Moderne Autos melden Standort, Geschwindigkeit, Fahrstrecken, Abstellplätze, Kilometerstand, Tankfüllung und zahlreiche weitere Daten an die Server ihrer Hersteller. Die Bundesregierung will diesen Datenschatz nun auch für BND und Verfassungsschutz öffnen – Werkstätten sollen bei Bedarf gleich mithelfen. Was den Bürgern von den Herstellern als „Connected Services“ verkauft wird, erhält damit eine neue Funktion: Das eigene Fahrzeug wird zum rollenden Spitzel.
Am 12. August beschloss das Bundeskabinett die umfassende Reform des Nachrichtendienstrechts. Der Gesetzentwurf muss noch durch Bundestag und Bundesrat, doch die Richtung ist vorgegeben: Bundesnachrichtendienst und Bundesamt für Verfassungsschutz sollen mehr digitale Informationen beschaffen, länger speichern und mit Künstlicher Intelligenz auswerten dürfen. Der Staat greift dabei auf eine Überwachungsinfrastruktur zurück, die längst vorhanden ist und von den Autobesitzern auch noch selbst bezahlt wurde.
Kraftfahrzeughersteller und Werkstätten werden im Entwurf ausdrücklich als auskunftspflichtige Stellen genannt. Die Begründung des Gesetzes erklärt auch, was die Dienste dort holen wollen: gefahrene Strecken, GPS-Daten, Abstellpositionen, Kilometerstände, Tankfüllstände, Reichweiten, Zündzyklen und Informationen über Gurtstraffungen. Aus der Kombination dieser Angaben lassen sich Nutzungsprofile, Bewegungsabläufe und Hinweise auf die Zahl der Fahrer gewinnen. Die Hersteller sollen dabei als erste Anlaufstelle dienen. Werkstätten kommen zum Zug, wenn eine Anfrage beim Hersteller nicht möglich ist oder die geheimdienstliche Maßnahme gefährden würde.
Der Zentralverband Deutsches Kraftfahrzeuggewerbe reagierte entsprechend alarmiert. Präsident Thomas Peckruhn warnte davor, Autohäuser und Werkstätten zum „verlängerten Arm der Nachrichtendienste“ zu machen. Der Mechaniker, der heute Bremsbeläge wechselt und den Fehlerspeicher ausliest, soll morgen womöglich heimlich Fahrzeugdaten für den Verfassungsschutz herausgeben. Rund 40.000 Kfz-Betriebe würden damit in einen Bereich gedrängt, mit dem ihr eigentlicher Geschäftszweck nichts zu tun hat – samt Schweigepflichten, technischen Anforderungen und der Frage, wie weit der staatliche Zugriff überhaupt reichen darf.
Was das Auto längst über seinen Besitzer weiß
BND und Verfassungsschutz müssen längst schon keine Peilsender mehr unter Stoßstangen anbringen. Die digitale Wanze fährt bereits ab Werk mit. Mobilfunkmodule, Hersteller-Apps, Fernwartung, Navigationsdienste und drahtlose Software-Updates sorgen dafür, dass moderne Fahrzeuge regelmäßig mit den Servern ihrer Hersteller kommunizieren. Aus dem Auto ist ein rollender Computer geworden, der nebenbei noch Personen befördert – und dessen Sensoren jede Menge über den Alltag seines Besitzers verraten.
Schon ältere Untersuchungen des ADAC zeigten, wie weit diese Datensammelei bereits vor Jahren gediehen war. Eine untersuchte Mercedes B-Klasse mit „me connect“ übermittelte ungefähr alle zwei Minuten ihre GPS-Position und weitere Fahrzeugdaten an das Mercedes-Backend. Dazu gehörten Kilometerstand, Verbrauch, Tankfüllung, Reifendruck und verschiedene Flüssigkeitsstände. Gespeichert wurden außerdem Gurtstraffungen nach starken Bremsmanövern, die Betriebsstunden der Beleuchtung sowie die auf Autobahnen, Landstraßen und in Städten zurückgelegten Strecken. Selbst die letzten 100 Lade- und Entladezyklen der Starterbatterie waren mit Datum, Uhrzeit und Kilometerstand hinterlegt.
