Smartphone auf Rädern: Wie verwundbar sind vernetzte Autos und wer kann sie aus der Ferne stoppen? -

Diese Woche haben wir erlebt, was passiert, wenn ein einziger Baustein des Internets wackelt: Durch die PHP-Lücke PHP2Shell nahmen Behörden, Kliniken und Stadtwerke ihre Webseiten vorsorglich vom Netz. Lästig, aber am Ende nur Webseiten. Was wäre, wenn so ein Fehler nicht eine Anmeldeseite trifft, sondern ein Fahrzeug mit 1,8 Tonnen Masse bei 130 km/h? Wer sich diese Frage stellt, landet schnell bei einer Branche, die ihre Produkte seit Jahren zu Rechnern mit Rädern umbaut.

Das Auto ist längst ein Server

Moderne Fahrzeuge besitzen Mobilfunkverbindung, Cloud-Anbindung, App-Zugang und Software-Updates aus der Luft. US-Präsident Biden formulierte es 2024 sinngemäß so, die meisten modernen Autos seien Smartphones auf Rädern, verbunden mit Handy, Navigation, kritischer Infrastruktur und Hersteller, wie das Schweizer Fachportal Netzwoche berichtet. Wer ein Smartphone besitzt, weiß: Es gibt Sicherheitslücken, Updates, Konten, Abos und Hersteller, die per Fernzugriff Funktionen ändern. All das gilt nun auch für ein Fahrzeug.

Was schon passiert ist

Der Jeep-Hack von 2015. Die Sicherheitsforscher Charlie Miller und Chris Valasek übernahmen über die Mobilfunkverbindung des Infotainment-Systems die Kontrolle über einen Jeep Cherokee, inklusive Bremsen. Bei der Vorführung landete das Fahrzeug im Graben. Fiat Chrysler rief rund 1,4 Millionen Fahrzeuge zurück, wie CBS News damals berichtete. Das war vor mehr als zehn Jahren. Seitdem sind Autos nicht weniger, sondern deutlich stärker vernetzt worden.

Kia, 2024. Der Sicherheitsforscher Sam Curry und weitere Forscher zeigten, dass sich mit nur einem Kennzeichen innerhalb von etwa 30 Sekunden zentrale Fahrzeugfunktionen steuern ließen. Betroffen sollten praktisch alle Kia-Modelle seit 2013 sein. Angreifer hätten das Fahrzeug orten, ver- und entriegeln, starten und hupen können, außerdem Name, Adresse, E-Mail und Telefonnummer des Halters einsehen. Der Besitzer bekam davon nichts mit. Kia hat die Lücke nach Angaben von SecurityWeek im August 2024 geschlossen.

Nissan Leaf, 2025. Auf der Konferenz Black Hat Asia zeigten Forscher von PCAutomotive laut Netzwelt zehn Schwachstellen in einem Nissan Leaf Baujahr 2020. Der Angriff begann über Bluetooth, setzte sich im Infotainment fort und etablierte einen versteckten Fernzugang über Mobilfunk. Möglich waren Ortung, heimliches Mithören von Gesprächen, die Steuerung von Türen, Fenstern, Licht und Hupe sowie im schlimmsten Fall ein Eingriff in die Lenkung. Nissan erfuhr im August 2023 davon, die Behebung dauerte lange.

Volkswagen und das Standortleck, 2024/25. Gemeinsam mit dem Chaos Computer Club deckte der Spiegel auf, dass Bewegungsdaten von rund 800.000 Elektroautos aus dem VW-Konzern (VW, Audi, Cupra) ungeschützt in einem Cloud-Speicher lagen, für etwa 460.000 davon mit genauen Standortdaten. Viele Datensätze ließen sich mit Namen und Kontaktdaten verknüpfen. Die Softwaretochter Cariad sprach von einer Fehlkonfiguration, so electrive. Das Entscheidende für uns Datenschützer: Es brauchte keinen Superhacker, sondern einen unsauber abgesicherten Speicher. Wer weiß, wo Ihr Auto nachts steht und wann es zur Arbeit fährt, kennt Ihre Wohnung, Ihren Arbeitgeber und Ihre Gewohnheiten.

Jaguar Land Rover, 2025. Ein Cyberangriff am 31. August 2025 legte die IT des Herstellers lahm, die Produktion in Großbritannien stand zunächst bis mindestens 1. Oktober still. Die britische Regierung musste eine Kreditgarantie über bis zu 1,5 Milliarden Pfund stellen, um die Lieferkette zu sichern, wie Autohaus berichtet. Hier ging es nicht um ein einzelnes Auto, sondern darum, was passiert, wenn der Hersteller selbst ausfällt.

