Das vernetzte Auto: Zeuge, Ziel und Zankapfel

Von DerSchneider

Einleitung: Fünf Sekunden, die alles verändern

Es gibt Urteile, die bleiben hängen. Nicht weil sie spektakulär sind, sondern weil sie ein Prinzip sichtbar machen. Im August 2026 entschied das Landgericht Frankenthal einen Fall, in dem ein Fahrer nach einem Unfall eigentlich im Recht war – er hatte Vorfahrt. Doch er verlor 80 Prozent seines Schadensersatzanspruchs von rund 19.500 Euro. Überführt hatte ihn nicht ein Zeuge, nicht ein Gutachter, sondern sein eigenes Auto: Der Ereignisdatenspeicher, umgangssprachlich Blackbox, dokumentierte eine Geschwindigkeit von 131 km/h, wo 70 erlaubt waren .

Dieser Fall ist kein Betriebsunfall der Technik. Er markiert eine Verschiebung, deren Tragweite erst langsam ins öffentliche Bewusstsein dringt: Das Auto ist vom passiven Fortbewegungsmittel zum aktiven Datenerzeuger geworden – und zum potenziellen Zeugen gegen seinen eigenen Fahrer. Gleichzeitig ist es Ziel von Angriffen, Objekt kommerzieller Begierden und Gegenstand eines Rechtsrahmens, der schneller in Bewegung ist als die Fahrzeuge, die er regeln soll.

Was das Auto wirklich weiß – und was nicht

Die Vorstellung, das moderne Auto zeichne pausenlos alles auf, ist falsch. Sie ist aber auch nicht völlig unbegründet, denn die Datenmengen, die ein vernetztes Fahrzeug produziert, sind erheblich. Entscheidend ist die Unterscheidung zwischen drei Kategorien, die rechtlich und praktisch völlig unterschiedlich behandelt werden.

Der Event Data Recorder (EDR) ist seit Juli 2024 für alle neu zugelassenen Pkw und leichten Nutzfahrzeuge in der EU verpflichtend. Rechtsgrundlage ist die General Safety Regulation (VO (EU) 2019/2144), technisch spezifiziert durch die Delegierte Verordnung (EU) 2022/545, die auf der UN-Regelung Nr. 160 aufsetzt . Der EDR sitzt typischerweise im Airbag-Steuergerät, weil dort die Beschleunigungssensoren zusammenlaufen, die die Aufzeichnung auslösen. Er friert ein schmales Zeitfenster ein: in der Regel die fünf Sekunden vor einem Aufprallereignis sowie den Moment des Aufpralls selbst . Gespeichert werden Geschwindigkeit, Bremsbetätigung, Gurtstatus, Airbag-Auslösung, Beschleunigungswerte und je nach Fahrzeug auch Lenkbewegungen . Keine Bilder, keine Audioaufnahmen, keine dauerhafte Standortverfolgung. Die Daten bleiben im Fahrzeug; ein Fernauslesen über Funk ist nicht möglich . Ausgelesen werden können sie über die genormte OBD-Schnittstelle – aber nur von der Polizei oder von Behörden beauftragten Sachverständigen, und nur bei einem konkreten Unfallverdacht .

Telematik- und App-Daten gehen weit darüber hinaus. Sie erfassen Fahrtrouten, Brems- und Beschleunigungsmuster über Monate, Ladegewohnheiten bei Elektrofahrzeugen, Nutzungsprofile. Diese Daten sind wirtschaftlich hochattraktiv – für Hersteller, für Versicherer, für Werbetreibende.

Cloud-Daten sind der eigentliche Brennpunkt. Im Dezember 2024 wurde bekannt, dass bei der VW-Softwaretochter Cariad Daten von rund 800.000 Elektrofahrzeugen der Marken VW, Audi, Seat und Skoda über Monate ungeschützt in einem Amazon-Cloudspeicher zugänglich waren. Bei etwa 460.000 Fahrzeugen waren präzise Standortdaten einsehbar, die Rückschlüsse auf den Lebensalltag der Halter zuließen . Der Chaos Computer Club hatte den Fehler am 26. November 2024 gemeldet; VW betonte, nur durch Umgehung mehrerer Sicherheitsmechanismen und Kombination verschiedener Datensätze seien Rückschlüsse auf Personen möglich gewesen . Dennoch: Der Fall zeigt, wo die strukturelle Verwundbarkeit liegt – nicht im Fahrzeug selbst, sondern in der Infrastruktur dahinter.

