← Zurück zu News 03.11.2026

Ab dem 9. Dezember ist Software ein Produkt

Das neue Produkthaftungsgesetz ist verkündet und tritt am 9. Dezember 2026 in Kraft. Software zählt ausdrücklich zu den Produkten, und wer Sicherheitsupdates liefern kann, sie aber nicht liefert, verliert einen wichtigen Haftungsausschluss.

Am 27. Oktober wurde das Gesetz zur Modernisierung des Produkthaftungsrechts im Bundesgesetzblatt verkündet. Es setzt die EU-Produkthaftungsrichtlinie 2024/2853 um und ersetzt das Produkthaftungsgesetz von 1989. In Kraft tritt der Kern am 9. Dezember 2026, auf den Tag genau zur Frist der Richtlinie.

Für alle, die Software entwickeln, anbieten oder unter eigenem Namen vertreiben, ändert sich damit eine Grundannahme: Die Haftung endet nicht mit der Auslieferung.

Was neu ist

§ 2 des neuen Gesetzes zählt Software ausdrücklich zu den Produkten, neben beweglichen Sachen, Elektrizität und digitalen Konstruktionsunterlagen. Ausgenommen ist nur freie und Open-Source-Software, „die außerhalb einer Geschäftstätigkeit entwickelt oder bereitgestellt wird“.

Wichtiger als die Definition ist der Zeitpunkt. Bisher kam es darauf an, wie ein Produkt beim Inverkehrbringen war. Nach § 8 Absatz 2 zählt nun der Zeitpunkt, in dem das Produkt die Kontrolle des Herstellers verlassen hat. Und Kontrolle besteht schon dann, wenn der Hersteller „in der Lage ist, Software-Updates oder Software-Upgrades selbst bereitzustellen oder durch einen Dritten bereitstellen zu lassen“.

Dazu passt § 9 Absatz 2: Der Hersteller kann sich normalerweise damit entlasten, dass ein Fehler beim Inverkehrbringen wahrscheinlich noch nicht vorhanden war. Das gilt aber nicht, wenn der Fehler auf „das Fehlen von Software-Updates oder Software-Upgrades, die zur Aufrechterhaltung der Sicherheit erforderlich sind“, zurückgeht.

Kurz: Wer Sicherheitsupdates liefern kann und es nicht tut, kann sich nicht darauf berufen, dass das Produkt bei Auslieferung in Ordnung war.

Was nicht neu ist

Die Produkthaftung bleibt eine Haftung gegenüber natürlichen Personen. § 1 nennt Körper- und Gesundheitsschäden, beschädigte Sachen und vernichtete oder beschädigte Daten, jeweils mit einer wichtigen Grenze: Sachen, die ausschließlich beruflich genutzt werden, und Daten, die für berufliche Zwecke verwendet werden, sind ausgenommen. Der Datenverlust im Unternehmen nach einem fehlerhaften Update ist also weiterhin eine Frage des Vertrags, nicht des Produkthaftungsgesetzes.

Und das Gesetz wirkt nicht zurück. Nach § 23 gilt für Produkte, die bis einschließlich 8. Dezember 2026 in Verkehr gebracht oder in Betrieb genommen wurden, das alte Gesetz weiter.

Wer jetzt etwas tun sollte

Betroffen ist nicht nur, wer Software verkauft. Hersteller ist nach § 3 auch, wer ein Produkt unter eigenem Namen oder eigener Marke anbietet. Nach § 4 haften Hersteller für Komponenten mit, die sie integrieren, und dazu zählen auch „verbundene Dienste“, also digitale Dienste, ohne die eine Produktfunktion nicht ausführbar wäre. Und nach § 5 wird zum Hersteller, wer ein Produkt ohne Einverständnis des Herstellers wesentlich verändert und dann bereitstellt.

Erst das Datum. Für jedes Produkt und jede Version festhalten, wann sie in Verkehr gebracht wurde. Davon hängt ab, welches Gesetz gilt.
Dann der Supportzeitraum. Bis wann liefern Sie Sicherheitsupdates, und ist das dokumentiert und kommuniziert? Solange Sie liefern können, zählt es.
Dann die Komponenten. Welche Bibliotheken und Dienste stecken im Produkt? Ohne Software-Stückliste weiß niemand, wofür ein Update fehlt.
Und der Weg zum Kunden. Ein Update, das nur bereitliegt, aber nicht ankommt, ist ein schwacher Beleg.

Wer dabei an den Cyber Resilience Act denkt, liegt richtig. Er verlangt ab dem 11. Dezember 2027 für Produkte mit digitalen Elementen einen festgelegten Supportzeitraum, in der Regel mindestens fünf Jahre, und eine Software-Stückliste. Das Produkthaftungsgesetz regelt die Folgen, wenn es fehlt, und das schon ein Jahr früher.

Wie isidaten das abbildet

Im Modul Cyber Resilience Act hat jedes Produkt ein Profil mit dem Datum des Inverkehrbringens und dem Supportzeitraum; liegt er unter fünf Jahren, wird die Begründung nach Art. 13 Abs. 8 CRA mit erfasst. Die technische Dokumentation nach Anhang VII führt das Modul entlang ihrer acht Inhalte, die Software-Stückliste kommt aus dem Lizenzmanagement.