Mietwagen filmten während norwegischer Übung am Flughafen Oslo militärische Zugangscodes

Soldaten entdeckten sensible Aufnahmen auf den Fahrzeugbildschirmen

Mindestens zwei während einer norwegischen Militärübung eingesetzte Deepal-Mietwagen zeichneten sensible Vorgänge auf, darunter das Einsteigen von Soldaten, Fahrten zu militärischen Einrichtungen und Codes zum Öffnen von Toren oder Türen. Entdeckt wurden die Aufnahmen während der Operation Capital, auf Norwegisch Operasjon Hovedstad, die vom 14. bis 18. September am Flughafen Oslo stattfand.

Soldaten der Heimwehr, die in den Fahrzeugen warteten, stießen beim Durchsehen der Bordbildschirme auf die Videos. Das Militär nutzte die Autos bis zum Ende der Übung weiter, weil es kaum Ersatzfahrzeuge gab. Nach ihrer Entdeckung löschten die Soldaten die Aufnahmen.

Oberstleutnant Per Gunnar Grosberghaugen, ein Sprecher der norwegischen Heimwehr, bestätigte, dass Aufnahmen in den Fahrzeugen gefunden worden waren:

Ja, Soldaten der Heimwehr haben in den Systemen der Fahrzeuge gespeicherte Videos von deren Sensoren gefunden.

Ob Aufnahmen aus den Autos nach außen übertragen wurden, ist weiterhin unklar. Grosberghaugen sagte, er könne eine Weitergabe an Dritte, auch in China, nicht ausschließen. Hertz Norge, das die Fahrzeuge bereitstellte, erklärte, Kundendaten zu schützen und norwegisches sowie europäisches Recht einzuhalten.

Der Vorfall bringt zwei praktische Sicherheitsprobleme zusammen: Herkömmliche Fahrzeugkameras können sensible Informationen erfassen, und dem Militärpersonal stehen möglicherweise nur begrenzte Transportalternativen zur Verfügung, wenn es während einer Übung ein Problem entdeckt. Das norwegische Militär erklärte, es bevorzuge auf bestimmte Standorte und Fahrzeugfunktionen zugeschnittene Beschränkungen gegenüber einem allgemeinen Verbot in China hergestellter Autos.

Was die Kameras aufzeichneten

Leutnant Fredrik Blanck beschrieb Aufnahmen, die zeigten, wer in die Autos ein- und ausstieg, wer sie fuhr, wohin sie unterwegs waren, wer mitfuhr und wie lange sie an bestimmten Orten blieben. Einige Aufnahmen zeigten außerdem, wie Personen Zugangscodes an militärischen Einrichtungen eingaben.

Ein Torschlüsselcode ist besonders sensibel, weil er wie ein Schlüssel funktioniert. Eine auf einen Eingang gerichtete Kamera kann sowohl den Ort als auch die Ziffernfolge aufzeichnen, mit der jemand hineinkommt. Aufnahmen von Ankünften und Abfahrten können außerdem Routinen offenlegen und bestimmte Personen mit bestimmten Einrichtungen und Zeiten verknüpfen.

Bei den Kameras handelte es sich nach den Angaben um gewöhnliche Armaturenbrettkameras, die eingeschaltet geblieben waren. Deepal wirbt häufig mit Kameras, die einen Rundumblick auf das Fahrzeug ermöglichen; die genauen Modelle, die bei der Übung eingesetzt wurden, wurden jedoch nicht genannt. Solche Geräte können Verkehrsunfälle aufzeichnen oder Fahrern helfen, ihre Umgebung im Blick zu behalten, zugleich aber auch Vorgänge an einem abgesperrten Eingang erfassen.

Etwa drei Wochen nach der Übung wurde der Fund öffentlich bekannt. Der wesentliche Ablauf war klar:

• 14. bis 18. September: Norwegisches Personal nutzte während der Operation Capital am Flughafen Oslo Mietfahrzeuge.
• Während der Übung: Soldaten entdeckten beim Durchsehen der Fahrzeugmenüs gespeicherte Videos mit sensiblen Vorgängen.
• Vor Ende der Übung: Das Personal löschte die Aufnahmen, nutzte die Fahrzeuge aber mangels Alternativen weiter.
• Etwa drei Wochen später: Einzelheiten zu den Aufnahmen wurden öffentlich, anschließend bestätigte die Heimwehr den Fund.

