Wenn der Hersteller den Stecker zieht: Kann dein Auto per Fernzugriff stillgelegt werden?

Moderne Fahrzeuge hängen an Hersteller-Clouds, digitalen Schlüsseln und signierten Softwareupdates. Was technisch wirklich möglich ist – und was mit deinem Auto passiert, wenn der Hersteller pleitegeht.

Früher war ein Auto nach der Pleite seines Herstellers vor allem ein Ersatzteilproblem. Die Marke verschwand, die Werkstatt wurde seltener und manche Karosserieteile kosteten plötzlich ein Vermögen. Aber der Wagen startete. Er kannte kein Benutzerkonto, brauchte keine Hersteller-App und musste sich morgens auch nicht bei einem Server anmelden.

Heute kaufst du mit einem modernen Auto nicht mehr nur Motor, Akku, Steuergeräte und Blech. Du kaufst ein digitales Ökosystem mit Rädern: Mobilfunkverbindung, Cloud-Konto, App, Online-Diagnose, Softwarezertifikate, Kartenmaterial, Aktivierungscodes und Updates.

Damit entsteht eine unbequeme Frage: Wie viel Auto gehört dir eigentlich noch, wenn wichtige Funktionen außerhalb des Fahrzeugs kontrolliert werden?

Und die noch unbequemere: Was bleibt davon übrig, wenn der Hersteller zahlungsunfähig wird und seine Server abgeschaltet werden?

Das Wichtigste in 30 Sekunden

Ein moderner Hersteller kann je nach Fahrzeugarchitektur aus der Ferne auf bestimmte Funktionen zugreifen. Dass Systeme ein gestohlenes Auto am erneuten Start hindern oder kontrolliert verlangsamen können, ist keine Verschwörungstheorie, sondern dokumentierte Technik.

Eine Herstellerpleite legt ein Fahrzeug normalerweise nicht sofort vollständig lahm. Motorsteuerung, Bremsen, Airbags und Batteriemanagement arbeiten grundsätzlich im Fahrzeug.

Gefährdet sind zunächst App-Funktionen, Online-Navigation, Ferndiagnose und Updates. Langfristig können fehlende Diagnosezugänge, ablaufende Zertifikate, nicht mehr codierbare Ersatzteile und ungepatchte Sicherheitslücken zum größeren Problem werden.

Die heutigen europäischen Regeln verlangen zwar Cybersecurity- und Updateprozesse. Einen verpflichtenden digitalen Notfallplan für die Insolvenz eines Herstellers gibt es jedoch nicht.

Fernzugriff ist keine Zukunftsmusik

Mit „Stilllegung“ ist hier nicht die behördliche Außerbetriebsetzung eines Fahrzeugs gemeint. Es geht darum, einen Wagen technisch am Starten oder Weiterfahren zu hindern.

Dass so etwas grundsätzlich möglich ist, zeigen etablierte Systeme wie General Motors’ OnStar. Bei einem als gestohlen gemeldeten Fahrzeug kann ein sogenannter „Remote Ignition Block“ verhindern, dass der Motor nach dem Abstellen erneut gestartet wird. Unter geeigneten Bedingungen kann ein gestohlenes Fahrzeug außerdem aus der Ferne verlangsamt werden, sobald die Polizei den Vorgang bestätigt hat.

Der Ablauf sieht vereinfacht so aus:

Hersteller-Server → Mobilfunknetz → Telematik-Steuergerät → zentrale Fahrzeug-Schnittstelle → freigegebenes Steuergerät

Die App des Besitzers spricht dabei normalerweise nicht unmittelbar mit dem Auto. Sie schickt einen Befehl an die Cloud des Herstellers. Dort werden Benutzerkonto, Berechtigung und Fahrzeugidentität geprüft. Erst danach wird ein signierter Befehl an das Fahrzeug übertragen.

Das Gleiche gilt typischerweise für das Verriegeln der Türen, die Vorklimatisierung, Standortabfragen, das Ladezustandsmanagement oder das Verteilen von Softwareupdates. Kryptografische Schlüssel und digitale Zertifikate regeln, wer auf das Fahrzeug und die zugehörigen Server zugreifen darf. Die US-Verkehrssicherheitsbehörde NHTSA nennt Passwörter, Verschlüsselungsschlüssel und sogenannte PKI-Zertifikate ausdrücklich als zentrale Zugangskontrollen für Fahrzeugcomputer und Hersteller-Backends.

