Daten, Datenschutz und Cybersecurity im Connected Car

Im Juli 2022 hat eine Vorschrift ohne großes Aufsehen verändert, was nötig ist, um in Europa ein Auto zu verkaufen. Nach der UNECE-Regelung Nr. 155 muss jeder Automobilhersteller, der eine Typgenehmigung anstrebt (die Zulassung, ein Fahrzeugmodell in einem Markt zu verkaufen), nachweisen, dass ererDas Verhältnis von Interaktionen (Likes, Kommentare, Shares) zur Reichweite eines Inhalts. Zeigt, wie stark die Zielgruppe reagiert, gemessen an der Zahl der Personen, die den Inhalt gesehen haben.Vollständige Definition ansehen → ein zertifiziertes Cybersecurity-Managementsystem betreibt. Kein Zertifikat, keine Genehmigung, kein Verkauf. Volkswagen nahm Berichten zufolge mehrere Modelle vom Markt, darunter Versionen des up! und bestimmte Transporter-Varianten, anstatt sie für die Konformität neu zu entwickeln. Regulierung war zum Türsteher des Autohauses geworden.

Ein modernes Connected Car erzeugt und überträgt enorme Datenmengen: Standort, Fahrverhalten, Mikrofonaufnahmen aus dem Innenraum, biometrische Identifikatoren, sogar abgeleitete Gesundheitssignale. Damit wird jeder Automobilhersteller zu einem Datenunternehmen und einem Softwareunternehmen, ob er will oder nicht. Diese Lektion beschreibt die vier regulatorischen Kräfte, die jede Fachkraft in der Automobilbranche heute verstehen muss.

UNECE R155: Cybersecurity als Bedingung für den Marktzugang

UNECE steht für United Nations Economic Commission for Europe. Sie betreibt das World Forum for Harmonization of Vehicle Regulations, das Fahrzeugvorschriften festlegt, die in der EU, im Vereinigten KKDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önigreich, in Japan, Südkorea und rund 60 Signatarstaaten übernommen werden. Die USA sind kein Signatarstaat, R155 bindet US-Verkäufe also nicht direkt.

R155 verlangt von Herstellern den Betrieb eines Cyber Security Management System (CSMS): ein dokumentierter, auditierter Prozess zur Identifikation und Steuerung von Cyberrisiken über den gesamten Lebenszyklus eines Fahrzeugs, von der Entwicklung bis zur Außerbetriebnahme.

In der Praxis bedeutet das:

• Für jeden Fahrzeugtyp eine Risikobewertung führen und sie bei neuen Bedrohungen aktualisieren.
• Angriffe im Feld überwachen und reagieren können (ein Vehicle Security Operations Center, kurz VSOC).
• Risiken aus der Lieferkette steuern. Ein einziger unsicherer Infotainment-Chip kann die gesamte Genehmigung entwerten.

Seit Juli 2024 **gilt R155 für *alle* neu produzierten Fahrzeuge für diese Märkte, nicht nur für neu genehmigte Modelle**. Der Engineering-Standard, mit dem die meisten Hersteller die Anforderungen erfüllen, ist ISO/SAE 21434, die Cybersecurity-Engineering-Baseline der Branche.

Warum das Lieferantenbeziehungen verändert

Ein Hersteller kann kein CSMS zertifizieren lassen, wenn er nicht für seine Lieferkette bürgen kann. Deshalb haben Tier-1-Lieferanten (direkte Komponentenlieferanten wie Bosch oder Continental) und Tier-2-Lieferanten heute vertragliche Cybersecurity-Pflichten, die vom OEM (Original Equipment Manufacturer, die Marke, die das Auto baut) durchgereicht werden. Compliance ist zur Beschaffungsanforderung geworden, nicht nur zum IT-Thema.

UNECE R156: Steuerung von Over-the-Air-Updates

Autos bekommen Software heute so wie Smartphones. Tesla hat das populär gemacht; fast jeder OEM liefert inzwischen Over-the-Air-Updates (OTA), also Software-Patches, die aus der Ferne an Fahrzeuge im Feld gesendet werden.

Daraus entsteht ein neues Risiko: Ein fehlerhaftes oder bösartiges Update könnte die Bremsen einer ganzen Flotte deaktivieren. UNECE R156 regelt das, indem sie ein Software Update Management System (SUMS) verlangt.

