Secure Gateway und freie Diagnosegeräte: Kompatibilitätsfehler gezielt eingrenzen

Schutzmechanismus: Was das Secure Gateway sperrt und was offen bleibt

Das Secure Gateway (SGW) ist eine Firewall-Instanz im Fahrzeugnetz, die schreibende Diagnosezugriffe nur an authentifizierte Tester durchreicht und Lesezugriffe häufig passieren lässt. Mit der UN-Regelung R155 ist Cybersicherheit Teil der Typgenehmigung geworden, Zugriffskontrollen an der Diagnoseschnittstelle sind eine typische Umsetzung. Für die Fehlersuche zählen zwei Fragen: Welche Dienste sind gesperrt, und über welchen Kanal kommt die Freigabe?

Welche Funktionen sperrt das Secure Gateway ohne Authentifizierung?

Ohne Authentifizierung blockiert das Secure Gateway vor allem schreibende Diagnosefunktionen. Das reine Auslesen von Fehlercodes bleibt dagegen häufig möglich.

Typische gesperrte Funktionen sind:

• Fehlerspeicher löschen: Gespeicherte Fehlercodes entfernen.
• Service-Resets: Wartungsintervalle und Servicemeldungen zurücksetzen.
• Stellgliedtests: Aktoren gezielt über das Diagnosegerät ansteuern.
• Codierung und Programmierung: Steuergeräte konfigurieren oder Software übertragen.

Beim VW-Konzern heißt der Schutzmechanismus SFD (Schutz Fahrzeugdiagnose) und umfasst die Generationen SFD1 und SFD2.

Auf UDS-Ebene (ISO 14229) betrifft die Sperre insbesondere diese Dienste: ClearDiagnosticInformation, WriteDataByIdentifier, RoutineControl und RequestDownload.

Je nach Umsetzung reagiert das Gateway unterschiedlich:

• Negative Response: Das Steuergerät weist die Diagnoseanfrage ausdrücklich zurück.
• Timeout: Das Gateway leitet die Anfrage nicht weiter. Der Tester erhält keine Antwort und zeigt möglicherweise einen Kommunikationsfehler an.

Ein erfolgreiches Auslesen bestätigt nur die funktionierende Diagnoseverbindung, nicht die Berechtigung für weitere Funktionen. Wenn Service-Resets oder Stellgliedtests scheitern, solltest du deshalb zuerst die Authentifizierung prüfen, bevor du einen Fahrzeugdefekt vermutest.

Wie authentifizieren sich Testgeräte bei den Herstellern?

Die Authentifizierung von Diagnosegeräten erfolgt je nach Fahrzeughersteller über AutoAuth, eigene Zugangssysteme oder signierte Freischalttoken.

Dabei unterscheiden sich die Verfahren:

• Stellantis, Nissan und Mercedes-Benz: Die Zugangsberechtigung wird über AutoAuth geprüft.
• Andere Hersteller: Nutzen eigene Token oder herstellerspezifische Authentifizierungssysteme.
• VW-Konzern: Beim SFD-Verfahren fordert das Testgerät einen signierten Freischalttoken vom Hersteller-Backend an und übermittelt ihn an das Steuergerät, das daraufhin die geschützten Funktionen freigibt.

Typische Fehlerquellen sind ungültige Kontodaten, fehlende Lizenzen, nicht registrierte Geräteseriennummern oder abgelaufene Token.

Für die SFD-Freischaltung ist grundsätzlich eine Online-Verbindung zum Hersteller-Backend erforderlich. Ohne gültigen Token sind schreibende Diagnosefunktionen an geschützten Steuergeräten praktisch nicht möglich.

Sechs Kompatibilitätsfehler aus dem Werkstattalltag

Sechs Fehlerbilder erklären die wiederkehrenden Ursachen gescheiterter Authentifizierungen, und jedes lässt sich mit einer gezielten Gegenprobe bestätigen oder ausschließen. Die Gegenproben stützen sich auf Hersteller- und Händlerdokumentation zu den jeweiligen Verfahren und kommen ohne Teiletausch aus.

