Der Satz, der zu früh endet
„Ich bin Automotive, für mich gilt nur UN ECE, fertig." Diesen Satz hört man in der Branche ständig, und er ist nicht falsch. UN R155 und R156 sind seit Jahren die maßgeblichen Regelwerke für Fahrzeug-Cybersicherheit, sie sind streng, sie sind scharf kontrolliert, und wer sie erfüllt, bekommt seine Typgenehmigung. Der Cyber Resilience Act (CRA) nimmt typgenehmigte Fahrzeuge sogar ausdrücklich aus. Auf den ersten Blick spricht also alles dafür, dass mit R155/R156 das Thema Cybersicherheits-Regulierung für Automotive-Zulieferer erledigt ist.
Nur: Der Satz endet an der Stelle, an der die eigentliche Frage erst anfängt. Denn die CRA-Ausnahme gilt nicht für „alles, was ich als Automotive-Zulieferer herstelle". Sie gilt für ein sehr genau umrissenes Objekt – das typgenehmigte Fahrzeug, so wie der Hersteller es in Verkehr bringt. Für das identische Steuergerät, verkauft über einen anderen Kanal, kann eine völlig andere Rechtslage gelten. Und genau dort, wo „fertig" gedacht wird, fängt für viele Zulieferer die eigentliche Prüfpflicht an.
Wo die Ausnahme aufhört
Art. 2 Abs. 2 lit. c CRA nimmt Fahrzeuge aus, die nach der Verordnung (EU) 2019/2144 typgenehmigt sind – der Rechtsrahmen, über den R155/R156 überhaupt erst EU-Recht wurden. Das ist der Kern, auf dem der eingangs zitierte Satz beruht, und dieser Kern stimmt.
Was in der Praxis oft übersehen wird: Die Ausnahme erstreckt sich nicht automatisch auf alles, was später an das Fahrzeug angebaut, nachgerüstet oder als Ersatzteil verkauft wird. Nachrüstgeräte, Diagnosewerkzeuge, Ladestationen, separat verkaufte Bauteile und Fahrzeuge der Kategorie L (Motorräder, Mopeds, Quads) bleiben im CRA-Anwendungsbereich. Und laut Leitlinien der EU-Kommission gilt die Ausnahme für ein Bauteil nur, wenn es ausschließlich und einzig für den Einbau in genau dieses typgenehmigte Fahrzeug konstruiert wurde.
Für Zulieferer heißt das: Ob ein Steuergerät unter die Fahrzeug-Ausnahme fällt oder eigenständig CRA-relevant ist, hängt davon ab, über welchen Kanal es verkauft wird und wofür es konstruiert wurde – nicht davon, ob es in ein Fahrzeug eingebaut werden kann. Wer die R155/R156-Zertifizierung als generelle CRA-Freikarte behandelt, überträgt eine Ausnahme, die eng gefasst ist, auf einen Geltungsbereich, der es nicht ist.
Was UN ECE R155/R156 tatsächlich verlangen
UN R155 verlangt ein zertifiziertes Cybersecurity Management System (CSMS), das Cyberrisiken über den gesamten Fahrzeuglebenszyklus abdeckt – Entwicklung, Produktion und Nachserienphase. UN R156 verlangt ergänzend ein Software Update Management System (SUMS), das sicherstellt, dass Software-Updates, ob per Werkstatt oder over-the-air, nachvollziehbar und sicher ausgeliefert werden.
Der Zeitplan ist längst kein Zukunftsthema: Seit dem 6. Juli 2022 gilt die Pflicht für neue Fahrzeugtypen, seit dem 7. Juli 2024 für jedes neu produzierte Fahrzeug der Kategorien M, N und O – ohne Bestandsschutz. Ein Fahrzeugtyp ohne gültiges CSMS-Zertifikat verliert schlicht seine Typgenehmigung. Für Fahrzeuge der Kategorie L gilt eine längere Übergangsfrist: neue Typen ab Dezember 2027, bestehende ab Juni 2029.