Beim Renault Zoe ging spätestens alle 30 Minuten ein Datenpaket auf Reisen. Darin steckten die Fahrzeugidentifikationsnummer, Datum, Uhrzeit, GPS-Position sowie Angaben zu Batterie, Temperatur, Ladezustand und Zellspannung. Beim BMW i3 fanden die Tester die letzten rund 100 Abstellpositionen. Andere Fahrzeuge protokollierten Fahrweise, Betriebsmodi und technische Ereignisse. Wer Zugriff auf diese Daten erhält, braucht keine lückenlose Videoüberwachung mehr. Das Auto schreibt das Bewegungsprotokoll seines Besitzers selbst mit.
Seit diesen Untersuchungen ist die Vernetzung weiter vorangeschritten. Viele Neuwagen besitzen heute eine dauerhafte Mobilfunkverbindung, kommunizieren mit Apps, laden Verkehrsdaten, melden Wartungsbedarf und empfangen Software-Updates. Jede zusätzliche Komfortsoftware liefert einen weiteren Grund, das Fahrzeug mit dem Hersteller-Backend zu verbinden. Der Kunde bekommt eine App, der Konzern bekommt den Datenstrom – und der Staat möchte nun darin mitlesen.
BYD funkt Fahrzeugdaten im Minutentakt
Wie eng diese Verbindung inzwischen geworden ist, zeigen die Angaben des chinesischen Herstellers BYD für seine europäischen Fahrzeuge. Wegen des seit September 2025 geltenden EU Data Act muss das Unternehmen offenlegen, welche Daten vernetzte Modelle erzeugen und wie häufig diese übertragen werden. BYD nennt unter anderem Türverriegelung, Gangstellung, Fenster- und Schiebedachstatus, Reifendruck, Kilometerstand, Geschwindigkeit, Batterietemperatur und Ladezustand. Bis zu rund 0,05 Gigabyte solcher Fahrzeugzustandsdaten können monatlich anfallen. Die Übertragung in die Backend-Cloud erfolgt laut Hersteller alle 30 Sekunden. Weitere Signale aus Steuergeräten und Sensoren – darunter Geschwindigkeit, Beschleunigung, Kilometerstand, Gangstellung, Batteriespannung und Ladezustand – werden alle 60 Sekunden übertragen. Für diese Kategorie nennt BYD monatlich rund 100 bis 150 Megabyte. Diagnose- und OTA-Daten kommen noch hinzu.
Die Datenmenge wirkt neben heutigen Video- und Streamingdateien vielleicht gering. Für ein umfassendes und detailliertes Bewegungsprofil reicht sie vollkommen aus. Eine Fahrzeugkennung, eine GPS-Koordinate und ein Zeitstempel benötigen kaum Speicherplatz. Aneinandergereiht zeigen diese Punkte, wo jemand wohnt, arbeitet, einkauft, übernachtet und seine Freizeit verbringt. Sie verraten Besuche bei Ärzten, Anwälten, Redaktionen, Parteiveranstaltungen, Hotels oder Gotteshäusern. Abstellzeiten und Sitzbelegung liefern weitere Puzzleteile. Aus ein paar Kilobyte wird ein sauber geordnetes Tagebuch.
Doch eben deshalb interessieren sich die Nachrichtendienste für Abstellpositionen, Kilometerstände, Zündzyklen und Tankfüllstände. Eine einzelne Koordinate ist meist wertlos. Hundert Koordinaten mit Datum und Uhrzeit erzählen eine Geschichte. Der Kilometerstand zeigt, ob eine längere Fahrt stattgefunden hat. Der Zündzyklus verrät, wann das Fahrzeug benutzt wurde. Sinkender Tankstand und veränderte Reichweite bestätigen die Bewegung. Geheimdienste leben davon, solche Datenfragmente zusammenzusetzen.
