Am 8. Januar 2026 hörte Plug&Charge auf, ein Feature zu sein, und wurde zur gesetzlichen Pflicht. Jeder neu errichtete öffentliche Ladepunkt in der EU muss nun ISO 15118-2 implementieren. Ab dem 1. Januar 2027 kommt ISO 15118-20 hinzu — einschließlich privater Ladepunkte.
Deutschlands Bundesregister für Ladepunkte führt 31 865 öffentliche Ladestandorte. 1 018 davon geben Plug&Charge an. Das sind 3.2%.
Bevor du daraus schließt, Europa ignoriere sein eigenes Gesetz: Ganz so ist es nicht. Es ist schlimmer. Niemand kann dir sagen, wo Plug&Charge tatsächlich funktioniert — nicht die Regulierungsbehörde, nicht die Betreiber, nicht wir. Und der Grund dafür ist die ganze Geschichte.
Das Versprechen stammt von Tesla — und es ist ein gutes
Kabel einstecken. Weggehen. Auto und Ladesäule klären, wer du bist und wer zahlt — und niemand öffnet eine App, hält eine Karte hin oder fotografiert einen QR-Code.
Tesla macht das seit 2012, mit einem proprietären Handshake in einem Netzwerk, das das Unternehmen Ende zu Ende besitzt. Zwei Parteien, ein Unternehmen, keine Verhandlung. Alle anderen müssen dieses Erlebnis über Hunderte Betreiber und Dutzende Autohersteller hinweg nachbauen, die keinen besonderen Grund haben, einander zu vertrauen.
Dafür gibt es ISO 15118. Und genau dort beginnen die Probleme.
Die Regulierung schreibt die Implementierung vor. Nicht die Nutzung.
AFIR verlangt in der Fassung der Delegierten Verordnung (EU) 2025/656 der Kommission, dass neue oder modernisierte öffentliche Ladepunkte ab 2026 ISO 15118-1/2/3/4/5 und ab 2027 ISO 15118-20 implementieren.
Achte auf das Verb. Eine Ladesäule kann vollständig konform sein und trotzdem nie eine einzige Plug&Charge-Ladesitzung abschließen. Die Zahlungspflichten der AFIR stehen in Artikel 5, und Kartenleser sowie QR-Codes erfüllen sie — die eigene Leitlinie der Kommission bestätigt, dass Plug&Charge für Ad-hoc-Zahlungen nicht relevant ist.
Das Gesetz garantiert also, dass die Leitungen verlegt sind. Es garantiert nicht, dass Wasser fließt.
Dasselbe Papier stellt fest, dass es überhaupt kein AC-EVSE-Zertifizierungssystem gibt, und erwartet ein Nebeneinander von Legacy-Protokollen “mindestens bis 2028”.
CharIN — die Organisation, der der CCS-Stecker gehört und die nicht zu dramatischen Auftritten neigt — veröffentlichte am 28. April 2026 ein Positionspapier, das sich wie ein höfliches Notsignal liest.
Die Befunde: Die Regulierung schreibt den Standard vor, definiert aber nie, wie Konformität nachzuweisen ist. Vollständig konforme Hardware ist nicht in großem Maßstab verfügbar. Weltweit sind weniger als zehn Labore für die vollständige ISO-15118-20-Konformität akkreditiert, bei Vorlaufzeiten von 6 bis 9 Monaten. Formale AC-Konformitätstestfälle werden nicht vor Ende 2027 erwartet — ein Jahr nachdem die Vorgabe greift.
CharIN empfiehlt der Kommission, die Frist 2027 zu verschieben, bis marktreife Lösungen existieren. Die eigene Standardisierungsorganisation der Branche fordert also eine Verzögerung einer Regel, die ihr eigentlich helfen sollte.
