Händler muss nicht auf Sicherheitslücken bei Smartphones hinweisen

Ein durchaus interessantes Urteil für Händler aller Art kommt heute aus Köln. Die Ausführungen lassen sich wohl durchaus auf die meisten elektronischen Geräte und natürlich auch Onlinehändler übertragen.

Wichtigste Punkte

Das Oberlandesgericht Köln entschied, dass Händler nicht auf Sicherheitslücken in Smartphones hinweisen müssen.
Der klagende Verbraucherverband führte Testkäufe bei einem Elektronikmarkt durch.
Ein Smartphone wies 15 von 28 getesteten Sicherheitslücken auf, ein anderes nur eine.
Die Hersteller müssen das Betriebssystem für jedes Telefonmodell anpassen, bevor Updates bereitstehen.
Das BSI bewertete ein Gerät mit vielen Sicherheitslücken als eklatantes Sicherheitsrisiko.
Die Beklagte hätte einen unzumutbaren Aufwand, um Sicherheitsinformationen für jedes Modell zu erlangen.
Informationen über Sicherheitsupdates sind in der Regel unbekannt, abhängig vom Hersteller.

Das Oberlandesgericht Köln hat entschieden, dass ein Elektronikmarkt nicht auf Sicherheitslücken und fehlende Updates des Betriebssystems der von ihm verkauften Smartphones hinweisen müsse.

Der klagende Verbraucherverband hatte bei dem beklagten Elektronikmarkt Testkäufe durchgeführt und die erworbenen Smartphones von Experten des Bundesamts für Sicherheit in der Informationstechnik auf Sicherheitslücken untersuchen lassen. Eines der Geräte wies 15 von 28 getesteten Sicherheitslücken auf, ein anderes nur eine Sicherheitslücke, obwohl bei beiden Geräten nominell dieselbe ältere Version des Betriebssystems Android werksseitig aufgespielt war. Hintergrund ist, dass das Betriebssystem vom jeweiligen Hersteller auf das jeweilige Smartphone-Modell angepasst wird und auch neue Versionen des Betriebssystems erst genutzt werden können, wenn die neue Version des Betriebssystems zuvor für das jeweilige Modell des Smartphones angepasst wurde.

Das BSI gelangte zu der Einschätzung, dass das Gerät mit den 15 Sicherheitslücken für die Nutzer ein eklatantes Sicherheitsrisiko darstelle. Nachdem sich das BSI erfolglos an den Hersteller gewandt hatte, verlangte der Kläger vom Betreiber des Elektronikmarkts, die Geräte nicht weiter ohne Hinweis auf die Sicherheitslücken zu verkaufen.

Die in der Folge erhobene Unterlassungsklage haben Landgericht und Oberlandesgericht Köln abgewiesen. Der 6. Zivilsenat des Oberlandesgerichts hat im Rahmen der Zurückweisung der Berufung im Wesentlichen ausgeführt, dass die Voraussetzungen eines Unterlassungsanspruchs nicht erfüllt seien. Es stelle für die Beklagte einen unzumutbaren Aufwand dar, sich die Informationen über Sicherheitslücken für jedes einzelne von ihr angebotene Smartphone-Modell zu verschaffen.

Zwar sei die Information über das Vorliegen von Sicherheitslücken für die Verbraucher von großer Bedeutung, da hierdurch die Privatsphäre der Verbraucher verletzt und erlangte Daten zu betrügerischen Zwecken missbraucht werden könnten. Es sei aber auch zu berücksichtigen, dass die Beklagte die Sicherheitslücken nur durch Tests feststellen könne, welche sich auf den jeweiligen Typ des Smartphones beziehen müssten. Auch sei es nicht möglich, alle vorhandenen Sicherheitslücken festzustellen. Alle Anbieter von Betriebssystemen würden selbst immer wieder – teilweise erst aufgrund von Angriffen durch Dritte – Sicherheitslücken im Betriebssystem finden. Schließlich könnten sich die feststellbaren Sicherheitslücken jederzeit ändern, sodass die Beklagte die Tests in regelmäßigen Abständen wiederholen müsste.

Nichts anderes gelte für die Information über die Bereitstellung von Sicherheitsupdates. Ob für ein konkretes Modell noch Sicherheitsupdates bereitgestellt würden, sei der Beklagten zum Zeitpunkt des Verkaufs in der Regel nicht bekannt. Sie habe auch keine Möglichkeit, diese Information ohne ein Zutun der Hersteller zu erlangen. Allein der Hersteller entscheide, ob und wann er ein Sicherheitsupdate für das jeweilige Smartphone-Modell anpasse. Auch hier könne sich die entsprechende Information täglich ändern, zumal auch dem Hersteller nicht bekannt sei, ob und wann ein Sicherheitsupdate, das von ihm angepasst werden könnte, veröffentlicht wird.

Author: Marian Härtel

Marian Härtel ist Rechtsanwalt und Fachanwalt für IT-Recht mit einer über 25-jährigen Erfahrung als Unternehmer und Berater in den Bereichen Games, E-Sport, Blockchain, SaaS und Künstliche Intelligenz. Seine Beratungsschwerpunkte umfassen neben dem IT-Recht insbesondere das Urheberrecht, Medienrecht sowie Wettbewerbsrecht. Er betreut schwerpunktmäßig Start-ups, Agenturen und Influencer, die er in strategischen Fragen, komplexen Vertragsangelegenheiten sowie bei Investitionsprojekten begleitet. Dabei zeichnet sich seine Beratung durch einen interdisziplinären Ansatz aus, der juristische Expertise und langjährige unternehmerische Erfahrung miteinander verbindet. Ziel seiner Tätigkeit ist stets, Mandanten praxisorientierte Lösungen anzubieten und rechtlich fundierte Unterstützung bei der Umsetzung innovativer Geschäftsmodelle zu gewährleisten.