Das zweite Produkt fährt unsichtbar mit
Die Autoindustrie verkauft längst mehr als Fahrzeuge. BMW betreibt mit CarData eine eigene Plattform für persönliche Telematikdaten. Bestimmte Informationen werden über die Mobilfunkverbindung des Fahrzeugs verschlüsselt an BMW-Server übertragen. Der Kunde kann ausgewählte Daten anschließend für Drittanbieter freigeben. Als mögliche Empfänger nennt BMW Werkstätten, Flottenmanager und Versicherungen. Eine solche Anwendung sind kilometerabhängige Versicherungstarife. Der Versicherer erhält die freigegebenen Fahrzeugdaten und berechnet daraus sein Angebot. Auch Wartungsdienste, Flottensteuerung und andere digitale Angebote greifen auf den Datenstrom zurück. Was dem Kunden als praktische Zusatzfunktion verkauft wird, erschließt der Industrie einen Rohstoff, der bei jeder Fahrt neu entsteht. Das Auto verlässt das Werk nur einmal, doch Daten produziert es während seiner gesamten Lebensdauer.
Brüssel fördert diese Verwertung. Der Data Act soll verhindern, dass allein die Hersteller über die Daten vernetzter Geräte verfügen. Fahrzeughalter sollen die Informationen selbst abrufen und an andere Unternehmen weitergeben können. Freie Werkstätten bekommen Diagnosedaten, Versicherungen entwickeln neue Tarife, Dienstleister bauen neue Geschäftsmodelle auf. Dadurch wächst die Zahl jener Stellen, die an Fahrzeugdaten gelangen oder sie verarbeiten, immer weiter an. Berlin setzt auf dieses fertige System. Die Sensoren sind eingebaut, die Mobilfunkverbindungen bezahlt, die Server eingerichtet und die Kunden an ständig vernetzte Fahrzeuge gewöhnt. Nun sollen auch die Nachrichtendienste auf die Ergebnisse zugreifen.
In den USA landeten Fahrdaten bei Auskunfteien
Wohin die kommerzielle Nutzung solcher Informationen führen kann, zeigte General Motors in den Vereinigten Staaten. Die US-Handelsbehörde Federal Trade Commission ging gegen GM und dessen OnStar-Dienst vor. Der Konzern hatte nach Auffassung der Behörde präzise Standort- und Fahrverhaltensdaten ohne ausreichende informierte Zustimmung gesammelt, verwendet und weitergegeben. Erfasst wurden starkes Bremsen, Geschwindigkeitsüberschreitungen, Nachtfahrten und genaue Standortinformationen. Die Daten gelangten an Verbraucher-Auskunfteien. Versicherer nutzten deren Berichte wiederum für Entscheidungen über Verträge und Preise. Der Datenstrom aus dem Auto konnte damit am Ende bestimmen, ob ein Fahrer überhaupt eine Versicherung bekam und wie viel er dafür bezahlen musste.
Die FTC untersagte GM für fünf Jahre, solche Geolokalisierungs- und Fahrverhaltensdaten an Consumer Reporting Agencies weiterzugeben. Weitere Auflagen zu Zustimmung, Transparenz, Löschung und Abschaltung der präzisen Standorterfassung gelten für 20 Jahre. Der Fall beantwortet damit auch die Frage, ob Autodaten außerhalb von Wartung und Pannenhilfe einen Wert besitzen. Versicherer, Flottenbetreiber, Auskunfteien, Werbeunternehmen und Sicherheitsbehörden haben ihre Antwort längst gegeben. Report24 warnte bereits 2023 vor dem Auto als Überwachungsapparat. Anlass war eine Untersuchung der Mozilla Foundation zu 25 Automarken. Die Datenschutzerklärungen eröffneten den Herstellern teilweise erschreckend weitreichende Möglichkeiten. Drei Jahre später diskutiert die Bundesregierung darüber, wie BND und Verfassungsschutz an eben diesen inzwischen weiter angewachsenen Datenschatz gelangen.
