IT-Recht · Serie Digitalrecht, Teil 1 | Teil 2: Cyber Resilience Act | Teil 3: NIS-2 · Stand: Oktober 2026
Ein fehlerhaftes Update legt das Smart-Home-Thermostat lahm, die Heizung fällt im Januar aus, ein Wasserrohr platzt. Bisher hätte der betroffene Kunde den Software-Anbieter kaum über das Produkthaftungsgesetz belangen können. Das ändert sich jedoch: Die Produkthaftung für Software wird zur Regel – verschuldensunabhängig, ohne Haftungsobergrenze und mit deutlich leichterer Beweisführung für Geschädigte.
In diesem Beitrag erfahren Sie, welche Software künftig als Produkt gilt, wer in der Haftungskette steht, welche Schäden ersatzfähig werden und mit welchen sieben Schritten Sie Ihr Unternehmen bis zum Stichtag absichern.
Kurz beantwortet
Mit der EU-Produkthaftungsrichtlinie (EU) 2024/2853 und dem neu gefassten deutschen Produkthaftungsgesetz zählt Software ausdrücklich als Produkt – egal ob installiert, als App, per Cloud oder als SaaS bereitgestellt. KI-Systeme sind eingeschlossen. Das neue Recht soll für Produkte gelten, die ab dem 9. Dezember 2026 in Verkehr gebracht oder in Betrieb genommen werden. (Stand: Oktober 2026)
Das Wichtigste in Kürze
- Software ist ein Produkt – unabhängig vom Bereitstellungsweg (§ 2 Abs. 1 Nr. 3 ProdHaftG-E). Das schließt SaaS, Cloud-Lösungen und KI ein.
- Updates sind haftungsrelevant: Wer nach dem Inverkehrbringen die Kontrolle behält, haftet für fehlerhafte Updates und für unterlassene Sicherheitsupdates.
- Keine Obergrenzen mehr: Die 85-Mio.-Euro-Grenze bei Personenschäden und der Selbstbehalt von 500 Euro bei Sachschäden fallen weg.
- Datenverlust wird ersatzfähig, soweit die Daten nicht ausschließlich beruflich genutzt werden.
- Gerichte können die Offenlegung technischer Unterlagen anordnen. Wer sich weigert, riskiert folglich die Vermutung eines Produktfehlers.
Was ist neu? Vom ProdHaftG 1989 zur Richtlinie 2024/2853
Das geltende Produkthaftungsgesetz stammt aus dem Jahr 1989. Allerdings definiert es ein Produkt als bewegliche Sache oder Elektrizität. Ob reine Software ohne Datenträger darunter fällt, war jahrzehntelang umstritten – in der Praxis wurde es jedoch überwiegend verneint. Software-Anbieter hafteten deshalb vor allem vertraglich oder deliktisch, also in der Regel nur bei Verschulden.
Die EU hat diese Lücke mit der Richtlinie (EU) 2024/2853 geschlossen. Sie trat am 9. Dezember 2024 in Kraft und ersetzt außerdem die alte Richtlinie 85/374/EWG vollständig. Deutschland setzt sie durch ein komplett neu gefasstes Produkthaftungsgesetz um.
Der Zeitplan im Überblick
| Datum | Schritt |
|---|---|
| 09.12.2024 | Richtlinie (EU) 2024/2853 tritt in Kraft |
| 17.12.2025 | Bundeskabinett beschließt den Regierungsentwurf |
| 30.01.2026 | Stellungnahme des Bundesrates (BR-Drs. 775/25 (B)) |
| 25.02.2026 | Gesetzentwurf im Bundestag (BT-Drs. 21/4297) |
| 04.03.2026 | Erste Lesung, Überweisung an den Rechtsausschuss |
| 09.12.2026 | Geplantes Inkrafttreten und Ende der Umsetzungsfrist |
Wichtig für Ihre Planung ist die Übergangsregel (§ 23 ProdHaftG-E): Für Produkte, die bis einschließlich 8. Dezember 2026 in Verkehr gebracht oder in Betrieb genommen wurden, gilt das alte Recht weiter. Allerdings kann diese Grenze bei Software mit kontinuierlichen Releases schnell verschwimmen – dazu unten mehr.