Wer stellte die Autos her und lieferte sie?

Die Deepal-Fahrzeuge werden vom chinesischen, staatlich kontrollierten Autobauer Changan hergestellt. Vermieter war Hertz Norge, das von First Rent A Car Norway AS betrieben wird. Volvo Cars kontrolliert dieses Vermietgeschäft und steht seinerseits unter der Kontrolle der Geely-Gruppe.

Die Eigentümerstruktur ist relevant, weil Hersteller und Vermieter unterschiedliche Unternehmen sind. Changan stellte die Deepal-Autos her. Hertz Norge stellte die Mietwagen über ein mit Geely verbundenes Unternehmen bereit. Die Unternehmen tragen daher unterschiedliche Verantwortung für die Fahrzeugausstattung, die Mietverträge und den Umgang mit Informationen.

Hallvard Nerbovik, Marketing- und Kommunikationsdirektor von Hertz Norge, gab folgende Zusicherung:

Die Daten unserer Kunden sind bei uns sicher.

Nerbovik erläuterte auch die Regeln des Unternehmens für die Weitergabe personenbezogener Informationen:

Personenbezogene Daten im Zusammenhang mit unseren Vermietungen werden ohne ausdrückliche rechtliche Grundlage weder an Fahrzeughersteller noch an unsere Eigentümer oder andere Dritte weitergegeben.

In seiner Antwort ging er nicht darauf ein, wie mit den Bordvideos umgegangen wurde oder ob sie möglicherweise übertragen worden waren. Changan reagierte nicht auf Fragen zu dem Vorfall.

Warum Norwegen Beschränkungen für einzelne Standorte bevorzugt

Das norwegische Militär erklärte, ein pauschales Verbot chinesischer Fahrzeuge hätte im Verhältnis zum erwarteten Sicherheitsgewinn unverhältnismäßige Auswirkungen. Bevorzugt werde eine Bewertung einzelner Standorte und, falls nötig, der Ausschluss von Fahrzeugen mit Kameras und Sensoren, unabhängig von ihrem Herstellungsland.

Bei diesem Ansatz steht die Aufzeichnungstechnik im Mittelpunkt der Zugangsentscheidungen. Eine Kamera, die ein Tastenfeld filmen kann, stellt an einem gesicherten Tor ein Problem dar, egal ob sie in einem Mietwagen, einem Privatfahrzeug oder einem Militärfahrzeug eingebaut ist.

Der Mangel an Ersatzautos während der Operation Capital zeigt auch, wie sich die Verfügbarkeit von Transportmitteln auf Sicherheitsentscheidungen auswirkt. Das Personal hatte sensible Aufnahmen entdeckt, doch die Fahrzeuge wurden weiterhin benötigt, um die Übung abzuschließen. Die Reaktion bestand darin, die Aufnahmen zu löschen und dieselben Autos weiter zu nutzen.

Norwegens umfassendere Sicherheitsbewertungen erklären die Besorgnis mit Blick auf China. In seiner Nationalen Bedrohungsanalyse 2026 beschrieb das Land die wachsenden Möglichkeiten chinesischer Geheimdienst- und Sicherheitsbehörden, Operationen in Norwegen durchzuführen, unter anderem über digitalen Zugang und menschliche Quellen. Israel untersagte chinesische Fahrzeuge im Vorjahr ebenfalls den Zugang zu Militärstützpunkten, wie aus Berichten über die dortige Regelung hervorgeht.

In der Analyse stufte der norwegische Polizeiliche Sicherheitsdienst, kurz PST, den Cyberraum als größte nachrichtendienstliche Bedrohung durch China ein. Chinesische Nachrichtendienstakteure würden Informationen sammeln, die norwegische digitale Infrastruktur kartieren und 2026 Gruppen und Einzelpersonen in Norwegen bedrohen, um Kritik an der Kommunistischen Partei Chinas zu unterbinden.

Der PST rechnet damit, dass chinesische Nachrichtendienstoperationen in Norwegen zunehmend von kommerziellen Cyberdienstleistern und Einzelpersonen ausgeführt werden. Chinesische Sicherheits- und Nachrichtendienstbehörden führen Cyberoperationen nicht nur selbst durch, sondern bezahlen auch kommerzielle Auftragnehmer, die in ihrem Auftrag handeln. Diese Auftragnehmer haben eine zentralere Rolle übernommen und werden zunehmend dazu angehalten, eigene Quellennetzwerke aufzubauen, wodurch die Kapazitäten der Behörden wachsen.

