DIGITAL SECURITY REPORT · Chronologie · Oktober 2026

Mercedes-Benz: Wie ein DAX-Konzern 145 Schwachstellen 120 Tage lang ignorierte

120 Tage. Vom ersten Bericht am 30. Juni bis zum Full Disclosure am 27. Oktober 2026. Jeder Schritt dokumentiert. Jede Eskalation belegt.

120

Tage Gesamtdauer

7

Vorstandsmitglieder CC

5

Behörden informiert

1

Meeting (20 Min)

Vollständige Chronologie

30. Juni 2026 (Tag 0) — Erster Bericht an security@mercedes-benz.com. Phase 0: Schweregrad-Übersicht ohne technische Details.
Juli 2026 (Tag 1–30) — Safe Harbor gewährt. CISO bestätigt Eingang. Detailierte Schwachstellenbeschreibungen übermittelt.
August 2026 (Tag 31–61) — Keine Rückmeldung auf Nachfragen. Kein Triage-Ergebnis. Kein Patch-Status.
September 2026 (Tag 62–90) — CISO-Eskalation. Vorstand-CC: CEO Ola Källenius + 6 Executives.
Oktober 2026 (Tag 91–110) — Meldungen an BSI, ENISA, KBA, BaFin, LfDI Baden-Württemberg.
20. Oktober 2026 (Tag 113) — Meeting auf Einladung von Mercedes. Ergebnis: „Wir teilen Ihre Einschätzung nicht.“ Keine konkreten Gegenargumente.
21. Oktober 2026 (Tag 114) — Letzte Frist gesetzt: Freitag, 24. Oktober.
24. Oktober 2026 (Tag 117) — Finale Mitteilung direkt an CEO Källenius. Frist verstrichen ohne Antwort.
27. Oktober 2026 (Tag 120) — Full Disclosure. Veröffentlichung des vollständigen technischen Berichts.

Vergleich mit Industriestandards

Standard	Frist	Mercedes
Google Project Zero	90 Tage	120 Tage gewährt
CERT/CC	45 Tage	120 Tage gewährt
ISO 29147	„Angemessen“	120 Tage = angemessen
BSI Empfehlung	90 Tage	120 Tage gewährt

Der Forscher gewährte 33% mehr Zeit als der strikteste Industriestandard (Google Project Zero: 90 Tage).

Was „Veröffentlichung“ bedeutet

Full Disclosure bedeutet: Der technische Bericht wird öffentlich zugänglich gemacht. Credential-Werte (API-Schlüssel, Tokens, Passwörter) werden redaktiert. Veröffentlicht werden: Schwachstellenbeschreibungen, betroffene Komponenten, CVSS-Scores und Empfehlungen.

Das Ziel ist Transparenz, nicht Schadenszufügung. Endnutzer sollen informiert werden, dass ihre Fahrzeug-Apps Sicherheitsmängel aufweisen, die seit 120 Tagen bekannt und unbehoben sind.

Weitere Berichte

Vollständiger Report →