Was das neue Produkthaftungsrecht für Softwarehersteller bedeutet
Wenn Ihr Toaster Feuer fängt und die Küche abbrennt, haftet der Hersteller. Das ist seit fast 40 Jahren so, und zwar ohne, dass man ihm ein Verschulden nachweisen muss. Wenn dagegen eine Smart-Home-App eine Sicherheitslücke hat, über die Einbrecher die Tür öffnen, war die Rechtslage bisher erstaunlich unklar. Ist Software ein ,,Produkt‘‘? Darüber haben Juristen jahrzehntelang gestritten.
Software haftet jetzt wie ein Toaster
Der Streit wurde durch die EU-Produkthaftungsrichtlinie 2024/2853 beendet. Die neue Richtlinie stellt ausdrücklich klar, dass Software ein Produkt ist. Und für alles, was ab dem 9. Dezember 2026 auf den Markt kommt, gilt in Deutschland ein neues Produkthaftungsgesetz. Software haftet also bald wie ein Toaster, mit dem kleinen Unterschied, dass ein Toaster keine Updates braucht.
Was sich ändert
Ziel der neuen Richtlinie ist es, die Produkthaftung fit für das digitale Zeitalter zu machen: Wer durch ein fehlerhaftes Produkt geschädigt wird, soll auch dann zuverlässig Ersatz bekommen, wenn das Produkt Software enthält, über Updates verändert wird oder aus einer weltweiten Lieferkette stammt. Die alte Produkthaftungsrichtlinie stammt aus dem Jahr 1985, einer Zeit, in der Software noch auf Disketten verkauft wurde, wenn überhaupt. Die EU hat sie Ende 2024 durch die Richtlinie (EU) 2024/2853 ersetzt. Die Mitgliedstaaten müssen sie bis zum 9. Dezember 2026 umsetzen. Der Bundestag hat das neue deutsche Produkthaftungsgesetz am 8. Oktober 2026 beschlossen.
Die wichtigsten Neuerungen auf einem Blick:
- Software ist ein Produkt, und zwar unabhängig davon, wie sie bereitgestellt wird: als installierte Anwendung, als App, aus der Cloud oder als Software-as-a-Service. Auch KI-Systeme fallen darunter.
- Ausnahme für Open Source, aber nur, wenn die Software außerhalb einer Geschäftstätigkeit entwickelt oder bereitgestellt wird. Wer Open-Source-Komponenten in sein kommerzielles Produkt einbaut, haftet für das Gesamtprodukt.
- Sicherheitslücken können auch Produktfehler sein: Bei der Frage, ob ein Produkt fehlerhaft ist, wird ausdrücklich auch die Cybersicherheit berücksichtigt. Dazu im Folgenden mehr.
- Wer wesentlich verändert, wird zum Hersteller: Wer ein Produkt nach dem Inverkehrbringen wesentlich verändert, etwa durch eigene Software-Anpassungen und es wieder auf den Markt bringt, wird für diese Änderungen selbst wie ein Hersteller behandelt.
- Beweiserleichterungen für Geschädigte: Gerichte können Hersteller zur Offenlegung von Beweismitteln verpflichten, und unter bestimmten Voraussetzungen werden Fehler und Ursachenzusammenhang vermutet.
- Neu als Schaden: der Verlust oder die Beschädigung von privat genutzten Daten.
Wichtig: Das neue Recht gilt nur für Produkte, die ab dem 9. Dezember 2026 in Verkehr gebracht werden. Für alles, was vorher auf den Markt kam, bleibt es beim alten Recht.
Die Sicherheitslücke als Produktfehler
Für die IT-Sicherheit ist der spannendste Teil die Frage, wann ein Produkt ,,fehlerhaft‘‘ ist. Fehlerhaft ist ein Produkt, wenn es nicht die Sicherheit bietet, die man berechtigterweise erwarten darf. Die europäische Richtlinie zählt ausdrücklich auch die Cybersicherheit zu den Umständen, die dabei zu berücksichtigen sind.
Vereinfacht gesagt bedeutet das, dass eine Sicherheitslücke zu einem Produktfehler werden kann. Wenn ein Angreifer über eine Schwachstelle in Ihrer Software eindringt und dadurch jemand zu Schaden kommt, kann das eine Haftung auslösen.
Das gilt sogar unabhängig von einem Verschulden. Die verschuldensunabhängige Haftung ist der Kern der Produkthaftung, der jetzt auch für Software gilt.
Der Geschädigte muss drei Dinge beweisen:
- dass das Produkt fehlerhaft war,
- dass ein Schaden entstanden ist,
- dass der Fehler den Schaden verursacht hat.
Ob Ihr Entwicklungsteam sorgfältig gearbeitet hat, spielt dafür keine Rolle. Umgekehrt können Sie sich auch nicht mit dem Hinweis entlasten, Sie hätten alles richtig gemacht. Es gibt nur wenige Haftungsausnahmen, etwa wenn der Fehler nach dem Stand von Wissenschaft und Technik zum Zeitpunkt des Inverkehrbringens nicht erkennbar war.