Chinesische Nachrichtendienste versuchen zudem, norwegische Staatsbürger direkt und indirekt anzuwerben, um sensible und geheime Informationen zu beschaffen. Menschen mit Verbindungen nach China durch Studium, Arbeit, Freundschaften oder Familie sind stärker gefährdet, weil solche Kontakte den Diensten mehr Möglichkeiten bieten, Belohnungen anzubieten oder Druck auszuüben. Der PST rechnet außerdem mit Versuchen, norwegische Staatsbürger über Quellen in anderen westlichen Ländern anzuwerben.

In den nördlichen Regionen Norwegens haben die verstärkte Beobachtung chinesischer Aktivitäten und die nationale Sicherheitsstrategie der Regierung den Handlungsspielraum chinesischer Akteure eingeschränkt. Der PST erwartet dennoch, dass sie weiter versuchen werden, dort Fuß zu fassen, vor allem durch verdeckte Kontakte chinesischer Forschungseinrichtungen und von Personen, die im Auftrag chinesischer Sicherheits- und Nachrichtendienstbehörden handeln. Forschung und Bildung gelten demnach als eines der wenigen Felder, in denen dort noch Kontakte und Kooperationen aufgebaut werden können.

Die Analyse warnt außerdem, dass China oder Iran versuchen könnten, Technologie aus norwegischen Forschungs- und Entwicklungsumgebungen zu beschaffen, indem sie sich Zugang zu Forschungseinrichtungen und Fachkreisen verschaffen. Der Einsatz chinesischer Technologie in kritischer Infrastruktur eröffnet Möglichkeiten zur Informationsbeschaffung, weil chinesische Unternehmen zur Zusammenarbeit mit den chinesischen Behörden und deren Nachrichtendiensten verpflichtet sind.

Norwegens gewählte Reaktion ist technisch breiter angelegt: Örtliche Beschränkungen können jedes Fahrzeug erfassen, dessen Ausstattung Informationen sammeln kann, die eine bestimmte Einrichtung schützen muss.

Mehr als 200 Sensoren in einem modernen Auto

Die norwegische Nationale Sicherheitsbehörde, kurz NSM, hatte bereits in ihrer am 5. Februar 2025 vorgestellten Risikobewertung 2025 vor der Überwachung durch Fahrzeuge gewarnt. Ein modernes Auto kann mehr als 200 Sensoren und Funktionen enthalten, die Informationen sammeln.

Die Bewertung ordnet Fahrzeuge in eine umfassendere Warnung vor elektronischen Sensoren in Mobiltelefonen, Smartwatches, Stromzählern, elektronischen Türschlössern und Drohnen ein. Solche Sensoren erleichtern Alltag und Arbeit, können aber auch zum Abhören, Überwachen und Verfolgen missbraucht werden. Organisationen, die für sensible oder schutzbedürftige Güter verantwortlich sind, sollten diese Sicherheitsrisiken erkennen und Vorkehrungen zum Schutz ihrer Zuständigkeiten treffen.

Die NSM beschrieb Kameras im Innenraum, die die Aufmerksamkeit des Fahrers überwachen und auch Mitfahrer filmen können. Mikrofone ermöglichen Telefonate und Sprachbefehle. Außenkameras und Sensoren erfassen Personen und Gegenstände rund um das Fahrzeug. Zusammengenommen können diese Systeme auf einer ansonsten gewöhnlichen Fahrt Bilder, Ton und Bewegungsdaten sammeln.

Innenkameras sollen verhindern, dass Fahrer einschlafen, unaufmerksam werden oder beim Fahren im Dunkeln geblendet werden. Viele Kamerasensoren erhöhen die Verkehrssicherheit, können aber auch anderen Zwecken dienen. Die NSM warnte, dass Ton- und Bildaufnahmen zur Informationsbeschaffung missbraucht werden können, ohne dass der Eigentümer davon weiß. Wenn ein Angreifer Zugriff auf Fahrzeug-Sensordaten erhält oder Fahrzeugfunktionen aus der Ferne steuern kann, entstehen zahlreiche Sicherheitsrisiken.

