Moderne Autos sind längst keine reinen Fahrzeuge mehr. Sie sind rollende Computersysteme: vernetzt, mit Kameras, Mikrofonen, GPS, Mobilfunk und häufig mit direkter Verbindung zum Smartphone des Fahrers. Umso erstaunlicher ist, wie wenig öffentliche Aufmerksamkeit die Frage erhält, welche Software in diesen Fahrzeugen steckt, welche Daten sie sammelt und wer darauf zugreifen kann.

Der aktuelle Fall um den chinesischen Hersteller SAIC und seine Marke MG zeigt das Problem exemplarisch. In einer von MG selbst veröffentlichten Liste von Softwarekomponenten für den MG 4 taucht „Teardroid“ auf – eine Software, die grundsätzlich auch als Trojaner beziehungsweise Werkzeug zur Fernsteuerung und Datenextraktion eingesetzt werden kann.

Das bedeutet ausdrücklich nicht, dass MG seine Kunden ausspioniert. Bislang ist nicht einmal geklärt, ob Teardroid überhaupt in Serienfahrzeugen installiert ist. Möglich wäre auch, dass die Software lediglich während der Entwicklung oder für Wartungszwecke verwendet wurde oder versehentlich in der Liste auftauchte.

Aber genau darin liegt das eigentliche Problem:

Wir wissen es nicht.

Bei einem Fahrzeug, das kontinuierlich Daten über Standort, Umgebung und möglicherweise sogar Gespräche erfassen kann, ist „wir wissen es nicht“ keine zufriedenstellende Antwort.

Normalerweise verlangen wir bei sicherheitskritischen Produkten klare Nachweise. Bremsen, Reifen, Beleuchtung und Abgaswerte werden geprüft. Fahrzeuge müssen zum TÜV. Doch bei der Software, die inzwischen einen wesentlichen Teil des Autos steuert und enorme Datenmengen verarbeitet, verlassen wir uns weitgehend auf den Hersteller.

Bei den Bremsen verlangen wir TÜV – bei den Daten offenbar Vertrauen.

Dabei wächst die Angriffsfläche erheblich. Moderne Fahrzeuge kommunizieren mit Servern des Herstellers, erhalten Softwareupdates über das Internet, verarbeiten Sensordaten und koppeln sich mit Smartphones. Technisch unterscheiden sie sich damit immer weniger von anderen vernetzten IT-Systemen – nur dass sie gleichzeitig durch die physische Welt fahren.

Besonders sensibel wird das bei Fahrzeugen in der Nähe militärischer Einrichtungen, Forschungszentren, Behörden oder kritischer Infrastruktur. Kameras, GPS und Mobilfunkverbindungen könnten theoretisch Informationen liefern, für deren Erhebung früher erheblicher geheimdienstlicher Aufwand notwendig gewesen wäre.

Deshalb beschränken einige Staaten bereits den Zugang chinesischer Fahrzeuge zu sicherheitsrelevanten Einrichtungen. Auch deutsche Sicherheitsbehörden beschäftigen sich inzwischen mit der Frage, welche Daten solche Fahrzeuge sammeln und wohin sie übertragen werden.

Man kann darüber diskutieren, ob die besondere Vorsicht gegenüber chinesischen Herstellern teilweise geopolitisch motiviert ist. Das grundsätzliche Problem betrifft jedoch alle vernetzten Fahrzeuge – unabhängig vom Herkunftsland.

Die entscheidende Frage lautet deshalb nicht: „Spioniert MG seine Kunden aus?“

Dafür gibt es bislang keinen Beweis.

Die wichtigere Frage lautet:

Warum gibt es bei einem derart datenintensiven Produkt keine vergleichbare Transparenz- und Sicherheitsprüfung wie bei den mechanischen Komponenten des Fahrzeugs?

Vielleicht brauchen wir künftig neben dem klassischen TÜV auch eine Art Software-TÜV: unabhängige Prüfungen, dokumentierte Softwarekomponenten, nachvollziehbare Datenflüsse und klare Regeln darüber, welche Daten ein Fahrzeug wohin überträgt.

Denn wenn das Auto zum Computer wird, muss IT-Sicherheit genauso selbstverständlich werden wie Verkehrssicherheit.

Quelle: Süddeutsche Zeitung, Stephan Radomsky, „Mein Auto, ein Spion?“, 11. August 2026