Cybersicherheit von Elektroautos als Firmenwagen

Cybersicherheit von Elektroautos als Firmenwagen: Was KMU jetzt beachten müssen

Management-Zusammenfassung

Elektroautos sind längst mehr als Fahrzeuge mit einem anderen Antrieb. Sie sind vernetzte IT-Systeme auf Rädern: Sie kommunizieren mit Herstellerplattformen, mobilen Apps, Ladesäulen, Zahlungsdiensten, Flottenmanagementsystemen und teilweise auch mit Smartphones der Mitarbeitenden.

Damit entstehen neue geschäftliche Risiken. Angreifer können Benutzerkonten übernehmen, Fahrzeug- und Standortdaten auslesen, Ladevorgänge manipulieren oder Schwachstellen in der Ladeinfrastruktur ausnutzen. Gleichzeitig können Unternehmen durch eine unkontrollierte Auswertung von Bewegungs- und Nutzungsdaten gegen Datenschutzvorgaben verstoßen.

Für Unternehmen bedeutet das jedoch nicht, dass Elektrofahrzeuge grundsätzlich unsicher sind. Entscheidend ist, sie nicht nur als Teil der Fahrzeugflotte, sondern als Bestandteil der betrieblichen Informationsverarbeitung zu behandeln.

Die wichtigsten Maßnahmen sind:

• Sicherheitsanforderungen bereits bei Beschaffung und Leasing festlegen

• Fahrzeugkonten und Apps zentral verwalten

• Mehrfaktor-Authentisierung einsetzen

• Software- und Sicherheitsupdates zuverlässig durchführen

• öffentliche Ladepunkte bewusst auswählen

• Fahrzeug- und Standortdaten auf das notwendige Maß beschränken

• bei Fahrerwechsel, Rückgabe oder Ausscheiden alle Zugänge und Daten entfernen

• Zuständigkeiten zwischen Fuhrpark, IT, Datenschutz und Informationssicherheit festlegen

Die zentrale Managementbotschaft lautet:

Ein Elektroauto ist ein Firmenwagen, aber zugleich auch ein mobiles Endgerät, ein Datenspeicher und ein Zugangspunkt zu digitalen Diensten.

Warum das Thema für KMU wichtig ist

Das Firmenfahrzeug wird Teil der digitalen Unternehmensumgebung

Moderne Elektrofahrzeuge sind dauerhaft oder regelmäßig mit externen Systemen verbunden. Hersteller nutzen diese Verbindungen beispielsweise für Software-Updates, Navigationsdienste, Ferndiagnosen, Ladeplanung, Klimatisierung, Fahrzeugortung oder das Öffnen und Schließen per App.

Zusätzlich verbindet der Fahrer häufig sein geschäftliches oder privates Smartphone mit dem Fahrzeug. Dabei können Kontakte, Anruflisten, Ziele, Nachrichteninformationen und andere Daten im Infotainmentsystem gespeichert werden.

Das Fahrzeug verarbeitet damit nicht nur technische Betriebsdaten. Je nach Modell und Konfiguration können auch folgende Informationen entstehen:

• aktuelle und frühere Standorte

• gefahrene Strecken und Reiseziele

• Ladeorte und Ladezeiten

• Fahrverhalten und Geschwindigkeit

• Fahrer- oder Nutzerprofile

• Adressbuch- und Kommunikationsdaten

• Zugriffe auf Kalender und Mobilgeräte

• technische Zustands- und Wartungsdaten

Der Europäische Datenschutzausschuss weist darauf hin, dass auch technische Fahrzeugdaten personenbezogen sein können, wenn sie beispielsweise über die Fahrzeugidentifikationsnummer oder andere Informationen einer Person zugeordnet werden können.

Für Unternehmen ist deshalb nicht nur die technische Sicherheit relevant. Es geht ebenso um Datenschutz, Berechtigungsmanagement, Lieferantensteuerung und geregelte Betriebsprozesse.

Die Ladeinfrastruktur vergrößert die Angriffsfläche

Deutschland verfügte zum 1. Juni 2026 nach Angaben der Bundesnetzagentur über mehr als 206.000 öffentlich zugängliche Normal- und Schnellladepunkte. Mit der wachsenden Infrastruktur steigt auch die Bedeutung ihrer IT-Sicherheit.