Der rote Ausschaltknopf aus dem Actionfilm ist trotzdem die falsche Vorstellung

Aus der vorhandenen Fernsteuerung folgt nicht automatisch, dass irgendein Mitarbeiter im Herstellerbüro ein Auto bei Tempo 200 mit einem Mausklick abschalten kann.

Sicherheitskritische Bereiche sollen von drahtlos erreichbaren Systemen getrennt sein. Die NHTSA empfiehlt ausdrücklich, vernetzte Steuergeräte von den Systemen für Bremsen, Lenkung, Antrieb und Energiemanagement zu isolieren. Drahtlose Schnittstellen sollen grundsätzlich als nicht vertrauenswürdig behandelt werden.

Auch das dokumentierte OnStar-Verfahren zeigt diese Vorsicht: Der Neustart wird erst verhindert, nachdem das Fahrzeug angehalten und ausgeschaltet wurde. Eine Verlangsamung während der Fahrt erfolgt kontrolliert und nur in Zusammenarbeit mit den Behörden.

Das ist technisch und juristisch ein großer Unterschied zu einer abrupten Motorabschaltung. Ein plötzlich abgeschalteter Antrieb könnte im fließenden Verkehr selbst einen schweren Unfall verursachen.

Dennoch bleibt ein entscheidender Punkt: Die technische Befehlskette existiert. Die Diskussion dreht sich daher nicht darum, ob Fernzugriff möglich ist, sondern wer ihn auslösen darf, welche Sicherheitsstufen gelten und ob das Fahrzeug einen Befehl auch ohne Zustimmung seines Eigentümers akzeptieren kann.

Die Fähigkeit des Herstellers ist dabei nicht mit einem allgemeinen Recht zur Stilllegung gleichzusetzen. Ein gekauftes Auto darf nicht beliebig deaktiviert werden, nur weil der Hersteller technisch dazu in der Lage wäre. Anders kann die Vertragslage beispielsweise bei geleasten Fahrzeugen, Mietwagen, Flottenfahrzeugen oder bestimmten Sicherheitsdiensten aussehen.

Was bei einer Herstellerpleite wirklich passiert

Geht ein Autohersteller pleite, werden seine Fahrzeuge normalerweise nicht schlagartig zu tonnenschweren Briefbeschwerern. Die wesentlichen Fahrfunktionen laufen lokal im Fahrzeug.

Der Elektromotor braucht für jede Pedalbewegung keine Freigabe aus der Cloud. Auch Batteriemanagement, Airbags, ABS und Stabilitätskontrolle müssen in Echtzeit funktionieren und können nicht auf eine gelegentlich langsame Mobilfunkverbindung angewiesen sein.

Das Auto besteht jedoch aus mehreren digitalen Ebenen, die sehr unterschiedlich auf das Verschwinden des Herstellers reagieren.

Diese Abstufung ist wichtig. Die größte Gefahr besteht häufig nicht am ersten Tag der Insolvenz, sondern Monate oder Jahre später.

Phase eins: Die App stirbt zuerst

Der unmittelbarste Ausfall betrifft meist die sichtbaren Komfortdienste. Die App findet das Fahrzeug nicht mehr. Die Klimaanlage lässt sich nicht aus der Ferne starten. Ladezustand, Standort und Fahrtenbuch bleiben leer. Sprachassistent, Online-Verkehrsdaten oder Musikdienste melden einen Serverfehler.

Das ist ärgerlich, macht das Auto aber noch nicht zwangsläufig unfahrbar.

Bei einer Insolvenz werden Server zudem nicht automatisch in derselben Nacht abgeschaltet. Insolvenzverwalter haben ein Interesse daran, den Wert der vorhandenen Fahrzeugflotte, der Software und der Markenrechte zu erhalten. Cloudsysteme können vorübergehend weiterbetrieben oder an einen Käufer übertragen werden.

Ob das gelingt, hängt allerdings davon ab, ob noch Mitarbeiter, Dokumentationen, Zugangsschlüssel und Geld vorhanden sind.

Phase zwei: Updates und Diagnose werden zum Problem

Deutlich ernster wird es, wenn keine Softwareupdates mehr verteilt werden können.

Ein modernes Fahrzeug besteht aus zahlreichen Steuergeräten, deren Softwarestände aufeinander abgestimmt sind. Ein Updatepaket muss zum jeweiligen Fahrzeug, zur Ausstattung und zu den vorhandenen Steuergeräteversionen passen. Anschließend muss das Fahrzeug überprüfen, ob das Paket von einer vertrauenswürdigen Stelle signiert wurde.