Fehler 1: SGW-Zugang als Gerätefunktion voraussetzen

„SGW-fähig“ bedeutet lediglich, dass ein Diagnosegerät die Authentifizierung technisch unterstützt. Die erforderlichen Markenzugänge sind dadurch nicht automatisch freigeschaltet. Bei Topdon ist laut Hersteller nur der Zugang für Ford enthalten, weitere Marken müssen separat zugebucht werden.

Den Fehler erkennst du an folgenden Anzeichen:

• Markenabhängige Funktion: Schreibzugriffe funktionieren beispielsweise bei Ford, während Mercedes-Benz einen Service-Reset wegen fehlender AutoAuth-Berechtigung ablehnt.
• Kein genereller Hardwarefehler: Funktionieren geschützte Diagnosefunktionen bei einer Marke, spricht das gegen einen grundsätzlichen Defekt des Testgeräts.

So vermeidest du den Fehler:

1. Prüfe im Kundenkonto oder in der Gerätesoftware, welche Marken tatsächlich freigeschaltet sind.
2. Lass dir vor dem Kauf die enthaltenen Markenzugänge und die Kosten für zusätzliche Freischaltungen schriftlich bestätigen.

Fehler 2: Seriennummer und Modell passen nicht zur Freischaltung

Eine Autel-Freischaltung funktioniert nur mit einem kompatiblen Diagnosegerät und der korrekt hinterlegten Seriennummer. Die Aktivierung dauert laut Händler meist 2 bis 4 Werktage. Bestellst du sie erst am Auftragstag, können sich die Arbeiten am Fahrzeug verzögern.

Bei FCA-Fahrzeugen für den US-Markt muss jede Autel-Seriennummer im AutoAuth-Konto registriert sein. Eine fehlende Zuordnung verhindert die Authentifizierung trotz bestehendem Konto.

Besonders fehleranfällig sind:

• Gerätetausch: Nach einem Garantiefall stimmt die hinterlegte Seriennummer möglicherweise nicht mehr.
• Zweitgeräte: Jedes zusätzlich genutzte Gerät benötigt die passende Registrierung.
• Tablet mit separater VCI: Es muss geklärt sein, auf welche Komponente die Freischaltung ausgestellt ist.

Die Gegenprobe dauert etwa zwei Minuten:

1. Lies die Seriennummer im Geräteinfo-Menü ab.
2. Vergleiche sie Zeichen für Zeichen mit dem Freischaltungsbeleg und dem AutoAuth-Konto.

Stimmen die Seriennummern nicht überein, liegt die Ursache in der Gerätezuordnung.

Fehler 3: Die falsche Lizenzvariante bei der Werkstattsoftware

Bei Bosch ESI[tronic] entscheidet das Vertragsmodell über den Gateway-Zugang, nicht die Softwareversion. Secure Diagnostic Access (SDA) bietet einen zentralen Zugang über die kostenlose SingleKey ID, fehlt aber bei Einmalkauflizenzen, Testlizenzen und Bildungslizenzen.

Das Fehlerbild betrifft deshalb alle SGW-Marken gleichzeitig, während ältere Fahrzeuge ohne Gateway normal laufen. Wer Version und Lizenzart verwechselt, installiert Update um Update, ohne dass sich etwas ändert. Die Gegenprobe läuft über den Lizenzbereich der Software oder den Vertriebspartner: Ist SDA Vertragsbestandteil und die SingleKey ID verknüpft?

Ein oft übersehener Nebeneffekt betrifft Schulungszentren und Berufsschulen. Mit einer Bildungslizenz lassen sich schreibende Funktionen an SGW-Fahrzeugen nicht praxisnah trainieren, das muss in der Ausbildungsplanung berücksichtigt werden.

