mit einer Plausibilitätsprüfung durch einen zugelassenen Audit-Provider. AL 3 ist das vollständige Vor-Ort-Audit mit vertiefter Prüfung.
• Prüfziele und Labels: Das Prüfzielfeld rund um den Schutz von Prototypen ist im TISAX-System in vier Labels ausdifferenziert: Prototype Parts, Prototype Vehicles, Test Vehicles sowie Prototype Events. Wichtig ist die Unterscheidung beim Assessment Level: Für Prototype Parts und Prototype Vehicles ist grundsätzlich AL 3 erforderlich. Für Test Vehicles und Prototype Events kann dagegen auch AL 2 ausreichend sein, abhängig vom konkreten Schutzbedarf und den Vorgaben des Auftraggebers.
• Den Schutzbedarf legt der Eigentümer des geistigen Eigentums fest, in der Regel der OEM. Aus dieser Einstufung ergibt sich, welche der im VDA ISA Katalog enthaltenen Kontrollen in welchem Reifegrad nachgewiesen werden müssen.

Was unterscheidet das Prüfziel „Schutz von Prototypen“ von anderen Schutzzielen?

Was den Prototypenschutz – im VDA ISA 6.0 als eigenes Modul mit eigenen Kontrollen ausgewiesen – abhebt, ist seine physische und visuelle Dimension. Der Katalog stellt auf physische Prototypen ab: Fahrzeuge, Komponenten und Bauteile. Es geht nicht nur um Datensätze in IT-Systemen, sondern um sichtbare Designs, hörbare Geräusche, filmbare Bewegungen und greifbare Bauteile – einschließlich Sichtschutz, Tarnung, kontrolliertem Transport und Geheimhaltung bis zur Markteinführung. Damit beziehen die Anforderungen auch Fertigung, Logistik, Werkstatt und Außengelände ein.

Trotzdem ist nicht alles aufwendig und teuer. Die Vorgaben sind eng an den tatsächlichen Schutzbedarf gekoppelt – wer keine hochklassifizierten Prototypen verarbeitet, muss vieles gar nicht umsetzen. Während sich die Module Informationssicherheit und Datenschutz eng an ISO/IEC 27001 anlehnen, geht das Modul Prototypenschutz darüber hinaus: Tarnung, Regelungen für Erprobungsfahrten oder die Kontrolle von Bildmaterial kommen im ISO-Standard so nicht vor.

Worauf kommt es im Prototypenschutz im Kern an?

Der größte Hebel liegt selten in teurer Technik, sondern im Bewusstsein der Mitarbeitenden und in sauberen Prozessen. Genau hier setzt der Prototypenschutz an: Geheimhaltungsvereinbarungen, regelmäßige Schulungen und klar geregelte Zutrittsprozesse sind ausdrücklich gefordert. Ein Mitarbeitender, der weiß, warum ein Fotoverbot existiert, hält sich auch ohne Kontrolle daran.

Aus dem Modul Prototypenschutz lassen sich folgende organisatorische Pflichten konkret ableiten:

• Vertragsrechtlich gültige Geheimhaltungsvereinbarungen mit Auftragnehmern, Mitarbeitenden und Unterauftragnehmern
• Nachweisliche Schulung beim Projekteinstieg und mindestens einmal jährlich
• Bekanntmachung der projektbezogenen Sicherheitseinstufung
• Dokumentierter Prozess für Vergabe, Änderung und Entziehung von Zutrittsberechtigungen
• Berechtigungskonzept nach dem Need-to-know-Prinzip mit regelmäßigen Access Reviews
• Regeln zu Bildaufzeichnung, Speicherung, Weitergabe und Entsorgung von Bildmaterial
• Festlegungen zum Mitführen und Nutzen mobiler Video- und Fotogeräte in Sicherheitsbereichen

Auf der baulichen Seite verlangt der VDA ISA bei hohem und sehr hohem Schutzbedarf ein schlüssiges Sicherheitskonzept pro Standort, das mehrere Schichten umfasst:

• Perimeterschutz: Zaun, Mauer oder vergleichbare Barriere gegen unberechtigten Zutritt zum Gelände.
• Außenhaut der Gebäude: Wände, Fenster und Türen, die nicht mit handelsüblichen Werkzeugen geöffnet werden können.
• Einblickschutz in Sicherheitsbereichen (Sichtschutzfolien, Blickschutzwände, abgetrennte Hallen).
• Zutrittskontrolle zu Gebäuden und Sicherheitsbereichen, Einbruchüberwachung und Alarmierung.

