{"id":7837,"date":"2026-10-30T09:16:49","date_gmt":"2026-10-30T09:16:49","guid":{"rendered":"https:\/\/technodidact.de\/?p=7837"},"modified":"2026-10-30T09:16:49","modified_gmt":"2026-10-30T09:16:49","slug":"das-vernetzte-auto-zeuge-ziel-und-zankapfel","status":"publish","type":"post","link":"https:\/\/technodidact.de\/en\/das-vernetzte-auto-zeuge-ziel-und-zankapfel\/","title":{"rendered":"Das vernetzte Auto: Zeuge, Ziel und Zankapfel"},"content":{"rendered":"

Von DerSchneider<\/strong><\/p>\n\n\n\n

\n\n\n\n

Einleitung: F\u00fcnf Sekunden, die alles ver\u00e4ndern<\/h2>\n\n\n\n

Es gibt Urteile, die bleiben h\u00e4ngen. Nicht weil sie spektakul\u00e4r sind, sondern weil sie ein Prinzip sichtbar machen. Im August 2026 entschied das Landgericht Frankenthal einen Fall, in dem ein Fahrer nach einem Unfall eigentlich im Recht war \u2013 er hatte Vorfahrt. Doch er verlor 80 Prozent seines Schadensersatzanspruchs von rund 19.500 Euro. \u00dcberf\u00fchrt hatte ihn nicht ein Zeuge, nicht ein Gutachter, sondern sein eigenes Auto: Der Ereignisdatenspeicher, umgangssprachlich Blackbox, dokumentierte eine Geschwindigkeit von 131 km\/h, wo 70 erlaubt waren .<\/a><\/p>\n\n\n\n

Dieser Fall ist kein Betriebsunfall der Technik. Er markiert eine Verschiebung, deren Tragweite erst langsam ins \u00f6ffentliche Bewusstsein dringt: Das Auto ist vom passiven Fortbewegungsmittel zum aktiven Datenerzeuger geworden \u2013 und zum potenziellen Zeugen gegen seinen eigenen Fahrer. Gleichzeitig ist es Ziel von Angriffen, Objekt kommerzieller Begierden und Gegenstand eines Rechtsrahmens, der schneller in Bewegung ist als die Fahrzeuge, die er regeln soll.<\/p>\n\n\n\n

\n\n\n\n

Was das Auto wirklich wei\u00df \u2013 und was nicht<\/h2>\n\n\n\n

Die Vorstellung, das moderne Auto zeichne pausenlos alles auf, ist falsch. Sie ist aber auch nicht v\u00f6llig unbegr\u00fcndet, denn die Datenmengen, die ein vernetztes Fahrzeug produziert, sind erheblich. Entscheidend ist die Unterscheidung zwischen drei Kategorien, die rechtlich und praktisch v\u00f6llig unterschiedlich behandelt werden.<\/p>\n\n\n\n

Der Event Data Recorder (EDR)<\/strong> ist seit Juli 2024 f\u00fcr alle neu zugelassenen Pkw und leichten Nutzfahrzeuge in der EU verpflichtend. Rechtsgrundlage ist die General Safety Regulation (VO (EU) 2019\/2144), technisch spezifiziert durch die Delegierte Verordnung (EU) 2022\/545, die auf der UN-Regelung Nr. 160 aufsetzt . Der EDR sitzt typischerweise im Airbag-Steuerger\u00e4t, weil dort die Beschleunigungssensoren zusammenlaufen, die die Aufzeichnung ausl\u00f6sen. Er friert ein schmales Zeitfenster ein: in der Regel die f\u00fcnf Sekunden vor einem Aufprallereignis sowie den Moment des Aufpralls selbst . Gespeichert werden Geschwindigkeit, Bremsbet\u00e4tigung, Gurtstatus, Airbag-Ausl\u00f6sung, Beschleunigungswerte und je nach Fahrzeug auch Lenkbewegungen . Keine Bilder, keine Audioaufnahmen, keine dauerhafte Standortverfolgung. Die Daten bleiben im Fahrzeug; ein Fernauslesen \u00fcber Funk ist nicht m\u00f6glich . Ausgelesen werden k\u00f6nnen sie \u00fcber die genormte OBD-Schnittstelle \u2013 aber nur von der Polizei oder von Beh\u00f6rden beauftragten Sachverst\u00e4ndigen, und nur bei einem konkreten Unfallverdacht .<\/a><\/a><\/a><\/p>\n\n\n\n

Telematik- und App-Daten<\/strong> gehen weit dar\u00fcber hinaus. Sie erfassen Fahrtrouten, Brems- und Beschleunigungsmuster \u00fcber Monate, Ladegewohnheiten bei Elektrofahrzeugen, Nutzungsprofile. Diese Daten sind wirtschaftlich hochattraktiv \u2013 f\u00fcr Hersteller, f\u00fcr Versicherer, f\u00fcr Werbetreibende.<\/p>\n\n\n\n

