Studie zu vernetzten Autos: 28 von 30 Auto-Apps teilen Fahrerdaten

Die meisten Apps, die Autohersteller ihren Kunden anbieten, senden Daten an Werbe- und Analyseunternehmen. Das ergab eine Studie der Northeastern University und von Consumer Reports. Die Forscher testeten 30 Apps von Autoherstellern, und 28 davon schickten Daten an mindestens eine externe Werbe- oder Analysefirma. Sieben sendeten persönliche Angaben, etwa die VIN eines Autos, den Namen des Besitzers oder den genauen Standort des Autos. Damit steckt das Auto im selben Tracking-System wie Smartphones und Websites, nur mit weniger Möglichkeiten für Besitzer, es abzuschalten.

Eine VIN (vehicle identification number, die Fahrzeug-Identifizierungsnummer) ist der Code, der ein bestimmtes Auto identifiziert. Verknüpft mit einem Namen oder Standort kann sie Fahrdaten mit einer echten Person verbinden.

Was die Forscher getestet haben

Das Team untersuchte 21 Fahrzeuge von 19 Marken aus den Modelljahren 2022 bis 2025, laut der Projektseite der Studie. Außerdem testete es 30 Begleit-Apps, also die Smartphone-Apps, mit denen Besitzer ihre Autos entriegeln, orten oder starten. Die Arbeit lief von Oktober 2024 bis August 2025 im Auto Test Center von Consumer Reports in Connecticut.

Zu den getesteten Marken gehörten Tesla, Ford, Toyota, Honda, Nissan, BMW, Mercedes-Benz, Rivian, Lucid, Cadillac, Buick, Lincoln und Land Rover, berichtet Auto Connected Car News.

Die Arbeit trägt den Titel „Automatic Transmission: An Empirical Study of Data Privacy in the Connected Vehicle Ecosystem“ (etwa: eine empirische Studie zum Datenschutz im Ökosystem vernetzter Fahrzeuge). Sie ist von Fachkollegen begutachtet. Neun Forscher der Northeastern University werden sie vom 12. bis 16. Oktober 2026 auf der ACM Internet Measurement Conference in Karlsruhe vorstellen.

Was die Autos und Apps gesendet haben

Die Forscher beobachteten den Netzwerkverkehr, der jedes Auto und jede App verließ, um zu sehen, wohin er ging. Die wichtigsten Ergebnisse:

Befund	Ergebnis
Apps, die Daten an ein Werbe- oder Analyseunternehmen senden	28 von 30
Apps, die persönliche Angaben an ein externes Unternehmen senden	7 von 30
Autos, die über WLAN mindestens einen Dritten kontaktieren	19 von 21
Beobachtete persönliche Daten	VINs, Namen, E-Mail-Adressen, Telefonnummern, genaue Standorte

Auch die Autos selbst gaben Daten preis. Neunzehn der 21 Fahrzeuge kontaktierten über WLAN mindestens einen Dritten, darunter bekannte Werbe- und Tracking-Domains, so die Projektseite.

Die Daten gingen an bekannte Namen. Consumer Reports nennt Amazon, Google, Meta, Microsoft, Pinterest, Snap, Yahoo und Reddit unter den Empfängern. Auto Connected Car News ergänzt Adobe, ContentSquare, LexisNexis Risk Solutions und Verisk Analytics.

Tesla stach heraus. Laut Consumer Reports schickten das Model 3 und der Cybertruck des Herstellers Daten an die meisten Werbe- und Analyse-Domains.

Wie die Autohersteller reagierten

Mehrere Unternehmen erklärten, die von ihnen geteilten Daten seien begrenzt. General Motors, Honda, Nissan und Stellantis sagten Consumer Reports, dass die empfangenden Unternehmen bei der Nutzung der Daten Einschränkungen unterliegen.

Honda ging weiter. Nachdem die Forscher ihre Ergebnisse mitgeteilt hatten, wies das Unternehmen seinen Analyseanbieter Amplitude an, die erhaltenen Standortdaten zu löschen, berichtet Consumer Reports.

Wie die Daten nach außen gelangen

Der Großteil dieses Datenverkehrs stammt aus Software Development Kits, kurz SDKs. Das sind fertige Code-Bibliotheken, die App-Hersteller einbauen, um die Nutzung zu messen, Abstürze zu erfassen oder Werbung anzuzeigen. Jedes Kit meldet Daten an das Unternehmen zurück, das es entwickelt hat.

Ein App-Entwickler baut ein Kit vielleicht nur für eine einzige Funktion ein. Dieses Kit kann trotzdem weit mehr sammeln, als die Funktion braucht, darunter Kennungen, die auf eine Person zurückführen.

Was das für Entwickler bedeutet

Prüfen Sie jedes SDK in Ihrer App. Listen Sie jedes Drittanbieter-Kit auf, was es sammelt und wohin es Daten sendet. Entfernen Sie jedes Kit, dessen Aufgabe nicht mehr rechtfertigt, was es sammelt.

Senden Sie niemals Kennungen an Analysedienste. VINs, Namen, E-Mail-Adressen und genaue Standorte gehören nicht in ein Nutzungsereignis. Hashen oder entfernen Sie sie, bevor Code von Drittanbietern sie sieht, und runden Sie Standorte auf eine Stadt oder Region.

Testen Sie Ihren eigenen Datenverkehr. Die Forscher fanden diese Lecks, indem sie beobachteten, was jedes Gerät verließ. Führen Sie vor jedem Release dieselbe Prüfung mit Ihrer App durch, und vergleichen Sie die Ziele mit Ihrer Datenschutzerklärung.

Rechnen Sie mit genauerer Prüfung vernetzter Autos. Eine begutachtete Studie, hinter der Consumer Reports steht, liefert Aufsichtsbehörden und Anwälten Markennamen und Zahlen. Teams, die Software für Autos, Flotten oder Versicherungen bauen, sollten jeden Datenfluss erklären können.

Auch Flottenkäufer sollten Fragen stellen. Unternehmen mit Fahrzeugflotten können Autohersteller fragen, welche externen Firmen Daten vom Auto und seiner App erhalten und wie sich diese Weitergabe abschalten lässt.