Sichere Gateway-Module erklärt: Warum Ihr Scanner Codes lesen, aber nicht löschen kann

Sie schließen ein Diagnosegerät an, identifizieren das Fahrzeug, lesen alle Fehlercodes aus und rufen problemlos Live-Daten ab. Dann drücken Sie auf „Fehlercodes löschen“ oder starten einen Aktuator-Test, und das Gerät weigert sich, den Befehl auszuführen. Dieses Verhaltensmuster deutet häufig eher auf ein Secure Gateway hin als auf ein defektes Kabel oder ein ausgefallenes Steuergerät.

A Sicherheits-Gateway-Modul, im Allgemeinen als SGW abgekürzt, trägt dazu bei, die internen Netzwerke moderner Fahrzeuge vor unbefugten Befehlen zu schützen. Es fungiert wie eine kontrollierte Tür zwischen dem Diagnosestecker und sensiblen elektronischen Systemen. Grundlegende, schreibgeschützte Informationen bleiben zwar weiterhin verfügbar, doch Befehle, die den Zustand des Fahrzeugs verändern, erfordern ein zugelassenes Werkzeug, einen authentifizierten Techniker und eine Internetverbindung.

In diesem Leitfaden wird erläutert, warum ein Scanner zwar Codes auslesen, diese aber nicht löschen kann, wie man eine Gateway-Einschränkung erkennt und wie eine unabhängige Werkstatt den legitimen Diagnosezugriff ohne unsichere Umgehungsmaßnahmen wiederherstellen kann.

Warum Fahrzeuge sichere Gateways nutzen

Der OBD2-Anschluss bietet einen bequemen Zugang zu vielen Fahrzeugnetzwerken. Diese Bequemlichkeit ist bei Reparaturen von großem Nutzen, birgt jedoch auch ein Cybersicherheitsrisiko: Ein angeschlossenes Gerät könnte versuchen, Befehle an sicherheitsrelevante oder konfigurationsempfindliche Module zu senden.

Die Hersteller haben sichere Gateways eingeführt, um den routinemäßigen Datenzugriff von geschützten Funktionen zu trennen. Bosch beschreibt das FCA/Stellantis SGW als ein firewallähnliches Modul, das zum Schutz des Fahrzeugnetzwerks dient. AutoAuth, ein unabhängiger Authentifizierungsdienst, der mit Automobilherstellern und Werkzeuganbietern zusammenarbeitet, ermöglicht es registrierten Werkstätten, zertifizierte Aftermarket-Werkzeuge für geschützte Servicefunktionen zu nutzen.

Die genaue Vorgehensweise und der Autorisierungsprozess variieren je nach Hersteller, Modell, Markt, Tool und Softwareversion. Gehen Sie niemals davon aus, dass ein einziges Abonnement oder ein einziger Scanner den Zugriff auf alle geschützten Marken ermöglicht.

Warum das Lesen funktioniert, das Löschen aber nicht

Beim Auslesen eines DTC wird ein Steuergerät aufgefordert, gespeicherte Informationen zu melden. Beim Löschen eines DTC wird ein Befehl gesendet, der den gespeicherten Zustand ändert. Aktive Tests, Kalibrierungen, Anpassungen, Neuanlernvorgänge und Einstelländerungen gehen noch einen Schritt weiter, indem sie eine Komponente ansteuern oder eine Einstellung ändern.

Bei Fahrzeugen, die das FCA Secure-Gateway unterstützen, gibt Bosch an, dass das Auslesen von Codes und das Anzeigen von Live-Daten auch ohne Entsperrung möglich bleiben, während das Löschen von Fehlercodes (DTCs) und bidirektionale Funktionen eine Authentifizierung erfordern. Dies erklärt die verwirrende Situation, in der die Fahrzeugidentifizierung und ein vollständiger Scan zwar erfolgreich sind, der Reparatur-Workflow jedoch im letzten Schritt zum Stillstand kommt.

Eine Gateway-Einschränkung bedeutet nicht automatisch, dass der Scanner defekt ist. Möglicherweise arbeitet er lediglich im schreibgeschützten Modus.

Funktionen, die üblicherweise durch ein SGW eingeschränkt werden

Die Einschränkungen variieren je nach Fahrzeug, zu den geschützten Funktionen können jedoch gehören:

• Diagnosefehlercodes löschen
• Tests an bidirektionalen Stellantrieben
• Service-Zurücksetzungen und Wartungsmaßnahmen
• Neukalibrierung und Justierung von Komponenten
• Anpassungen und Konfigurationsänderungen
• Einige Codierungs- oder Programmieraufgaben

Betrachten Sie diese Liste nicht als Garantie für die Kompatibilität. Informieren Sie sich bei dem Hersteller des Werkzeugs über die aktuellen Angaben zur Fahrzeugkompatibilität, bevor Sie einen Auftrag annehmen, für den eine bestimmte Funktion erforderlich ist.