Sieben Parteien und ein Kabel
2. Der Autohersteller installiert im Werk ein OEM-Provisioning-Zertifikat im Fahrzeug.
3. Der Fahrer schließt einen Vertrag mit einem Mobilitätsanbieter, der ein Vertragszertifikat ausstellt.
4. Ein Zertifikatsbereitstellungsdienst verschlüsselt es und übergibt es an einen Pool.
5. Das Auto holt es an der nächsten kompatiblen Ladesäule ab.
6. Der CPO und sein Managementsystem müssen derselben Root vertrauen und über ein gültiges SECC-Leaf-Zertifikat verfügen.
Jedes Zertifikat muss ausgestellt, verteilt, installiert, erneuert und widerrufen werden. Über alle Beteiligten hinweg.
Autocharge braucht zwei Parteien und einen Identifikator. Plug&Charge braucht einen Autohersteller, einen Mobility Service Provider, einen Zertifikatsbereitstellungsdienst, eine Root-Zertifizierungsstelle, einen Zertifikatspool, einen Charge Point Operator und dessen Managementplattform — alle müssen in dem Moment, in dem der Fahrer einsteckt, gültige, aktuelle und gegenseitig vertrauenswürdige Credentials halten.
Wenn es funktioniert, ist es unsichtbar. Wenn nur ein Glied veraltet ist, steht der Fahrer vor einer Ladesäule, die nicht startet — ohne Erklärung.
Wer darf die Wurzel des Vertrauens sein?
Das ist die kommerziell interessante Frage — und auf ihr hat Hubject ein Geschäft aufgebaut.
Hubject ist ein Joint Venture von BMW, Bosch, Mercedes-Benz, EnBW, innogy, Siemens und Volkswagen. Es betreibt eine V2G Root CA und die Plattform, die die Parteien verbindet, die sie brauchen. ChargePoints Engineering-SVP Eric Sidle hat ISO 15118 als “stark zugunsten einer kleinen Gruppe von Organisationen verzerrt, die diese Zertifikate ausgeben und kontrollieren” bezeichnet und argumentiert, dass der Mittelsmann letztlich die Preise kontrolliere. Marc Mültin, Mitautor des Standards, hat eingeräumt, dass Stakeholder Hubject für “nicht unabhängig genug” halten.
Europa ist weniger monopolar als früher. Gireve — der französische Roaming-Anbieter, mit Thales hinter der Kryptografie — bietet inzwischen Root-CA- und Pool-Dienste an. CharIN betreibt eine eigene V2G Root, die für CharIN von Irdeto geführt wird. Penta Security führt eine Cross-Zertifizierung mit Hubject durch. Das ist gesünder. Es bedeutet aber auch, dass eine Ladesäule nun mehreren Roots vertrauen muss und das Zertifikat eines Fahrers über den Pool erreichbar sein muss, den dessen Autohersteller gerade ausgewählt hat.
Nordamerika ist vom anderen Ende herangegangen. Das EVPKI-Konsortium von SAE ITC hat eine produktive Certificate Trust List mit sechs Root-Zertifikaten eingeführt, mit dem erklärten Ziel, “einen wettbewerblichen PKI-Anbietermarkt zu schaffen, der heute faktisch nicht existiert”.
Lies diesen Satz noch einmal. Ein Standardisierungskonsortium spricht das Offensichtliche ins Mikrofon.
Und Korea hat sich für eine dritte Antwort entschieden: Die Hyundai Motor Group übergibt ihre Plug&Charge-Technologie und die Zertifizierungsstelle kostenlos an die Regierung, gemeinsam mit einer offenen Allianz von 12 inländischen Betreibern. Der Staat wird zur Root.
Drei Kontinente, drei Antworten auf “Wem vertraust du?”: ein von Autoherstellern kontrolliertes Joint Venture, ein Wettbewerbsmarkt mit gemeinsamer Trust List und ein Ministerium. Nur eines davon ist ein Geschäftsmodell.
Was das deutsche Register weiß — und was nicht
Deutschland ist der einzige große europäische Markt, dessen offizielles Ladepunktregister Betreiber ausdrücklich fragt, ob ein Standort Plug&Charge unterstützt. Wir haben die Antworten ausgewertet.