Ein öffentlicher Ladepunkt ist kein einfacher Stromanschluss. Er kann unter anderem aus folgenden Komponenten bestehen:

• Steuerungssoftware der Ladesäule

• Kommunikationsverbindungen zum Fahrzeug

• Mobilfunk- oder Netzwerkzugänge

• Betreiber- und Abrechnungsplattformen

• Lade-Apps und Benutzerkonten

• Kartenleser und Zahlungssysteme

• Fernwartungszugänge

• Schnittstellen zum Stromnetz und zu Energiemanagementsystemen

Das BSI hat 2026 erstmals eine systematische Untersuchung zur IT-Sicherheit der öffentlichen Ladeinfrastruktur veröffentlicht. Dabei wurden Schwächen unter anderem bei Software, Kommunikationsprotokollen, Schnittstellen und der sicheren Umsetzung bestehender Standards festgestellt. Das BSI sieht Handlungsbedarf über die gesamte Wertschöpfungskette hinweg.

Für ein einzelnes Firmen bedeutet das nicht, dass es die technische Sicherheit öffentlicher Ladesäulen selbst prüfen kann. Das Unternehmen kann jedoch festlegen, welche Betreiber, Apps, Zahlungsmittel und Ladeverfahren für Firmenfahrzeuge genutzt werden dürfen.

Welche geschäftlichen und sicherheitsrelevanten Risiken reduziert werden müssen

1. Übernahme von Fahrzeug- und App-Konten

Viele Komfortfunktionen werden über Hersteller- oder Flotten-Apps gesteuert. Je nach Fahrzeug lassen sich damit beispielsweise Türen entriegeln, Klimafunktionen aktivieren, Standorte anzeigen oder Ladevorgänge verwalten.

Werden solche Konten nur mit einem schwachen oder mehrfach verwendeten Passwort geschützt, kann ein kompromittiertes Konto direkten Zugriff auf Fahrzeugfunktionen und Bewegungsdaten ermöglichen.

Besonders kritisch wird es, wenn:

• mehrere Beschäftigte dasselbe Konto verwenden

• Passwörter per E-Mail oder Messenger weitergegeben werden

• keine Mehrfaktor-Authentisierung aktiviert ist

• ehemalige Mitarbeitende weiterhin Zugriff besitzen

• Fahrzeugkonten mit privaten E-Mail-Adressen angelegt werden

• Zugänge bei Fahrerwechseln nicht überprüft werden

Das Risiko liegt damit häufig nicht im Fahrzeug selbst, sondern in der digitalen Identität, über die das Fahrzeug verwaltet wird.

2. Offenlegung vertraulicher Standort- und Bewegungsdaten

Aus Fahrtzielen und Standorten lassen sich geschäftlich sensible Informationen ableiten. Dazu gehören beispielsweise:

• Besuche bei Kunden und Interessenten

• Termine bei potenziellen Übernahmezielen

• Fahrten zu Produktions- oder Entwicklungsstandorten

• Aufenthalte bei Rechtsanwälten oder Beratern

• regelmäßige Routen von Geschäftsführung und Schlüsselpersonen

• Liefer- und Servicebeziehungen

Werden diese Daten unberechtigt eingesehen, können sie für Ausspähung, Social Engineering oder gezielte Angriffe genutzt werden.

Gleichzeitig darf das Unternehmen die technischen Möglichkeiten nicht automatisch zur vollständigen Überwachung seiner Beschäftigten verwenden. Eine dauerhafte GPS-Ortung von Firmenfahrzeugen ist datenschutzrechtlich besonders kritisch und muss erforderlich, verhältnismäßig und auf einen klar definierten Zweck begrenzt sein. Die Datenschutzaufsicht Rheinland-Pfalz verweist ausdrücklich auf problematische Fälle der Standortüberwachung von Beschäftigten durch Dienstfahrzeuge.

3. Datenverlust durch gekoppelte Smartphones

Ein häufig unterschätztes Risiko entsteht durch die Verbindung von Smartphones mit dem Infotainmentsystem.

Nach der Kopplung können im Fahrzeug unter anderem gespeichert bleiben:

• Kontakte

• zuletzt gewählte Telefonnummern

• Anrufhistorien

• Navigationsziele

• Favoriten

• Kalenderinformationen

• Gerätebezeichnungen

• WLAN- oder Bluetooth-Verbindungen

Wird ein Leasingfahrzeug zurückgegeben oder intern einem anderen Fahrer zugeordnet, ohne diese Daten zu löschen, können nachfolgende Nutzer darauf zugreifen.