Welche Software fällt unter die Produkthaftung?
Der Gesetzgeber verzichtet bewusst auf eine Definition von Software. Stattdessen ist der Produktbegriff technikoffen formuliert und soll auch künftige Entwicklungen erfassen. Erfasst sind insbesondere:
- Standardsoftware, Apps und Betriebssysteme, lokal installiert oder heruntergeladen
- SaaS- und Cloud-Lösungen, unabhängig davon, wo der Code läuft
- KI-Systeme, etwa zur Steuerung von Fahrzeugen, Maschinen oder Medizintechnik
- Embedded Software und Firmware in Geräten und Anlagen
- Digitale Konstruktionsunterlagen, zum Beispiel CAD-Dateien oder Vorlagen für 3D-Drucker (§ 2 Abs. 1 Nr. 4 ProdHaftG-E)
- Verbundene digitale Dienste, ohne die ein Produkt eine Funktion nicht erfüllen kann (§ 4 Abs. 2 Satz 2 ProdHaftG-E)
Verbundene Dienste: Wenn die App Teil der Hardware wird
Ein digitaler Dienst wird insbesondere dann zur Komponente eines Produkts, wenn er für dessen Funktion unerlässlich ist und mit Einverständnis des Herstellers eingebunden wurde. Das Beispiel aus der Gesetzesbegründung: Ein autonomes Fahrzeug nutzt einen Navigationsdatendienst eines Drittanbieters. Fällt der Dienst beispielsweise aus und verursacht einen Unfall, können Fahrzeughersteller und Dienstanbieter gleichermaßen haften. Für Hersteller vernetzter Geräte bedeutet das folglich: Die Partner-App oder die Cloud-Anbindung gehört in die eigene Risikobetrachtung.
Open-Source-Software: Ausnahme mit engen Grenzen
Freie und quelloffene Software ist nur ausgenommen, wenn sie außerhalb einer Geschäftstätigkeit entwickelt oder bereitgestellt wird. Wer Open Source dagegen kommerziell anbietet, supportet oder als Teil eines Produkts vertreibt, fällt unter das Gesetz – auch wenn der Download kostenlos ist. Integrieren Sie eine Open-Source-Bibliothek in Ihr Produkt, haften Sie folglich als Hersteller für das Gesamtprodukt. Der Regierungsentwurf stellt klar, dass dann nicht der Entwickler der Open-Source-Komponente in Anspruch genommen wird, sondern Sie.
Praxistipp: Pflegen Sie eine Software Bill of Materials (SBOM). Sie zeigt nämlich im Streitfall, welche Komponente in welcher Version verbaut war.
Wer haftet? Die Haftungskette bei der Produkthaftung für Software
Bei der Produkthaftung für Software gibt es zudem deutlich mehr Haftungsadressaten als bisher. Ziel ist somit, dass Geschädigte in der EU immer einen greifbaren Anspruchsgegner finden – auch wenn der Hersteller in einem Drittstaat sitzt.
