Software-Update am Auto: warum Ladezustand, Netz und Stillstand zählen

Warum ein Auto-Update mehr braucht als nur „Update starten“

Ein Software-Update am Auto wirkt auf den ersten Blick wie ein Update auf dem Smartphone: antippen, warten, fertig. Diese Erwartung führt bei modernen Fahrzeugen in die Irre. Ein Software-Update berührt dort immer ein ganzes Netz aus Steuergeräten, die Lenkung, Bremsen, Antrieb, Klimatisierung und Komfortfunktionen gemeinsam steuern – kein einzelnes Gerät allein. Jedes einzelne davon zählt mit. Bevor überhaupt ein Byte geschrieben wird, muss deshalb feststehen, dass Energie, Verbindung und Fahrzeugzustand den gesamten Vorgang tragen.

Genau diese drei Voraussetzungen – Ladezustand, Netzverbindung und Stillstand – entscheiden, ob ein Update überhaupt starten darf, wie lange es dauert und ob es am Ende erfolgreich abschließt. Die internationale Norm ISO 24089 beschreibt ein Software-Update deshalb als Kette aus Vorbereitung, Übertragung, Prüfung, Installation, Aktivierung und Nachkontrolle – und ausdrücklich nicht als einzelnen Übertragungsschritt. Jede Phase hat eigene Regeln. Schon die Vorbereitung entscheidet mit darüber, wie die spätere Dauer ausfällt: Ein Fahrzeug, das seine Voraussetzungen nicht erfüllt, bricht den Vorgang ab, bevor überhaupt etwas geschrieben wurde – und das ist der bessere der beiden möglichen Fälle.

Ladezustand und Batteriespannung: die unterschätzte Voraussetzung

Die meisten Fahrzeuge aktivieren während eines Software-Updates Steuergeräte, Displays, Kommunikationsmodule und oft auch Lüfter oder Pumpen gleichzeitig – und das bei stehendem Motor, also ohne dass die Lichtmaschine permanent nachliefert. Die 12-Volt-Batterie trägt diese Last allein. Wie viel Reserve ihr dafür noch bleibt, zeigt ihr Ladezustand, englisch State of Charge, zusammen mit ihrem allgemeinen Gesundheitszustand. Wie ein Batteriesensor diese Werte überhaupt ermittelt, unterscheidet sich dabei deutlich von einer einfachen Spannungsanzeige im Cockpit, die oft nur eine grobe Näherung liefert. Genau das macht sie zum Nadelöhr.

Eine Batterie kann rechnerisch noch „genug“ Volt zeigen und trotzdem zu schwach für ein Update sein, weil die Spannung unter Last einbricht, sobald mehrere Verbraucher gleichzeitig zugreifen. Fahrzeughersteller prüfen deshalb vor dem Start eine ganze Marge: wie weit die Spannung noch sinken darf, ohne eine kritische Schwelle zu unterschreiten – ein einzelner Momentanwert reicht dafür nicht. Diese Marge entscheidet alles. Was genau hinter einem solchen Spannungsabfall im 12-Volt-Bordnetz stecken kann, reicht von einer alten Batterie bis zu einem schlecht sitzenden Massekabel. Beides bremst dasselbe Update. Jede dieser Ursachen kann es verzögern, lange bevor jemand überhaupt an die Software denkt.

Warum eine schwache Batterie mitten im Flashvorgang gefährlich wird

Ein Download, der mitten im Übertragen abbricht, ist meistens unproblematisch: Die Datei ist noch nicht installiert, das Steuergerät läuft weiter mit seinem alten, bekannten Stand. Nichts ist kaputt. Kritisch wird es erst beim eigentlichen Schreibvorgang, dem sogenannten Flashen, wenn der neue Programmcode tatsächlich in den Speicher eines Steuergeräts geschrieben wird. Fällt die Versorgungsspannung genau in diesem Moment ab, kann der Schreibvorgang mitten im Speicherbereich abreißen – und zurück bleibt ein Steuergerät, das weder den alten noch den neuen Softwarestand vollständig besitzt. Wie ein Steuergerät beim Schreiben überhaupt geschützt wird, bevor es diesen Zustand erreicht, erklärt der Beitrag zum Secure Boot beim Flashen.

