Kameras, Mikrofone, Dauerverbindung zum Herstellerserver: Vernetzte Elektroautos sammeln mehr Daten, als vielen Fahrern bewusst ist. Die Bundesregierung prüft nach Berichten mehrerer Medien, wie groß die Spionagegefahr durch Fahrzeuge aus chinesischer Produktion ist. Das Bundesinnenministerium spricht bislang von abstrakten Missbrauchsgefahren. Die Kölner Kanzlei WBS.Legal sieht neben dem Sicherheitsrisiko auch erhebliche datenschutzrechtliche Probleme. Betroffen sind auch Dienstwagen, mit denen Führungskräfte zu Kunden, Werken oder Forschungsstandorten fahren.
Staatlicher Einfluss nicht auszuschließen
Befürchtet wird, dass Sensoren und Kameras nicht nur Assistenzsystemen dienen, sondern für staatliche Überwachung missbraucht werden könnten. Das Bundesinnenministerium hält eine staatliche Einflussnahme auf Hersteller technisch für nicht ausschließbar, konkrete Vorfälle seien aber nicht bekannt. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) weist darauf hin, dass für Kunden oft unklar ist, welche Daten ihr Auto an den Hersteller überträgt.
Moderne Elektroautos erfassen nach Darstellung von Rechtsanwalt Prof. Christian Solmecke, Partner bei WBS.Legal, mit Kameras, Radar, Lidar und GPS laufend ihre Umgebung, darunter Straßenzüge, Wohnviertel, teils auch Gesichter von Passanten und Kennzeichen anderer Fahrzeuge. Im Innenraum zeichnen Mikrofone, Kameras und biometrische Sensoren das Verhalten der Insassen auf. Fachleute aus der Cybersicherheit sprechen deshalb von „Drohnen auf Rädern“. Übertragen werden die Daten in der Regel per Mobilfunk an die Server der Hersteller.
Chinesische Gesetze verpflichten zur Herausgabe
Bei Herstellern aus China hängt viel davon ab, wo die Daten gespeichert werden und wer darauf zugreifen kann. Chinesische Unternehmen sind nach den Geheimdienstgesetzen ihres Landes verpflichtet, Daten auf Verlangen an staatliche Stellen herauszugeben. Polnische Cybersicherheitsexperten gehen laut WBS.Legal sogar davon aus, dass in Europa erhobene Bewegungs- und Umgebungsdaten über die Kooperation zwischen Peking und Moskau an russische Nachrichtendienste gelangen.
Polen und die Schweiz haben vernetzten Fahrzeugen deshalb die Zufahrt zu militärischen und sicherheitsrelevanten Bereichen untersagt. Die Bundeswehr hat laut Verteidigungsministerium für bestimmte Sicherheitsbereiche Zufahrtsverbote für einzelne Fahrzeugtypen erlassen. Eine allgemeine Regelung wie in Polen und der Schweiz gibt es in Deutschland bislang nicht. Solmecke hält Zufahrtsbeschränkungen für Ministerien, kritische Infrastruktur und militärische Anlagen mittelfristig für unumgänglich.
Warum Mercedes in den USA ein Verbot droht
Die USA gehen weiter. Eine Regel aus der Zeit der Biden-Regierung sperrt chinesische Hersteller wegen Datensicherheitsbedenken seit Anfang 2025 faktisch vom US-Markt aus. Ein neuer Gesetzentwurf im Kongress zielt nun auch auf die Eigentümerstruktur. Wie auto motor und sport berichtet, dürften Hersteller, an denen Anteilseigner aus sogenannten Gegnerstaaten wie China zusammen mindestens 15 Prozent halten, in den USA weder produzieren noch importieren oder verkaufen.
Damit wäre ausgerechnet Mercedes-Benz betroffen. Der staatsnahe Pekinger Konzern BAIC hält 9,98 Prozent, Geely-Gründer Li Shufu 9,69 Prozent, zusammen also knapp 20 Prozent. Das US-Werk in Tuscaloosa würde daran nichts ändern. Der Senatsausschuss für Handel hat den Entwurf im Juli gebilligt. Weil Senator Rand Paul Einwände wegen Mercedes erhebt, kommt er laut Reuters frühestens im November in den Senat. Mitinitiator Bernie Moreno hat zugesagt, dass Mercedes in der finalen Fassung weiter verkaufen darf. Eine Ausnahme steht aber noch nicht im Text.
DSGVO setzt Datentransfer nach China Grenzen
WBS.Legal sieht Hersteller, die europäische Nutzerdaten auf chinesische Server übertragen, rechtlich in einer schwierigen Lage. Bewegungsprofile, Aufenthaltsorte und biometrische Merkmale sind personenbezogene Daten im Sinne der DSGVO. Für die Übermittlung in Drittstaaten wie China gelten nach Artikel 44 ff. DSGVO hohe Hürden. Seit der Rechtsprechung des Europäischen Gerichtshofs reichen Standardvertragsklauseln allein nicht aus, wenn im Zielland ein unverhältnismäßiger staatlicher Zugriff droht, gegen den Betroffene sich nicht wirksam wehren können.
Zudem gilt der Grundsatz der Datensparsamkeit. Erhoben werden dürfen nur Daten, die für den Betrieb des Fahrzeugs nötig sind. Für alles Weitere, etwa das Training von Autopilot-Software oder personalisierte Werbung, braucht es eine ausdrückliche und freiwillige Einwilligung. In der Praxis stecken solche Klauseln laut WBS.Legal oft tief in den Datenschutzbestimmungen des Infotainmentsystems. Wer nicht zustimmt, kann wesentliche Funktionen nicht nutzen. Diese Form der erzwungenen Einwilligung widerspricht nach Ansicht der Kanzlei dem europäischen Datenschutzrecht.
Data Act und Cyber Resilience Act als Hebel
Solmecke fordert, dass auf die Risikoanalyse gesetzliche Schritte folgen. Ansatzpunkte sieht er im EU Data Act und im Cyber Resilience Act. Letzterer verpflichtet Hersteller, vernetzte Produkte über den gesamten Lebenszyklus abzusichern und entdeckte Schwachstellen umgehend zu schließen.
Verfassungsschutz: Risiko bei Führungskräften
„Die Spionagegefahr durch chinesische Elektroautos ist real“, sagte Stephan Kramer, Präsident des Thüringer Verfassungsschutzes, dem Handelsblatt. Am höchsten schätzt er das Risiko bei Bundeswehr, Polizei, kritischer Infrastruktur und im Regierungsumfeld ein. Für Unternehmen mit sensibler Forschung sieht er ein mittleres bis hohes Risiko, etwa wenn Führungskräfte die Fahrzeuge nutzen oder Forschungsstandorte damit angefahren werden. Für Privatleute hält er die Gefahr für eher moderat. Kramer betont zudem, dass das Problem nicht nur chinesische Hersteller betrifft: Moderne Elektroautos seien rollende Computer, die Standort-, Innenraum-, Telefon- und Fahrdaten erfassen.