Die Zutrittskontrolle folgt keinem festen Standardmodell. Entscheidend ist ein risikobasiertes Konzept, das je nach Schutzbedarf verschiedene Maßnahmen kombiniert: mechanische Schlösser, elektronische Zutrittssysteme und personelle Kontrollen. Manchmal reichen einfache Lösungen wie abschließbare Schränke, klare Sicherheitszonen, Sichtschutz und eine dokumentierte Schlüsselvergabe. Bei sehr hohem Schutzbedarf sind meist mehrere Maßnahmen zu kombinieren, etwa elektronische Zutrittskontrolle, Personenkontrollen, zusätzliche Authentifizierung an sensiblen Bereichen sowie regelmäßige Berechtigungsprüfungen. Davon zu trennen sind der Zugang zu IT-Systemen und der Zugriff auf die dort gespeicherten Konstruktionsdaten – beides ist im Modul Informationssicherheit des VDA ISA geregelt und ergänzt den physischen Prototypenschutz.

Wie gehen Lieferanten die Umsetzung schrittweise an?

1. Anforderungen verbindlich klären. Holen Sie sich schriftlich vom Kunden die Bestätigung, welche TISAX-Labels (Prototype Parts, Prototype Vehicles, Test Vehicles, Events) und welche Schutzbedarfsklasse gefordert sind.
2. Scope realistisch zuschneiden. Definieren Sie Standorte, Prozesse und Bereiche so eng wie möglich, aber so weit wie nötig.
3. Gap-Analyse durchführen. Systematischer Abgleich der Ist-Situation – inklusive Perimeter, Außenhaut, Zutrittskontrolle und Berechtigungskonzept.
4. Sicherheitskonzept dokumentieren.
5. Maßnahmen priorisieren und umsetzen. Maßnahmen parallel anstoßen: bauliche/technische Punkte wegen langer Lieferzeiten früh starten, Quick Wins (Schulung, NDAs, Need-to-know) parallel umsetzen.
6. Internes Readiness-Audit einplanen. Vier bis sechs Wochen vor dem offiziellen Assessment, idealerweise durch erfahrenen Dienstleister. Das ist der wirksamste Schutz vor bösen Überraschungen.
7. Auf der ENX-Plattform registrieren und einen zugelassenen Audit-Provider beauftragen.

Typische Stolpersteine

In Audits scheitern Lieferanten selten an fehlender Technik, sondern an gelebter Praxis. Bei der Zutrittskontrolle fällt häufig auf, dass die Schlüsselvergabe nicht sauber dokumentiert ist oder dass das Berechtigungskonzept zwar auf dem Papier existiert, in der Realität aber keine regelmäßigen Access Reviews stattfinden. Ähnlich beim Besuchermanagement: Anmeldung, Geheimhaltungserklärung und Begleitung sind formal definiert, in der Realität werden langjährige Stammlieferanten aber oft „durchgewunken“. Auch die Mandantentrennung ist ein wiederkehrender Befund – gemeinsame Werkbänke oder geteilte Arbeitsbereiche ohne explizite Kundenfreigabe sind ein klassischer Stolperstein. Beim Perimeter- und Außenhautschutz wird gelegentlich unterschätzt, dass ein nachvollziehbarer Nachweis der Wirksamkeit (z. B. durch Begehung, Fotodokumentation, Zertifikate für Türen und Fenster nach DIN EN 1627) verlangt wird. Bei der Schulung ist die jährliche Durchführung selten das Problem, wohl aber die fehlende Dokumentation der Teilnahme. Im Umgang mit Bildmaterial reicht ein klarer Prozess aus Genehmigung, sicherer Speicherung und kontrollierter Löschung – kritisch wird es, sobald Fotos auf privaten Smartphones landen. Auch beim Transport sind die Vorgaben des Auftraggebers verbindlich. Dennoch werden Prototypen in der Praxis immer wieder über interne Logistikwege bewegt, ohne dass dafür eine ausdrückliche Freigabe vorliegt.

Hoher Anspruch, aber gut machbar

Das Prüfziel „Schutz von Prototypen“ geht über klassische IT-Sicherheit hinaus, basiert aber zu einem großen Teil auf solider Informationssicherheits-Grundhygiene. Wer Bewusstsein im Team schafft, saubere Prozesse etabliert und bauliche Maßnahmen am tatsächlichen Schutzbedarf ausrichtet, ist gut aufgestellt. Keine Panik, aber auch keine Schönfärberei: Strukturiert angegangen, stärkt der Prototypenschutz zugleich die grundlegende Unternehmensresilienz und die Position im Wettbewerb um anspruchsvolle Aufträge.