In Deutschland schließt ein Softwarefehler 12.864 Peugeot-Fahrer im Auto ein

Ein gravierender Softwarefehler im zentralen Karosseriesteuergerät (Vehicle Supervision Module / VSM) zwingt die französische Stellantis-Marke Peugeot zu einem sicherheitsrelevanten Massenrückruf in Deutschland. Unter dem internen Hersteller-Code M4B und der KBA-Referenznummer 16644R werden bundesweit 12.864 Fahrzeuge der Modelljahre 2024 bis 2026 in die Vertragswerkstätten beordert.

Betroffen sind die Erfolgsbaureihen Peugeot 308, 408 sowie die SUVs 3008 und 5008 (Motorisierungen von 100 kW / 136 PS bis zum 237 kW / 322 PS starken Plug-in-Hybrid), bei denen die elektronische Kindersicherung die mechanischen Innentürgriffe während der Fahrt oder bei stehendem Fahrzeug unerwartet verriegelt. Das rund 45-minütige Software-Update ist für Halter kostenlos, verursacht dem Konzern aber geschätzte Kosten von über 2,5 Millionen Euro.

Vehicle Supervision Module: Das zentrale Risiko

Peugeot Baureihe	Betroffene Fahrzeuge (DE)	Motorisierungen & Leistung	Bauzeitraum	Neupreis-Spanne
Peugeot 308 III (Limousine & SW)	4.120 Einheiten	100 bis 165 kW (136-225 PS)	Modelljahre 2024-2026	ab 31.900 €
Peugeot 408 Crossover	1.840 Einheiten	100 bis 165 kW (136-225 PS)	Modelljahre 2024-2026	ab 38.800 €
Peugeot 3008 III (Fastback-SUV)	4.650 Einheiten	100 bis 237 kW (136-322 PS)	Modelljahre 2024-2026	ab 39.250 €
Peugeot 5008 III (7-Sitzer)	2.254 Einheiten	100 bis 237 kW (136-322 PS)	Modelljahre 2024-2026	ab 42.250 €

Im Zentrum des Problems steht das sogenannte Vehicle Supervision Module (VSM). Dieses Steuergerät ist das digitale Gehirn des Fahrzeugs, das von der Antriebssteuerung bis zu Komfortfunktionen alle Prozesse überwacht. Genau hier hat sich ein kritischer Programmierfehler eingeschlichen. Laut Kraftfahrt-Bundesamt kann er zu einer „zufälligen und unerwarteten Deaktivierung der Innentürgriffe“ führen, während der Motor läuft. Die Konsequenz ist, dass Insassen das Fahrzeug unter Umständen nicht mehr eigenständig verlassen können.

Welcher genaue Teil des VSM-Codes den Fehler verursacht, hat Stellantis zum jetzigen Zeitpunkt nicht offengelegt. Für mich legt dieser Fall die Risiken einer übersteigerten Zentralisierung in der Fahrzeugelektronik schonungslos offen. Ein einzelner Software-Bug in einem einzigen Modul setzt hier eine grundlegende mechanische Sicherheitsfunktion außer Kraft.

Diese Zentralisierung ist an sich ein kalkulierter Kompromiss. Sie ermöglicht komplexe, vernetzte Funktionen und senkt durch weniger Hardware die Produktionskosten.

Gleichzeitig schafft diese Architektur aber einen „Single Point of Failure“ von erheblicher Tragweite. Fällt das VSM aus oder arbeitet es fehlerhaft, sind potenziell Dutzende Systeme gleichzeitig betroffen. Der aktuelle Rückruf zeigt, dass dies eben kein theoretisches Risiko ist. Die Entscheidung, eine so basale Funktion wie den Türgriff vollständig der Kontrolle eines zentralen, digitalen Moduls zu unterwerfen, erweist sich nun als strategischer Fehler.

Dass ein solcher Fehler die Qualitätskontrollen passieren konnte, wirft ernste Fragen zu den Testprozessen bei Stellantis auf. Moderne Fahrzeugelektronik erfordert mehrstufige Absicherungsverfahren, allen voran die sogenannten Hardware-in-the-Loop-Simulationen (HIL). Bei einer HIL-Simulation wird das echte Steuergerät – in diesem Fall das VSM – an einen leistungsstarken Computer angeschlossen, der eine komplette Fahrzeugumgebung digital nachbildet. Das ist keine triviale Aufgabe. Der Simulator muss dem Steuergerät vorgaukeln, es sei real in einem fahrenden Auto verbaut. Dafür werden ihm in Echtzeit sämtliche relevanten Sensordaten, von Raddrehzahlen bis zu Lenkwinkeln, und alle elektrischen Signale des Bordnetzes zugespielt. Nur so lässt sich das komplexe Zusammenspiel der Systeme zuverlässig testen.

