KI-generierte „Wegwerfsoftware“ verschiebt den Schwerpunkt des IT-Vertragsrechts weg von Dauerschuldverhältnissen wie Cloud-Abonnements hin zu Werkverträgen und Haftungsfragen, wobei Urheberrecht und Produkthaftung zu den zentralen Streitfeldern werden. Der folgende Beitrag ordnet diese Verschiebung ein und erweitert die bisherige Analyse um die urheberrechtliche Schutzfähigkeit von KI-Code und die konkreten Haftungsrisiken fehlerhafter KI-Ausgaben.
(mehr …)Schlagwort: Richtlinie
Eine Richtlinie im Sinne des EU-Rechts ist ein Rechtsakt, der von der Europäischen Union erlassen wird, um den Mitgliedstaaten bestimmte Ziele oder Ergebnisse vorzuschreiben, die diese in nationales Recht umsetzen müssen. Eine Richtlinie gibt also bestimmte Ziele vor, überlässt aber den Mitgliedstaaten die Wahl der Mittel zur Erreichung dieser Ziele.
Im Gegensatz dazu ist eine Verordnung ein Rechtsakt der EU, der unmittelbar in jedem Mitgliedstaat gilt, ohne dass es einer nationalen Umsetzung bedarf. Eine Verordnung hat somit unmittelbare Wirkung in den Mitgliedstaaten und ist für alle Bürger und Unternehmen in der EU verbindlich.
Der Unterschied zwischen einer Richtlinie und einer Verordnung besteht also darin, dass eine Richtlinie von den Mitgliedstaaten in nationales Recht umgesetzt werden muss, während eine Verordnung unmittelbar in den Mitgliedstaaten gilt.
Anwaltskanzlei Ferner Alsdorf: Kontakt zu Rechtsanwalt Ferner im Raum Aachen
Achtung: Bis zum 01.09.26 übernehmen wir nur noch ausgewählte Strafverteidigungen!
- Spezialisierung auf Straf- & IT-Recht sowie Cybercrime
- Wir übernehmen von Privatpersonen ausschließlich Strafverteidigungen in ausgewählten Bereichen – und sind für Unternehmen im (Wirtschafts‑)Strafrecht, Softwarerecht inkl. IT-Vertragsrecht, Cyberstrafrecht und Cybersicherheitsrecht beratend tätig.
- Fachlich hochqualifiziert: Alle unsere Strafverteidiger sind Fachanwälte für Strafrecht; RA JF ist zudem Fachanwalt für IT-Recht mit fortlaufenden Publikationen und Lehrbeauftragter für IT-Compliance und Wirtschaftsstrafrecht (FH Aachen)
- Kontakt per Telefon indem Sie einen Rückruf buchen oder Mail an kontakt@ferner-alsdorf.de – Termine nur nach Vereinbarung und kein Kontakt per SMS!
- Im Notfall, bei Hausdurchsuchung oder Haft: 0175 1075646
Untersagung kritischer Komponenten: § 41 BSIG im neuen Cybersicherheitsrecht
Am 23. Juni 2025 legte ein simpler Wartungsfehler am Bahnfunk den gesamten deutschen Zugverkehr lahm, und innerhalb weniger Stunden stand eine ganz andere Forderung im Raum: ein Verbot chinesischer Komponenten in kritischer Infrastruktur. Dabei zeigt der Vorfall vor allem eines, nämlich dass es keinen nachgewiesenen Angriff und keinen Bezug zum Herkunftsland einer Komponente braucht, damit ein Betreiber plötzlich vor einer Untersagungsverfügung nach § 41 BSIG und Millionenkosten für den erzwungenen Ausbau steht.
Wer in kritischen Infrastrukturen tätig ist, kennt das Thema schon aus dem IT-Sicherheitsgesetz 2.0 von 2021: Bestimmte IKT-Produkte können vom Bundesministerium des Innern (BMI) verboten werden, wenn ihr Einsatz die öffentliche Sicherheit oder Ordnung der Bundesrepublik gefährdet. Früher war das in § 9b BSIG a.F. geregelt, nun – nach dem NIS-2-Umsetzungsgesetz vom 2. Dezember 2025 – findet es sich in § 41 BSIG n.F. Kommentarliteratur zur neuen Fassung ist noch kaum vorhanden.
