Daten, Datenschutz und Cybersecurity bei Connected Cars

# Daten, Datenschutz und Cybersecurity bei Connected Cars

Im Juli 2022 änderte eine Vorschrift unauffällig die Voraussetzungen für den Autoverkauf in Europa. Nach UNECE-Regelung Nr. 155 muss jeder Hersteller, der eine Typgenehmigung anstrebt (die Zulassung, ein Fahrzeugmodell in einem Markt zu verkaufen), nachweisen, dass ererThe ratio of interactions (likes, comments, shares) to reach for a given piece of content, used to gauge how well audiences respond relative to how many people saw it.Vollständige Definition ansehen → ein zertifiziertes Cybersecurity-Managementsystem betreibt. Kein Zertifikat, keine Genehmigung, kein Verkauf. Volkswagen nahm Berichten zufolge mehrere Modelle vom Markt, darunter Versionen des up! und bestimmte Transporter-Varianten, statt sie für die Konformität neu zu entwickeln. Regulierung war zum Türsteher des Showrooms geworden.

Ein modernes Connected Car erzeugt und überträgt enorme Datenmengen: Standort, Fahrverhalten, Audio aus dem Innenraummikrofon, biometrische Identifikatoren, sogar abgeleitete Gesundheitssignale. Damit wird jeder Automobilhersteller zu einem Daten- und Softwareunternehmen, ob ererThe ratio of interactions (likes, comments, shares) to reach for a given piece of content, used to gauge how well audiences respond relative to how many people saw it.Vollständige Definition ansehen → will oder nicht. Diese Lektion zeigt die vier regulatorischen Kräfte, die jede Fachkraft in der Automobilbranche heute verstehen muss.

UNECE R155: Cybersecurity als Bedingung für den Marktzugang

UNECE steht für United Nations Economic Commission for Europe. Sie betreibt das World Forum for Harmonization of Vehicle Regulations, das Fahrzeugvorschriften festlegt, die in der EU, Großbritannien, Japan, Südkorea und rund 60 Signatarstaaten übernommen werden. Die USA sind kein Signatarstaat, R155 bindet US-Verkäufe daher nicht direkt.

R155 verlangt von Herstellern den Betrieb eines Cyber Security Management System (CSMS): ein dokumentierter, auditierter Prozess zur Identifikation und Steuerung von Cyberrisiken über den gesamten Lebenszyklus eines Fahrzeugs, von der Entwicklung bis zur Außerbetriebnahme.

In der Praxis bedeutet das:

• Eine Risikobewertung für jeden Fahrzeugtyp pflegen und aktualisieren, wenn neue Bedrohungen auftreten.
• Angriffe im Feld überwachen und darauf reagieren kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnen (ein Vehicle Security Operations Center, kurz VSOC).
• Risiken aus der Lieferantenbasis steuern. Ein einziger unsicherer Infotainment-Chip kann die gesamte Genehmigung zunichtemachen.

Seit Juli 2024 gilt R155 für *alle* neu produzierten Fahrzeuge für diese Märkte, nicht nur für neu genehmigte Modelle. Der Engineering-Standard, den die meisten Hersteller dafür nutzen, ist ISO/SAE 21434, die Baseline für Cybersecurity-Engineering in der Branche.

Warum das die Lieferantenbeziehungen verändert

Ein Hersteller kann kein CSMS zertifizieren lassen, wenn ererThe ratio of interactions (likes, comments, shares) to reach for a given piece of content, used to gauge how well audiences respond relative to how many people saw it.Vollständige Definition ansehen → nicht für seine Lieferkette bürgen kann. Tier-1-Lieferanten (direkte Komponentenlieferanten wie Bosch oder Continental) und Tier-2-Lieferanten sehen sich daher vertraglichen Cybersecurity-Pflichten gegenüber, die vom OEM (Original Equipment Manufacturer, die Marke, die das Auto baut) heruntergegeben werden. Compliance ist zur Anforderung im Einkauf geworden, nicht nur zum IT-Thema.

UNECE R156: Regeln für Over-the-Air-Updates

Autos erhalten Software heute so wie Smartphones. Tesla hat das populär gemacht; nahezu jeder OEM liefert inzwischen Over-the-Air-Updates (OTA), also Software-Patches, die aus der Ferne an Fahrzeuge im Feld gesendet werden.