Als die Regulierung ganze Modelle vom Markt nahm
Der bekannteste Effekt dieser Frist zeigte sich nicht im Labor, sondern im Autohaus. Weil ältere Fahrzeugplattformen nicht wirtschaftlich auf ein zertifiziertes CSMS nachgerüstet werden konnten, nahmen mehrere Hersteller ihre Modelle im Laufe des Jahres 2024 komplett aus dem Programm: der Porsche Boxster und 718 Cayman, der VW Up! und der Bulli-Vorgänger T6.1, der Audi TT und R8, der Mercedes-Benz Smart EQ Fortwo und der Renault Zoe. Keiner dieser Fälle war ein Sicherheitsvorfall. Es war eine wirtschaftliche Entscheidung, weil die Kosten für eine nachträgliche CSMS-Zertifizierung einer auslaufenden Plattform höher lagen als der verbleibende Modellzyklus rechtfertigte.
Das zeigt: R155/R156 ist längst kein Thema, bei dem man sich fragt, ob man betroffen ist. Es ist ein Marktzugangsrisiko, das auch ohne jeden Angriff real wird.
Jeep Cherokee: der Fall, der die Regulierung mitbegründet hat
2015 zeigten die Sicherheitsforscher Charlie Miller und Chris Valasek, dass sie über das Uconnect-Infotainmentsystem eines Jeep Cherokee aus der Ferne auf den CAN-Bus zugreifen und damit Bremsen, Lenkung und Getriebe beeinflussen konnten – während das Fahrzeug fuhr. Die Schwachstelle (CVE-2015-5611, CVSS 8,3) lag im Funkmodul des Radios, das über das Mobilfunknetz erreichbar war und keine ausreichende Trennung zwischen Infotainment- und Fahrzeugsteuerungsnetz besaß.
Fiat Chrysler rief daraufhin 1,4 Millionen Fahrzeuge zurück – nicht wegen eines mechanischen Defekts, sondern wegen eines „Software Security Defect", wie es die US-Verkehrssicherheitsbehörde NHTSA offiziell nannte. Der Fall gilt bis heute als einer der Auslöser für die Entwicklung von UN R155/R156.
Bendix EC80: die Schwachstelle, die niemand als Schwachstelle deklarierte
Der EC80 ist ein Bremssteuergerät für schwere Lkw, das Anti-Blockier- und Stabilitätsfunktionen über den J2497-Datenbus steuert. 2024 rief Bendix rund 450.000 Geräte bei drei Fahrzeugherstellern zurück – offiziell wegen eines Problems bei der Signalverarbeitung. Erst im August 2026 zeigte der NMFTA-Sicherheitsforscher Ben Gardiner auf der Black-Hat-USA-Konferenz, was das Update tatsächlich enthielt: fehlerhafte Puffer-Behandlungen, die das Steuergerät zum Absturz bringen konnten, ein Pfad zu entfernter Codeausführung – und ein fest im Code hinterlegtes Passwort, mit dem sich die Traktionskontrolle deaktivieren ließ.
Anders als bei Jeep erhielt keine dieser Schwachstellen zum Zeitpunkt des ursprünglichen Rückrufs 2024 eine CVE-Nummer. Erst nach der Offenlegung 2026 – zwei Jahre später – wurden sie nachträglich erfasst: CVE-2026-67560 (Puffer-Überlauf, CVSS 7,5), CVE-2026-68967 (Out-of-Bounds-Schreibzugriff, CVSS 6,5) und CVE-2026-71396 (fest hinterlegte Zugangsdaten, CVSS 5,3). Weil der Rückruf nie als Sicherheitskorrektur deklariert wurde, tauchte er zwei Jahre lang in keinem Schwachstellen-Scanner auf – Flottenbetreiber, die ihre Fahrzeuge auf bekannte CVEs prüften, hätten das Risiko nicht gesehen.
Der Unterschied zwischen beiden Fällen ist selbst aufschlussreich: Bei Jeep war die Schwachstelle von Tag eins an öffentlich benannt, dokumentiert und einem Rückruf zugeordnet. Bei Bendix blieb sie zwei Jahre lang unsichtbar, obwohl der Rückruf längst gelaufen war.
