Strafrecht & Internetstrafrecht | Mietrecht | Auto & Verkehr | Wettbewerbsrecht | Urheberrecht | Abmahnungen

Analyse: Der BGH, WLAN-Netze und die ungeliebte Störerhaftung

2. Juni 2010 eingestellt von Rechtsreferendar Jens Ferner (Diplom-Jurist)
Kurz-Link: http://www.ferner.ac/?p=2274 | Folgen Sie uns bei Twitter
Teilen: Auf XING | Auf Facebook | Bei Twitter

Heute wurde – freilich nicht durch den auf der Webseite selbst – der Volltext des Urteils in Sachen und bekannt. Das Urteil des (I ZR 121/08) hatte schon mit der Pressemitteilung für viel Aufsehen gesorgt. Heute war es dann nochmal viel Furore, allerdings vor allem, weil Pressemitteilung und Urteil im Volltext gewisse Differenzen aufweisen. Ohne den Blick hierauf dürften die meisten Juristen vom Inhalt dann aber nicht mehr überrascht sein, eigentlich wird altbekanntes wieder gegeben. Die Hoffnung war bisher, dass das Althergebrachte mit diesem Urteil überholt sein würde – dem dürfte nicht so sein.

Hinweis: Die angeführten Randnummern in diesem Beitrag beziehen sich auf die Darstellung bei Openjur, zu finden hier – nicht auf die Randnummern des originalen Urteils.

Das -Urteil bietet eine Auseinandersetzung mit den typischen Argumenten, die bei Diskussionen in diesem Bereich immer wieder aufgetreten sind. Ich möchte sie einfach der Reihe nach aufgreifen.

Sekundäre Darlegungslast

In der Rechtsprechung ist das nichts neues, aber jetzt wurde es vom ausdrücklich für die “-Fälle” bestätigt: Es ist ein Fall der sekundären Darlegungslast, wenn über eine IP-Adresse etwas via angeboten wird, der zur IP-Adresse gehörende Anschlussinhaber aber die Handlung verneint. Sekundäre Darlegungslast bedeutet dann, dass der Anschussinhaber (und nicht etwa der in seinen Rechten verletzte Kläger) darlegen muss, dass er es auch wirklich nicht gewesen ist. Gerade in den Fällen, in denen eine große Zeitspanne zwischen Verletzungshandlung und Verhandlung liegt, wird das für viele Betroffene ein Problem werden, da sie kaum wissen werden, was sie an einem bestimmten Tag zu einer bestimmten Uhrzeit gemacht haben.

Schluss mit dem Halzband

Die inzwischen schon legendäre “Halzband-Entscheidung” (Kein Tippfehler meinerseits, es heißt wirklich “Halzband” was dem Tippfehler der Dame geschuldet ist, die seinerzeit eine eBay-Auktion mit diesem Titel erstellt hat) hat bzgl. -Abmahnungen nun endlich ausgedient. Diese Entscheidung war bei abmahnenden Anwälten in den Schriftsätzen besonders beliebt. Man konnte z.B. bisher in Abmahnungen Sätze wie diesen hier lesen:

Der Inhaber eines Internetanschlusses haftet [...] wie etwa derjenige, der seinen eBay-Account nicht hinreichend gegen fremde Zugriffe abgesichert hat [...] lm Ergebnis ist es daher vollkommen unerheblich, ob Sie [...] selbst zum Download bereitgestellt haben, oder ob das rechtswidrige Angebot auf dem Missbrauch lhres Internetanschlusses durch einen Dritten beruht. (Quelle: der Kanzlei Waldorf)

Damit ist – zumindest in dieser Form – m.E. nun endgültig Schluss. eBay-Zugangsdaten sind mit Provider-Zugangsdaten nicht nur nicht vergleichbar, sie haben darüber hinaus vollkommen unterschiedliche Funktionen wobei man seinen Internetzugang durchaus anderen Personen zur Nutzung zur Verfügung stellen darf (was der ausdrücklich klar stellt). Anders als der eBay-Account, der ist – durch die eBay AGB – der Nutzung durch Dritte versperrt. Vielmehr stellt der (Rn.21) klar, dass der Anschlussinhaber keinesfalls “automatisch” als Täter einsteht, denn:

Dies würde die -Nutzung im Privatbereich auch mit unangemessenen Haftungsrisiken belasten, weil der Anschlussinhaber bei Annahme einer täterschaftlichen Verantwortung unbegrenzt auf Schadensersatz haften würde, wenn außenstehende Dritte seinen Anschluss in für ihn nicht vorhersehbarer Weise für Rechtsverletzungen im Internet nutzen.