R156 verpflichtet Hersteller dazu:

• Einen überprüfbaren Nachweis über die Software in jedem Fahrzeug zu führen (welche Version läuft in welchem Auto).
• Sicherzustellen, dass Updates authentisch und integritätsgeschützt sind, damit Angreifer keine gefälschten einspeisen können.
• Zu bestätigen, dass ein Update die Sicherheit nicht beeinträchtigt und dass der Fahrer informiert wird, wenn nötig.
• Die Typgenehmigung zu erhalten, denn eine Softwareänderung kann das Fahrzeug rechtlich verändern. R156 hat das Konzept einer Software-Identifikationsnummer eingeführt, damit Behörden genehmigte Konfigurationen nachverfolgen können.

Ein konkretes Beispiel: Wenn ein OTA-Update das Verhalten des automatischen Notbremsassistenten verändert, betrifft das ein sicherheitsrelevantes System. Nach R156 muss der Hersteller die Änderung dokumentieren, validieren und sicherstellen, dass das Fahrzeug weiterhin seinem genehmigten Typ entspricht.

🎬 [VIDEO: "UN Regulation No. 155 and No. 156 explained" - youtube.com - eine klare Einführung aus der Branche dazu, wie die beiden Regelungen bei Connected Vehicles zusammenwirken]

DSGVODSGVOEU-Verordnung zur Erhebung, Speicherung und Nutzung personenbezogener Daten, mit Bußgeldern, die am weltweiten Umsatz bemessen werden.Vollständige Definition ansehen →: das Auto als Gerät einer betroffenen Person

Die Datenschutz-Grundverordnung (DSGVO) ist das umfassende Datenschutzrecht der EU, durchgesetzt von den nationalen Datenschutzbehörden (DPAs). Sie gilt für alle personenbezogenen Daten von Personen in der EU, und Connected Cars produzieren davon eine Flut.

Der Europäische Datenschutzausschuss (das Gremium, das die DSGVO-Durchsetzung koordiniert) hat spezifische Leitlinien zu vernetzten Fahrzeugen veröffentlicht, mit Kernpunkten, die Hersteller nicht ignorieren können:

• Standortdaten sind sensibel. Durchgehende Geolokalisierung kann Wohnort, Arbeitsplatz, religiöse Einrichtungen und Arztbesuche offenlegen.
• Consent muss echt sein. Vorangekreuzte Kästchen und „alles akzeptieren, um den Motor zu starten" genügen nicht.
• Datenminimierung. Daten möglichst im Fahrzeug verarbeiten, statt alles in die Cloud zu schicken.

DSGVO-Bußgelder können bis zu 20 Millionen Euro oder 4 Prozent des globalen Jahresumsatzes erreichen, je nachdem, was höher ist. Für einen großen OEM ist das ein Milliardenrisiko, weshalb Privacy Engineering heute Teil des Fahrzeugentwicklungsprozesses ist.

Rechenbeispiel: Größenordnung eines DSGVO-Bußgelds

Das ist illustrativ, keine Prognose. Angenommen, ein OEM mit einem globalen Jahresumsatz von 100 Milliarden Euro begeht einen Verstoß der höchsten Kategorie.

Fine ceiling = max(20,000,000 euros, 4% of global revenue)
4% of 100,000,000,000 euros = 4,000,000,000 euros
Fine ceiling = 4,000,000,000 euros (the 4% figure dominates)

Der Punkt: Bei großen Herstellern setzt die Umsatzprozent-Obergrenze das eigentliche Maximum, nicht die pauschalen 20 Millionen. Behörden verhängen selten den Höchstbetrag, aber das Risiko disziplppiniert das Verhalten.

US-Datenschutzgesetze der Bundesstaaten: ein Flickenteppich, kein Bundesgesetz

Die USA haben Stand 2026 kein einheitliches Bundesdatenschutzgesetz, das der DSGVO entspricht. Stattdessen sehen sich Hersteller einem wachsenden Flickenteppich einzelstaatlicher Gesetze gegenüber. Das einflussreichste ist der California Consumer Privacy Act (CCPA), erweitert durch den California Privacy Rights Act (CPRA) und durchgesetzt von der California Privacy Protection Agency (CPPA).