Zusätzlich kommen noch die Updates ins Spiel. Beim Toaster ist die Sache mit dem Verkauf erledigt. Software dagegen bleibt unter der Kontrolle des Herstellers, der sie über Updates jederzeit verändern kann. Das neue Recht trägt dem Rechnung, indem der Hersteller auch für Fehler haftet, die durch ein Update entstehen. Wer notwendige Sicherheitsupdates nicht bereitstellt, obwohl das Produkt unter seiner Kontrolle bleibt, kann ebenfalls haften.
Die Zeiten, in denen man eine Software einmal ausgeliefert und dann vergessen hat, sind damit endgültig vorbei.
Beweiserleichterung
Bisher hatten Geschädigte bei Software ein großes Beweisproblem. Wie soll ein Verbraucher beweisen, dass ein Schaden auf einen Fehler im Code zurückgeht, den er nie gesehen hat? Das neue Recht regelt Beweiserleichterungen für Geschädigte:
- Offenlegung: Gerichte können Hersteller verpflichten, relevante Beweismittel offenzulegen, sobald der Geschädigte seinen Anspruch plausibel dargelegt hat. Geschäftsgeheimnisse werden dabei geschützt, aber verstecken lässt sich nichts mehr.
- Vermutungen: Unter bestimmten Voraussetzungen wird vermutet, dass ein Produkt fehlerhaft war, etwa wenn der Hersteller die Offenlegung verweigert, das Produkt verbindliche Sicherheitsanforderungen nicht erfüllt oder eine offensichtliche Fehlfunktion vorliegt. Ist der Nachweis wegen technischer Komplexität übermäßig schwierig, können Fehler und Ursachenzusammenhang ebenfalls vermutet werden.
Was können Sie als Hersteller tun? Dokumentieren!
Im Streitfall zählt, was Sie als Hersteller belegen können. Nicht um zu beweisen, dass Sie kein Verschulden trifft, denn darauf kommt es ja gerade nicht an. Sondern um zu zeigen, dass Ihr Produkt nicht fehlerhaft war und dass es zum Zeitpunkt der Veröffentlichung dem Stand der Technik entsprach. Wer dokumentieren kann, dass er seine Software regelmäßig auf Schwachstellen geprüft, gefundene Lücken geschlossen und Updates zeitnah bereitgestellt hat, kann gesetzliche Vermutungen entkräften und steht deutlich besser da als jemand, der nur sagen kann, dass bei ihm alles immer funktioniert hat.
Und genau an diesem Punkt kommt pen.sec ins Spiel
Mit unseren Pentests und Schwachstellenscans finden wir Lücken in Ihrer Software, bevor es Angreifer oder Gerichte tun. Nach der Durchführung bekommen Sie von uns ein Bericht, in dem schwarz auf weiß steht, was geprüft wurde. Schon im Kick-Off-Gespräch und in der schriftlichen Scope-Liste halten wir fest, welche Systeme und Anwendungen wir wann und wie testen. Im Bericht dokumentieren wir unser Vorgehen, jede gefundene Schwachstelle mit ihrer Bewertung und konkrete Empfehlungen, wie Sie sie beheben können. Damit können Sie später genau zeigen, was untersucht wurde.
Nicht nur einmal, sondern regelmäßig. Ein einzelner Test ist eine Momentaufnahme. Mit wiederkehrenden Pentests und regelmäßigen Schwachstellenscans entsteht eine lückenlose Historie. Sie zeigt, dass Sie Ihre Produkte nicht nur vor dem Release, sondern auch danach im Blick behalten und Schwachstellen behoben haben.
Viele Fragen wird erst die Rechtsprechung klären. Eines gilt aber schon heute: Gute Dokumentation verschafft Ihnen im Ernstfall eine bessere Ausgangslage.
Testen Sie Ihre Software, bevor es ein Gericht tut
Mit dem neuen Produkthaftungsgesetz wird IT-Sicherheit endgültig zur Haftungsfrage. Wer Software entwickelt oder Produkte mit Software anbietet, sollte jetzt prüfen, wie gut er aufgestellt ist:
- Wissen Sie, welche Ihre Produkte ab dem 9. Dezember 2026 neu in Verkehr gebracht werden?
- Werden Ihre Produkte vor der Veröffentlichung und danach regelmäßig auf Schwachstellen getestet?
- Gibt es einen festen Prozess, um gefundene Lücken zu schließen und Sicherheitsupdates bereitzustellen?
- Wissen Sie, welche fremden Komponenten und Open-Source-Bibliotheken in Ihrer Software stecken?
- Können Sie das im Ernstfall auch belegen?
Wenn Sie bei einer dieser Fragen kurz gezögert haben, sprechen Sie uns gerne an. Wir finden es gerne heraus, bevor der smarte Toaster brennt.
Dieser Beitrag gibt einen allgemeinen Überblick und ersetzt keine Rechtsberatung im Einzelfall.
Links:
- Neues Produkthaftungsgesetz: https://www.recht.bund.de/bgbl/1/2026/321/VO.html, zuletzt aufgerufen am 29.10.2026
- EU-Richtlinie: https://eur-lex.europa.eu/eli/dir/2024/2853/oj?eliuri=eli%3Adir%3A2024%3A2853%3Aoj&locale=de, zuletzt aufgerufen am 29.10.2026