Sichere Gateways in modernen Fahrzeugen: SGW, SFD, DoIP & CAN-FD — Deep Dive 2025
In den letzten Modelljahren haben OEMs begonnen, den Diagnosezugriff mit Security Gateways zu sperren. FCA/Stellantis tat das über SGW, die VW-Gruppe über SFD / SFD2, und Premium-Marken verlagerten immer mehr Funktionen in Online-Sessions. Ohne das richtige Token oder die Cloud-Freigabe kann selbst ein guter Aftermarket-Scanner auf einem Jeep ab 2019 oder einer VAG-Plattform ab 2024 weder DTCs löschen noch bidirektionale Tests ausführen.
Warum werden Fahrzeuge gesperrt?
- Cybersicherheit & OTA: vernetzte Fahrzeuge sind dauerhaft online, daher müssen OEMs einschränken, wer an Steuergeräten schreiben oder sogar Tests auslösen darf.
- Schutz vor Billig-Tools & Klonen: In den 2010er-Jahren konnte jede Werkstatt mit einem Tablet Codierungen ändern; heute verlangen OEMs Nachvollziehbarkeit. Ihr Scanner 2025 muss sich identifizieren.
- Vorschriften & Haftung: Falsche Codierung in ADAS- oder EV/HEV-Modulen = Sicherheitsrisiko, deshalb werden Zugriffe zeitlich begrenzt und an die VIN gebunden.
1. FCA / Stellantis SGW
Seit etwa 2017 hat FCA ein Secure Gateway (SGW)-Modul zwischen OBD-Port und Fahrzeug-Steuergeräten gesetzt. Ohne Authentifizierung können Sie Fehlercodes nur auslesen — löschen, Stellgliedtests durchführen oder eine Proxy-Ausrichtung vornehmen ist nicht möglich. Der Zugriff erfolgt normalerweise über den offiziellen AutoAuth-Service oder ein OEM-Konto.
Wichtiger Hinweis für 2025: Mehrere Nutzer in der EU berichteten, dass ab dem 1. Sept. 2025 AutoAuth für europäische IPs nicht vollständig funktionsfähig ist; der Zugriff ist eingeschränkt oder erfordert einen anderen Weg. Unabhängige Werkstätten müssen alternative Authentifizierung einplanen (über markenunterstützte Tools oder einen Proxy-Service).
Viele Aftermarket-Tools (TOPDON, XTOOL usw.) integrieren die SGW-Freischaltung bereits in ihre Cloud — Sie registrieren das Gerät, melden sich an, und das Tool öffnet SGW für die aktuelle VIN. Das ist für eine kleine Werkstatt der einfachste “legale” Weg.
2. VAG SFD / SFD2
Die VW-Gruppe führte SFD rund um MQB Evo ein (Golf 8, Octavia IV, Leon IV, A3 8Y) und erweiterte es später auf MEB-/ID-Modelle. SFD blockiert Anpassungen und Long Coding, bis Ihr Tool ein Online-Token von den VW-Servern erhält. Jedes Token ist VIN-spezifisch und zeitlich begrenzt.
Bis 2024–2025 führt VAG SFD2 ein, das noch strenger ist — praktisch brauchen Sie ODIS/GeKo online oder einen Dienst, der eine gültige VIN/ein gültiges Token emuliert. Es gibt Community-Lösungen, aber sie sind fragil und können nach Updates ausfallen.
3. DoIP: Diagnose über IP
Neue Steuergeräte kommunizieren über Ethernet und nutzen DoIP (ISO 13400). Ohne ein DoIP-fähiges VCI sieht Ihr Scanner bei neueren BMW, JLR, Mercedes oder sogar VAG-EVs schlicht einige Steuergeräte nicht. DoIP bietet höhere Bandbreite und passt zu softwaredefinierten Fahrzeugen, macht Online-Autorisierung für OEMs aber auch einfacher.
4. CAN-FD: schnelleres CAN für 2025-Plattformen
Der Markt für Automotive CAN-FD wächst bis 2033 mit rund 19 % CAGR, also ist das der neue Standard für Body-, ADAS- und EV-Module. Die Schnittstelle Ihrer Werkstatt muss CAN-FD-Frames unterstützen, sonst verpassen Sie in Fahrzeugen von 2025 ganze Teilnetzwerke.
5. Zugriffsstrategien für freie Werkstätten
- Offizielles OEM-Konto: registrieren, bezahlen, kurzzeitige Freischaltung erhalten → Auftrag durchführen → Sitzung schließt. Am besten für risikoreiche Arbeiten (Wegfahrsperre, Component Protection).
- Aftermarket-Scanner mit Cloud-SGW/SFD-Freischaltung: Autel / Launch / Thinkcar / TOPDON / XTOOL und andere verkaufen Jahrespakete, die FCA SGW und teils auch VAG SFD Unlock enthalten. Das ist die praktischste tägliche Lösung.
- Spezialisierte Online-Services “unter ODIS/GeKo”: Sie kaufen ein Token oder eine Remote-Session für eine bestimmte VAG-VIN. Nützlich, wenn Sie kein komplettes OEM-Abo möchten.
- Graue/offline Bypässe vermeiden: Sie funktionieren nach OEM-Sicherheitsupdates oft nicht mehr und können Spuren in den Steuergeräte-Logs hinterlassen.
6. Werkstatt-Checkliste 2025
- DoIP-fähiges Interface (Ethernet-ready, J2534 oder OEM-VCI)
- CAN-FD-Unterstützung
- Aktiver FCA/AutoAuth- oder gleichwertiger Zugang (die EU-Einschränkung 2025 beachten)
- Möglichkeit, VAG SFD/SFD2-Tokens zu erhalten (eigenes ODIS, Remote-Anbieter oder Tool-Hersteller)
- Eine Person in der Werkstatt, die für die Verlängerung von OEM- und Tool-Abonnements verantwortlich ist
Fazit
Security Gateways verschwinden nicht — im Gegenteil, sie werden strenger, je mehr Fahrzeuge softwaredefiniert werden. Unabhängige Werkstätten, die jetzt in DoIP-/CAN-FD-Hardware investieren und lernen, mit SGW/SFD zu arbeiten, behalten die volle Diagnose- und Codierungsfunktion bei Fahrzeugen ab 2025, während Werkstätten mit alten Scannern nur noch Fehlercodes auslesen können. Genau deshalb veröffentlichen wir diesen Deep Dive auf MHHAuto: um die praktikablen Wege aufzuzeigen, die noch offen sind.
