Sicherheit, Redundanz und Regulierung

Sicherheit ist eine strukturierte Aussage über eine definierte Funktion, ein Fahrzeug, eine Betriebsdomäne und eine Version. Sie wird vor der Einführung durch Nachweise und danach durch überwachte Betriebsdaten gestützt. Sie umfasst funktionale Sicherheit, Grenzen der Sensorik, menschliche Faktoren, Cybersicherheit, Betrieb und Regulierung; keine Vorführung, kein Test und keine Kilometerzahl deckt alles ab.

Mit einer Sicherheitsargumentation beginnen

Eine Sicherheitsargumentation ist eine durch Nachweise gestützte Begründung, dass ein System für einen bestimmten Einsatz und eine bestimmte Umgebung ausreichend sicher ist. Sie verknüpft übergeordnete Aussagen mit Gefahren, Anforderungen, Tests, Ergebnissen und betrieblichen Kontrollen.

Der Umfang muss exakt sein. Nachweise für einen langsamen Dienst bei trockenen Bedingungen belegen keine Sicherheit auf einer verschneiten Autobahn. Nachweise für eine Fahrzeugplattform oder Softwareversion lassen sich nicht automatisch auf eine andere übertragen.

Entwickler verwenden unterschiedliche Rahmenwerke, doch eine glaubwürdige Sicherheitsargumentation sollte mindestens Folgendes behandeln:

kompetentes Verhalten im Normalbetrieb;
Erkennung und Behandlung von Fehlern;
Grenzen der vorgesehenen Funktionalität und Wahrnehmung;
sichere Interaktion mit Nutzern und anderen Verkehrsteilnehmern;
Betriebspraktiken, Wartung und Reaktion auf Vorfälle;
Cybersicherheit und kontrollierte Softwareaktualisierungen; und
Nachweise, dass das Risiko im Betrieb akzeptabel bleibt.

Öffentliche Zusammenfassungen sind für die Prüfung nützlich, bilden aber nicht die vollständige Argumentation ab und ersetzen keine behördliche Bewertung.

Mehrere Sicherheitsdisziplinen überschneiden sich

Funktionale Sicherheit behandelt Gefahren durch Fehlfunktionen elektrischer und elektronischer Systeme. ISO 26262 stellt dafür den Rahmen über den automobilen Lebenszyklus bereit.

Die Sicherheit der vorgesehenen Funktionalität nach ISO 21448 behandelt Gefahren, wenn ein System wie vorgesehen arbeitet, Spezifikation, Sensorleistung oder Algorithmus für die Situation jedoch unzureichend sind.

Die KI-Sicherheit in Straßenfahrzeugen nach ISO/PAS 8800 umfasst Risiken aus unzureichenden KI-Ausgaben, systematischen Fehlern und zufälligen Hardwarefehlern.

Das Cybersicherheitsengineering nach ISO/SAE 21434 steuert das Cybersicherheitsrisiko von Fahrzeugen über den gesamten Lebenszyklus.

Diese Disziplinen ergänzen einander, statt sich zu ersetzen. Eine vollkommen zuverlässige Kamera kann eine neuartige Szene dennoch nicht einordnen. Ein leistungsfähiges Wahrnehmungsmodell kann weiterhin unsicher sein, wenn eine kompromittierte Aktualisierung es verändert.

Redundanz muss zur Störung passen

Redundanz ist nur nützlich, wenn der alternative Pfad die betrachtete Störung übersteht. Zwei Rechner an derselben Stromversorgung schützen nicht vor deren Ausfall. Zwei Kameras hinter derselben Verdeckung schützen nicht vor blockierter Sicht.

Architekturen für höhere Automatisierung können Folgendes trennen:

elektrische Versorgungs- und Kommunikationspfade;
Sensormodalitäten und Sichtfelder;
Hauptrechner und unabhängige Sicherheitsüberwachung;
Betätigungspfade für Lenkung und Bremsen;
Lokalisierungsquellen; und
normale Regelung und Regelung für minimales Risiko.