Das ist kein theoretisches Spezialproblem. Es handelt sich um einen klassischen Fehler im Offboarding- und Rückgabeprozess.

4. Manipulation oder Ausfall von Ladevorgängen

Schwachstellen in Ladesäulen, Betreiberplattformen oder Kommunikationsprotokollen können zu fehlerhaften Abrechnungen, ausgefallenen Ladepunkten, unberechtigten Zugriffen oder Datenabflüssen führen. Das BSI nennt insbesondere die sichere Implementierung der Kommunikation zwischen Fahrzeug, Ladepunkt und Backend als wesentliches Handlungsfeld.

Für Unternehmen können daraus konkrete betriebliche Folgen entstehen:

• Fahrzeuge stehen nicht rechtzeitig zur Verfügung

• Außendienst- oder Liefertermine verzögern sich

• Ladekarten oder Zahlungsdaten werden missbraucht

• fehlerhafte Abrechnungen müssen aufwendig geklärt werden

• Standort- und Nutzungsdaten gelangen an Unbefugte

• die eigene betriebliche Ladeinfrastruktur fällt aus

Bei einer größeren Fahrzeugflotte kann ein Angriff auf das Lade-Backend deshalb schnell zu einem Verfügbarkeitsproblem für den gesamten Geschäftsbetrieb werden.

5. Fehlende oder verspätete Software-Updates

Vernetzte Fahrzeuge sind während ihres gesamten Lebenszyklus auf Softwarepflege angewiesen. Sicherheitslücken können nicht nur im Infotainmentsystem, sondern auch in Kommunikationsmodulen, Apps, Steuergeräten oder Backend-Diensten auftreten.

Die UN-Regelungen R155 und R156 verpflichten Fahrzeughersteller zu systematischen Verfahren für Cybersicherheit und Software-Updates. R155 adressiert das Cybersecurity-Management, R156 das Management sicherer Software-Aktualisierungen.

Für das nutzende Unternehmen folgt daraus dennoch eine eigene Pflicht zur Organisation: Updates müssen zugelassen, eingeplant und tatsächlich durchgeführt werden. Ein Hersteller kann ein Update bereitstellen, er kann aber nicht in jedem Fall sicherstellen, dass ein Firmenfahrzeug rechtzeitig aktualisiert wird.

6. Unklare Verantwortung im Unternehmen

In vielen KMU liegt der Fuhrpark organisatorisch im Einkauf, im Personalbereich oder in der Verwaltung. Die IT wird erst hinzugezogen, wenn eine App nicht funktioniert oder eine Wallbox in das Unternehmensnetz eingebunden werden soll.

Genau hier entsteht eine Sicherheitslücke: Niemand betrachtet das Gesamtsystem aus Fahrzeug, Benutzerkonto, Smartphone, Ladepunkt, Cloudplattform, Zahlungsdienst und personenbezogenen Daten.

Das größte organisatorische Risiko ist nicht fehlendes Spezialwissen, sondern fehlende Zuständigkeit.

Welche Sofortmaßnahmen sinnvoll sind

1. Bestand und digitale Abhängigkeiten erfassen

Das Unternehmen sollte zunächst dokumentieren:

• welche vernetzten Fahrzeuge eingesetzt werden

• welche Fahrzeug- und Lade-Apps verwendet werden

• welche Benutzerkonten bestehen

• wer Zugriff auf die Konten besitzt

• welche Ladekarten und Zahlungsdienste genutzt werden

• welche Fahrzeuge private Smartphones speichern

• welche eigenen Wallboxen oder Ladepunkte vorhanden sind

• welche Dienstleister Fahrzeug- oder Bewegungsdaten erhalten

Für kleine Fuhrparks genügt zunächst eine einfache, gepflegte Übersicht. Entscheidend ist, dass die digitalen Komponenten nicht außerhalb des Asset-Managements bleiben.

2. Konten personengebunden verwalten

Gemeinsam genutzte Sammelkonten sollten vermieden werden. Wo möglich, benötigt jeder berechtigte Nutzer einen eigenen Zugang.

