Software ist längst Teil sicherheitskritischer Produkte. Mit der Neufassung des deutschen Produkthaftungsrechts verändert sich ab dem 9. Dezember 2026 auch die rechtliche Betrachtung von Software, digitalen Komponenten und sicherheitsrelevanten Updates. Für Unternehmen in industriellen und Defence-nahen Lieferketten lohnt sich deshalb ein Blick auf eine Frage, die in vielen Projekten zwischen Entwicklung, Einkauf und Programmmanagement liegen bleibt: Wer trägt welche Verantwortung, wenn aus einer digitalen Schwachstelle ein fehlerhaftes Produkt wird?
Ein Hersteller liefert ein elektronisches Teilsystem an einen Integrator. Darin arbeiten Firmware, Bibliotheken eines Drittanbieters und ein digitaler Dienst, ohne den eine zentrale Funktion nicht verfügbar wäre. Monate später wird eine Schwachstelle bekannt. Ein Sicherheitsupdate ist technisch möglich, aber die Beteiligten sind sich nicht einig, wer die Auswirkung bewertet, den Patch freigibt und die Kunden informiert.
Solange nichts geschieht, wirkt das wie ein gewöhnliches Abstimmungsthema. Kommt es jedoch zu einem fehlerbedingten Personen- oder anderen gesetzlich erfassten Schaden, können genau diese Entscheidungen haftungsrechtlich relevant werden.
Dieses Beispiel ist hypothetisch. Es zeigt den Kern der Reform: Produktsicherheit endet nicht zwangsläufig mit der Auslieferung, und Software lässt sich nicht mehr aus der Produktverantwortung herausdenken.
Der Stichtag steht fest – und das Gesetz ist bereits verkündet
Die EU hat mit der Richtlinie (EU) 2024/2853 die Produkthaftung für digitale Produkte modernisiert. Deutschland hat die Vorgaben durch das Gesetz zur Modernisierung des Produkthaftungsrechts umgesetzt, das am 27. Oktober 2026 im Bundesgesetzblatt veröffentlicht wurde. Das neue Produkthaftungsgesetz tritt am 9. Dezember 2026 in Kraft.
Für Produkte, die bis einschließlich 8. Dezember 2026 in Verkehr gebracht oder in Betrieb genommen wurden, bleibt grundsätzlich das bisherige Produkthaftungsgesetz maßgeblich. Die Reform wirkt also nicht pauschal rückwirkend auf sämtliche Altprodukte. Wie spätere Softwarebereitstellungen oder wesentliche Änderungen im Einzelfall einzuordnen sind, muss gesondert geprüft werden.
Wer jetzt nur auf den Cyber Resilience Act und dessen umfassendere Anforderungen ab Dezember 2027 blickt, könnte diese eigenständige Änderung übersehen. Cybersicherheitsregulierung und zivilrechtliche Produkthaftung haben unterschiedliche Ziele und unterschiedliche Anwendungsregeln.
Software ist jetzt ausdrücklich ein Produkt
§ 2 des neuen Produkthaftungsgesetzes erfasst neben beweglichen Sachen unter anderem Software und bestimmte digitale Konstruktionsunterlagen. Das betrifft nicht nur Programme auf einem Datenträger. Auch eigenständig bereitgestellte Software und KI-Systeme können grundsätzlich erfasst sein. Ein eng begrenzter Ausnahmetatbestand gilt für freie und Open-Source-Software, die außerhalb einer Geschäftstätigkeit entwickelt oder bereitgestellt wird.
Für Zulieferer ist außerdem § 4 bedeutsam. Verursacht eine fehlerhafte Komponente unter den gesetzlichen Voraussetzungen einen Fehler des integrierten Produkts, können sowohl der Hersteller des Gesamtprodukts als auch der Komponentenhersteller haften. Der Begriff der Komponente umfasst auch bestimmte digitale Dienste, ohne die eine Produktfunktion nicht ausführbar wäre.
Ein Unternehmen, das „nur“ Firmware, Steuerungssoftware oder ein essenzielles digitales Modul liefert, sollte seine Rolle in der Produktkette daher nicht allein aus dem Vertragswortlaut ableiten. Entscheidend ist, welche Funktion die Komponente tatsächlich übernimmt, wie sie integriert wird und ob die gesetzlichen Haftungsvoraussetzungen vorliegen.
