Fahrzeug-Softwareupdate: SUMS und UN R156 — was der Freigabestatus wirklich bedeutet

Ein Update im Display, aber ohne sichtbaren Freigabestatus

Das Display meldet ein verfügbares Softwareupdate, der Ladebalken läuft durch, und trotzdem bleibt unklar, ob die neue Funktion tatsächlich aktiv ist. Genau an dieser Stelle verwechseln viele Fahrer zwei völlig verschiedene Dinge: ein heruntergeladenes Paket und ein wirksam freigegebenes Update. Zwischen beiden liegt bei modernen Fahrzeugen eine ganze Prüfkette, die kein einzelner Fortschrittsbalken abbildet.

Diese Kette ist kein Zufallsprodukt der Hersteller, sondern folgt einem international abgestimmten Rahmen. Wer versteht, was ein Software Update Management System leisten muss und wie ein Update vom Hersteller bis zum Fahrzeug wandert, liest einen unklaren Update-Status danach anders. Genau diesen Rahmen ordnet dieser Beitrag, ohne eine Anleitung zur Fehlersuche nach einem bereits abgeschlossenen Update zu sein.

Was ein Fahrzeug-Softwareupdate technisch bedeutet

Ein Fahrzeug-Softwareupdate beginnt nicht mit dem Herunterladen einer Datei, sondern deutlich früher. Bevor überhaupt ein Paket entsteht, muss der Hersteller festlegen, welches Zielsystem betroffen ist, welche Abhängigkeiten zu anderen Steuergeräten bestehen, welcher Softwarestand als freigegeben gilt und wie ein Rückweg aussieht, falls etwas schiefgeht. Erst danach folgen Übertragung, Prüfung, Installation, Aktivierung und eine abschließende Kontrolle.

International beschreibt die Norm ISO 24089 genau diesen Ablauf als Software-Update-Engineering, und zwar sowohl auf Ebene der Organisation als auch auf Ebene des einzelnen Projekts. Für ein Fahrzeug bedeutet das: Ein Update ist ein technischer Prozess mit klar getrennten Phasen, nicht eine einzelne Datei, die irgendwann installiert wird. Jede dieser Phasen kann für sich genommen scheitern, und ein gescheiterter Download sagt nichts darüber aus, ob auch die Installation gescheitert wäre.

Der Grund für diesen Aufwand liegt in der Bauweise moderner Fahrzeuge selbst. Ein einzelnes Steuergerät hängt heute an mehreren Bussystemen und tauscht laufend Daten mit Nachbarsystemen aus, sodass eine unbedacht eingespielte Änderung nicht isoliert bleibt. Je mehr Funktionen softwaregesteuert sind, von der Motorsteuerung bis zu Assistenzsystemen, desto größer wird auch das Risiko, das ein fehlerhaftes oder manipuliertes Update auslösen kann. Genau deshalb behandeln Regulierer ein Softwareupdate inzwischen als eigenständiges sicherheitsrelevantes Ereignis und nicht mehr als reine Komfortfunktion.

SUMS: das Managementsystem hinter jedem Update

SUMS steht für Software Update Management System und bezeichnet keine einzelne Software, sondern die organisatorischen und technischen Prozesse, mit denen ein Hersteller Updates über die gesamte Lebensdauer eines Fahrzeugtyps sicher steuert. Dazu gehören unter anderem gesicherte Übertragungswege, eine Prüfung der Software-Integrität vor der Installation, Zugriffskontrollen für den Update-Vorgang und eine nachvollziehbare Protokollierung, wer welches Update wann ausgelöst hat.

Ein SUMS ist damit eher ein Regelwerk als ein Programm. Es legt fest, wie ein Update entsteht, wie es geprüft wird, wer es freigeben darf und wie ein Fahrzeug reagiert, wenn eine Prüfung fehlschlägt. Für einen einzelnen Fahrer ist davon meist nur ein Bruchteil sichtbar, nämlich der Moment, in dem das Display ein Update anbietet. Alles davor liegt in einem System, das der Hersteller nachweisen muss, bevor ein Fahrzeugtyp überhaupt zugelassen wird.

