Sicherheit, Redundanz und Regulierung

Zuletzt geändert: Aug. 08, 2026

Sicherheit ist eine strukturierte Aussage zu einer genau definierten Funktion, einem Fahrzeug, einem Betriebsbereich und einer Version. Sie wird vor der Einführung durch Nachweise belegt und danach anhand überwachter Betriebsdaten fortlaufend bewertet. Dazu gehören funktionale Sicherheit, Grenzen der Sensorik, menschliche Faktoren, Cybersicherheit, Betrieb und Regulierung; keine Vorführung, kein einzelner Test und keine Kilometerangabe deckt all diese Aspekte ab.

Am Anfang steht der Sicherheitsnachweis

Ein Sicherheitsnachweis ist eine begründete, durch Belege gestützte Argumentation, dass ein System für einen bestimmten Einsatz und eine bestimmte Umgebung hinreichend sicher ist. Er verknüpft übergeordnete Aussagen mit Gefährdungen, Anforderungen, Prüfungen, Ergebnissen und betrieblichen Maßnahmen.

Der Geltungsbereich muss präzise sein. Nachweise für einen langsamen Dienst bei trockener Witterung belegen keine Sicherheit auf einer verschneiten Autobahn. Ergebnisse für eine Fahrzeugplattform oder Softwareversion lassen sich nicht automatisch auf eine andere übertragen.

Entwickler verwenden unterschiedliche Rahmenwerke. Ein glaubwürdiger Sicherheitsnachweis sollte jedoch mindestens Folgendes behandeln:

kompetentes Verhalten im Normalbetrieb;
Erkennung und Beherrschung von Fehlern und Ausfällen;
Grenzen der vorgesehenen Funktion und der Wahrnehmung;
sichere Interaktion mit Nutzern und anderen Verkehrsteilnehmern;
Betriebsabläufe, Wartung und Reaktion auf Vorfälle;
Cybersicherheit und kontrollierte Softwareaktualisierungen; und
Nachweise dafür, dass das Risiko im Betrieb akzeptabel bleibt.

Öffentliche Zusammenfassungen ermöglichen eine kritische Prüfung, sind aber nicht der vollständige Sicherheitsnachweis und ersetzen keine behördliche Bewertung.

Mehrere Sicherheitsdisziplinen greifen ineinander

Die funktionale Sicherheit behandelt Gefährdungen durch Fehlfunktionen elektrischer und elektronischer Systeme. ISO 26262 liefert dafür den Rahmen über den gesamten automobilen Lebenszyklus.

Die Sicherheit der beabsichtigten Funktion, geregelt in ISO 21448, behandelt Gefährdungen, bei denen das System wie vorgesehen arbeitet, Spezifikation, Sensorleistung oder Algorithmus für die jeweilige Situation aber nicht ausreichen.

Die KI-Sicherheit in Straßenfahrzeugen, behandelt in ISO/PAS 8800, umfasst Risiken durch unzureichende KI-Ausgaben, systematische Fehler und zufällige Hardwarefehler.

Das Cybersicherheits-Engineering nach ISO/SAE 21434 steuert Cybersicherheitsrisiken des Fahrzeugs über den gesamten Lebenszyklus.

Diese Disziplinen ergänzen einander, sie ersetzen sich nicht. Auch eine vollkommen zuverlässige Kamera kann eine neuartige Szene möglicherweise nicht einordnen. Ein leistungsfähiges Wahrnehmungsmodell kann unsicher werden, wenn es durch ein manipuliertes Update verändert wird.

Redundanz muss zur Ausfallursache passen

Redundanz hilft nur, wenn der alternative Pfad den betrachteten Fehler übersteht. Zwei Rechner an derselben Stromversorgung schützen nicht vor deren Ausfall. Zwei Kameras hinter derselben Sichtbehinderung schützen nicht gegen verdeckte Sicht.

Architekturen für höhere Automatisierung können Folgendes trennen:

elektrische Versorgungs- und Kommunikationspfade;
Sensormodalitäten und Sichtfelder;
Hauptrechner und unabhängige Sicherheitsüberwachung;
Betätigungspfade für Lenkung und Bremsen;
Quellen für die Positionsbestimmung; und
normale Regelung und Regelung zum Erreichen eines risikominimalen Zustands.

Die Sicherheitsanalyse bestimmt, wo Vielfalt oder Trennung erforderlich ist. Mehr Komponenten schaffen zugleich zusätzliche Schnittstellen und Ausfallarten. Die Anzahl der Hardwarekomponenten ist deshalb kein Sicherheitsmaßstab.