Das bedeutet aber nicht, dass die inhaltliche Behandlung von vorn beginnen müss: Die zur Vorgängernorm § 9b BSIG a.F. erschienene Kommentarliteratur dürfte in wesentlichen Teilen ihre Relevanz behalten, weil der neue § 41 BSIG strukturell und inhaltlich stark an die Vorgängernorm anknüpft.
Hinweis: Ich kommentiere im BeckOK-StPO zum Thema kritische Komponenten im Bereich der Telekommunikation.
(mehr …)
Vorratsdatenspeicherung 2026: Entwicklung und aktueller Stand
Der dritte Anlauf: Zehn Jahre lang hatte Deutschland keine funktionierende Vorratsdatenspeicherung. Jetzt versucht es die Bundesregierung erneut – diesmal mit dem Segen aus Luxemburg. Ob das reicht, entscheidet sich an einer Zahl: 26. Nun gibt es politische Vorhaben, die scheitern, und es gibt solche, die zur Endlosschleife werden … die Vorratsdatenspeicherung gehört in die zweite Kategorie: Seit beinahe zwei Jahrzehnten wird in Deutschland über sie gestritten, gesetzlich verankert, höchstrichterlich kassiert und erneut verankert. Am 22. April 2026 hat das Bundeskabinett den dritten Anlauf beschlossen.
Bemerkenswert ist diesmal etwas anderes: Zum ersten Mal beruft sich der Gesetzgeber nicht auf eigene Überzeugung gegen die Rechtsprechung, sondern auf ein Szenario, das ihm der Europäische Gerichtshof aufgezeichnet hat. Die entscheidende Frage lautet daher nicht mehr, ob eine anlasslose Speicherung von IP-Adressen grundsätzlich zulässig ist – sondern ob die Bundesregierung den engen Pfad einhält, den Luxemburg gezogen hat. Und genau hier wird es interessant, denn an mehreren Stellen tritt der Entwurf erkennbar daneben.
Ich kommentiere im BeckOK StPO Teile des TDDDG und TKG und im Speziellen die Vorratsdatenspeicherung. Vor dem Hintergrund beschäftige ich mich regelmäßig mit Entwicklungen in diesem sensiblen Bereich der Überwachung und Ermittlungen.
(mehr …)
Provision kassiert, Provision zurück: Widerrufsrecht beim Maklervertrag
Es ist der Albtraum jedes Immobilienmaklers: Das Haus ist verkauft, die Courtage ist überwiesen, die Akte gilt als geschlossen – und Monate später flattert ein anwaltliches Schreiben ins Haus, das die gesamte Vergütung zurückfordert. Genau das ist der Maklerin widerfahren, über deren Fall der Bundesgerichtshof mit Urteil vom 11. März 2026 (I ZR 202/26) entschieden hat. Am Ende musste sie eine bereits vereinnahmte Provision von rund 8.800 Euro vollständig zurückzahlen – nicht etwa, weil sie schlecht gearbeitet hätte, sondern weil eine missglückte Stelle in ihrer E-Mail-Signatur den ganzen Vertrag zu Fall brachte.
Die Entscheidung verdient Aufmerksamkeit, weil sie zwei scheinbar gegenläufige Botschaften sendet: Der BGH macht die Formanforderungen des § 656a BGB einerseits handhabbarer, als manche Instanzgerichte angenommen hatten – und lässt die konkrete Maklerin andererseits trotzdem leer ausgehen. Beides zusammen ergibt eine Linie, die für die maklerrechtliche Praxis weitreichender ist als der bescheidene Streitwert vermuten lässt.
(mehr …)
Schatten-KI im Betrieb
Während Schatten-IT – also die Nutzung nicht autorisierter Software oder Hardware – bereits seit Längerem bekannt ist, gewinnt nun ein verwandtes Phänomen an Bedeutung: Schatten-KI. Gemeint ist der Einsatz künstlicher Intelligenz durch Mitarbeiter ohne Wissen oder Genehmigung der Unternehmensführung.
