Eine Untersuchung von Northeastern University und Consumer Reports erfasste Netzwerkverkehr von 21 Fahrzeugen aus 19 Marken und 30 Auto-Apps. 28 der getesteten Apps kontaktierten mindestens ein externes Werbe- oder Analyseunternehmen; sieben übermittelten mindestens eine persönliche Kennung an ein externes Unternehmen. Die Ergebnisse beziehen sich auf die untersuchten Fahrzeuge und Apps.
Was die Untersuchung erfasste
Die Forschenden untersuchten 21 Fahrzeuge aus 19 Marken sowie 30 Apps der Autohersteller. Bei den App-Tests nutzten sie Funktionen wie die Ortung des Fahrzeugs und den Zugriff auf die Servicehistorie.
Was die App-Tests ergaben
Die beiden Ergebnisse beziehen sich auf dieselbe Stichprobe von 30 Apps. Als persönliche Kennungen galten etwa der Name des Fahrzeughalters, die Fahrzeug-Identifizierungsnummer oder der präzise Standort; die sieben Apps übermittelten mindestens eine dieser Angaben.
| Ergebnis | Apps | Grundgesamtheit |
| Getestete Apps | 30 | Gesamtstichprobe |
| Kontakt zu mindestens einem externen Werbe- oder Analyseunternehmen | 28 | 30 Apps |
| Übermittlung mindestens einer persönlichen Kennung an ein externes Unternehmen | 7 | 30 Apps |
Wie der Netzwerkverkehr gemessen wurde
Für die Fahrzeugtests fingen die Forschenden den ausgehenden Datenverkehr über einen eigenen WLAN-Zugangspunkt ab – im Stand und während der Fahrt. Zu den Fahrszenarien gehörten starkes Beschleunigen und Bremsen sowie Ausweichmanöver.
Mit veränderten Zertifikaten konnten sie die Inhalte der Datenpakete nicht entschlüsseln. Stattdessen werteten sie DNS-Domains, die Server Name Indication (SNI) beim Aufbau verschlüsselter TLS-Verbindungen, Datenvolumen und Zeitpunkte der Übertragungen sowie Unterschiede zwischen den Testszenarien aus.
Bei elf Elektroautos blockierte ein Faraday-Zelt Mobilfunksignale, um den WLAN-Verkehr zu isolieren. In diesen Tests stellten einige Fahrzeuge die Nutzung verbundener Teilsysteme ein, während andere den Datenverkehr über WLAN umleiteten.
Hondas gemeldete Änderung beim Standortdatentransfer
Nach der Vorstellung der Ergebnisse soll Honda Amplitude angewiesen haben, bereits empfangene Standortdaten zu löschen. Honda soll außerdem keine weiteren Standortdaten an diesen Anbieter übermittelt haben.
Was die Messwerte aussagen
Eine gezählte Verbindung zu einer externen Domain zeigt zunächst, dass ein Fahrzeug oder eine App diesen Dienst kontaktiert hat. Sie belegt für sich genommen weder den Inhalt einzelner Übertragungen noch, wie ein Empfänger bestimmte Daten nutzte.
