Es trifft den IT-Leiter mittelständischer Unternehmen mit voller Wucht in dem Moment, in dem er aussteigen will: Die Daten liegen bei einem US-Hyperscaler, die Schnittstellen sind proprietär, das Datenformat ist anbieterspezifisch, und ein Wechsel würde Monate dauern und Unsummen kosten. Wer einmal drin ist, kommt kaum wieder heraus. Genau diese Erfahrung – über Jahre als unvermeidlicher Preis der Cloud hingenommen – steht seit September 2025 unter einem neuen rechtlichen Vorzeichen. Die Europäische Union hat das Lock-in zum Regelungsgegenstand erklärt, und damit verschiebt sich die Cloud-Compliance vom freiwilligen Risikomanagement hin zu einer Pflichtenlage, die jeden Anbieter und mittelbar jeden Nutzer betrifft.
(mehr …)Schlagwort: IT-Sicherheitsrecht
Rechtsanwalt für IT-Sicherheitsrecht – Beratung zu gesetzlichen Sicherheitspflichten für Unternehmen.
Anwaltskanzlei Ferner Alsdorf: Kontakt zu Rechtsanwalt Ferner im Raum Aachen
Achtung: Bis zum 01.09.26 übernehmen wir nur noch ausgewählte Strafverteidigungen und sind nur per Mail erreichbar!
- Spezialisierung auf Straf- & IT-Recht sowie Cybercrime
- Wir übernehmen von Privatpersonen ausschließlich Strafverteidigungen in ausgewählten Bereichen – und sind für Unternehmen im (Wirtschafts‑)Strafrecht, Softwarerecht inkl. IT-Vertragsrecht, Cyberstrafrecht und Cybersicherheitsrecht beratend tätig.
- Fachlich hochqualifiziert: Alle unsere Strafverteidiger sind Fachanwälte für Strafrecht; RA JF ist zudem Fachanwalt für IT-Recht mit fortlaufenden Publikationen und Lehrbeauftragter für IT-Compliance und Wirtschaftsstrafrecht (FH Aachen)
- Kontakt per Telefon indem Sie einen Rückruf buchen oder Mail an kontakt@ferner-alsdorf.de – Termine nur nach Vereinbarung und kein Kontakt per SMS!
Dark Factories
Die Idee der „Dark Factory“ – einer nahezu menschenleeren, vollständig automatisierten Produktionsstätte, die mangels Menschen im Dunkeln arbeiten kann – gewinnt möglicherweise derzeit in der globalen Industrie zunehmend an Bedeutung. Getrieben durch Fachkräftemangel, technologische Fortschritte und wirtschaftliche Zwänge, stellt dieses Konzept traditionelle Fertigungsmodelle infrage. Doch während einige darin eine unvermeidliche Zukunft sehen, warnen andere vor ökonomischen Risiken und sozialen Folgen.
(mehr …)
Cybersicherheit im Straßenverkehr 2025
Vernetzte Fahrzeuge, Over-the-Air-Updates und künstliche Intelligenz in Assistenzsystemen bieten zwar enorme Vorteile, bringen aber laut einem aktuellen Bericht des Bundesamts für Sicherheit in der Informationstechnik (BSI) zur Cybersicherheit im Straßenverkehr auch neue Risiken mit sich. Dabei wird die Komplexität der Bedrohungslage deutlich und es werden die notwendigen Maßnahmen aufgezeigt, um die Sicherheit zu gewährleisten.
(mehr …)
Europäisches IT-Recht
Ihr Rechtsanwalt für europäisches IT-Recht: Das europäische IT-Recht ist ein komplexes und dynamisches Rechtsgebiet, das sich mit der Regulierung der Informationstechnologie in der Europäischen Union (EU) befasst. Es umfasst eine Vielzahl von Themen, darunter Datenschutz, Cybersicherheit, elektronischer Handel, geistiges Eigentum und Telekommunikation.
Das europäische IT-Recht hat erhebliche Auswirkungen auf das nationale IT-Recht der Mitgliedstaaten, da es einen gemeinsamen Rechtsrahmen für den digitalen Binnenmarkt in der EU schafft. So kann man grundsätzliche rechtliche Einschätzung für sämtliche EU-Mitgliedsstaaten in ausgewählten Bereichen des IT-Rechts auf europäischer Ebene erarbeiten.
Fachanwalt für IT-Recht Jens Ferner ist im europäischen IT-Recht beratend für Unternehmen tätig: Durch die Europäisierung des IT-Rechts bietet sich für Unternehmen außerhalb Europas die Möglichkeit, elementare Rechtsfragen für den umfangreichen, wirtschaftsstarken EU-Raum vorab zu klären. Gerade die eklatant wichtigen Bereiche wie Datenrecht, Datenschutzrecht und IT-Sicherheitsrecht unterliegen europaweiten Regelungen!