Eine aktuelle Umfrage zeigt auf, dass ein beträchtlicher Teil der Fachkräfte, insbesondere in MINT-Berufen, KI-Tools wie ChatGPT, Google Gemini oder andere generative Systeme im Arbeitsalltag nutzt, oft ohne dass dies von der IT-Abteilung oder Geschäftsleitung autorisiert wurde. Die Rede ist hier von drei von vier MINT-Fachkräften (77 Prozent). Durch einen solchen (unkontrollierten) Einsatz werden nicht nur technische, sondern vor allem rechtliche und organisatorische Fragen aufgeworfen.
Hinweis/Update: Zu dem Thema habe ich dem IT-Fachmagazin t3n im Juni 2026 ein Interview gegeben.
(mehr …)
Verbotene Wörter im Schadcode: Wie Angreifer KI-Analysen aushebeln
Sicherheitsfirmen prüfen eine große Anzahl von Open-Source-Paketen automatisiert. Doch was ist, wenn dabei auf ein Sprachmodell vertraut wird, das den Code im ersten Durchlauf bewertet? Wenn man dann eine Datei öffnet, springt einem noch bevor die eigentliche Logik beginnt ein Kommentarblock entgegen, der von Nuklear- und Biowaffen spricht oder das Modell anweist, alle Sicherheitsregeln zu vergessen. Genau das geschieht inzwischen offenbar in freier Wildbahn – und es ist kein Zufallsfund, sondern eine bewusst entwickelte Waffe gegen die Werkzeuge, mit denen wir uns verteidigen.
(mehr …)
KI: Transparenz, Deepfakes und digitale Gewalt bei künstlicher Intelligenz (Update 2026)
KI-Transparenz betrifft Unternehmen unmittelbar
Für viele Unternehmen war KI lange ein technisches Thema: spannend fürs Marketing, interessant für die IT, aber ohne existenzielle Relevanz für das eigene Risiko‑Profil. Diese Phase ist vorbei. Generative KI erzeugt heute in Sekunden Bilder, Videos, Stimmen und Texte, die sich von „echten“ Inhalten kaum noch unterscheiden – und genau das ist der Punkt, an dem Recht und Compliance sehr ungemütlich werden.
Mit Art. 50 der KI‑Verordnung, flankiert vom Digital Services Act, Datenschutzrecht, Persönlichkeitsrecht und einem neuen Gesetz gegen digitale Gewalt, wird Transparenz zur Pflichtaufgabe. Wer KI‑Inhalte nutzt, muss künftig nicht nur abstrakt „verantwortungsvoll“ handeln, sondern konkret kennzeichnen, wie Inhalte entstanden sind, welche Systeme im Einsatz waren und wo synthetische Medien im Spiel sind. Das ist kein kosmetisches Thema, sondern berührt Haftung, Governance und letztlich das Vertrauen in die eigene Kommunikation.
Im Folgenden geht es deshalb um drei Ebenen: zunächst die rechtliche Einordnung von Deepfakes und synthetischen Medien aus Sicht des Persönlichkeits‑ und Strafrechts, dann die – durchaus kritische – Rolle des geplanten Gesetzes gegen digitale Gewalt und schließlich den Kern: Art. 50 KI‑VO und seine praktische Umsetzung im Management, abgeschlossen mit einer bewusst ausführlichen Checkliste. Den früheren Beitrag habe ich im Juni 2026 unter Berücksichtigung des EU-Verhaltenskodex für die Kennzeichnung KI-generierter Inhalte aktualisiert.
(mehr …)
Deutschland bekommt ein KI-Gesetz: Bündelung der nationalen KI-Aufsicht bei der Bundesnetzagentur
Mit dem am 10. Juni 2026 vom Ausschuss für Digitales und Staatsmodernisierung zur Annahme empfohlenen und sodann beschlossenen Gesetz zur Durchführung der Verordnung (EU) 2024/1689 schafft der Bund die nationale Vollzugsarchitektur für den AI Act. Kernstück des Artikelgesetzes ist Artikel 1, mit dem das KI-Marktüberwachungs- und Innovationsförderungs-Gesetz (KI‑MIG) geschaffen wird und das die Bundesnetzagentur (BNetzA) zur zentralen Marktüberwachungsbehörde, Anlaufstelle und Beschwerdestelle bestimmt … und zugleich ein verschachteltes System sektoraler und föderaler Zuständigkeiten konserviert.