Anzeichen dafür, dass ein sicheres Gateway den Befehl blockiert

Eine SGW-Einschränkung weist oft ein anderes Muster auf als ein Kommunikationsfehler:

• Der Scanner erkennt die richtige Fahrgestellnummer und das richtige Fahrzeug.
• Bei einem Komplettsystem-Scan werden Codes aus mehreren Modulen ausgelesen.
• Die Live-Daten werden normal angezeigt.
• „Fehlercodes löschen“, „Aktiver Test“, „Neuanlernen“ oder „Kalibrierung“ sind nicht verfügbar oder werden abgelehnt.
• Das Tool zeigt eine Meldung zum sicheren Zugriff, zur Authentifizierung, zu AutoAuth, zu einem OEM-Konto oder zur Internetverbindung an.

Wenn der Scanner das Fahrzeug nicht identifizieren oder mit keinem Modul kommunizieren kann, beginnen Sie stattdessen mit der Überprüfung von Stromversorgung, Masse, Kabel, Schnittstelle, Treiber und Protokoll. Unsere Anleitung zur Fehlerbehebung bei Kommunikationsproblemen deckt diesen diagnostischen Weg ab.

Was Sie für den autorisierten Zugriff benötigen

Eine kompatible Diagnoseplattform

Der Scanner und die dazugehörige Software müssen das spezifische Gateway-System des jeweiligen Herstellers unterstützen. Ein generisches OBD2-Lesegerät kann zwar emissionsbezogene Daten auslesen, ist jedoch in der Regel nicht in der Lage, authentifizierte Servicefunktionen auszuführen. Überprüfen Sie das Gerätemodell, die Seriennummer, die aktive Softwareversion, die Region und die Fahrzeugabdeckung.

Ein registriertes Händler- und Technikerkonto

Für Hersteller, die über AutoAuth unterstützt werden, richtet die Werkstatt ein Konto ein, fügt Techniker hinzu und registriert kompatible Diagnosegeräte. Bosch weist darauf hin, dass ein authentifizierter Benutzer ein registriertes Gerät nutzen kann, das dieser Werkstatt zugeordnet ist. Andere Hersteller verwenden möglicherweise ein anderes Portal oder ein anderes Anmeldeverfahren.

Ein aktives Abonnement, falls erforderlich

Für einen sicheren Zugriff sind möglicherweise ein Software-Abonnement, ein Abonnement für einen Authentifizierungsdienst, ein OEM-Abonnement oder eine Kombination daraus erforderlich. Klären Sie die Kosten und den Leistungsumfang, bevor Sie einem Kunden eine geschützte Funktion zusagen.

Eine stabile Internetverbindung

Für die Authentifizierung muss der Scanner in der Regel mit einem Online-Dienst kommunizieren. Ein zuverlässiges WLAN in der Werkstatt ist daher Teil der Diagnoseumgebung. Eine abgelaufene Anmeldung, eine fehlerhafte Geräteregistrierung, eine blockierte Netzwerkverbindung oder ein Dienstausfall können dazu führen, dass das Tool im schreibgeschützten Modus verbleibt.

Auch die Hardwareklasse spielt eine Rolle. Siehe dazu unseren Vergleich zwischen J2534, OEM-VCI und ELM327 bevor man sich für eine Schnittstelle für fortgeschrittene Arbeiten entscheidet.