Nach der Auslieferung: Wer behält die Kontrolle?
Besonders bemerkenswert ist die neue Betrachtung der Herstellerkontrolle. Nach § 8 kann sich der maßgebliche Zeitpunkt für die Bewertung eines Produktfehlers verschieben, wenn der Hersteller nach dem Inverkehrbringen weiterhin Kontrolle über das Produkt behält – beispielsweise indem er selbst oder mit seinem Einverständnis Updates bereitstellt oder bereitstellen lassen kann.
Auch das Fehlen von Software-Updates, die zur Aufrechterhaltung der Sicherheit erforderlich sind, kann nach § 9 unter bestimmten Voraussetzungen relevant werden. Daraus folgt keine automatische Haftung für jede nicht behobene Sicherheitslücke. Erforderlich bleiben ein rechtlich relevanter Produktfehler, ein ersatzfähiger Schaden und der notwendige Ursachenzusammenhang; gesetzliche Ausnahmen und Beweisregeln sind zu beachten.
Operativ stellt sich jedoch eine einfache Frage: Kann der Hersteller nachweisen, warum ein sicherheitsrelevanter Patch zu einem bestimmten Zeitpunkt veröffentlicht, zurückgestellt oder nicht bereitgestellt wurde? Bei langlebigen Produkten, komplexen Freigaben und mehreren beteiligten Unternehmen ist diese Nachvollziehbarkeit keineswegs selbstverständlich.
Das übersehene Risiko in der Lieferkette: fehlende Beweisketten
In Defence-Programmen und industriellen Projekten werden technische Entscheidungen häufig über viele Jahre hinweg verteilt getroffen. Der OEM verantwortet die Systemintegration, ein Zulieferer liefert eine Baugruppe, ein weiterer pflegt die Firmware, und die Betriebsvorgaben liegen beim Kunden. Die Dokumentation folgt dabei oft den jeweiligen Vertrags- und Projektgrenzen.
Das neue Recht erweitert zugleich die Möglichkeiten, im Produkthaftungsprozess die Offenlegung relevanter Beweismittel zu verlangen. § 19 sieht dafür ein gerichtliches Verfahren mit Voraussetzungen, Verhältnismäßigkeitsprüfung und Schutzmechanismen für vertrauliche Informationen und Geschäftsgeheimnisse vor. Unter bestimmten Umständen können auch Dritte betroffen sein. § 20 enthält zusätzlich gesetzliche Vermutungen und Beweiserleichterungen.
Das bedeutet nicht, dass ein Anspruchsteller beliebig Entwicklungsunterlagen einsehen darf. Es bedeutet aber, dass die belastbare Dokumentation von Sicherheitsentscheidungen im Streitfall erheblich an Bedeutung gewinnt.
Für sicherheitssensible Unternehmen entsteht daraus eine doppelte Aufgabe: Sie müssen Entscheidungswege, Produktstände, Tests und Maßnahmen nachvollziehbar aufbewahren – und zugleich sicherstellen, dass vertrauliche oder eingestufte Informationen ausschließlich im jeweils rechtlich zulässigen Verfahren behandelt werden. Geschäftsgeheimnisschutz und Geheimschutzrecht sind dabei nicht gleichzusetzen.
Defence-Bezug bedeutet keine pauschale Ausnahme
Ein möglicher Denkfehler entsteht durch den Vergleich mit dem Cyber Resilience Act. Dieser sieht unter anderem eine Ausnahme für Produkte vor, die ausschließlich für nationale Sicherheits- oder Verteidigungszwecke entwickelt oder modifiziert wurden, sowie für speziell zur Verarbeitung eingestufter Informationen ausgelegte Produkte.
Diese CRA-Ausnahme lässt sich nicht automatisch auf das Produkthaftungsrecht übertragen. Das neue Produkthaftungsgesetz enthält keine generelle Freistellung allein wegen eines militärischen Kunden oder der Zugehörigkeit zur Defence-Lieferkette. Ob ein bestimmtes Produkt und ein konkreter Schaden erfasst sind, richtet sich nach dem jeweils einschlägigen Recht.
