Dein Auto fährt mit und schreibt alles mit

Ein modernes Auto ist ein Computer auf Rädern, der laufend nach Hause funkt.

Was dabei zusammenkommt, ist keine Vermutung. Es ist dokumentiert, geleakt und teilweise vor Gericht verhandelt.

800.000 Autos, offen im Netz

Ende 2024 fand der Chaos Computer Club rund 9,5 Terabyte Fahrzeugdaten weitgehend ungeschützt in einem Amazon-Cloudspeicher der VW-Software-Tochter Cariad. [CCC-Vortrag, 38C3]

Betroffen waren etwa 800.000 E-Autos der Marken VW, Audi, Seat und Skoda, davon rund 300.000 in Deutschland. [ComputerBase]

Bei etwa 460.000 Fahrzeugen waren präzise Standortdaten abrufbar, bei VW und Seat auf rund zehn Zentimeter genau. [ComputerBase]

Sichtbar wurden Parkpositionen an Wohnadressen, am BND-Gelände und vor Bordellen.

Auch 35 E-Fahrzeuge der Hamburger Polizei und namentlich bekannte Politiker waren erfasst.

Die Daten lagen über Monate offen, bis der CCC den Konzern am 26.11.2024 informierte. [ADAC]

VW erklärte anschließend, außer dem CCC habe niemand zugegriffen. Belegen lässt sich das nicht.

Was dein Auto stündlich sendet

Journalisten stellten 2025 DSGVO-Auskunftsanfragen an mehrere Hersteller und werteten die Antworten aus.

Bei Mercedes-Benz kamen rund 100 verschiedene Datenarten zusammen, darunter ein GPS-Fahrtenbuch mit drei Monaten Speicherdauer. [netzpolitik.org]

Rund 80 Prozent der bei Mercedes gespeicherten Daten waren keine 90 Minuten alt.

Bei BMW werden viele Datenarten etwa stündlich hochgeladen, VW führt ein Fahrtenbuch über zehn Tage.

Ein ADAC-Test zeigte, wie kleinteilig das wird: Der BMW 320d speicherte Betriebsstunden einzelner Lichtquellen und die Zahl der Verstellvorgänge des elektrischen Fahrersitzes. [ADAC-Fahrzeuganalyse]

Der BMW i3 hielt die letzten 16 Ladestationen und rund 100 Abstellpositionen vor, eine Mercedes B-Klasse funkte alle zwei Minuten Position und Status ans Werk.

Verkauft an Versicherer, für 61 Cent pro Auto

Eine Untersuchung zweier US-Senatoren legte 2024 offen, wie billig Fahrdaten gehandelt werden. [The Record]

Hyundai gab Daten aus 1,7 Millionen Fahrzeugen an den Datenbroker Verisk, für gut eine Million Dollar, also rund 61 Cent pro Auto.

Honda lieferte Daten aus 97.000 Autos für 25.920 Dollar, umgerechnet 26 Cent pro Fahrzeug.

General Motors verkaufte Daten aus acht Millionen Autos.

Die Einwilligung holten die Hersteller mit Dark Patterns: GM versteckte sie in einer Sicherheits-Update-Aufforderung.

Hyundai meldete Fahrer automatisch beim Driving-Score-Programm an, ohne es ihnen zu sagen.

Erfasst wurden Geschwindigkeit, Standorte, Bremsstärke, Nachtfahrten und scharfe Kurven, daraus entstanden Risiko-Scores, die Versicherungsprämien nach oben trieben.

Texas verklagte GM im August 2024 wegen der Daten von rund 1,8 Millionen Texanern. [CBS News]

Die US-Handelsbehörde FTC schloss ihr Verfahren gegen GM und OnStar im Januar 2026 ab: 20 Jahre Auflagen, fünf Jahre Weitergabeverbot an Datenbroker, Löschung binnen 180 Tagen. [Hintze Law]

Kalifornien erzielte im Mai 2026 einen Vergleich über 12,75 Millionen Dollar, die bislang höchste Strafe nach dem dortigen Datenschutzgesetz. [California DOJ]

Tesla: Mitarbeiter teilten intime Aufnahmen

Eine Reuters-Recherche von 2023 beschreibt, wie Tesla-Beschäftigte zwischen 2019 und 2022 Videos aus Kundenfahrzeug-Kameras intern weiterreichten. [Reuters]

Darunter waren ein nackter Mann an seinem Auto, Einblicke in Garagen und Privatgrundstücke sowie Unfallvideos.

Reuters kontaktierte über 300 ehemalige Beschäftigte, neun schilderten die Praxis im Detail.

Sieben sagten aus, die interne Software habe den Aufnahmeort auf Google Maps angezeigt, obwohl Tesla die Aufnahmen als anonym bezeichnet.

Zwei Tage nach dem Bericht reichte ein Tesla-Besitzer eine Sammelklage ein. [Al Jazeera]

Was in den Datenschutzerklärungen steht

Die Mozilla Foundation prüfte 2023 die Datenschutzerklärungen von 25 Automarken. Alle 25 fielen durch. [SecurityWeek]

84 Prozent behalten sich vor, erhobene Daten weiterzugeben oder zu verkaufen, mehr als die Hälfte teilt sie auf Anfrage mit Behörden, teils ohne Gerichtsbeschluss.

