Moderne Autos werden immer stärker zu rollenden Computern – und damit zu gewaltigen Datensammlern. Eine neue Untersuchung zeigt nun, wie weit diese Entwicklung bereits gegangen ist: Fahrzeuge und die dazugehörigen Smartphone-Apps übermitteln personenbezogene Daten an Drittunternehmen aus den Bereichen Werbung, Tracking und Analyse. Für den Fahrer bleibt weitgehend unsichtbar, wer dabei mit im Auto sitzt.
Forscher der Northeastern University untersuchten gemeinsam mit der US-Verbraucherorganisation Consumer Reports 21 Fahrzeuge von 19 Marken sowie 30 dazugehörige Apps. Das Ergebnis: 19 der 21 getesteten Fahrzeuge kommunizierten mit mindestens einem Drittanbieter. Sieben der 30 Apps übermittelten sensible Identifikationsdaten an externe Unternehmen.
Dabei geht es keineswegs nur um harmlose technische Informationen.
VIN, E-Mail, Telefonnummer und Standort
Zu den übertragenen Daten gehören Fahrzeugidentifikationsnummern (VIN), E-Mail-Adressen, Telefonnummern und Standortinformationen. Besonders häufig wurde die VIN weitergegeben – eine Nummer, über die sich ein Fahrzeug eindeutig identifizieren und letztlich seinem Besitzer zuordnen lässt.
Die Forscher warnen, dass solche Informationen offenlegen können, wem ein bestimmtes Fahrzeug gehört oder wer mit ihm interagiert. Die Empfänger können ausgerechnet Unternehmen sein, die mit Werbung, Tracking und Datenanalyse ihr Geld verdienen.
Noch problematischer als die Fahrzeuge selbst sind teilweise deren Apps.
HondaLink, Lincoln, MyNISSAN sowie die GM-Apps myCadillac, myChevrolet, myBuick und myGMC übermittelten Daten an Drittanbieter. Genannt werden unter anderem Adobe, Acxiom, ContentSquare, FullStory, Google, Meta, Microsoft, Pinterest, Snap und Yahoo.
Honda übermittelte sogar den genauen Standort
Besonders deutlich zeigt sich das Problem bei HondaLink.
Die Forscher stellten fest, dass die App die VIN und den genauen Standort des Fahrzeugs an das Analyseunternehmen Amplitude übermittelte. Die untersuchten Daten waren teilweise sogar im Klartext beziehungsweise in gehashter Form im Datenverkehr vorhanden.
Nach Veröffentlichung der Untersuchung reagierte Honda: Das Unternehmen forderte Amplitude auf, die erhaltenen Standortdaten zu löschen, und änderte HondaLink so, dass diese Standortinformationen nicht länger an Amplitude übertragen werden.
Das zeigt zugleich: Es ging nicht nur um theoretische Möglichkeiten. Die Datenübertragung fand tatsächlich statt.
Tesla fällt besonders auf
Ein überraschendes Ergebnis betrifft Tesla.
Das Tesla Model 3 kontaktierte über WLAN 34 verschiedene Domains aus den Bereichen Werbung, Tracking und Analytik und verfügte laut Untersuchung über 36 integrierte Drittanbieter. Beim Cybertruck waren es 23 entsprechende Domains und 37 integrierte Drittanbieter.
Zum Vergleich: Beim Nissan Ariya, Land Rover Range Rover, Mercedes EQS und Buick Envista wurden über WLAN überhaupt keine entsprechenden ATA-Domains festgestellt. Die Forscher vermuten als Grund deren vergleichsweise eingeschränkte Infotainment-Funktionalität.
Die paradoxe Konsequenz lautet damit:
Je „smarter“ und vernetzter ein Auto wird, desto mehr Möglichkeiten entstehen, Daten nach außen zu übertragen.
Datenschutz ablehnen? Dann können Funktionen verschwinden
Noch brisanter wird es beim Versuch, die Datensammlung abzulehnen.
Die Forscher kommen zu dem Ergebnis, dass viele Hersteller ihren Kunden keine einfache oder wirklich wirksame Möglichkeit zum Opt-out anbieten. Datenschutzbestimmungen seien teilweise schwer verständlich, sehr weit gefasst und würden nicht unbedingt widerspiegeln, was das Fahrzeug tatsächlich macht.
Im Fall Rivian kann die Verweigerung der Datenerfassung laut Studie sogar bedeuten, dass Funktionen eingeschränkt oder deaktiviert werden – darunter möglicherweise Sicherheitsfunktionen wie der Spurhalteassistent.
Damit bekommt die vermeintlich freiwillige Zustimmung einen bitteren Beigeschmack: Entweder Daten preisgeben – oder auf Funktionen des eigenen Autos verzichten.
Und die Forscher konnten längst nicht alles sehen
Die Untersuchung hat noch einen entscheidenden Haken – allerdings einen, der das Ergebnis eher verschärft als relativiert.
Die Forscher konnten nicht jeden Datenstrom entschlüsseln. Was sie nachweisen konnten, könnte deshalb lediglich die Untergrenze dessen darstellen, was tatsächlich übertragen wird.
Zudem konnte die Untersuchung nicht feststellen, ob sämtliche erfassten Daten von den Drittunternehmen anschließend tatsächlich genutzt oder verkauft wurden.
Klar ist jedoch: Die Daten verlassen das unmittelbare Verhältnis zwischen Fahrer und Fahrzeug.
Das Auto als Überwachungsgerät auf vier Rädern
Früher wusste ein Auto, wie schnell man fährt und wie viel Benzin noch im Tank ist. Heute können vernetzte Fahrzeuge und ihre Apps wissen, wer man ist, welches Fahrzeug man besitzt, wo sich das Auto befindet und welche Dienste man verwendet – und Teile dieser Informationen können bei Unternehmen landen, mit denen der Fahrer niemals bewusst eine Geschäftsbeziehung eingegangen ist.
Die Entwicklung macht das moderne Auto damit zu etwas, das weit über ein Transportmittel hinausgeht.
Es wird zum Smartphone auf vier Rädern – nur dass man es nicht einfach zurücksetzt oder alle zwei Jahre austauscht.
Die Empfehlung der Forscher ist deshalb bemerkenswert bodenständig: Autobesitzer sollten sich gut überlegen, ob sie die Apps der Hersteller tatsächlich benötigen, und gegebenenfalls wieder stärker auf die physischen Bedienelemente ihres Fahrzeugs setzen.
