Cybersicherheit wird Genehmigungsvoraussetzung: UN-Regelung 155 kommt in die Klasse L

Eine Zeile in einer Tabelle, und die Klasse L ist eine andere

Am 23. Juli 2025 hat die Europäische Kommission eine Delegierte Verordnung erlassen, die auf den ersten Blick nach Verwaltungsarbeit aussieht. Sie ändert eine ältere Verordnung von 2013, und die Änderung besteht im Kern aus zwei Handgriffen: In eine Tabelle kommt eine Zeile, und ans Ende kommt ein neuer Anhang. Wer nur die Überschrift liest, hakt das als Formsache ab. Wer die Tabelle kennt, in die diese Zeile eingefügt wird, sieht sofort, dass hier eine ganze Fahrzeugfamilie eine Anforderung bekommt, die sie vorher nicht hatte.

Denn diese Tabelle ist keine beliebige Liste. Sie ist das Verzeichnis der UNECE-Regelungen, die für die Genehmigung zwei-, drei- und vierrädriger Fahrzeuge in Europa verbindlich sind, und sie war bis dahin bemerkenswert kurz. Die neue Zeile trägt die Nummer 155 und den Gegenstand „Cybersicherheit und Cybersicherheitsmanagementsystem“. Damit wird ein Thema, das man bisher mit Oberklassewagen und vernetzten Assistenzsystemen verbunden hat, zur Voraussetzung für die Genehmigung eines Mopeds.

Genau hier fängt es an, interessant zu werden. Die Klasse L umfasst Fahrzeuge, die im Straßenbild als einfache Technik durchgehen — den Motorroller, das Leichtkraftrad, das kleine Vierradmobil, das Lastendreirad für den Nahtransport. Viele davon sind heute vollelektrisch, haben eine App, eine Bluetooth-Verbindung und ein Steuergerät, das Software ausführt und Updates annimmt. Rechtlich waren sie trotzdem in einer Welt zu Hause, in der eine Genehmigung an messbaren Werten hängt. Diese Welt bekommt jetzt eine zweite Etage.

Das Verzeichnis, das bisher zwei Einträge hatte

Um zu verstehen, warum das eine Zäsur ist, hilft ein Blick auf den Zustand davor. Die Delegierte Verordnung, in die die neue Zeile eingefügt wird, trägt die detaillierten technischen Anforderungen und Prüfverfahren für die Bauweise von Fahrzeugen der Klasse L. In ihrem ersten Anhang steht das „Verzeichnis der verbindlichen UNECE-Regelungen“, und dieses Verzeichnis enthielt genau zwei Zeilen. Zwei. Für sieben Fahrzeugklassen und zweiundzwanzig Unterklassen.

Die erste dieser beiden Zeilen betrifft die elektromagnetische Verträglichkeit, also die Frage, ob sich die Elektronik eines Fahrzeugs mit ihrer Umgebung verträgt. Die zweite trägt den Gegenstand „Schutz von Kraftfahrzeugen gegen unbefugte Benutzung“ und meint das, was man umgangssprachlich Diebstahlsicherung nennt — Lenkradschloss, Wegfahrsperre, die klassische mechanische und elektrische Sicherung gegen fremden Zugriff. Beides sind Anforderungen an Bauteile, die man anfassen kann.

Die dritte Zeile ist von anderer Art. Sie verlangt keinen Gegenstand am Fahrzeug, sondern einen Zustand und ein Verfahren, und sie reicht über den Zeitpunkt der Genehmigung hinaus in den gesamten Lebenszyklus des Fahrzeugtyps hinein. Dass diese Zeile ausgerechnet neben der Diebstahlsicherung steht, ist dabei kein Zufall, sondern eine ziemlich präzise Beschreibung dessen, was passiert ist: Der unbefugte Zugriff auf ein Fahrzeug ist von der Lenksäule in die Software gewandert, und das Genehmigungsrecht zieht nach. Eine Erläuterung unter der Tabelle stellt allerdings klar, dass die bloße Nennung in diesem Verzeichnis noch keinen Ein- oder Anbau verbindlich macht — verbindliche Einbauanforderungen stehen in anderen Anhängen.