Beide Fälle laufen aber auf denselben Punkt zu: den Moment, in dem Firmware auf ein Steuergerät kommt. Und beide zeigen dieselbe Zweiteilung, die sich auch juristisch als entscheidend erweist: Es geht nicht nur um die Frage, was passiert ist, sondern auch darum, ob der Programmiervorgang selbst hätte manipuliert werden können, ohne dass es jemand bemerkt hätte.
Zurück zum Ausgangssatz: wo er für Zulieferer kippt
Die Ausnahme nach Art. 2 Abs. 2 lit. c CRA gilt für das typgenehmigte Fahrzeug. Ein Zulieferer, der ein Steuergerät wie den EC80 sowohl als OEM-Erstausrüstung als auch als eigenständiges Ersatzteil im freien Zubehörhandel verkauft, bewegt sich damit in zwei unterschiedlichen rechtlichen Räumen gleichzeitig: Als Erstausrüstung ist das Bauteil Teil der Fahrzeug-Typgenehmigung und über R155/R156 abgedeckt. Als eigenständig verkauftes Ersatzteil kann es CRA-relevant werden, weil es dann nicht mehr „ausschließlich und einzig" für den Einbau in ein bestimmtes typgenehmigtes Fahrzeug bestimmt ist.
Für die Nachweisführung bedeutet das: Ein Zulieferer braucht nicht nur ein CSMS für die Erstausrüstung, sondern möglicherweise eine zweite, CRA-konforme Dokumentation für denselben Bauteiltyp, sobald er über einen anderen Vertriebsweg verkauft wird. Genau an dieser Stelle ist „fertig" zu früh gedacht.
Die Beweislast verschiebt sich auch hier
Die neue Produkthaftungsrichtlinie (EU) 2024/2853 gilt branchenübergreifend, also auch für Automotive-Zulieferer. Nach Art. 10 Abs. 2 wird die Fehlerhaftigkeit eines Produkts vermutet, wenn der Beklagte relevante Beweismittel nicht offenlegt, wenn nachgewiesen wird, dass verbindliche Sicherheitsanforderungen nicht eingehalten wurden, oder wenn bei üblichem Gebrauch eine offensichtliche Funktionsstörung vorlag. Der Bendix-Fall zeigt, wie relevant das werden kann: Ein Rückruf, der eine Sicherheitslücke enthält, ohne sie als solche zu benennen, ist im Nachhinein schwer als „ordnungsgemäß dokumentiert" zu verteidigen.
Dabei genügt reine Dokumentation allein nicht. Ein lückenloser Nachweis über einen Programmiervorgang, der technisch verwundbar gewesen wäre, beantwortet im Streitfall nur die halbe Frage. Die andere Hälfte lautet: Wie war der Prozess selbst gegen unautorisierte Veränderungen abgesichert – sowohl bei der Übertragung als auch bei der Verarbeitung?
Was btv SEEL® an dieser Stelle liefert
An der Schnittstelle, an der in beiden Fällen die eigentliche Ursache lag – dem Moment, in dem Firmware auf das Steuergerät kommt – setzt btv SEEL® an. Die vollständige Funktionsweise von CORE, INTERCONNECT und UNLIMITED steht auf der btv SEEL® Leistungsseite; hier die Punkte, die für Automotive-Zulieferer besonders zählen.
Firmware und Schlüssel werden über kontrollierte, geschützte Datenräume mit standardisierten Verschlüsselungsprotokollen übertragen und beim Programmieren ausschließlich im flüchtigen Arbeitsspeicher entschlüsselt, ohne dass jemals eine unverschlüsselte Kopie auf einem Datenträger entsteht – weder auf dem Übertragungsweg noch bei der Verarbeitung. Root-Zertifikate bleiben beim Hersteller, weil die kundeneigene PKI-Infrastruktur eingebunden wird – relevant, weil Firmware für sicherheitsrelevante Steuergeräte wie Bremssysteme zum geschützten Kern des geistigen Eigentums eines Zulieferers gehört.
Jedes Bauteil erhält in Serienfertigung eine individuelle, automatisiert dokumentierte und kryptografisch signierte Identität. Für einen Fall wie Bendix EC80 hätte das bedeutet: Ein Rückruf ließe sich exakt auf die betroffene Firmwareversion und die betroffenen Seriennummern eingrenzen, dokumentiert bereits im Moment der Programmierung – nicht erst nach einer externen Sicherheitsanalyse Jahre später.