Ebenso wichtig ist die Gegenrichtung: Die Reform bedeutet nicht, dass jeder rein wirtschaftliche Schaden eines Rüstungsunternehmens nach dem Produkthaftungsgesetz ersetzt werden kann. Das Gesetz schützt natürliche Personen bei bestimmten Personen-, Sach- und Datenschäden. Schäden an ausschließlich beruflich genutzten Sachen, beruflich verwendeten Daten oder dem fehlerhaften Produkt selbst fallen nicht unter die neue gesetzliche Produkthaftung. Vertragliche und andere gesetzliche Ansprüche können daneben bestehen.
Für Defence-Unternehmen liegt das Risiko deshalb nicht in einer pauschalen neuen Haftung für jeden Projektfehler, sondern in den konkreten Schnittstellen zwischen Produktsicherheit, Komponentenverantwortung, Personenschäden, Nachweisführung und bestehenden vertraglichen Verpflichtungen.
Was Unternehmen vor dem 9. Dezember prüfen sollten
1. Produkt- und Rollenübersicht aktualisieren. Welche Hardware, Software, Firmware, digitalen Konstruktionsunterlagen oder verbundenen Dienste werden ab dem Stichtag neu auf den EU-Markt gebracht oder in Betrieb genommen? Wo ist das Unternehmen Hersteller, Komponentenhersteller, Integrator oder Importeur?
2. Patch-Verantwortung eindeutig festlegen. Wer beobachtet Sicherheitsmeldungen? Wer prüft die Betroffenheit konkreter Produktversionen? Wer entscheidet über Updates, Tests, Freigaben und Kundeninformation? Und wo werden diese Entscheidungen dokumentiert?
3. Komponenten und Produktstände nachweisbar zuordnen. Ohne verlässliche Versionsstände, Lieferanteninformationen und eine nachvollziehbare Änderungsdokumentation lässt sich später kaum rekonstruieren, welche Software in welchem Produkt eingesetzt wurde. Eine Software Bill of Materials kann helfen, ersetzt aber keine gelebten Verantwortlichkeiten.
4. Vertrauliche Nachweise kontrolliert organisieren. Sicherheitsbewertungen, Prüfberichte, technische Änderungsfreigaben und Vorfallentscheidungen sollten auffindbar sein. Zugriffsrechte, Aufbewahrung, Geschäftsgeheimnisse und mögliche Verschlusssachen erfordern dabei eine gesonderte Schutzbetrachtung.
5. Vertrags- und Versicherungsgrenzen prüfen. Regelungen mit OEMs und Zulieferern sollten Informationswege, Mitwirkung, Updateverantwortung und Rückgriff angemessen abbilden. Gleichzeitig ist zu prüfen, ob der bestehende Versicherungsschutz digitale Komponenten und relevante Produkthaftungsrisiken erfasst. Gesetzliche Ansprüche geschädigter Personen lassen sich durch Lieferantenverträge nicht einfach ausschließen.
Fazit: Security by Design braucht Evidence by Design
Die neue Produkthaftung ist kein weiterer Sicherheitsstandard, den eine Fachabteilung mit einer Checkliste abhaken kann. Sie macht sichtbar, wie eng moderne Produktsicherheit mit Softwarepflege, Lieferantensteuerung und der Qualität operativer Entscheidungen verbunden ist.
Für Hersteller und Zulieferer in sicherheitskritischen Branchen lautet die entscheidende Frage deshalb nicht nur: Ist unser Produkt sicher? Sondern auch: Können wir seine Sicherheitsentscheidungen über den gesamten relevanten Produktlebenszyklus nachvollziehen – und die Verantwortlichkeiten belegen?
Wer diese Fragen vor dem nächsten Vorfall klärt, verbessert nicht nur seine rechtliche Ausgangslage. Er stärkt auch die technische Zuverlässigkeit und die Zusammenarbeit in anspruchsvollen Lieferketten.
Artefaktum begleitet Organisationen an der Schnittstelle von Cyber Security, Defence-Projekten, geschützten Informationen und operativer Umsetzung. Sprechen Sie mit uns über Ihre konkrete Aufgabenstellung.
Rechtsgrundlagen und weiterführende Quellen
- Richtlinie (EU) 2024/2853 über die Haftung für fehlerhafte Produkte – EUR-Lex
- Gesetz zur Modernisierung des Produkthaftungsrechts – BGBl. 2026 I Nr. 321, konsolidierter Gesetzestext
- Deutscher Bundestag: Beschluss zur Modernisierung des Produkthaftungsrechts vom 8. Oktober 2026
- IHK Frankfurt am Main: Neue Regelungen zur Produkthaftung 2026