Sprich: Nur weil über den Anschluss etwas gelaufen ist, ist man nicht automatisch Täter. Wer sich aber darauf beruft muss (siehe oben), darlegen, warum er wirklich nicht Täter gewesen sein kann. Zumindest im Fall eines Urlaubs dürfte das noch für die meisten möglich sein. Daneben muss man daran denken, dass man auch Teilnehmer sein kann, etwa indem man willentlich und wissentlich einen Dritten Rechtsbrüche begehen lässt. Hier war dies kein Thema, der notwendige Vorsatz lag nicht vor und es wurde an dieser Stelle dann auch nicht vom vertieft. Fazit an dieser Stelle: Wer nicht selber Täter war (oder Teilnehmer) und dies auch nachweisen kann, bei dem

[...] scheidet ein Schadensersatzanspruch [...] aus.

Haftung beim -Anschluss

Was natürlich der Schwerpunkt im öffentlichen Interesse liegt, ist die Frage der Haftung für Rechtsverletzungen bei einem offenen . Der Blick nach oben zeigt dabei eines: Der hat keinesfalls “verboten”, dass man seinen Internet-Zugang mit anderen teilt. Vielmehr legt der ausdrücklich wert darauf, dass man den Zugang anderen zur Verfügung stellen kann, dieser Aspekt darf nicht vergessen werden. Dennoch finden sich in den Rn. 26ff. des Urteils im Wesentlichen nur Ausführungen, die altbekannt sind – und auch leider nicht durchgreifend überzeugen.

Zuerst einmal stellt der klar, dass der Betrieb eines offenen grundsätzliche eine Gefahrenquelle (für Rechtsverletzungen durch Dritte) ist. Diese Meinung ist, sofern man dem m.E. überkommenen Modell der folgt, geradezu zwingend, daher hatte auch ich selbst auf dem IT-Lawcamp dafür plädiert, hier keine Diskussionen loszutreten – es führt zu nichts.

Nunmehr kommt der Satz, der sicherlich die nächsten Jahre prägen wird:

Auch Privatpersonen, die einen -Anschluss in Betrieb nehmen, ist es zuzumuten zu prüfen, ob dieser Anschluss durch angemessene Sicherungsmaßnahmen hinreichend dagegen geschützt ist, von außenstehenden Dritten für die Begehung von Rechtsverletzungen missbraucht zu werden.

Deutlich heißt das: Wer ein betreibt, hat gewisse Pflichten im Bereich der Sicherungsmaßnahmen. Doch direkt einen Satz später begeht der einen folgenschweren Fehler, wenn festgestellt wird:

Die Zumutbarkeit folgt schon daraus, dass es regelmäßig im wohlverstandenen eigenen Interesse des Anschlussinhabers liegt, seine Daten vor unberechtigtem Eingriff von außen zu schützen. Zur Vermeidung von Urheberrechtsverletzungen durch unberechtigte Dritte ergriffene Sicherungsmaßnahmen am -Zugang dienen zugleich diesem Eigeninteresse des Anschlussinhabers.

Diese Argumentation wäre rechtlich vertretbar – wäre sie denn auch technisch richtig. Aber: Die Sicherung des eigenen -Zugangs hat nicht wirklich etwas mit dem Schutz “eigener Daten” zu tun. Das ist eine Frage der Sicherheit des Intranets insgesamt, die losgelöst von der Frage zu betrachten ist, wer Zugang zum Netz hat. Und wie wir spätestens seit dem -Scan durch Google wissen, ist es durchaus möglich, fremde Daten auch ohne Login abzufangen. Daneben ist an Fälle zu denken, in denen das nur als Zugang zum Internet dient und das eigentlich Intranet hiervon losgelöst betrieben wird (diese Lösung setze ich beispielsweise bei mir zu Hause bewusst ein). Die gesamte Argumentation des baut auf diesem fehlerhaften Schluss auf, ist somit an dieser Stelle hinfällig – allerdings überflüssigerweise, der hätte durchaus auch ohne diese “Brücke” die Zumutbarkeit bejahen können. Scheinbar waren die Richter der Meinung, hier einen besonders eleganten Weg gefunden zu haben, der weitere Ausführungen überflüssig macht, getreu dem Motto “Du musst es ja schon zu deiner eigenen Sicherheit machen…”. Zumindest dieser vom als zwingend angesehende Schluss ist aber letztlich schlicht falsch.