Je mehr Steuergeräte an einem Update gleichzeitig beteiligt sind, desto größer wird dieses Risiko, weil jedes von ihnen während der eigenen Schreibphase ununterbrochen versorgt sein muss. Bei Hybrid- und Mildhybrid-Fahrzeugen kommt hinzu, dass ein zweites Spannungsniveau mitspielt. Zwei Netze, zwei Risiken. Wie ein 48-Volt-Bordnetz neben der klassischen 12-Volt-Ebene überhaupt zusammenarbeitet, zeigt, warum solche Fahrzeuge für ein Update oft strengere Vorbedingungen verlangen als ein rein konventionell versorgtes Auto. Genau deshalb verlangen viele Hersteller vor einem größeren Update ausdrücklich ein externes Ladegerät oder eine stabile Werkstattversorgung. Die Fahrzeugbatterie allein reicht ihnen dafür nicht.

Stabile Netzverbindung: WLAN, Mobilfunk und der Weg ins Fahrzeugnetz

Ein Software-Update kommt heute meist über zwei Wege ins Fahrzeug: über das heimische WLAN oder über ein eingebautes Mobilfunkmodul, das wie ein zweites Smartphone im Auto arbeitet. Beide Wege bringen das Update nur bis zu einem zentralen Kommunikationssteuergerät, dem sogenannten Gateway. Von dort geht die Verteilung an die einzelnen Steuergeräte intern weiter, über ein ganz anderes Netz als das WLAN draußen. Mehr nicht. Wie dieses interne Fahrzeugnetzwerk aus CAN, CAN FD, LIN und Ethernet aufgebaut ist, entscheidet mit darüber, wie schnell ein Update überhaupt im Fahrzeug ankommt.

Für große Paketgrößen reicht ein klassischer CAN-Bus oft nicht mehr aus, weil seine Übertragungsrate für heutige Softwarepakete zu gering ist. Neuere Fahrzeuge setzen deshalb zunehmend auf Automotive-Ethernet-Standards, die intern deutlich mehr Bandbreite liefern als ein herkömmliches Bussystem. Das macht sich bemerkbar. Das verändert auch die Dauer eines Updates: Ein Fahrzeug mit schnellerem internen Netz installiert ein gleich großes Paket oft in einem Bruchteil der Zeit, die ein älteres Fahrzeug mit klassischer Busstruktur dafür braucht.

Ob die Netzverbindung nach außen stabil bleibt, lässt sich am besten so prüfen, dass das Fahrzeug während der gesamten Dauer am selben WLAN oder in einer Umgebung mit durchgehendem Mobilfunkempfang steht – nicht an einer Stelle, an der das Signal zwischendurch zusammenbricht. Wie Daten anschließend über DoIP, CAN und UDS tatsächlich an das richtige Steuergerät übertragen werden, ist eine eigene Protokollebene, die ein Fahrzeug normalerweise selbst verwaltet. Du merkst davon nichts. Dabei bleibt eine einzige praktische Regel entscheidend: eine Verbindung, die während der gesamten Übertragung durchhält, statt nur kurz zu Beginn.

Fahrzeug im Stillstand: warum Parken allein nicht reicht

„Das Auto steht ja“ klingt nach einer erfüllten Voraussetzung, ist aber nur die halbe Wahrheit. Für ein Update zählt der stehende Zustand allein nicht – entscheidend ist zusätzlich, in welchem elektronischen Zustand sich das Fahrzeug dabei befindet. Viele Steuergeräte unterscheiden zwischen einem normalen Fahrbetrieb, einem Parkzustand mit aktiver Diagnosesitzung und einem reinen Ruhezustand, in dem sie kaum noch ansprechbar sind. Drei Zustände, ein Fahrzeug. Wie eine solche Diagnosesitzung technisch aufgebaut ist und welche Zustände ein Steuergerät dabei durchläuft, beschreibt der Beitrag zum UDS-Protokoll.

Ein Update verlangt deshalb meist einen genau definierten Zwischenzustand: Zündung oder Bordnetz aktiv genug, dass die beteiligten Steuergeräte wach und ansprechbar bleiben, aber kein Fahrbetrieb und keine Bewegung. Türen, die während der Installation plötzlich geöffnet werden, können diesen Zwischenzustand stören. Ein Schlüssel, der das Fahrzeug kurz in den Ruhezustand schickt, genauso. Kleinigkeiten reichen aus. Deshalb bricht ein gut konzipiertes Update lieber vorsichtig ab, als in einem unklaren Zustand weiterzumachen.