Zentrale Anforderungen, die Connected Cars betreffen:

• Verbraucher können auf ihre personenbezogenen Daten zugreifen, sie löschen lassen und dem Verkauf oder der Weitergabe widersprechen.
• Präzise Geolokalisierungs- und biometrische Daten gelten als „sensitive personal information" mit zusätzlichen Einschränkungen.
• Die CPPA hat öffentlich signalisiert, dass sie Datenpraktiken bei vernetzten Fahrzeugen prüft, und eine Untersuchung von Herstellern und deren Datenbrokern eingeleitet.

Mehr als ein Dutzend Bundesstaaten, darunter Virginia, Colorado, Texas und weitere, haben eigene umfassende Datenschutzgesetze verabschiedet, jedes mit leicht abweichenden Definitionen und Verbraucherrechten. Ein Hersteller, der landesweit verkauft, muss die jeweils strengste anwendbare Regel erfüllen, was in der Praxis häufig bedeutet, auf einen California-plus-Standard hin zu entwickeln.

Das Datenweitergabe-Problem, das Behörden beobachten

Ein Mozilla-Bericht von 2023 kam zu dem bekannt gewordenen Ergebnis, dass jede große untersuchte Automarke übermäßig Daten sammelte und viele sich das Recht vorbehielten, sie weiterzugeben oder zu verkaufen. 2024 wurde berichtet, dass einige Hersteller Daten zum Fahrverhalten an Datenbroker weitergegeben hatten, die sie an Versicherer weiterreichten, was in einigen Fällen ohne klaren Consent die Prämien der Fahrer erhöhte. Das löste behördliche Untersuchungen und Klagen aus.

Die Lehre für Fachkräfte: Strategien zur Datenmonetarisierung, die Consent ignorieren, sind heute ein rechtliches und reputationsbezogenes Risiko, keine Umsatzchance.

Wie sich diese Regime in der Praxis überlagern

Ein einzelnes vernetztes Modell, das in Europa und den USA verkauft wird, unterliegt sich überlappenden Pflichten:

Diese Regime ersetzen sich nicht gegenseitig. Ein OEM muss alle gleichzeitig erfüllen, die für ein bestimmtes Fahrzeug und einen bestimmten Markt gelten. Ein Auto für den US-Markt entgeht R155 und R156, unterliegt aber dennoch dem Datenschutzrecht der Bundesstaaten. Ein europäisches Auto unterliegt allen vier, wenn es personenbezogene Daten verarbeitet.

Die organisatorische Folge

Compliance zieht sich heute durch Funktionen, die früher getrennt waren: Engineering (sicheres Design), Legal (Datenschutzhinweise und Consent), Beschaffung (Lieferantenpflichten) und Betrieb (das VSOC, das die Flotte überwacht). Viele OEMs haben eigene Rollen geschaffen, etwa einen Vehicle Cybersecurity Officer, der die Nachweisführung für R155 und R156 verantwortet, da ein abgelaufenes Zertifikat die Produktion stoppen kann.

Key Takeaways

• Regulierung ist heute ein Tor zum Markt, nicht ein nachgelagertes Thema. Ohne zertifiziertes CSMS (R155) und SUMS (R156) erhalten Hersteller keine Typgenehmigung für den Verkauf in Europa und über 60 UNECE-Ländern.
• OTA-Updates sind rechtlich kontrollierte Software. Nach R156 kann ein Remote-Update, das ein Sicherheitssystem berührt, die Typgenehmigung betreffen und muss nachverfolgt, validiert und authentifiziert werden.
• Das Datenschutzrisiko ist quantifizierbar und groß. DSGVO-Bußgelder sind auf 20 Millionen Euro oder 4 Prozent des globalen Umsatzes begrenzt, je nachdem, was höher ist, was bei großen OEMs Milliarden bedeutet.
• Die USA sind ein Flickenteppich. Stand 2026 existiert kein Bundesgesetz, deshalb entwickeln Hersteller faktisch nach dem strengsten einzelstaatlichen Standard, häufig dem kalifornischen, und Datenweitergabe an Broker ohne Consent steht aktuell unter Beobachtung.
• Compliance ist funktionsübergreifend. Diese Regeln zu erfüllen erfordert Engineering, Legal, Beschaffung und ein aktives Security Operations Center im Zusammenspiel, mit klarer Verantwortung für die Audit-Nachweise.