Aber, wie gesagt: Man wird auch mit anderer Argumentation zu einer Zumutbarkeit kommen können, wobei der dann letztlich feststellt:

Die Prüfpflicht ist mit der Folge der Störerhaftung verletzt, wenn die gebotenen Sicherungsmaßnahmen unterbleiben.

Oder verständlich: Wer sein nicht in vernünftigem Maße sichert, der haftet im Rahmen der . Fraglich ist nur, was dieses vernünftige Maß sein soll. Hier setzt der (Rn.29) zwei Eckpunkte:

  1. Es sind die technischen Möglichkeiten festzustellen
  2. Eine fortlaufende Pflege entsprechend den sich ständig wandelnden technischen Standards ist dem Betreiber aber nicht auf zu erlegen, da ihn dies finanziell überfordern würde

Schlussendlich kommt der dann zu dem Ergebnis, dass

[...] jedenfalls die im Kaufzeitpunkt des Routers für den privaten Bereich marktüblichen Sicherungen ihrem Zweck entsprechend wirksam einzusetzen sind

Erst einmal bleibt damit die einleuchtende Erkenntnis: Man muss die im Zeitpunkt der Anschaffung des Routers gültigen allgemeinen Sicherheitsmaßnahmen treffen. Momentan bedeutet das wohl: WPA2, ruhig mit Pre-Shared-Key, wobei die dann zu nutzende Kennung mehr als 8 wahllose Zeichen umfassen sollte. Es bleibt nur die Frage: Wie ist es, wenn das angeschaffte Gerät den aktuellen Standard nicht bietet? Wie soll man als Verbraucher mit dieser Vorgabe umgehen, wenn man sich ein älteres gebrauchtes Gerät kauft, das evt. bestimmte Protokolle gar nicht bietet? Auf diese Frage bietet der keine Antwort.

An dieser Stelle muss nun ein praktischer Hinweis erfolgen: Der spricht an dieser Stelle alleine vom “privaten Verwender”. Das bedeutet, dass diese Ausführungen nicht auf Unternehmer übertragbar sind. Mit Blick auf aktuelle Statistiken, denen zu Folge in Gewerbegebieten häufig schlecht gesicherte zu finden sind, ist dieser Hinweis nicht ohne Belang.

Das Ergebnis an dieser Stelle ist dann, dass ein Unterlassungsanspruch besteht. Und zwar, so der ausdrücklich, mit Inbetriebnahme des -Anschlusses, nicht erst ab In-Kenntnis-Setzung nach der ersten Rechtsverletzung. Somit kann jederzeit bei einer Rechtsverletzung die Unterlassung mittels einer verlangt werden.

Haftungserleichterungen

Es wurde und wird diskutiert, die Privilegierungen aus dem Telemediengesetz anzuwenden, um den Betreiber des (offenen) aus der zu nehmen. Der lehnt dies ausdrücklich ab. Diese Ablehnung aber wirft erheblich mehr Fragen auf, als sie klärt:

  1. Der spricht alleine vom §10 TMG als mögliche Privilegierung. Warum aber der §10 TMG (“Speicherung von Informationen”) hier überhaupt einschlägig sein soll, da es nicht um eine Speicherung sondern Durchleitung geht, verwundert.
  2. Umso mehr verwundert es, dass der kein Wort zum – inzwischen mehrfach diskutierten – §8 TMG verliert, der zumindest im Wortlaut geradezu auf ein zugeschnitten ist.
  3. Der schränkt den (ja ohnehin nicht anwendbaren §10 TMG) dann ein mit der Begründung, dass das berechtigte Interesse an der Nutzung eines WLANs nicht durch Prüfpflichten eingeschränkt wird. An dieser Stelle ist nicht mehr verständlich, was der macht: Beim §10 TMG gibt es keine “Verhältnismäßigkeitsklausel” oder eine vorzunehmende Abwägung. Es steht insofern zu befürchten, dass eine Anwendung des §8 TMG mit einem ähnlich pauschalen Hinweis abgelehnt werden würde.

Der Abschnitt zur den Haftungs-Privilegierungen ist nicht nur unbefriedigend, er grenzt an Rechtsfehlerhaftigkeit. Dabei ist es nicht nur unverständlich, warum der §8 TMG nicht einmal erwähnt wird: Darüber hinaus fällt spätestens an dieser Stelle auf, dass im gesamten Urteil keine einzige Literaturquelle zu finden ist. Der zitiert alleine sich selbst – dabei bieten C&R, MMR und K&R seit 2008 eine Fülle aktueller Abhandlungen zum Thema. Während das Urteil insgesamt sicherlich vielen nicht gefallen mag, aber durchaus dem entspricht, was zu erwarten war, ist an diesem Punkt ein schwerwiegender Fehler begangen worden.

