Neue EU-Produkthaftungsrichtlinie: Software ist ausdrücklich ein Produkt
Die neue EU-Produkthaftungsrichtlinie (EU 2024/2853) ändert die Spielregeln grundlegend: Software gilt ausdrücklich als Produkt. Der Verlust privat genutzter Daten wird zum Haftungsgrund. Eine allgemeine Haftungsobergrenze gibt es nicht. Für Unternehmen, die Software herstellen oder Open-Source-Komponenten in ihre Produkte integrieren, entsteht ein neues Haftungsrisiko, das sich direkt auf die Sorgfalt bei der Komponentenauswahl auswirkt.
Die neuen Regeln gelten für Produkte, die nach dem 9. Dezember 2026 in Verkehr gebracht oder in Betrieb genommen werden.
Wer ist betroffen? #
Softwarehersteller #
Jedes Unternehmen, das Software entwickelt und auf dem EU-Markt bereitstellt, fällt unter die neue Produkthaftung - unabhängig davon, ob die Software eigenständig vertrieben oder als Bestandteil eines größeren Produkts geliefert wird.
Integratoren von Open-Source-Komponenten #
Wenn Sie Open-Source-Software in Ihr Produkt integrieren, haften Sie als Hersteller für das Gesamtprodukt. Das gilt auch für transitive Abhängigkeiten: Eine Schwachstelle in einer Bibliothek, die Ihre Bibliothek nutzt, kann Ihre Haftung auslösen.
Einführer und Händler #
Wer Software in die EU einführt oder vertreibt, kann unter bestimmten Umständen ebenfalls haftbar gemacht werden -insbesondere wenn der Hersteller außerhalb der EU sitzt und nicht erreichbar ist.
Wer ist nicht betroffen? #
Open-Source-Entwickler, die ihre Software nicht im Rahmen einer geschäftlichen Tätigkeit auf den Markt bringen, fallen nicht unter die Produkthaftung. Entscheidend ist allein die fehlende Geschäftstätigkeit - nicht der Ort der Veröffentlichung. Wer Open Source im geschäftlichen Kontext bereitstellt, kommt also auch dann nicht aus der Haftung, wenn der Code nur in einem öffentlichen Repository liegt.
Was ändert sich? #
Software gilt als Produkt #
Die bisherige Produkthaftungsrichtlinie von 1985 war auf körperliche Gegenstände ausgelegt. Die neue Richtlinie stellt klar: Software -ob eigenständig oder eingebettet -ist ein Produkt im Sinne des Haftungsrechts. Das umfasst Betriebssysteme, Anwendungen, Bibliotheken, Firmware und SaaS-Komponenten.
Datenverlust als Haftungsgrund #
Bisher beschränkte sich die Produkthaftung auf Personen- und Sachschäden. Die neue Richtlinie erweitert den Schadensbegriff: Vernichtung und Beschädigung von Daten sind erfasst, sofern diese nicht beruflich genutzt werden. Wenn eine Schwachstelle in einer Open-Source-Komponente die privaten Daten Ihrer Nutzer zerstört, haften Sie als Hersteller. Prüfen Sie deshalb, wer Ihre Software am Ende bedient: Sobald Verbraucher dazugehören - bei Apps, Portalen, Shops und vernetzten Geräten die Regel -, ist dieser Haftungsgrund für Sie eröffnet.
Keine allgemeine Haftungsobergrenze #
Die alte Richtlinie erlaubte den Mitgliedstaaten eine betragsmäßige Obergrenze. Die neue sieht keine allgemeine Haftungsobergrenze mehr vor. Bei einem großflächigen Sicherheitsvorfall, der Tausende oder Millionen Nutzer betrifft, summiert sich der ersatzfähige Schaden ungebremst.
Erweiterte Offenlegungspflichten #
Geschädigte können künftig die gerichtliche Offenlegung von Beweismitteln verlangen. Wenn Sie einer solchen Anordnung zur Offenlegung relevanter Beweismittel nicht nachkommen, wird die Fehlerhaftigkeit vermutet: Sie müssen dann beweisen, dass Ihr Produkt nicht fehlerhaft war - statt der Geschädigte den Fehler beweisen muss.