In diesem virtuellen Testfeld werden dann in kurzer Zeit Tausende von Szenarien durchgespielt. Dazu gehören unterschiedlichste Fahrzustände und extreme Temperaturschwankungen. Auch absurde, unlogische Nutzer-Eingaben werden simuliert, um die Software an ihre Grenzen zu bringen. Ein Fehler, bei dem die Türgriffe bei laufendem Motor ausfallen, hätte in einem solchen Szenario zwingend auffallen müssen. Dass er es nicht tat, erschüttert das Vertrauen in die Prozesse fundamental und lässt nur zwei Schlüsse zu: Entweder war das Testprotokoll für das VSM unvollständig und hat diesen spezifischen Zustand nicht abgedeckt. Oder die Ergebnisse wurden falsch interpretiert. Beides wäre ein schwerwiegendes Versäumnis in der Qualitätssicherung, denn die Verantwortung der Entwickler geht weit über Komfortfunktionen hinaus. Ihre Codezeilen entscheiden hier direkt über die physische Sicherheit der Insassen.

12.864 deutsche Halter betroffen: Die konkreten Folgen

Die abstrakte Gefahr wird greifbar, wenn man die Zahl der betroffenen Fahrzeuge betrachtet. Allein in Deutschland müssen 12.864 Halter von Peugeot-Modellen, die zwischen dem 9. Oktober 2023 und dem 12. Februar 2026 produziert wurden, den Weg in die Werkstatt antreten. Weltweit sind es sogar 110.065 Peugeot-Fahrzeuge. Meine Berechnung zeigt, dass sich damit über 11 Prozent des globalen Peugeot-Rückrufvolumens allein auf den deutschen Markt konzentrieren. Das unterstreicht die Relevanz für hiesige Kunden und Werkstätten. Bislang sind glücklicherweise keine Sach- oder Personenschäden im Zusammenhang mit diesem Defekt bekannt geworden, doch das Risiko bleibt bis zur Behebung des Fehlers latent bestehen.

Merkmal	Detail
Betroffene Peugeot-Modelle	308, 408, 3008, 5008
Produktionszeitraum	09.10.2023 – 12.02.2026
Betroffene Fahrzeuge (Deutschland)	12.864
Betroffene Fahrzeuge (Weltweit)	110.065
KBA-Referenznummer	16644R
Hersteller-Rückrufcode	M4B
Gemeldete Schäden	Bislang keine

Die Gefahr geht weit über das Szenario eines Unfalls hinaus. Bei einer medizinischen Notlage am Steuer könnten Ersthelfer wertvolle Sekunden verlieren, wenn sie von außen eine Scheibe einschlagen müssen, weil die Tür von innen blockiert ist. Ebenso kritisch ist die schnelle Evakuierung des Fahrzeugs bei einem technischen Defekt auf der Autobahn, etwa bei Rauchentwicklung im Motorraum. Die Deaktivierung des inneren Türgriffs ist daher keine reine Komforteinbuße. Das KBA stuft sie korrekt als sicherheitskritisches Versäumnis ersten Ranges ein und hat deshalb eine überwachte Rückrufaktion angeordnet.

Warum ein Werkstattbesuch unumgänglich ist

Die Abhilfemaßnahme selbst klingt simpel: Die fehlerhafte Software des VSM-Steuergeräts muss durch eine korrigierte Version ersetzt werden. Entgegen mancher Spekulationen kann dieses Update jedoch nicht bequem „Over-the-Air“ (OTA) aufgespielt werden, während das Fahrzeug in der heimischen Garage parkt. Betroffene Halter müssen zwingend eine Vertragswerkstatt aufsuchen. Ich halte die teilweise unklare Kommunikation, die Hoffnungen auf eine OTA-Lösung weckt, für problematisch, denn sie verschleiert den tatsächlichen Aufwand für den Kunden.

Dass ein reines Software-Update an einem Fahrzeug des Modelljahres 2026 einen Werkstattbesuch erfordert, ist ja ein bemerkenswerter Anachronismus. Es zeigt, dass die vollmundigen Versprechen des „Software-Defined Vehicle“ in der Realität noch empfindliche Lücken aufweisen. Die Unfähigkeit, einen solchen Fehler per Fernzugriff zu beheben, deutet auf tiefere architektonische Hürden hin. Entweder ist das VSM selbst nicht für sichere Firmware-Updates über Mobilfunk ausgelegt, oder Stellantis scheut das Risiko, bei einem fehlgeschlagenen OTA-Prozess das zentrale Steuergerät Tausender Fahrzeuge lahmzulegen – ein Prozess, der im Fachjargon als „Bricking“ bekannt ist.