UN R156: eine Zulassungsvoraussetzung, keine Empfehlung

Die UN-Regelung Nr. 156 der Wirtschaftskommission der Vereinten Nationen für Europa regelt die Genehmigung von Fahrzeugen hinsichtlich Softwareupdates und des dahinterliegenden Managementsystems. Sie ist seit dem 22. Januar 2021 in Kraft und verlangt von Herstellern, ein zertifiziertes SUMS zu betreiben, das eine unabhängige Prüfstelle bewertet hat.

Diese Prüfung ist keine einmalige Formsache. Ein SUMS-Zertifikat gilt üblicherweise für einen begrenzten Zeitraum, und nach einer erneuten positiven Bewertung wird es verlängert oder neu ausgestellt. Ändert sich die Sicherheitsarchitektur eines Fahrzeugtyps wesentlich, wird das SUMS erneut geprüft, unabhängig davon, wann die letzte Bewertung stattgefunden hat. Ohne ein anerkanntes SUMS bekommt ein Fahrzeugtyp in den Staaten, die UN R156 anwenden, schlicht keine Typgenehmigung für updatefähige Systeme.

Damit ist SUMS kein Marketingbegriff, sondern eine harte Zulassungsvoraussetzung. Wer glaubt, ein Hersteller könnte Updates beliebig und ohne Kontrolle verteilen, unterschätzt, wie eng diese Regelung an die Typgenehmigung selbst gekoppelt ist.

Die Regelung betrifft dabei nicht nur brandneue Modelle. Sie greift bei der Typgenehmigung eines Fahrzeugtyps, und ein Hersteller muss sein SUMS über die gesamte Zeit nachweisen können, in der er für diesen Typ noch Updates anbietet. Für einen Halter heißt das im Kern: Ein Update, das über die offiziellen Kanäle des Herstellers kommt, ist Teil eines geprüften Systems, ein Update aus einer anderen Quelle dagegen nicht automatisch von diesem SUMS erfasst, selbst wenn es technisch ähnlich aussieht.

Die Updatekette vom Hersteller bis zum Fahrzeug

Ein einzelnes Update durchläuft in der Praxis mehrere Stationen, bevor es am Fahrzeug ankommt. Zuerst entsteht ein Paket mit einer eindeutigen Kennung, das einem bestimmten Zielsteuergerät und einem bestimmten Fahrzeugtyp zugeordnet ist. Danach wird es signiert, damit das Fahrzeug später prüfen kann, ob das Paket tatsächlich vom Hersteller stammt und unterwegs nicht verändert wurde.

Erst nach dieser Signaturprüfung beginnt die eigentliche Übertragung, entweder drahtlos oder über eine Werkstattverbindung. Am Fahrzeug selbst folgt eine weitere Prüfung, bevor überhaupt installiert wird: Passt das Paket zur aktuellen Softwarekonfiguration, sind alle Abhängigkeiten zu anderen Steuergeräten erfüllt, und erlaubt der aktuelle Fahrzeugzustand eine Installation überhaupt.

Die Signaturprüfung ist dabei kein reines Formalkriterium. Sie stellt sicher, dass ein Paket tatsächlich vom Hersteller freigegeben wurde und auf dem Weg zum Fahrzeug nicht verändert worden ist, weder versehentlich durch einen Übertragungsfehler noch absichtlich durch einen Dritten. Ein Fahrzeug, das ein unsigniertes oder falsch signiertes Paket erkennt, bricht die Installation an dieser Stelle ab, bevor überhaupt ein Byte davon geschrieben wird.

Fällt eine dieser Stationen aus, bricht die Kette an genau dieser Stelle ab, und alle folgenden Schritte finden nicht statt. Ein Update, das nur bis zur Übertragung kommt, ist deshalb etwas grundsätzlich anderes als ein Update, das an der Installation scheitert.

Wie der Softwarestand einer Zulassung zugeordnet wird

Für Software, die für die Typgenehmigung relevant ist, vergibt der Hersteller eine eigene Kennung, die sogenannte RX Software Identification Number, kurz RXSWIN. Sie zeigt, welcher Softwarestand hinter einer bestimmten Genehmigung steht, und sie muss sich in der Regel über die Diagnoseschnittstelle des Fahrzeugs auslesen lassen.

