Mercedes-Benz gewährte am 30. Juni 2026 Safe Harbor. Der CISO bestätigte den Eingang der Befunde. Dann: 120 Tage Stille. Trotz CEO-Eskalation, Vorstand-CC und fünf Aufsichtsbehörden.
Die identifizierten Schwachstellen betreffen personenbezogene Daten im Sinne von Art. 4 Nr. 1 DSGVO:
Nach Art. 32 DSGVO ist Mercedes-Benz als Verantwortlicher verpflichtet, „angemessene technische und organisatorische Maßnahmen“ zu treffen. XOR-Verschlüsselung und fehlendes Certificate Pinning erfüllen diesen Standard nicht.
| Behörde | Zuständigkeit | Status |
|---|---|---|
| BSI (CERT-Bund) | IT-Sicherheit | Verfahren eröffnet |
| ENISA | EU Cybersecurity | Template-Antwort |
| KBA | Fahrzeugsicherheit | Informiert |
| BaFin | Finanzaufsicht (Mercedes Bank) | Informiert |
| LfDI BW | Datenschutz | Informiert |
Mercedes-Benz gewährte auf unsere Anfrage schriftlichen Safe Harbor — die Zusicherung, keine rechtlichen Schritte gegen den Sicherheitsforscher einzuleiten. Das ist ein positives Signal und zeigt, dass der Prozess zunächst funktionierte.
Was danach kam, war das Problem: Null strukturiertes Engagement. Keine Triage-Rückmeldung. Keine Patch-Bestätigung. Kein gemeinsamer Zeitplan. 120 Tage Stille.
Alle Befunde basieren auf statischer Analyse öffentlich verfügbarer APKs. Kein Systemzugriff. ISO 29147.