Wen die neue Zeile erfasst

Die Zeile nennt die erfassten Fahrzeuge einzeln und lässt keinen Interpretationsspielraum: L1e, L2e, L3e, L4e, L5e, L6e und L7e. Das ist die komplette Aufzählung der Fahrzeugklassen ohne eine einzige Lücke. Vom leichten zweirädrigen Kraftfahrzeug bis zum schweren vierrädrigen Kraftfahrzeug ist alles dabei, und zwar unabhängig von Antriebsart, Leistung, Masse oder Bauform.

Das ist ungewöhnlich. Die meisten Anforderungen in diesem Rechtsgebiet greifen selektiv, weil sie an technische Merkmale anknüpfen: Eine Vorschrift zur Bordkraftstoffdiagnose trifft nur Fahrzeuge mit Verbrennungsmotor, eine Geräuschvorschrift nur solche, die Geräusch erzeugen, eine Vorschrift zum dreirädrigen Aufbau nur Dreiräder. Die Cybersicherheit knüpft dagegen an etwas an, das inzwischen quer durch alle Klassen verbaut ist. Selbst die Trennung zwischen den leichten und den schweren vierrädrigen Kraftfahrzeugen, sonst eine der schärfsten Linien in diesem Rechtsgebiet, spielt an dieser Stelle keine Rolle. Deshalb bleibt am Ende auch keine Klasse übrig, die man ausnehmen könnte.

Praktisch heißt das: Der Motorroller mit 45 Kilometern pro Stunde fällt darunter, das Leichtkraftrad genauso, das dreirädrige Elektrofahrzeug für Personenbeförderung ebenfalls. Auch die kleinen geschlossenen Vierradmobile, die viele als Alternative zum Auto verstehen, stehen in der Aufzählung, und zwar in beiden Gewichtsstufen. Ein Gespann mit Beiwagen ist ebenso genannt wie das dreirädrige Kleinkraftrad und das schwere Gelände-Quad. Die Klassenbuchstaben sind vollständig übernommen, ohne Zusatz und ohne Unterscheidung nach Antriebsart.

Genauso wichtig ist die Gegenprobe, weil in diesem Feld gern Fahrzeuge zusammengeworfen werden, die rechtlich nichts miteinander zu tun haben. Nicht erfasst sind Elektrokleinstfahrzeuge, also die klassischen E-Scooter mit Straßenzulassung: Sie sind keine Fahrzeuge der Klasse L, sondern unterliegen einer eigenen deutschen Verordnung. Ebenfalls draußen bleiben Fahrräder mit Trethilfe bis 250 Watt, deren Unterstützung bei 25 Kilometern pro Stunde endet, weil sie vom Anwendungsbereich der europäischen Fahrzeugverordnung von vornherein ausgenommen sind. Wer über Cybersicherheit in der Mikromobilität spricht, meint also nicht alles, was klein ist und einen Motor hat, sondern eine klar umrissene Fahrzeugfamilie.

Warum ausgerechnet die Pedalfahrzeuge herausfallen

Es gibt genau eine Ausnahme, und sie ist der aufschlussreichste Teil der ganzen Zeile. Ausgenommen sind Fahrzeuge der Klasse L1e, die „für den Pedalantrieb ausgelegt sind“ — die Verordnung verweist dafür auf eine Begriffsbestimmung in der europäischen Rahmenverordnung, die den elektrischen Hilfsantrieb eines Fahrzeugs beschreibt, das eben für den Pedalantrieb ausgelegt ist. Bemerkenswert ist, woran die Ausnahme hängt: nicht am Buchstaben der Unterklasse, sondern an der Antriebsart. Es steht dort nicht „ausgenommen L1e-A“, sondern eine über die Antriebsdefinition beschriebene Teilmenge.

Der Grund für die Ausnahme steht in den Erwägungsgründen der Verordnung, und er ist rein praktischer Natur. Fahrräder mit Trethilfe bis 250 Watt, die bei 25 Kilometern pro Stunde abregeln, sind vom Anwendungsbereich der europäischen Fahrzeugverordnung ohnehin ausgenommen und damit auch von dieser Zeile. Sie machen nach den Zahlen der Kommission im Durchschnitt 97 Prozent des Produktangebots der meisten Fahrradhersteller aus. Die restlichen drei Prozent sind jene L1e-Fahrzeuge mit Pedalantrieb, die knapp innerhalb der Fahrzeugverordnung liegen. Hätte man diese drei Prozent unter die Cybersicherheitsregelung gestellt, müsste ein Fahrradhersteller für dasselbe Werk zwei völlig verschiedene Nachweiswege führen.