(mehr …)
Business Continuity Management (BCM)
Unternehmen sind mit zunehmender Unsicherheit konfrontiert, wobei Cyberkrisen wie Hackerangriffe, Ransomware-Attacken und IT-Ausfälle durch technische oder externe Umstände einen erheblichen Anteil ausmachen. Hierbei wird das Business Continuity Management (BCM) zu einer unverzichtbaren Aufgabe für Unternehmensleitungen. BCM ist ein strategischer Ansatz, der darauf abzielt, die Geschäftskontinuität in Ausnahmesituationen sicherzustellen und schwerwiegende Folgen zu minimieren – und geht mit rechtlichen Implikationen einher.
(mehr …)
Chinesische Forscher knacken Verschlüsselungsalgorithmen mit Quanten-Annealing
Was bedeutet das für die Zukunft der Kryptographie: In einem beunruhigenden Durchbruch ist es chinesischen Forschern gelungen, mit Hilfe eines Quanten-Annealers einen Verschlüsselungsalgorithmus anzugreifen. Die Entwicklung deutet auf ernsthafte Bedrohungen für Verschlüsselungsmethoden hin, die aktuell als sicher gelten und weltweit in sensiblen Sektoren wie dem Bankwesen und Militär eingesetzt werden.
(mehr …)
PQC: Quanten-Algorithmen für Gitterprobleme
Die Welt der Quanteninformatik ist faszinierend und komplex, mit Potenzialen, die die Grenzen dessen, was mit klassischen Computern möglich ist, sprengen.
Ein besonders spannendes Anwendungsfeld von Quantenalgorithmen liegt in der Lösung von Gitterproblemen, die sowohl in der Kryptographie als auch in der rechnergestützten Mathematik von großer Bedeutung sind. In der Studie „Quantum Algorithms for Lattice Problems“ von Yilei Chen, werden neue Methoden vorgestellt, um solche Probleme effizient anzugehen. Die Studie hat großes Echo ausgelöst, weil sie erhebliche Gefahren für bisher bestehende Ansätzen der Post-Quanten-Krptographie darstellen könnte.
(mehr …)
Sicherung des Zugangs mittels Passwort reicht als Zugangssicherung im Sinne des §202a StGB
Dass die Sicherung des Zugangs durch ein Passwort als Zugangssicherung ausreicht, hat das Landgericht Aachen, 60 Qs 16/23, unter Bezugnahme auf die Rechtsprechung des Bundesgerichtshofs festgestellt. Die Entscheidung macht deutlich, wo derzeit eklatante Probleme im IT-Sicherheitsrecht in Deutschland liegen und wird hier kurz vorgestellt.
(mehr …)Kurze Anmerkung: Ich nehme hier die Entscheidung unkommentiert, nur in Teilen zur Lesbarkeit ein wenig umformuliert auf. Als kurzer Hinweis soll hier genügen, dass die Entscheidung in rechtlicher Hinsicht mit Blick auf die (unsägliche) BGH-Rechtsprechung korrekte Ausführungen zur „besonderen Sicherung“ vornimmt.
Aber: Es verbleibt beim fachkundigen Leser der Eindruck, dass man die eigentliche Relevanz gar nicht verstanden hat. So taucht das Wort „Sicherheit“, trotz der IT-sicherheitsrechtlichen Relevanz, gar nicht auf. Und auch wenn man den §202d StGB richtig anwendet und auf den §69e UrhG zu sprechen kommt, so bleibt vollständig außen vor, dass hier eine grundrechtliche wie speziell unionsrechtliche Auslegung geboten ist; dies gerade mit Blick auf die politisch und gesellschaftlich gewünschte sicherheitsrechtliche Bewertung (dazu ausführlich: Vettermann/Wagner in InTer 2020, 126). All dies verwundert bei einem Sachverhalt, der bundespolitische Auswirkungen haben und auf absehbare Zeit den Gesetzgeber beschäftigen wird – am Ende hat man nach hiesigem Eindruck, mit „Schema-F“-Überlegungen einen vollkommen unterschätzten Sachverhalt versucht, in eine Schublade zu packen. Im Übrigen verbleibt es damit bei meinen Ausführungen zur Rechtslage beim Suchen nach Sicherheitslücken.