Cloud-Daten<\/strong> sind der eigentliche Brennpunkt. Im Dezember 2024 wurde bekannt, dass bei der VW-Softwaretochter Cariad Daten von rund 800.000 Elektrofahrzeugen der Marken VW, Audi, Seat und Skoda \u00fcber Monate ungesch\u00fctzt in einem Amazon-Cloudspeicher zug\u00e4nglich waren. Bei etwa 460.000 Fahrzeugen waren pr\u00e4zise Standortdaten einsehbar, die R\u00fcckschl\u00fcsse auf den Lebensalltag der Halter zulie\u00dfen . Der Chaos Computer Club hatte den Fehler am 26. November 2024 gemeldet; VW betonte, nur durch Umgehung mehrerer Sicherheitsmechanismen und Kombination verschiedener Datens\u00e4tze seien R\u00fcckschl\u00fcsse auf Personen m\u00f6glich gewesen . Dennoch: Der Fall zeigt, wo die strukturelle Verwundbarkeit liegt \u2013 nicht im Fahrzeug selbst, sondern in der Infrastruktur dahinter.<\/a><\/a><\/p>\n\n\n\n

\n\n\n\n

Die Gefahren: Jenseits der Datenweitergabe<\/h2>\n\n\n\n

Die Debatte \u00fcber vernetzte Fahrzeuge konzentriert sich oft auf Datenschutz und kommerzielle Weitergabe. Das ist wichtig, greift aber zu kurz. Die Bedrohungen liegen auf mehreren Ebenen, die miteinander verwoben sind.<\/p>\n\n\n\n

Ransomware gegen Fahrer.<\/strong> Angreifer haben ihre Strategie von der Erpressung von Herstellern auf die direkte Erpressung von Fahrern verlagert. Durch Schwachstellen in digitalen Schl\u00fcsseln oder mobilen Apps k\u00f6nnen sie Fahrzeuge sperren oder kritische Funktionen deaktivieren. Die Bedrohung ist unmittelbar und physisch.<\/p>\n\n\n\n

Die CAN-Bus-Schwachstelle.<\/strong> Der CAN-Bus, das Nervensystem des Fahrzeugs, verf\u00fcgt von Haus aus \u00fcber keine Authentifizierungs- und Verschl\u00fcsselungsmechanismen. Forscher haben wiederholt gezeigt, dass Angreifer \u00fcber die Bluetooth-Schnittstelle des Infotainmentsystems eindringen und Diagnosenachrichten an den CAN-Bus senden k\u00f6nnen \u2013 T\u00fcren \u00f6ffnen, Scheibenwischer aktivieren, im Extremfall in die Lenkung eingreifen. Die Trennung zwischen Infotainment und Fahrsteuerung ist oft unzureichend.<\/p>\n\n\n\n

Die interpretatorische Fehlleistung.<\/strong> Dies ist die am meisten untersch\u00e4tzte Gefahr. Telematiksysteme bewerten Fahrverhalten anhand fester Schwellenwerte. Eine Notbremsung mit 0,4g Verz\u00f6gerung gilt als \u201eaggressiv“ \u2013 auch wenn sie die einzig vern\u00fcnftige Reaktion auf ein pl\u00f6tzlich sichtbares Hindernis war. Datenl\u00fccken durch Sensorausf\u00e4lle k\u00f6nnen riskante Man\u00f6ver vollst\u00e4ndig aus dem Datensatz tilgen, sodass ein tats\u00e4chlich riskanter Fahrer als \u201esicher“ eingestuft wird. Und demografienahe Verhaltensmerkmale k\u00f6nnen mit tats\u00e4chlichem Risiko verwechselt werden. Die Daten \u201el\u00fcgen“ nicht \u2013 aber jede Interpretation mit unvollst\u00e4ndigen Daten oder falschen Referenzma\u00dfst\u00e4ben kann das Fahrverhalten verzerrt darstellen.<\/p>\n\n\n\n

\n\n\n\n

Der Rechtsrahmen: Geschichtet, in Bewegung, nicht willk\u00fcrlich<\/h2>\n\n\n\n

Die EU-Rechtslage f\u00fcr vernetzte Fahrzeuge ist nicht willk\u00fcrlich, aber sie ist fragmentiert und in st\u00e4ndiger Anpassung. Drei Rechtsquellen wirken parallel, mit unterschiedlichen Zust\u00e4ndigkeiten und Durchsetzungsrhythmen.<\/p>\n\n\n\n