Ziel ist eine kontrollierte Degradierung. Das Fahrzeug sollte den Fehler erkennen, die für die unmittelbare Situation erforderliche Fähigkeit erhalten und den definierten risikominimalen Zustand erreichen.

Die Abhängigkeit vom Menschen ändert sich je nach Stufe

Auf Level 2 ist der Mensch Teil des Regelkreises und muss den Verkehr ständig überwachen. Sicherheit hängt von klaren Systemgrenzen, eindeutigen Anweisungen, Fahrerüberwachung, rechtzeitigen Warnungen und Schutz vor vorhersehbarem Fehlgebrauch ab. Das gilt auch, wenn ein Punkt-zu-Punkt-System einer Zielroute folgt, an Kreuzungen abbiegt und an Ampeln oder Stoppschildern anhält.

Auf Level 3 darf der Nutzer seine Aufmerksamkeit abwenden, muss aber verfügbar bleiben. Das System benötigt einen gesteuerten Übergang, der die Zeit berücksichtigt, die zum Wiedererlangen des Situationsbewusstseins erforderlich ist.

Auf Level 4 kann ein Fahrer fehlen. Das System und seine betriebliche Unterstützung müssen die Rückfallebene beherrschen. Fernunterstützung kann zusätzlichen Kontext liefern, darf aber nicht als Autonomie ausgegeben werden, wenn ein entfernter Mensch tatsächlich die Fahraufgabe übernimmt.

Modusverwechslungen sind eine Gefährdung. Die Schnittstelle muss eindeutig anzeigen, ob Mensch oder System fährt, was das System aktuell leisten kann und welche Reaktion es erwartet.

Validierung braucht sich ergänzende Nachweise

Kein praktikabler Straßentest kann jedes wichtige Szenario mit statistisch aussagekräftiger Häufigkeit erfassen. Keine Simulation bildet die Realität vollkommen ab.

Ein ausgereiftes Programm kombiniert:

Anforderungs- und Entwurfsanalysen;
Komponenten- und Integrationstests;
Software- und Hardware-in-the-Loop-Prüfungen;
Szenariosimulation und Wiedergabe aufgezeichneter Daten;
Prüfungen auf abgesperrtem Gelände;
überwachte Tests auf öffentlichen Straßen;
unabhängige Begutachtung und behördliche Prüfungen; und
Überwachung der Leistung im Betrieb.

Szenariotests zeigen, ob das Fahrzeug definierte Gefährdungen bewältigt. Expositionsdaten zeigen, wie sich das eingesetzte System im realen Betrieb verhält. Beides erfordert Bezugsgrößen und eine klar abgegrenzte Reichweite.

Eine Million Autobahnkilometer kann keine Aussage zu innerstädtischen Kreuzungen validieren. Eine geringe Unfallzahl ist ohne Fahrleistung, Straßentyp, Schweregrad, Meldeschwelle und einen vergleichbaren menschlichen Referenzwert wenig aussagekräftig. Von Unternehmen gemeldete Ergebnisse müssen zusammen mit der veröffentlichten Methodik und Unsicherheit gelesen werden.

Waymos öffentliches Safety-Impact-Dashboard ist ein gutes Beispiel für expositionsbezogene Berichterstattung, weil es fahrerlose Fahrleistung, Definitionen der Ergebnisse, Methoden für den Vergleich mit menschlichen Fahrern und herunterladbare Daten bereitstellt. Es bleibt jedoch ein Nachweis für Waymos eigene Betriebsbereiche und beweist nicht die Sicherheit jedes automatisierten Fahrsystems.

Cybersicherheit und Updates sind Sicherheitsfragen

Vernetzte Fahrzeuge besitzen Schnittstellen über Diagnosezugänge, Apps, Funknetze, Cloud-Dienste und Software aus der Lieferkette. Ein Angreifer oder ein beschädigtes Update kann Vertraulichkeit, Verfügbarkeit oder das physische Verhalten beeinträchtigen.

Zur Sicherheit gehören deshalb Architektur, Authentifizierung, Secure Boot, Schlüsselverwaltung, Zugriffskontrolle, Überwachung, Reaktion auf Schwachstellen und Lieferantenprozesse. Datenschutz ist damit verbunden, aber nicht identisch: Ein System kann sicher sein und dennoch mehr Daten über Insassen oder den öffentlichen Raum sammeln, als Nutzer erwarten.

Die UN-Regelungen 155 und 156 schaffen in den anwendenden Märkten Rahmenbedingungen für Cybersicherheits- und Software-Update-Managementsysteme der Hersteller. Ein drahtloses Update einer Fahrfunktion sollte nachvollziehbar, authentifiziert, validiert und überwacht sein. Eine Erweiterung des Betriebsbereichs ist eine sicherheitsrelevante Produktänderung und keine routinemäßige Wartung des Infotainments.