Ein Punkt zur Einordnung, der nicht fehlen soll: btv SEEL® macht ein Fahrzeug oder Bauteil nicht „R155-konform" oder „CRA-konform". Diese Regelwerke adressieren das Endprodukt des Herstellers, nicht die Dienstleistung von btv technologies. Was btv SEEL® liefert, sind zwei Dinge, die zusammengehören: ein Programmierverfahren, das unautorisierte Veränderungen entlang des gesamten Wegs erschwert – von der Übertragung über geschützte Datenräume bis zur Verarbeitung ausschließlich im flüchtigen Speicher – und der daraus resultierende, belastbare Nachweis auf Bauteilebene.
Ein Nachweis über einen verwundbaren Prozess wäre im Zweifel wenig wert; ein geschützter Prozess ohne Nachweis lässt sich im Audit oder Rückruf nicht belegen. Beides zusammen ist die Grundlage, die Hersteller und Zulieferer für ihre eigene Konformitätsbewertung benötigen – dokumentiert über mindestens 20 Jahre, rückverfolgbar bis 2006, unabhängig davon, welcher der beiden Vertriebswege im konkreten Fall greift.
Der Satz, richtig zu Ende gedacht
Die meisten Automotive-Zulieferer haben ihr CSMS und SUMS längst im Griff – R155/R156 laufen seit 2022 beziehungsweise 2024 ohne Bestandsschutz. Die eigentliche Frage ist deshalb nicht, ob die Zertifizierung vorliegt, sondern wie weit sie reicht. „Ich bin Automotive, für mich gilt nur UN ECE" stimmt für das Fahrzeug. Es stimmt nicht mehr in dem Moment, in dem dasselbe Bauteil über einen anderen Kanal verkauft wird – als Ersatzteil, über ein Diagnosewerkzeug oder als Nachrüstlösung.
Genau das ist der Punkt, an dem sich eine Prüfung lohnt: nicht bei den CRA-Fristen selbst, sondern bei der Frage, für welche Vertriebskanäle eines Bauteils die Fahrzeug-Ausnahme tatsächlich gilt – und für welche eine eigenständige CRA-Bewertung fällig wird.
Häufige Fragen zu CRA und UN ECE R155/R156
Nein, für das typgenehmigte Fahrzeug selbst nicht. Art. 2 Abs. 2 lit. c CRA nimmt Fahrzeuge aus, die nach Verordnung (EU) 2019/2144 typgenehmigt sind – und diese Verordnung setzt R155/R156 in EU-Recht um. Die Ausnahme gilt aber nur für das Fahrzeug, wie es der Hersteller in Verkehr bringt, nicht automatisch für jedes später eingebaute oder nachgerüstete Bauteil.
Nicht zwangsläufig. Als Erstausrüstung ist das Bauteil Teil der Fahrzeug-Typgenehmigung. Wird dasselbe Bauteil eigenständig im Zubehörhandel verkauft, kann es CRA-relevant werden, weil es dann nicht mehr ausschließlich und einzig für den Einbau in ein bestimmtes typgenehmigtes Fahrzeug bestimmt ist.
Für das typgenehmigte Fahrzeug ja. Für Bauteile, die zusätzlich als eigenständige Ersatzteile, über Diagnosewerkzeuge oder als Nachrüstlösung verkauft werden, gilt die Befreiung nicht automatisch mit. Diese Vertriebswege können eine eigene CRA-Bewertung erfordern, auch wenn dasselbe Bauteil in der Erstausrüstung über R155/R156 abgedeckt ist.
Nein. R155/R156 und CRA adressieren das Endprodukt des Herstellers, nicht die Dienstleistung eines Zulieferers. btv SEEL® liefert zwei zusammengehörige Dinge: ein Programmierverfahren, das unautorisierte Veränderungen bei Übertragung und Verarbeitung erschwert, und den daraus resultierenden Nachweis auf Bauteilebene – etwa zu Firmwareversion, Programmierzeitpunkt und Geräteidentität –, die Grundlage, die Hersteller für ihre eigene Konformitätsbewertung benötigen.
