“Eltern haften für ihre Kinder!”, dieser sympathische Satz steht ja auf so manchem Schild – zum Beispiel auf Spielplätzen aufgestellt. Wenn man Eltern für ihre Kinder haftbar machen kann, warum eigentlich nicht Hersteller für ihre Produkte? Natürlich: Es gibt eine Produkthaftung. Grundsätzlich. Nur greift die häufig genug nicht. Bestes Beispiel: Sicherheitslücken. Andauernd gibt es neue Sicherheitslecks – und der Hersteller muss dafür nicht haften.
Hacker lieben Sicherheitslücken: Es gibt viel zu viele Lecks
Sicherheitslecks erzeugen enormen wirtschaftlichen Schaden
Wer die Suchmaschine seines Vertrauens mal mit Begriffen wie “Sicherheitsleck”, “Sicherheitslücke” oder “Hack” füttert, bekommt gleich unzählige Fundstellen präsentiert. Kein Wunder, denn es vergeht praktisch kein Tag, an dem nicht diverse neue Sicherheitslecks bekannt werden. Ganz zu schweigen von den Sicherheitslecks, die nur Hacker kennen und ausnutzen.
Prominente Beispiele – allein aus dieser Woche: Sicherheitsleck in Google+. Danach wurde Google+ geschlossen. Und ein Sicherheitsleck in WhatsApp. Doch was passiert den Unternehmen, wenn sie Sicherheitslecks zu verantworten haben? Richtig: Praktisch nichts. Dabei sind Sicherheitslecks nicht nur ärgerlich, sondern kosten die Volkswirtschaft ein Vermögen.
Experte Frank Rieger fordert stärkeren Fokus auf Produktsicherheit
Produkthaftung würde Denken und Handeln verändern
Denn Sicherheitslecks müssen gestopft werden. Updates einspielen kostet Zeit – und damit Geld. Doch noch viel schlimmer ist, dass Hacker Sicherheitslecks ausnutzen. Sie dringen in Rechner, Smartphones und Geräte ein, lesen Daten aus, manipulieren sie, stellen andere Dinge an. Der volkswirtschaftliche Schaden lässt sich kaum beziffern. Dafür kommen wir alle auf – die Unternehmen aber streichen die Gewinne ein.
Das würde alles anders aussehen, wenn es eine konsequente Produkthaftung gäbe. Wenn Unternehmen dafür haftbar gemacht würden, wenn sie Sicherheitslecks zu verantworten haben. Sie würden dann viel größere Anstrengungen unternehmen, so etwas zu vermeiden. Und: Die Unternehmen müssten verpflichtet werden, auf Jahre hinaus Sicherheits-Updates für ihre Produkte anzubieten. In der Realität wird dieser Service oft gar nicht angeboten oder schnell eingestellt, wenn ein Produkt nicht mehr verkauft wird.
Das muss sich dringend ändern, sagt auch Frank Rieger. Er ist Mitglied im Chaos Computer Club und Autor von Büchern über Cyber-Security.
4 Kommentare
Kommentar Funktionen
Offtopic:
Fast jeder Digitalistan-Blogartikel wird hier neuerdings mit banalstem Reklamespam von Nervensägen verseucht! Lässt sich das nicht unterbinden?
Nachbesserungen sind durchaus möglich; selbst bei den “Großen”. Aber nur, wenn’s gut für’s Geschäft ist:
heise.de/newsticker/meldung/Microsoft-Windows-10-Spezialversion-fuer-China-ist-einsatzbereit-3664644.html
Dafür wird sogar auf demokratische Menschenrechte gepfiffen:
welt.de/newsticker/dpa_nt/infoline_nt/brennpunkte_nt/article180417372/Zensierte-Google-Suche-fuer-China-stoesst-auf-Empoerung.html
Im souveränen Deutschland und der erhabenen EU hingegen, überwiegt das bedingunglose, klüngelnde Gottvertrauen:
heise.de/newsticker/meldung/EU-Experten-warnen-Abhaengigkeit-von-Microsoft-gefaehrdet-die-digitale-Souveraenitaet-3679559.html
Und dem Standarduser bleibt eh nur die Resignation und das Dauerabo auf die A****-Karte:
pcwelt.de/a/windows-10-oktober-2018-update-nutzer-klagen-ueber-datenverlust,3452439
Produkthaftung für „Sicherheitslücken” ist eine blöde Idee, denn der Begriff „Sicherheitslücke” ist nicht klar genug definiert. Offensichtlich unangemessen wäre eine Haftung für belanglose „Sicherheitslücken“ – Eigenschaften eines IT-Systems, von denen jemand behauptet, es handle sich um „Sicherheitslücken”, ohne dass sie jemand in Angriffen ausnutzen würde. Soll ein Vermieter dafür haften, dass man in sein Haus einbrechen könnte, obwohl es niemand getan hat?
Ebenso unangemessen wäre jedoch auch eine Haftung für tatsächlich in Angriffen ausgenutzten Eigenschaften, denn die Verantwortung für einen Angriff liegt beim Täter und nicht beim Opfer oder seinen Lieferanten. Wenn jemand in ein Haus einbricht, dann jagt man den Einbrecher und nicht den Vermieter.
Selbst wenn man einen brauchbaren Haftungstatbestand fände, müsste man noch eine weitere Hürde nehmen und die Pflichten des Herstellers sinnvoll definieren. Unter welchen Umständen sollte zum Beispiel der Hersteller eines Fahrradschlosses für „Sicherheitslücken“ haften müssen? Jedes Schloss lässt sich knacken, billige in wenigen Sekunden, teure in etwas längerer Zeit – länger als eine Minute dürfte keins durchhalten. Was genau wäre hier als „Sicherheitslücke” zu werten?
Wenn wir das mal weiter denken, dann wird der Hersteller, dem eine solche Haftung droht, das Risiko abwägen und entweder als Aufpreis auf das Produkt an den Kunden weiter reichen oder das Produkt nicht (mehr) herstellen. Und wie wollen wir heut zu Tage – wo nichts mehr geht ohne irgendeine Form von Computer – zurechtkommen, wenn keiner mehr ein Betriebssystem herstellt? Oder die Kosten für eine Lizenz bei 1000 Euro liegen?
Ich finde es auch ärgerlich, dass es immer wieder Lücken im System gibt, aber die Hersteller gewähren – für eine gewisse Zeit – kostenlos Updates. Die Entscheidung, eine möglicherweise nicht umfassend sichere Software einzusetzen, treffe ich als Kunde… oder ist lasse es und arbeite wieder mit Stift und Papier…