Spione auf Rädern: Wie gefährlich sind vernetzte Autos aus China wirklich? Und betrifft es nur chinesische Modelle?

Ein Bus, der sich per Fernzugriff stilllegen lässt. Ein SUV, das angeblich neun von zehn Datenpaketen nach China schickt. Und ein Datenleck, das die Wohnadressen mutmaßlicher Geheimdienstmitarbeiter offenlegte. Die Frage, ob vernetzte Fahrzeuge aus chinesischer Fertigung zu Spionagewerkzeugen werden können, beschäftigt inzwischen nicht nur deutsche Sicherheitsbehörden, sondern auch Regierungen in ganz Europa und den USA.

Im Herbst 2025 machte das norwegische Nahverkehrsunternehmen Ruter eine beunruhigende Entdeckung: Bei getesteten Elektrobussen des chinesischen Herstellers Yutong fand sich ein direkter digitaler Fernzugriff, über den der Hersteller theoretisch auch die Batterie- und Stromsteuerung beeinflussen kann. Nach eigenen Angaben könnte ein Bus auf diesem Weg sogar außer Betrieb gesetzt werden, teilte Ruter mit. Yutong bestritt jeden Einfluss auf sicherheitsrelevante Systeme wie Lenkung oder Bremse, dennoch kündigte der Betreiber Gegenmaßnahmen an. Auch Dänemark und Großbritannien reagierten in der Folge.

Der Fall zeigt exemplarisch ein Grundproblem: Moderne Fahrzeuge sind, wie es der „Spiegel“ formuliert, „rollende Datenkraken“ – Fortbewegungsmittel, Smartphone und Computer zugleich. Dass sich vernetzte Fahrzeuge grundsätzlich fernsteuern lassen, ist dabei keine rein chinesische Spezialität: Bereits 2015 bremsten Hacker versuchsweise einen Jeep aus der Ferne und griffen in dessen Lenkung ein. Seither ist die Zahl der verbauten Sensoren und Chips jedoch massiv gestiegen.

Der Nio-Fall: Eine unabhängige Untersuchung mit Folgen

Die konkreteste Datengrundlage zur China-Frage liefert eine mehrjährige, unabhängige Untersuchung des norwegischen Sicherheitsexperten Tor Indstøy, seines Zeichens Risikomanager beim Telekomkonzern Telenor. Ab 2023 analysierte er zusammen mit einem inzwischen auf rund ein Dutzend Personen angewachsenen Forscherteam im Projekt „Lion Cage“ systematisch einen eigens dafür gekauften Nio ES8 – unter anderem per Funkspektrumanalyse, Bluetooth-Sniffing und GPS-Auswertung.

Das Ergebnis: Rund 90 Prozent der beobachteten Kommunikationsdaten des Fahrzeugs landeten auf Servern in China, ein kleinerer Teil ging an Server in Deutschland, den USA, den Niederlanden und der Schweiz. Nio bestreitet die Darstellung und verweist darauf, Daten würden in der Regel in europäischen Clouds gespeichert. Unabhängig von dieser Auseinandersetzung hat der Fall reale Konsequenzen: Das Bayerische Landesamt für Datenschutzaufsicht hat inzwischen ein Prüfverfahren gegen Nio eröffnet, dessen Ausgang noch offen ist.

Wenn Daten ungeschützt im Netz landen: Der VW-Cariad-Vorfall

Dass Datenschutzprobleme bei vernetzten Autos kein exklusiv chinesisches Phänomen sind, zeigt ein Fall aus dem eigenen Land. Ende 2024 deckte der Chaos Computer Club (CCC) auf, dass bei VWs Softwaretochter Cariad Bewegungsdaten von rund 800.000 Elektrofahrzeugen der Marken VW, Audi, Seat und Skoda über Monate hinweg in einem unzureichend gesicherten Amazon-Cloudspeicher frei zugänglich waren. Bei rund 460.000 Fahrzeugen ließen sich laut CCC-Sprecher Michael Kreil, der die Recherche auf dem Chaos Communication Congress vorstellte, präzise Standortdaten einsehen – darunter offenbar auch Fahrzeuge von Politikern und mutmaßlichen Geheimdienstmitarbeitern.

Volkswagen bestätigte den Vorfall, betonte aber, es habe sich um pseudonymisierte Daten gehandelt und der Zugriff habe erheblichen technischen Aufwand erfordert. Der Fall unterstreicht dennoch ein zentrales Argument der Sicherheitsdebatte: Die schiere Menge an Bewegungs- und Standortdaten, die moderne Fahrzeuge erzeugen, macht sie unabhängig vom Hersteller zu einem attraktiven Ziel.

Was deutsche Behörden sagen

Die Bundesregierung reagiert nach eigenen Angaben mit Vorsicht statt Alarmismus. Auf Anfrage erklärte das Bundesinnenministerium, man gehe „derzeit von abstrakten Missbrauchsgefahren“ aus; konkrete Spionagefälle seien bislang nicht bekannt. Gleichzeitig räumt das Ministerium ein, eine staatliche Einflussnahme auf Hersteller lasse sich „mit technischen Mitteln nicht ausschließen“ – weshalb aktuell an einer nationalen Risikoanalyse zu vernetzten Fahrzeugen gearbeitet wird.