Mindestens umzusetzen sind:

• geschäftliche statt privater E-Mail-Adressen

• individuelle Benutzerkonten

• starke, einmalige Passwörter

• Mehrfaktor-Authentisierung

• dokumentierte Rollen und Berechtigungen

• sofortige Sperrung bei Ausscheiden oder Funktionswechsel

• regelmäßige Überprüfung aktiver Zugänge

Kann eine Anwendung keine angemessene Benutzer- und Rechteverwaltung bereitstellen, sollte dies in die Auswahlentscheidung einfließen.

3. Verbindliche Regeln für das öffentliche Laden festlegen

Beschäftigte benötigen verständliche Vorgaben, keine technischen Abhandlungen.

Eine praxistaugliche Regelung kann lauten:

Für Firmenfahrzeuge sind bevorzugt die vertraglich vereinbarten Ladenetze, Ladekarten und Apps zu verwenden. Auffällige, beschädigte oder manipuliert wirkende Ladepunkte dürfen nicht genutzt werden. Ungewöhnliche App-Anmeldungen, fehlerhafte Abrechnungen und nicht nachvollziehbare Ladevorgänge sind unverzüglich zu melden.

QR-Codes auf Ladesäulen sollten mit besonderer Vorsicht verwendet werden. Überklebte oder gefälschte Codes können Nutzer auf manipulierte Zahlungsseiten leiten. Wo möglich, sind bekannte Apps, Ladekarten oder direkt im Fahrzeug hinterlegte Verfahren vorzuziehen.

4. Update-Verantwortung definieren

Das Unternehmen sollte festlegen:

• wer verfügbare Updates überwacht

• welche Updates automatisch installiert werden dürfen

• wann Fahrzeuge für Aktualisierungen bereitgestellt werden

• wie fehlgeschlagene Updates behandelt werden

• wie überprüft wird, ob sicherheitsrelevante Updates installiert sind

• wer Hersteller- und Leasinginformationen erhält

Gerade bei Fahrzeugen von Außendienstmitarbeitenden darf nicht vorausgesetzt werden, dass Updates automatisch und zeitnah erfolgen.

5. Datenschutzfreundliche Einstellungen wählen

Nicht jede verfügbare Datenerhebung ist für den Geschäftszweck erforderlich.

Zu prüfen sind insbesondere:

• Ist eine dauerhafte Standortübertragung notwendig?

• Muss der Arbeitgeber Einzelfahrten oder nur Kilometerstände kennen?

• Welche Daten erhält der Flottenanbieter?

• Wie lange werden Bewegungsdaten gespeichert?

• Wer darf Standortdaten einsehen?

• Ist private Nutzung erlaubt, und wie wird sie abgegrenzt?

• Können Beschäftigte Tracking bei Privatfahrten deaktivieren?

• Sind Informationspflichten und gegebenenfalls Mitbestimmungsrechte berücksichtigt?

Die Verarbeitung sollte nach dem Prinzip der Datenminimierung gestaltet werden: Maßgeblich ist der tatsächliche Bedarf, nicht das technisch Machbare.

6. Sicheren Rückgabe- und Fahrerwechselprozess einführen

Vor Fahrzeugrückgabe oder Fahrerwechsel müssen mindestens folgende Schritte erfolgen:

• Smartphones entkoppeln

• Kontakte und Kommunikationsdaten löschen

• Navigationsziele und Favoriten entfernen

• Benutzerprofile zurücksetzen

• digitale Fahrzeugschlüssel widerrufen

• Zugriffe in Apps und Portalen entfernen

• Ladekarten sperren oder neu zuordnen

• gespeicherte WLAN-Verbindungen löschen

• Fahrzeug auf Werkseinstellungen zurücksetzen, soweit zulässig

• Durchführung dokumentieren

Diese Checkliste sollte Bestandteil des regulären Fuhrparkprozesses sein.

Wie eine erfolgreiche Umsetzung erreicht werden kann

Einkauf, Fuhrpark, IT und Datenschutz zusammenbringen

Die Cybersicherheit von Firmenfahrzeugen ist eine Querschnittsaufgabe. Die Rollen sollten klar verteilt werden:

Die Geschäftsleitung legt das akzeptierte Sicherheitsniveau fest und stellt Verantwortlichkeit sicher.

Der Einkauf beziehungsweise das Fuhrparkmanagement berücksichtigt Sicherheitsanforderungen bei Auswahl, Leasing und Dienstleisterverträgen.

Die IT unterstützt bei Benutzerkonten, mobilen Geräten, Netzwerkanbindungen und Authentisierung.