Die Gefahren: Jenseits der Datenweitergabe

Die Debatte über vernetzte Fahrzeuge konzentriert sich oft auf Datenschutz und kommerzielle Weitergabe. Das ist wichtig, greift aber zu kurz. Die Bedrohungen liegen auf mehreren Ebenen, die miteinander verwoben sind.

Ransomware gegen Fahrer. Angreifer haben ihre Strategie von der Erpressung von Herstellern auf die direkte Erpressung von Fahrern verlagert. Durch Schwachstellen in digitalen Schlüsseln oder mobilen Apps können sie Fahrzeuge sperren oder kritische Funktionen deaktivieren. Die Bedrohung ist unmittelbar und physisch.

Die CAN-Bus-Schwachstelle. Der CAN-Bus, das Nervensystem des Fahrzeugs, verfügt von Haus aus über keine Authentifizierungs- und Verschlüsselungsmechanismen. Forscher haben wiederholt gezeigt, dass Angreifer über die Bluetooth-Schnittstelle des Infotainmentsystems eindringen und Diagnosenachrichten an den CAN-Bus senden können – Türen öffnen, Scheibenwischer aktivieren, im Extremfall in die Lenkung eingreifen. Die Trennung zwischen Infotainment und Fahrsteuerung ist oft unzureichend.

Die interpretatorische Fehlleistung. Dies ist die am meisten unterschätzte Gefahr. Telematiksysteme bewerten Fahrverhalten anhand fester Schwellenwerte. Eine Notbremsung mit 0,4g Verzögerung gilt als „aggressiv“ – auch wenn sie die einzig vernünftige Reaktion auf ein plötzlich sichtbares Hindernis war. Datenlücken durch Sensorausfälle können riskante Manöver vollständig aus dem Datensatz tilgen, sodass ein tatsächlich riskanter Fahrer als „sicher“ eingestuft wird. Und demografienahe Verhaltensmerkmale können mit tatsächlichem Risiko verwechselt werden. Die Daten „lügen“ nicht – aber jede Interpretation mit unvollständigen Daten oder falschen Referenzmaßstäben kann das Fahrverhalten verzerrt darstellen.

Der Rechtsrahmen: Geschichtet, in Bewegung, nicht willkürlich

Die EU-Rechtslage für vernetzte Fahrzeuge ist nicht willkürlich, aber sie ist fragmentiert und in ständiger Anpassung. Drei Rechtsquellen wirken parallel, mit unterschiedlichen Zuständigkeiten und Durchsetzungsrhythmen.

Die DSGVO bildet den Rahmen für personenbezogene Daten. Fahrzeugdaten wie Standort, Fahrverhalten und Fahreridentität fallen vollständig darunter. Das Problem: Die DSGVO wurde für Webdienste konzipiert, nicht für physische Produkte, die untrennbar mit ihrem Nutzer verbunden sind.

Der Data Act (Datenverordnung), dessen Kernbestimmungen im September 2025 in Kraft traten, verändert die Machtverhältnisse. Er verpflichtet Hersteller, Produktdaten – einschließlich Fahrzeugdaten – standardmäßig für Nutzer direkt und kostenlos zugänglich zu machen. Nutzer können diese Daten an Drittanbieter weitergeben. Die Kontrolle verschiebt sich vom Hersteller zum Nutzer. Allerdings: Komplex abgeleitete Daten wie Fahrverhaltens-Scores oder ADAS-interne Zustandsdaten sind von der Öffnungspflicht ausgenommen; der Data Act erfasst nur Rohdaten und vorverarbeitete Daten, nicht „abgeleitete Informationen“ . Bei Verstößen drohen Bußgelder von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes .

Die UN-Regelungen Nr. 155 und 156 sind über das EU-Typgenehmigungsrecht verbindlich. R155 verlangt ein zertifiziertes Cybersicherheits-Managementsystem (CSMS), R156 ein Software-Update-Managementsystem (SUMS). Doch hier besteht eine Lücke, die Deutschland, Frankreich, Luxemburg, die Niederlande und das Vereinigte Königreich im Juli 2026 mit einem Änderungsantrag schließen wollten: Ein Hersteller konnte das CSMS-Zertifikat bei einer Behörde erwerben und die eigentliche Typgenehmigung bei einer anderen beantragen. Der Antrag verlangt, dass Zertifizierung und Typgenehmigung von derselben Behörde erteilt werden müssen, weil Cybersicherheit nur ganzheitlich bewertet werden kann . Der Fall, der den Anlass gab: Ein Hersteller hatte das CSMS-Zertifikat in Deutschland erworben, die Typgenehmigung aber bei einer anderen Behörde beantragt. Die Mutual Recognition des 1958er-Abkommens deckt Management-System-Zertifikate nicht ab, was zu einer unharmonisierten Situation führt .

Der Cyber Resilience Act (CRA) ist seit September 2026 mit seinen Meldepflichten operativ. Bei aktiv ausgenutzten Schwachstellen oder schwerwiegenden Sicherheitsvorfällen müssen Hersteller innerhalb von 24 Stunden eine Frühwarnung, innerhalb von 72 Stunden einen detaillierten Bericht und innerhalb von 14 Tagen (bei Schwachstellen) bzw. einem Monat (bei Vorfällen) einen Abschlussbericht über die von ENISA betriebene Single Reporting Platform einreichen . In Deutschland ist das CERT-Bund im BSI das koordinierende CSIRT . Die übrigen CRA-Pflichten – Produktanforderungen und CE-Kennzeichnung – folgen erst am 11. Dezember 2027 . Das bedeutet: Derzeit bestehen Meldepflichten, aber die Nichtmeldung zieht noch keine hohen Bußgelder nach sich. Diese Übergangsphase ist real, wird aber selten kommuniziert.

Was sich ändert oder ändern könnte: Die Anwendung der UN R155 auf die L-Kategorie (Motorräder, kleine Elektrofahrzeuge) wird verbindlich – für neue Typen ab Dezember 2027, für bestehende ab Juni 2029. Die KI-Verordnung und der Digital Omnibus verschieben die Kernanforderungen für in regulierte Produkte eingebettete KI auf August 2028, wobei der Begriff der „Sicherheitskomponente“ eingeengt wird: KI, die ausschließlich Komfort, Performance oder Serviceeffizienz betrifft und deren Fehlfunktion keine Gesundheits- oder Sicherheitsgefährdung auslöst, soll nicht automatisch als Hochrisiko gelten. Der Verband der Automobilindustrie fordert die Einführung eines definierten „End of Cybersecurity Support“, weil die aktuelle UN R155 faktisch einen Support bis zum Lebensende eines Fahrzeugtyps verlangt – was der VDA als nicht umsetzbar bezeichnet.

Das Auto als Zeuge: Beweiskraft und ihre Grenzen

Die Frage, ob Fahrzeugdaten vor Gericht verwertbar sind, ist praktisch entschieden. Ja. Der EDR ist gesetzlich vorgeschrieben, seine Daten können mit richterlicher Anordnung ausgelesen werden. Der Fall Frankenthal hat gezeigt, dass dies nicht theoretisch bleibt.

Doch die Beweiskraft hat Grenzen. Der EDR zeichnet nur das eigene Fahrzeug auf. Er ersetzt nicht die klassische Unfallrekonstruktion, sondern ergänzt sie. Und er zeichnet keine Bilder auf – was bedeutet, dass der Kontext einer Bremsung oft fehlt. Fachanwälte für Verkehrsrecht weisen darauf hin, dass EDR-Daten zwar Geschwindigkeit, Bremsverhalten und Lenkbewegungen dokumentieren, aber keine äußeren Bedingungen wie Sichtverhältnisse oder Straßenbeschaffenheit erfassen. Eine abrupte Lenkbewegung kann auf ein Ausweichmanöver hindeuten und muss kein Fehlverhalten sein .

