Für Softwareunternehmen war Haftung bisher vor allem eine Frage des Vertrags: Gewährleistung, Haftungsbegrenzung, Ausschlüsse. Mit der neuen EU-Produkthaftungsrichtlinie (EU) 2024/2853 kommt eine verschuldensunabhängige Haftung dazu, die sich vertraglich gegenüber Geschädigten nicht ausschliessen lässt. Sie gilt für Produkte, die ab dem 9. Dezember 2026 in Verkehr gebracht werden, also in wenigen Wochen.
Was sich ändert
Die Richtlinie von 1985 kannte Software kaum. Die neue Richtlinie stellt klar: Software ist ein Produkt, unabhängig davon, ob sie installiert, als App geladen oder als Dienst genutzt wird. Ausgenommen ist nur freie Open-Source-Software ausserhalb einer Geschäftstätigkeit. Als Schaden gelten neben Körper- und Sachschäden auch der Verlust oder die Beschädigung von Daten, soweit sie nicht beruflich genutzt werden.
Updates werden zur Haftungsfrage
Besonders folgenreich ist der Blick auf die Zeit nach dem Verkauf. Ein Produkt kann fehlerhaft sein, wenn der Hersteller Sicherheitsupdates nicht bereitstellt, die zur Behebung einer Schwachstelle nötig sind und in seiner Kontrolle liegen. Damit wird das, was der Cyber Resilience Act als Pflicht formuliert, auch haftungsrechtlich relevant: Wer Schwachstellen kennt und nicht behebt, trägt das Risiko.
Leichterer Weg für Geschädigte
Geschädigte mussten bisher Fehler und Ursache beweisen, was bei Software schwer ist. Die neue Richtlinie erleichtert das: Gerichte können Hersteller zur Offenlegung von Beweismitteln verpflichten, und bei technischer Komplexität kann ein Fehler unter Voraussetzungen vermutet werden. Für Hersteller heisst das: Dokumentation ist nicht mehr nur Qualitätssicherung, sondern Verteidigung.
Zusammenspiel mit CRA und Maschinenverordnung
Drei Regelwerke greifen ineinander. Der Cyber Resilience Act verlangt für Produkte mit digitalen Elementen seit September 2026 Meldungen ausgenutzter Schwachstellen und ab Dezember 2027 umfassende Sicherheitsanforderungen. Die Maschinenverordnung bringt ab Januar 2027 Anforderungen an Software in Sicherheitsfunktionen. Die Produkthaftung regelt, wer zahlt, wenn trotzdem etwas passiert. Wer die Pflichten aus CRA und Maschinenverordnung sauber erfüllt, hat im Haftungsfall die besseren Karten.
Fünf Schritte bis Dezember
- Produkte erfassen: welche Software, welche Versionen, welche Märkte und Kundengruppen.
- Updatezusagen festlegen und kommunizieren: wie lange und wie schnell Sicherheitsupdates kommen.
- Schwachstellenprozess einführen: Meldung, Bewertung, Behebung, Information.
- Komponenten überwachen: eine Stückliste der eingesetzten Bibliotheken mit Schwachstellenabgleich.
- Nachweise sichern: Anforderungen, Tests und Releases so aufbewahren, dass sie Jahre später verfügbar sind.
Was Verträge noch leisten
Gegenüber Geschädigten lässt sich die Produkthaftung nicht ausschliessen. Zwischen Unternehmen bleiben Verträge aber wichtig, etwa für Regress gegenüber Zulieferern von Komponenten oder für Mitwirkungspflichten der Kunden bei Updates. Diese Fragen gehören zu Ihrer Rechtsberatung; wir sorgen dafür, dass die technischen Grundlagen dafür stehen.
Für Schweizer Hersteller
Die Richtlinie gilt für Produkte, die in der EU in Verkehr gebracht werden. Hat der Hersteller keinen Sitz in der EU, können Importeur oder Bevollmächtigter haften, was Schweizer Hersteller gegenüber ihren EU-Vertriebspartnern unter Druck setzt. Wer die Grundlagen jetzt schafft, kann seinen Partnern Nachweise liefern, statt Fragen auszuweichen.
Nächste Schritte
Unsere Checkliste zur Produkthaftung fasst die Schritte zusammen. Für eine Einordnung Ihrer Produkte nach Produkthaftung und Cyber Resilience Act beschreibt das Angebot Produkthaftung und CRA das Vorgehen. Die Begriffe erklären die Glossareinträge zur Produkthaftungsrichtlinie und zur Maschinenverordnung.