Datenschutz bei Fahrzeugen Inkrafttreten der EU-Datenschutz-Grundverordnung

Vernetzte Kommunikation im Kfz besser schützen.
Vernetzte Kommunikation im Kfz besser schützen.

Wie leicht sich Fahrzeuge durch die vernetzte Kommunikation manipulieren oder entwenden lassen, zeigte exemplarisch eine geknackte Autotür. Um personenbezogene Daten besser zu schützen, legt die EU-DSGVO strenge Regeln fest, die bis Mai 2018 durch entsprechende Maßnahmen umgesetzt sein müssen.

Vor einiger Zeit wurde die Autotür eines Fahrzeugs geknackt – eigentlich nichts Ungewöhnliches. Allerdings wurde bei dem erwähnten Einbruch nicht Gewalt, sondern unerkannt der Mobilfunk eingesetzt. Und das Besondere an dem Beispiel ist: Der Vorfall hätte sich bei weiteren 2,2 Millionen Fahrzeugen des Herstellers weltweit genauso ereignen können. Möglich wurde es, da in Modellen der Marken BMW, MINI und Rolls-Royce mit „ConnectedDrive“ die vernetzte Kommunikation lediglich mit dem unsicheren Data-Encryption-Standard (DES)-Verfahren verschlüsselt wurde. Einige Dienste verzichteten sogar vollständig auf eine verschlüsselte Kommunikation. Zudem war in allen Fahrzeugen der identische Schlüssel zum Einsatz gekommen. Damit konnte jeder, der den Schlüssel einmalig besaß oder geknackt hat, alle vergleichbaren Autos öffnen. Die vom ADAC aufgedeckte Sicherheitslücke aus dem Jahr 2014/2015 ist mittlerweile längst behoben, doch der Vorfall veranschaulicht eindrucksvoll, welche Folgen ungenügende Sicherheitsmaßnahmen nach sich ziehen können. Die Folgen können so gravierend sein, da sich das moderne Auto zur „Datenfabrik“ entwickelt hat. Fortlaufend werden im Fahrzeug Daten erhoben, verarbeitet und wie folgt ausgetauscht:

  • Innerhalb der fahrzeugseitigen On-Board-Control-Units
  • Mit anderen Fahrzeugen
  • Zwischen Fahrzeugen und Servern

Fast alle Daten gelten juristisch als direkt oder indirekt personenbezogen. Durch die Einigung zwischen dem Verband der Automobilindustrie e. V. (VDA) und den Datenschutz-Aufsichtsbehörden zählen zu den indirekt personenbezogenen Daten alle Werte, die mit der Fahrzeug-identifikationsnummer oder dem Kfz-Kennzeichen verknüpft sind. Somit werden technische Werte, wie beispielsweise Durchschnittsgeschwindigkeit, Bremsverhalten, Verbrauch, Füllstände oder andere Sensorwerte, als indirekt personenbezogene Daten angesehen. Sie erlauben zahlreiche Rückschlüsse auf das Verhalten des Fahrers – erst recht, wenn sie miteinander oder gar mit weiteren Daten verknüpft werden.

DSGVO schreibt umfangreiche Maßnahmen für Datenschutz vor

Um alle direkt und indirekt personenbezogenen Daten künftig besser vor Ausspähen, Missbrauch und Manipulation zu schützen, schreibt die Europäische Datenschutz-Grundverordnung (EU-DSGVO) umfangreiche Datenschutz-Maßnahmen vor. Am 25. Mai 2018 wird die Verordnung rechtskräftig. Unternehmen, die bis dahin keine entsprechenden Maßnahmen umgesetzt haben, drohen drastische Strafen von bis zu vier Prozent des weltweiten Umsatzes oder 20 Mio. Euro. Dies gilt nicht nur für Unternehmen mit Hauptsitz in der EU. Es ist ausreichend, wenn über eine Niederlassung innerhalb der EU die europäischen Kunden bedient werden. Als Verordnung steht die EU-DSGVO über den Datenschutzregelungen der einzelnen Länder, sodass deren Datenschutzgesetze im Einklang mit der EU-DSGVO stehen müssen.

Schutz durch Technikgestaltung

Für Entwickler, Produktmanager, Einkäufer und Portfoliomanager sind vor allem zwei Artikel von entscheidender Bedeutung:

  • Artikel 25 – „Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen“
  • Artikel 32 – „Sicherheit der Datenverarbeitung“

Die Artikel legen fest, dass die verantwortlichen Personen durch technische und organisatorische Maßnahmen einen dem jeweiligen Risiko angemessenen Schutz gewährleisten müssen. Dazu gehört, dass Hard- und Software für Kraftfahrzeuge so entwickelt werden, dass sie technisch den Grundsätzen des Datenschutzes entsprechen (data protection by design) und datenschutzfreundlich voreingestellt sind (data protection by default). Das bedeutet, dass nur so viele Daten erhoben und verarbeitet werden dürfen, wie unbedingt nötig sind (Datenminimierung) – und dabei muss der Datenschutz stets gewahrt bleiben. Zudem dürfen die Daten nur dann an den Hersteller oder andere Unternehmen oder Personen übertragen werden, wenn der Nutzer aktiv die Erlaubnis erteilt.

Die technischen Konstruktionen müssen dem „Stand der Technik“ entsprechen. Was darunter konkret zu verstehen ist, wird in der EU-DSGVO nicht definiert. Einen passenden Vorschlag hat Rechtsanwalt Karsten Bartels auf dem diesjährigen Sicherheitskongress des Bundesamts für Sicherheit in der Informationstechnik (BSI) vorgestellt. Demnach entspräche der „Stand der Technik“ den auf dem Markt verfügbaren Bestleistungen, mit denen die gesetzlichen Schutzziele am wirkungsvollsten gewährleistet werden können.

Die verfügbare Bestleistung ist im Fall der geknackten Autotür nicht zum Einsatz gekommen, da der Automobilhersteller Module mit der einfachen DES-Verschlüsselung und kurzem 56-Bit-Schlüssel einsetzte. Bereits damals wären beispielsweise Mobilfunkmodule mit integrierter Secure-Sockets-Layer (SSL)- beziehungsweise Transport-Layer-Security (TLS)-Verschlüsselung vom Hersteller Telit verfügbar gewesen.