Deutlicher wird der Thüringer Verfassungsschutz-Präsident Stephan Kramer im Handelsblatt: Die Spionagegefahr durch chinesische Elektroautos sei real, gemeint sei damit allerdings weniger klassische Spionage als systematische Datenabschöpfung. Für sicherheitsrelevante Bereiche wie Bundeswehr, Polizei oder Regierungsumfeld stuft er das Risiko als hoch ein. Das Bundesamt für Verfassungsschutz ergänzte auf Anfrage, es sei grundsätzlich möglich, dass sich Angreifer unerlaubten Zugang zur Internetschnittstelle eines Fahrzeugs verschaffen und darüber Informationen erbeuten.

Auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) sieht Handlungsbedarf. Referent Thorbjörn Schulz mahnt, die Bevölkerung dafür zu sensibilisieren, dass Fahrzeugdaten abfließen können – sei es zu Werbezwecken oder zum Training von KI-Systemen. Die größte Gefahr sieht er jedoch in gezielten Spionageversuchen.

Der internationale Vergleich: Von Polen bis Großbritannien

Deutschland ist mit seiner Vorsicht kein Einzelfall, agiert aber vorsichtiger als einige Nachbarn:

• Polen hat Fahrzeugen aus chinesischer Produktion die Zufahrt zu Militärgelände untersagt und die Verbindung mit Diensthandys verboten.
• Die Schweiz beschränkt vernetzte Fahrzeuge in der Nähe von Standorten des Verteidigungsdepartements.
• Großbritannien ist ein komplexerer Fall, als oft dargestellt: Die britische Zeitung The i Paper deckte 2025 auf, dass Personal an der Geheimdienstbasis RAF Wyton angewiesen wurde, E-Autos mit chinesischen Bauteilen mindestens zwei Meilen von zentralen Gebäuden entfernt zu parken; ähnliche Regelungen gelten am Truppenübungsplatz Salisbury Plain. Betroffen sind dabei nicht nur chinesische Marken wie BYD und MG, sondern jedes E-Auto mit chinesischen Komponenten – auch Volvo, Jaguar Land Rover, BMW oder VW. Wichtig für die Einordnung: Das Verteidigungsministerium selbst hat nie eine landesweite, offizielle Weisung bestätigt. Staatssekretär Lord Coaker erklärte im Parlament ausdrücklich, es gebe keine übergreifende Regel, die chinesische E-Autos vom Militärgelände verbanne – man bewerte Risiken bei allen Fahrzeugtypen, nicht nur chinesischen. Berichten zufolge hat inzwischen sogar der britische Special Boat Service chinesischen E-Autos den Zugang zu seinem Stützpunkt in Poole verweigert.
• In den USA hatte bereits die Regierung unter Präsident Biden Beschränkungen für vernetzte Fahrzeuge chinesischer Hersteller erlassen.

Kritiker wie der Fachblog dronexl.co weisen darauf hin, dass diese Maßnahmen zeitlich auffällig mit dem Marktdurchbruch chinesischer Hersteller wie BYD zusammenfallen und bislang keine öffentlichen Beweise für konkrete Spionagefälle vorliegen – ein Einwand, der sich mit der zurückhaltenden Formulierung der deutschen Bundesregierung („abstrakte Missbrauchsgefahren“) deckt.

Die Perspektive aus Warschau: „Wie eine Drohne auf Rädern“

Eine der profiliertesten Stimmen in der Debatte ist Paulina Uznańska vom Warschauer Centre for Eastern Studies. Sie hat 2025 chinesische Regierungsdokumente ausgewertet und kommt zu einem bemerkenswerten Schluss: Peking selbst geht mit vernetzten Fahrzeugen im eigenen Land deutlich restriktiver um als die meisten europäischen Staaten – Fahrzeugdaten müssen dort grundsätzlich im Inland gespeichert werden, ausländische Hersteller wie Tesla unterlagen zeitweise informellen Fahrverboten in der Nähe von Regierungsgebäuden. Für Uznańska ist ein vernetztes Auto sicherheitspolitisch mit einer Drohne vergleichbar – und müsste entsprechend ernst genommen werden. Sie hält es zudem angesichts der engen militärischen Kooperation zwischen China und Russland für möglich, dass auf europäischen Straßen gesammelte Daten auch in Russland landen.

Was als Nächstes passiert

Auf EU-Ebene gibt es bislang keine gesonderte Regelung für vernetzte Fahrzeuge; chinesische Hersteller unterliegen wie alle Anbieter der Datenschutz-Grundverordnung. Ob Daten trotz gegenteiliger Zusagen der Hersteller – Geely, Nio und BYD betonen die Einhaltung europäischer Vorgaben – in Drittstaaten weitergeleitet werden, wird nach Angaben deutscher Sicherheitskreise bislang kaum wirksam kontrolliert. Die EU-Kommission plant, den Cybersecurity Act zu überarbeiten, da die geltenden Typgenehmigungsvorschriften für Fahrzeuge nicht alle Risiken erfassten. In Deutschland wiederum sieht ein Gesetzentwurf zur Reform der Nachrichtendienste vor, Autohersteller und Werkstätten zur Herausgabe von Telemetriedaten an Bundesnachrichtendienst und Verfassungsschutz zu verpflichten.

Bis dahin bleibt die Gemengelage unübersichtlich: bestätigte Einzelfälle wie der Yutong-Bus und der Nio-Datenfluss, ein branchenweites Grundrisiko wie der VW-Datenleck zeigt, offizielle Zurückhaltung bei konkreten Vorwürfen – und eine wachsende Zahl an Ländern, die trotz fehlender öffentlicher Beweise lieber vorsorglich handeln. KI/Titelfoto: Continental