Diese Kennung ist mehr als eine technische Fußnote. Sie erlaubt es dem Hersteller, jederzeit zu belegen, welche Softwareversionen unter einer bestimmten RXSWIN liegen, und für jedes Update zu prüfen, ob es die bestehende Typgenehmigung noch abdeckt oder ob eine Erweiterung nötig wird. Ein Update, das den Charakter der genehmigten Software wesentlich verändert, kann so nicht einfach unter der alten Kennung weiterlaufen.

Freigabestatus: was zwischen Herunterladen und Aktivieren liegt

Der Freigabestatus eines Updates ist keine einzelne Ja-Nein-Angabe, sondern das Ergebnis mehrerer aufeinanderfolgender Prüfungen. Ein Paket kann vollständig heruntergeladen sein und trotzdem nicht freigegeben werden, wenn eine Abhängigkeitsprüfung fehlschlägt oder der Fahrzeugzustand die Installation gerade nicht zulässt. Umgekehrt kann eine Installation technisch erfolgreich verlaufen und trotzdem noch nicht aktiv sein, solange die Aktivierung an eine eigene Bedingung geknüpft ist, etwa den nächsten Startvorgang.

Deshalb lohnt sich ein Blick auf die einzelnen Zwischenschritte, statt nur auf einen einzigen Fortschrittsbalken zu schauen. Ein Downloadfehler, ein Verifikationsfehler, ein Installationsfehler und ein Aktivierungsfehler sind vier unterschiedliche Ereignisse mit vier unterschiedlichen Ursachen, auch wenn sie dem Fahrer alle gleich vorkommen: Das Update ist einfach nicht da.

Wer den Freigabestatus richtig liest, unterscheidet deshalb zuerst, an welcher Station die Kette tatsächlich steht. Erst dieser Schritt macht aus einer diffusen Fehlermeldung eine einordbare Beobachtung.

Rollback ist Teil der Architektur, kein Reparaturtrick

Scheitert ein Update mitten im Vorgang, braucht das Fahrzeug einen definierten Umgang mit dieser Unterbrechung. Genau dafür sehen Spezifikationen wie die AUTOSAR-Vorgaben zum Update- und Konfigurationsmanagement Anforderungen an Fortschrittsanzeigen sowie an Unterbrechungs- und Fortsetzungsszenarien vor, damit ein Fahrzeug nach einem Abbruch nicht in einem undefinierten Zwischenzustand steckenbleibt.

Rollback bedeutet dabei nicht, dass beliebig alte Softwarestände wieder aufgespielt werden dürfen. Schutzmechanismen gegen Downgrades, Kompatibilitätsgrenzen und Sicherheitsanforderungen können ältere Stände bewusst ausschließen, selbst wenn sie technisch noch vorhanden wären. Ein Rollback ist deshalb Teil derselben kontrollierten Architektur wie das Update selbst, kein informeller Reparaturweg für den Fall, dass etwas nicht funktioniert.

Was an UN R156 gerade verhandelt wird — und was nicht

UN R156 ist kein abgeschlossenes Dokument, das seit 2021 unverändert bleibt. Innerhalb der zuständigen Arbeitsgruppe der Vereinten Nationen laufen Beratungen über eine neue Änderungsserie, die den bestehenden Text ergänzen oder anpassen soll. Solche Vorschläge werden in eigenen Arbeitsdokumenten geführt und öffentlich diskutiert, bevor sie überhaupt zur Abstimmung stehen.

Für diesen Beitrag zählt vor allem eine Unterscheidung: Ein Vorschlag ist kein geltendes Recht. Solange eine Änderungsserie noch berät und nicht beschlossen ist, bleibt die bestehende Fassung von UN R156 maßgeblich. Wer aus einem laufenden Verhandlungsdokument bereits verbindliche Pflichten ableitet, verwechselt einen Diskussionsstand mit einer beschlossenen Regel.

Was das für Tuning und Nachrüstung an der Updatekette bedeutet

Für Tuning und Nachrüstung ist diese Kette keine theoretische Angelegenheit. Ein zusätzliches Steuergerät, eine geänderte Konfiguration oder ein Eingriff außerhalb des Herstellerwegs kann Abhängigkeiten verändern, auf die spätere Updates angewiesen sind, selbst wenn die Änderung selbst tadellos funktioniert. Ein Update, das beim Vorgängerzustand noch reibungslos durchlief, kann an genau einer neuen Abhängigkeits- oder Integritätsprüfung scheitern.