(Internet-)Cafes sind gesichert?

Ich hatte bereits die Vermutung in einer Diskussion geäußert: Der hatte in einer früheren Entscheidung (BGHZ 158, 236, 251) die dann eingeschränkt, wenn ein Geschäftsmodell bedroht wird. Bei einer Privat-Person wird das nicht der Fall sein, insofern verneint der diese Konstellation auch zu Recht an dieser Stelle. Zugleich wird aber deutlich, dass der keinesfalls diese Rechtsprechung insgesamt nicht übertragen würde, sondern vielmehr wird ausdrücklich festgehalten, dass sie hier keine Anwendung findet, weil ein privater Verwender gehandelt hat.

Insofern ist vollkommen offen (aber eben leider nur offen!), ob der im Falle eines Cafes, das mit einem offenen Kunden “anlockt” die Sache anders beurteilen würde. Weiterhin darf man nun gespannt sein, wie der im Falle der “Fon”-Klage urteilen wird. Hier geht es ja gerade um ein Geschäftsmodell, das zudem alleine davon lebt, dass Kunden ihren -Zugang anderen Kunden zur Verfügung stellen.

Sicherung des Routers im konkreten Fall

Der stellt fest (Rn.40), dass der Router im September 2006 angeschafft wurde und jedenfalls zu diesem Zeitpunkt eine Verschlüsselung nach WPA2 nicht üblich war. Die von Beklagten verwendete WPA1-Verschlüsselung lässt der insofern “durchgehen” und bleibt seinen Ausführungen (siehe oben) treu. Aber, der sieht dennoch eine Pflichtverletzung, denn das Standard-Passwort wurde nicht verändert:

Der Beklagte hat es nach dem Anschluss des -Routers bei den werkseitigen Standardsicherheitseinstellungen belassen und für den Zugang zum Router kein persönliches, ausreichend langes und sicheres Passwort vergeben. Der Schutz von Computern [...] durch individuelle Passwörter gehörte auch Mitte 2006 bereits zum Mindeststandard privater Computernutzung und lag schon im vitalen Eigeninteresse aller berechtigten Nutzer.

An dieser Stelle begeht der m.E. einen durchgreifenden Rechtsfehler: Der verlangt selbst, dass die Sicherheitsmaßnahmen “zumutbar”, letztlich “geboten” sind (Rn.28). Das sind aber nur Sicherheitsmaßnahmen, die auch relevant sind, also den zu verhindernden Zugriff überhaupt verhindern können. Vorliegend hat der sich aber gar nicht mit der Frage beschäftigt, ob ein individuelles Passwort überhaupt den Zugang zum verhindert hätte. Wenn beispielsweise im September 2006 WPA grundsätzlich noch “sicher” war und das zwar voreingestellte (16 Stellige) Passwort individualisiert war, wäre mit einem Hack so leicht gar kein Login möglich.

Selbst eine Brute-Force Attacke in der alle Zahlenkombinationen der Reihe nach durchlaufen würde mit einem Rechner vom Stand des Jahres 2006 durchaus erhebliche Zeit in Anspruch nehmen. Darüber hinaus ist über die – nicht unwahrscheinliche – Fallkonstellation nachzudenken, dass sich jemand, etwa Besuch oder Besuch der Kinder, Zugriff auf das Passwort verschafft und somit unmittelbar genutzt hat. Auch hier würde eine Individualisierung in keinster Weise weiterhelfen. An dieser Stelle führt das Urteil des ins Uferlose, denn ohne konkrete Feststellung wie sich der Zutritt zum Netzwerk verschafft wurde (durch “Einhacken” oder Stehlen des Passwortes) ist jegliche Überlegung zur Sicherheit schlicht unbrauchbar – und führt als Grundlage rechtlicher Überlegungen zu Fehlern im Ergebnis.

Hinweis: Inzwischen scheint man sich einig zu sein, dass der von falschen Tatsachen ausging, nämlich dass der bei diesem Router verwendete voreingestellte Schlüssel bei allen Routern dieser Bauart gleich wäre – dazu hier

Die Kosten der

Viel wurde spekuliert, weil in der Pressemitteilung des zu lesen war

Der Beklagte haftet deshalb nach den Rechtsgrundsätzen der sog. auf Unterlassung und auf Erstattung der Abmahnkosten (nach geltendem, im Streitfall aber noch nicht anwendbaren Recht fallen insofern maximal 100 € an).