Und das ist der Punkt, an dem die Ausnahme aufhört, eine Lücke zu sein. Die herausgenommenen Fahrzeuge fallen nicht ins Leere, sondern unter die europäische Cyberresilienz-Verordnung, also unter das horizontale Produktrecht für Erzeugnisse mit digitalen Elementen — dafür sorgt eine eigene Delegierte Verordnung vom 29. Juli 2025. Wer sich für Eingriffe an Antriebssystemen von Fahrrädern interessiert, sollte das im Kopf behalten: Das Thema verschwindet dort nicht, es wechselt nur das Regelwerk. Aus einer Genehmigungsanforderung wird eine Produktanforderung, und beide haben eigene Nachweispflichten.

Die Schwelle steht in der Regelung selbst

Die Zeile in der Tabelle sagt, für welche Fahrzeugklassen die Regelung gilt. Sie sagt nicht, ab wann sie ein konkretes Fahrzeug überhaupt betrifft. Diese Schwelle steht in der UN-Regelung selbst, gleich in ihrem ersten Abschnitt, und sie ist kurz genug für ein wörtliches Zitat: Die Regelung gilt hinsichtlich der Cybersicherheit für Fahrzeuge der genannten Klassen, „wenn diese mit mindestens einem elektronischen Steuergerät ausgestattet sind“.

Mindestens eines. Das ist eine ausgesprochen niedrige Schwelle, und sie ist mit Absicht so gewählt. Ein rein mechanisches Fahrzeug ohne jede Elektronik bleibt draußen, aber ein solches Fahrzeug ist im heutigen Angebot der Klasse L kaum noch zu finden. Sobald ein Steuergerät verbaut ist, das Software ausführt — und das ist bei jedem elektrisch angetriebenen Fahrzeug schon deshalb der Fall, weil die Leistungselektronik gesteuert werden muss —, greift die Regelung dem Wortlaut nach. Die Frage lautet also nicht, ob ein Fahrzeug „vernetzt genug“ ist. Sie lautet, ob überhaupt ein Steuergerät verbaut ist.

Was dabei oft übersehen wird: Die Regelung selbst ist nicht auf die Klasse L gemünzt. Ihr Anwendungsbereich nennt die Klassen L, M, N und O, also Krafträder, Personenwagen, Nutzfahrzeuge und Anhänger. Sie war zuerst für die großen Klassen da, und der Schritt, um den es hier geht, besteht darin, dass ihr Anwendungsbereich auf die Klasse L erweitert wurde und die Europäische Union diese Erweiterung nun in ihr eigenes Genehmigungsrecht übernimmt. Der Maßstab, der jetzt für ein Moped gilt, ist derselbe, der für einen Lastwagen gilt.

Zwei Daten, und woher das erste kommt

Der neue Anhang, den die Änderungsverordnung anfügt, trägt die Überschrift „Anforderungen an den Schutz von Fahrzeugen vor Cyberangriffen“ und ist erstaunlich kurz. Er definiert den Fahrzeugtyp in Bezug auf die Cybersicherheit, erklärt die genannten Fahrzeugklassen für verpflichtet und setzt dann zwei Termine. Für neue Fahrzeugtypen gilt die Anforderung ab dem 11. Dezember 2027. Für bestehende Fahrzeugtypen gilt sie ab dem 11. Juni 2029.

Das erste Datum wirkt willkürlich, ist es aber nicht. Der 11. Dezember 2027 ist der Tag, an dem die europäische Cyberresilienz-Verordnung anwendbar wird — das steht wörtlich in deren Schlussartikel, und die Erwägungsgründe der Änderungsverordnung sagen ausdrücklich, dass die Anwendbarkeit an diesen Geltungsbeginn angeglichen werden sollte. Damit starten beide Regime am selben Tag: das Genehmigungsrecht für die Fahrzeuge, die in der Fahrzeugverordnung stehen, und das Produktrecht für die, die herausgenommen wurden. Das ist keine Zufallszahl, sondern eine bewusst gesetzte Gleichzeitigkeit.

