Vernetzte Autos als Sicherheitslücke

Warum Vernetzung neue Risiken schafft

Die CAM-Studie "Connected Car Innovation 2026" beschreibt moderne Fahrzeuge als dauerhaft vernetzte Systeme, die über Kameras, Sensoren und Ortungsdaten fortlaufend Informationen erzeugen und übertragen können. Gleichzeitig erlauben OTA-Updates Herstellern, Software aus der Ferne zu aktualisieren und damit Funktionen nachträglich zu verändern.

Wo mehr Schnittstellen für Mobilfunk, WLAN oder Cloud-Dienste existieren, entstehen zusätzliche potenzielle Einfallstore für Hacker und Kriminelle. Das CAM leitet daraus ab, dass mit der zunehmenden Software-Steuerung von Fahrzeugen Cybersicherheit nicht mehr nur ein IT-Thema ist, sondern unmittelbar die Fahrzeugsicherheit und den Umgang mit Fahrzeugdaten betrifft.

Hinzu kommt, wer Software entwickelt, Updates ausrollt und Daten verarbeitet, kann theoretisch nicht nur Daten sehen, sondern auch in Systeme eingreifen, die für Betrieb und Sicherheit relevant sind. CAM verknüpft diese Debatte explizit mit dem Wandel zum softwaredefinierten Fahrzeug, in dem KI, einheitliche Softwarearchitekturen und regelmäßige Updates wichtiger werden.

Norwegen-Fall zeigt Datenproblem

Wie schnell Connectivity in sicherheitsrelevante Bereiche hineinreichen kann, illustriert ein in der CAM-Darstellung aufgegriffener Vorfall aus Norwegen. Bei der Militärübung "Hovedstad" im September wurden nach Angaben, die CAM zitiert, bei eingesetzten Mietwagen Bewegungen von Soldaten sowie an Kasernentoren eingegebene Sicherheitscodes aufgezeichnet.

Betroffen gewesen sein sollen unter anderem Fahrzeuge der Changan-Marke Deepal. Hinweise auf eine gezielte Abschöpfung nennt CAM dabei ausdrücklich nicht. Der Fall macht aber sichtbar, dass die Kombination aus Sensorik, Eingabemöglichkeiten im Fahrzeug und möglicher Datenübertragung unbeabsichtigte Risiken erzeugen kann – selbst ohne nachgewiesenen Missbrauch.

CAM leitet daraus eine Grundsatzfrage ab: In welchem Umfang entstehen Daten, wo werden sie verarbeitet und wer kann – technisch oder rechtlich – Zugriff erhalten? Besonders sensibel wird das aus CAM-Sicht bei Staaten, deren Rechtsrahmen Unternehmen zur Zusammenarbeit mit staatlichen Stellen verpflichten kann.

Forderungen nach Regeln für Fahrzeugdaten

Vor diesem Hintergrund fordert CAM "klare und überprüfbare Regeln" für vernetzte Fahrzeuge. Genannt werden transparente Datenflüsse, eine Datenspeicherung in Europa sowie unabhängige Prüfungen von Software und Updates. Die Studie argumentiert damit für ein Regulierungs- und Prüfregime, das nicht an Einzelfällen hängt, sondern als Standard für Connected Car und OTA-Updates greift. CAM-Direktor Stefan Bratzel warnt, das vernetzte Auto sei ein "rollendes Rechenzentrum" mit permanenter Serververbindung – und damit ein mögliches Einfallstor, wenn Zugriff auf Daten und Software nicht ausreichend abgesichert ist.

US-Verbot ab Modelljahr 2027

Das US-Handelsministerium (Bureau of Industry and Security, BIS) hat im Januar 2025 eine Regel beschlossen, die Import und Verkauf bestimmter Connected-Vehicle-Technologien einschränkt, wenn ein ausreichender Bezug zu China oder Russland besteht. Die Behörde begründet das mit nationalen Sicherheitsrisiken, etwa der Möglichkeit erzwungener Datenweitergabe oder Fernzugriffe.

Die BIS-Regel sieht gestaffelte Verbote vor. Ab Modelljahr 2027 untersagt sie den Verkauf bestimmter vernetzter Fahrzeuge, wenn Hersteller unter chinesischer oder russischer Kontrolle stehen oder wenn "covered software" aus diesen Ländern eingesetzt wird. Für Hardware-Komponenten im Bereich Vehicle Connectivity Systems nennt BIS als nächste Stufe Modelljahr 2030 beziehungsweise den 1. Januar 2029 für Bauteile ohne Modelljahresbezug. In Kraft getreten ist die Regel laut BIS am 17. März 2025.

Was in Europa schon gilt

Für den deutschsprachigen Markt ist ein wichtiger Unterschied, dass Cybersicherheit bereits Teil der Typgenehmigung geworden ist. In der EU müssen Hersteller nach einschlägigen UNECE-Regeln (WP.29) bei neuen Fahrzeugtypen seit Juli 2022 Cybersecurity-Anforderungen erfüllen. Seit Juli 2024 gilt das nach Darstellung von Prüfdienstleistern auch für alle neu in der EU verkauften Fahrzeuge.

Diese WP.29-Regeln umfassen UN R155 mit einem Cybersecurity Management System (CSMS) sowie UN R156 mit einem Software Update Management System (SUMS). In der Praxis geht es dabei nicht nur um einzelne Tests, sondern um Prozesse und Nachweise über den gesamten Lebenszyklus – inklusive Erkennung und Reaktion auf Vorfälle sowie sichere Software-Updates und eine rechtliche Grundlage für OTA-Updates.