Fehler 4: Herstellerspezifische Registrierungen vergessen

Kein einzelner Zugang deckt alle Marken ab, und die Kanäle unterscheiden sich deutlich:

• VW-Konzern: Token vom SFD-Backend, Online-Verbindung des Testers nötig.
• Stellantis, Nissan, Mercedes-Benz: Prüfung der Zugangsdaten über AutoAuth.
• Renault, Dacia: laut Bosch Registrierung auf der ASOS-Website.
• Ford bei Topdon: als einzige Marke ohne separate Zubuchung enthalten.

Gerade Betriebe mit funktionierendem SDA-Zugang laufen hier in die Falle. VW und Stellantis klappen, am ersten Dacia mit Security Gateway scheitern die Schreibfunktionen, weil die ASOS-Registrierung nie nötig war. Ein neuer Adapter hilft dabei nicht. Häng die Zuordnung Marke → Kanal als feste Übersicht an den Werkstattrechner und ergänze sie bei jeder neuen Marke.

Fehler 5: Veraltete Software und instabile Internetverbindung

Veraltete Gerätesoftware und schlechte Internetverbindungen gehören laut Händlerdokumentation zu den häufigsten Ursachen fehlgeschlagener Authentifizierungen. Die Token-Anfrage ist datenarm, verlangt aber eine durchgehend stabile, verschlüsselte Verbindung zum Backend. Verbindliche Mindestbandbreiten oder Timeout-Werte sind nicht Teil der üblichen Herstellerdokumentation, ein Speedtest im Büro sagt deshalb wenig.

In der Praxis scheitert die Anfrage selten an zu wenig Bandbreite. Typische Störer sind:

• Gast-WLAN mit Captive Portal oder Client-Isolation: Der Tester ist verbunden, erreicht das Backend aber nicht.
• Firewall oder Proxy im Betriebsnetz: Ausgehende HTTPS-Verbindungen zu fremden Servern werden gefiltert.
• Falsche Systemzeit am Tester: Die Zertifikatsprüfung schlägt fehl, obwohl das Netz einwandfrei ist.
• Roaming zwischen Access Points: Der Wechsel des Funkknotens während der Sitzung unterbricht die Anfrage.

Als Prüfroutine hat sich diese Reihenfolge bewährt:

1. Systemzeit und Zeitzone des Testers kontrollieren und ausstehende Updates installieren.
2. Am Stellplatz statt im Büro einen Verbindungstest über zwei bis drei Minuten laufen lassen, um Aussetzer zu erkennen.
3. Den fehlgeschlagenen Versuch über einen zweiten Weg wiederholen, etwa Mobilfunk-Hotspot oder LAN-Kabel.
4. Läuft die Authentifizierung dort durch, war das Netz die Ursache. Scheitert sie weiterhin, rücken Freischaltung, Seriennummer und Lizenz in den Fokus.

Fehler 6: Die Fehlermeldung falsch deuten

Ein fehlender SGW-Zugang wird nicht immer als „Zugriff verweigert“ angezeigt, sondern kann wie ein Kommunikationsfehler aussehen. Bei FCA-Fahrzeugen für den US-Markt ab 2018, etwa Jeep, Ram, Dodge oder Chrysler, melden nicht authentifizierte Autel-Geräte laut Händlerdokumentation teilweise, dass keine Kommunikation mit dem Steuergerät möglich sei.

Die Ursache kann ein Timeout sein: Das Gateway verwirft die Anfrage, der Tester erhält keine Antwort und meldet einen Kommunikationsabbruch. Das deutet nicht zwangsläufig auf defekte Hardware hin.

So grenzt du den Fehler ein:

1. Funktion prüfen: Funktioniert das Auslesen, während schreibende Diagnosefunktionen scheitern?
2. AutoAuth-Anmeldung kontrollieren: Prüfe, ob der Zugang aktiv und die Geräteseriennummer korrekt hinterlegt ist.
3. Hardware überprüfen: Erst danach kontrollierst du Kabel und Adapter auf mögliche Defekte.

Wie ordnest du ein Fehlerbild der richtigen Ursache zu?