Anteil der deutschen DC-Standorte (50 kW+) jedes Betreibers, die im Bundesregister für Ladepunkte Plug&Charge angeben. Betreiber mit 40 oder mehr DC-Standorten. Quelle: Chargalytics, auf Basis von Daten der Bundesnetzagentur, August 2026.
Aral pulse gibt 53 seiner 87 deutschen DC-Standorte an. Allego gibt 11 von 68 an. Ionity — das seit Jahren ISO-15118-2-Plug&Charge im gesamten Netzwerk betreibt — gibt einen Standort von 61 an. Tesla gibt keinen von 268 an.
Diese Grafik misst nicht Plug&Charge. Sie misst, wer das Formular ausgefüllt hat.
Das ist das Ergebnis. Im ersten Jahr eines kontinentweiten Mandats gibt es im Markt mit den meisten Ladepunkten und dem sorgfältigsten Register Europas keinen verlässlichen öffentlichen Nachweis darüber, wo Plug&Charge funktioniert. Jedes andere nationale Register, das uns vorliegt — Frankreich, die nordischen Länder, Italien, die Niederlande — stellt diese Frage nicht einmal.
Fahrer finden es heraus, indem sie einstecken und warten.
Währenddessen funktioniert die grobe Variante weiter
Autocharge erledigt denselben Job ohne die ganze Maschinerie. Die Ladesäule liest den Identifikator, den das Auto beim DC-Handshake sendet — meist seine MAC-Adresse — gleicht ihn mit einem Konto ab und startet. Eine Registrierung, keine Zertifikate, keine Vertrauenswurzel, kein Pool, kein Clearinghouse.
Auf dem Papier ist es auch unsicher. Eine MAC-Adresse ist ein Identifikator, kein Geheimnis. Wer eine auslesen kann, kann sie grundsätzlich auch vorweisen; dem Betreiber bleibt als einzige Verteidigung, missbrauchte Adressen zu sperren. Marc Mültin, der ISO 15118 mitverfasst hat, veröffentlichte einen Beitrag mit dem wenig subtilen Titel “Autocharge: was es ist und warum es eine schlechte Idee ist”.
Mit der Sicherheit hat er recht. Er beschreibt aber auch etwas, das in Europa still und leise läuft, während die sichere Variante auf ihre Zertifikate wartet.
Allein diese sechs betreiben in unserer Datenbank 5 789 DC-Standorte und 32 677 DC-Ladepunkte in bis zu acht Ländern.
Sieh das als Stichprobe, nicht als Vollerhebung. Es gibt kein Register für Autocharge-Rollouts; das ist also eine Untergrenze, die wir durch das Lesen von Ankündigungen ermittelt haben, keine Marktvermessung.
Autocharge ist unter anderem bei EnBW, Mer, Electra, Fastned, Powerdot und GRIDSERVE live. Powerdot führte es zunächst mit Miio und danach mit Chargemap in Frankreich, Belgien, Spanien und Polen ein. Es funktioniert in Autos, die niemals ein Vertragszertifikat erhalten werden, an Standorten, die niemals einer PKI beitreten werden.
Sechs ist eine Stichprobe, keine Vollerhebung. Niemand veröffentlicht ein Register von Autocharge-Rollouts — und genau das ist wieder einmal der Punkt. Zum Vergleich: Unsere Datenbank enthält rund 135 000 öffentliche DC-Standorte in Europa. Die tatsächliche Zahl für Autocharge liegt über unserer Stichprobe. Niemand kann sagen, um wie viel.
Auch Autocharge ist nicht einheitlich — und das ist relevant
Der Haken, und Betreiber sagen das ganz offen: Autocharge in einem Netzwerk zu aktivieren, heißt nicht, dass es an jedem Ladepunkt dieses Netzwerks funktioniert.