Umbauten am eigenen Fahrzeug. Ob ein Umbau auf öffentlichen Straßen betrieben werden darf, entscheidet der Genehmigungszustand des Fahrzeugs — die Genehmigung des Teils, der Einbau nach ihren Auflagen und, wo nötig, die Abnahme durch eine dafür zuständige Stelle. Solange diese Kette nicht vollständig ist, gehört der Umbau auf Privatgelände, Testflächen und in nicht öffentliche Bereiche.

Welche Norm dabei greift und welchen Wortlaut sie trägt, steht ausführlich im Einordnungsblock am Ende dieses Beitrags. Für diesen Abschnitt zählt der Grundsatz: Eine Softwareänderung an einem zugelassenen Fahrzeug ist rechtlich keine Nebensache, nur weil kein Bauteil getauscht wurde, und sie kann die spätere Update-Fähigkeit des Fahrzeugs beeinflussen.

Zwei Denkfehler, die bei Softwareupdates teuer werden

Der erste verbreitete Denkfehler setzt ein drahtloses Update automatisch mit einem funktionierenden SUMS gleich. Beides hängt zusammen, ist aber nicht dasselbe: Die drahtlose Übertragung ist nur der Transportweg, SUMS ist das Regelwerk, das entscheidet, ob dieser Transportweg überhaupt sicher und geprüft genutzt werden darf. Ein Fahrzeug kann drahtlos Daten empfangen und trotzdem kein wirksames Update erhalten, wenn eine der nachfolgenden Prüfungen fehlschlägt.

Der zweite Denkfehler verwechselt einen erfolgreichen Download mit einer erfolgreichen Installation. Ein Paket kann vollständig und unbeschädigt beim Fahrzeug ankommen und trotzdem nicht installiert werden, etwa weil eine Abhängigkeit fehlt oder der Fahrzeugzustand nicht passt. Wer aus einem abgeschlossenen Download schließt, das Update sei bereits aktiv, überspringt genau die Schritte, die den Freigabestatus tatsächlich ausmachen.

Beide Denkfehler haben denselben Kern: Sie behandeln einen einzelnen Teilschritt so, als stünde er stellvertretend für die gesamte Kette. Wer stattdessen jede Station einzeln betrachtet, Übertragung, Verifikation, Installation und Aktivierung, erkennt viel schneller, an welcher konkreten Stelle ein Update tatsächlich steht.

Was Halter aus dem Freigabestatus für sich mitnehmen

Für den Alltag bedeutet das: Ein angezeigtes Update ist eine Momentaufnahme, keine Bestätigung. Solange der Freigabestatus nicht eindeutig als abgeschlossen und aktiviert angezeigt wird, lohnt es sich, die Meldung im Display genauer zu lesen, statt sie als erledigt abzuhaken. Bei sicherheits-, zulassungs- oder emissionsrelevanten Funktionen ist diese Unterscheidung besonders wichtig, weil ein nur teilweise durchlaufenes Update im Zweifel gar keine Wirkung entfaltet.

Bleibt der Status unklar, ist eine Werkstatt mit Zugriff auf die Diagnosedaten des jeweiligen Steuergeräts der richtige Ansprechpartner. Sie kann den tatsächlichen Stand der Kette auslesen, statt sich auf eine einzelne Display-Meldung zu verlassen.

Das gilt besonders dann, wenn am Fahrzeug bereits Änderungen außerhalb des Herstellerwegs vorgenommen wurden. Eine Werkstatt kann in diesem Fall nicht nur den Freigabestatus selbst prüfen, sondern auch einschätzen, ob eine vorhandene Abweichung die weitere Update-Fähigkeit des Fahrzeugs beeinträchtigt.

Häufige Fragen

Einordnung: wo die Angaben herkommen

Die Fundstellen stehen hier gebündelt, damit der Fließtext ohne Normzitate und Regulierungsketten auskommt. Internationale Regelungs- und Normtitel werden nur im Klartext benannt, nicht verlinkt, sofern sie nicht amtlich frei zugänglich sind. Der Normtext von § 19 StVZO ist am 18.09.2026 am amtlichen Angebot gegengelesen; jedes Zitat ist zeichengenau geprüft.