Der erste Nachweis: Cybersicherheit

Angenommen, auf Ihrem Tisch liegt das Angebot eines nicht-europäischen Herstellers für zwanzig autonome Kleinbusse. Die naheliegende Frage ist die nach dem Fahrkönnen. Die schwierigere ist eine andere: Wer darf das System nach der Zulassung noch verändern, wer sieht die Veränderung, und was lassen Sie sich dafür vorlegen?

Das europäische Typgenehmigungsrecht beantwortet das nicht über technische Grenzwerte, sondern über zwei Managementsysteme. Ein Hersteller muss belegen, dass er einen geordneten Prozess hat.

Der erste ist die UN-Regelung Nr. 155 zur Cybersicherheit und zum Cybersicherheitsmanagementsystem. Die Verordnung (EU) 2019/2144 führt sie in Anhang I für die Fahrzeugklassen M, N und O; Anhang I ist die Liste der UN-Regelungen, auf die Artikel 4 Absatz 2 verweist. In Anhang II derselben Verordnung steht sie in der Zeile D4 unter dem Titel Schutz des Fahrzeugs gegen Cyberangriffe. Der dort eingetragene Datumscode ist eindeutig: Seit dem 6. Juli 2022 wird die EU-Typgenehmigung ohne diesen Nachweis verweigert, seit dem 7. Juli 2024 ist die Zulassung verboten.

Beide Stichtage liegen in der Vergangenheit. Ein Fahrsystem ohne diesen Nachweis bekommt in Europa keine Typgenehmigung, unabhängig davon, wie gut es fährt. Die Zeile nennt die Klassen ohne Untergliederung — ein Kleinbus fällt als Fahrzeug der Klasse M darunter.

Der zweite Nachweis steht woanders, als meist zitiert wird

Auch beim zweiten Nachweis geht es um Verfügung, nicht um Technik. Er betrifft genau das, was einen Rechner von einer Maschine unterscheidet: Er wird nach der Auslieferung weiter verändert. Dafür gibt es die UN-Regelung Nr. 156 zum Software-Update-Management-System.

Und hier liegt die Stelle, an der viele Darstellungen danebengreifen. Die UN-Regelung Nr. 156 steht nicht in der Verordnung (EU) 2019/2144. Deren Anhang I springt von der Nummer 155 auf die Nummer 157; die Zeile D5 in Anhang II ist nicht das Software-Update, sondern der Ereignisdatenspeicher nach der UN-Regelung Nr. 160. Verbindlich wird die Nummer 156 über einen anderen Weg: über Anhang II der Verordnung (EU) 2018/858, dort eingefügt durch die Delegierte Verordnung (EU) 2022/2236 vom 20. Juni 2022.

Das ist keine Buchhaltung, sondern Ihre erste Prüffrage. Wer die Updateregel in der Allgemeinen Sicherheitsverordnung sucht, findet dort keine Fundstelle dafür. Und wenn in einer Anbieterunterlage steht, das System erfülle 2019/2144 vollständig, haben Sie über die Updatekette noch nichts erfahren.

Was die Regelung verlangt, ist konkret. Ihr Anwendungsbereich erfasst Fahrzeuge der Klassen M, N, O, R, S und T, bei denen Softwareaktualisierungen möglich sind. Ein eigener Abschnitt regelt die Konformitätsbescheinigung für das Managementsystem selbst. Für drahtlose Aktualisierungen verlangt sie, dass ein Update während der Fahrt keine Sicherheitsauswirkung hat und dass komplexe Handlungen von einer qualifizierten Person ausgeführt werden. Fahrzeugseitig geht es um die Wiederherstellung nach einem fehlgeschlagenen Update, die Energieversorgung, den sicheren Zustand während der Aktualisierung und die Information der Nutzer. Die einzelnen Nummern stehen in der Tabelle.

