BYD in Australien gehackt: Wer greift auf die Fahrzeugdaten zu

Am 21. September 2026 wechselt ein BYD Shark 6 aus der Ferne den Herrn

Am 21. September 2026 veröffentlichte ABC News das Ergebnis eines Tests auf einer Landstraße bei Canberra. Ein Sicherheitsexperte übernahm die Fernsteuerung eines BYD Shark 6, während der Journalist am Steuer saß. Der Beitrag des australischen Senders^[1] schildert, wie in der Kurve die Scheinwerfer ausgingen, die Türen verriegelt wurden, während der Reporter im Fahrzeug saß, und Scheibenwischer sowie Waschanlage ferngesteuert ausgelöst wurden.

Dan Hreszczuk, Mitgründer von Fortify Labs in Canberra, hatte das Fahrzeug vor der Demonstration zwei Wochen lang zur Verfügung.

Sein Urteil passt in eine Zeile: «Es war einfacher, als wir erwartet hatten». Der genutzte Zugang war ohne Passwort.

Von dieser Lücke aus rekonstruierte der Analyst die Programme, die die einzelnen Bordfunktionen steuern. Vernetzte chinesische Autos kommen mit derselben Grundarchitektur auf den europäischen Markt: Software im Zentrum, laufende Aktualisierung, Fernzugriff des Herstellers.

Moderne Fahrzeuge, insbesondere Elektro- und Hybridautos, laufen auf Code. Der Hersteller behält die Befugnis, das Fahrzeug nach dem Verkauf zu verändern, zu aktualisieren und zu steuern. Im Fall von BYD untersteht diese Software Strukturen mit Sitz in China.

Warum der australische Test auf die Marktzahlen durchschlägt

Derselbe Beitrag nennt eine Zahl zur Einordnung. In diesem Jahr machen Elektroautos und Plug-in-Hybride in Australien fast ein Drittel der Neuwagenverkäufe aus.

Mehr als die Hälfte dieser Verkäufe entfällt auf eine chinesische Marke.

Die Größenordnung wiegt schwerer als das einzelne kompromittierte Fahrzeug. Eine Unternehmensflotte kauft in Losen und ein einziges Modell wiederholt sich dutzendfach. Eine Konstruktionsschwäche wird damit zur Schwäche des gesamten Fuhrparks.

Security Affairs griff den Fall am 21. September 2026 auf^[2], mit den technischen Details des Zugriffs. Das Medium von Pierluigi Paganini ordnet den Vorfall in die breitere Kategorie der Risiken vernetzter Fahrzeuge ein.

Sensoren, Kameras und Mikrofone an Bord erfassen und übertragen große Datenmengen. Die vom Sender zitierten Fachleute erinnern daran, dass chinesische Gesetze zur nationalen Sicherheit Unternehmen zur Zusammenarbeit mit den Behörden verpflichten können.

Die Dahua-Kameras an Bord der Leapmotor-Fahrzeuge

Am 21. September 2026 veröffentlichte derselbe Sender eine zweite Recherche. An Bord einiger Leapmotor-Fahrzeuge wurden Dahua-Kameras gefunden^[3] – eine Marke, die in Australien in öffentlichen Gebäuden verboten ist.

Das Verbot erfasst die Liegenschaften des Staates. Ein Firmenfahrzeug passiert genau diese Perimeter jeden Tag.

Hier entsteht die Compliance-Frage: Eine Komponente, die aus einem physischen Perimeter ausgeschlossen ist, gelangt in diesen Perimeter zurück, sobald sie in einem Fahrzeug verbaut ist. Die Unterscheidung zwischen fest installierter und mobiler Hardware trägt beim Inventar wenig. Ein Asset-Verzeichnis, das Gebäudekameras erfasst und Bordkameras ignoriert, beschreibt die halbe Wirklichkeit.

Für die Risikosteuerung geht es um die Rückverfolgbarkeit der Lieferkette. Zu wissen, welche Kameramarke in welchem Modell mitfährt, gehört in die Due Diligence des Einkaufs.

Die Prüfung betrifft das Lastenheft und das technische Datenblatt des Fahrzeugs. Wer ab Katalog kauft, erhält selten die Stückliste der elektronischen Komponenten.

Der 9. September 2026: Die US-Hersteller fordern ein Verbot

Am 9. September 2026 forderten die US-amerikanischen Automobilhersteller den Kongress auf, vernetzte Fahrzeuge sowie Software und Hardware chinesischen Ursprungs zu verbieten. Die Forderung^[4] kam zum Ende der Sitzungsperiode.

Der genannte Perimeter erfasst die gesamte Kette: fertiges Fahrzeug, Komponenten und Code.

Die US-Jurisdiktion arbeitet mit einem Herkunftsverbot. Die Europäische Union arbeitet mit Typgenehmigungspflichten und mit Datenzugangsrechten. Beide Wege führen zu unterschiedlichen Dokumentationspflichten für dieselbe Flotte.

Ein Konzern mit Fahrzeugen in beiden Räumen verwaltet zwei parallele Regime. Eine in Europa gültige Beschaffungspolitik bleibt einer amerikanischen Herkunftsbeschränkung ausgesetzt.

Das Governance-Signal ist die gemeinsame Richtung: Die Herkunft der Software wird zum regulatorischen Gegenstand. Jahrzehntelang betraf die Fahrzeug-Compliance Emissionen und passive Sicherheit. Heute umfasst sie die Kontrollkette des Codes an Bord.