Das zweite Datum ist der eigentlich harte Teil, auch wenn es später liegt. Denn es betrifft nicht Fahrzeuge, die noch entwickelt werden, sondern Typen, die es längst gibt und die weiterverkauft werden sollen. Die Erwägungsgründe begründen den Abstand von achtzehn Monaten damit, dass nationale Behörden und Hersteller mehr Zeit brauchen, um auch alle bestehenden Fahrzeugtypen auf den geforderten Stand zu bringen. Im Alltag heißt das: Ein Fahrzeugtyp, der heute im Markt ist, muss bis Mitte 2029 eine Nachweiskette bekommen, die es bei seiner ursprünglichen Genehmigung noch gar nicht gab.

Ein zweiter Typbegriff neben der Fahrzeugklasse

Der neue Anhang tut noch etwas, das leicht untergeht, aber weitreichend ist: Er führt einen eigenen Typbegriff ein. Ein „Fahrzeugtyp in Bezug auf die Cybersicherheit“ ist danach eine Klasse von Fahrzeugen, die sich in zwei Punkten nicht unterscheiden — in der vom Hersteller angegebenen Typbezeichnung und in den „wesentlichen Aspekten der elektrischen/elektronischen Architektur und der externen Schnittstellen hinsichtlich der Cybersicherheit“. Damit hängt die Typidentität plötzlich an der Elektronikarchitektur.

Bisher wurde ein Fahrzeug über Werte eingeordnet, die im Zulassungsrecht seit Jahrzehnten dieselben sind: Räderzahl, Hubraum oder Nenndauerleistung, bauartbedingte Höchstgeschwindigkeit, Masse in fahrbereitem Zustand. Diese Werte entscheiden über die Klasse, und an der Klasse hängt dann alles Weitere — Kennzeichen, Fahrerlaubnis, Zulassung, Untersuchungspflicht. Wer die Papiere eines Leichtfahrzeugs einmal durchgesehen hat, kennt diese Werte aus den Feldern der Bescheinigung.

Der neue Typbegriff steht daneben, nicht darüber und nicht darunter. Zwei Fahrzeuge können in derselben Fahrzeugklasse liegen und trotzdem verschiedene Cybersicherheitstypen sein, wenn sich ihre elektronische Architektur wesentlich unterscheidet. Umgekehrt kann ein Hersteller mehrere Modelle in einem Cybersicherheitstyp bündeln, wenn die Architektur dieselbe ist. Zwei Ordnungssysteme laufen also nebeneinander her, und sie schneiden die Produktpalette entlang verschiedener Linien. Genau das macht die Zuordnung im Einzelfall aufwendiger, als der kurze Text vermuten lässt.

Was ein Managementsystem von einer Bauvorschrift unterscheidet

Der zweite Teil der Überschrift — Cybersicherheitsmanagementsystem — ist der Teil, der die Sache grundsätzlich von allem unterscheidet, was in diesem Verzeichnis bisher stand. Die Regelung definiert ein solches System als „einen systematischen, risikobasierten Ansatz zur Festlegung von organisatorischen Abläufen, Zuständigkeiten und Governance beim Umgang mit Risiken im Zusammenhang mit Cyberbedrohungen für Fahrzeuge und beim Schutz von Fahrzeugen vor Cyberangriffen“. Das ist keine Eigenschaft eines Bauteils. Das ist eine Eigenschaft einer Organisation.

Eine Bauvorschrift prüft man am Fahrzeug: Man misst, man belastet, man vergleicht mit einem Grenzwert. Ein Managementsystem prüft man dagegen an Verfahren und Nachweisen — und die Regelung sagt ausdrücklich, dass der Hersteller darlegen muss, dass sein System in drei Phasen anwendbar ist: in der Entwicklungsphase, in der Produktionsphase und in der Post-Produktionsphase. Die dritte Phase ist die eigentliche Neuerung. Sie beginnt, wenn ein Fahrzeugtyp nicht mehr gebaut wird, und endet erst, wenn kein betriebsfähiges Fahrzeug dieses Typs mehr existiert.

Und das hat Folgen, die weit über den Genehmigungstermin hinausreichen. Der Hersteller muss nachweisen, dass die Überwachung auf Bedrohungen und Schwachstellen ununterbrochen erfolgt und dass Fahrzeuge nach der Erstzulassung darin einbezogen sind. Ein Fahrzeug, das einmal verkauft ist, verschwindet damit nicht mehr aus dem Blickfeld des Genehmigungsrechts, sondern bleibt Teil eines laufenden Prozesses. Für eine Fahrzeugfamilie, deren Modelle oft zehn oder fünfzehn Jahre in Gebrauch bleiben, ist das eine erhebliche Verlängerung der Verantwortungskette.