Niemand sagt, wohin die Daten wirklich gehen
Eine öffentliche Gesamtbilanz über den internationalen Weg deutscher und europäischer Fahrzeugdaten existiert nicht. Kein Hersteller veröffentlicht eine verständliche Jahresabrechnung, aus der hervorgeht, wie viele Datensätze in die Vereinigten Staaten, nach China oder in andere Drittstaaten übertragen wurden und wer dort darauf zugreifen konnte. Stattdessen erhält der Kunde seitenlange Datenschutzerklärungen voller Konzernnamen, Unterauftragnehmer, Rechtsgrundlagen und Standardvertragsklauseln.
Volkswagen erklärt für bestimmte Dienste, personenbezogene Daten in einer Cloud von Amazon Web Services innerhalb der Europäischen Union zu verarbeiten. Gleichzeitig könne ein Zugriff durch die amerikanische Muttergesellschaft Amazon Web Services Inc. aus den Vereinigten Staaten nicht vollständig ausgeschlossen werden. Deshalb verweist der Konzern auf die üblichen Datenschutzgarantien. In den dienstspezifischen Hinweisen erscheinen sowohl AWS EMEA als auch Amazon Web Services Inc. in Seattle. Der Server mag in Europa stehen. Der Cloud-Anbieter bleibt ein US-Konzern, dessen Muttergesellschaft in die Verarbeitung eingebunden sein kann. Für den Autobesitzer ist dieses Geflecht kaum zu durchschauen. Er tippt im Bordcomputer auf „Zustimmen“, verbindet sein Smartphone und produziert fortan bei jeder Fahrt neue Daten. Ob später ein Mitarbeiter in Europa, ein Konzernunternehmen in den USA oder ein weiterer Dienstleister damit arbeitet, kann er nicht wissen.
Auch bei BYD bleibt der internationale Datenweg nur teilweise sichtbar. Als Speicherort für die beschriebenen europäischen Produkt- und Dienstdaten nennt der Hersteller Google Cloud in Paris. BYD Europe sitzt in den Niederlanden, gehört jedoch zur weltweiten BYD-Gruppe mit der BYD Company Limited im chinesischen Shenzhen. Die europäische Datenschutzerklärung erlaubt unter den genannten rechtlichen Voraussetzungen eine Weitergabe innerhalb des Konzerns sowie an Dienstleister, Geschäftspartner und Behörden. Damit ist weder eine tatsächliche Übertragung der europäischen Fahrprofile nach China belegt noch eine solche konzerninterne Verarbeitung ausgeschlossen. Doch darin besteht eben auch ein Problem. BYD verrät auf die Sekunde genau, wie oft bestimmte Daten an sein Backend gehen. Eine verständliche Bilanz darüber, wer diese Informationen anschließend innerhalb des weltweiten Konzerns sehen, abrufen oder verarbeiten kann, sucht der Kunde vergeblich. Bei anderen Herstellern sieht es kaum besser aus.
Ein modernes Auto funkt im 30- oder 60-Sekunden-Takt, während sein Besitzer den internationalen Weg der Daten nicht einmal ansatzweise verfolgen kann. Dieselbe Politik, die bei jedem belanglosen Internet-Cookie ein Einwilligungsfenster und von Webseitenbetreibern umfassende Informationen zur Datenverarbeitung verlangt, begnügt sich beim rollenden Bewegungsmelder mit Datenschutzerklärungen, die kaum ein Kunde liest und noch weniger Kunden verstehen.
Washington und Peking wissen, was auf dem Spiel steht
Die Vereinigten Staaten behandeln vernetzte Fahrzeuge längst als Frage der nationalen Sicherheit. Das US-Handelsministerium hat Regeln erlassen, die chinesische und russische Hard- und Software aus vernetzten Fahrzeugen schrittweise aus dem amerikanischen Markt drängen. Die wesentlichen Beschränkungen für Software greifen ab dem Modelljahr 2027, bestimmte Hardware folgt später. Washington begründet dies ausdrücklich mit der Gefahr, dass ausländische Gegner sensible Daten sammeln oder auf Fahrzeuge einwirken.
