Ein jahrelang mühsam aufgebautes Image von Erschwinglichkeit und moderner Technologie kollidiert mit dem sensibelsten Thema der digitalen Gegenwart – der Cybersicherheit. Der chinesische Staatskonzern SAIC, der mit seiner Marke MG Motor den europäischen Elektroautomarkt im Sturm erobern wollte, steht plötzlich im Fokus einer behördlichen Untersuchung.

Wie nun bekannt wurde, prüft das Kraftfahrt-Bundesamt (KBA) offiziell die Softwarearchitektur des elektrischen Kompaktwagens MG4. Der schwerwiegende Verdacht: In den Fahrzeugen könnten Programme schlummern, die einen unbefugten Fernzugriff ermöglichen sowie sensible Daten des Autos und gekoppelter Smartphones ausleiten können.

Das pikante an der Affäre ist die Art, wie die brisanten Daten an die Öffentlichkeit gelangten. Es war keine investigative Enthüllung eines Geheimdienstes, sondern die Folge eines klassischen deutschen Rechtsstreits. Die Kanzlei JUN Legal hatte MG wegen mutmaßlicher Verstöße gegen Open-Source-Lizenzpflichten vor einem Münchner Gericht verklagt. Um der richterlich geforderten Transparenz nachzugehen, musste MG gezwungenermaßen eine detaillierte Liste aller im Fahrzeug verwendeten Softwarelizenzen offenlegen.

Beim Durchblättern des Dokuments stießen Experten auf Seite 36 auf einen Eintrag, der in Flensburg und in den Zentralen der Konkurrenz für Alarmstimmung sorgte: „Teardroid“. Hinter diesem Namen verbirgt sich eine im Netz bekannte Schadsoftware – ein Trojaner, der gezielt für Spionagezwecke und Datenextraktion entwickelt wurde. Noch brisanter: In früheren Dokumentationsständen sollen zudem die Bezeichnungen zweier weiterer Schnüffelwerkzeuge namens „HexRed“ und „AH-Myth“ aufgetaucht sein, die in späteren Versionen diskret gelöscht wurden.

In der IT-Welt und der Automobilbranche wird nun fieberhaft gerätselt, wie Schadcode-Namen in ein offizielles Seriendokument gelangen konnten. Dass die Namen in der Lizenzliste stehen, bedeutet juristisch und technisch noch nicht zwingend, dass MG-Fahrer aktiv ausspioniert werden. Experten halten drei Szenarien für denkbar:

Egal, ob es sich um geopolitische Absicht oder handwerkliche Unachtsamkeit in Fernost handelt – für die Flensburger Behörden ist der Spaß vorbei. Das KBA beruft sich bei seiner Prüfung auf die strenge EU-Verordnung 2018/858. Diese verpflichtet Autohersteller zu einem lückenlosen, zertifizierten Software-Risikomanagement (Cybersecurity Management System). Kann SAIC nicht lückenlos aufklären, warum Spionage-Werkzeuge in ihren Dokumenten auftauchen, drohen im schlimmsten Fall Zulassungsverbote oder teure Rückrufaktionen.

Auch für den deutschen Autohandel und die Besitzer eines MG4 braut sich juristischer Ärger zusammen. Nach deutschem Gewährleistungsrecht muss ein Fehler nicht erst real eintreten, um als Mangel zu gelten. Bereits der unaufgeklärte, begründete Verdacht auf installierte Spionagesoftware kann von Gerichten als erheblicher Sachmangel eingestuft werden. Kunden könnten demnach massenhaft Nachbesserung verlangen, den Kaufpreis mindern oder komplett vom Kaufvertrag zurücktreten. Für die Händler, die rechtlich als erste Instanz haften, ein existentielles Risiko.

Der Fall MG4 zeigt die Achillesverse der neuen chinesischen Herausforderer. Während sie bei Batteriepreisen und Produktionsgeschwindigkeiten den etablierten europäischen Herstellern davonfahren, wächst das Misstrauen gegenüber ihrer digitalen Souveränität. Software ist im modernen Automobilbau das wichtigste Gut – und Vertrauen die härteste Währung. Dieses Vertrauen hat SAIC vorerst verspielt. Die Konkurrenz in Wolfsburg, Stuttgart und München dürfte die Ermittlungen des KBA mit Argusaugen verfolgen.