DE102007048423A1

DE102007048423A1 - Vorrichtung und Verfahren zur Überprüfung von Manipulationsversuchen an einer Komponente eines Kraftfahrzeuges

Info

Publication number: DE102007048423A1
Application number: DE102007048423A
Authority: DE
Inventors: Stefan Goss
Original assignee: Volkswagen AG
Current assignee: Volkswagen AG
Priority date: 2007-10-09
Filing date: 2007-10-09
Publication date: 2009-04-16

Abstract

Die Erfindung betrifft eine Vorrichtung und ein Verfahren zur Überprüfung von Manipulationsversuchen an einer Komponente eines Kraftfahrzeuges, mittels mindestens einer Komponente, die eine Zugangsöffnung (9) aufweist, wobei die Zugangsöffnung (9) mit einem digitalen Siegel (1) verschlossen ist, wobei das digitale Siegel (1) derart beschaffen ist, dass bei einer Öffnung der Komponente das Siegel (1) zerstört oder verändert wird, wobei das digitale Siegel (1) eine Botschaft an die Auswerteeinheit über seinen Zustand übermittelt.

Description

Die Erfindung betrifft eine Vorrichtung und ein Verfahren zur Überprüfung von Manipulationsversuchen an einer Komponente eines Kraftfahrzeuges.
In modernen Kraftfahrzeugen existiert eine Vielzahl von Steuergeräten, die sensible Daten enthalten. Ein Beispiel ist ein elektronisches Fahrtenbuch, in dem Fahrdaten abgelegt werden, die beispielsweise bei Kontrollen oder auch bei Unfallrekonstruktionen zur Anwendung kommen. Aber auch andere Steuergeräte, wie beispielsweise das Motorsteuergerät, enthalten Daten, die möglichst nicht von außen manipulierbar sein sollten.
Aus der DE 10 2005 015 357 A1 ist eine Verpackung mit mindestens einem Integritätsprüfungsmittel zur Feststellung der unautorisierten Öffnung der Verpackung bekannt, wobei mindestens ein Integritätsprüfungsmittel einen RFID-Transponder aufweist, wobei der RFID-Transponder zur Übertragung einer von einem weiteren Bestandteil der Integritätsprüfungsmittel signalisierten Information über die Integrität der Verpackung an ein Lesegerät ausgebildet ist. Vorzugsweise weist mindestens ein Integritätsprüfungsmittel eine Mehrzahl von elektrisch gegeneinander isolierten Leiter- oder Halbleiterbahnen auf, die bei geschlossener Verpackung mindestens eine geschlossene Leiterschleife bilden, wobei ein Öffnen der Verpackung mindestens einen elektrischen Kennwert der Leiterschleife verändert. Die Integritätsprüfungsmittel weisen mindestens ein Kontrollmittel auf, das bei geschlossener Verpackung eine Veränderung mindestens eines elektrischen Kennwertes der Leiterschleife erfasst und eine Veränderung dem RFID-Transponder signalisiert.
Der Erfindung liegt das technische Problem zugrunde, eine Vorrichtung und ein Verfahren zur Überprüfung von Manipulationsversuchen an einer Komponente, insbesondere Steuergeräten, Sensoren oder Aktuatoren, eines Kraftfahrzeuges zu schaffen.
Die Lösung des technischen Problems ergibt sich durch die Gegenstände mit den Merkmalen der Ansprüche 1, 8 und 15. Weitere vorteilhafte Ausgestaltungen der Erfindung ergeben sich aus den Unteransprüchen.