| Akteur | Wann haftet er? |
|---|---|
| Hersteller (§ 3 ProdHaftG-E) | Primär; auch wer Name oder Marke auf das Produkt setzt |
| Importeur (§ 10 ProdHaftG-E) | Neben dem Hersteller, wenn dieser außerhalb der EU sitzt |
| Bevollmächtigter (§ 10 ProdHaftG-E) | Subsidiär, wenn kein Importeur vorhanden ist |
| Fulfillment-Dienstleister (§ 11 ProdHaftG-E) | Subsidiär, wenn kein EU-Importeur oder Bevollmächtigter existiert |
| Händler bzw. Lieferant (§ 12 ProdHaftG-E) | Wenn er den Verantwortlichen nicht binnen eines Monats benennt |
| Online-Plattform (§ 13 ProdHaftG-E) | Wenn sie den Eindruck erweckt, selbst anzubieten, und nicht binnen eines Monats benennt |
| Wesentlicher Veränderer (§ 5 ProdHaftG-E) | Gilt für das veränderte Produkt als neuer Hersteller |
Mehrere Verantwortliche haften zudem als Gesamtschuldner (§ 15 ProdHaftG-E). Den Ausgleich untereinander können Sie allerdings vertraglich regeln. Gegenüber dem Geschädigten lässt sich die Haftung dagegen weder beschränken noch ausschließen (§ 18 ProdHaftG-E).
Achtung bei tiefgreifenden Software-Upgrades
Zudem kann auch ein Upgrade eine „wesentliche Veränderung“ sein. Maßgeblich ist insbesondere, ob es Leistung, Zweck oder Art des Produkts verändert und dadurch neue Risiken schafft oder das Risikoniveau erhöht (§ 5 Abs. 2 ProdHaftG-E). Wer etwa fremde Hardware mit eigener Firmware ausstattet und weitervertreibt, kann selbst zum Hersteller werden.
Welche Schäden sind künftig ersatzfähig?
Produkthaftung ist allerdings kein Gewährleistungsrecht. Sie greift nicht, weil eine Software schlecht funktioniert, sondern weil sie die berechtigten Sicherheitserwartungen verfehlt und dadurch Menschen oder deren Eigentum schädigt.
| Schadensart | Bisher | Künftig |
|---|---|---|
| Tod, Körper- und Gesundheitsverletzung | Ja, max. 85 Mio. Euro | Ja, ohne Obergrenze |
| Psychische Gesundheitsschäden | Nur eingeschränkt | Ausdrücklich erfasst, wenn medizinisch anerkannt |
| Sachschäden an anderen Sachen | Ja, 500 Euro Selbstbehalt | Ja, ohne Selbstbehalt |
| Verlust oder Beschädigung privater Daten | Nein | Ja (§ 1 Abs. 1 Nr. 3 ProdHaftG-E) |
| Schaden am fehlerhaften Produkt selbst | Nein | Nein |
| Ausschließlich beruflich genutzte Sachen und Daten | Nein | Nein |
Was das für B2B-Software bedeutet
Anspruchsberechtigt sind jedoch nur natürliche Personen. Ihr Unternehmenskunde selbst kann also keinen Anspruch nach dem ProdHaftG geltend machen. Verletzt sich aber ein Mitarbeiter des Kunden, weil Ihre Steuerungssoftware eine Maschine falsch ansteuert, steht ihm ein Anspruch zu. Reine B2B-Anbieter sind deshalb keineswegs aus dem Schneider.
Praxisbeispiel Datenschaden
Eine Foto-App löscht nach einem fehlerhaften Sync-Update die privaten Urlaubsbilder tausender Nutzer. Künftig können Betroffene daher vom Hersteller verschuldensunabhängig die Kosten der Wiederherstellung verlangen. Zudem summieren sich bei einer großen Nutzerbasis auch kleine Einzelbeträge schnell – zumal der frühere Selbstbehalt wegfällt.
Wann ist Software im Sinne der Produkthaftung fehlerhaft?
Ein Produkt ist fehlerhaft, wenn es nicht die Sicherheit bietet, die gesetzlich vorgeschrieben ist oder die man erwarten darf (§ 7 ProdHaftG-E). Neu ist allerdings, dass bei der Produkthaftung für Software ausdrücklich digitale Faktoren zählen:
- Selbstlernende Systeme: Entwickelt ein KI-System nach der Auslieferung durch Weiterlernen ein gefährliches Verhalten, kann das einen Fehler begründen.
- Wechselwirkungen: Vorhersehbare Effekte im Zusammenspiel mit anderen Produkten, etwa im Smart Home, fließen ein.
