Warum Fahrzeugsoftware heute strenger reguliert wird als früher

Moderne Fahrzeuge sind längst keine rein mechanischen Maschinen mehr. Software steuert Bremssysteme, Spurhalteassistenten und Kommunikationsmodule – und lässt sich per Over-the-Air-Update (OTA) jederzeit verändern, ohne dass das Fahrzeug eine Werkstatt aufsuchen muss. Genau diese Eigenschaft hat Regulierungsbehörden und Gesetzgeber weltweit dazu gezwungen, ihre Anforderungen grundlegend zu überdenken.

Früher war ein Fahrzeug nach der Typgenehmigung technisch weitgehend festgeschrieben. Heute kann ein Hersteller innerhalb weniger Stunden sicherheitsrelevante Funktionen aller im Betrieb befindlichen Fahrzeuge verändern. Dieses neue Paradigma verschiebt die Verantwortung – und damit auch den regulatorischen Rahmen – erheblich.

Vernetzung macht Software zum Sicherheitsfaktor

Das vernetzte Fahrzeug ist ein cyber-physisches System: Es kommuniziert dauerhaft mit Backend-Diensten, mobilen Netzwerken und anderen digitalen Infrastrukturen. Damit wird Software nicht mehr nur als Hilfsmittel, sondern als primärer Sicherheitsträger betrachtet. Fällt eine Softwarekomponente aus oder wird sie kompromittiert, können direkte Folgen für die Verkehrssicherheit entstehen.

Besonders kritisch ist die Tatsache, dass OTA-Updates sicherheitsrelevante Systeme wie Notbremssysteme oder Fahrerassistenzfunktionen verändern können, ohne dass ein Techniker den Eingriff überprüft. Klassische Sicherheitsnormen wie ISO 26262 gehen von deterministischen Systemen aus, deren Funktionalität nach der Entwicklung unverändert bleibt. OTA-fähige Fahrzeuge brechen dieses Grundprinzip und erzwingen damit neue Zertifizierungs- und Überwachungsmethoden.

Wie Typgenehmigung und OTA-Updates kollidieren

Die Typgenehmigung war bislang ein einmaliger Prüfvorgang – Hardware und Software wurden gemeinsam bewertet, das Ergebnis war bindend. OTA-Updates stellen dieses Modell fundamental in Frage, weil nachträgliche Softwareänderungen den genehmigten Zustand eines Fahrzeugs faktisch verändern können. Behörden müssen nun entscheiden, welche Updates genehmigungspflichtig sind und welche nicht.

Ähnliche Kategorisierungsfragen stellen sich in vielen digitalen Sektoren. Finanzaufsichtsbehörden trennen regulierte von unregulierten Anlageformen. Telekommunikationsregulierung unterscheidet lizenzierte von unlizenziert betriebenen Frequenzbändern. Im iGaming-Bereich helfen Übersichten wie top Casinos ohne Lizenz — mit klarer Unterscheidung nach Lizenzstatus und verfügbaren Spieloptionen — Verbrauchern und Fachleuten, unterschiedliche Regulierungsniveaus schnell einzuordnen. 

Laut der KBA-Übersicht zu Cyber-Security und Software-Update-Anforderungen müssen Hersteller künftig nicht nur den Auslieferungszustand, sondern den gesamten Software-Lebenszyklus ihrer Fahrzeuge regulatorisch absichern und dokumentieren — einschließlich jährlicher Berichte zur Wirksamkeit der geforderten Managementsysteme. 

Regulierungslücken und internationale Unterschiede

Trotz harmonisierter UN-Regelungen bestehen erhebliche internationale Unterschiede in der Umsetzung. In Europa gilt die EU-Typgenehmigungsverordnung (EU 2018/858) als verbindlicher Rahmen, der kontinuierlich an softwarebasierte Fahrzeugarchitekturen angepasst wird. Andere Märkte, etwa die USA oder Teile Asiens, setzen auf eigene Normen, was global agierende Hersteller vor komplexe Compliance-Herausforderungen stellt.

Besonders deutlich wird dieser Druck beim Blick auf neue Pflichtfunktionen: Ab dem 1. Januar 2026 ist der Einbau des „Next Generation eCall” für alle neu entwickelten Fahrzeugtypen der Klassen M1 und N1 verpflichtend, und ab 2027 dürfen Neuwagen ohne dieses softwarebasierte Notrufsystem nicht mehr zugelassen werden, wie auto motor und sport berichtet. Parallel greift die EU-General-Safety-Regulation, die Notbremssysteme mit Fußgängererkennung, Ablenkungswarnsysteme und Ereignisdatenrekorder für neue Pkw vorschreibt – allesamt Funktionen mit hohem Softwareanteil.

Was Werkstätten bei Software-Updates beachten müssen

Für Werkstätten bedeutet die Entwicklung hin zum Software-Defined Vehicle einen tiefgreifenden Wandel im Berufsalltag. Klassische mechanische Reparaturkompetenz reicht nicht mehr aus; Werkstätten benötigen heute Zugang zu Fahrzeugdaten, Diagnoseschnittstellen und Software-Update-Systemen, um überhaupt handlungsfähig zu bleiben. Wer diesen Zugang nicht hat, kann bestimmte Diagnosen und Reparaturen schlicht nicht mehr durchführen.

Regulatorisch entsteht dabei ein Spannungsfeld: Unabhängige Werkstätten sollen fairen Zugang zu Diagnosedaten erhalten, gleichzeitig dürfen Sicherheits- und Datenschutzanforderungen nicht unterlaufen werden. Das BSI-Dokument zu Cybersecurity im Straßenverkehr macht deutlich, dass jeder softwarerelevante Eingriff am Fahrzeug künftig lückenlos dokumentiert und für Behörden nachvollziehbar sein muss. Werkstätten, die Software-Updates durchführen, tragen damit nicht nur technische, sondern auch haftungsrechtliche Verantwortung – eine Realität, auf die sich die Branche jetzt vorbereiten muss.