Die Bescheinigung, die abläuft

Damit ein Fahrzeugtyp die Genehmigung hinsichtlich der Cybersicherheit bekommen kann, muss der Hersteller zuvor eine eigene Bescheinigung besitzen: die Konformitätsbescheinigung für das Cybersicherheitsmanagementsystem. Sie wird von einer Genehmigungsbehörde oder ihrem technischen Dienst nach einer Bewertung ausgestellt und bestätigt, dass die Verfahren im Unternehmen den Anforderungen genügen. Sie ist die Voraussetzung, nicht das Ergebnis.

Diese Bescheinigung hat eine Eigenschaft, die man aus dem klassischen Genehmigungsrecht so nicht kennt: Sie bleibt „maximal drei Jahre ab Ausstellungsdatum gültig, sofern sie nicht zurückgenommen wird“. Eine EU-Typgenehmigung wird nach Artikel 37 Absatz 1 der Verordnung (EU) Nr. 168/2013 „für eine unbegrenzte Dauer“ ausgestellt — sie kann aber nach Absatz 2 ungültig werden, unter anderem dann, wenn neue verbindliche Anforderungen dazukommen und sich die Genehmigung nicht entsprechend aktualisieren lässt. Genau dieser Fall droht bestehenden Fahrzeugtypen ab dem 11. Juni 2029. Neu ist deshalb nicht, dass ein Papier seine Wirkung verlieren kann, sondern dass eines von vornherein eine feste Höchstdauer trägt. Der Hersteller muss rechtzeitig eine neue beantragen oder verlängern lassen, und die Behörde prüft dabei erneut, ob das System die Vorschriften noch erfüllt.

Der Satz, der daraus die schärfste Folge zieht, steht am Ende desselben Abschnitts. Läuft die Bescheinigung ab oder wird sie zurückgenommen, gilt das für die betroffenen Fahrzeugtypen als Änderung — mit der möglichen Folge, dass die Genehmigung zurückgenommen wird, wenn die Bedingungen für ihre Erteilung nicht mehr erfüllt sind. Die Fahrzeuggenehmigung ist damit an einen Organisationsnachweis gekoppelt, der regelmäßig erneuert werden muss. Das ist ein anderes Verhältnis von Papier und Fahrzeug, als es dieses Rechtsgebiet gewohnt ist.

Drei Ebenen, die nicht dasselbe regeln

An dieser Stelle lohnt es sich, sauber zu trennen, denn im Gespräch werden drei völlig verschiedene Anforderungen gern in einen Topf geworfen. Alle drei betreffen die Elektronik eines Fahrzeugs der Klasse L, aber sie verfolgen unterschiedliche Zwecke, stehen an unterschiedlichen Stellen und richten sich an unterschiedliche Adressaten. Zwei davon gibt es seit 2013, die dritte kommt jetzt dazu. Wer sie auseinanderhält, versteht auch, warum die neue Anforderung nichts von dem ersetzt, was schon gilt.

Die erste Ebene ist die älteste und für dieses Thema die vertrauteste. Die europäische Rahmenverordnung verpflichtet den Hersteller — mit Ausnahme der beiden leistungsstärksten Unterklassen — dazu, Fahrzeuge mit Merkmalen auszustatten, die unbefugte Eingriffe in den Antriebsstrang verhindern, und sie nennt als Ziel ausdrücklich die Verhinderung von Veränderungen, die die Sicherheit insbesondere durch eine Leistungssteigerung beeinträchtigen können. Ein weiterer Absatz verlangt vom Hersteller, durch beste Ingenieurspraxis zu verhindern, dass nachteilige Veränderungen technisch überhaupt möglich sind.

Der Unterschied zur dritten Ebene ist grundlegend, und er wird oft verwischt. Der Schutz des Antriebsstrangs richtet sich gegen die Leistungssteigerung und schützt Umwelt und Betriebssicherheit. Die Cybersicherheit richtet sich gegen Angriffe auf elektronische Bauteile und schützt vor Schäden, die einer Organisation oder einer Person zugefügt werden. Dass beide Ebenen in derselben Delegierten Verordnung stehen — die eine in einem älteren Anhang, die andere im neuen —, ändert nichts daran, dass sie verschiedene Fragen beantworten. Wer sie vermischt, kommt bei beiden zum falschen Ergebnis.

