Studie zeigt, wie viele Daten moderne Autos an Dritte übermitteln
Eine Studie der Northeastern University und von Consumer Reports ergab, dass 19 der 21 untersuchten vernetzten Autos mindestens einen Server eines Drittanbieters kontaktierten. Die zugehörigen Smartphone-Apps fielen noch problematischer auf: 28 der 30 untersuchten Apps kommunizierten mit Werbe-, Analyse- oder Trackingdiensten. Einige übermittelten zudem die Fahrzeug-Identifizierungsnummer (FIN), den Namen des Nutzers oder dessen genauen Standort.
Eine wichtige Einschränkung: Die Studie konnte nicht nachweisen, dass jedes Datenpaket, das ein Auto an einen Dritten sendete, personenbezogene Daten enthielt. Der Netzwerkverkehr der Autos war verschlüsselt. Die Forschenden konnten daher erkennen, mit welchen Servern ein Auto kommunizierte, aber nicht immer, welche Informationen die Datenpakete enthielten. Bei den Apps konnten sie die Inhalte wesentlich genauer bestimmen.
Tesla kontaktierte Dutzende Tracking- und Werbedomains
Die Forschenden untersuchten 21 Autos von 19 Marken in verschiedenen Situationen: im Stand, während der Fahrt und bei der Nutzung des Infotainmentsystems. Alle Autos kommunizierten mit den Servern ihres jeweiligen Herstellers, wie es für den Betrieb eines vernetzten Autos zu erwarten ist.
Darüber hinaus kontaktierten 19 der Autos mindestens einen Drittanbieter. Der Tesla Model 3 und der Cybertruck fielen bei den Tests besonders auf. Das Model 3 kontaktierte 34 Werbe-, Tracking- oder Analysedomains sowie weitere 37 Domains, die von Apps im Auto genutzt wurden. Bei einigen Autos, etwa dem Buick Envista und dem Mercedes-Benz EQS, zeigte sich dieses Muster in den Tests nicht: Sie kommunizierten überwiegend mit Diensten ihres Herstellers.
Der hohe Anteil an Google-Domains überrascht nicht, da mehrere Hersteller Android Automotive verwenden. Die Forschenden stellten jedoch auch Verbindungen zu Diensten wie DoubleClick und Google Syndication fest, deren Hauptzweck Werbung und das Tracking von Nutzern ist – nicht der Betrieb des Autos.
Die Smartphone-App gibt möglicherweise mehr Daten weiter als das Auto selbst
Noch deutlichere Datenschutzrisiken zeigten sich bei den Smartphone-Apps der Hersteller.
Von den 30 Apps kommunizierten 28 mit mindestens einem Werbe-, Analyse- oder Trackingunternehmen. Einige Apps fügten dem Datenfluss des Nutzers mehr als 20 neue Dritte hinzu. Die meisten solcher Kontakte stellten die Forschenden bei Apps von General Motors, Toyota und Nissan fest.
Nach Angaben der Northeastern University erhielten Dritte in einigen Fällen den Namen und die E-Mail-Adresse des Nutzers, die Fahrzeug-Identifizierungsnummer (FIN) und den genauen Standort. Dadurch lassen sich ein bestimmtes Auto und sein Halter mit weiteren Profilen verknüpfen, die im Internet und in Apps erstellt werden.
Nach einem Austausch mit den Forschenden änderte Honda sein System und stellte die Übermittlung genauer Standortdaten an mindestens ein Trackingunternehmen ein.
Einwilligung wird erteilt, doch Kontrolle fehlt oft
Die Autohersteller erklärten gegenüber den Forschenden, dass Verträge und Datenschutzrichtlinien die Nutzung der Daten regeln. Das Problem: Käufer erteilen ihre Einwilligung oft schon dadurch, dass sie die Nutzungsbedingungen einer App oder eines vernetzten Dienstes akzeptieren.
Sieben Hersteller erklärten, es liege in der Verantwortung der Kunden, die Bedingungen zu lesen. Wer die Weitergabe von Daten ablehnt, kann jedoch Funktionen verlieren, für die beim Autokauf faktisch bereits bezahlt wurde – etwa den Fernstart, die Standortanzeige oder andere vernetzte Dienste.
Damit ist die Wahl nur bedingt frei: Nutzer können die Datenweitergabe einschränken, müssen dafür aber auf einen Teil der Fahrzeugfunktionen verzichten.
Die DSGVO schützt Fahrer in Europa, doch das Problem bleibt
Die Studie untersuchte Autos und Apps auf dem US-Markt. Ihre Ergebnisse lassen sich daher nicht unmittelbar auf den europäischen Markt übertragen. In der Europäischen Union stellt die Datenschutz-Grundverordnung (DSGVO) erheblich strengere Anforderungen an die Erhebung und Verarbeitung personenbezogener Daten. Nutzer haben zudem weitergehende Rechte, auf ihre Daten zuzugreifen, deren Löschung zu verlangen oder ihre Verarbeitung einzuschränken.
Das technische Problem bleibt dennoch dasselbe. Moderne Autos verfügen über eine mobile Datenverbindung, GPS, Mikrofone, Kameras und eine Anbindung an Smartphones und Cloud-Dienste. Das Auto ist faktisch zu einem vernetzten Computer auf Rädern geworden.
Die wichtigste Schlussfolgerung der Studie lautet daher nicht, dass „alle Autos spionieren“. Die genauere Erkenntnis ist unbequemer: Ein großer Teil des Datenverkehrs eines vernetzten Autos entzieht sich schlicht der Einsicht und Kontrolle seines Besitzers.