Hierzu umfasst die Vorrichtung zur Überprüfung von Manipulationsversuchen an einer Komponente eines Kraftfahrzeuges mindestens eine Auswerteeinheit und mindestens eine Komponente, die eine Zugangsöffnung aufweist, wobei die Zugangsöffnung mit einem digitalen Siegel verschlossen ist, wobei das digitale Siegel derart beschaffen ist, dass bei einer Öffnung der Komponente das Siegel zerstört oder verändert wird, wobei das digitale Siegel mindestens eine Botschaft an die Auswerteeinheit über seinen Zustand übermittelt. Dabei ist Zugangsöffnung allgemein als mechanischer Zugang zu verstehen. Dies sind beispielsweise abnehmbare oder verschwenkbare Deckel, Zugangsöffnungen zu Resetschaltern und ähnliches. Die Übertragung zwischen Siegel und Auswerteeinheit kann prinzipiell über eine Luftschnittstelle oder auch leitungsgebunden erfolgen. Des Weiteren kann die Übertragung der Botschaft selbstständig durch das Siegel erfolgen oder aber nur auf Abfrage. Im einfachsten Fall signalisiert das digitale Siegel nur zwei Zustände, nämlich unversehrt oder versehrt (zerstört oder beschädigt), wobei der letzte Zustand auch einfach durch einen Ausfall der Botschaft signalisiert wird. Das digitale Siegel weist vorzugsweise einen Träger auf, der auf die Zugangsöffnung aufgeklebt wird. Durch Perforationen, Soll-Bruchstellen etc. kann dann das Siegel derart ausgebildet werden, dass es nach einmaliger Aufbringung nicht mehr mechanisch von der Komponente gelöst werden kann, ohne dass das Siegel beschädigt wird.
Vorzugsweise umfasst das digitale Siegel einen RFID-Transponder, dem eine eindeutige Kennung zugeordnet ist. Der große Vorteil von RFID-Transpondern ist, dass diese relativ preiswert herstellbar sind und bereits vielfältig im Einsatz erprobt sind. Dabei kann der RFID-Transponder je nach Anwendung sowohl als aktiver als auch als passiver Transponder ausgebildet sein, wobei letzteres wegen der geringen Kosten zu bevorzugen ist. In der einfachsten Ausführungsform ist dabei das digitale Siegel derart ausgebildet, dass beim Öffnen entweder die Funktionselektronik und/oder die Antenne des RFID-Transponders zerstört wird.
In einer weiteren bevorzugten Ausführungsform ist der RFID-Transponder mit mindestens einem Messobjekt verbunden, wobei bei einer Veränderung des digitalen Siegels aufgrund einer Öffnung der Komponente mindestens eine physikalische Größe des Messobjekts verändert wird, die durch den RFID-Transponder erfasst und an die Auswerteeinheit übermittelt wird. Hierdurch kann das digitale Siegel sehr einfach großflächig gestaltet werden, um auch größere Öffnungen vollständig abzudecken. Dabei werden auch Manipulationsversuche erfasst, bei denen der eigentliche RFID-Transponder nicht beschädigt wird. Im einfachsten Fall ist das Messobjekt eine Leiterschlaufe, wobei die physikalische Größe der elektrische Widerstand des Messobjektes ist. Alternativ kann auch eine kapazitive Messung erfolgen, d. h. das Messobjekt besteht aus zwei kapazitiven Flächen, die definiert zueinander ausgerichtet sind, wobei durch die Veränderung des digitalen Siegels mindestens eine Fläche hinsichtlich wirksamer Fläche oder Abstand verändert wird. Vorzugsweise ist dabei das Messobjekt auf dem gleichen Träger wie der RFID-Transponder angeordnet.
In einer weiteren bevorzugten Ausführungsform ist dabei die Auswerteeinheit in der zu schützenden Komponente selbst angeordnet, im Falle eines RFID-Transponders also der Reader bzw. das Lesegerät. Dies hat den Vorteil, dass die Sendeleistung entsprechend gering sein kann und der Abstand auch den Einsatz passiver Transponder ermöglicht. Des Weiteren ist die geringe Sendeleistung aus EMV-Gründen vorteilhaft. Die Auswerteeinheit kann selbst auf den Status reagieren, beispielsweise die Komponente außer Betrieb setzen, oder aber an eine andere Instanz übertragen, beispielsweise an ein anderes Steuergerät oder aber an eine fahrzeugexterne Stelle.
In einer weiteren bevorzugten Ausführungsform erfolgt die Übertragung der Botschaften verschlüsselt, wobei vorzugsweise Hash-Funktionen zur Anwendung kommen. Dies erschwert das Ersetzen eines digitalen Siegels nach dessen Zerstörung durch eine Nachbildung.
Weiter vorzugsweise erfolgt die Kommunikation zwischen digitalem Siegel und Auswerteelektronik nach einem Challenge Response-Verfahren, so dass kein Schlüssel übertragen werden muss.