- Cybersicherheit: Sicherheitsrelevante Cybersicherheitsanforderungen sind Teil des Fehlerbegriffs. Folglich kann schon eine bekannte, ungepatchte Lücke den Fehler ausmachen.
- Rückrufe: Behördliche Maßnahmen sind ein Indiz, begründen aber allein keine Fehlervermutung.
Die Update-Falle
Behalten Sie nach dem Inverkehrbringen die Kontrolle über Ihr Produkt – etwa weil Sie Updates ausspielen –, haften Sie auch für Fehler, die ein späteres Update verursacht, und für unterlassene Sicherheitsupdates (§ 8 Abs. 2, § 9 Abs. 2 ProdHaftG-E). Der Patch-Prozess wird damit vom IT-Thema zum Haftungsthema.
Offen ist jedoch, wie Gerichte die Stichtagsregel bei kontinuierlich ausgelieferter Software anwenden. Ob ein Release nach dem 8. Dezember 2026 als neues Inverkehrbringen gilt, wird die Rechtsprechung klären müssen. Planen Sie daher vorsorglich so, als würde jede neue Hauptversion unter das neue Recht fallen.
Beweisführung bei der Produkthaftung für Software: Offenlegung und Vermutungen
Bisher scheiterten viele Klagen insbesondere daran, dass Geschädigte den Fehler nicht beweisen konnten. Das neue Recht verschiebt die Gewichte jedoch spürbar zugunsten der Kläger.
Offenlegung von Beweismitteln (§ 19 ProdHaftG-E)
Macht der Kläger seinen Anspruch plausibel, kann das Gericht auf Antrag anordnen, dass Sie relevante Unterlagen vorlegen – etwa Testberichte, Sicherheitskonzepte oder Erkenntnisse aus der Produktbeobachtung. Allerdings ist die Offenlegung auf das Erforderliche und Verhältnismäßige begrenzt. Geschäftsgeheimnisse bleiben nach dem GeschGehG geschützt. Mit einer US-amerikanischen Discovery ist das nicht vergleichbar, ein Umdenken erfordert es trotzdem.
Gesetzliche Vermutungen (§ 20 ProdHaftG-E)
Der Produktfehler wird vermutet, wenn
- Sie eine gerichtlich angeordnete Offenlegung verweigern,
- das Produkt verbindliche Sicherheitsanforderungen nicht erfüllt oder
- eine offensichtliche Fehlfunktion bei vorhersehbarem Gebrauch den Schaden verursacht hat.
Darüber hinaus wird die Kausalität vermutet, wenn der Schaden typischerweise auf den festgestellten Fehler zurückgeht. Besonders relevant für KI ist die Komplexitätsklausel: Ist der Beweis wegen technischer Komplexität übermäßig schwierig, genügt dem Kläger der Nachweis der Wahrscheinlichkeit (§ 20 Abs. 3 ProdHaftG-E).
Die Konsequenz ist daher klar: Im Prozess gewinnt nicht automatisch, wer sauber entwickelt hat, sondern wer es belegen kann.
Produkthaftung für Software: 7 Schritte bis zum Stichtag
- Betroffenheit klären: Listen Sie Ihre Produkte auf und bestimmen Sie Ihre Rolle je Produkt – Hersteller, Importeur, Plattform oder Veränderer. Die Antwort kann zudem innerhalb eines Unternehmens unterschiedlich ausfallen.
- Komponenten inventarisieren: Erfassen Sie zudem Drittanbieter- und Open-Source-Komponenten in einer SBOM, inklusive Versionen.
- Technische Dokumentation strukturieren: Anforderungen, Architektur, Tests und Sicherheitskonzept müssen je Release abrufbar sein. Markieren Sie außerdem Geschäftsgeheimnisse von Anfang an.
- Update-Management formalisieren: Definieren Sie zunächst Freigabe-, Test- und Rollback-Prozesse. Legen Sie außerdem fest, wie lange Sie Sicherheitsupdates liefern, und dokumentieren Sie jeden Rollout.