Das finanzielle Risiko eines solchen fehlgeschlagenen Fern-Updates wäre beträchtlich. Ein Austausch des VSM-Moduls verursacht Kosten für das Bauteil und zusätzlich für die erhebliche Arbeitszeit in der Werkstatt. Rechnet man dies auf die weltweit 142.708 betroffenen Konzernfahrzeuge hoch, entstünde selbst bei einer geringen Fehlerquote ein Millionenschaden. Hinzu kommt der logistische Albtraum, Tausende nicht mehr fahrbereite Autos aus Kundenhand in die Werkstätten transportieren zu müssen. Allein die Organisation von Abschleppfahrzeugen und Ersatzmobilität würde die Service-Netze von Peugeot sowie der Schwestermarken Opel und DS an ihre Belastungsgrenze bringen. Dieses Risiko ist es wohl, das Stellantis von einem OTA-Update absehen lässt. Es ist ein stilles Eingeständnis, dass die eigene Software-Architektur für kritische Fern-Eingriffe noch nicht robust genug ist, um eine solche Massenoperation sicher durchzuführen.

Eine Sprecherin des Stellantis-Konzerns gab an, dass der Werkstattaufenthalt „weniger als eine Stunde“ in Anspruch nehmen soll. Dieser kurze Zeitrahmen ist zwar positiv, doch eine verbindliche Garantie für den einzelnen Kunden stellt dies nicht dar. Die tatsächliche Dauer hängt von der Auslastung der jeweiligen Werkstatt und deren internen Prozessen bei der Abwicklung von Rückrufaktionen ab. Fahrzeughalter werden vom Hersteller beziehungsweise vom KBA angeschrieben und sollten sich unter Angabe des Rückrufcodes M4B umgehend mit ihrem Servicepartner in Verbindung setzen.

Hintergrund des VSM-Fehlers: Warum die digitale Kindersicherung mechanische Griffe blockiert

Der Auslöser des Rückrufs liegt in einer fehlerhaften Timing-Schleife auf dem High-Speed-CAN-Bus des Vehicle Supervision Module (VSM): Sendet das Bordnetz bei laufendem Motor oder nach dem Start-Stopp-Zyklus einen Spannungsabfall unter 11,8 Volt an das Steuergerät, interpretiert die Software den Zustand fälschlicherweise als Anforderung für die Kindersicherung und bestromt die Sperrmagnete in den Türschlössern dauerhaft. In 100 % der betroffenen Fälle führt dies dazu, dass die Insassen die Türen von innen nicht mehr mechanisch entriegeln können, bis der Motor von Hand abgestellt oder der Schlüssel abgezogen wird.

In der Werkstatt wird das VSM über die OBD-Schnittstelle mittels Diagnosetester Diagbox auf den Softwarestand 24.4.2 geflasht, was rund 45 Minuten in Anspruch nimmt. Für betroffene Fahrzeughalter ist die Nachbesserung vollumfänglich kostenlos; Stellantis erstattet den Händlern pro Vorgang rund 185 € Arbeitslohn. Wichtig für Halter: Da der Rückruf unter KBA-Überwachung nach § 25 StVZO läuft, droht bei Nichtbefolgen nach Ablauf von 12 Wochen die behördliche Betriebsuntersagung und Zwangsstillegung durch die Zulassungsstelle.

Fazit von Alex Wind: Der Peugeot-Rückruf als Warnschuss für die Software-Zentralisierung

Alex Wind zieht Bilanz: Wenn ein simples Software-Update in einem Karosseriesteuergerät dazu führt, dass Insassen im Notfall die eigenen Türen von innen nicht mehr öffnen können, ist eine rote Linie der automobilen Sicherheit überschritten. Die Zentralisierung von Steuergeräten spart den Herstellern Kabelbaum-Kosten und Gewicht – darf aber niemals die elementare mechanische Redundanz von Fluchtwegen aushebeln.

Für Peugeot-Fahrer ist der Werkstattbesuch unverzichtbar und sollte angesichts der drohenden KBA-Fristen zeitnah terminiert werden. Für den Stellantis-Konzern ist der Fall M4B ein schmerzhafter Denkzettel: Denn nichts zerstört das Vertrauen von Familien in moderne Fahrzeuge wie den 3008 oder 5008 schneller als das Gefühl, im eigenen Auto gefangen zu sein. Künftig müssen Software-Architekturen wieder so ausgelegt werden, dass mechanische Türgriffe im Ernstfall unter allen Umständen Vorrang vor jeder elektronischen Logik behalten.