Cybersicherheit als Fehlerkriterium #
Art. 7 der Richtlinie legt fest, wann ein Produkt als fehlerhaft gilt. Die Kriterienliste in Art. 7 Abs. 2 nennt unter Buchstabe f ausdrücklich die "sicherheitsrelevanten Cybersicherheitsanforderungen". Damit ist Cybersicherheit nicht mehr nur eine regulatorische Pflicht aus dem CRA, sondern ein haftungsrechtliches Merkmal: Verfehlt Ihr Produkt einschlägige Cybersicherheitsanforderungen, wird es im Sinne der Produkthaftung als fehlerhaft bewertet - unabhängig davon, ob die eigentliche Funktion noch gegeben ist. Ungepatchte Schwachstellen, fehlende Sicherheitsupdates oder eine ungepflegte Open-Source-Lieferkette sind damit direkte Fehlerindizien.
Beweislasterleichterung für Geschädigte #
Ist der Nachweis wegen technischer Komplexität übermäßig schwierig und macht der Geschädigte Fehler oder Schadensursache wahrscheinlich, wird die Beweislast erleichtert. Das bedeutet: Es wird einfacher, Sie als Hersteller erfolgreich zu verklagen.
Konsequenzen #
Keine Haftungsobergrenze #
Ohne allgemeine Haftungsobergrenze werden großflächige Sicherheitsvorfälle zu einem existenziellen Risiko. Wenn eine Schwachstelle in einer Open-Source-Bibliothek Millionen Nutzer betrifft, kann der Gesamtschaden die Existenz Ihres Unternehmens bedrohen.
Beweislastumkehr bei unterlassener Offenlegung #
Wer gerichtlich angeforderte Beweismittel nicht offenlegt, riskiert die Umkehr der Beweislast: Nicht der Kläger muss dann den Fehler beweisen, sondern Sie müssen beweisen, dass Ihr Produkt fehlerfrei war. Praktisch heißt das, dass Sie im Prozess vorlegen können müssen, was Sie zu Auswahl, Prüfung und Pflege Ihrer Komponenten getan haben - was Sie nie dokumentiert haben, können Sie auch nicht offenlegen.
Gesetzesreferenzen (RL EU 2024/2853) #
Die wichtigsten Artikel der neuen Produkthaftungsrichtlinie:
- Art. 4 Nr. 1: Software ist ein Produkt im Sinne der Richtlinie
- Art. 6 Abs. 1 lit. c: Vernichtung oder Beschädigung nicht beruflich genutzter Daten als ersatzfähiger Schaden
- Art. 7 Abs. 2 lit. f: Cybersicherheitsanforderungen als Kriterium der Fehlerhaftigkeit
- Art. 8: Haftung des Herstellers für fehlerhafte Produkte und Komponenten
- Art. 9: Offenlegungspflicht für Beweismittel auf Verlangen
- Art. 10: Beweislasterleichterung bei technischer Komplexität
- Art. 11 Abs. 2: Kein Einwand „erst später fehlerhaft“ bei fehlenden nötigen Sicherheitsupdates unter Herstellerkontrolle
- Art. 12: Gesamtschuldnerische Haftung mehrerer Wirtschaftsakteure
Zusammenspiel mit dem CRA #
Die Produkthaftungsrichtlinie und der Cyber Resilience Act ergänzen sich: Der CRA definiert, welche Sicherheitsanforderungen Produkte erfüllen müssen. Die Produkthaftungsrichtlinie definiert, was passiert, wenn sie es nicht tun. Ein Verstoß gegen CRA-Anforderungen kann als Beleg für die Fehlerhaftigkeit des Produkts herangezogen werden. Umgekehrt schützt die Einhaltung des CRA nicht automatisch vor Produkthaftungsansprüchen -sie ist aber ein starkes Indiz für die Erfüllung der Sorgfaltspflicht.
Haftung für die gesamte Lieferkette #
Sie haften für Ihr Gesamtprodukt, einschließlich aller integrierten Komponenten. Eine Schwachstelle in einer transitiven Abhängigkeit kann Ihre Haftung auslösen, auch wenn Sie die Komponente nie bewusst ausgewählt haben. Die Sorgfaltspflicht erstreckt sich auf Ihre gesamte Software-Lieferkette.