Der Anschlussmarkt steht schon im Prüfmaßstab

Ein Detail im Genehmigungsteil der Regelung verdient besondere Aufmerksamkeit, weil es zeigt, dass der Verordnungsgeber die Frage nach nachträglicher Software längst mitgedacht hat. Die Behörde versagt die Genehmigung unter anderem dann, wenn der Hersteller keine angemessenen und verhältnismäßigen Maßnahmen ergriffen hat, um bestimmte Umgebungen des Fahrzeugtyps zu sichern, und zwar ausdrücklich „in Bezug auf die Speicherung und Ausführung von Software, Diensten, Anwendungen oder Daten des Anschlussmarktes“. Der Begriff steht dort ohne nähere Bestimmung; die Regelung definiert ihn an keiner Stelle. Bemerkenswert ist allein, dass er im Katalog der Versagungsgründe überhaupt auftaucht.

Der Anschlussmarkt ist also kein blinder Fleck, sondern ein benannter Prüfungsgegenstand. Die Regelung verbietet nachträgliche Software nicht — sie verlangt vom Hersteller, dass er die Umgebung absichert, in der solche Software gespeichert und ausgeführt wird, sofern sein Fahrzeug eine solche Umgebung überhaupt vorsieht. Das ist ein Auftrag an die Konstruktion, nicht ein Verbot an den Anwender. Aber es macht deutlich, in welche Richtung die Konstruktion gehen soll.

Dazu kommt die Erwartung an das Managementsystem, dass es Bedrohungen und Schwachstellen laufend erkennt und darauf reagiert, und dass Fahrzeuge nach der Erstzulassung darin einbezogen sind. Für die Praxis heißt das schlicht: Die Aufmerksamkeit des Herstellers für den Zustand seiner Fahrzeugsoftware endet nicht mehr mit der Auslieferung. Eine Erwartung, die früher informell war, wird zu einer Nachweispflicht mit Behördenbeteiligung.

Was das für einen Eingriff in die Fahrzeugsoftware bedeutet

Jetzt zur Frage, die viele Leser mitbringen: Was ändert sich, wenn jemand an der Software seines eigenen Fahrzeugs etwas verändert? Die ehrliche Antwort lautet, dass sich an der bisherigen Rechtslage nichts weggenommen wird, aber eine weitere Ebene dazukommt, die vorher nicht existierte. Es ist keine neue Verbotsnorm für den Anwender, sondern eine zusätzliche Genehmigungsanforderung an den Fahrzeugtyp, die das Umfeld eines solchen Eingriffs verändert.

Die Regelung selbst enthält einen Abschnitt über die Änderung des Fahrzeugtyps. Er verlangt, dass die Genehmigungsbehörde über jede Änderung benachrichtigt wird, die sich auf die technische Leistung im Hinblick auf die Cybersicherheit oder auf die Dokumentation auswirkt. Die Behörde kann dann feststellen, dass die Änderung mit der bestehenden Genehmigung im Einklang steht, oder eine ergänzende Bewertung durchführen. Adressat dieser Pflicht ist der Fahrzeughersteller, nicht der einzelne Halter — aber der Maßstab, an dem ein verändertes Fahrzeug gemessen wird, ist damit ein anderer geworden.

Der zweite Punkt ist der wichtigere und älter als die Cybersicherheitsregelung. Nach einer Veränderung des Antriebsstrangs muss ein Fahrzeug den technischen Anforderungen entsprechen, die für seine ursprüngliche Fahrzeugklasse und Unterklasse galten — oder gegebenenfalls für die neue. Fällt das veränderte Fahrzeug in eine neue Klasse oder Unterklasse, ist eine neue Typgenehmigung zu beantragen. Wer wissen will, wie schnell eine solche Grenze gerissen ist, findet die Schwellen in der Übersicht zu Klassen, Führerschein und Zulassung bei Leichtfahrzeugen. Der Punkt hier ist ein anderer: Zu den Anforderungen der neuen Klasse gehört ab 2027 auch die Cybersicherheit.

