Also ich weiß nicht wie BMW das macht, aber asymmetrische Verschlüsselung ist 0815 in der IT.
Die lifetime eines Schlüssels ist nicht relevant. Wenn das BMW wie jeder sonst macht steckt im Steuergerät ein für jedes Steuergerät individueller (!) privater (=geheimer) Schlüssel. Beim erzeugen des Updates wird ein nur zu diesem einen privaten dazu passender öffentlicher Schlüssel generiert den der Stick dem Steuergerät vorweisen muß. Nur wenn die beiden zusammenpassen geht es. Wie lange der öffentliche gültig ist spielt keine Rolle und nur weil das Endedatum gleich ist bedeutet es nicht das die Schlüssel gleich sind.
Übrigens, wenn der Schlüssel für alle gleich wäre müssten auch die privaten Schlüssel in allen Steuergeräten gleich sein was bedeuten würde das es schon immer beliebig kopierbar gewesen wäre.