Hinzu kommt die Frage der Datenintegrität. Technische Fehler oder unvollständige Daten können zu einer falschen Darstellung des Unfallgeschehens führen. In der europäischen Rechtsprechung mehren sich Stimmen, die eine menschliche Überprüfung automatisierter Unfallrekonstruktionssoftware fordern. Wenn Software US-Standardparameter verwendet, die nicht an europäische Straßenverhältnisse angepasst wurden, können automatisch generierte Bewegungsmuster systematische Verzerrungen aufweisen. Die Fehlinterpretation erhält damit eine rechtliche Dimension.

Fazit: Die Richtung ist klar, die Details sind es nicht

Die EU-Rechtslage für vernetzte Fahrzeuge ist nicht willkürlich. Sie ist geschichtet und in Bewegung. Drei Rechtsquellen – DSGVO, Data Act, CRA – plus die UN-Regelungen und der AI Act wirken parallel, mit unterschiedlichen Behörden und Umsetzungsrhythmen. Das erzeugt für Hersteller Compliance-Kosten und für Verbraucher Rechtsunsicherheit.

Die Richtung ist dennoch erkennbar: Mehr Datenkontrolle für Nutzer, strengere Sicherheits- und Meldepflichten für Hersteller, höhere Haftungsrisiken bei automatisierten Funktionen. Was als Willkür erscheinen mag, ist oft das Ergebnis von Interessenkonflikten zwischen Herstellern, Datenschutzbehörden und Verbraucherorganisationen – nicht das Diktat einer einzelnen Instanz.

Für Verbraucher bleibt die zentrale Erkenntnis zwiespältig: Das Auto ist ein mächtiger Zeuge – aber es zeugt nicht immer fair. Es zeichnet auf, was passiert ist, aber nicht immer, warum. Und die Algorithmen, die diese Daten interpretieren, sind so gut oder so schlecht wie die Annahmen, die in sie eingebaut wurden. Wer weiß, dass die fünf Sekunden vor dem Aufprall gespeichert werden, fährt deshalb nicht vorsichtiger. Aber wer weiß, dass sie ausgelesen werden können, versteht vielleicht besser, warum das eigene Auto im Zweifel nicht der beste Verbündete ist.

Quellen

• Landgericht Frankenthal (Pfalz), Urteil vom 14.08.2026, Az. 4 O 221/23 (EDR-Datenverwertung im Zivilverfahren)
• Kanzlei Voigt: „Die Blackbox sagt aus – Teil 1″, September 2026
• Bundesamt für Sicherheit in der Informationstechnik (BSI): „Cyber Resilience Act: Meldepflicht startet“, 11.09.2026
• Nationaal Cyber Security Centrum (NCSC): „Meldplicht Cyber Resilience Act gaat vandaag in“, 11.09.2026
• UNECE: „Proposal for amending UN Regulations Nos. 155 and 156″, WP.29/GRVA/2026/30, Juli 2026
• Europäische Kommission: Delegierte Verordnung (EU) 2022/545 (EDR), ABl. L 2022
• Verordnung (EU) 2019/2144 (General Safety Regulation)
• Swissinfo: „Medienbericht: 800’000 Autos von Datenleck bei VW betroffen“, Dezember 2024
• Deutschlandfunk: „Datenpanne bei VW – Standortdaten von 800.000 Autos waren im Internet abrufbar“, Dezember 2024
• Bundesamt für Strassen (ASTRA), Schweiz: „Event Data Recorder (EDR)“, Merkblatt
• autoservicepraxis.de: „Unfalldatenspeicher: Blick in die Fahrzeug-Historie“, Dezember 2025
• Rechtsanwalt Timo Scharrmann: „Digitale Unfallanalyse (EDR)“, November 2024
• EUR-Lex: Leitlinien zur Datenverordnung, C/2025/5026