- Verträge anpassen: Regeln Sie Regress, Informationspflichten und Mitwirkung im Innenverhältnis mit Zulieferern, Integratoren und Plattformen. Haftungsausschlüsse gegenüber Geschädigten sind dagegen wirkungslos.
- Versicherung prüfen: Viele IT-Haftpflicht-Policen decken die verschuldensunabhängige Produkthaftung nicht automatisch ab. Klären Sie daher Deckungssummen ohne Obergrenze, Datenschäden und Serienschadenklauseln.
- Gesetzgebung beobachten: Prüfen Sie den finalen Gesetzestext nach Verabschiedung und passen Sie Ihre Maßnahmen an.
Fazit: Produkthaftung für Software ist Chefsache
Mit dem neuen Produkthaftungsrecht endet somit die Sonderstellung von Software. Drei Punkte sollten Sie mitnehmen:
- Jede Software kann haften – vom SaaS-Tool bis zum KI-Modell, ohne Verschulden und ohne Obergrenze.
- Updates sind Teil der Haftung, nicht nur des Supports.
- Dokumentation entscheidet Prozesse. Wer Entwicklung, Tests und Releases nicht belegen kann, verliert im Zweifel.
Der 9. Dezember 2026 ist nur noch wenige Wochen entfernt. Nutzen Sie deshalb die Zeit für eine strukturierte Bestandsaufnahme.
Sie möchten wissen, wie stark Ihr Software-Produkt betroffen ist? Vereinbaren Sie ein unverbindliches Erstgespräch – wir prüfen Ihr Portfolio, Ihre Verträge und Ihren Update-Prozess auf Handlungsbedarf.
Jetzt Erstgespräch anfragenFAQ: Häufige Fragen zur Produkthaftung für Software
Das neue Produkthaftungsgesetz soll am 9. Dezember 2026 in Kraft treten. Es gilt für Software, die ab diesem Tag in Verkehr gebracht oder in Betrieb genommen wird. Für früher bereitgestellte Produkte bleibt das alte Recht anwendbar.
Ja. Software ist unabhängig vom Bereitstellungsweg ein Produkt. Lokal installierte Programme, Apps, Cloud-Anwendungen und SaaS-Lösungen werden gleich behandelt.
Ja, solange sie nach dem Inverkehrbringen die Kontrolle über das Produkt behalten. Sie haften dann für Fehler durch fehlerhafte Updates und für Schäden, die ein unterlassenes Sicherheitsupdate verursacht.
Nur eingeschränkt. Open Source außerhalb einer Geschäftstätigkeit ist ausgenommen. Wird sie kommerziell angeboten oder in ein Produkt integriert, haftet der Hersteller des Gesamtprodukts.
Personenschäden einschließlich psychischer Erkrankungen, Sachschäden an anderen Gegenständen und neu den Verlust privater Daten. Haftungsobergrenze und Selbstbehalt entfallen. Ausschließlich beruflich genutzte Sachen und Daten sind nicht erfasst.
Nein. Gegenüber Geschädigten sind Haftungsausschlüsse und -beschränkungen unwirksam. Vertraglich regeln können Sie nur den Regress zwischen Herstellern, Zulieferern und Partnern.
Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung im Einzelfall. Paragrafenangaben beziehen sich auf den Regierungsentwurf (BT-Drs. 21/4297); die verabschiedete Fassung kann abweichen.
Quellen
- Gesetzentwurf der Bundesregierung, BT-Drs. 21/4297
- Stellungnahme des Bundesrates, BR-Drs. 775/25 (B)
- Bundestag: Erste Lesung zur Modernisierung des Produkthaftungsrechts
- hib 147/2026: Produkthaftungsrecht soll umfassend modernisiert werden
- Richtlinie (EU) 2024/2853 vom 23.10.2024, ABl. L, 18.11.2024