Warum ein Abbruch während des Flashvorgangs riskant ist

Ein Update durchläuft mehrere Phasen, und nicht jede davon ist gleich empfindlich. Während der reinen Übertragung liegt das neue Paket nur als Datei im Fahrzeug, ohne dass bereits etwas verändert wurde – ein Abbruch kostet hier vor allem Zeit, nicht Sicherheit. Das ist der einfache Fall. Sobald die Installation beginnt und ein Steuergerät seinen Speicher tatsächlich überschreibt, ändert sich das: Ein Abbruch genau in diesem Moment kann einen Zwischenzustand hinterlassen, der weder dem alten noch dem neuen Softwarestand entspricht.

Deshalb bauen Hersteller in ihre Update-Architektur Mechanismen ein, die eine Unterbrechung abfedern sollen – etwa, indem ein Vorgang an einer sicheren Stelle anhält und später an genau dieser Stelle fortgesetzt wird, statt einfach von vorne zu beginnen. Klingt simpel, ist es nicht. Solche Unterbrechungs- und Fortsetzungsmechanismen gehören zu den anspruchsvollsten Teilen der gesamten Update-Architektur, weil sie für jede denkbare Abbruchstelle eine passende Antwort vorhalten müssen. Trotzdem bleibt die einfachste Absicherung immer dieselbe: ein Update gar nicht erst in einer Situation zu starten, in der ein Abbruch wahrscheinlich ist.

Was genau nach einem Abbruch passiert – welche Prüfungen ein Fahrzeug durchläuft, wie es einen beschädigten Stand erkennt und wie ein Rücksprung auf den vorherigen Softwarestand technisch aussieht – ist eine eigene, deutlich tiefere Fragestellung. Der Beitrag OTA-Update am Auto: Signatur und Rollback ordnet genau diese Prüf- und Rückfallkette ein. Hier geht es nur um die Vorbereitung. Dieser Beitrag hier bleibt bewusst eine Ebene davor: Er beschreibt, wie ein Abbruch überhaupt vermieden wird, nicht, was ein Fahrzeug tut, nachdem er trotzdem passiert ist.

Speicherplatz und Zeitfenster: zwei oft übersehene Voraussetzungen

Neben Energie und Verbindung prüft ein Fahrzeug vor dem Start noch eine dritte Voraussetzung, die selten mitgedacht wird: ob genug freier Speicherplatz vorhanden ist. Ein Softwarepaket muss während der Installation oft parallel zum bisherigen Stand existieren, bevor der alte Stand überschrieben oder gelöscht wird. Ist der Speicher eines Steuergeräts bereits randvoll mit Protokolldaten, alten Ständen oder Diagnosehistorie, kann für das neue Paket schlicht kein Platz mehr sein. Auch das blockiert den Start.

Das zweite übersehene Element ist die Dauer selbst. Ein Update, das zehn Minuten dauert, klingt überschaubar – bis man bedenkt, dass ein Fahrzeug während dieser Zeit nicht unterwegs zum nächsten Termin losfahren kann. Wer das Update startet und das Fahrzeug nach fünf Minuten schon wieder braucht, erzeugt genau die Art von Unterbrechung, die ein stabiler Ablauf eigentlich verhindern soll. Zeit einplanen gehört einfach dazu. Realistisch geplante Zeit gehört deshalb genauso zu den Voraussetzungen wie Ladezustand und Netzverbindung.

Was das Fahrzeug selbst prüft, bevor es überhaupt startet

Bevor überhaupt ein Fortschrittsbalken erscheint, lässt ein modernes Fahrzeug intern eine ganze Reihe eigener Prüfungen laufen. Dazu gehört, ob das Update tatsächlich für genau dieses Fahrzeug und genau diese Steuergeräteversion freigegeben ist, und ob die Übertragung von einer vertrauenswürdigen Quelle stammt. Diese Prüfung ist Teil derselben Sicherheitsarchitektur, die auch dafür sorgt, dass sich ein Fahrzeug im Alltag gegen unbefugte Zugriffe absichert. Sicherheit kommt vor Geschwindigkeit. Wie solche Security-Protokolle im Fahrzeug aufgebaut sind, zeigt, dass ein Update-Check kein Einzelfall ist, sondern ein Baustein eines größeren Schutzsystems.