Internetverbindungen erhöhen das Risiko zusätzlich. Sie ermöglichen die Übertragung von Wartungsinformationen und Softwareupdates zwischen einem Fahrzeug und externen Systemen, können aber auch andere Daten übertragen. Die NSM warnte, dass jemand, der Zugriff auf die Sensoren oder Steuerungen eines Autos erhält, diese zur Überwachung nutzen oder Fahrzeugfunktionen beeinträchtigen könnte.

Moderne Fahrzeuge verfügen über mehrere Netzwerke, darunter Verbindungen über das öffentliche Internet. Laut der NSM schaffen diese eine angreifbare Schnittstelle, über die die Fahrzeugelektronik von außen beeinflusst oder gesteuert werden kann. Über die Verbindungen können außerdem mehr Daten übertragen werden, als für Wartung und Softwareupdates erforderlich sind.

Kaufverträge räumen Herstellern häufig Rechte an den Daten ein, die ein Fahrzeug sammelt. Diese Informationen können weiterverkauft, als Big Data genutzt und für Analysen mit anderen Daten verknüpft werden. Sobald Informationen das Fahrzeug verlassen haben, lässt sich nur schwer nachvollziehen, was mit ihnen geschieht. Das kann sowohl für den Datenschutz als auch für die Sicherheit zum Problem werden.

Die NSM warnte außerdem, dass sich Menschen mit Zugang zu geschützten oder anderen wichtigen Einrichtungen durch große Mengen an Informationen aus Sensoren und sozialen Medien in Verbindung mit Sprach- oder Gesichtserkennung und Standortdaten verfolgen lassen können. Dieselben Informationen können zeigen, wo sich solche Einrichtungen befinden, wie ihre Umgebung aussieht und wo Schwachstellen liegen. Sensordaten könnten daher dazu verwendet werden, nationale Einrichtungen ins Visier zu nehmen.

Andreas Skjold-Lorange von der NSM bezeichnete moderne Fahrzeuge als:

rollende Computer, die Informationen sammeln

Er erläuterte auch, welche Ungewissheit mit den erfassten Informationen verbunden ist:

Wir wissen nicht genau, wohin die Informationen gesendet oder wofür sie verwendet werden.

Der Rat der NSM ist konkret: In der Nähe von Geräten mit Kameras oder Sensoren, auch in modernen Fahrzeugen, sollten sensible Gespräche vermieden werden. Organisationen, die sensible Einrichtungen schützen, sollten zudem überlegen, wie sie diese vor Beobachtung, Abhören und Kartierung durch Fahrzeuge in der Nähe bewahren können.

Die empfohlenen Vorsichtsmaßnahmen gelten auch für andere Produkte mit solchen Sensoren; für Mobiltelefone sind entsprechende Maßnahmen zu treffen.

Osloer Busse gaben Anlass zu anderen Sicherheitsbedenken

Tests im Auftrag des Osloer Nahverkehrsunternehmens Ruter ergaben, dass der chinesische Hersteller Yutong seine Elektrobusse theoretisch über das System für Softwareupdates aus der Ferne stilllegen könnte.

Ein drahtlos übermitteltes Update erreicht ein Fahrzeug über eine Netzwerkverbindung und nicht über ein Kabel in der Werkstatt. Dadurch lassen sich Reparaturen und Softwareänderungen leichter verbreiten. Zugleich entsteht eine Verbindung, über die Änderungen eintreffen können, die den Fahrzeugbetrieb beeinflussen.

Ruter erklärte, Kontrollmechanismen eingeführt zu haben, mit denen eingehende Signale überwacht und verzögert werden können, sodass das Unternehmen die Updates steuern kann. Damit kann der Verkehrsbetrieb festlegen, wann Änderungen seine Busse erreichen.

Das Problem hat unmittelbare Folgen für den Zivilschutz. Norwegen könnte Busse einsetzen, um Menschen in einem Notfall zu evakuieren. Wären die Fahrzeuge dann nicht verfügbar, ginge es nicht mehr nur um ausgefallene Fahrten, sondern auch darum, ob Menschen aus der Gefahrenzone gebracht werden können.