Was Deutschland an der UN-Regelung abschaltet

Für autonome Fahrzeuge nach deutschem Recht kommt eine dritte Ebene dazu. Die Autonome-Fahrzeuge-Genehmigungs-und-Betriebs-Verordnung regelt die IT-Sicherheit nicht selbst. Sie verweist — mit einer Einschränkung.

Anlage 1 Nummer 15 sagt, die vom Hersteller zu erfüllenden Anforderungen an die Sicherheit im Bereich der Informationstechnologie seien der jeweils geltenden Fassung der UN-Regelung Nr. 155 zu entnehmen, mit Maßgabe des Folgenden: Die Anforderungen der Nummern 1, 3, 4, 5.3.1 bis 5.3.5 entfallen.

Das klingt beunruhigender, als es ist, und deshalb haben wir nachgesehen, worum es bei diesen Nummern geht. Die amtlichen Überschriften der deutschen Amtsblattfassung lauten: Nummer 1 Anwendungsbereich, Nummer 3 Antrag auf Genehmigung, Nummer 4 Kennzeichnung. Die Nummern 5.3.1 bis 5.3.5 tragen keine eigenen Überschriften; es sind nummerierte Absätze unter dem Abschnitt 5 mit der Überschrift Genehmigung.

Abgeschaltet sind damit Anwendungsbereich, Antragsverfahren, Kennzeichnung und Teile des Genehmigungsverfahrens der UN-Regelung — nicht deren Sicherheitsanforderungen. Die deutsche Verordnung hat ein eigenes Genehmigungsverfahren mit eigenem Anwendungsbereich. Ob die Streichung genau darauf zielt, sagt sie nicht.

Ein Vorbehalt gehört dazu. Aus dieser Zuordnung folgt nicht, dass die Streichung folgenlos ist. Geprüft haben wir, welche Gegenstände die gestrichenen Nummern haben, nicht welche Wirkung ihr Wegfall im Einzelnen hat. Wer daraus ein abgesenktes Sicherheitsniveau liest, liest mehr, als wir belegen können — und wer Entwarnung liest, ebenfalls.

Was die Verordnung an derselben Stelle hinzufügt, steht im Wortlaut: Das Sicherheitskonzept muss den Vorgaben der Artikel 24, 25 und 32 der Datenschutz-Grundverordnung entsprechen und eine Datenschutzfolgeabschätzung nach Artikel 35 enthalten. Nummer 16 derselben Anlage nimmt sich die Funkverbindungen vor: gesichert und verschlüsselt nach dem Stand der Technik, mit offenen und etablierten Standards — als Beispiel nennt die Verordnung TLS 1.3 und eine Technische Richtlinie des Bundesamts für Sicherheit in der Informationstechnik.

Was der Hersteller dafür vorlegen muss, steht in Anlage 3 Nummer 4: Die Dokumentation muss die Prüfung der IT-Sicherheit ermöglichen und den Datenschutz beschreiben. Geprüft wird das dann arbeitsteilig. Nach § 3 Absatz 5 prüft das Kraftfahrt-Bundesamt das Konzept und beteiligt dabei das Bundesamt für Sicherheit in der Informationstechnik. Ob die Artikel 24, 25 und 32 der Datenschutz-Grundverordnung eingehalten sind und was die Datenschutzfolgenabschätzung enthält, prüft dagegen die für den jeweiligen Hersteller zuständige Datenschutzaufsicht. Zwei Prüfungen, drei beteiligte Stellen, ein Fahrzeug. Bei einem Hersteller mit Sitz außerhalb Deutschlands ist die Frage, welche Aufsicht das im Einzelfall ist, keine akademische — und sie ist eine, die Sie stellen können.

Wer nach der Genehmigung noch etwas ändern darf

Eine Genehmigung ist ein Zeitpunkt, ein Betrieb ist ein Zeitraum. Entscheidend ist deshalb, was nach der Zulassung gilt.

