# Secure Boot

> Secure Boot ist der Mechanismus, der Integrität und Authentizität eines Steuergerät-Firmware-Images prüft, bevor der Prozessor es ausführt. Ein Vertrauensanker, meist in einem HSM oder ROM, verifiziert vor jeder Stufe eine Signatur oder einen Hash, bevor er die Kontrolle übergibt, sodass veränderte oder unsignierte Software nicht oder nur in einem eingeschränkten Recovery-Modus startet. Das trägt das Vertrauen in alles, was danach läuft, auch SecOC und sichere Diagnose. Ein Prüfstandstest sieht die Wirkung, nicht die internen Schlüssel.

Secure Boot verifiziert ein Firmware-Image, bevor es läuft, damit unsignierte oder veränderte Software nicht startet. Wie es funktioniert und was ein Bustest sieht.

Source: https://auto-st.com/de/glossar/secure-boot · Updated: 2026-10-07

## Was ist Secure Boot?

Secure Boot ist eine Verifikationskette, die beim Einschalten eines Steuergeräts läuft. Der Root of Trust verifiziert die erste Bootloader-Stufe, diese Stufe die nächste und so weiter bis zur Applikation, wobei jeder Schritt eine kryptografische Signatur oder einen Hash prüft, bevor er die Kontrolle übergibt. Scheitert eine Stufe an der Verifikation, läuft sie nicht: Das Steuergerät hält an, bleibt im Bootloader oder geht in einen eingeschränkten Recovery-Zustand. Ergebnis ist, dass nur vom Hersteller signierte Software normal startet.

Die Krypto läuft meist in einem HSM oder einem geschützten ROM, damit die öffentlichen Schlüssel oder Hashes für die Verifikation dort liegen, wo Applikationssoftware sie nicht ändern kann.

## Wo ist es definiert?

Es gibt keinen einzelnen Secure-Boot-Standard; es ist ein Design-Muster, umgesetzt mit der Security-Hardware des Mikrocontroller-Herstellers, den AUTOSAR-Krypto-Diensten und projektspezifischem Schlüsselmanagement. ISO/SAE 21434 behandelt Boot-Integrität als Teil des Security-Konzepts und der Architektur eines Items. UN R156 verlangt, dass Softwareversionskennung und Update-Integrität geschützt sind, was in der Praxis auf einem verifizierten Start und einer Image-Prüfung im Steuergerät beruht.

## Was es in der Praxis bedeutet

Secure Boot ist die Basis der Vertrauenskette. SecOC-Schlüssel, Credentials für sichere Diagnose und jede Aussage, dass die laufende Software der genehmigte Stand ist, setzen voraus, dass der Code, der sie nutzt, selbst echt ist. Fehlt Secure Boot oder lässt es sich überspringen, kann ein Angreifer, der veränderte Firmware schreibt, die darüberliegenden Kontrollen aushebeln, denn diese laufen in genau der Software, die sie schützen sollen.

Von außen ist Secure Boot schwer direkt zu beobachten. Was ein Tester ansehen kann, ist das Benachbarte: ob der diagnostische Download-Pfad Session und SecurityAccess verlangt, bevor ein Image geschrieben wird, ob ein unterbrochener oder fehlerhafter Download das Steuergerät wiederherstellbar lässt, und welche Versionskennungen das Steuergerät meldet. Zu bestätigen, dass die Boot-Kette ein verändertes Image wirklich ablehnt, ist Firmware-Reverse-Engineering und Penetrationstest-Arbeit.

## Wie AutoST es testet

AutoST testet den diagnostischen und busseitigen Pfad rund um Secure Boot, nicht die Boot-Verifikation selbst. Es prüft, ob RequestDownload (`0x34`) und die Transfer-Services die richtige Session und SecurityAccess verlangen, testet die Robustheit bei fehlerhaftem oder übergroßem TransferData und liest Versions- und Identifikations-Data-Identifier. Signaturen verifiziert AutoST nicht, Schlüssel extrahiert es nicht, und das Boot-ROM greift es nicht an; das ist Reverse-Engineering- und Penetrationstest-Arbeit.

## Häufige Missverständnisse

Secure Boot verhindert nicht das Schreiben von Firmware; es regelt, ob diese Firmware läuft. Eine einzige Stufe, die die Verifikation auslässt, bricht die ganze Kette. Und Secure Boot schützt die Startintegrität, nicht Vertraulichkeit oder Speichersicherheit zur Laufzeit, die eigene Maßnahmen brauchen.

## FAQ

**Was ist der Unterschied zwischen Secure Boot und Authenticated Boot?**

Secure Boot erzwingt: Schlägt die Verifikation fehl, läuft die Stufe nicht. Authenticated (oder Measured) Boot zeichnet auf, was gelaufen ist, etwa in einem Log oder Register, sodass eine spätere Prüfung Manipulation erkennen kann, stoppt den Start aber nicht von selbst. Viele Steuergeräte kombinieren beides.

**Was ist der Root of Trust?**

Das erste Stück Code oder der erste Schlüssel, dem implizit vertraut wird, weil es im Feld nicht änderbar ist, typisch in maskiertem ROM oder einem HSM. Jeder spätere Schritt wird nur vertraut, weil der Root ihn verifiziert hat, deshalb bricht die Kette, wenn ein Glied die Verifikation auslässt.

**Verhindert Secure Boot das Flashen neuer Firmware?**

Nicht das Flashen selbst. Ein diagnostischer Download kann weiterhin ein Image schreiben. Secure Boot entscheidet, ob dieses Image beim nächsten Start laufen darf. Beides sind getrennte Kontrollen, deshalb zählen sowohl der Download-Pfad als auch die Boot-Prüfung.

## Sources

- [ISO/SAE 21434:2021 Straßenfahrzeuge, Cybersecurity Engineering](https://www.iso.org/standard/70918.html)
- [UN-Regelung Nr. 156, Software update and software update management system](https://unece.org/transport/documents/2021/03/standards/un-regulation-no-156-software-update-and-software-update)

## Related

- [HSM (Hardware Security Module)](https://auto-st.com/de/glossar/hsm)
- [SecOC (Secure Onboard Communication)](https://auto-st.com/de/glossar/secoc)
- [RequestDownload (0x34)](https://auto-st.com/de/glossar/request-download-0x34)
- [UN R156 (UN-Regelung Nr. 156, Software-Update)](https://auto-st.com/de/glossar/un-r156)
- [Hält dein Seed/Key wirklich?](https://auto-st.com/de/security-access-test)

---
AutoST by Zyberum. Canonical page: https://auto-st.com/de/glossar/secure-boot