Die Erfindung wird nachfolgend anhand eines bevorzugten Ausführungsbeispieles näher erläutert. Die Fig. zeigen:
1 eine schematische Darstellung eines digitalen Siegels,
2 einen schematischen Datenaustausch zwischen digitalem Siegel und Auswerteeinheit und
3 einen schematischen Kommunikationsablauf zwischen einer Komponente und einem externen Tester.
In der 1 ist ein digitales Siegel 1 dargestellt, umfassend einen Träger 2, einen RFID-Transponder und ein Messobjekt 3 in Form einer mäanderförmigen Leiterschleife. Der RFID-Transponder umfasst eine Funktionselektronik 4 und eine Antenne 5, wobei der RFID-Transponder als passiver Transponder ohne eigene Spannungsversorgung ausgebildet ist. Die Funktionselektronik 4 umfasst einen Mikroprozessor 6, einen Speicher 7 und eine Messeinrichtung 8 zur Messung des elektrischen Widerstandes des Messobjektes 3. Der Speicher 7 ist ein nicht flüchtiger Speicher, vorzugsweise ein RAM, der beispielsweise eine Größe von ca. 200 Bit aufweist. Der RFID-Transponder bzw. das digitale Siegel 1 weist eine eindeutige Kennung auf, die vorzugsweise bei der Produktion vergeben wird und in dem Speicher 7 abgelegt ist. Des Weiteren ist in dem Speicher 7 ein Schlüssel bzw. Common Secret CS abgelegt. Das Common Secret CS ist eine generierte Bitfolge, beispielsweise von 128 Bit, die auch der nicht dargestellte Reader bzw. eine diesem zugeordnete Auswerteeinheit kennt. Der Mikroprozessor 6 beherrscht Hash-Funktionen wie beispielsweise SHA-1 oder SHA 265/512. Das digitale Siegel 1 ist dabei derart ausgebildet, dass der Mikroprozessor 6 ein Challenge Response-Verfahren mit dem Reader durchführen kann, was nachfolgend noch näher erläutert wird. Das digitale Siegel 1 wird dann auf eine Zugangsöffnung 9 eines Steuergerätes geklebt, wobei eine Öffnung nicht möglich ist, ohne die Leiterbahn des Messobjekts 3 zu trennen. Hierzu ist der Träger 2 vorzugsweise aus Papier oder einer dünnen Folie hergestellt, auf dem das Messobjekt 3 und der RFID-Transponder angeordnet sind. In dem zu überwachenden Steuergerät kann dann auch der Reader angeordnet sein. Prinzipiell kann der Reader aber auch im Fahrzeug angeordnet sein und mehrere Transponder abfragen, wobei dann dessen Antenne entsprechend im Kraftfahrzeug verlegt werden muss. Des Weiteren kann der Reader auch außerhalb des Fahrzeugs angeordnet sein, was ebenfalls später noch erläutert wird. Der einmalig notwendige Austausch des Common Secret CS des digitalen Siegels 1 und des Readers bzw. der Auswerteeinheit erfolgt vorzugsweise bei der Herstellung der zu überwachenden Komponente oder bei deren Einbau in das Kraftfahrzeug, wo das Common Secret CS in das digitale Siegel 1 und die Auswerteeinheit eingeschrieben wird.
Zunächst soll das Challenge Response-Verfahren näher erläutert werden.
Reader bzw. ein dem Reader nachgeordneter Mikroprozessor und digitales Siegel 1 (nachfolgend auch RFID-Siegel genannt) teilen sich das Common Secret CS, eine für das Paar aus Reader und Siegel generierte Bitfolge aus vorzugsweise mindestens 128 Bit.
Challenge: Der Reader generiert vorzugsweise eine mindestens 64 Bit lange Pseudozufallsbitfolge. Diese Zufallsfolge RND wird nun zum RFID-Siegel übertragen. Reader → RFID-Siegel:RND
Response: Das Siegel führt, bevor es den Kommunikationsversuch des Readers beantwortet, einen Selbsttest durch. Dabei misst es, ob der Sicherungsdraht noch intakt ist, also das Siegel ungebrochen ist. Ist dies nicht der Fall, so löscht es das CS aus seinem Speicher. Anstelle des CS sind nun binäre Nullen im Speicher. Das RFID-Siegel berechnet nun aus der empfangenen Zufallsbitfolge, dem in seinem Speicher hinterlegten CS und seiner eindeutigen Siegelnummer einen Hashwert. Diesen übermittelt es zurück an den Reader.
