APP SECURITY REPORT · Chronologie · Oktober 2026

Mercedes 120 Tage Schweigen: Vom CISO zum CEO — keine Antwort

120 Tage. Vom ersten Bericht am 30. Juni bis zum Full Disclosure am 27. Oktober 2026. Jeder Schritt dokumentiert. Jede Eskalation belegt.

120

Tage Gesamtdauer

7

Vorstandsmitglieder CC

5

Behörden informiert

1

Meeting (20 Min)

Vollständige Chronologie

30. Juni 2026 (Tag 0) — Erster Bericht an security@mercedes-benz.com. Phase 0: Schweregrad-Übersicht ohne technische Details.
Juli 2026 (Tag 1–30) — Safe Harbor gewährt. CISO bestätigt Eingang. Detailierte Schwachstellenbeschreibungen übermittelt.
August 2026 (Tag 31–61) — Keine Rückmeldung auf Nachfragen. Kein Triage-Ergebnis. Kein Patch-Status.
September 2026 (Tag 62–90) — CISO-Eskalation. Vorstand-CC: CEO Ola Källenius + 6 Executives.
Oktober 2026 (Tag 91–110) — Meldungen an BSI, ENISA, KBA, BaFin, LfDI Baden-Württemberg.
20. Oktober 2026 (Tag 113) — Meeting auf Einladung von Mercedes. Ergebnis: „Wir teilen Ihre Einschätzung nicht.“ Keine konkreten Gegenargumente.
21. Oktober 2026 (Tag 114) — Letzte Frist gesetzt: Freitag, 24. Oktober.
24. Oktober 2026 (Tag 117) — Finale Mitteilung direkt an CEO Källenius. Frist verstrichen ohne Antwort.
27. Oktober 2026 (Tag 120) — Full Disclosure. Veröffentlichung des vollständigen technischen Berichts.

Vergleich mit Industriestandards

Standard	Frist	Mercedes
Google Project Zero	90 Tage	120 Tage gewährt
CERT/CC	45 Tage	120 Tage gewährt
ISO 29147	„Angemessen“	120 Tage = angemessen
BSI Empfehlung	90 Tage	120 Tage gewährt

Der Forscher gewährte 33% mehr Zeit als der strikteste Industriestandard (Google Project Zero: 90 Tage).

Was „Veröffentlichung“ bedeutet

Full Disclosure bedeutet: Der technische Bericht wird öffentlich zugänglich gemacht. Credential-Werte (API-Schlüssel, Tokens, Passwörter) werden redaktiert. Veröffentlicht werden: Schwachstellenbeschreibungen, betroffene Komponenten, CVSS-Scores und Empfehlungen.

Das Ziel ist Transparenz, nicht Schadenszufügung. Endnutzer sollen informiert werden, dass ihre Fahrzeug-Apps Sicherheitsmängel aufweisen, die seit 120 Tagen bekannt und unbehoben sind.

Weitere Berichte

Vollständiger Report →