Aussagekräftig ist die Kombination aus Lese- und Schreibergebnis, betroffener Marke und Netzweg, deutlich weniger der Wortlaut der Fehlermeldung. Die Matrix fasst die Gegenproben aus den sechs Fehlern zu einem Entscheidungsweg zusammen.

Nur die letzte Zeile rechtfertigt den Griff zu Kabel und Adapter. In allen anderen Fällen klärst du die Berechtigung zuerst.

Welche Diagnosegeräte sind mit Secure Gateway kompatibel?

Eine pauschale Kompatibilitätsliste gibt es nicht, weil die Eignung von Marke, Gerätemodell, Lizenzart und aktiver Freischaltung abhängt. Die Übersicht zeigt die gängigen Zugangswege und ihre Kostenlogik.

Belastbare Kosten für SGW-Zugänge lassen sich nur anhand eines konkreten Angebots ermitteln. Händler unterscheiden ihre Pakete nach Gerätemodell, Bundle und Region.

Fordere ein Angebot für deine Geräteseriennummer und Markenliste an. Darin sollten vier Angaben schriftlich bestätigt sein:

• Laufzeit des SGW-Zugangs
• Enthaltene Fahrzeugmarken
• Freischaltkontingente je Marke
• Verlängerungsbedingungen nach Ablauf der Laufzeit

Laut Händlerangabe enthält das Autel-Paket „SGW EU“ folgende Leistungen:

• VW-Konzern, Stellantis, Mercedes-Benz und Nissan: Jeweils ein Jahr unbegrenzte Freischaltungen.
• Renault und Dacia: Insgesamt 10 Freischaltungen. Bei zwei Aufträgen monatlich ist das Kontingent nach fünf Monaten aufgebraucht und eine Nachbuchung erforderlich.

Für den Kostenvergleich verschiedener Anbieter eignet sich folgende Berechnung:

Kosten pro SGW-Auftrag = Jahreskosten des Zugangs ÷ Anzahl der schreibenden SGW-Aufträge

Bei Bosch sind die Kosten bereits im entsprechenden ESI[tronic]-Lizenzmodell enthalten, da SDA keine separate Zusatzbuchung ist. Ein günstiges Diagnosegerät mit teuren Markenfreischaltungen kann deshalb langfristig mehr kosten als ein Paket mit den wichtigsten Fahrzeugmarken.

Umgehen, freischalten, zertifizieren: der rechtliche und praktische Rahmen

Umgehung und Freischaltung haben eine technische und eine regulatorische Seite, und beide bestimmen, welchen Weg du in der Werkstatt wählst. Die Haftungsfolgen eines Bypass sind dabei konkreter, als es die übliche Warnung vermuten lässt.

Secure Gateway umgehen: Wann ein Bypass-Adapter überhaupt infrage kommt

Ein Bypass-Adapter ist allenfalls ein Notbehelf für den Fall, dass für Marke und Gerät kein Authentifizierungsweg existiert. Bei FCA-Fahrzeugen für den US-Markt ab 2018 ist der 12+8-Bypass-Adapter laut Händler überflüssig, sobald das Gerät per AutoAuth angemeldet ist. Er ersetzt also keine Berechtigung, er überbrückt das Gateway physisch.

Der Eingriff erfolgt am Gateway-Steckverbinder und nicht mehr über die Diagnosebuchse. Du öffnest Verkleidungen, trennst Steckverbindungen und schleust ein Zusatzbauteil in das Fahrzeugnetz ein. Ein authentifizierter Zugriff braucht nichts davon.

Welche Haftungsfolgen und Risiken hat ein Bypass?