Die Sicherheitsanalyse bestimmt, wo Vielfalt oder Trennung erforderlich ist. Mehr Komponenten können auch mehr Schnittstellen und Fehlermöglichkeiten schaffen; die Anzahl der Hardwarekomponenten ist daher kein Sicherheitsmaß.

Ziel ist eine kontrollierte Degradation. Das Fahrzeug sollte den Fehler erkennen, die für die unmittelbare Situation erforderliche Fähigkeit beibehalten und seinen definierten Zustand minimalen Risikos erreichen.

Die Abhängigkeit vom Menschen ändert sich mit der Stufe

Auf Stufe 2 ist der Mensch Teil des Regelkreises und muss die Straße ständig überwachen. Sicherheit hängt von Fähigkeitsgrenzen, klaren Anweisungen, Fahrerüberwachung, rechtzeitigen Warnungen und Schutz vor vorhersehbarem Fehlgebrauch ab. Das gilt auch, wenn ein Punkt-zu-Punkt-System einer Zielroute folgt, an Kreuzungen abbiegt und vor Verkehrszeichen oder Signalen anhält.

Auf Stufe 3 darf die Person ihre Aufmerksamkeit abwenden, muss aber verfügbar bleiben. Das System benötigt einen geregelten Übergang, der die Zeit zur Wiederherstellung des Situationsbewusstseins berücksichtigt.

Auf Stufe 4 kann es keinen Fahrer geben. System und betriebliche Unterstützung müssen die Rückfallebene bewältigen. Fernunterstützung kann Kontext liefern, sollte aber nicht als Autonomie dargestellt werden, wenn ein entfernter Mensch tatsächlich die Fahraufgabe ausführt.

Modusverwechslung ist eine Gefahr. Die Schnittstelle muss deutlich zeigen, ob Mensch oder System fährt, was das System derzeit leisten kann und welche Reaktion es erwartet.

Validierung erfordert sich ergänzende Nachweise

Kein praktikabler Straßentest kann jedes wichtige Szenario mit statistisch nützlicher Häufigkeit antreffen. Keine Simulation bildet die Realität vollkommen ab.

Ein ausgereiftes Programm kombiniert:

Anforderungs- und Entwurfsanalyse;
Komponenten- und Integrationstests;
Software- und Hardware-in-the-Loop-Tests;
Szenariosimulation und Wiedergabe aufgezeichneter Daten;
Tests auf abgesperrtem Gelände;
überwachte Tests auf öffentlichen Straßen;
unabhängige Prüfung und behördliche Tests; und
überwachte Leistung im Betrieb.

Szenariotests beantworten, ob das Fahrzeug definierte Gefahren bewältigt. Expositionsdaten zeigen, wie sich das eingesetzte System im realen Betrieb verhält. Beide benötigen Bezugsgrößen und einen klaren Umfang.

Eine Million Autobahnkilometer kann keine Aussage zu städtischen Kreuzungen validieren. Eine geringe Unfallzahl ist ohne Strecke, Straßentyp, Schweregrad, Meldeschwelle und vergleichbaren menschlichen Referenzwert nicht aussagekräftig. Vom Unternehmen gemeldete Ergebnisse sollten zusammen mit der veröffentlichten Methodik und Unsicherheit gelesen werden.

Waymos öffentliches Safety-Impact-Dashboard ist ein gutes Beispiel für expositionsbasierte Berichterstattung, weil es fahrgastfreie Sicherheitsfahrerstrecken, Ergebnisdefinitionen, Methoden für menschliche Referenzwerte und herunterladbare Daten bereitstellt. Es bleibt jedoch ein Nachweis für Waymos Servicegebiete und beweist nicht, dass jede Konstruktion für automatisiertes Fahren sicher ist.

Cybersicherheit und Aktualisierungen sind Sicherheitsthemen

Vernetzte Fahrzeuge bieten Schnittstellen über Diagnose, Apps, Funknetze, Cloud-Dienste und Lieferkettensoftware. Ein Angreifer oder eine beschädigte Aktualisierung kann Vertraulichkeit, Verfügbarkeit oder physisches Verhalten beeinträchtigen.

