Eine Studie der Northeastern University und von Consumer Reports hat ergeben, dass die Mehrheit der getesteten modernen Fahrzeuge und Apps der Hersteller mit externen Werbe- und Analyseunternehmen kommuniziert – teilweise durch die Übermittlung von Kennungen, die direkt mit dem Fahrzeughalter und dessen digitaler Aktivität verknüpft werden können.
Die Forscher analysierten den Datenverkehr von 21 modernen Fahrzeugen und 30 Apps von Automobilherstellern im Zeitraum von Oktober 2024 bis August 2025. 19 Fahrzeuge sendeten über die drahtlose Verbindung Daten an mindestens ein externes Unternehmen, während sieben Apps Kennungen wie die Fahrzeugidentifikationsnummer (VIN), E-Mail-Adressen und genaue Standorte an Werbe- und Analyseunternehmen weitergaben.
Die Fahrzeugidentifikationsnummer lässt sich nicht ändern
Vier der sieben Apps stammten von General Motors: myCadillac, myChevrolet, myBuick und myGMC. Der Studie zufolge sendeten diese Apps VINs an zehn Unternehmen, darunter Microsoft, Adobe, Snap, Yahoo, Meta, Google und den Datenbroker Acxiom. Die App HondaLink sendete ebenfalls VINs und Standortdaten an das Analyseunternehmen Amplitude. Zu den übrigen Fällen gehörten die Apps Lincoln und MyNISSAN.
Die Sensibilität dieser Daten liegt darin, dass der Nutzer die VIN im Gegensatz zur Werbekennung eines Telefons nicht zurücksetzen kann. Wird sie mit einer E-Mail-Adresse verknüpft, können Werbeunternehmen die Identität des Fahrzeughalters mit dessen Aktivitäten in anderen Apps und auf anderen Websites verbinden. Dadurch werden das Fahrzeug und seine App Teil eines umfassenderen digitalen Profils.
Apps sind die größte Quelle der Gefährdung
Zusammenfassungen von Consumer Reports zeigten, dass sich zehn der 21 Fahrzeuge nicht direkt mit Werbe- oder Tracking-Domains verbanden, ihre Apps die Daten der Besitzer jedoch zahlreichen Unternehmen zugänglich machten. Die App des Buick Envista war mit 23 Werbe- und Trackingunternehmen verbunden, die App des Nissan Ariya mit 25 Unternehmen. Der Tesla Model 3 verband sich dagegen selbst mit 22 Stellen, während seine App zwei weitere hinzufügte.
Den Ergebnissen zufolge kommunizierten 28 der 30 Apps mit mindestens einem Werbe- oder Analyseunternehmen. Das Team konnte den Datenverkehr innerhalb der Fahrzeuge nicht entschlüsseln. Außerdem wurde der Mobilfunkdatenverkehr nur im Fall des Model 3 erfasst. Daher gehen die Forscher davon aus, dass die tatsächlichen Zahlen höher liegen.
Warum ist diese Nachricht wichtig?
Die Ergebnisse zeigen, dass die Quelle des Risikos oder des Verlusts der Privatsphäre nicht unbedingt das Fahrzeugsystem selbst ist. Bei den meisten getesteten Fahrzeugen erfolgte der größte Teil der Aussetzung gegenüber Werbe- und Trackingtechnologien über die Smartphone-App. Das bedeutet, dass die Überprüfung der App-Einstellungen und der damit verbundenen Nutzungsbedingungen ebenso wichtig ist wie die Überprüfung der Fahrzeugeinstellungen.
Die Studie ergab außerdem, dass die Datenschutzrichtlinien der sieben Apps, die Kennungen weitergaben, die mögliche Weitergabe der Daten an Dritte offenlegten, jedoch nicht immer die Empfänger oder den Zweck der Weitergabe nannten. Tesla weist Nutzer, die eine Vereinbarung zur Datenweitergabe ablehnen, auf mögliche Funktionseinschränkungen, erhebliche Schäden oder Kompatibilitätsprobleme hin. Rivian erklärt dagegen, dass die Deaktivierung der Datenerfassung Funktionen wie Navigation und Over-the-Air-Updates einschränken kann.
Antworten der Unternehmen und regulatorische Einschränkungen
Die Forscher kontaktierten 17 Automobilhersteller. 14 von ihnen erklärten, dass die Datenströme mit den Verträgen ihrer Dienstleister übereinstimmten. Sieben Unternehmen erklärten, es liege in der Verantwortung des Fahrzeughalters, die Bedingungen jedes externen Dienstes zu lesen. Fünf Unternehmen führten das Tracking auf innerhalb ihrer Apps geöffnete Webseiten zurück.
Die Ergebnisse stehen im Zusammenhang mit einer Anordnung der US-amerikanischen Federal Trade Commission gegen GM. Diese untersagte dem Unternehmen fünf Jahre lang den Verkauf von Fahrerdaten an Verbraucherauskunfteien und verlangte eine ausdrückliche Zustimmung, bevor Daten vernetzter Fahrzeuge erfasst oder weitergegeben werden. Der Test der Studie fand jedoch vor dem Erlass der Anordnung statt, und die Forscher warfen GM keinen Verstoß dagegen vor. GM erklärte, die Daten würden nur Dienstleistern offengelegt, deren Verträge den Verkauf oder die Nutzung der Daten für eigene Zwecke untersagten.
Dem Bericht zufolge forderte Honda Amplitude auf, Standortdaten zu löschen, und aktualisierte HondaLink, um deren Übermittlung einzustellen. Der Forscher David Choffnes, Professor an der Northeastern University und Mitautor der Studie, forderte die Regulierungsbehörden zum Eingreifen auf. Eine wichtige Frage bleibt offen: Wie klar die Einwilligungen sind, die Nutzer tatsächlich erteilen, und ob grundlegende Funktionen für diejenigen verfügbar bleiben, die die Weitergabe ihrer Daten ablehnen.