Quantencomputing: Rechtliche Herausforderungen
Quantencomputer haben das Potenzial, die Art und Weise, wie wir Technologie nutzen und verstehen, grundlegend zu verändern – damit zugleich die Ansprüche zu erhöhen, um mit Technik umzugehen. Das, was sich hier technologisch abzeichnet, bringt aber eben auch – sowit derzeit einzuschätzen – große rechtliche Herausforderungen mit sich. Ich möchte im Folgenden einen Blick auf die aus meiner Sicht derzeit größten rechtlichen Herausforderungen im Bereich des Quantencomputings und werden – und warum es im Bereich der Cybersicherheit und Cyberkriminalität besonders kritisch ist.
Hinweis: Wir beschäftigen uns in unserer Kanzlei mit Rechtsfragen des Quantum-Computings, RA Jens Ferner beherrscht zudem die simulierte Quanten-Programmierung via Qiskit.
(mehr …)
Neues Kaufrecht: Sicherheit als Mangel
Es tut sich etwas im Vertragsrecht in Sachen Sicherheit – zukünftig wird die Sicherheit ein zentrales Element sein bei der Frage, ob ein Mangel vorliegt, gleich ob Software (jedenfalls gegenüber Verbrauchern) oder Kaufgegenstand.
Denn: Mit dem neuen Kaufrecht zum 1.1.2022 ändert sich auch die Frage, wann ein Sachmangel vorliegt. Zum einen versucht der Gesetzgeber zwar am einheitlichen Sachmangel-Begriff festzuhalten – zum anderen aber gibt es ab dem 1.1.22 dann an drei verschiedenen Stellen einen unterschiedlichen Begriff des Sachmangels. Hinzu treten diverse Updatepflichten aus öffentlich-rechtlichen Normen, die ich in einem eigenen Beitrag kurz darstelle.
Zum Jahreswechsel 2022 trat ein neues, auf Digitalisierung ausgerichtetes Kaufrecht in Kraft, das erhebliche Neuerungen mit sich bringt. Zu diesem neuen Kaufrecht 2022 bieten wir eine Beitrags-Serie in unserem Blog, die zum Jahresende 2021 von Fachanwalt für IT-Recht Jens Ferner verfasst wurde:
(mehr …)
Teil 1: Überblick und neues Kaufrecht
Teil 2: Sicherheit
Teil 3: Digitale Produkte + Waren mit digitalen Elementen
Teil 4: die Aktualisierungspflicht
Koalitionsvertrag: Das plant die Koalition 2021 zur IT-Sicherheit
Koalitionsverträge sind zwar auch nur Papier, aber sie geben einen Ausblick – die IT-Sicherheit ist ein hervorgehobenes Thema im Koalitionsvertrag der „Ampel“, insbesondere hat man sich auf Folgendes geeinigt:
„Wir führen ein Recht auf Verschlüsselung, ein wirksames Schwachstellenmanagement, mit dem Ziel Sicherheitslücken zu schließen, und die Vorgaben „security-by-design/default“ ein. Auch der Staat muss verpflichtend die Möglichkeit echter verschlüsselter Kommunikation anbieten. Hersteller haften für Schäden, die fahrlässig durch IT-Sicherheitslücken in ihren Produkten verursacht werden.
Die Cybersicherheitsstrategie und das IT-Sicherheitsrecht werden weiterentwickelt. Darüber hinaus sichern wir die digitale Souveränität, u. a. durch das Recht auf Interoperabilität und Portabilität sowie das Setzen auf offene Standards, Open Source und europäische Ökosysteme, etwa bei 5G oder KI. Wir leiten einen strukturellen Umbau der IT-Sicherheitsarchitektur ein, stellen das Bundesamt für Sicherheit in der Informationstechnik (BSI) unabhängiger auf und bauen es als zentrale Stelle im Bereich IT-Sicherheit aus. Wir verpflichten alle staatlichen Stellen, ihnen bekannte Sicherheitslücken beim BSI zu melden und sich regelmäßig einer externen Überprüfung ihrer IT-Systeme zu unterziehen.