Fall 1: RFID-Siegel → Reader: Hash (RND, CS, Siegelnummer)
Bei Fall 1 kann davon ausgegangen werden, dass das Originalsiegel vorhanden und ungebrochen ist.
Fall 2: RFID-Siegel → Reader: Hash (RND, 000 ..., Siegelnummer)
Dieser Fall würde bedeuten, dass das Originalsiegel vorhanden ist, aber gebrochen wurde. (Das CS ist im Siegel nicht mehr vorhanden. Stattdessen werden Nullen verwendet, um den Hashwert zu berechnen.)
Fall 3: keine oder unerwartete Antwort
Entweder ist der Reader defekt oder das Siegel zerstört/entfernt.
Das Steuergerät bzw. der Reader vergleicht die Response des Siegels mit den für Fall 1 und 2 erwarteten Hashwerten, den es selbst aufgrund des Wissens über das Common Secret CS und die Seriennummer des Siegels vorher berechnet hat. Nun steht fest, ob das Siegel gebrochen wurde oder noch intakt ist.
Die Sicherheit des Verfahrens beruht darauf, dass es, um ein Siegel zu fälschen, erforderlich ist, das Common Secret CS zu kennen. Das Common Secret CS kann aus der Response des RFID-Siegels (auch bei Kenntnis der Seriennummer und der Zufallszahl der Challenge) nur mit Hilfe der "Brute Force"-Methode ermittelt werden. Wenn das Common Secret CS 128 Bit lang ist, so würde man durchschnittlich 2¹²⁷ Versuche benötigen, es zu erraten. Angenommen man hätte einen Supercomputer, der pro Sekunden 100 Milliarden Versuche durchführen könnte (mit optimierten Algorithmen und Rechen-Cluster erreichbarer Werte), dann würde man trotzdem immer noch durchschnittlich 55.315.355.629.834.201 Jahrtausende benötigen, um das Common Secret zu finden.
Da es zudem bei einer 64 Bit langen Challenge 18.446.744.073.709.551.616 Möglichkeiten gibt, scheidet für den Angreifer die Option aus, vorher abgehörte Responses beim Auftreten derselben Challenge wieder abzuspielen, ohne sie selbst berechnen zu können.
Ein Angreifer ist deshalb dazu gezwungen, das Siegel auf Hardwareebene anzugreifen. Es darf ihm dabei jedoch nur unter unzumutbar hohem Aufwand möglich sein, das Common Secret CS aus dem RFID-Chip auszulesen, um ein gefälschtes Siegel herzustellen, mit dem er den unweigerlich erforderlichen Siegelbruch vertuschen könnte. Durch ein geeignetes Hardwaredesign kann verhindert werden, dass der Angreifer durch galvanische Kontaktierung des Mikroprozessors 6 oder des Speichers 7 des RFID-Siegels 1 das Common Secret CS direkt aus dem Speicher 7 auslesen kann bzw. durch Abhören des Mikroprozessors 6 bei der Berechnung einer Response ausspähen kann. Ein solches Hardwaredesign kann beispielsweise eine Schutzschicht um den Chip vorsehen, bei deren Entfernung durch chemische oder mechanische Methoden der Inhalt des Speichers 7 mit hoher Wahrscheinlichkeit zerstört wird und der Mikroprozessor 6 seine Funktionsfähigkeit verliert.
Im Innern des Steuergerätes wird das Common Secret CS in einem sicheren Speicher aufbewahrt. Die Hashwerte und die Zufallszahlen werden von der Software (deren Absicherung vorausgesetzt ist) vom Hauptprozessor des Steuergerätes berechnet. Zu keiner Zeit wird das Common Secret CS im Klartext über eine angreifbare Datenleitung übertragen.