Als erhebbare Kategorien nennen die Texte unter anderem Gesundheits- und Genetikdaten, Einwanderungsstatus, Ethnie, Gesichtsausdrücke und Gewicht.

Nissan führt ausdrücklich sexuelle Aktivität auf, Kia das Sexleben. Tesla warnt, dass ein Widerspruch das Fahrzeug funktionsunfähig machen kann. [Mozilla, Nissan-Review]

Die Kamera, die jetzt Pflicht ist

Seit dem 07.07.2026 braucht jeder in der EU neu zugelassene Pkw ein Ablenkungswarnsystem, neue Fahrzeugtypen schon seit dem 07.07.2024. [auto motor und sport]

Meist sitzt eine Infrarotkamera am Innenspiegel und erfasst Kopfhaltung, Blickrichtung und Augenbewegungen in Echtzeit.

Der Bundesdatenschutzbeauftragte hat das System geprüft und sieht keinen Verstoß. [dpa]

Rohdaten müssen unmittelbar nach der Verarbeitung gelöscht werden, eine Weitergabe an Dritte ist untersagt und biometrische Gesichtserkennung ist ausdrücklich verboten.

Diese Prüfung gilt allerdings nur für das gesetzlich vorgeschriebene System, nicht für zusätzliche Kamerafunktionen, die Hersteller freiwillig einbauen.

China: der Staat fährt mit

In China übermitteln über 200 Hersteller von Elektroautos mindestens 61 Datenpunkte in Echtzeit an staatlich gestützte Plattformen. [Associated Press]

Betroffen sind chinesische Marken ebenso wie Tesla, VW, BMW und Daimler. Entscheidend ist der Zulassungsort, nicht die Marke.

Die nationale Plattform am Beijing Institute of Technology erfasste 2018 Daten von über 1,1 Millionen Fahrzeugen.

Chinesische Regeln von 2021 verlangen zudem, dass per Fahrzeugkamera erfasste Gesichter und Kennzeichen das Land nicht verlassen. [INPLP]

Die USA verboten im Januar 2025 vernetzte Fahrzeugtechnik mit China- oder Russlandbezug, wirksam ab Modelljahr 2027 für Software. [US Department of Commerce]

Begründet wird das mit abstrakten Risiken. Ein nachgewiesener konkreter Missbrauchsfall wird in der Regel nicht genannt.

Klartext

Beim VW-Leck waren ausgerechnet VW und Seat metergenau ortbar, Audi und Skoda dagegen nur auf rund zehn Kilometer. Die Marke allein sagt wenig über das Risiko.

Die Mozilla-Studie wertet US-Datenschutzerklärungen aus: Sie belegt, was sich Hersteller vorbehalten, nicht was sie tatsächlich erheben. In der EU gilt die DSGVO.

Die Tesla-Vorwürfe stützen sich auf anonyme Aussagen ehemaliger Mitarbeiter und betreffen den Zeitraum 2019 bis 2022.

Die verbreitete Behauptung, chinesische Marken funkten Fahrzeug-Logs laufend nach Hause, ist über die bekannten Sicherheitslücken nicht belegbar. Die erfordern physischen Zugriff aufs Auto. [ASRG, CVE-2025-7020]

So schützt du dich

Fang mit einer DSGVO-Auskunft nach Artikel 15 beim Hersteller an, erst dann weißt du, was überhaupt gespeichert wird.

Daraus folgen Widerspruch nach Artikel 21 und Löschung nach Artikel 17. [EDPB-Leitlinien]

Seit dem 12.09.2025 verpflichtet der EU Data Act Hersteller, dir Fahrzeugdaten kostenlos und maschinenlesbar herauszugeben. [ADAC]

Er regelt allerdings nur den Zugang zu bereits erhobenen Daten, nicht deren Vermeidung. Hersteller dürfen die Herausgabe bis zu 30 Tage verzögern.

• Connected Services in den Fahrzeugeinstellungen abschalten, soweit der Hersteller das anbietet.
• Telematik-Tarife der Kfz-Versicherung ablehnen, genau daraus entstehen die Fahrverhaltens-Scores.
• Zum Koppeln ein altes Zweitgerät ohne Kontakte nutzen, oder beim ersten Verbinden die Datenübertragung ablehnen.
• Beim Gebrauchtwagen die Accounts des Vorbesitzers und die Bluetooth-Geräteliste entfernen.
• Vor Verkauf, Rückgabe oder Carsharing-Ende das Infotainment auf Werkseinstellungen zurücksetzen. [ADAC]

Was nicht funktioniert

Die Telematik-Sicherung zu ziehen oder die eSIM zu deaktivieren klingt naheliegend, ist aber riskant. [Dr. Datenschutz]

Solche Eingriffe können die Garantie kosten und, soweit das Notrufsystem betroffen ist, die Typgenehmigungskonformität gefährden.

Das eCall-Notrufsystem ist seit dem 31.03.2018 Pflicht und darf nicht abgeschaltet werden. [EU-Verordnung 2015/758]

Immerhin ist es gesetzlich so ausgelegt, dass es im Normalbetrieb nicht verfolgbar ist und nur die letzten drei Positionen vorhält.

Auch Reifendruckkontrolle und Unfalldatenspeicher sind gesetzlich vorgeschrieben und nicht abwählbar.

Ein Werksreset löscht zudem nur das Gerät, nicht das, was beim Hersteller im Backend liegt. Dafür brauchst du den Löschantrag.