Informationssicherheit und Datenschutz bewerten Risiken, Datenflüsse, Schutzmaßnahmen und Kontrollbedarf.

Die Beschäftigten halten die Nutzungsregeln ein und melden Auffälligkeiten.

Für kleine Unternehmen muss daraus kein neues Gremium entstehen. Häufig genügt ein abgestimmter Prozess mit klar benannten Verantwortlichen.

Sicherheitsanforderungen bereits in der Beschaffung stellen

Ein KMU sollte beim Hersteller, Leasinggeber oder Flottenanbieter mindestens klären:

• Wie lange werden Sicherheitsupdates bereitgestellt?

• Unterstützen Apps Mehrfaktor-Authentisierung?

• Können Benutzer einzeln verwaltet und entzogen werden?

• Welche Fahrzeug- und Standortdaten werden verarbeitet?

• Wo werden diese Daten gespeichert?

• Welche Unterauftragnehmer sind beteiligt?

• Wie werden Sicherheitsvorfälle gemeldet?

• Können Daten nach Vertragsende vollständig gelöscht werden?

• Wie werden digitale Schlüssel verwaltet?

• Welche Sicherheitsstandards und regulatorischen Anforderungen werden erfüllt?

Hersteller unterliegen zwar zunehmend regulatorischen Anforderungen. Dies ersetzt jedoch nicht die Risikoprüfung des Unternehmens. Sinnvoll ist bei vernetzten Fahrzeugen ein risikobasierter Sicherheitsansatz, der den gesamten Lebenszyklus und die beteiligte Lieferkette berücksichtigt.

Die Maßnahmen in das bestehende ISMS integrieren

Unternehmen mit einem Informationssicherheitsmanagementsystem sollten Elektrofahrzeuge und Ladeinfrastruktur nicht als separates Spezialthema behandeln.

Die Anforderungen lassen sich in bestehende Prozesse integrieren:

• Asset-Management

• Benutzer- und Berechtigungsmanagement

• Lieferantenmanagement

• Schwachstellen- und Patchmanagement

• Datenschutzmanagement

• Sicherheitsrichtlinien für mobile Arbeit

• Incident Management

• Offboarding

• Business Continuity Management

Ein mögliches Risikoszenario für das Risikoregister lautet:

Durch die Kompromittierung eines Fahrzeug- oder Ladekontos erhalten Unbefugte Zugriff auf Standortdaten, Fahrzeugfunktionen oder Zahlungsinformationen. Dies kann zu Datenschutzverletzungen, finanziellen Schäden, Betriebsunterbrechungen und Reputationsverlust führen.

Geeignete Behandlungsmaßnahmen sind Mehrfaktor-Authentisierung, individuelle Konten, regelmäßige Berechtigungsprüfungen, verbindliche Ladeverfahren, Updatekontrollen sowie ein dokumentierter Rückgabeprozess.

Fazit: Elektromobilität benötigt digitale Fuhrpark-Governance

Elektroautos sind nicht per se unsicherer als konventionelle Firmenwagen. Sie machen jedoch deutlicher sichtbar, wie stark moderne Mobilität von Software, Plattformen, Benutzerkonten, Daten und externen Dienstleistern abhängig ist.

KMU müssen deshalb keine eigene Automotive-Security-Abteilung aufbauen. Sie benötigen vielmehr eine pragmatische digitale Fuhrpark-Governance:

• bekannte Systeme und Datenflüsse

• klare Verantwortlichkeiten

• sichere Benutzerkonten

• geregelte Updates

• datenschutzkonforme Nutzung

• ausgewählte Ladeverfahren

• saubere Übergabe- und Rückgabeprozesse

Wer diese Grundlagen etabliert, reduziert nicht nur Cyberrisiken. Er verbessert zugleich Datenschutz, Betriebsfähigkeit, Kostenkontrolle und die Verlässlichkeit des Fuhrparks.

Der Firmenwagen der Zukunft wird nicht allein in der Werkstatt gewartet. Ein Teil seiner Sicherheit entsteht in der IT, im Berechtigungsmanagement und in den organisatorischen Prozessen des Unternehmens. 



Weitere Fachbeiträge, Whitepaper und Praxishilfen zu NIS2, ISO 27001, Informationssicherheit und Cyberresilienz findest Du im Wissensportal für Entscheider.