Die DSGVO<\/strong> bildet den Rahmen f\u00fcr personenbezogene Daten. Fahrzeugdaten wie Standort, Fahrverhalten und Fahreridentit\u00e4t fallen vollst\u00e4ndig darunter. Das Problem: Die DSGVO wurde f\u00fcr Webdienste konzipiert, nicht f\u00fcr physische Produkte, die untrennbar mit ihrem Nutzer verbunden sind.<\/p>\n\n\n\n

Der Data Act<\/strong> (Datenverordnung), dessen Kernbestimmungen im September 2025 in Kraft traten, ver\u00e4ndert die Machtverh\u00e4ltnisse. Er verpflichtet Hersteller, Produktdaten \u2013 einschlie\u00dflich Fahrzeugdaten \u2013 standardm\u00e4\u00dfig f\u00fcr Nutzer direkt und kostenlos zug\u00e4nglich zu machen. Nutzer k\u00f6nnen diese Daten an Drittanbieter weitergeben. Die Kontrolle verschiebt sich vom Hersteller zum Nutzer. Allerdings: Komplex abgeleitete Daten wie Fahrverhaltens-Scores oder ADAS-interne Zustandsdaten sind von der \u00d6ffnungspflicht ausgenommen; der Data Act erfasst nur Rohdaten und vorverarbeitete Daten, nicht \u201eabgeleitete Informationen“ . Bei Verst\u00f6\u00dfen drohen Bu\u00dfgelder von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes .<\/a><\/a><\/p>\n\n\n\n

Die UN-Regelungen Nr. 155 und 156<\/strong> sind \u00fcber das EU-Typgenehmigungsrecht verbindlich. R155 verlangt ein zertifiziertes Cybersicherheits-Managementsystem (CSMS), R156 ein Software-Update-Managementsystem (SUMS). Doch hier besteht eine L\u00fccke, die Deutschland, Frankreich, Luxemburg, die Niederlande und das Vereinigte K\u00f6nigreich im Juli 2026 mit einem \u00c4nderungsantrag schlie\u00dfen wollten: Ein Hersteller konnte das CSMS-Zertifikat bei einer Beh\u00f6rde erwerben und die eigentliche Typgenehmigung bei einer anderen beantragen. Der Antrag verlangt, dass Zertifizierung und Typgenehmigung von derselben Beh\u00f6rde erteilt werden m\u00fcssen, weil Cybersicherheit nur ganzheitlich bewertet werden kann . Der Fall, der den Anlass gab: Ein Hersteller hatte das CSMS-Zertifikat in Deutschland erworben, die Typgenehmigung aber bei einer anderen Beh\u00f6rde beantragt. Die Mutual Recognition des 1958er-Abkommens deckt Management-System-Zertifikate nicht ab, was zu einer unharmonisierten Situation f\u00fchrt .<\/a><\/a><\/p>\n\n\n\n

Der Cyber Resilience Act (CRA)<\/strong> ist seit September 2026 mit seinen Meldepflichten operativ. Bei aktiv ausgenutzten Schwachstellen oder schwerwiegenden Sicherheitsvorf\u00e4llen m\u00fcssen Hersteller innerhalb von 24 Stunden eine Fr\u00fchwarnung, innerhalb von 72 Stunden einen detaillierten Bericht und innerhalb von 14 Tagen (bei Schwachstellen) bzw. einem Monat (bei Vorf\u00e4llen) einen Abschlussbericht \u00fcber die von ENISA betriebene Single Reporting Platform einreichen . In Deutschland ist das CERT-Bund im BSI das koordinierende CSIRT . Die \u00fcbrigen CRA-Pflichten \u2013 Produktanforderungen und CE-Kennzeichnung \u2013 folgen erst am 11. Dezember 2027 . Das bedeutet: Derzeit bestehen Meldepflichten, aber die Nichtmeldung zieht noch keine hohen Bu\u00dfgelder nach sich. Diese \u00dcbergangsphase ist real, wird aber selten kommuniziert.<\/a><\/a><\/p>\n\n\n\n

Was sich \u00e4ndert oder \u00e4ndern k\u00f6nnte:<\/strong> Die Anwendung der UN R155 auf die L-Kategorie (Motorr\u00e4der, kleine Elektrofahrzeuge) wird verbindlich \u2013 f\u00fcr neue Typen ab Dezember 2027, f\u00fcr bestehende ab Juni 2029. Die KI-Verordnung und der Digital Omnibus verschieben die Kernanforderungen f\u00fcr in regulierte Produkte eingebettete KI auf August 2028, wobei der Begriff der \u201eSicherheitskomponente“ eingeengt wird: KI, die ausschlie\u00dflich Komfort, Performance oder Serviceeffizienz betrifft und deren Fehlfunktion keine Gesundheits- oder Sicherheitsgef\u00e4hrdung ausl\u00f6st, soll nicht automatisch als Hochrisiko gelten. Der Verband der Automobilindustrie fordert die Einf\u00fchrung eines definierten \u201eEnd of Cybersecurity Support“, weil die aktuelle UN R155 faktisch einen Support bis zum Lebensende eines Fahrzeugtyps verlangt \u2013 was der VDA als nicht umsetzbar bezeichnet.<\/p>\n\n\n\n