Schritt-für-Schritt-Anleitung zur Fehlerbehebung beim Secure Gateway

1. Speichern Sie den ersten Scan. Notieren Sie sich die Fahrgestellnummer (VIN), die Fehlercodes (DTCs), die Modulliste und die genaue Fehlermeldung, bevor Sie irgendetwas ändern.
2. Vergewissern Sie sich, dass die Kommunikation ansonsten gut funktioniert. Überprüfen Sie, ob mehrere Module reagieren und Live-Daten verfügbar sind.
3. Bestimmen Sie die geschützte Funktion. Notieren Sie, ob der Fehler während des Löschens von Fehlercodes, eines laufenden Tests, eines Resets oder einer Kalibrierung auftritt.
4. Lesen Sie die offizielle Berichterstattung. Vergewissern Sie sich, dass das Tool und die aktuelle Software den sicheren Zugriff für genau diese Marke, dieses Modell, dieses Baujahr und diesen Markt unterstützen.
5. Registrierung überprüfen. Stellen Sie sicher, dass die Seriennummer des Werkzeugs dem Werkstattkonto zugeordnet ist und der Techniker ein autorisierter Benutzer ist.
6. Abonnements und Updates prüfen. Erneuern Sie die erforderlichen Zugriffsrechte und installieren Sie die unterstützten Tool-Updates, bevor Sie es erneut versuchen.
7. Verbindung prüfen. Stellen Sie eine Verbindung zum vertrauenswürdigen Werkstatt-Internet her, korrigieren Sie Datum und Uhrzeit und vergewissern Sie sich, dass die Authentifizierung nicht durch eine Firewall oder ein Captive Portal blockiert wird.
8. Melden Sie sich an, wenn Sie dazu aufgefordert werden. Verwenden Sie das autorisierte Konto im Rahmen des Workflows des unterstützten Tools. Geben Sie Anmeldedaten nicht an nicht verbundene Unternehmen weiter.
9. Wiederholen Sie den Vorgang und dokumentieren Sie ihn. Speichern Sie den Scan-Bericht und vergewissern Sie sich, dass die angeforderte Servicefunktion abgeschlossen wurde.

Was man nicht tun sollte

Ein Bypass-Kabel oder eine inoffizielle Modifikation mag zwar günstiger erscheinen, kann jedoch Probleme in Bezug auf Sicherheit, Cybersicherheit, Gewährleistung und Haftung verursachen. Außerdem kann es zu irreführenden Ergebnissen kommen, wenn die Software nicht mit dem Gateway-Design des Fahrzeugs kompatibel ist. Überbrücken Sie keine Netzwerkpins, nehmen Sie keine Modifikationen an Modulen vor, installieren Sie keine unbekannte Firmware und versuchen Sie nicht, das Gateway zu umgehen.

Ein sicherer Zugang ist zudem keine Erlaubnis, mit undokumentierten Funktionen zu experimentieren. Befolgen Sie die aktuellen Servicehinweise, sorgen Sie für eine stabile Batteriespannung und sichern Sie die Originalkonfiguration, bevor Sie Anpassungen vornehmen. Lesen Sie unsere Sicherheitscheckliste für die Codierung und Programmierung von Steuergeräten vor jedem Schreibvorgang.

Auswahl eines Scanners für neuere Fahrzeuge

Wenn Sie Diagnosetools vergleichen, sollten Sie nicht nur darauf achten, ob diese “alle Systeme scannen” können. Vergewissern Sie sich auch, ob der Hersteller Secure-Gateway-Unterstützung bietet, welche Authentifizierungsmethode verwendet wird, wie hoch die Abonnementkosten sind, welche Internetanforderungen gelten, ob eine bidirektionale Abdeckung gewährleistet ist, wie die Update-Richtlinien aussehen und ob die Plattform Ihr Land unterstützt.

Eine Werkstatt, die hauptsächlich ältere Fahrzeuge wartet, wird wahrscheinlich nur selten mit einem SGW in Berührung kommen. Eine Werkstatt, die neuere Modelle von FCA/Stellantis, Nissan, Hyundai/Kia, Mercedes-Benz oder anderen geschützten Plattformen wartet, sollte einen authentifizierten Zugriff als zentrale Kaufvoraussetzung betrachten. Da sich der Abdeckungsumfang ständig weiterentwickelt, sollten Sie sich direkt beim Anbieter des Diagnosetools vergewissern, anstatt sich auf eine veraltete Kompatibilitätsübersicht zu verlassen.

Endgültige Antwort: Der Scanner funktioniert möglicherweise einwandfrei

Wenn Ihr Scanner zwar Codes ausliest, diese aber nicht löschen kann, sollten Sie nicht sofort die Schnittstelle austauschen oder die Software neu installieren. Prüfen Sie zunächst, ob das Fahrzeug über ein Secure Gateway verfügt und ob die angeforderte Funktion eine Authentifizierung erfordert. Mit einem kompatiblen, registrierten Gerät, einem gültigen Konto, einem aktuellen Abonnement und einer stabilen Internetverbindung kann eine unabhängige Werkstatt die unterstützten Servicefunktionen über den zugelassenen Weg ausführen.

Maßgebliche Quellen: Anleitung für Bosch Secure Gateway und Offizielle Serviceübersicht von AutoAuth.