Das Wort Update kommt in der AFGBV und im Straßenverkehrsgesetz kein einziges Mal vor. Die Sache ist trotzdem geregelt, und zwar deutlich: § 4 Absatz 5 AFGBV bestimmt, dass Veränderungen an einem Kraftfahrzeug mit autonomer Fahrfunktion, die nach Erteilung der Betriebserlaubnis vorgenommen werden, vor ihrer Verwendung der Genehmigung des Kraftfahrt-Bundesamts bedürfen. Absatz 6 regelt die nationale Genehmigung für die nachträgliche Aktivierung von Fahrfunktionen, § 6 den Widerruf und das Ruhen dieser Genehmigungen.

Hier lohnt es, kurz stehen zu bleiben. Zwei Regelwerke treffen an dieser Stelle aufeinander, die aus verschiedenen Welten stammen. Das eine, die UN-Regelung Nr. 156, ist für kontinuierliche Softwareentwicklung gebaut: Es fragt nach einem Prozess und lässt den Hersteller laufen, wenn der Prozess taugt. Das andere, § 4 Absatz 5, ist die klassische deutsche Konstruktion: Erst genehmigen, dann verwenden. Wie beides zusammengeht, wenn Software wöchentlich ausgeliefert wird, sagt keiner der beiden Texte.

Das ist eine bemerkenswerte Konstruktion für ein Produkt, das aus der Ferne aktualisiert wird. Wie sie sich zum Software-Update-Management der UN-Regelung Nr. 156 verhält, welche Veränderungen erfasst sind und wie das Verfahren in der Praxis abläuft, ergibt sich aus dem Wortlaut nicht — und wir behaupten es nicht. Aber als Frage an einen Anbieter ist sie präzise: Für welche Art von Update haben Sie diese Genehmigung schon einmal eingeholt, und wie lange hat es gedauert?

Für die Marktüberwachung geht die Verordnung noch weiter. Nach § 5 Absatz 5 Nummer 2 müssen Hersteller und Halter dem Kraftfahrt-Bundesamt auf Verlangen die erforderlichen Unterlagen unentgeltlich bereitstellen — wobei die Hersteller auf Verlangen auch einen Zugang zu Software und Algorithmen ermöglichen müssen. Welchen Umfang dieser Zugang hat, ob er den Quellcode einschließt und in welcher Form er gewährt wird, steht dort nicht.

Wichtig für Sie: Dieser Anspruch steht dem Kraftfahrt-Bundesamt zu, nicht Ihnen. Als Halter sind Sie in derselben Vorschrift auf der Pflichtenseite — Sie müssen die Marktüberwachung unterstützen. Einen eigenen Einsichtsanspruch in die Software gibt Ihnen die Verordnung nicht. Was Sie bekommen, bekommen Sie über den Vertrag.

Beim Datenspeicher unterscheidet Anlage 1 Nummer 13.2 drei Fälle, und sie werden oft zusammengezogen. Nach Buchstabe a läuft der Zugang über die genormte sechzehnpolige Diagnoseschnittstelle unter Verwendung der proprietären Software des Herstellers oder über dessen proprietäre Schnittstelle — und ergänzend müssen in bestimmten Situationen Daten direkt über eine Weitverkehrsnetz-Anbindung an die zuständige staatliche Stelle gesendet werden. Buchstabe b behält Zugang und Herunterladen dem Kraftfahrt-Bundesamt und der zuständigen Behörde vor. Und erst Buchstabe c sagt nur: „Im Reparaturfall erfolgt der Zugang … nur unter Verwendung der proprietären Software des Herstellers.“

Wer dieses „nur“ aus dem Reparaturfall auf alle Fälle zieht, kommt zu dem Schluss, der Staat sei beim Datenzugang auf ein Werkzeug des Herstellers angewiesen. Der Wortlaut gibt das nicht her.