Es funktioniert nur bei DC. Die Kennung wird über den digitalen Handshake übertragen, den DC-Laden erfordert, und beim gewöhnlichen AC-Laden gibt es kein solches Gespräch — genau diese Lücke sollte ISO 15118 schließen. Der Ladepunkt braucht außerdem OCPP 1.5 oder neuer sowie Firmware, die das Feature unterstützt; ältere Geräte in einem ansonsten Autocharge-fähigen Netzwerk können es daher schlicht nicht. GRIDSERVE etwa führte es mit neuerer Hardware ein, statt es über Nacht im gesamten Bestand auszurollen.
Volkswagen Group ist zudem Miteigentümer von Hubject.
CHAdeMO-Fahrzeuge sind vollständig ausgeschlossen. Mehrere ältere VAG-Modelle und einige Lucids unterstützten es nie.
Dann ist da noch das Auto. Die MEB-Plattform von Volkswagen Group rotiert ihre MAC-Adresse, was Autocharge für ID.3, ID.4, ID.5, Skoda Enyaq, Audi Q4 e-tron und Cupra Born strukturell unmöglich macht. CHAdeMO-Fahrzeuge sind konstruktionsbedingt ausgeschlossen. Eine Handvoll älterer Modelle unterstützte es nie.
Das Fahrerlebnis lautet also: Es funktioniert, bis es nicht mehr funktioniert, und im Voraus lässt sich nicht sagen, welcher Ladepunkt oder welches Auto die Ausnahme sein wird. Das ist Wort für Wort dieselbe Beschwerde, die wir gerade über Plug&Charge geäußert haben.
Das ist die ehrliche Lesart. Autocharge ist nicht das bessere System. Es ist das schlechtere System, das ausgeliefert wurde — und Auslieferung stellt sich als ausgesprochen wertvoll heraus.
Der dritte Weg, den niemand in die Regulierung geschrieben hat
Während die Standardisierungsgremien streiten, zeichnet sich eine leisere Antwort ab: Das Auto über seine eigene Datenverbindung identifizieren und das Kabelgespräch ganz überspringen.
Ford tut das bereits und baut eine eigene telematikbasierte Zertifikatsbereitstellung, statt den Standard-Provisioning-Flow zu nutzen. Im Frühjahr 2026 führten Vattenfall InCharge und WirelessCar in Schweden, den Niederlanden und Deutschland einen Pilotversuch mit mehr als 700 Fahrern durch: Ladevorgänge ohne Karte, ohne App, ohne Zertifikat und ohne MAC-Adresse — das Auto teilt der Cloud einfach mit, wo es eingesteckt ist.
Telematik hat einen offensichtlichen Haken: Sie braucht die Kooperation des Autoherstellers und überlässt ihm die Kundenbeziehung. Was möglicherweise genau der Grund ist, weshalb Autohersteller sie mögen.
| Autocharge | Plug & Charge (ISO 15118-2) | |
|---|---|---|
| Identität | MAC-Adresse oder VIN | X.509-Vertragszertifikat |
| Erforderliche Parteien | 2 (Fahrer, Betreiber) | 7+ entlang der Vertrauenskette |
| Standardisiert | Nein, betreiberspezifisch | Ja, ISO 15118-2 und -20 |
| Netzübergreifend | Nur wenn Betreiber bilateral zustimmen | Von Grund auf, über gemeinsame Roots |
| Spoofbar | Ja, prinzipiell | Relay-Angriff 2025 demonstriert |
| Governance-Kosten | Null | Root CA, Pools, Zertifikatslebenszyklus |
| AFIR-Status | Nicht anerkannt, nicht verboten | Implementierung ab 2026 vorgeschrieben |
| Funktioniert bei AC | Nein, nur DC-Handshake | Ja, genau darum geht es bei -2 |
| Fahrzeuglücken | VW Group MEB, CHAdeMO, einige andere | Breit und wachsend |
| Funktioniert heute | 6+ Netzwerke, die wir bestätigen können | Ionity, Allego, Aral und ein lückenhafter langer Rest |
Das Sicherheitsargument, ernst genommen
Die Argumente für all diese Maschinerie sind real. Zertifikate ermöglichen Widerruf, Nichtabstreitbarkeit und Schutz gegen genau das Spoofing von Kennungen, zu dem Autocharge einlädt. Wenn Plug&Charge Zahlungen für Millionen unbeaufsichtigter Transaktionen abwickeln soll, ist Kryptografie die richtige Antwort.