Was in diesem Beitrag bewusst nicht steht, gehört zur Sache dazu. Hier werden keine Angriffswege beschrieben, keine Werkzeuge genannt, keine Schwachstellen und keine Vorgehensweisen — auch nicht abstrakt. Die Regelung selbst enthält eine Liste von Bedrohungen und zugehörigen Minderungsmaßnahmen; sie ist an Hersteller und technische Dienste gerichtet und wird hier nicht wiedergegeben. Und für die Nutzung gilt unverändert, was für dieses ganze Themenfeld gilt: Ein verändertes Fahrzeug gehört auf Privatgelände, Testflächen und in nicht öffentliche Bereiche.

Die deutsche Seite: Software an Fahrzeugen, die schon fahren

Die europäische Ebene regelt die Genehmigung eines Fahrzeugtyps. Was mit einem einzelnen Fahrzeug passiert, das bereits im Verkehr ist, entscheidet dagegen das deutsche Recht — und dort steht seit einiger Zeit ein Satz, der genau diesen Fall trifft. Die Vorschrift über die Wirksamkeit der Betriebserlaubnis enthält am Ende ihres zweiten Absatzes eine Anordnung für Softwareänderungen an Fahrzeugen, die schon im Verkehr sind: Dabei sind zusätzlich die dazu amtlich bekannt gemachten Vorschriften zur Durchführung sowie der Stand der Technik zu beachten.

Zwei Dinge daran sind bemerkenswert. Erstens ist die Software damit ausdrücklich als eigener Gegenstand benannt, nicht als Anhängsel eines Bauteils. Zweitens verweist die Vorschrift auf den Stand der Technik, also auf einen beweglichen Maßstab, der sich mit der Technik verschiebt. Ein Maßstab, der sich verschiebt, wird von neuen verbindlichen Regelungen mitgezogen — und genau das ist der stille Übergang zwischen europäischer Genehmigung und deutscher Betriebserlaubnis. Unmittelbar darauf folgt allerdings ein zweiter Satz, der die Reichweite begrenzt: Softwareänderungen nicht genehmigungspflichtiger Erweiterungen sind davon nicht betroffen.

Dazu kommt die Kette, die den ganzen Bereich trägt. Die Betriebserlaubnis erlischt, wenn Änderungen vorgenommen werden, durch die die genehmigte Fahrzeugart geändert wird, eine Gefährdung von Verkehrsteilnehmern zu erwarten ist oder das Abgas- oder Geräuschverhalten verschlechtert wird. Ist sie erloschen, darf das Fahrzeug nicht auf öffentlichen Straßen in Betrieb genommen werden — und die zweite Hälfte desselben Satzes, die fast immer weggelassen wird, verbietet auch, dass der Halter die Inbetriebnahme anordnet oder zulässt. Das trifft Eltern, Halterinnen und Verleiher genauso wie die fahrende Person.

Und ein Detail entscheidet darüber, ob diese Kette bei einem europäisch genehmigten Fahrzeug überhaupt greift. Die Vorschrift enthält einen eigenen Absatz, der die vorangehenden Absätze für entsprechend anwendbar erklärt auf die EG-Typgenehmigung, die EG-Genehmigung und die EU-Einzelgenehmigung. Ohne diese Brücke ginge die deutsche Erlöschensregel bei einem Fahrzeug mit europäischer Typgenehmigung ins Leere, denn ein solches Fahrzeug hat gar keine nationale Betriebserlaubnis. Fast jedes moderne Elektromotorrad der Klasse L3e fährt mit einer europäischen Genehmigung, nicht mit einer deutschen.

Die Versionsfalle: welche Fassung verbindlich ist

Ein Punkt, an dem sich in diesem Feld regelmäßig Fehler einschleichen, betrifft die Fassung. UNECE-Regelungen werden fortlaufend geändert; sie tragen Änderungsserien und Ergänzungen, und die jeweils neueste Fassung ist nicht automatisch die, die in Europa gilt. Verbindlich ist immer die Fassung, die im europäischen Verzeichnis genannt ist, und dort steht bei der Cybersicherheit „Ergänzung 3 zur Änderungsserie 00″.

