Der OBD-Port muss offen bleiben – auch Cybersecurity ist kein Argument
Veröffentlicht am 20th Mar 2024
In einer wegweisenden Entscheidung hat der Europäische Gerichtshof (EuGH) am 5.10.2023 klargestellt, dass Fahrzeughersteller den Zugang unabhängiger Wirtschaftsakteure zum sog. OBD-Port (On-Board-Diagnose-Port) nicht beschränken dürfen, und zwar auch nicht aus Gründen der Cybersecurity. Das Urteil erging in einem Vorabentscheidungsverfahren, das durch eine Vorlage des LG Köln eingeleitet wurde (wir berichteten hierzu in unserem Insight „Im Spannungsfeld zwischen Cybersecurity und Wettbewerb“).
Im Fachbeitrag für RAW (März 2024) ziehen Elisabeth Macher und Paul Schmitz zusammen mit RA Dr. Frank-Bernd Weigand, Leiter Recht bei der A.T.U Gruppe, und Kristina Heistermann, Legal & Compliance Director bei Carglass, das folgende Fazit:
„Die Entscheidung des EuGH vom 5.10.2023 in der Rechtssache C-296/22 – A.T.U und Carglass/FCA Italy ist sowohl für den Kfz-Markt als auch für den Anschlussmarkt wegweisend. Der Gerichtshof hat unmissverständlich festgehalten, dass sämtliche Bedingungen, an die der Zugang zum Fahrzeug geknüpft wird, unzulässig sind, es sei denn, sie sind ausdrücklich gesetzlich vorgesehen. Die von vielen Herstellern ohne gesetzliche Grundlage eingeführte Praxis, den Zugang zum Fahrzeugdatenstrom durch Verwendung von „Secure Gateways“ oder ähnlichen Mechanismen einzuschränken, muss nach dem Urteil unverzüglich aufgegeben werden. Unabhängige Reparaturbetriebe müssen ohne Einschränkungen sowohl im Lese- als auch im Schreibmodus auf die Steuergeräte des Fahrzeugs zugreifen können. Das Argument, die Einschränkungen seien zur Gewährleistung der Cybersicherheit zwingend erforderlich, ließ der EuGH nicht gelten. Dennoch sind Fahrzeughersteller gesetzlich verpflichtet, die Cybersicherheit ihrer Fahrzeuge sicherzustellen. Hersteller sehen sich nun vor der Herausforderung, dieser Verpflichtung Genüge zu tun, ohne dabei den Zugang zum Fahrzeugdatenstrom über den OBD-Port einzuschränken. Mögliche Lösungen können technisch in der Blockierung schädlicher Befehle (statt der generellen Blockade des OBD-Ports) bestehen, organisatorisch in der Einführung einer Zertifizierung seriöser Betriebe durch eine unabhängige Stelle. Hierfür wäre allerdings zunächst eine entsprechende Gesetzesänderung nötig.“
Den gesamten Artikel finden Sie hier.