Dann kam der Dezember 2025.
Die Ursache: Die Plug&Charge-Signatur enthält keine Stationsidentität, kombiniert mit Schwächen in der Art, wie ISO 15118 TLS-Zertifikate handhabt.
Forscher veröffentlichten einen funktionierenden Relay-Angriff auf ISO 15118 Plug&Charge-Zahlungen: ein gefälschter Ladepunkt, ein weitergeleiteter Handshake und die Rechnung eines anderen. Vollständiger Proof of Concept, angenommen für USENIX VehicleSec 2026.
Zu Hubjects echtem Verdienst präsentiert der Hauptautor ihn auf der ICNC26 — auf Hubjects eigener Bühne, in einer Session mit dem Titel “Plug and Charge Payment Fraud and other ISO 15118 Vulnerabilities”. So geht eine ernsthafte Branche mit schlechten Nachrichten um.
Aber halte die beiden Fakten nebeneinander. Sieben Jahre Zertifikatsinfrastruktur haben ein System hervorgebracht, das weiterhin per Relay-Angriff angreifbar war. Das System, das es ersetzen sollte — eine MAC-Adresse in einer Lookup-Tabelle — läuft still und leise in vier Ländern. Komplexität hat weniger Sicherheit gekauft, als die Vertriebsfolien versprachen.
Die Autohersteller sind bereit. Die Ladepunkte nicht.
Auf Fahrzeugseite ist das nahezu gelöst. Porsche Taycan und Mercedes EQS waren zuerst so weit. Heute umfasst die Liste die Volkswagen-ID-Reihe, Skoda Enyaq, Audi Q4 e-tron und Cupra Born; BMW i4, i5, i7 und iX; Hyundai Ioniq 5 und 6, Kia EV6 und EV9, Genesis GV60; Volvo EX90 und EX60; Polestar ab Modelljahr 2026.
Volvo aktivierte Plug&Charge im Juni 2026 an 35 000 US-Stationen. GM kündigte seinen Rollout im Sommer auf der Empower an. Die Autos erfüllen ihren Teil der Aufgabe, im Großen und Ganzen.
Zwei Details trüben das Bild. Ford baute eine eigene telematikbasierte Zertifikatsbereitstellung, statt den Standard-Provisioning-Flow zu nutzen, und verweist auf Sicherheitsgründe. Wenn ein Autohersteller dein Ökosystem umgeht, um deinen Standard zu erreichen, hat das Ökosystem ein Produktproblem.
Und BMWs eigenes Service-Bulletin für Elektrofahrzeuge des Modelljahrs 2025 zählt die Fehlermodi auf, auf die sich Händler einstellen sollen: Das Plug&Charge-Menü erscheint nicht, die Vertragsinstallation schlägt fehl, Verträge verschwinden nach der Installation, Anbieter senden sie schlicht nicht. Das ist die Reibung — vom Werk dokumentiert, in einem Werkstatthandbuch.
Vorlaufzeiten von 6 bis 9 Monaten.
Formale AC-Konformitätstestfälle werden nicht vor Ende 2027 erwartet.
Die Vorgabe gilt ab 1. Januar 2027.
Hersteller müssen zertifizierte Hardware etwa ein Jahr vor Existenz der Zertifizierung ausliefern.
Bei den Ladepunktherstellern wird aus der Frist 2027 kein politiktheoretisches Thema mehr, sondern ein Lieferkettenproblem. Alpitronic führt ISO 15118-20-Unterstützung mit einem Implementierungsdatum “TBC” auf. Nicht nur Alpitronic.