Die eigentliche Gefahr: zentrale Hebel

Einzelne Fahrzeuge zu hacken ist aufwendig. Gefährlicher ist die zentrale Ebene: Backend-Server, Apps, Händlerportale und Update-Infrastruktur. Wer dort hineinkommt, erreicht eine ganze Flotte. Genau das war bei Kia der Fall, die Schwäche lag nicht im Auto, sondern im Webportal. Und hier schließt sich der Kreis zu PHP2Shell: Auch die Server, auf denen Hersteller-Apps, Kundenportale und Händlersysteme laufen, laufen auf Software, die Lücken haben kann und regelmäßig gepatcht werden muss. Ein Auto ist nur so sicher wie die Webanwendung, die es verwaltet.

Hinzu kommt der Zeitfaktor. Ein Smartphone nutzen wir zwei bis fünf Jahre, ein Auto oft fünfzehn. Doch Hersteller beenden Software-Support, Server und Apps schneller, als ein Fahrzeug altert. Wer sein Auto weiterfahren will, dessen Hersteller die Cloud abschaltet, hat im schlimmsten Fall ein Auto mit toten Funktionen oder offenen Lücken.

Können Hersteller Autos aus der Ferne steuern oder stilllegen?

Technisch ja, zumindest in Teilen. Das ist keine Verschwörungstheorie, sondern Produktdesign. Das Portal Techzeitgeist formuliert es treffend: Was sich digital aktivieren lässt, lässt sich in vielen Fällen auch digital begrenzen oder entziehen. Der Beitrag nennt Fahrerassistenz, Reichweite, Komfort- und Leistungsprofile sowie Diagnosezugriffe als Funktionen, die über Software-Freigaben und Backend-Prüfungen gesteuert werden, und verweist auf Berichte, wonach Tesla die Fahrassistenz FSD in veränderten Fahrzeugen aus der Ferne abschaltet. Details zum Mechanismus nennt der Beitrag nicht, nachzulesen auf Techzeitgeist. Auch der Fall mit dem Supercharger-Zugang für reparierte Unfallfahrzeuge zeigt, dass ein Hersteller Nutzungsrechte im Nachhinein verändern kann: Teslas Zugang für Salvage-Fahrzeuge wurde laut InsideEVs 2021 nach etwa einer Woche wieder gesperrt, ohne offizielle Ankündigung. Ob dies aus der Ferne geschah, belegt der Artikel nicht, die Richtung ist aber klar.

Ein vollständiges Stilllegen des fahrenden Fahrzeugs ist ein anderes Kaliber. Ich habe keine belastbare Quelle gefunden, dass europäische Hersteller dies als Standardfunktion anbieten. Es gibt aber Vorbilder:

Kreditgeber in den USA nutzen seit Jahren sogenannte Starter-Interrupt-Geräte, um Fahrzeuge bei ausbleibenden Raten zu sperren. Laut CBS News (Stand 2014) hatten damals rund zwei Millionen Fahrzeuge solche Geräte, Fahrer berichteten von Fahrzeugen, die im Leerlauf oder sogar auf der Autobahn ausgingen. Der Artikel ist über zehn Jahre alt, die heutige Rechtslage ist also nicht abgebildet.
Die Idee einer Polizeibremse für alle Neuwagen tauchte 2014 in einem Bericht des Telegraph auf. WinFuture fasste ihn damals zusammen: Polizeien wollten Fahrzeuge aus der Ferne stoppen können, Motor abstellen, Kraftstoffzufuhr kappen, Zündung unterbrechen. Es blieb bei einem Vorschlag, die Technik war noch zu entwickeln. Ich nenne ihn, weil die Diskussion zeigt, wie schnell aus Sicherheit Kontrolle werden kann.

Die rechtliche Einordnung für Deutschland möchte ich hier nicht freihändig behaupten. Dass die Zulassungsbehörde ein Fahrzeug außer Betrieb setzen kann, ist ein Verwaltungsakt mit Rechtsschutz, kein Knopfdruck des Herstellers. Ob und unter welchen Bedingungen ein Hersteller Funktionen per Update entziehen darf, hängt von Kaufvertrag, Nutzungsbedingungen und Gewährleistungsrecht ab. Hier gibt es meines Wissens keine einfache Antwort, und Betroffene sollten im Streitfall juristischen Rat einholen.