Die europäische Regel zu den Fahrzeugdaten: der Data Act

Die Verordnung (EU) 2023/2854, der Data Act, gilt seit dem 12. September 2025. Der Text^[5] regelt den Zugang zu den Daten, die vernetzte Produkte erzeugen – das Automobil eingeschlossen.

Die Systematik räumt dem Nutzer des Produkts das Recht ein, auf die durch die Nutzung erzeugten Daten zuzugreifen. Sie sieht zudem die Möglichkeit vor, diese mit Dritten nach Wahl des Nutzers zu teilen. Der Hersteller bleibt verpflichtet, diese Daten bereitzustellen.

Die Jurisdiktion ist die Europäische Union. Die Norm ist seit über einem Jahr anwendbar.

Für eine Flotte ist der operative Schritt konkret. Der Fuhrparkverantwortliche kann beim Hersteller die Fahrzeugdaten anfordern und sie an einen unabhängigen Werkstattbetrieb weiterleiten. Der Liefervertrag wird zum Ort, an dem dieses Recht tatsächlich ausgeübt wird.

Die Verordnung regelt den Zugang zu den Daten. Die Sicherheit des Kanals und die Identität derjenigen, die darauf zugreifen, bleiben Gegenstand anderer Rechtsakte.

Die Cyber-Typgenehmigung: die UNECE-Regelungen R155 und R156

Die UNECE-Regelungen R155 und R156 betreffen das Management der Informationssicherheit und der Software-Updates. Sie gelten als Pflicht für in der Europäischen Union neu zugelassene Fahrzeuge seit Juli 2024.

R155 verpflichtet den Hersteller zu einem zertifizierten Managementsystem für Cybersicherheit. R156 verlangt ein Managementsystem für Software-Updates. Die Typgenehmigung hängt von beiden ab.

Der europäische Rahmen arbeitet somit auf zwei getrennten Achsen: wer auf die Daten zugreift und wie das Fahrzeug geschützt und aktualisiert wird. Der australische Fall betrifft einen Markt mit eigenen Regeln.

Diese Unterscheidung zählt für eine europäische Flotte. Ein in Australien verkauftes Modell und dasselbe in Europa verkaufte Modell können unterschiedliche Softwarekonfigurationen haben. Die Prüfung betrifft die Bescheinigung des tatsächlich gelieferten Fahrzeugs.

Das beim Lieferanten anzufordernde Dokument hat einen präzisen Namen: der Auszug der Typgenehmigung mit den Verweisen auf R155 und R156. Ein Lastenheft, das die beiden Nummern nennt, verschiebt die Beweislast auf den Verkäufer.

Drei Entscheidungen für den Aufsichtsrat

Die drei folgenden Fragen gehören dem General Counsel, dem Chief Risk Officer und dem Prüfungs- und Risikoausschuss.

1. Welche Rolle verantwortet namentlich und schriftlich die Bordddaten

Der Data Act weist dem Nutzer des vernetzten Produkts Rechte zu. Für ein Unternehmen ist dieser Nutzer eine juristische Einheit, die Zuständigkeit muss daher vor der Fahrzeugübergabe einer konkreten Person zugewiesen werden. Ein Rahmenwerk ohne einen schriftlich festgehaltenen Namen erzeugt Dokumentation statt Governance.

2. Welche Klausel deckt den Fernzugriff des Herstellers ab

Der Kauf- oder Leasingvertrag legt fest, welche Funktionen der Lieferant aus der Ferne aktivieren darf. Der australische Nachweis betrifft einen von einem Dritten erlangten Zugriff; die Klausel betrifft den rechtmäßigen Zugriff des Herstellers. Beide Ebenen zu trennen, erlaubt es, überprüfbare Pflichten zu formulieren.

3. Welche Offenlegung braucht der Prüfungsausschuss

Eine Flotte vernetzter Fahrzeuge ist zugleich ein Perimeter der Datenverarbeitung und ein Sicherheitsperimeter. Der Ausschuss erhält das Inventar der Modelle, die Herkunft der kritischen Komponenten und den Stand der Typgenehmigungen nach R155 und R156. Der sinnvolle Turnus entspricht jenem, der für die übrigen IT-Assets bereits gilt.

Regulatorischer Horizont und Montagmorgen

Aktueller Stand: Der Data Act gilt seit dem 12. September 2025; R155 und R156 gelten für Neufahrzeuge in der EU seit Juli 2024. Beide Instrumente sind heute in Kraft.

Die amerikanische Front bleibt eine am 9. September 2026 eingereichte Branchenforderung, also ein Vorschlag auf der Suche nach einem Gesetzgebungsvehikel.

Der Leiter einer europäischen Flotte hat drei unmittelbare Handlungsschritte. Erstens: aus dem System die Liste der im Einsatz befindlichen vernetzten Modelle ziehen, mit Marke und Baujahr. Zweitens: beim Lieferanten den Auszug der Typgenehmigung mit den Verweisen auf R155 und R156 anfordern.

Der dritte betrifft die Daten: eine formelle Anfrage an den Hersteller zu den von den Fahrzeugen erzeugten Datenflüssen, gestützt auf die Verordnung 2023/2854. Drei E-Mails haben an einem Arbeitsvormittag gereicht.

Die Frage nach der Verwundbarkeit eines einzelnen Modells ist beantwortet. Die Frage, wer die Software eines ganzen Fuhrparks steuert, bleibt offen.