Sorgfaltspflicht – Softwarerecht

Cybersecurity in der Software-Lieferkette

Die jüngsten Angriffe auf die JavaScript-Bibliotheksplattform npm zeigen auf dramatische Weise, wie verwundbar moderne Software-Lieferketten sind. Ein selbstvermehrender Wurm namens Shai-Hulud hat Hunderte von Code-Paketen infiziert, Zugangsdaten gestohlen und diese öffentlich zugänglich gemacht. Für Unternehmen und ihre Führungskräfte wirft dies nicht nur technische, sondern auch erhebliche rechtliche und haftungsrelevante Fragen auf. Was ist passiert, welche Risiken bestehen für Unternehmen, und wie können sich Verantwortliche absichern?

Designprinzipien für LLM-basierte Systeme des BSI

Ein aktuelles BSI-Whitepaper zu Designprinzipien für LLM-basierte Systeme mit „Zero Trust“-Ansatz enthält zentrale Empfehlungen zur sicheren Implementierung von KI-Systemen in Unternehmen und Behörden. Die Vorgaben reichen von der Authentifizierung und dem Input-/Output-Schutz bis hin zum Monitoring und Hintergrundwissen für die Awareness.

Doch Vorsicht, diese Empfehlungen sind mehr als reine IT-Empfehlungen: Sie berühren unmittelbar haftungsrechtliche Fragen und betreffen die konkrete Umsetzung datenschutzrechtlicher Vorgaben gemäß Art. 25 DSGVO („Privacy by Design“ und „Privacy by Default“).

Softwareprojekte zwischen Werk- und Dienstvertrag

In einem Urteil des Oberlandesgerichts Frankfurt (Az.: 10 U 201/22) vom 19. Dezember 2024 ging es um einen zentralen Konflikt bei IT-Dienstleistungen: die Abgrenzung zwischen einem Werk- und einem Dienstvertrag. Dabei ging es um die Entwicklung von Schnittstellen innerhalb eines größeren Softwareprojekts und die Frage, ob der Anbieter für einen konkreten Erfolg oder lediglich für ein sorgfältiges Tätigwerden haftet. Diese Entscheidung ist für Unternehmen von erheblicher Relevanz, da sie Leitlinien für die Vertragsgestaltung und die rechtliche Absicherung bei Softwareprojekten liefert.

Haftung für Chatbot?

Haften Unternehmen für Auskünfte, die ein Ihnen installierter Chatbot gibt? Nachdem in Kanada eine Airline zum Schadensersatz auf Grund einer falschen Chatbot-Auskunft verurteilt wurde, stellt sich die Frage, ob so etwas in Deutschland denkbar ist. Und tatsächlich ist schon zu lesen, dass “vermutlich auch deutsche Gerichte nicht anders entscheiden würden” (so in BC 2024, 95). Doch bei genauem Blick fragt sich: Auf welcher Rechtsgrundlage soll das geschehen.