Genau dafür benötigen Hersteller eine kontrollierte Infrastruktur mit Softwarearchiven, Fahrzeugkonfigurationen, Zertifikaten und kryptografischen Signaturschlüsseln. ISO 24089 beschreibt Softwareupdates deshalb nicht nur als Vorgang im Fahrzeug, sondern als Prozess, der Hersteller, Zulieferer, Infrastruktur und die sichere Verteilung von Updatepaketen umfasst.

Verschwindet die verantwortliche Organisation, kann ein technisch brillanter Programmierer nicht einfach eine korrigierte Datei ins Internet stellen. Das Fahrzeug würde sie im Idealfall ablehnen, weil sie nicht mit dem richtigen Herstellerschlüssel signiert wurde.

Was den Wagen vor manipulierten Updates schützt, kann ihn nach einer Insolvenz also gleichzeitig in seiner letzten Softwareversion einsperren.

Phase drei: Ein gewöhnliches Ersatzteil kann das Auto lahmlegen

Noch kritischer wird es beim Austausch elektronischer Bauteile.

Bei älteren Fahrzeugen konnte eine freie Werkstatt ein defektes Steuergerät ausbauen und durch ein kompatibles Ersatzteil ersetzen. In modernen Autos müssen neue Module häufig codiert, an die Fahrgestellnummer gebunden, mit anderen Steuergeräten synchronisiert oder über einen Herstellerzugang freigeschaltet werden.

Fehlen Diagnoseprogramme, Serverzugang und kryptografische Berechtigungen, kann ein mechanisch einwandfreies Ersatzteil nutzlos bleiben.

Die NHTSA warnt ausdrücklich davor, Cybersecurity als Vorwand zu verwenden, um unabhängige Werkstätten übermäßig vom Fahrzeug auszusperren. Fahrzeuge müssten über viele Jahre wartbar bleiben, auch durch vom Eigentümer beauftragte Drittanbieter.

Das ist keine Nebensächlichkeit. Ein Auto kann physisch vollkommen intakt sein und trotzdem stehen bleiben, weil ein neues Bauteil digital nicht akzeptiert wird.

Der Fisker Ocean zeigt, wie ernst die Sache ist

Der Zusammenbruch von Fisker wurde zum bislang deutlichsten Praxistest für das Auto als digitales Ökosystem.

Nach dem Insolvenzantrag im Juni 2024 ging es nicht nur um Ersatzteile und Werkstätten. Beim Verkauf tausender Fisker Ocean stellte sich heraus, dass wesentliche Daten und Unterstützungsdienste nicht ohne Weiteres auf neue Server übertragen werden konnten.

Ohne diese Übertragung wären Softwareupdates, der Zugriff auf Diagnosedaten und die Fernbedienung der Fahrzeuge gefährdet gewesen. Erst eine zusätzliche Vereinbarung über mehrere Jahre technischen Support machte den Verkauf der Fahrzeugflotte möglich. Auch private Ocean-Besitzer sollten von der Lösung profitieren.

Die Fahrzeuge selbst verschwanden nach der Insolvenz nicht von der Straße. Trotzdem mussten Besitzer praktisch Teile der Aufgaben eines Herstellers übernehmen. Eine Eigentümervereinigung organisierte Ersatzteile, Reparaturwissen, Softwarelösungen und neue App-Funktionen. Der Fall zeigt zugleich, wie viel technisches Wissen, Geld und ehrenamtliche Arbeit nötig sind, um eine kleine Flotte moderner Fahrzeuge ohne klassischen Hersteller am Leben zu erhalten.

Fisker ist damit sowohl Warnung als auch Hoffnungsschimmer.

Die Warnung: Ein Fahrzeug kann trotz funktionierendem Akku und Antrieb von proprietären Servern, Diagnoseprogrammen und Softwarerechten abhängig sein.

Der Hoffnungsschimmer: Eine engagierte Gemeinschaft, unabhängige Spezialisten und ein kooperativer Insolvenzverwalter können zumindest einen Teil der Infrastruktur retten.

Darauf verlassen sollte sich ein Käufer bei einem 50.000-Euro-Auto allerdings nicht müssen.

Was die europäischen Regeln leisten – und was nicht

In Europa müssen Hersteller inzwischen umfangreiche Vorgaben für Cybersecurity und Softwareupdates erfüllen.