Das Identifizieren, Melden und Schließen von Sicherheitslücken in einem verantwortlichen Verfahren, z. B. in der IT-Sicherheitsforschung, soll legal durchführbar sein. Hackbacks lehnen wir als Mittel der Cyberabwehr grundsätzlich ab. Nicht-vertrauenswürdige Unternehmen werden beim Ausbau kritischer Infrastrukturen nicht beteiligt. (…)
Die Ausnutzung von Schwachstellen von IT-Systemen steht in einem hochproblematischen Spannungsverhältnis zur IT-Sicherheit und den Bürgerrechten. Der Staat wird daher keine Sicherheitslücken ankaufen oder offenhalten, sondern sich in einem Schwachstellenmanagement unter Federführung eines unabhängigeren Bundesamtes für Sicherheit in der Informationstechnik immer um die schnellstmögliche Schließung bemühen.“
Bundesjustizministerium zu den weiteren Entwicklungen im IT-Sicherheitsrecht – Ausblick auf die Gesetzgebung im Cybercrime 2019
Im Nachgang zu dem „Doxing-Skandal 2018/2019“ hat das Bundesjustizministerium im Januar 2019 ein Thesenpapier veröffentlicht (unten als Download), dem weitere Maßnahmen einer eventuellen zukünftigen Gesetzgebung im Bereich IT-Sicherheit zu entnehmen sind. Dies sind in aller Kürze:
- IT-Sicherheit mit Updateverpflichtung: Es soll EU-weit einheitliche und rechtlich verbindliche Standards geben, die den Herstellern und Diensteanbietern klare Anforderungen zur IT-Sicherheit auferlegen. Diese Standards sollten über die gesetzlichen Mindestanforderungen hinausgehen und eine mehrjährige Update-Verpflichtung des Herstellers enthalten.
- Produkthaftung: Auch fehlerhafte Software soll unter das Produkthaftungsregime fallen und mangelnde IT-Sicherheit muss einen Produktfehler begründen. (Hinweis: Grundsätzlich gilt die Produkthaftung auch jetzt bei Software)
- Stärkung im Datenschutz: Es soll eine Stärkung der Datenschutzbehörden erfolgen (fraglich wie, es geht um Landesbehörden, wo der Bund nicht wirklich eingreifen kann). Weiterhin soll ein verbesserter Schutz in die EU-ePrivacy-Verordnung (was auch skeptisch gesehen werden kann, nach meiner Wahrnehmung blockt genau hier die deutsche Regierung?).
- Wettbewerbsrecht: Es soll ausdrücklich die Anwendbarkeit des Gesetzes gegen den unlauteren Wettbewerb auf Datenschutzverstöße klargestellt werden: „Wenn Daten von Verbraucherinnen und Verbrauchern missbräuchlich verwendet wurden und dadurch Gewinne erzielt werden, dann dürfen diese nicht bei dem bleiben, der das Recht verletzt hat.“. Hier wird fraglich sein, ob man wenigstens so klug ist, nur bestimmte Verstöße/Klauseln dem UWG zu unterstellen – oder ob am Ende dann doch massenhaft Abmahnungen wegen Formfehler in Datenschutzerklärungen auf Webseiten folgen können. Wichtig ist auch, dass man über das Instrument der „Gewinnabschöpfungsklage“ nachdenkt.
- Online-Dienste in die Pflicht nehmen: Eher unscheinbar ist der Satz „Ein gehacktes Nutzerkonto bei einem Online-Dienst muss schnell und unkompliziert gesperrt werden können.“. Gemeint ist aber wohl, dass Online-Dienste klare Ansprechpartner mit kurzen Reaktionszeiten bereit halten müssen. Es bleibt abzuwarten ob man das wirklich angeht in einer Zeit, in der es als Erfolg verbucht werden muss, dass man bei Google überhaupt mal Mails liest.
- Long Term Support: Ich bin mir nicht sicher, man schreibt unter dem Stichpunkt nachhaltige Sicherheit „Durch das Auslaufen des Software-Supports werden zum Teil Neuanschaffungen erzwungen“ und möchte erreichen, dass Software länger gepflegt wird. Ich vermute, dass für bestimmte Bereiche eine Art LTS begründet werden soll, wobei kritische Systeme schon heute langjährige Pflegepakete haben (und man oben ja schon die Updateverpflichtung angesprochen hat). Hier ist mir nicht ganz klar, wo man hin will … durch den pauschalen Verweis auf die EU könnte es sich aber auch mehr um einen unkonkreten Fülltext handeln.
Für mich zeigt sich eines deutlich mit der nunmehrigen Liste des BMJV: So unverbindlich es klingt, darf man wohl davon ausgehen, dass wir zeitnah ein IT-Sicherheitsgesetz 2 erleben werden. Dieses dürfte sich auf Online-Dienste und Softwareregeln konzentrieren. Weiterhin wird der deutsche Gesetzgeber – das macht er nun mal am liebsten – versuchen die Sanktionsschraube zu drehen. Schon fast unweigerlich dürften daher Klarstellungen im UWG zu erwarten sein, damit DSGVO-Verstöße dann definitiv erfasst sind. Datenschutzrecht und Softwarerecht werden den Bereich der IT-Sicherheit möglicherweise beherrschen, jedenfalls verstehe ich so die hier vorgenommenen Ankündigungen.