Was ist TISAX?
TISAX steht für Trusted Information Security Assessment Exchange und ist der Informationssicherheitsstandard der Automobilindustrie. Er wurde vom Verband der Automobilindustrie (VDA) in Zusammenarbeit mit der ENX Association entwickelt, um einheitliche Anforderungen an den Schutz vertraulicher Informationen zwischen Herstellern, Zulieferern und Dienstleistern sicherzustellen.
Im Kern basiert TISAX auf dem VDA ISA Fragenkatalog, der wiederum stark an die ISO/IEC 27001 angelehnt ist, jedoch um spezifische Aspekte für die Automobilbranche erweitert wurde. Unternehmen, die im Automotive-Sektor tätig sind, benötigen ein gültiges TISAX-Label, um mit großen OEMs und Tier-1-Lieferanten überhaupt zusammenarbeiten zu dürfen.
Anders als viele andere Standards ist TISAX kein theoretisches Framework, sondern ein praktisch ausgerichtetes Prüfverfahren. Nach einer erfolgreichen Auditierung durch einen akkreditierten Prüfdienstleister werden die Ergebnisse im ENX-Portal veröffentlicht und können mit Geschäftspartnern geteilt werden. Das schafft Transparenz und Vertrauen in der gesamten Lieferkette.
Automotive als Treiber
Die Automobilindustrie gilt als hochgradig vernetzt und abhängig von komplexen Lieferketten. Ein modernes Fahrzeug besteht aus mehreren Tausend Komponenten, die von unterschiedlichsten Zulieferern stammen. Gleichzeitig werden immer mehr Daten generiert, verarbeitet und geteilt – von Entwicklungsunterlagen über Fertigungspläne bis hin zu sensiblen Kundendaten.
Diese Komplexität macht die Branche besonders anfällig für Datenabflüsse, Wirtschaftsspionage oder Cyberangriffe. Hersteller wie BMW, Daimler oder Volkswagen erwarten daher von ihren Partnern ein gleichwertiges Sicherheitsniveau. TISAX ist die Antwort auf diese Erwartung: ein standardisiertes Prüfverfahren, das gleiche Anforderungen für alle Beteiligten definiert.
Ein wesentlicher Treiber für TISAX ist zudem die Digitalisierung der Wertschöpfungsketten. Mit Industrie 4.0, Cloud-Plattformen und verteilten Entwicklungsprojekten steigt die Notwendigkeit, dass Identitäten und Zugriffe über Unternehmensgrenzen hinweg kontrolliert werden. Genau hier kommt das Identity and Access Management (IAM) ins Spiel.
Die Bedeutung von IAM für TISAX-Zertifizierung
IAM ist für TISAX nicht nur eine unterstützende Maßnahme, sondern eine zentrale Voraussetzung. Während viele Standards „Access Control“ eher abstrakt fordern, geht TISAX im Fragenkatalog sehr konkret auf Prozesse ein, die typischerweise nur mit einer IAM-Lösung effizient umgesetzt werden können.
So wird beispielsweise verlangt, dass es klare Prozesse für Benutzerregistrierung, Rechtevergabe, Rezertifizierung und Löschung von Zugängen gibt. Ebenso müssen Unternehmen nachweisen, dass Privileged Accounts (z. B. Administratoren) besonders geschützt und überwacht werden.
Ohne ein strukturiertes IAM-System entsteht eine enorme organisatorische Belastung, da sämtliche Rechte manuell verwaltet, dokumentiert und für Auditoren nachvollziehbar gemacht werden müssten. Mit IAM hingegen lassen sich diese Anforderungen automatisieren und revisionssicher umsetzen – ein entscheidender Vorteil für die TISAX-Zertifizierung.
Zugriffskontrolle (Access Control)
Der VDA ISA befasst sich mit der Zugriffskontrolle und beschreibt sehr konkrete Maßnahmen:
IAM-Lösungen adressieren diese Anforderungen direkt, indem sie automatisiertes Provisioning, Rollenmodelle, Rezertifizierungen und ein zentrales Reporting bereitstellen. Für Auditoren ist damit sofort sichtbar, dass die Zugriffskontrolle systematisch umgesetzt wird.
Authentifizierung
Auch das Thema Authentifizierung wird in TISAX explizit adressiert. Unternehmen müssen nachweisen, dass starke Authentifizierungsmechanismen eingesetzt werden. Dazu zählen:
Ein modernes IAM-System integriert unterschiedliche Authentifizierungsmethoden – von klassischen Passwörtern über Tokens bis hin zu biometrischen Verfahren. Besonders in Cloud-Umgebungen ist MFA inzwischen ein Standard, ohne den eine erfolgreiche TISAX-Prüfung kaum möglich ist.
Benutzerverantwortlichkeiten
Neben technischen Kontrollen verlangt TISAX auch, dass Benutzer ihre Eigenverantwortung kennen. Das bedeutet:
IAM unterstützt diesen Bereich, indem es den sicheren Umgang mit Identitäten technisch erzwingt – etwa durch Self-Service-Password-Reset, durch die Verhinderung gemeinsamer Accounts und durch Transparenz über Zugriffsrechte. In Verbindung mit Security-Awareness-Trainings entsteht ein umfassender Schutz.
Schritte zur Implementierung von IAM für TISAX-Zertifizierung
Ein praxisorientierter Fahrplan zur Umsetzung könnte so aussehen:
Ist-Analyse: Erfassung aller relevanten Systeme, Benutzergruppen und bestehenden Zugriffsprozesse.
Definition eines Rollenmodells: Aufbau einer klaren Struktur für Zugriffsrechte.
Auswahl der IAM-Lösung: Entscheidung zwischen On-Premises, Cloud oder Hybrid-Lösung.
Implementierung von Provisioning und Deprovisioning: Automatisierung von Eintritt, Rollenwechsel und Austritt.
Einführung von Rezertifizierungsprozessen: Regelmäßige Überprüfung durch Fachverantwortliche.
Integration von MFA: Schutz kritischer Systeme durch starke Authentifizierung.
Vorbereitung auf das TISAX-Audit: Erstellung von Nachweisen, Reports und Policies.
Umsetzungsbeispiel: Wie IPG der TIMETOACT mit TISAX helfen konnte
Ein praktisches Beispiel: IPG hat die TIMETOACT GROUP auf dem Weg zur TISAX-Zertifizierung begleitet. Ausgangslage war eine gewachsene IT-Landschaft mit heterogenen Zugriffssystemen und manuellen Prozessen für Benutzerverwaltung.
Durch die Einführung einer zentralen IAM-Lösung auf der Basis von IDABUS konnten folgende Erfolge erzielt werden:
Das Ergebnis: TIMETOACT erreichte das TISAX-Label im vorgesehenen Zeitrahmen, reduzierte den Auditaufwand und konnte gleichzeitig die Informationssicherheit nachhaltig verbessern. Ohne IAM wäre dies kaum denkbar für ein Unternehmen dieser Grösse.
Best Practices und Tipps für eine erfolgreiche TISAX-Zertifizierung mit IAM