Dies ist noch einmal in 2 beispielhaft dargestellt. ID ist dabei die Siegelnummer. Der Reader 10 empfängt vom Mikroprozessor 11 des Steuergerätes die von diesem generierte Zufallsfolge RND, die dann an das digitale Siegel 1 übertragen wird. Das digitale Siegel 1 empfängt vom Reader 10 die Zufallsfolge RND und sendet einen Hashwert Hash (RND, CS, ID). Der Reader 10 überträgt die empfangenen Hashwerte an den Mikroprozessor 11 des Steuergerätes, wo diese ausgewertet werden. Der Mikroprozessor 11 und der Reader 10 kommunizieren vorzugsweise leitungsgebunden. Der Mikroprozessor 11 kann Hash-Funktionen ausführen (um die Erwartungswerte zu berechnen) und kennt sowohl die Siegelnummer ID als auch das Common Secret CS, die in dessen Speicher abgelegt sind. Reader 10 und Mikroprozessor 11 des Steuergerätes bilden zusammen die Auswerteeinheit. Dabei versteht es sich, dass das Verfahren selbstverständlich genau funktioniert, wenn der Reader 10 außerhalb der Komponente angeordnet ist, wobei dann der Mikroprozessor der Auswerteeinheit beispielsweise von einem anderen Steuergerät zur Verfügung gestellt wird. Insbesondere bei Ausführungsformen, wo ein Mikroprozessor 11 mit dem Reader 10 mehrere digitale Siegel 1 abfragt, kann in einem Vorbereitungsschritt der Mikroprozessor 11 über den Reader 10 die Siegelnummer ID des digitalen Siegels 1 abfragen. Dies reduziert die Anzahl der zu berechnenden Hash-Erwartungswerte, da dann nur zwei Hash-Erwartungswerte mit der generierten RND berechnet werden müssen. Das macht das Verfahren flexibler, ohne die kryptographische Sicherheit zu brechen.
In der 3 ist eine Kommunikation zwischen dem Steuergerät 11 (bzw. Mikroprozessor des Steuergerätes) und einem externen Tester dargestellt. Möchte nun der Tester auf Daten des Steuergerätes 11 über eine Diagnoseschnittstelle zugreifen, so fordert dieser mittels eines Requests das Steuergerät 11 auf, eine Challenge Chal zu senden. Aus einem Schlüssel Skey, der beispielsweise das Common Secret CS ist, und einer Zufallsfolge Chal = f (RAND) berechnet das Steuergerät 11 beispielsweise mittels einer Hash-Funktion einen Erwartungswert für die Response RES_erwartet = ENC (Chal, Skey). Anschließend übermittelt das Steuergerät 11 die Zufallsfolge Chal = f (RAND) an den Tester. Dieser berechnet die Response RES = ENC (Chal, Skey) und überträgt diese an das Steuergerät 11 zurück, wobei bei positivem Prüfergebnis die Diagnoseschnittstelle freigeschaltet wird. Bei dieser Abfrage kann also vollständig auf die im Mikroprozessor 11 vorhandene Technik zurückgegriffen werden, die zur Abfrage des digitalen Siegels 1 notwendig ist. Nach positivem Prüfergebnis kann dann das Steuergerät 11 zusätzlich auch den Status des digitalen Siegels 1 an den Tester übertragen.
ZITATE ENTHALTEN IN DER BESCHREIBUNG
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
Zitierte Patentliteratur

- DE 102005015357 A1 [0003]

Claims

Vorrichtung zur Überprüfung von Manipulationsversuchen an einer Komponente eines Kraftfahrzeuges, umfassend mindestens eine Auswerteeinheit, mindestens eine Komponente, die eine Zugangsöffnung (9) aufweist, wobei die Zugangsöffnung (9) mit einem digitalen Siegel (1) verschlossen ist, wobei das digitale Siegel (1) derart beschaffen ist, dass bei einer Öffnung der Komponente das Siegel (1) zerstört oder verändert wird, wobei das digitale Siegel (1) eine Botschaft an die Auswerteeinheit über seinen Zustand übermittelt.
Vorrichtung nach Anspruch 1, dadurch gekennzeichnet, dass das digitale Siegel (1) einen RFID-Transponder umfasst, dem eine eindeutige Kennung (ID) zugeordnet ist.