Sicherheit umfasst daher Architektur, Authentifizierung, sicheren Systemstart, Schlüsselverwaltung, Zugriffskontrolle, Überwachung, Reaktion auf Schwachstellen und Lieferantenprozesse. Datenschutz ist damit verbunden, aber eigenständig: Das System kann sicher sein und dennoch mehr Daten über Insassen oder Straßen erfassen, als Nutzer erwarten.

Die UN-Regelungen 155 und 156 schaffen in den anwendenden Märkten Rahmenwerke für Cybersicherheits- und Softwareaktualisierungs-Managementsysteme der Hersteller. Eine drahtlose Aktualisierung einer Fahrfunktion sollte nachvollziehbar, authentifiziert, validiert und überwacht sein. Die Erweiterung der Betriebsdomäne ist eine sicherheitsrelevante Produktänderung und keine routinemäßige Infotainment-Wartung.

Die Genehmigung folgt Funktion und Rechtsraum

„Genehmigt“ kann sich auf verschiedene rechtliche Schritte beziehen:

eine Typgenehmigung für Fahrzeug oder Komponente;
eine Erlaubnis für Tests auf öffentlichen Straßen;
die Zulassung eines kommerziellen fahrerlosen Dienstes;
die Anerkennung einer Genehmigung aus einem anderen Land; oder
die Einhaltung von Straßenverkehrsregeln darüber, was der Mensch tun darf.

Diese Schritte sind nicht austauschbar. Eine SAE-Stufe beschreibt die Verteilung von Fahraufgabe und Rückfallebene; sie ist kein Genehmigungszertifikat.

Für fahrergesteuerte Assistenz legt die UN-Regelung 171 Anforderungen an Driver Control Assistance Systems in den anwendenden Märkten fest. WP.29 verabschiedete im Juni 2026 im Rahmen der fortlaufenden Weiterentwicklung eine zweite Änderungsserie. Da die fahrende Person verantwortlich bleibt, wird ein über Stufe 2 oder eine fahrergesteuerte Route genehmigtes System nicht allein deshalb zu einem Automated Driving System, weil es einer Route folgt oder städtische Kreuzungen bewältigt.

Die UN-Regelung 157 betrifft Automated Lane Keeping Systems und hat in den anwendenden Märkten einen Genehmigungsweg für Autobahnfunktionen der Stufe 3 geschaffen. Die Durchführungsverordnung 2022/1426 der Europäischen Union legt Typgenehmigungsregeln für vollautomatisierte Fahrzeuge in definierten Anwendungsfällen fest, darunter vorgegebene Gebiete, Hub-zu-Hub-Routen und automatisiertes Parken.

Tesla FSD (Supervised) in Europa

Am 10. April 2026 erteilte die niederländische Fahrzeugbehörde RDW Tesla FSD (Supervised) eine europäische Typgenehmigung mit vorläufiger Gültigkeit in den Niederlanden. RDW beschreibt es als fahrergesteuertes Assistenzsystem und nicht als Selbstfahrsystem: Die fahrende Person bleibt verantwortlich, muss den Verkehr überwachen und sofort übernehmen können.

RDW erklärt außerdem, dass europäische und US-amerikanische Versionen nicht eins zu eins vergleichbar sind. Die europäische Bewertung genehmigt daher nicht jede anderswo verkaufte FSD-Funktion oder Softwareversion.

Die niederländische Entscheidung war keine pauschale EU-weite Genehmigung. Laut RDW erfordert eine breitere Gültigkeit die Vorlage bei der Europäischen Kommission, eine Abstimmung der Mitgliedstaaten und eine Mehrheit im zuständigen Ausschuss. Bis zum Abschluss dieses Verfahrens müssen nationale Zulassung oder Anerkennung für jedes Land geprüft werden.