Was OTTRIA übernimmt #
| Haftungsrisiko | OTTRIA-Leistung |
|---|---|
| Fehlende Sorgfalt bei Komponentenauswahl | Dokumentierte Bewertung aller OSS-Abhängigkeiten: Projekt-Gesundheit, Maintainer-Reife, bekannte Schwachstellen |
| Ungepatchte Schwachstellen | Laufende Überwachung, Upstream-Fixes, Patches auch für verwaiste Projekte |
| Fehlende Dokumentation | Prüffähige Maßnahmenhistorie: Was wurde wann gemacht, von wem, mit welchem Ergebnis |
| Unbekannte Abhängigkeiten | SBOM-Auswertung und -Überwachung einschließlich transitiver Abhängigkeiten |
| Keine Nachweise für Beweislast | Systematische OSS-Governance-Dokumentation als Nachweis der Sorgfalt |
| Verwaiste Projekte in der Lieferkette | Wartung übernehmen oder Patches bereitstellen |
Was OTTRIA nicht übernimmt #
- Ihre Haftung: Die Produkthaftung liegt beim Hersteller. OTTRIA reduziert Ihr Risiko durch dokumentierte Sorgfalt, übernimmt aber nicht Ihre gesetzliche Haftung.
- Ihre Produktentscheidungen: Welche Komponenten Sie einsetzen und welches Risiko Sie akzeptieren, entscheiden Sie.
- Nicht-OSS-Komponenten: OTTRIA deckt ausschließlich Open-Source-Abhängigkeiten ab.
- Ihre Systeme: OTTRIA arbeitet nicht in Ihren Systemen.
- Rechtsberatung: OTTRIA liefert technische Governance und Dokumentation, keine juristische Beratung.
Was legen Sie dem Prüfer vor? #
Im Haftungsfall entscheidet die Dokumentation.
OTTRIA liefert Ihnen #
- Nachweis systematischer OSS-Governance: Prozesse, Verantwortlichkeiten, regelmäßige Bewertungen
- Dokumentation der Sorgfaltspflicht bei Komponentenauswahl: Welche Komponenten wurden bewertet, nach welchen Kriterien, mit welchem Ergebnis
- Maßnahmenhistorie bei Schwachstellen: Wann wurde eine Schwachstelle erkannt, wann bewertet, wann behoben
- SBOM mit vollständiger Abhängigkeitsstruktur
- Nachweis laufender Überwachung und proaktiver Pflege
Sie ergänzen #
- Ihre Produktentscheidungen und Risikobewertungen
- Die Integration in Ihre internen Entwicklungsprozesse
- Ihre Gesamtdokumentation für das Produkt
Das reduziert Ihr Haftungsrisiko durch dokumentierte Sorgfalt: Wenn Sie nachweisen können, dass Sie bei der Auswahl und Pflege Ihrer Open-Source-Komponenten systematisch und nach dem Stand der Technik vorgegangen sind, können Sie Vorwürfe substantiiert prüfen und widerlegen, statt sie hinnehmen zu müssen. Einen echten Produktfehler macht das nicht ungeschehen. Aber es entscheidet darüber, womit Sie im Prozess antreten.
Umsetzung in Deutschland #
Nationale Umsetzung bis Dezember 2026 #
Die neue EU-Produkthaftungsrichtlinie ist eine Richtlinie, keine Verordnung. Sie muss national umgesetzt werden. In Deutschland wird sie das bestehende Produkthaftungsgesetz (ProdHaftG) ändern oder ersetzen. Die Umsetzungsfrist für die Mitgliedstaaten endet am 9. Dezember 2026.
Zusammenspiel mit dem ProdHaftG #
Das deutsche Produkthaftungsgesetz basiert auf der alten EU-Richtlinie von 1985. Die neue Richtlinie erfasst Software ausdrücklich und erweitert die Haftung um die Vernichtung oder Beschädigung nicht beruflich genutzter Daten. Die neuen Regeln gelten erst für Produkte, die nach dem 9. Dezember 2026 in Verkehr gebracht oder in Betrieb genommen werden; ältere Produkte bleiben im bisherigen Regime.
Abweichungen in anderen EU-Ländern #
Die Richtlinie vereinheitlicht die Haftungsregeln weitgehend - nationale Abweichungen sind nur dort erlaubt, wo sie das ausdrücklich zulässt. Für Sie heißt das: Eine sauber dokumentierte Open-Source-Governance trägt in allen EU-Märkten, in denen Sie ausliefern - Sie brauchen keine Länderversionen Ihrer Nachweise. Abweichen können die nationalen Verfahrensregeln, etwa zur Zuständigkeit der Gerichte.
Dokumentierte Sorgfalt ist Ihr bester Schutz gegen Produkthaftungsansprüche. Lassen Sie uns gemeinsam prüfen, wie Ihre Open-Source-Governance aufgestellt ist.
Produkthaftungs-Factsheet herunterladen (PDF)
Weiterlesen