Vorrichtung nach Anspruch 2, dadurch gekennzeichnet, dass der RFID-Transponder mit mindestens einem Messobjekt (3) verbunden ist, wobei bei einer Veränderung des digitalen Siegels (1) aufgrund einer Öffnung der Komponente mindestens eine physikalische Größe des Messobjekts (3) verändert wird, die durch den RFID-Transponder erfasst und an die Auswerteeinheit übermittelt wird.
Vorrichtung nach einem der vorangegangenen Ansprüche, dadurch gekennzeichnet, dass die Auswerteeinheit in der elektrischen Komponente angeordnet ist.
Vorrichtung nach einem der vorangegangenen Ansprüche, dadurch gekennzeichnet, dass die Botschaften verschlüsselt werden.
Vorrichtung nach einem der vorangegangenen Ansprüche, dadurch gekennzeichnet, dass die Verschlüsselung mittels einer Hash-Funktion erfolgt.
Vorrichtung nach einem der vorangegangenen Ansprüche, dadurch gekennzeichnet, dass die Kommunikation zwischen digitalem Siegel (1) und Auswerteeinheit nach einem Challenge Response-Verfahren erfolgt.
Verfahren zur Überprüfung von Manipulationsversuchen an einer Komponente eines Kraftfahrzeuges, mittels mindestens einer Komponente, die eine Zugangsöffnung (9) aufweist, wobei die Zugangsöffnung (9) mit einem digitalen Siegel (1) verschlossen ist, wobei das digitale Siegel (1) derart beschaffen ist, dass bei einer Öffnung der Komponente das Siegel (1) zerstört oder verändert wird, wobei das digitale Siegel (1) eine Botschaft an die Auswerteeinheit über seinen Zustand übermittelt.
Verfahren nach Anspruch 8, dadurch gekennzeichnet, dass das digitale Siegel (1) einen RFID-Transponder umfasst, dem eine eindeutige Kennung (ID) zugeordnet ist.
Verfahren nach Anspruch 9, dadurch gekennzeichnet, dass der RFID-Transponder mit mindestens einem Messobjekt (3) verbunden ist, wobei bei einer Veränderung des digitalen Siegels (1) aufgrund einer Öffnung der Komponente mindestens eine physikalische Größe des Messobjekts (3) verändert wird, die durch den RFID-Transponder erfasst und an die Auswerteeinheit übermittelt wird.
Verfahren nach einem der Ansprüche 8 bis 10, dadurch gekennzeichnet, dass die Auswerteeinheit in der elektrischen Komponente angeordnet ist.
Verfahren nach einem der Ansprüche 8 bis 11, dadurch gekennzeichnet, dass die Botschaften verschlüsselt werden.
Verfahren nach einem der Ansprüche 8 bis 12, dadurch gekennzeichnet, dass die Verschlüsselung mittels einer Hash-Funktion erfolgt.
Verfahren nach einem der Ansprüche 8 bis 13, dadurch gekennzeichnet, dass die Kommunikation zwischen digitalem Siegel (1) und Auswerteeinheit nach einem Challenge Response-Verfahren erfolgt.
Digitales Siegel, umfassend einen Mikroprozessor (6), einen Speicher (7) und eine Schnittstelle, wobei mittels des Mikroprozessors (6) Botschaften zum Zustand des digitalen Siegels (1) verschlüsselt werden und über die Schnittstelle übertragen werden.
Digitales Siegel nach Anspruch 15, dadurch gekennzeichnet, dass der Mikroprozessor (6) mindestens eine Hash-Funktion durchführt.
Digitales Siegel nach Anspruch 15 oder 16, dadurch gekennzeichnet, dass der Mikroprozessor (6) ein Challenge Response-Verfahren durchführt.
Digitales Siegel nach einem der Ansprüche 15 bis 17, dadurch gekennzeichnet, dass das digitale Siegel (1) einen RFID-Transponder mit einer Antenne (5) als Schnittstelle umfasst.
Digitales Siegel nach Anspruch 18, dadurch gekennzeichnet, dass der RFID-Transponder mit einem Messobjekt (3) verbunden ist, wobei der RFID-Transponder mit einer Messeinrichtung (8) zur Messung einer physikalischen Größe des Messobjekts (3) ausgebildet ist.
Digitales Siegel nach Anspruch 19, dadurch gekennzeichnet, dass RFID-Transponder und Messobjekt (3) auf einem gemeinsamen Träger (2) aufgebaut sind.