Ein Bypass verlagert das Risiko auf die Werkstatt, weil der Hersteller diesen Zugangsweg nicht freigibt und der Eingriff nicht dokumentiert authentifiziert ist. Die folgenden Punkte ersetzen keine Rechtsberatung, zeigen aber, wo die Haftung konkret ansetzt:

• Werkvertragsrecht: Nach §§ 631 ff. BGB schuldest du eine fachgerechte Leistung, bei Pflichtverletzung drohen Schadensersatzansprüche nach § 280 BGB. Ein nicht freigegebener Eingriff in die Sicherheitsarchitektur erschwert den Nachweis, nach den anerkannten Regeln der Technik gearbeitet zu haben, besonders nach Arbeiten an Airbag, Bremse oder Lenkung.
• Herstellergarantie: Die Kfz-GVO schützt die Garantie, wenn Wartung in einer freien Werkstatt nach Herstellervorgaben erfolgt. Schäden, die auf einen nicht freigegebenen Eingriff ins Bordnetz zurückgehen, kann der Hersteller jedoch ablehnen, und Kulanz entfällt dann meist ebenfalls.
• Betriebshaftpflicht: Bearbeitungsschäden am Kundenfahrzeug sind in vielen Policen ausgeschlossen oder nur über einen Zusatzbaustein gedeckt. Klär schriftlich, ob Eingriffe in Steuergeräte und Bordnetz erfasst sind.
• Betriebserlaubnis: Bleibt ein Adapter dauerhaft im Fahrzeug, stellt sich die Frage nach § 19 Abs. 2 StVZO. Ein verbleibender Bypass ist deshalb tabu, der Rückbau gehört ins Auftragsprotokoll.
• Technische Folgeschäden: Eine schlechte Steckverbindung am Gateway kann Busfehler und zusätzliche Fehlereinträge erzeugen, die du dem Kunden erklären musst.

Eine dokumentierte Freischaltung lässt sich dagegen auftragsbezogen belegen, gegenüber Kunden, Versicherern und Herstellern gleichermaßen.

Geht die Secure Gateway Freischaltung ohne Herstellerkonto?

Ohne irgendein Konto nicht, ohne eigenes Konto bei jedem einzelnen Hersteller in vielen Fällen schon. Bei Bosch ESI[tronic] läuft der Zugang zentral über die kostenlose SingleKey ID. Beim Autel-Paket „SGW EU“ bündelt der Anbieter die Freischaltungen mehrerer Marken auf der Seriennummer deines Geräts.

Ausnahmen bleiben, etwa die ASOS-Registrierung für Renault und Dacia oder das AutoAuth-Konto für FCA US. Plane mit einem Mix aus zentralem Zugang und einzelnen Herstellerregistrierungen, abgestimmt auf die fünf bis zehn Marken, die bei dir am häufigsten auf die Bühne kommen.

SERMI und Remote-Service: Was Werkstätten nachweisen müssen

Seit dem 1. April 2024 müssen sich unabhängige Werkstätten in Deutschland nach SERMI zertifizieren lassen, wenn sie sicherheitsrelevante Daten benötigen, und die Zertifikate gelten 5 Jahre. Rechtsgrundlage ist die Delegierte Verordnung (EU) 2021/1244, die die Typgenehmigungsverordnung 2018/858 ergänzt.

SGW-Freischaltung und SERMI werden gern verwechselt, regeln aber zwei getrennte Ebenen:

• SGW-Freischaltung: Ermöglicht den authentifizierten Diagnosezugriff auf geschützte Fahrzeugfunktionen.
• SERMI-Zertifizierung: Regelt den Zugang zu diebstahlschutzrelevanten Informationen, beispielsweise für Schlüssel und Wegfahrsperren.

Ein aktives AutoAuth-Konto ersetzt daher kein SERMI-Zertifikat und umgekehrt.

Beim Remote-Service für sicherheitsrelevante Arbeiten muss die beauftragende Werkstatt selbst SERMI-zertifiziert sein, die Zertifizierung des Dienstleisters reicht nicht. Bei Fernunterstützung für Codierungen wird das häufig übersehen.

Rechtlich ist die Zugangsfrage nicht abschließend geklärt. Die EU-Typgenehmigungsverordnung 2018/858 schreibt legitimierten Werkstätten Zugriff auf die Fahrzeugsysteme vor, diskriminierungsfrei und bezahlbar. Der ASA-Verband hält die SGW-Zugangsbeschränkung deshalb für nicht gesetzeskonform, für deinen Betrieb bleiben bis zu einer Klärung trotzdem die vorgesehenen Zugangswege maßgeblich.