Der UN-Rahmen vom Juni 2026 für fahrerlose ADS

Am 24. Juni 2026 verabschiedete das UNECE-Weltforum für die Harmonisierung von Fahrzeugregelungen, WP.29, den ersten globalen Regelungsrahmen für vollständig fahrerlose Automated Driving Systems. Die Entscheidung umfasste eine neue UN-Regelung nach dem Übereinkommen von 1958 und eine parallele Globale Technische Regelung nach dem Übereinkommen von 1998 sowie Änderungen an etwa neunzig bestehenden UN-Fahrzeugregelungen.

Dieser Rahmen betrifft Systeme, die die vollständige dynamische Fahraufgabe übernehmen, nicht überwachte Assistenz der Stufe 2. Zu den Kernanforderungen gehören:

ein geprüftes Sicherheitsmanagementsystem über den gesamten Lebenszyklus;
eine strukturierte Sicherheitsargumentation ohne unangemessenes Risiko;
glaubwürdige Validierung durch Simulation, auf der Teststrecke und im realen Verkehr;
eine Leistung, die der eines kompetenten menschlichen Fahrers entspricht oder sie übertrifft;
kontinuierliche Überwachung und Berichterstattung im Betrieb; und
Speicherung sicherheitsrelevanter Daten des automatisierten Fahrens.

Der Rahmen kann Betriebsdomänen auf Autobahnen und in Städten abdecken und Fahrzeuge ohne herkömmliche Bedienelemente einschließen. Er ist ein wichtiger Harmonisierungsschritt, weil Hersteller und Behörden nun eine gemeinsame, ergebnisorientierte Sicherheitsstruktur für die ADS-Genehmigung besitzen.

Er ist keine weltweit einheitliche Fahrerlaubnis. Vertragsparteien müssen die einschlägigen Instrumente weiterhin umsetzen, konkrete Fahrzeugsysteme genehmigen und bestimmen, wo fahrerloser Betrieb zulässig ist. Lokales Straßenrecht, Betriebsgenehmigungen und Dienstbedingungen bleiben relevant. Die Entscheidung stuft FSD (Supervised), City NOA oder andere ständig überwachte Funktionen auch nicht als autonomes Fahren neu ein.

Die Vereinigten Staaten gehen einen anderen Weg

In den Vereinigten Staaten greifen bundesstaatliche Fahrzeugsicherheitsaufsicht, Betriebsrecht der Einzelstaaten und lokale Einsatzregeln ineinander. Hersteller bestätigen üblicherweise selbst die Einhaltung bundesweiter Kraftfahrzeugsicherheitsnormen, während Behörden Mängel untersuchen und Anforderungen im Betrieb durchsetzen.

Die Standing General Order der NHTSA verlangt die Meldung bestimmter Unfälle mit Systemen der Stufe 2 und automatisierten Fahrsystemen. Behörden von Staaten und Kommunen können Tests und kommerziellen fahrerlosen Betrieb gesondert regeln. Eine Bundesausnahme, eine staatliche Testerlaubnis und die Erlaubnis zur Beförderung zahlender Fahrgäste sind unterschiedliche Entscheidungen.

Merkmale glaubwürdiger Sicherheitskommunikation

Eine belastbare öffentliche Aussage nennt:

die genaue Automatisierungsstufe und Rolle des Menschen;
Fahrzeug, Hardware, Softwareversion und Betriebsdomäne;
Rückfall- und Minimalrisikoverhalten;
die tatsächlich vorliegende Genehmigung oder Erlaubnis;
das Gebiet ihrer Gültigkeit;
Test- und Betriebsnachweise mit Bezugsgrößen;
bekannte Ausschlüsse und ungelöste Grenzen; und
die Überwachung von Vorfällen und Aktualisierungen.

Unklare Behauptungen wie „sicherer als Menschen“ sind ohne passende Domäne, Ergebnisdefinition, Exposition und Unsicherheit unvollständig. Sicherheit ist keine einmal erreichte Ziellinie. Die Argumentation muss bei Veränderungen an Software, Hardware, Straßen und Betrieb fortgeschrieben werden.