Genehmigungen gelten für Funktion und Rechtsraum

„Genehmigt“ kann verschiedene rechtliche Schritte bezeichnen:

eine Typgenehmigung für ein Fahrzeug oder Bauteil;
die Erlaubnis für Tests auf öffentlichen Straßen;
die Zulassung zum Betrieb eines kommerziellen fahrerlosen Dienstes;
die Anerkennung einer Genehmigung in einem anderen Land; oder
die Einhaltung von Straßenverkehrsregeln darüber, was der Mensch tun darf.

Diese Entscheidungen sind nicht austauschbar. Eine SAE-Stufe beschreibt die Aufteilung der Fahraufgabe und der Rückfallebene; sie ist kein Genehmigungszertifikat.

Für fahrergesteuerte Assistenz legt die UN-Regelung 171 Anforderungen an Driver Control Assistance Systems in den anwendenden Märkten fest. WP.29 verabschiedete im Juni 2026 im Zuge der Weiterentwicklung dieser Regeln eine zweite Änderungsserie. Da der Fahrer verantwortlich bleibt, wird ein nach einer Level-2- oder fahrergesteuerten Regelung genehmigtes System nicht allein deshalb zu einem Automated Driving System, weil es einer Route folgt oder innerstädtische Kreuzungen bewältigt.

Die UN-Regelung 157 gilt für Automated Lane Keeping Systems und hat in den anwendenden Märkten einen Genehmigungsweg für Autobahnfunktionen auf Level 3 geschaffen. Die Durchführungsverordnung (EU) 2022/1426 legt Typgenehmigungsregeln für vollautomatisierte Fahrzeuge in definierten Anwendungsfällen fest, darunter vorgegebene Gebiete, Hub-zu-Hub-Strecken und automatisiertes Valet-Parken.

Tesla FSD (Supervised) in Europa

Am 10. April 2026 erteilte die niederländische Fahrzeugbehörde RDW Tesla FSD (Supervised) eine europäische Typgenehmigung mit vorläufiger Gültigkeit in den Niederlanden. Die RDW beschreibt es als fahrergesteuertes Assistenzsystem und nicht als selbstfahrend: Der Fahrer bleibt verantwortlich, muss den Verkehr überwachen und sofort übernehmen können.

Die RDW weist außerdem darauf hin, dass die europäische und die US-Version nicht eins zu eins vergleichbar sind. Die europäische Bewertung genehmigt daher nicht jede FSD-Funktion oder Softwareversion, die anderswo angeboten wird.

Die niederländische Entscheidung war keine pauschale EU-weite Genehmigung. Laut RDW erfordert eine breitere Gültigkeit die Vorlage bei der Europäischen Kommission, eine Abstimmung der Mitgliedstaaten und eine Mehrheit im zuständigen Ausschuss. Bis dieses Verfahren abgeschlossen ist, müssen nationale Genehmigung oder Anerkennung Land für Land geprüft werden.

China trennt überwachte Assistenz von ADS

Auch Chinas Regulierungsstruktur trennt kontinuierlich überwachte Fahrerassistenz vom automatisierten Fahren. Das Ministerium für Industrie und Informationstechnologie legte den Genehmigungsentwurf der Sicherheitsanforderungen an automatisierte Fahrsysteme vom 17. bis 24. Juni 2026 zur Stellungnahme vor. Die nationale Normenplattform führt das Projekt inzwischen als GB 44721—2026 veröffentlicht, das die empfohlene GB/T 44721—2024 ersetzt, und nennt den 1. Juli 2027 als vorgeschlagenes Anwendungsdatum.

Der Entwurf gilt für Fahrzeuge der Klassen M und N mit ADS auf Level 3 und/oder Level 4; automatisiertes Parken ist ausgenommen. Er behandelt die vollständige dynamische Fahraufgabe, Mensch-Maschine-Interaktion, Überwachung der Übernahmefähigkeit, Verhalten zum Erreichen eines risikominimalen Zustands, Sicherheitsabsicherung durch den Hersteller, Sicherheitsnachweise und Validierung. Wo die Texte voneinander abweichen, ist die endgültig veröffentlichte Norm und nicht ein früherer Entwurf maßgeblich.