UN-Regelung R155 verlangt ein Cybersecurity-Managementsystem. Dieses soll nicht nur Entwicklung und Produktion abdecken, sondern auch die sogenannte Nachproduktionsphase – vom Produktionsende eines Fahrzeugtyps bis zum Lebensende der noch eingesetzten Fahrzeuge. Hersteller müssen neue Schwachstellen beobachten, Angriffe erkennen und notwendige Gegenmaßnahmen innerhalb eines angemessenen Zeitraums einleiten.

UN-Regelung R156 ergänzt diese Vorgaben um ein Software-Update-Managementsystem. Updates sollen sicher, nachvollziehbar und passend zur jeweiligen Fahrzeugkonfiguration verteilt werden.

Das klingt beruhigend, hat aber einen Haken: Beide Regelwerke setzen voraus, dass es noch einen handlungsfähigen Hersteller oder Rechtsnachfolger gibt.

Sie regeln, wie ein Hersteller Cyberrisiken und Updates organisieren muss. Sie garantieren jedoch nicht, dass nach einer vollständigen Liquidation automatisch eine staatliche Stelle, ein Zulieferer oder eine unabhängige Stiftung die Server, Signaturschlüssel und Software übernimmt.

Die Vorschriften sind damit ein Sicherheitsrahmen, aber keine Insolvenzversicherung für das digitale Auto.

Gewährleistung hilft – solange noch jemand leisten kann

Das deutsche Kaufrecht behandelt Autos mit unverzichtbarer Software grundsätzlich als Waren mit digitalen Elementen.

Nach § 475b BGB müssen vereinbarte Aktualisierungen während des vertraglich maßgeblichen Zeitraums bereitgestellt werden. Auch notwendige Updates, die Funktionsfähigkeit und Sicherheit erhalten, gehören zur geschuldeten Beschaffenheit. Fehlen sie, kann die Ware mangelhaft sein.

Der Anspruch des Käufers richtet sich grundsätzlich gegen den Verkäufer. Wurde das Auto bei einem unabhängigen und weiterhin zahlungsfähigen Händler gekauft, verschwindet dieser Anspruch nicht allein deshalb, weil der Fahrzeughersteller insolvent ist.

In der Praxis entsteht trotzdem ein Problem: Ein Händler kann keine Sicherheitssoftware entwickeln, keinen verlorenen Herstellerschlüssel ersetzen und keine abgeschaltete Cloud neu erschaffen. Am Ende bleiben möglicherweise nur Minderung, Rückabwicklung oder Schadensersatz – sofern die rechtlichen Voraussetzungen erfüllt sind und der Anspruch noch durchsetzbar ist.

Das Auto wird dadurch nicht repariert.

Der EU Data Act löst das Kernproblem ebenfalls nicht

Der seit September 2025 anwendbare EU Data Act stärkt den Zugriff von Nutzern auf Daten, die durch vernetzte Produkte erzeugt werden. Das kann freien Werkstätten und Drittanbietern helfen, sofern die erforderlichen Fahrzeugdaten zugänglich gemacht werden.

Datenzugang ist jedoch nicht dasselbe wie vollständige technische Unabhängigkeit.

Ein Datensatz über den Zustand eines Steuergeräts ersetzt weder dessen Quellcode noch die Werkzeuge zur Programmierung. Er ersetzt keine Update-Infrastruktur und vor allem keinen geheimen Signaturschlüssel, dem das Fahrzeug vertraut.

Der Data Act kann also Türen öffnen. Er baut aber keine neue Fabrik hinter der Tür.

Was ein Käufer vor dem Kauf fragen sollte

Bei jungen Marken und kleinen Elektroautoherstellern genügt es nicht mehr, nur Reichweite, Ladeleistung und Garantiebedingungen zu vergleichen.

Entscheidend ist auch, ob das Fahrzeug ohne laufenden Herstellerdienst überlebensfähig ist.

Eine ernsthafte Kaufberatung müsste künftig folgende Fragen stellen:

Kann das Auto vollständig ohne Benutzerkonto gestartet und gefahren werden?
Ein physischer Schlüssel oder eine lokal im Fahrzeug gespeicherte Berechtigung ist belastbarer als eine reine Cloud-Lösung.

Funktioniert das Laden ohne Hersteller-App?
Normale AC- und DC-Ladevorgänge sollten nicht von einem aktiven Herstellerkonto abhängen.