Das ist der ursprüngliche Regelungsstand, dreimal ergänzt, nicht eine spätere Änderungsserie. Wer auf der UNECE-Seite die aktuellste Fassung liest und sie für europäisch verbindlich hält, kann daneben liegen — nicht unbedingt beim Grundgedanken, aber im Detail, und im Detail liegt bei Genehmigungsfragen der ganze Unterschied. Die europäische Zeile nennt zusätzlich die Fundstelle im Amtsblatt vom 10. Januar 2025, und genau diese Veröffentlichung ist der maßgebliche Text.

Der Grund dafür ist einfach. Die Europäische Union übernimmt UNECE-Regelungen nicht pauschal und laufend, sondern jeweils in einer bestimmten Fassung durch einen eigenen Rechtsakt. Zwischen einer neuen UNECE-Ergänzung und ihrer europäischen Übernahme kann Zeit vergehen, manchmal Jahre. In dieser Zeit gelten in Europa und außerhalb Europas unterschiedliche Stände derselben Regelung. Deshalb steht die Fassung ausdrücklich in der Tabelle, und deshalb gehört sie zu jeder korrekten Angabe dazu.

Was sich daraus für die nächsten Jahre ablesen lässt

Zusammengenommen ergibt sich ein ziemlich klares Bild, und es lohnt sich, dabei bei dem zu bleiben, was in den Texten steht. Die Klasse L bekommt zum ersten Mal eine Genehmigungsanforderung, die nicht am Fahrzeug gemessen wird, sondern beim Hersteller geprüft wird. Sie gilt für alle sieben Klassen; draußen bleibt allein die Teilmenge der L1e, die für den Pedalantrieb ausgelegt ist. Sie greift, sobald ein einziges Steuergerät verbaut ist. Und sie endet nicht mit der Auslieferung, sondern reicht bis zum Ende der Lebensdauer aller Fahrzeuge eines Typs.

Für den Alltag der nächsten zwei Jahre ändert sich für Halterinnen und Halter zunächst nichts. Die Fristen richten sich an Fahrzeugtypen und deren Genehmigung, nicht an einzelne Fahrzeuge im Bestand, und ein Fahrzeug verliert seine Genehmigung nicht dadurch, dass eine neue Anforderung für neue Typen in Kraft tritt. Was sich ändert, ist die Umgebung: Ab Ende 2027 kommen Fahrzeuge auf den Markt, deren Genehmigung eine dokumentierte Sicherheitsarchitektur voraussetzt, und ab Mitte 2029 gilt das auch für die Typen, die heute schon verkauft werden.

Wie diese Anforderung im Einzelnen durchgesetzt wird, welche Prüftiefe sich einspielt und wie die technischen Dienste die Bewertung in der Praxis handhaben, lässt sich aus den Texten nicht ablesen — und wird hier deshalb auch nicht vorhergesagt. Ebenso wenig gehört hierher eine Aussage darüber, wie einzelne Hersteller damit umgehen werden. Was sich belegen lässt, ist die Struktur der Regelung und ihr Zeitplan. Wer sich für die Nachbarthemen interessiert, findet die praktische Seite eher bei den kleinen vierrädrigen Elektrofahrzeugen, wo die Elektronik ohnehin schon der bestimmende Teil der Technik ist.

Bleibt ein letzter Gedanke, der über das Datum hinausreicht. Die Klasse L war jahrzehntelang die Familie der einfachen Fahrzeuge, und dieses Bild hat sich in den Köpfen gehalten, obwohl die Technik längst weitergezogen ist. Die dritte Zeile im Verzeichnis der verbindlichen Regelungen ist die formale Bestätigung dafür, dass diese Zeit vorbei ist. Ein Moped mit Steuergerät wird künftig an demselben Cybersicherheitsmaßstab gemessen wie ein Lastwagen, und dieser Maßstab kennt kein „ist doch nur ein Kleinfahrzeug“.

Häufige Fragen

Einordnung: wo die Regeln stehen

Bis hierher steht im Text kein einziger Paragraf und keine Artikelnummer, weil beides den Lesefluss zerlegt, ohne etwas zu erklären. Hier stehen sie vollständig. Alle Fundstellen wurden am 9. September 2026 im Volltext gelesen und lokal abgelegt: die europäischen Texte über EUR-Lex, die deutsche Vorschrift über gesetze-im-internet.de. Der Abschnitt zu den Negativbefunden nennt außerdem, was sich nicht belegen ließ und wo ein früherer Projektabzug korrigiert werden musste.