Was gehört in die Prüfung vor dem Fahrzeugkontakt?

Sieben Prüfpunkte vor jedem Auftrag klären die Berechtigung, bevor die eigentliche Fehlersuche beginnt:

1. Marke und Baujahr prüfen: Ist das Fahrzeug SGW- oder SFD-geschützt, und welcher Authentifizierungsweg gilt?
2. Freischaltung bestätigen: Liegt für die Marke eine aktive Freischaltung auf der Seriennummer deines Geräts vor? Bei Neubestellung 2 bis 4 Werktage einplanen.
3. Lizenzart kontrollieren: Bei Bosch ESI[tronic] muss das Lizenzmodell SDA enthalten.
4. Kontingente prüfen: Bei begrenzten Freischaltungen, etwa Renault/Dacia im Autel-Paket, den Zählerstand notieren.
5. Software und Systemzeit aktualisieren: Gerät und Diagnosesoftware auf den aktuellen Stand bringen, Uhrzeit kontrollieren.
6. Verbindung am Stellplatz testen: zwei bis drei Minuten Verbindungstest statt Speedtest im Büro.
7. Funktionstest mit Schreibzugriff: einen einfachen Service-Reset auslösen, bevor die eigentliche Arbeit beginnt.

Punkt 7 trennt die Fehlerklassen am schnellsten. Klappt das Auslesen und scheitert der Schreibzugriff, liegt der Fehler bei Berechtigung oder Lizenz.

Fazit: Berechtigung vor Hardware prüfen

Die meisten Kompatibilitätsfehler am Secure Gateway gehen auf fehlende oder falsch zugeordnete Freischaltungen zurück, defekte Geräte sind die Ausnahme. Seriennummer, Lizenzart, Herstellerregistrierung und ein stabiler Netzweg entscheiden, ob dein Tester schreibend arbeiten darf. Ein Bypass verschiebt Haftung aus Werkvertrag, Garantie und Versicherung in deine Werkstatt. Weil Aktivierungen Werktage dauern und SERMI eine eigene Ebene bildet, gehören Zugänge und Zertifizierung in die Auftragsvorbereitung.

FAQ zum Thema: Security Gateway Kfz

Welche Diagnosegeräte sind mit Secure Gateway kompatibel?

Kompatibel ist ein Gerät erst mit aktiver Freischaltung für die jeweilige Marke, das Etikett „SGW-fähig“ reicht nicht. Verlange vom Anbieter eine Markenliste, die auf deine Seriennummer ausgestellt ist.

Wie funktioniert die Secure Gateway Freischaltung bei freien Testgeräten?

Der Tester weist sich online beim Herstellersystem aus und erhält dafür Schreibrechte, je nach Marke über AutoAuth, einen Token oder eine eigene Registrierung. Ohne Internet am Stellplatz klappt das nicht.

Kann ich das Secure Gateway ohne Herstellerkonto freischalten?

Teilweise. Zentrale Zugänge wie die SingleKey ID oder Mehrmarkenpakete ersparen dir viele Einzelkonten. Für Renault und Dacia brauchst du trotzdem eine eigene ASOS-Registrierung.

Lohnt es sich, das Secure Gateway zu umgehen?

Meist nicht. Die gesparte Freischaltung steht in keinem Verhältnis zu Garantie- und Versicherungsrisiken, und an der SERMI-Pflicht ändert ein Bypass nichts.

Warum meldet mein Gerät „keine Kommunikation“, obwohl das Kabel in Ordnung ist?

Häufig verwirft das Gateway die Anfrage, und der Tester wertet das als Verbindungsabbruch. Lässt sich das Fahrzeug weiterhin auslesen, liegt die Ursache fast sicher bei der Anmeldung und nicht bei der Hardware.