Welche Funktionen benötigen dauerhaft einen Server?
Dabei sollte zwischen Komfortfunktionen und fahrrelevanten Diensten unterschieden werden.

Wie lange werden Sicherheitsupdates zugesichert?
„Regelmäßige Updates“ ist keine brauchbare Angabe. Käufer brauchen einen konkreten Zeitraum.

Können freie Werkstätten Ersatzsteuergeräte einbauen und codieren?
Ein großes Ersatzteillager hilft wenig, wenn die Bauteile anschließend nicht freigeschaltet werden können.

Was passiert bei Einstellung der Marke oder des Dienstes?
Hersteller sollten erklären müssen, ob Software, Diagnosewerkzeuge und Schlüssel an einen Rechtsnachfolger übergeben werden.

Gibt es eine klassische Serviceorganisation außerhalb der Herstellerzentrale?
Ein Netz rechtlich selbstständiger Händler und Werkstätten kann robuster sein als ein vollständig zentralisiertes Direktvertriebsmodell.

Was der Gesetzgeber verlangen müsste

Das digitale Auto braucht eine Art technisches Testament.

Hersteller sollten bereits bei der Typgenehmigung nachweisen müssen, was bei einer Geschäftsaufgabe mit ihren Fahrzeugen passiert. Dazu würde ein verbindlicher Notfallplan gehören:

Die grundlegende Fahrfähigkeit muss dauerhaft ohne Hersteller-Cloud erhalten bleiben. Sicherheitskritische Funktionen dürfen nicht von einem ständig erreichbaren externen Server abhängen.

Softwarestände, Diagnoseunterlagen und Updatewerkzeuge müssten bei einer neutralen Stelle hinterlegt werden.

Für Signaturschlüssel bräuchte es ein streng kontrolliertes Treuhandverfahren. Im Insolvenzfall könnte ein genehmigter Rechtsnachfolger damit weiterhin Sicherheitsupdates signieren, ohne die Schlüssel vorher öffentlich oder leicht angreifbar zu machen.

Werkstätten müssten eine rechtssichere Möglichkeit erhalten, Ersatzsteuergeräte einzubauen und die vom Hersteller eingerichtete Komponentenbindung aufzuheben.

Verträge mit Mobilfunk- und Cloudanbietern müssten eine geordnete Übergangsfrist enthalten. ENISA empfiehlt für vernetzte Fahrzeuge ausdrücklich Notfall-, Wiederanlauf- und Kontinuitätspläne, die auch externe Dienstleister berücksichtigen. Zentrale Cloudsysteme sollen zudem nicht als einzelner Ausfallpunkt konstruiert sein.

Und Käufer müssten vor Vertragsabschluss erfahren, welche Funktionen lokal arbeiten und welche nur so lange existieren, wie der Hersteller seine Serverrechnung bezahlt.

Das Auto darf kein Wegwerf-Smartphone mit zwei Tonnen Gewicht werden

Fernzugriff auf ein Fahrzeug ist nicht grundsätzlich schlecht. Er kann gestohlene Autos stoppen, Sicherheitsfehler beheben, Pannen diagnostizieren und Rückrufe schneller erledigen.

Problematisch wird er dort, wo der Hersteller nicht nur Dienstleistungen bereitstellt, sondern zum dauerhaften technischen Türsteher eines bereits verkauften Produkts wird.

Ein Auto ist kein Smartphone, das nach fünf Jahren in einer Schublade landet. Es kann 15 oder 20 Jahre genutzt werden, bewegt sich mit hoher Geschwindigkeit durch den öffentlichen Raum und kostet einen erheblichen Teil des Einkommens seines Besitzers.

Deshalb reicht es nicht, moderne Fahrzeuge gegen Hacker zu schützen. Sie müssen auch gegen das Verschwinden ihres eigenen Herstellers geschützt werden.

Die entscheidende Frage beim Autokauf lautet künftig nicht mehr nur:

Wie lange hält der Akku?

Sondern auch:

Wie lange lebt die Firma, deren Server dein Auto am Leben halten?

Neben klassischer Zuverlässigkeit dürfte deshalb künftig auch die langfristige Softwareversorgung darüber entscheiden, ob ein Auto zum empfehlenswerten Gebrauchtwagen wird – ein Aspekt, der bisher selbst in vielen Gebrauchtwagenreports kaum berücksichtigt wird.