Sicherheitslücken dürfen nicht nur auf Herstellerseite kommuniziert werden

Was nützt die beste Sicherheitswarnung, wenn sie niemand liest?
Diese Frage steht im Mittelpunkt einer wegweisenden Entscheidung des LG Bochum vom 23. November 2023 (Az. I-8 O 26/23). Der Fall zeigt, wie wenig es genügt, kritische Informationen zu einer Sicherheitslücke lediglich auf der Website eines Herstellers zu verstecken – vor allem dann, wenn der Verkauf des Produkts überwiegend über Dritte erfolgt. Die Richter stellen klar: Solche Informationen müssen da ankommen, wo die Verbraucher tatsächlich kaufen.

Der Sachverhalt im Detail: Die Schwachstelle im Funk-Türschloss

Die Entscheidung dreht sich um ein Funk-Türschloss des Herstellers ABUS – konkret das Modell „HomeTec Pro CFA3000“. Dieses elektronische Türschloss sollte durch moderne Funktechnik ein Plus an Sicherheit bieten – tatsächlich stellte sich jedoch heraus, dass es gravierende Sicherheitslücken aufwies:

• Im August 2022 warnte das Bundesamt für Sicherheit in der Informationstechnik (BSI) vor einer kritischen Schwachstelle im Gerät.
• Die Funkverbindung des Türschlosses konnte durch Dritte abgefangen und manipuliert werden, sodass unbefugte Dritte potenziell Zutritt zur Wohnung erlangen konnten.
• Der Hersteller ABUS veröffentlichte daraufhin einen Warnhinweis auf seiner Website – allerdings lediglich auf der Produkt-Unterseite, die nicht aktiv im Verkauf genutzt wurde.
• Das Produkt selbst wurde hingegen über Handelsplattformen wie Amazon und in Einzelhandelsgeschäften verkauft – dort wurden Verbraucher jedoch nicht über die Sicherheitslücke informiert.

Ein Mitbewerber mahnte das Verhalten als wettbewerbswidrig ab – mit Erfolg.

Die rechtliche Einordnung: Wettbewerbsverstoß nach § 5a UWG

Das Landgericht Bochum gab dem Kläger recht und beurteilte das Verhalten des Herstellers als wettbewerbswidrig nach § 5a Abs. 2 und Abs. 4 UWG. Hier die zentralen Gründe:

1. Wesentliche Information zur Sicherheit des Produkts

Die Richter stuften die Information über die Sicherheitslücke als wesentliche Information im Sinne des UWG ein. Der durchschnittliche Verbraucher erwartet, dass sicherheitsrelevante Schwächen bei Produkten wie Türschlössern klar und sichtbar kommuniziert werden. Die Schwachstelle war so schwerwiegend, dass sie das gesamte Schutzversprechen des Produkts infrage stellte.

2. Nicht nur auf der Herstellerseite – sondern am „Point of Sale“

ABUS hatte die Informationen zwar veröffentlicht – aber ausschließlich auf der Produktseite des Herstellers, wo keinerlei direkte Kaufoption bestand. Die Kaufentscheidungen fanden jedoch anderswo statt – z. B. auf Amazon oder im Fachhandel. Dort fehlten die Hinweise vollständig. Das Gericht urteilte daher, dass eine solche Informationspolitik nicht genügt, um der gesetzlichen Pflicht zur Informationsweitergabe nachzukommen.

3. Unlauteres Verhalten durch bewusste Informationsverknappung

Der Richter stellte fest, dass das Vorgehen von ABUS dazu führe, dass Verbraucher eine fehlerhafte Vorstellung vom Sicherheitsniveau des Produkts entwickeln könnten. Der fehlende Hinweis in den eigentlichen Verkaufsstellen sei geeignet, die geschäftliche Entscheidung des Verbrauchers erheblich zu beeinflussen.

Bedeutung für die Praxis: Transparenzpflicht für Hersteller und Händler

Das Urteil hat große Tragweite für Hersteller sicherheitsrelevanter Produkte – vor allem im Bereich Smart Home, IT-Geräte, Software, aber auch im Konsumgüterbereich.

Informationspflicht auch ohne Direktvertrieb

Hersteller, die nicht selbst verkaufen, dürfen sich nicht aus der Verantwortung stehlen. Auch wenn der Absatz über Plattformen wie Amazon oder stationäre Händler erfolgt, muss der Hersteller dafür Sorge tragen, dass dort klar und sichtbar über Sicherheitsmängel informiert wird.

Pflicht zur aktiven Kommunikation

Die Pflicht zur Information umfasst nicht nur das bloße Veröffentlichen, sondern eine aktive Kommunikation dort, wo sich Verbraucher typischerweise über das Produkt informieren oder es erwerben. Dazu gehören:

• Produktbeschreibungen auf Verkaufsplattformen
• Beipackzettel oder Hinweise in der Verpackung
• Hinweise auf Händler-Websites
• ggf. Hinweise im stationären Handel (Aushänge, Handzettel, QR-Codes)

Verstoß ist abmahnfähig

Unterlassen Hersteller oder Händler diese Informationen, drohen:

• Abmahnungen von Mitbewerbern (§ 8 UWG)
• Unterlassungsklagen
• Ggf. Schadensersatzforderungen bei konkreten Schäden (z. B. Einbruch durch unsicheres Gerät)

Was sollten Hersteller jetzt tun?

1. Interne Prozesse aufstellen: Sobald eine Schwachstelle bekannt ist, muss schnell entschieden werden, wie und wo sie kommuniziert wird.
2. Vertriebspartner einbinden: Informationen über Sicherheitsmängel müssen an alle Händler übermittelt und dort sichtbar gemacht werden.
3. Dokumentation & Nachweis: Es sollte dokumentiert werden, dass die Information nachweislich und flächendeckend verbreitet wurde.
4. Schulungen & Sensibilisierung: Vertrieb und Marketing müssen die rechtliche Bedeutung der Informationspflichten kennen und anwenden.

Fazit: Der Verbraucher hat ein Recht auf Sicherheit – und auf Information

Das LG Bochum hat mit seiner Entscheidung ein deutliches Signal gesendet: Hersteller dürfen sicherheitsrelevante Informationen nicht verstecken oder vernachlässigen, auch wenn der Direktverkauf über Dritte erfolgt. Transparenz muss dort stattfinden, wo der Verbraucher seine Entscheidung trifft. Alles andere ist nicht nur unlauter – sondern unter Umständen auch gefährlich.