Auch China schützt Fahrzeugdaten mit besonderen Vorschriften. Sensible oder als wichtig eingestufte Informationen dürfen das Land nicht ohne Weiteres verlassen. Grenzüberschreitende Übertragungen können Sicherheitsprüfungen unterliegen. Peking weiß offenbar sehr genau, welchen Wert Bewegungsprofile, Fahrzeugzustände und die Daten ganzer Flotten besitzen. Washington will verhindern, dass Peking über vernetzte Autos amerikanische Bürger ausspäht. Peking kontrolliert, welche Fahrzeugdaten China verlassen. Berlin macht sich derweil daran, die von der Industrie angelegten Datenbestände für die eigenen Nachrichtendienste zu öffnen. Das ist die totale Überwachungswelt von heute.
Das Auto ist nur einer von vielen Sensoren
Die geplante Nachrichtendienstreform reicht weit über Fahrzeugdaten hinaus. Der BND soll Telekommunikationsinhalte unter bestimmten Voraussetzungen bis zu sechs Monate und Verkehrsdaten bis zu zwölf Monate speichern dürfen. Gleichzeitig schafft die Bundesregierung neue Grundlagen für den Einsatz Künstlicher Intelligenz bei der Auswertung geheimdienstlicher Informationen. Die Dienste erhalten damit mehr Daten, längere Speicherfristen und bessere Werkzeuge, um aus verstreuten Angaben vollständige Profile zu bauen.
Bitkom warnt vor weitreichenden Auskunfts- und Mitwirkungspflichten für Unternehmen. Der Verband kritisiert unklare Zugriffe auf Inhaltsdaten digitaler Dienste, technische Informationen und sogar Kopien informationstechnischer Systeme. Er fordert klare Definitionen, Zweckbindungen, Löschfristen und Schutz für Verschlüsselungsverfahren. Hinter der angeblichen Modernisierung des Nachrichtendienstrechts verbirgt sich ein gewaltiger Ausbau staatlicher Zugriffsmöglichkeiten auf die digitale Infrastruktur des Landes.
Medienverbände und der Deutsche Journalisten-Verband warnen zugleich vor den Folgen für Informantenschutz und journalistische Arbeit. Gemeinsam mit ARD, Deutschlandradio, Presserat und Verlegerverbänden kritisiert der DJV, dass die Überwachung des Umfelds einer Quelle den Schutz der direkten Kommunikation aushebeln kann. Wenn der Staat einen Journalisten oder Informanten nicht unmittelbar belauschen darf, bleibt immer noch dessen digitales Umfeld: benutzte Dienste, Kontaktpersonen, Reisewege und Aufenthaltsorte.
Hier wird aus der Abstellposition eines Autos ein politisch hochbrisantes Datum. Zusammen mit Mobilfunk-, Zahlungs-, Kamera- und Kommunikationsdaten bestätigt sie Treffen, rekonstruiert Fahrten und macht Beziehungen zwischen Personen sichtbar. Die neue KI-Auswertung hilft anschließend dabei, Millionen solcher Einzelinformationen zu sortieren und miteinander zu verknüpfen. Der gläserne Bürger entsteht nicht durch eine einzige allwissende Datenbank. Er entsteht, indem Behörden zahlreiche scheinbar harmlose Datenquellen zusammenführen und auswerten.
Der Wagen vor dem Haus verrät, wann sein Besitzer losfährt. Das Hersteller-Backend kennt die Strecke. Der Mobilfunkanbieter sieht das Telefon. Digitale Zahlungen markieren Tankstelle, Restaurant oder Hotel. Kameras an bestimmten Verkehrspunkten erfassen das Kennzeichen. Jede einzelne Spur wirkt für sich harmlos. Zusammengesetzt bleibt vom Privatleben nicht mehr viel übrig. Die Automobilindustrie hat ihre Kunden jahrelang mit mehr Komfort gelockt: Fernzugriff per App, automatische Wartung, Echtzeitnavigation, personalisierte Einstellungen und drahtlose Updates. Dafür musste das Auto ständig Daten liefern. Nun sitzen auch BND und Verfassungsschutz am Tisch und wollen zuhören. Den Spitzel in der Garage hat der Bürger jedoch längst selbst bezahlt.
