# TARA-Risikorechner nach ISO/SAE 21434 > Dieser Rechner geht die Risikobestimmung aus ISO/SAE 21434 Kapitel 15 für ein Bedrohungsszenario durch: Du bewertest den Schaden in den Kategorien Safety, Financial, Operational und Privacy, bewertest die Attack Feasibility mit der Attack-Potential-Methode (Elapsed Time, Expertise, Knowledge of the Item, Window of Opportunity, Equipment, Anhang G) und bekommst den Risikowert von 1 bis 5 nach der Matrix in Anhang H, mit einem Hinweis zur Behandlungsentscheidung. Er läuft im Browser; nichts wird gesendet. Bewerte ein Bedrohungsszenario wie ISO/SAE 21434: Impact in vier Kategorien, Attack Feasibility aus dem Attack Potential, Risikowert 1 bis 5 mit Behandlungshinweis. Source: https://auto-st.com/de/tools/tara-risikorechner · Updated: 2026-10-07 6 Monate'] }, expertise: { name: 'Specialist Expertise', options: ['Laie', 'Versiert', 'Experte', 'Mehrere Experten'] }, knowledge: { name: 'Knowledge of the Item', options: ['Öffentlich', 'Eingeschränkt', 'Vertraulich', 'Streng vertraulich'] }, window: { name: 'Window of Opportunity', options: ['Unbegrenzt', 'Einfach', 'Mittel', 'Schwierig'] }, equipment: { name: 'Equipment', options: ['Standard', 'Spezialisiert', 'Maßgefertigt', 'Mehrfach maßgefertigt'] }, }, result: 'Risikobestimmung', overallImpact: 'Gesamt-Impact', attackPotential: 'Attack Potential (Summe)', feasibilityRating: 'Attack Feasibility', feasibilityLevels: { high: 'High', medium: 'Medium', low: 'Low', veryLow: 'Very Low' }, riskValue: 'Risikowert (1 bis 5)', treatment: { 1: 'Wird typischerweise mit dokumentierter Begründung akzeptiert. In der TARA festhalten und neu bewerten, wenn sich die Attack Feasibility ändert.', 2: 'Meist akzeptabel oder mit einer Maßnahme geringen Aufwands reduziert, je nach deinen Akzeptanzkriterien. Entscheidung dokumentieren.', 3: 'Braucht eine Behandlungsentscheidung: reduzieren mit Cybersecurity-Ziel und Maßnahme, teilen (etwa mit einem Lieferanten) oder mit Begründung durch den Risikoverantwortlichen akzeptieren.', 4: 'Wird normalerweise reduziert: Cybersecurity-Ziel ableiten, Maßnahmen spezifizieren, verifizieren. Eine 4 zu akzeptieren braucht die Freigabe des Managements.', 5: 'Reduzieren oder vermeiden. Ein Cybersecurity-Ziel und verifizierte Maßnahmen werden erwartet; dieses Szenario treibt das Cybersecurity-Konzept.', }, reset: 'Zurücksetzen', }} /> ## So funktioniert es Der Rechner folgt ISO/SAE 21434 Kapitel 15 Schritt für Schritt. Die Impact-Bewertung (15.5) bewertet ein Schadensszenario in den vier Kategorien, die die Norm nennt, mit den vier Stufen Severe, Major, Moderate und Negligible; das Tool nimmt die höchste als Gesamt-Impact. Die Attack-Feasibility-Bewertung (15.7) nutzt den Attack-Potential-Ansatz aus Anhang G: Fünf Faktoren mit den Punktwerten, die die Norm aus ISO/IEC 18045 übernimmt, werden addiert, und die Summe wird auf High (0 bis 13), Medium (14 bis 19), Low (20 bis 24) oder Very Low (ab 25) abgebildet. Der Risikowert (15.8) kommt dann aus der Matrix in Anhang H, Tabelle H.8, die Gesamt-Impact und Feasibility zu einem Wert von 1 bis 5 kombiniert. ## So liest du das Ergebnis Der Risikowert ist eine Eingabe für die Behandlungsentscheidung (15.9), kein Urteil. Im Audit zählt, dass die Eingaben nachvollziehbar sind: welches Schadensszenario, welcher Angriffspfad, warum jeder Faktor so bewertet wurde. Bewerte den einfachsten Angriffspfad, den du kennst, nicht den durchschnittlichen, und bewerte neu, wenn ein Test die Fakten ändert. Ein am Prüfstand gefundener SecurityAccess-Bypass etwa verschiebt "Knowledge of the Item" von vertraulich zu öffentlich und "Equipment" von spezialisiert zu Standard, was eine mittlere Feasibility zu einer hohen und ein Risiko von 3 zu einer 5 machen kann. ## Grenzen Das Tool bewertet ein Szenario mit der Standardmethode der Norm und der konservativen Aggregation. Es deckt weder Asset-Identifikation, Bedrohungsszenario-Identifikation noch Angriffspfad-Analyse ab (15.3 bis 15.6), und es kennt die Akzeptanzkriterien deiner Organisation nicht. OEM-spezifische Methoden unterscheiden sich in Gewichten und Schwellen; folge der TARA-Vorlage deines Kunden, wo es eine gibt. AutoST liefert die Attack-Feasibility-Seite davon mit Testergebnissen: Ein bestätigtes Finding ist Evidenz für die Bewertung. ## FAQ **Ist die Attack-Potential-Methode Pflicht?** Nein. ISO/SAE 21434 verlangt eine Attack-Feasibility-Bewertung, lässt die Methode aber offen: Attack Potential, CVSS-basiert oder Attack-Vector-basiert. Attack Potential ist in den TARAs, die wir sehen, am verbreitetsten, weil es auf ISO/IEC 18045 abbildet und eine nachvollziehbare Summe liefert. Die Schwellen (High bis 13, Medium 14 bis 19, Low 20 bis 24, Very Low ab 25) sind die aus Anhang G. **Wie werden die vier Impact-Kategorien zusammengeführt?** Die Norm bewertet jede Kategorie einzeln und überlässt die Aggregation der Organisation. Die übliche und konservative Wahl, die dieses Tool nutzt, ist die höchste Kategorie als Gesamt-Impact. Manche OEMs gewichten die Kategorien oder verlangen, dass Safety dominiert; pass dich an die Methode deines Kunden an. **Was entscheidet der Risikowert?** Die Behandlung: Risiko vermeiden, reduzieren, teilen oder akzeptieren (Kapitel 15.9). Werte von 4 und 5 werden normalerweise mit Cybersecurity-Zielen und Maßnahmen reduziert; 1 wird typischerweise mit Begründung akzeptiert; 2 und 3 hängen von den Akzeptanzkriterien deiner Organisation ab, die im Cybersecurity-Plan dokumentiert sein müssen. ## Sources - [ISO/SAE 21434:2021 Straßenfahrzeuge, Cybersecurity Engineering, Kapitel 15 und Anhänge F bis H](https://www.iso.org/standard/70918.html) - [ISO/IEC 18045:2022 Methodik für die Evaluierung von IT-Sicherheit (Attack Potential)](https://www.iso.org/standard/72889.html) ## Related - [TARA (Threat Analysis and Risk Assessment)](https://auto-st.com/de/glossar/tara) - [ISO/SAE 21434](https://auto-st.com/de/glossar/iso-sae-21434) - [CAL (Cybersecurity Assurance Level)](https://auto-st.com/de/glossar/cal) - [UN R155 (UN-Regelung Nr. 155, Cyber Security)](https://auto-st.com/de/glossar/un-r155) - [Nachweise für deine 21434-Arbeit, auf Abruf.](https://auto-st.com/de/iso-21434-tests) - [Eine Zahl, die du verteidigen kannst, Nachweise, die du ablegen kannst.](https://auto-st.com/de/risikobewertung-reports) --- AutoST by Zyberum. Canonical page: https://auto-st.com/de/tools/tara-risikorechner