Hardware, die ab 2026 für den öffentlichen Einsatz in Europa beauftragt wird, braucht vom ersten Tag an PLC-fähige Kommunikationscontroller — ein Firmware-Versprechen reicht nicht. Das ist eine Stücklistenentscheidung, die zwei Jahre vor Fertigstellung der Software getroffen wird, die sie nutzt.
Das haben wir schon einmal erlebt
2015 stand unser Gründer Ole Henrik Hannisdahl auf der ICNC-Bühne in Berlin und sagte einem Raum voller Roaming-Leute, Roaming sei die Lösung für ein Problem, das die Branche selbst geschaffen habe: indem sie es so schwer gemacht habe, einfach zu einem Ladepunkt zu fahren und ihn zu nutzen.
Er wurde nicht wieder eingeladen.
Das Ärgerliche an diesem Argument ist, wie gut es gealtert ist. Roaming funktionierte — kommerziell. Es verfestigte aber auch die Fragmentierung, die es übertünchen sollte. Elf Jahre später tragen europäische Fahrer noch immer ein Portemonnaie voller RFID-Karten und einen Ordner voller Apps mit sich herum, und die Clearing-Schicht ist zu einer dauerhaften Abgabe auf ein Problem geworden, das nie die Schuld der Fahrer war.
Der Instinkt ist übrigens lebendig und wohlauf. Im Dezember 2025 gründeten Atlante, Electra, Fastned und Ionity ChargeLeague, damit Fahrer aus jedem Mitgliedsnetz in jedem anderen laden können. Eine Allianz, um die Fragmentierung zu beheben, die durch Allianzen entstanden ist. Diesen Film kennen wir.
Plug&Charge hat dieselbe Silhouette wie einst Roaming. Ein wirklich exzellentes Nutzererlebnis, bereitgestellt über eine Vertrauensebene, die einen Mittelsmann braucht, von einem Mittelsmann bepreist wird und — nach Maßgabe des deutschen Registers — in der öffentlichen Dokumentation unsichtbar ist. Das Nutzerproblem, das es löst, ist real. Die dafür nötige Governance-Struktur ist der Teil, um den niemand gebeten hat.
Das verräterische Detail: Autocharge, technisch die schlechtere Lösung, ist derzeit das bessere Produkt. Weniger Beteiligte, keine Zertifikate, funktioniert heute, in mehr Netzwerken, in mehr Ländern. Das sollte die Menschen beunruhigen, die an der guten Technik bauen — und nicht jene beruhigen, die die grobe Version bauen.
Nichts davon ist ein Argument, ISO 15118 aufzugeben. Es ist der richtige Standard, und das Sicherheitsargument wird nur stärker werden, wenn bidirektionales Laden jedes Auto zu einem Netzasset macht. Es ist ein Argument dafür, das Ökosystem langweilig zu machen.
Vier Dinge würden dafür sorgen: mehrere konkurrierende Root-Zertifikate, die Europa inzwischen hat. Eine gemeinsame Trust List, der jeder beitreten kann — die Nordamerika hat und Europa nicht. Eine Zertifikatsbereitstellung, die niemals ein Support-Ticket erfordert. Und ein öffentliches Register, das tatsächlich sagt, wo das Ganze funktioniert — denn eine Funktion, die Fahrer nicht finden können, ist keine Funktion.
Europa hat das Protokoll vorgeschrieben und die anderen drei Punkte übersprungen.
Hubject versammelt die Branche vom 1. bis 3. September in Tempelhof. Auf der Agenda stehen sowohl “Plug&Charge: Expanding Possibilities” als auch der Vortrag zum Relay-Angriff. Es lohnt sich zu beobachten, welcher Raum sich füllt.
Das Regelwerk entwickelt sich schneller als die Hardware — deshalb verfolgen wir auch das. ChargiPedia behandelt AFIR und den Rest der europäischen Ladeinfrastrukturregulierung, und unsere Länderstatistiken decken jeden Markt auf dem Kontinent ab. Starte einen kostenlosen Test — und beides steht dir offen.