Compliance – Softwarerecht

Cybersecurity in der Software-Lieferkette

Die jüngsten Angriffe auf die JavaScript-Bibliotheksplattform npm zeigen auf dramatische Weise, wie verwundbar moderne Software-Lieferketten sind. Ein selbstvermehrender Wurm namens Shai-Hulud hat Hunderte von Code-Paketen infiziert, Zugangsdaten gestohlen und diese öffentlich zugänglich gemacht. Für Unternehmen und ihre Führungskräfte wirft dies nicht nur technische, sondern auch erhebliche rechtliche und haftungsrelevante Fragen auf. Was ist passiert, welche Risiken bestehen für Unternehmen, und wie können sich Verantwortliche absichern?

Software Bill of Materials (SBOM)

Eine SBOM ist ein maschinenlesbares Dokument und entspricht einer elektronischen Stückliste: Es inventarisiert eine Codebasis und enthält somit Informationen über alle verwendeten Komponenten einer Software. Inzwischen gewinnt die SBOM durch den CRA erhebliche juristische Relevanz und gehört zwingend zur Compliance bei Einsatz oder Entwicklung von Software, speziell mit Blick auf die Supply-Chain.

Die SBOM-Informationen können in unterschiedlicher Breite und Tiefe dargestellt werden und von einer groben Struktur bis zu einer detaillierten Aufschlüsselung von Produkten und Softwarekomponenten reichen. Entsprechende Vorgaben sind in der Technischen Richtlinie TR-03183 des BSI enthalten.

Designprinzipien für LLM-basierte Systeme des BSI

Ein aktuelles BSI-Whitepaper zu Designprinzipien für LLM-basierte Systeme mit „Zero Trust“-Ansatz enthält zentrale Empfehlungen zur sicheren Implementierung von KI-Systemen in Unternehmen und Behörden. Die Vorgaben reichen von der Authentifizierung und dem Input-/Output-Schutz bis hin zum Monitoring und Hintergrundwissen für die Awareness.

Doch Vorsicht, diese Empfehlungen sind mehr als reine IT-Empfehlungen: Sie berühren unmittelbar haftungsrechtliche Fragen und betreffen die konkrete Umsetzung datenschutzrechtlicher Vorgaben gemäß Art. 25 DSGVO („Privacy by Design“ und „Privacy by Default“).

Opensource-Software-Compliance

Open-Source-Software-Compliance

Open-Source-Software (OSS) hat in den letzten Jahren massiv an Bedeutung gewonnen. Unternehmen nutzen OSS aus verschiedenen Gründen: Dazu zählen Kosteneinsparungen, der Zugang zu hochwertigen Technologien und die Möglichkeit, auf einer breiten Basis von Entwicklern aufzubauen.

Doch der Einsatz von OSS bringt auch Herausforderungen mit sich, insbesondere im Bereich der Compliance. In diesem Kontext bedeutet Compliance die Einhaltung der verschiedenen Lizenzbedingungen, die mit Open-Source-Software verbunden sind. Verstöße gegen diese Bedingungen können erhebliche rechtliche und finanzielle Konsequenzen nach sich ziehen.

Open Source Software und Recht

Open-Source-Software (OSS) ist längst das Rückgrat der modernen Softwareentwicklung und digitalen Infrastruktur. Unternehmen, Start-ups und Behörden nutzen selbstverständlich Frameworks, Bibliotheken und Systemkomponenten, deren Quellcode öffentlich zugänglich ist. Doch mit dieser technischen Freiheit geht eine rechtliche Verantwortung einher, die oft unterschätzt wird. Wer Open-Source-Software nutzt – sei es zur internen Entwicklung oder in kommerziellen Produkten –, betritt ein komplexes Feld aus Urheberrecht, Lizenzrecht und Vertragsgestaltung.

Im Folgenden möchte ich einen Überblick über die wichtigsten rechtlichen Aspekte rund um Open-Source-Software geben, um Entscheidern und Entwicklern Orientierung zu bieten und sie dabei zu unterstützen, typische Risiken zu vermeiden. Dabei schreibe ich selbst seit Jahrzehnten zu diesem Thema.

Open Source Software und Recht

Open Source Software (OSS) ist längst ein Rückgrat moderner Softwareentwicklung und digitaler Infrastruktur. Unternehmen, Start-ups und Behörden bauen mit Selbstverständlichkeit auf Frameworks, Bibliotheken und Systemkomponenten auf, deren Quellcode öffentlich zugänglich ist. Doch mit der technischen Freiheit geht eine rechtliche Verantwortung einher, die oft unterschätzt wird. Wer Open Source nutzt – sei es zur internen Entwicklung oder in kommerziellen Produkten –, betritt ein komplexes Feld aus Urheberrecht, Lizenzrecht und Vertragsgestaltung.

Im Folgenden geht es mir um einen Überblick über die wichtigsten rechtlichen Aspekte rund um Open Source Software – mit dem Ziel, Entscheidern und Entwicklern Orientierung zu geben und typische Risiken zu vermeiden. Dabei schreibe ich selbst seit Jahrzehnten zu dem Thema.

Künstliche Intelligenz und Vertragsrecht

Der Einsatz von Künstlicher Intelligenz (KI) ist eine der treibenden Kräfte der digitalen Transformation und ist in jedem größeren Unternehmen ein Thema. Doch wie so oft bei Technik geht es auch hier schnell nach dem Prinzip “erst mal machen”, vor allem weil man den Anschluss nicht verlieren möchte – da werden grundlegende Fragen zum Vertragsrecht schnell aus dem Blick verloren. Im Folgenden geht es um die wichtigsten vertraglichen Herausforderungen mit dem Versuch praxisorientierter Impulse für Softwareentwickler und das Management.

Rückzug aus der Cloud: Kosten, Herausforderungen und rechtliche Aspekte der Re-Migration

Die Cloud wurde über Jahre als Lösung für viele IT-Probleme vermarktet: flexible Skalierbarkeit, niedrigere Kosten und geringere Betriebskosten im Vergleich zu traditionellen, lokalen Serverstrukturen. Viele Unternehmen springen auf diesen Zug auf – doch mittlerweile zeichnet sich ein gegenteiliger Trend ab. Unternehmen migrieren Teile ihrer Workloads zurück in On-Premises- oder Private-Cloud-Lösungen. Doch warum entscheiden sich Unternehmen für diesen Schritt, und welche rechtlichen Hürden ergeben sich dabei?

Bußgelder im AI-Act: Ein Überblick über das Sanktionsregime der KI-VO

Der AI-Act oder auch die KI-VO, die neue Verordnung der Europäischen Union zur Regulierung von Künstlicher Intelligenz, sieht strenge Regelungen vor, die den sicheren und ethischen Einsatz von KI-Systemen gewährleisten sollen. Ein zentrales Element dieser Verordnung sind die hohen Bußgelder, die bei Verstößen gegen die Vorschriften drohen. Doch wie genau sieht das Sanktionsregime in der Praxis aus, und welche zusätzlichen Maßnahmen können Mitgliedstaaten ergreifen?

CE-Kennzeichen für KI-Systeme?

Der AI-Act der Europäischen Union (EU) legt fest, dass Künstliche Intelligenz (KI)-Systeme, die in der EU verwendet werden, bestimmte Anforderungen erfüllen müssen, um sicherzustellen, dass sie sicher und vertrauenswürdig sind. Eine zentrale Komponente dieser Anforderungen ist die CE-Konformitätsprüfung.