Die schlimmste Variante: der Angriff von außen

Besonders brisant ist die Vorstellung, nicht der Hersteller, sondern ein Dritter zieht den Hebel. Die US-Regierung sah dieses Szenario 2024 offenbar so ernst, dass sie chinesische Software und Hardware in vernetzten Fahrzeugen verbieten wollte. Genannte Gründe laut Netzwoche: Datensammlung über Fahrer und Infrastruktur sowie die Befürchtung, ausländische Unternehmen könnten Fahrzeuge mit Internet- und Navigationsanbindung übernehmen. Handelsministerin Raimondo malte demnach das Szenario an die Wand, dass Millionen Autos ihre Software verlieren. Die Quelle stützt sich auf anonyme Reuters-Informanten, der Bericht ist also kein amtliches Dokument. Man muss geopolitische Interessen dahinter nicht ausblenden. Der Kern bleibt: Wer die Update-Hoheit über ein Fahrzeug hat, hat potenziell Macht über sein Verhalten, und das gilt unabhängig vom Herkunftsland.

Was schützt uns? Die Regeln auf dem Papier

Die UN-Regelungen R155 (Cybersicherheit) und R156 (Software-Updates) verpflichten Hersteller zu einem zertifizierten Cybersecurity-Management-System über den gesamten Fahrzeuglebenszyklus und zu abgesicherten, nachvollziehbaren Updates. Für neue Fahrzeugtypen gilt R155 seit Juli 2022, wie SPK and Associates zusammenfasst. Das ist ein Fortschritt, aber die Beispiele oben zeigen, dass auch zertifizierte Prozesse Fehlkonfigurationen und Portallücken nicht ausschließen.

Auf der Datenseite hat der EU Data Act seit 12. September 2025 die Position der Halter gestärkt. Sie können laut ADAC ihre Fahrzeugdaten kostenlos beim Hersteller anfordern und an Dritte wie freie Werkstätten oder Versicherungen weitergeben lassen. Der ADAC kritisiert aber, die Umsetzung sei für Verbraucher noch mangelhaft: Daten kämen oft nur teilweise und in schwer lesbaren Formaten. Ein Recht auf Papier ist eben noch kein funktionierendes Recht.

Meine Forderungen

Offene Schnittstellen und Herstellerunabhängigkeit. Wer ein Auto kauft, muss es auch dann nutzen können, wenn der Hersteller die Cloud abschaltet. Kernfunktionen wie Fahren, Laden und Bremsen dürfen niemals von einer Internetverbindung abhängen.
Offenlegung des Quellcodes sicherheitskritischer Komponenten. Was in einem Fahrzeug über Leben und Tod entscheidet, gehört in die Prüfung durch unabhängige Fachleute, genau wie bei den Open-Source-Projekten, die das Rückgrat unserer Infrastruktur bilden.
Datensparsamkeit als Standard. Standortdaten gehören nicht dauerhaft in die Cloud. Das VW-Leck hat gezeigt, was passiert, wenn sie dort liegen.
Keine Fernstillegung ohne richterliche Kontrolle. Und keine stillen Funktionsentzüge per Update bei bezahlten Fahrzeugen.
Lange Software-Supportpflichten. Wenn ein Auto fünfzehn Jahre fährt, müssen Sicherheits-Updates ebenso lange kommen.

Fazit

PHP2Shell hat uns gezeigt, wie schnell Sicherheitslücken in unscheinbaren Bausteinen eine ganze digitale Gesellschaft ausbremsen können. Beim Auto steht mehr auf dem Spiel als eine nicht erreichbare Webseite. Die Beispiele von Jeep bis Volkswagen belegen, dass die Risiken real sind: Fernzugriff, Datenabfluss, Ausfall des Herstellers. Ob Autohersteller ihre Fahrzeuge flächendeckend aus der Ferne stilllegen können, ist öffentlich nicht belegt. Dass sie über Software-Freigaben und Backends erheblichen Einfluss auf Funktionen haben, dagegen schon. Wer Mobilität will, die uns gehört, muss Transparenz, offene Standards und unabhängige Kontrolle einfordern, bevor das nächste Update uns die Entscheidung abnimmt.

Quellen: CBS News: Chrysler-Rückruf nach Jeep-Hack, SecurityWeek: Kia-Schwachstelle, Netzwelt: Nissan Leaf, electrive: VW-Datenleck, Autohaus: JLR, Netzwoche: US-Pläne gegen chinesische Fahrzeugsoftware, Techzeitgeist, InsideEVs, CBS News: Starter-Interrupt, WinFuture, SPK and Associates: UNECE R155/R156, ADAC: EU Data Act, CERT-EU: PHP2Shell

Vernetzte Fahrzeuge Connected Car IT-Sicherheit Datenschutz Fernzugriff Kill Switch Over-the-Air Digitale Souveränität PHP2Shell Data Act