\n\n\n\n

Das Auto als Zeuge: Beweiskraft und ihre Grenzen<\/h2>\n\n\n\n

Die Frage, ob Fahrzeugdaten vor Gericht verwertbar sind, ist praktisch entschieden. Ja. Der EDR ist gesetzlich vorgeschrieben, seine Daten k\u00f6nnen mit richterlicher Anordnung ausgelesen werden. Der Fall Frankenthal hat gezeigt, dass dies nicht theoretisch bleibt.<\/p>\n\n\n\n

Doch die Beweiskraft hat Grenzen. Der EDR zeichnet nur das eigene Fahrzeug auf. Er ersetzt nicht die klassische Unfallrekonstruktion, sondern erg\u00e4nzt sie. Und er zeichnet keine Bilder auf \u2013 was bedeutet, dass der Kontext einer Bremsung oft fehlt. Fachanw\u00e4lte f\u00fcr Verkehrsrecht weisen darauf hin, dass EDR-Daten zwar Geschwindigkeit, Bremsverhalten und Lenkbewegungen dokumentieren, aber keine \u00e4u\u00dferen Bedingungen wie Sichtverh\u00e4ltnisse oder Stra\u00dfenbeschaffenheit erfassen. Eine abrupte Lenkbewegung kann auf ein Ausweichman\u00f6ver hindeuten und muss kein Fehlverhalten sein .<\/a><\/p>\n\n\n\n

Hinzu kommt die Frage der Datenintegrit\u00e4t. Technische Fehler oder unvollst\u00e4ndige Daten k\u00f6nnen zu einer falschen Darstellung des Unfallgeschehens f\u00fchren. In der europ\u00e4ischen Rechtsprechung mehren sich Stimmen, die eine menschliche \u00dcberpr\u00fcfung automatisierter Unfallrekonstruktionssoftware fordern. Wenn Software US-Standardparameter verwendet, die nicht an europ\u00e4ische Stra\u00dfenverh\u00e4ltnisse angepasst wurden, k\u00f6nnen automatisch generierte Bewegungsmuster systematische Verzerrungen aufweisen. Die Fehlinterpretation erh\u00e4lt damit eine rechtliche Dimension.<\/p>\n\n\n\n

\n\n\n\n

Fazit: Die Richtung ist klar, die Details sind es nicht<\/h2>\n\n\n\n

Die EU-Rechtslage f\u00fcr vernetzte Fahrzeuge ist nicht willk\u00fcrlich. Sie ist geschichtet und in Bewegung. Drei Rechtsquellen \u2013 DSGVO, Data Act, CRA \u2013 plus die UN-Regelungen und der AI Act wirken parallel, mit unterschiedlichen Beh\u00f6rden und Umsetzungsrhythmen. Das erzeugt f\u00fcr Hersteller Compliance-Kosten und f\u00fcr Verbraucher Rechtsunsicherheit.<\/p>\n\n\n\n

Die Richtung ist dennoch erkennbar: Mehr Datenkontrolle f\u00fcr Nutzer, strengere Sicherheits- und Meldepflichten f\u00fcr Hersteller, h\u00f6here Haftungsrisiken bei automatisierten Funktionen. Was als Willk\u00fcr erscheinen mag, ist oft das Ergebnis von Interessenkonflikten zwischen Herstellern, Datenschutzbeh\u00f6rden und Verbraucherorganisationen \u2013 nicht das Diktat einer einzelnen Instanz.<\/p>\n\n\n\n

F\u00fcr Verbraucher bleibt die zentrale Erkenntnis zwiesp\u00e4ltig: Das Auto ist ein m\u00e4chtiger Zeuge \u2013 aber es zeugt nicht immer fair. Es zeichnet auf, was passiert ist, aber nicht immer, warum. Und die Algorithmen, die diese Daten interpretieren, sind so gut oder so schlecht wie die Annahmen, die in sie eingebaut wurden. Wer wei\u00df, dass die f\u00fcnf Sekunden vor dem Aufprall gespeichert werden, f\u00e4hrt deshalb nicht vorsichtiger. Aber wer wei\u00df, dass sie ausgelesen werden k\u00f6nnen, versteht vielleicht besser, warum das eigene Auto im Zweifel nicht der beste Verb\u00fcndete ist.<\/p>\n\n\n\n

\n\n\n\n

Quellen<\/strong><\/p>\n\n\n\n