BGH, Urteil vom 24. November 2016 – I ZR 220/15 – WLAN-Schlüssel
Der Bundesgerichtshof (BGH) verneint eine Störerhaftung für den Fall, daß ein WLAN-Router von Dritten gehackt wird. Es ist nach Ansicht des BGH nicht notwendig, den vom Werk durch den Hersteller voreingestellten Schlüssel zu ändern. Der Entscheidung lag der Sachverhalt zugrunde, daß der Router der Beklagten mit einem vom Hersteller vergebenen, auf dessen Rückseite aufgedruckten WPA2-Schlüssel gesichert war, welcher aus 16 Ziffern bestand. Diesen Schlüssel hatte die Beklagte bei der Einrichtung des Routers nicht geändert.
In der Folge erfolgten dann über die IP-Adresse der Beklagten Urheberrechtsverletzungen, welche die Klägerin abmahnte.
Der BGH ist der Rechtsansicht, daß die Beklagte nicht als Störerin haftet, weil sie keine Prüfungspflichten verletzt hat.
Der Inhaber eines Internetanschlusses mit WLAN-Funktion ist grundsätzlich zur Prüfung verpflichtet, ob der eingesetzte Router über die im Zeitpunkt seines Kaufs für den privaten Bereich marktüblichen Sicherungen, also einen aktuellen Verschlüsselungsstandard sowie ein individuelles, ausreichend langes und sicheres Passwort, verfügt. Die Beibehaltung eines vom Hersteller voreingestellten WLAN-Passworts kann dann eine Verletzung der Prüfungspflicht darstellen, wenn es sich nicht um ein für jedes Gerät individuell, sondern für eine Mehrzahl von Geräten verwendetes Passwort handelt. Die Beklagte hatte aber im Rahmen der sogenannten sekundären Darlegungs- und Beweislast vorgetragen, um welchen Routertyp es sich handelte und welches Passwort diesem zugrundelag. Sie hatte weiterhin vorgetragen, daß sich nur um ein einmal vergebenes Passwort gehandelt hat.
Diesem Vortrag ist die Klägerin nicht erheblich entgegengetreten.
Weil der Standard WPA2 als hinreichend sicher anerkannt ist und es an Anhaltspunkten dafür fehlt, daß im Zeitpunkt des Kaufs der voreingestellte 16-stellige Zifferncode nicht marktüblichen Standards entsprach oder Dritte ihn entschlüsseln konnten, hat die Beklagte ihre Prüfungspflichten nicht verletzt. Sie haftet deshalb nicht als Störerin für die über ihren Internetanschluss von einem unbekannten Dritten begangenen Urheberrechtsverletzungen. Eine bei dem Routertyp bestehende Sicherheitslücke ist in der Öffentlichkeit erst im Jahr 2014 bekannt geworden.
Der BGH hat zwar nicht explizit entschieden, daß eine Haftung im Falle eines gehackten WLAN-Routers ausscheidet, dies läßt sich aber im Rahmen eines sogenannten obiter dictums aus dem Hinweis des BGH lesen, daß eine Sicherheitslücke im WPA2-Standard erst im Jahr 2014 bekannt geworden ist.
Fundstelle: → BGH, Urteil des I. Zivilsenats vom 24.11.2016 – I ZR 220/15
Nachtrag vom 01.12.2016:
Angesichts der Telekom-Störung, hier des Ausfalls ihres DSL- und Festnetzes durch einen Hack ihrer WLAN-Router, welches das BSI auf einen weltweiten Hackerangriff zurückführt, dürfte die Frage der grundsätzlichen Haftung für verteilte Angriffe auf Rechnernetze im Rahmen einer DDoS-Attacke vom BGH noch zu beantworten sein.
Denn aufgrund des sogenannten „Internets der Dinge“, wie etwa Smarthome, bzw. Industrie 4.0, etc., steht zu erwarten, daß sich zukünftig derartige Cybercrime-Vorfälle auch auf sicherheitskritische Bereiche mehren werden.
Fundstelle: → Telekom-Störung – BSI vermutet weltweiten Hackerangriff