(mehr …)
Wenn der eigene Mitarbeiter eine Sicherheitslücke findet: Rechtliche Risiken für Unternehmen
Ein Mitarbeiter Ihrer IT-Abteilung bemerkt bei der Nutzung einer eingekauften Softwarelösung, dass die Anwendung Datenbankzugangsdaten im Klartext übermittelt und der Zugriff auf deutlich mehr Datensätze möglich ist, als der eigene Account eigentlich erlaubt. Er dokumentiert den Fund, greift kurz auf eine der fremden Kundendaten zu, um die Lücke zu belegen – und meldet den Vorfall intern.
Was harmlos klingt und gutgläubig gemeint war, kann erhebliche strafrechtliche und zivilrechtliche Konsequenzen haben. Für das Unternehmen selbst, für den Mitarbeiter – und im schlimmsten Fall für beide.
(mehr …)
LG München I zur Haftung für KI-generierte Äußerungen
Mit dem ganz aktuellen Endurteil des LG München I vom 28.05.2026 (26 O 869/26) und dem Urteil des OLG Hamm vom 12.05.2026 (4 UKl 3/25, hier im Blog) liegen nun innerhalb weniger Tage zwei Entscheidungen der Oberlandesgerichte vor, die KI-generierte Inhalte dem Betreiber als eigene Äußerung zurechnen – das LG München I äußerungsrechtlich, das OLG Hamm lauterkeitsrechtlich. Beide Entscheidungen verwerfen den Rückzug auf Provider- und Störerprivilegien.
Parallel dazu beschäftigt sich die Literatur mit der Frage, ob die revidierte Produkthaftungs-RL für fehlerhaften Chatbot-Output greift. Im Folgenden ordne ich diese Linien (wenn auch recht gerafft) dogmatisch ein, zeige ihren gemeinsamen Nenner – die Verlagerung des Zurechnungsschwerpunkts vom Einzeloutput auf das Systemdesign – auf und führe sie mit der hier bereits früher entwickelten vertrags- und deliktsrechtlichen Betrachtung zusammen.
(mehr …)
Illegales IPTV, Post von der Polizei 2026
Was die neue Ermittlungswelle bedeutet
Wer einen Brief der Kreispolizeibehörde Siegen-Wittgenstein im Briefkasten findet und darin liest, er werde wegen der Nutzung eines illegalen IPTV-Dienstes als Beschuldigter geführt, dem stockt erst einmal der Atem. Die Reaktion ist menschlich verständlich – und juristisch der entscheidende Moment, in dem falsche Schritte besonders teuer werden können.
Solche Anschreiben mehren sich derzeit spürbar. Mandanten, die sich an meine Kanzlei wenden, berichten übereinstimmend: Die Schreiben kommen von der Polizei Siegen-Wittgenstein, werfen die Nutzung eines illegalen Streaming-Dienstes vor und fordern – in der Regel – zur Stellungnahme auf. Was dahinter steckt, warum das kein Einzelphänomen ist und wie man sich richtig verhält, erkläre ich in diesem Beitrag.
(mehr …)
AWG und Software: Wenn Code-Commit zum Strafverfahren wird
Was Softwareentwickler und Manager über den Export von Dual-Use-Technologie wissen müssen
Es gibt Rechtsgebiete, die sich anfühlen wie ein schlecht dokumentiertes Legacy-System: komplex aufgebaut, selten angefasst, und wenn man doch hineinschaut, erschrickt man, was dort seit Jahren vor sich hinläuft. Das Exportkontrollrecht für Software und Mikrochips gehört dazu – mit dem entscheidenden Unterschied, dass eine fehlerhafte Entscheidung hier keine Downtime produziert, sondern ein Strafverfahren.