Eine Lesart dieser Redaktion, und sie geht über den Wortlaut hinaus: Die öffentliche Debatte über importierte Fahrsysteme dreht sich um Datenabfluss und Spionage. Der Verordnungstext legt einen unspektakuläreren Punkt nahe. Nicht wer die Daten bekommt, ist die harte Frage, sondern wer das Werkzeug liefert, mit dem man nachsieht — und ob es das in zehn Jahren noch gibt. Ein Zugangsrecht, das an einer proprietären Software hängt, ist so lange belastbar, wie jemand diese Software pflegt. Über Lizenz, Verfügbarkeit und Nachfolge steht in den geprüften Vorschriften nichts. Das ist keine Rechtslücke, die wir belegen könnten. Es ist die Stelle, an der wir an Ihrer Stelle nachfragen würden.

Was Sie damit noch nicht wissen

An dieser Stelle ist es ehrlicher, die Lücken zu benennen. Fünf Fragen, die für eine Beschaffungsentscheidung wichtiger sind als alles Bisherige, beantworten die geprüften Vorschriften nicht:

Wer haftet, wenn ein Update während des Fahrgastbetriebs eine Störung auslöst? Können Sie Updates vertraglich freigabepflichtig machen, ohne die Genehmigung des Fahrzeugs zu gefährden? Was passiert mit Ihrer Flotte, wenn der Hersteller den Support einstellt oder die Diagnosesoftware nicht mehr lizenziert? Welche Nachweise müssen Sie als Halter selbst führen, statt sie nur einzufordern? Und wie lange dauert eine Genehmigung nach § 4 Absatz 5 in der Praxis?

Nach Lesart dieser Redaktion sagt das etwas über den Zuschnitt des Rechts. Es regelt gründlich, was vor der Zulassung passiert, und lässt fast alles offen, was danach kommt — obwohl bei einem Fahrzeug, das sich per Update verändert, das Danach der längere Teil ist. Wer beschafft, kauft deshalb weniger ein Produkt als ein Verhältnis, und dessen Bedingungen stehen im Vertrag, nicht im Amtsblatt.

Auf keine dieser fünf Fragen haben wir eine belegte Antwort gefunden. Das ist keine Vollständigkeitslücke dieses Beitrags, sondern der Punkt, an dem der Vertrag anfängt und die Verordnung aufhört. Welche Schwachstellen bei vernetzten Fahrzeugen bereits gemeldet wurden und was davon belegt ist, ordnet der Beitrag zu vernetzten Autos als Sicherheitsrisiko ein.

Zwei weitere Befunde gehören dazu, weil sie eine verbreitete Sorge betreffen. In der AFGBV kommen weder Drittstaat noch Importeur vor. Das Typgenehmigungsrecht knüpft an das Produkt und an den Nachweis, nicht an die Herkunft des Herstellers. Und Kartenmaterial taucht in der Verordnung nur als Klammerzusatz im Datenformat der Positionsangaben auf; die europäische Durchführungsverordnung zur Typgenehmigung automatisierter Fahrsysteme führt Karten und Positionsbestimmung dagegen als eigenen Punkt.

Wo Herkunft praktisch doch durchschlägt, ist eine andere Ebene: bei der Frage, welche Datenschutzaufsicht zuständig ist, ob ein proprietäres Diagnosewerkzeug über die Lebensdauer der Fahrzeuge verfügbar bleibt, und wie das Kraftfahrt-Bundesamt seinen Zugang zu Software und Algorithmen durchsetzt, wenn der Hersteller keine Niederlassung in der Union hat. Diese drei Punkte haben wir nicht geprüft. Sie gehören in Ihre Fragenliste, nicht in eine Antwort.

Wie sich Rollen und Befugnisse im laufenden Betrieb verteilen, steht im Beitrag zu den Betreiberpflichten autonomer Flotten. Was eine Genehmigung im Einzelnen verlangt, ist in Level 4 in Deutschland aufgeschlüsselt. Und dass dieselbe Anlage auch den Prüfmaßstab für die Kollisionsvermeidung aus einer UN-Regelung übernimmt und dabei Änderungen anordnet, steht im Beitrag zu autonomen Lkw.

Häufige Fragen