Kurz beantwortet: Nach der neuen EU-Produkthaftung endet Ihre Verantwortung als Hersteller nicht mit dem Inverkehrbringen, denn die Kontrolle des Herstellers umfasst auch die Bereitstellung von Software-Updates. Ein unterlassenes verfügbares Sicherheitsupdate kann deshalb zum Haftungsfall werden, sodass ein funktionierendes Schwachstellen- und Update-Management zur produkthaftungsrelevanten Daueraufgabe wird. Maßgeblich wird das mit der Umsetzung bis zum 9. Dezember 2026.

Software wird nach dem Verkauf nicht fertig, sie wird gepatcht, aktualisiert, weiterentwickelt. Genau hier setzt die neue EU-Produkthaftung an: Die Verantwortung endet nicht mit dem Inverkehrbringen. Wer Updates liefern kann, bleibt in der Pflicht, ein unterlassenes Sicherheitsupdate kann zum Haftungsfall werden. Maßgeblich ab der Umsetzung bis zum 9. Dezember 2026.

Das Wichtigste in Kürze

  • Die Verantwortung des Herstellers endet nicht mit dem Inverkehrbringen, weil die Kontrolle des Herstellers auch die Bereitstellung von Software-Updates umfasst.
  • Ein unterlassenes, verfügbares Sicherheitsupdate kann zum Haftungsfall werden, sodass Produktsicherheit und Cybersicherheit zusammenwachsen.
  • Der Entwicklungsrisiko-Einwand bleibt im Grundsatz erhalten, doch dürfen die Mitgliedstaaten davon abweichen und auch für später erkennbare Fehler haften lassen.
  • Maßgeblich wird das mit der Umsetzung bis zum 9. Dezember 2026, weshalb ein dokumentiertes Schwachstellen- und Update-Management zur Daueraufgabe wird.

Warum reicht die Kontrolle des Herstellers in die Zukunft?

Die Richtlinie (EU) 2024/2853 knüpft die Haftung an den Begriff der „Kontrolle des Herstellers“. Nach ihrem Art. 4 Nr. 5 RL 2024/2853 umfasst diese Kontrolle ausdrücklich auch die Bereitstellung von Software-Updates und -Upgrades, und zwar sowohl, wenn der Hersteller sie selbst vornimmt, als auch, wenn er dazu in der Lage ist. Ein Produkt kann deshalb auch dann als fehlerhaft gelten, wenn der Fehler erst nach dem Inverkehrbringen entsteht und der Hersteller ihn durch ein Update hätte beheben können, es aber unterlässt.

Wieso wird Cybersicherheit zur Haftungsfrage?

Damit verschmelzen zwei Welten, die bisher getrennt gedacht wurden: Produktsicherheit und Cybersicherheit. Wenn die berechtigte Sicherheitserwartung an ein Softwareprodukt auch den Schutz vor bekannten Schwachstellen umfasst, wird das Ausbleiben eines verfügbaren Sicherheitspatches haftungsrelevant. Für Anbieter heißt das: Ein funktionierendes Schwachstellen- und Update-Management ist nicht mehr nur eine Frage der Kundenzufriedenheit oder der NIS-2- und Cyber-Resilience-Pflichten, sondern auch der Produkthaftung.

Bleibt der Entwicklungsrisiko-Einwand bestehen?

Bisher konnte sich ein Hersteller nach § 1 Abs. 2 Nr. 5 ProdHaftG darauf berufen, dass ein Fehler nach dem Stand von Wissenschaft und Technik beim Inverkehrbringen nicht erkennbar war. Die Richtlinie behält diesen Einwand in Art. 11 RL 2024/2853 im Grundsatz bei, erlaubt den Mitgliedstaaten in Art. 18 RL 2024/2853 aber ausdrücklich, davon abzuweichen und auch für später erkennbare Fehler haften zu lassen. Wie Deutschland das umsetzt, ist noch offen. Anbieter sollten sich aber nicht darauf verlassen, dass der Einwand in bisheriger Breite bestehen bleibt. Wie die Entwicklungsrisiko-Einrede bei Software konkret durchlöchert ist, vertieft der zugehörige Beitrag.

Was sollten Sie jetzt vorbereiten?

  • Update-Prozess dokumentieren: Wer wann welche Sicherheitslücke wie schnell schließt, sollte nachvollziehbar geregelt sein.
  • Supportzeiträume klar kommunizieren: Wie lange ein Produkt Updates erhält, gehört transparent in Produktbeschreibung und Vertrag.
  • Lieferkette einbeziehen: Auch Komponenten und verbundene Dienste Dritter fallen in den Blick; klären Sie vertraglich, wer für deren Updates einsteht.
  • Beweisvorsorge treffen: Angesichts der Beweiserleichterungen für Geschädigte (Art. 10 RL 2024/2853) wird die eigene, saubere Dokumentation zum wichtigsten Verteidigungsmittel.

Die neue Produkthaftung macht aus dem Update-Management eine rechtliche Daueraufgabe. Wer sie früh organisiert, verwandelt ein Haftungsrisiko in einen belegbaren Sorgfaltsnachweis. Die Gesamtübersicht über alle Stationen der Reform bündelt der Leitfaden zur Produkthaftung für Software & KI.

Häufige Fragen

Endet die Herstellerhaftung mit dem Inverkehrbringen?

Nein. Nach Art. 4 Nr. 5 der Richtlinie (EU) 2024/2853 umfasst die Kontrolle des Herstellers auch die Bereitstellung von Software-Updates, sodass ein Produkt auch dann als fehlerhaft gelten kann, wenn der Fehler erst später entsteht und der Hersteller ihn durch ein Update hätte beheben können.

Warum wird Cybersicherheit zur Haftungsfrage?

Umfasst die berechtigte Sicherheitserwartung an ein Softwareprodukt auch den Schutz vor bekannten Schwachstellen, wird das Ausbleiben eines verfügbaren Sicherheitspatches haftungsrelevant, sodass ein funktionierendes Update-Management nicht mehr allein eine Frage der Kundenzufriedenheit ist.

Bleibt der Entwicklungsrisiko-Einwand bestehen?

Die Richtlinie behält den Einwand im Grundsatz bei, erlaubt den Mitgliedstaaten aber ausdrücklich, davon abzuweichen und auch für später erkennbare Fehler haften zu lassen; wie Deutschland das umsetzt, ist noch offen.

Was sollten Anbieter jetzt vorbereiten?

Anbieter sollten ihren Update-Prozess dokumentieren, Supportzeiträume transparent kommunizieren, die Lieferkette vertraglich einbeziehen und angesichts der Beweiserleichterungen für Geschädigte für eine saubere eigene Dokumentation sorgen.

Quellen & Rechtsgrundlagen

Sie wollen Ihr Update- und Sicherheitsmanagement haftungsfest aufstellen? In einem 30-minütigen Erstgespräch klären wir, worauf es bei Ihrem Produkt ankommt. Für die vertragliche Umsetzung begleitet Sie die Rechtsberatung im IT-Recht.

→ Erstgespräch anfragen