Das erzeugt ein neues Risiko: Ein fehlerhaftes oder bösartiges Update kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnte die Bremsen einer ganzen Flotte deaktivieren. UNECE R156 regelt dies, indem es ein Software Update Management System (SUMS) verlangt.

R156 verlangt von Herstellern:

• Einen nachprüfbaren Nachweis über die Software in jedem Fahrzeug zu führen (welche Version läuft in welchem Auto).
• Sicherzustellen, dass Updates authentisch und integritätsgeschützt sind, damit Angreifer keine gefälschten einspielen kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnen.
• Zu bestätigen, dass ein Update die Sicherheit nicht beeinträchtigt und dass der Fahrer informiert wird, wenn nötig.
• Die Typgenehmigung zu erhalten, da eine Softwareänderung das Fahrzeug rechtlich verändern kann. R156 hat das Konzept einer Software-Identifikationsnummer eingeführt, damit Behörden genehmigte Konfigurationen nachverfolgen kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnen.

Ein konkretes Beispiel: Wenn ein OTA-Update das Verhalten des automatischen Notbremsassistenten verändert, betrifft das ein sicherheitsrelevantes System. Nach R156 muss der Hersteller die Änderung dokumentieren, validieren und sicherstellen, dass das Fahrzeug weiterhin dem genehmigten Typ entspricht.

🎬 [VIDEO: "UN Regulation No. 155 and No. 156 explained" - youtube.com - eine klare Einführung aus der Branche, wie die beiden Regelungen bei Connected Vehicles zusammenspielen]

DSGVO: das Auto als Gerät einer betroffenen Person

Die Datenschutz-Grundverordnung (DSGVO) ist das umfassende Datenschutzrecht der EU, durchgesetzt von den nationalen Datenschutzbehörden (DPAs). Sie gilt für alle personenbezogenen Daten von Personen in der EU, und Connected Cars produzieren davon eine Flut.

Der Europäische Datenschutzausschuss (das Gremium, das die DSGVO-Durchsetzung koordiniert) hat eigene Leitlinien zu Connected Vehicles veröffentlicht, mit Kernaussagen, die Hersteller nicht ignorieren kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnen:

• Standortdaten sind sensibel. Kontinuierliche Geolokalisierung kann Wohnort, Arbeitsplatz, religiöse Orte und Arztbesuche offenlegen.
• Einwilligung muss echt sein. Vorangekreuzte KKThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →ästchen und "alles akzeptieren, um den Motor zu starten" genügen nicht.
• Datenminimierung. Daten möglichst im Fahrzeug verarbeiten, statt alles in die Cloud zu schicken.

DSGVO-Bußgelder kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnen bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes betragen, je nachdem, was höher ist. Für einen großen OEM ist das ein Milliardenrisiko, weshalb Privacy Engineering heute Teil des Fahrzeugentwicklungsprozesses ist.

Rechenbeispiel: Größe eines DSGVO-Bußgelds

Das ist illustrativ, keine Prognose. Angenommen, ein OEM mit 100 Milliarden Euro weltweitem Jahresumsatz begeht einen Verstoß der höchsten Stufe.

Fine ceiling = max(20,000,000 euros, 4% of global revenue)
4% of 100,000,000,000 euros = 4,000,000,000 euros
Fine ceiling = 4,000,000,000 euros (the 4% figure dominates)

Der Punkt: Bei großen Herstellern setzt die Obergrenze in Prozent des Umsatzes die tatsächliche Grenze, nicht die pauschalen 20 Millionen. Behörden verhängen selten das Maximum, aber das Risiko disziplinert das Verhalten.

US-Datenschutzgesetze der Bundesstaaten: ein Flickenteppich, keine Bundesregel

Die USA haben Stand 2026 kein einheitliches Bundesdatenschutzgesetz, das der DSGVO entspricht. Stattdessen stehen Hersteller einem wachsenden Flickenteppich einzelstaatlicher Gesetze gegenüber. Das einflussreichste ist der California Consumer Privacy Act (CCPA), erweitert durch den California Privacy Rights Act (CPRA) und durchgesetzt von der California Privacy Protection Agency (CPPA).

Zentrale Anforderungen, die Connected Cars betreffen:

• Verbraucher kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnen auf ihre personenbezogenen Daten zugreifen, sie löschen lassen und dem Verkauf oder Teilen widersprechen.
• Präzise Geolokalisierungs- und biometrische Daten gelten als "sensitive personal information" mit zusätzlichen Einschränkungen.
• Die CPPA hat öffentlich signalisiert, dass sie die Datenpraktiken bei Connected Vehicles prüft, und eine Überprüfung von Herstellern und ihren Datenbrokern eingeleitet.