Chinas GB 47955—2026 gilt dagegen für kombinierte Fahrerassistenz, bei der der Fahrer den Verkehr kontinuierlich beobachten und das Fahrzeug kontrollieren muss. Laut MIIT soll sie am 1. Januar 2027 in Kraft treten. Diese Trennung entspricht der in diesem Artikel verwendeten Grenze: Eine Level-2-Funktion bleibt fahrergesteuert, auch wenn sie navigationsgeführte Manöver ausführt, während ein ADS auf Level 3 oder Level 4 innerhalb seiner Betriebsbedingungen die vollständige Fahraufgabe übernimmt.

Der UN-Rahmen vom Juni 2026 für fahrerlose ADS

Am 24. Juni 2026 verabschiedete das UNECE-Weltforum für die Harmonisierung von Fahrzeugvorschriften, WP.29, den ersten globalen Regulierungsrahmen für vollständig fahrerlose Automated Driving Systems. Die Entscheidung umfasste eine neue UN-Regelung nach dem Übereinkommen von 1958 und eine parallele globale technische Regelung nach dem Übereinkommen von 1998 sowie Änderungen an rund neunzig bestehenden UN-Fahrzeugregelungen.

Dieser Rahmen betrifft Systeme, die die vollständige dynamische Fahraufgabe ausführen, nicht überwachte Assistenz auf Level 2. Zu den Kernanforderungen gehören:

ein geprüftes Sicherheitsmanagementsystem über den gesamten Lebenszyklus;
ein strukturierter Sicherheitsnachweis, der kein unvertretbares Risiko belegt;
glaubwürdige Validierung durch Simulation, auf dem Prüfgelände und im realen Verkehr;
eine Leistung, die der eines kompetenten menschlichen Fahrers entspricht oder sie übertrifft;
kontinuierliche Überwachung und Berichterstattung im Betrieb; und
Speicherung sicherheitsrelevanter Daten zum automatisierten Fahren.

Der Rahmen kann Autobahn- und Stadtbereiche abdecken und Fahrzeuge ohne herkömmliche Fahrerbedienelemente einbeziehen. Er ist ein bedeutender Harmonisierungsschritt, weil Hersteller und Behörden nun über eine gemeinsame, ergebnisorientierte Sicherheitsstruktur für die Genehmigung von ADS verfügen.

Er ist keine weltweit einheitliche Fahrerlaubnis. Die Vertragsparteien müssen die einschlägigen Instrumente weiterhin umsetzen, konkrete Fahrzeugsysteme genehmigen und festlegen, wo fahrerloser Betrieb rechtlich zulässig ist. Lokales Straßenverkehrsrecht, Betriebsgenehmigungen und Einsatzbedingungen bleiben relevant. Die Entscheidung stuft FSD (Supervised), City-NOA oder andere ständig überwachte Funktionen auch nicht als autonomes Fahren ein.

Die USA verfolgen einen anderen Weg

In den USA greifen bundesweite Fahrzeugsicherheitsaufsicht, einzelstaatliches Betriebsrecht und lokale Einsatzregeln ineinander. Hersteller bestätigen die Einhaltung der bundesweiten Sicherheitsstandards für Kraftfahrzeuge in der Regel selbst, während Behörden Mängel untersuchen und Anforderungen im Betrieb durchsetzen.

Die Standing General Order der NHTSA verlangt die Meldung bestimmter Unfälle mit Level-2-Systemen und automatisierten Fahrsystemen. Behörden der Bundesstaaten und Kommunen können Tests und kommerziellen fahrerlosen Betrieb getrennt regeln. Eine bundesweite Ausnahmegenehmigung, eine Testgenehmigung eines Bundesstaates und die Erlaubnis zur Beförderung zahlender Fahrgäste sind unterschiedliche Entscheidungen.

Merkmale glaubwürdiger Sicherheitskommunikation

Eine belastbare öffentliche Aussage nennt:

die genaue Automatisierungsstufe und die Rolle des Menschen;
Fahrzeug, Hardware, Softwareversion und Betriebsbereich;
Rückfallebene und Verhalten zum Erreichen eines risikominimalen Zustands;
die tatsächlich vorhandene Genehmigung oder Erlaubnis;
das Gebiet, in dem sie gilt;
Prüf- und Betriebsnachweise samt Bezugsgrößen;
bekannte Ausschlüsse und ungelöste Einschränkungen; und
die Art, wie Vorfälle und Updates überwacht werden.

Pauschale Aussagen wie „sicherer als Menschen“ sind ohne vergleichbaren Betriebsbereich, Ergebnisdefinition, Exposition und Unsicherheit unvollständig. Sicherheit ist kein Ziel, das nur einmal erreicht wird. Der Nachweis muss weitergeführt werden, wenn sich Software, Hardware, Straßen und Betrieb ändern.

Quellen

Weitere Informationen