Interessant ist, dass der das in seinem Urteil nicht sagt. Eigentlich sagt der am Ende: gar nichts. Er trifft gar keine Entscheidung, wenn er sagt:

Das Berufungsgericht hat bislang noch nicht geprüft, ob  [...] die vom Vertreter der Klägerin angesetzte Geschäftsgebühr auf der Grundlage eines Streitwerts von 10.000 € zu berechnen ist [...]

Heißt: Die vorherige Instanz, der das nun wieder vorgelegt wird, hat zu prüfen wie sich die Kosten des Rechtsanwalts bemessen. Man mag hier vielleicht herauslesen, dass der zumindest grundsätzlich annimmt, dass anhand des Streitwerts zu bemessen ist – für mich grenzt das aber an Kaffeesatzleserei. Eindeutig wird ein “ob” genutzt und in Frankfurt darf man sich nun den Kopf zerbrechen, auf welcher Grundlage man die Gebühren des Anwalts für die bemessen möchte. Ärgerlich ist auch hier, dass der die Chance nicht genutzt hat, zumindest irgendetwas zu sagen – Teile der Rechtsprechung sind mit dem §97a II UrhG durchaus großzügig und wenden ihn auf Altfälle an (ich hatte das Thema hier aufbereitet). Andere lehnen diese Praxis gänzlich ab. Hier Klarheit zu haben, wäre durchaus im Interesse aller Beteiligten. Stattdessen wird es nun aus Frankfurt ein Urteil geben, dass letztlich die diffuse Rechtsprechung zum §97a II UrhG nur weiter zerstreuen wird.

Fazit

Das Urteil ist enttäuschend mutlos, bei den technischen Aspekten erschreckend fehlerhaft und im dogmatischen Bereich der Haftungsprivilegierung unvollständig. Dies überrascht, da der durchaus auf genügend Literatur zurück greifen könnte, die zu eben diesem vorliegenden Ergebnis auch führen würde. Doch angesichts fehlender Ausführungen zum §8 TMG sowie der Tatsache, dass (mit Ausnahme der Frage der Bewertung von Auskunftsdaten als Bestandsdaten) keine einzige Literaturquelle – weder aus Kommentaren noch aus Zeitschriften – angeführt wurde, was im Vergleich zu anderen Urteilen sofort ins Auge springt, kann man nur fassungslos auf das blicken, was einem hier vom serviert wurde.

Die abmahnenden Rechtsanwälte jedenfalls werden ihre Schriftsätze zumindest mit Blick auf die Halzband-Entscheidung sicherlich überarbeiten, aber insgesamt sehr entspannt auf dieses Urteil reagieren, denn:

  1. Es ist klar gestellt, dass Abmahnungen auf Grund der gegenüber Anschlussinhabern keinen Bedenken beim begegnen
  2. Sofern die eigene Täterschaft bestritten wird, sieht man sich der sekundären Darlegungslast ausgesetzt
  3. Zum §97a II UrhG gibt es weiterhin keinerlei Vorgabe, weswegen man sich weiter (bei vollkommen offenem Ausgang) hierüber streiten wird

Das System der Abmahnungen hat damit m.E. keinen “Dämpfer” erteilt bekommen – vielmehr sehe ich eine gewisse Wahrscheinlichkeit, dass demnächst einige Zeilen aus diesem Urteil in Abmahnungen zitiert werden, es bietet sich jedenfalls an einigen Stellen geradezu an. Um es bildlich auszudrücken: Der hat es wahrscheinlich geschafft, den erbitterten Streit zum Thema “-Abmahnungen” und nur weiter zu befeuern, anstatt zumindest Teilaspekte eindeutig zu klären. Letzten Endes dürfte dieses Urteil zwar für einzelne Zitate und Kaffeesatzleserei gut sein, aber keinen Beteiligten wirklich zufrieden stellen. Nach diesem Urteil stehen wir da, wo wir vorher standen.

Links dazu:

Tags: , , , ,

Ähnliche Artikel

Geschrieben in IT-Recht

Die Anwaltskanzlei Ferner in der Städteregion Aachen (Aachen, Alsdorf, Baesweiler, Eschweiler, Herzogenrath, Monschau, Roetgen, Simmerath, Stolberg und Würselen): Ihr Ansprechpartner bei juristischen Problemen rund ums Strafrecht, Betäubungsmittelrecht, Verkehrsrecht, IT-Recht