Mehr als ein Dutzend Bundesstaaten, darunter Virginia, Colorado, Texas und weitere, haben eigene umfassende Datenschutzgesetze verabschiedet, jedes mit etwas anderen Definitionen und Verbraucherrechten. Ein Hersteller, der landesweit verkauft, muss die jeweils strengste anwendbare Regel erfüllen, was in der Praxis oft bedeutet, auf einen Standard "Kalifornien plus" hin zu entwickeln.

Das Datenteilungsproblem, das Behörden beobachten

Ein Mozilla-Bericht von 2023 kam bekanntlich zu dem Ergebnis, dass jede große geprüfte Automarke übermäßig Daten sammelte und viele sich das Recht vorbehielten, sie zu teilen oder zu verkaufen. 2024 wurde bekannt, dass einige Hersteller Daten zum Fahrverhalten an Datenbroker weitergegeben hatten, die sie an Versicherer weiterreichten, was in manchen Fällen die Prämien der Fahrer ohne klare Einwilligung erhöhte. Das löste behördliche Untersuchungen und Klagen aus.

Die Lehre für Fachkräfte: Strategien zur Datenmonetarisierung, die Einwilligung ignorieren, sind heute ein rechtliches und Reputationsrisiko, keine Umsatzchance.

Wie diese Regime in der Praxis zusammenwirken

Ein einzelnes Connected-Modell, das in Europa und den USA verkauft wird, unterliegt überlappenden Pflichten:

| Regime | Regelt | Auslöser |

|--------|---------|---------|

| UNECE R155 | Cybersecurity-Management | EU/UNECE-Typgenehmigung |

| UNECE R156 | Software-/OTA-Updates | EU/UNECE-Typgenehmigung |

| DSGVO | Personenbezogene Daten von Personen in der EU | Jede Datenverarbeitung in der EU |

| CCPA/CPRA und Landesgesetze | Verbraucherrechte an Daten | Verkäufe in diese US-Bundesstaaten |

Diese ersetzen sich nicht gegenseitig. Ein OEM muss alle für ein bestimmtes Fahrzeug und einen bestimmten Markt geltenden Regeln gleichzeitig erfüllen. Ein Fahrzeug für den US-Markt entgeht R155 und R156, unterliegt aber weiter dem Datenschutzrecht der Bundesstaaten. Ein europäisches Auto unterliegt allen vier, wenn es personenbezogene Daten verarbeitet.

Die organisatorische Folge

Compliance greift heute über Funktionen hinweg, die früher getrennt waren: Engineering (sicheres Design), Legal (Datenschutzhinweise und Einwilligung), Einkauf (Lieferantenpflichten) und Operations (das VSOC, das die Flotte überwacht). Viele OEMs haben dedizierte Rollen geschaffen, etwa einen Vehicle Cybersecurity Officer, der die Nachweise für R155 und R156 verantwortet, denn ein abgelaufenes Zertifikat kann die Produktion stoppen.

Key Takeaways

• Regulierung ist heute das Tor zum Markt, kein nachgelagertes Thema. Ohne zertifiziertes CSMS (R155) und SUMS (R156) erhalten Hersteller keine Typgenehmigung für den Verkauf in Europa und über 60 UNECE-Ländern.
• OTA-Updates sind rechtlich kontrollierte Software. Nach R156 kann ein Remote-Update, das ein Sicherheitssystem berührt, die Typgenehmigung beeinflussen und muss nachverfolgt, validiert und authentifiziert werden.
• Das Datenschutzrisiko ist quantifizierbar und groß. DSGVO-Bußgelder sind auf 20 Millionen Euro oder 4 Prozent des weltweiten Umsatzes begrenzt, je nachdem, was höher ist, bei großen OEMs also Milliarden.
• Die USA sind ein Flickenteppich. Stand 2026 existiert kein Bundesgesetz, weshalb Hersteller faktisch auf den strengsten Landesstandard hin entwickeln, oft den kalifornischen, und das Teilen von Daten mit Brokern ohne Einwilligung steht aktiv unter Beobachtung.
• Compliance ist funktionsübergreifend. Diese Regeln zu erfüllen erfordert Engineering, Legal, Einkauf und ein aktives Security Operations Center im Zusammenspiel, mit klarer Verantwortung für die Audit-Nachweise.