Beim Vorfall mit den Mietwagen geht es um Informationen, die während militärischer Aktivitäten aufgezeichnet wurden. Die Bustests betreffen die Kontrolle darüber, ob Fahrzeuge überhaupt fahren können. Beide Fälle machen alltägliche Verkehrsmittel zu einem Faktor in der nationalen Sicherheitsplanung: Die Behörden müssen wissen, was ein Fahrzeug erfassen und wer seine Funktionen verändern kann.

Auch Fitness-Apps haben militärische Bewegungen offengelegt

Strava, eine App zur Aufzeichnung sportlicher Aktivitäten, hat bereits gezeigt, wie persönliche Technik militärische Aktivitäten offenlegen kann. 2018 ermöglichten veröffentlichte Strava-Daten die Identifizierung von Militärstandorten und Routen von Soldaten, insbesondere in Afghanistan und Syrien.

Im März ließ sich der französische Flugzeugträger Charles de Gaulle anhand der App-Nutzung eines Matrosen im östlichen Mittelmeer nahezu in Echtzeit orten. Ein Eintrag, der eigentlich sportliche Aktivitäten erfassen sollte, gab stattdessen den Standort eines Militärschiffs preis.

Der Zusammenhang mit den norwegischen Autos ist praktischer Natur. Ein Gerät, das eine vertraute Aufgabe erfüllt, kann Details sammeln, die durch den Ort seiner Nutzung sensibel werden. Eine Laufstrecke kann die Position eines Schiffs verraten. Eine Armaturenbrettkamera kann einen Zugangscode aufzeichnen. Das Personal muss daher nicht nur berücksichtigen, wofür ein Gerät eingesetzt wird, sondern auch, welche Informationen es in seiner Umgebung sammelt.

Abhängigkeit schafft eine weitere Angriffsfläche

Die Warnung der NSM geht über einzelne Aufnahmen hinaus. Die Behörde, die daran arbeitet, strategische und digitale Risiken zu verringern, erklärt, dass eine starke Abhängigkeit von Produkten oder Dienstleistungen aus einem einzelnen Land Norwegen verwundbar machen kann, insbesondere wenn dieses Land in Sicherheitsfragen nicht mit Norwegen zusammenarbeitet.

Skjold-Lorange beschrieb die Sorge mit Worten, die für jedes Lieferland gelten:

Wenn wir uns zu stark von Dienstleistungen oder Produkten aus einem bestimmten Land abhängig machen, werden wir verwundbar, ganz gleich, um welches Land es sich handelt.

Die Operation Capital liefert ein kleines, aber konkretes Beispiel dafür, wie Abhängigkeit die Wahlmöglichkeiten einschränkt: Weil Ersatzfahrzeuge fehlten, blieben die betroffenen Autos nach dem Fund der Videos im Einsatz. Ruters Reaktion setzt an einem anderen Teil des Problems an: Sie gibt dem örtlichen Verkehrsbetrieb mehr Kontrolle über eingehende Softwareänderungen.

Für Soldaten, Verkehrsunternehmen und die Menschen, die auf sie angewiesen sind, geht es unmittelbar um Kontrolle. Die Behörden brauchen Fahrzeuge, wenn eine Übung oder ein Notfall sie erfordert, und müssen zugleich Zugangscodes und Bewegungsdaten schützen sowie dafür sorgen, dass die Fahrzeuge weiter betrieben werden können.

Wichtige Punkte

• Mietwagen zeichneten während der Operation Capital am Flughafen Oslo vom 14. bis 18. September militärische Bewegungen und Zugangscodes auf.
• Mindestens zwei Fahrzeuge waren von Changan hergestellte Deepal-Autos, die Hertz Norge bereitstellte.
• Die Soldaten löschten die Aufnahmen, nutzten die Autos wegen des Mangels an Ersatzfahrzeugen aber bis zum Ende der Übung weiter.
• Ob Aufnahmen aus den Fahrzeugen nach außen übertragen wurden, ist weiterhin unklar.
• Das norwegische Militär bevorzugt auf einzelne Standorte und Aufzeichnungsfunktionen zugeschnittene Beschränkungen gegenüber einem pauschalen Verbot chinesischer Autos.
• Die NSM hat vor Fahrzeugsensoren, Fernzugriff und der Abhängigkeit von Lieferanten gewarnt; Ruter hat unterdessen die Kontrolle über eingehende Softwareupdates für Busse verbessert.