Zusätzlich gleicht das Fahrzeug ab, ob aktuell überhaupt ein stabiler Grundzustand vorliegt – ob also keine offenen, sicherheitsrelevanten Fehlerzustände gemeldet sind, die ein Update zusätzlich erschweren würden. Ein Fehler reicht, um zu bremsen. Wie ein solcher Fehlercode seinen eigenen Status durchläuft, von der ersten Meldung bis zur endgültigen Löschung, beschreibt der Beitrag zum Lebenszyklus eines Diagnosecodes. Erst wenn alle diese Prüfungen unauffällig ausfallen, gibt das Fahrzeug den eigentlichen Startknopf für das Update überhaupt frei.

Nach dem Update: Status prüfen, bevor du wieder losfährst

Ein abgeschlossenes Update ist nicht automatisch ein erfolgreiches Update. Seriöse Abläufe enden deshalb mit einer Nachkontrolle: Das Fahrzeug liest den neuen Softwarestand aller betroffenen Steuergeräte noch einmal aus und vergleicht ihn mit dem erwarteten Zielstand. Erst dann gilt das Update als erledigt. Wie ein solches Auslesen eines Steuergeräts technisch funktioniert, zeigt, warum diese Kontrolle mehr ist als ein Blick auf eine „Update erfolgreich“-Meldung im Display.

Taucht nach dem Update eine Warnleuchte auf, die vorher nicht da war, oder verhält sich eine Funktion anders als gewohnt, lohnt sich eine kurze Probefahrt im überschaubaren Umfeld, bevor die nächste längere Strecke beginnt. Fünf Minuten reichen meistens. Das folgt derselben Logik wie bei jeder anderen größeren Wartung, keiner übertriebenen Vorsicht: Erst prüfen, dass alles wie erwartet reagiert, dann wieder im gewohnten Rahmen fahren.

Checkliste: was vor dem Start stehen sollte

Zusammengefasst lohnt sich vor jedem größeren Software-Update derselbe kurze Realitätscheck. Steht genug Ladezustand in der Batterie zur Verfügung, idealerweise mit einer Pufferreserve statt knapp über der Mindestgrenze? Ist die Netzverbindung durchgehend stabil, nicht nur im Moment des Startens? Steht das Fahrzeug tatsächlich im vorgesehenen Ruhe- oder Diagnosezustand, ohne dass gleich jemand losfahren will? Und ist genug Zeit eingeplant, auch wenn die angezeigte Dauer am Ende kürzer ausfällt als befürchtet? Vier einfache Fragen, ein sicherer Start.

Bei einem Fahrzeug, das zuvor verändert wurde, kommt eine zusätzliche Überlegung hinzu. Ein Steuergerät, das nicht mehr im Auslieferungszustand läuft, reagiert auf ein Hersteller-Update anders als ein unverändertes. Was genau beim Hersteller-Softwareupdate nach einem Chiptuning passiert – vom Überschreiben einzelner Kennfelder bis zum mitgezählten Flash-Zähler – ist deshalb eine eigene Vorprüfung wert, bevor überhaupt an Ladezustand oder Netzverbindung gedacht wird. Diese Reihenfolge spart Ärger.

Wer ein Update ohnehin zum Anlass nimmt, einen veränderten Stand wieder zurückzusetzen, findet die dafür nötigen Schritte im Beitrag Chiptuning rückgängig machen. Für alle anderen gilt einfach: Je vollständiger die Voraussetzungen vor dem Start erfüllt sind, desto unauffälliger verläuft am Ende die eigentliche Dauer des Updates – ohne Überraschungen mitten im Vorgang.

Häufige Fragen

Einordnung: wo die Angaben herkommen

Die technischen Grundlagen zu diesem Beitrag stammen aus öffentlich zugänglichen Normen und Standards zum Software-Update-Management von Fahrzeugen, dazu allgemein zugänglichem Fachwissen aus der Diagnose- und Werkstattpraxis. Die Fundstellen stehen hier gebündelt, damit der Fließtext ohne zusätzliche Verweise auskommt.