Sicherheitslücken bekämpfen Künstliche Intelligenz und Haftung: Ein sicherer Rechtsrahmen für Hersteller und Anwender

Im Hinblick auf Sicherheitslücken in IoT-Geräten, die fortschreitende Entwicklung und den Einsatz künstlicher Intelligenz ist eine eindeutige haftungsrechtliche Regelung unumgänglich. Technische Lösungen wie Embedded Law können also keinen Ersatz für klare regulatorische Anforderungen darstellen.

Die im Juni 2020 von der israelischen Sicherheitsfirma JSOF aufgedeckten Sicherheitslücken Ripple20, die unzählige smarte IoT-Geräte betreffen, zeigen deutlich, weshalb die haftungsrechtlichen Regelungen in Bezug auf Software dringend ergänzt und angepasst werden müssen. Die bekannt gewordenen Sicherheitslücken in einem TCP/IP-Stack der Firma Treck gefährden nach Schätzungen der Entdecker mehrere hundert Millionen Geräte, die in Privathaushalten und Unternehmen im Einsatz sind, darunter Drucker, Steuerungen von Industrieanlagen oder Satelliten.

Viele der betroffenen Geräte werden wohl kein Sicherheitsupdate bekommen, da nicht nachvollzogen werden kann, welche Geräte von den Schwachstellen betroffen sind. Außerdem sind Updates bislang ohnehin nicht vorgesehen. Sofern beim Erwerb eines IoT-Geräts keine andere Vereinbarung getroffen wurde, beträgt die vertragliche Gewährleistung häufig nur wenige Jahre – kaufrechtliche Mängelansprüche etwa verjähren nach § 438 Abs. 1 Nr. 3 BGB in der Regel nach zwei Jahren. Viele Softwareprodukte zur Verwendung in komplexen hochpreisigen Industrieanlagen sind jedoch auf einen deutlich längeren Nutzungszeitraum angelegt. Bestehen keine vertraglichen Ansprüche, ergeben sich die Pflichten des Herstellers aus den haftungsrechtlichen Regelungen des Delikts- und Produkthaftungsrechts.