Seit dem russischen Angriff auf die Ukraine im Februar 2022 ist dieses Recht aus seinem Dornröschenschlaf gerissen worden. Das 20. Sanktionspaket der EU, verabschiedet Ende April 2026, ist inzwischen ein Regelwerk mit einer Komplexität, die selbst erfahrene Außenwirtschaftsanwälte auf Trab hält. Für Unternehmen, die Hardware oder Software in nicht-europäische Märkte liefern – oder auch nur API-Zugänge bereitstellen, Cloud-Instanzen vermieten oder Remote-Support leisten –, ist das Thema kein Compliance-Randproblem mehr. Es ist handfestes Strafrecht.
Ich berate und verteidige umfassend in diesem Bereich – spätestens seit dem Ukraine-Krieg ist der Beratungsbedarf erheblich gestiegen, wie ich immer wieder merke. Dabei lassen sich Unsicherheiten im Regelfall schnell ausräumen. Gerade mit meiner spezialisierten Ausrichtung zwischen Strafrecht und IT-Recht bei eigenem technologischem Hintergrund kann ich hier Blickrichtungen aufwerfen, die gerne aus dem Fokus geraten.
(mehr …)
Tipp ohne Information: Grenzen des Insiderhandels
Es genügt manchmal ein einziger Name. Wer über Jahre erfährt, welches börsennotierte Unternehmen als nächstes übernommen werden könnte, und allein auf diesen Wink hin Millionen investiert, bewegt sich tief im Insiderstrafrecht – auch dann, wenn er die zugrunde liegende Information nie genau kennt. Genau diese Konstellation hat der Bundesgerichtshof in seinem für die amtliche Sammlung bestimmten Urteil vom 19. November 2025 (2 StR 224/25) entschieden und dabei drei Verbotsvarianten der Marktmissbrauchsverordnung präzise voneinander abgegrenzt.
(mehr …)
Trojanische Pferde in Unternehmen
Unsichtbare Bedrohung durch nordkoreanische Hacker
Eine der gravierendsten modernen Cyberrisiken ist die Gefahr durch nordkoreanische IT-Arbeiter, die sich als trojanische Pferde in Unternehmen auf der ganzen Welt einschleichen. Derart hochqualifizierte Hacker agieren verdeckt, tarnen ihre wahre Identität und dringen so in die Netzwerke von Firmen ein, um enorme Summen zu generieren – Gelder, die letztlich das nordkoreanische Waffenprogramm finanzieren. Im Folgenden kurz dazu, wie diese Hacker vorgehen, welche Risiken sie darstellen und warum es unerlässlich ist, funktionierende Verifikationsprozesse für externe IT-Remote-Arbeiter zu etablieren.
Updates: Im Oktober 2024 hat auch das Bundesamt für Verfassungsschutz eine entsprechende Warnung herausgegeben, die hier aufgenommen wurde. Im Dezember 2025 wurden ein Erfahrungsbericht von Amazon sowie weitere aktuelle Daten in den Beitrag aufgenommen. Und im Juni 2026 habe ich nochmals um aktuelle Entwicklungen erweitert.
(mehr …)
Steuerzeichenpflicht und Beihilfe im Steuerstrafrecht
Wer am Rand eines großen Schmuggelnetzwerks mitwirkt, ohne selbst die Fäden zu ziehen, kann sich schnell in einer Verurteilung wiederfinden, die ihn wie einen Hintermann behandelt – obwohl er rechtlich gerade kein Hintermann ist. Genau an dieser Schnittstelle zwischen tatsächlichem Tatgewicht und strafrechtlicher Bewertung setzt der Beschluss des Bundesgerichtshofs vom 20. Januar 2026 (1 StR 414/25) an. Der 1. Strafsenat klärt darin eine Frage, die in der Praxis des Steuerstrafrechts erhebliche Bedeutung hat: Ist die in § 370 Abs. 1 Nr. 3 AO normierte „Pflichtwidrigkeit“ beim Nichtverwenden von Steuerzeichen ein besonderes persönliches Merkmal – und wie wirkt sich das auf die Bestrafung dessen aus, der nur Beihilfe leistet?
(mehr …)