Neues Produkthaftungsgesetz: Ab 9. Dezember 2026 haftet Software wie jedes Produkt

Am 8. Oktober 2026 hat der Bundestag das Gesetz zur Modernisierung des Produkthaftungsrechts beschlossen. Es setzt die EU-Produkthaftungsrichtlinie (EU) 2024/2853 um und soll am 9. Dezember 2026 in Kraft treten. Die wichtigste Änderung für alle, die Software entwickeln, verkaufen oder in Produkte einbauen: Software gilt künftig ausdrücklich als Produkt – mit verschuldensunabhängiger Haftung, wie bisher nur bei physischen Waren. Dieser Beitrag erklärt, was sich ändert, wen es trifft und was Sie in den verbleibenden Wochen konkret tun sollten.

Hinweis: Dieser Beitrag ordnet die Neuregelung aus technischer Sicht ein und ersetzt keine Rechtsberatung. Für die Prüfung Ihrer Verträge und Haftungsrisiken sprechen Sie mit Ihrer Rechtsabteilung oder einer Fachanwältin.

Was sich grundsätzlich ändert

Das bisherige Produkthaftungsgesetz stammt aus dem Jahr 1989 – aus einer Zeit, in der Software auf Disketten verkauft wurde und niemand über Updates aus der Cloud nachdachte. Ob Software überhaupt ein „Produkt“ im Sinne des Gesetzes ist, war jahrzehntelang umstritten. Diese Frage ist jetzt beantwortet: Software ist ein Produkt, unabhängig davon, wie sie bereitgestellt oder genutzt wird – ob als installierte Anwendung, als Firmware in einer Maschine, als App oder als Cloud-Dienst. Ausdrücklich erfasst sind auch KI-Systeme.

Produkthaftung bedeutet: Der Hersteller haftet für Schäden durch ein fehlerhaftes Produkt, ohne dass ihm ein Verschulden nachgewiesen werden muss. Es reicht, dass das Produkt fehlerhaft war und dadurch ein Schaden entstanden ist.

Die fünf wichtigsten Neuerungen für Software

1. Updates gehören zum Produkt

Bisher kam es auf den Zustand des Produkts beim Inverkehrbringen an. Künftig zählt auch, was danach passiert: Solange der Hersteller die Software über Updates oder Upgrades kontrolliert, bleibt er verantwortlich. Ein Update, das einen Fehler einführt, kann eine Haftung auslösen – und ebenso ein fehlendes Sicherheitsupdate, das nötig gewesen wäre, um das Produkt sicher zu halten.

2. Cybersicherheit wird Teil der Fehlerfrage

Ob ein Produkt fehlerhaft ist, bemisst sich an der Sicherheit, die man berechtigterweise erwarten darf. Dazu gehören künftig ausdrücklich auch Anforderungen an die Cybersicherheit. Wer verbindliche Sicherheitsvorgaben – etwa aus dem Cyber Resilience Act – nicht einhält, muss damit rechnen, dass ein Gericht die Fehlerhaftigkeit vermutet.

3. Wer wesentlich ändert, wird zum Hersteller

Wer ein Produkt außerhalb der Kontrolle des ursprünglichen Herstellers wesentlich verändert und erneut in Verkehr bringt, haftet selbst wie ein Hersteller. Das betrifft etwa Integratoren, die eine bestehende Lösung tiefgreifend umbauen, oder Unternehmen, die Software in eigene Produkte einbetten und anpassen.

4. Leichtere Beweisführung für Geschädigte

Geschädigte konnten Fehler in komplexer Software bisher kaum nachweisen. Das neue Recht sieht deshalb vor, dass Gerichte die Offenlegung von Beweismitteln anordnen können, und kennt Vermutungsregeln: Wer relevante Unterlagen nicht vorlegt oder bei dem die technische Komplexität den Nachweis übermäßig erschwert, muss unter Umständen selbst beweisen, dass sein Produkt fehlerfrei war. Auf Drängen der Wirtschaft wurde ein besonderes Verfahren zum Schutz von Geschäftsgeheimnissen aufgenommen – Quellcode und Konstruktionsdaten müssen also nicht ungeschützt an die Gegenseite gehen.

5. Mehr Beteiligte in der Lieferkette

Neben dem Hersteller können unter bestimmten Voraussetzungen auch Importeure, Bevollmächtigte, Fulfillment-Dienstleister und Online-Plattformen haften – vor allem dann, wenn der Hersteller außerhalb der EU sitzt. Für Unternehmen, die Software oder Komponenten von außereuropäischen Anbietern weitervertreiben, wird das relevant.

Welche Schäden erfasst sind – und welche nicht

Hier liegt ein Punkt, der in vielen Meldungen untergeht: Die Produkthaftung schützt in erster Linie Verbraucher. Ersetzt werden Personenschäden, Schäden an privat genutzten Sachen und – neu – der Verlust oder die Beschädigung von Daten, die nicht beruflich genutzt werden. Schäden an Sachen oder Daten, die ausschließlich beruflich genutzt werden, fallen nicht darunter.

Heißt das, reine B2B-Software ist nicht betroffen? Nicht ganz. Erstens kann B2B-Software Personenschäden verursachen – etwa als Steuerungssoftware einer Maschine, in der Medizintechnik oder im Fahrzeug. Zweitens landet Software häufig über Umwege beim Endkunden, etwa als Komponente in einem Gerät, das an Verbraucher verkauft wird. Und drittens wird der Hersteller des Endprodukts versuchen, sich beim Zulieferer der fehlerhaften Komponente schadlos zu halten.

Ab wann gilt das neue Recht?

Das Gesetz soll am 9. Dezember 2026 in Kraft treten. Es gilt für Produkte, die ab diesem Tag in Verkehr gebracht oder in Betrieb genommen werden. Für Software mit regelmäßigen Updates ist dieser Stichtag allerdings weniger klar abgrenzbar als bei einer Maschine, die einmal ausgeliefert wird: Eine wesentliche Änderung nach dem Stichtag kann das Produkt unter das neue Recht bringen. Wer Software kontinuierlich weiterentwickelt, sollte deshalb davon ausgehen, dass das neue Recht für ihn praktisch sofort relevant wird.

Wer besonders betroffen ist

• Softwarehersteller und SaaS-Anbieter, deren Produkte von Verbrauchern genutzt werden oder Personenschäden verursachen können.
• Maschinen- und Anlagenbauer mit eigener Steuerungs- und Bediensoftware – zumal ab dem 20. Januar 2027 auch die neue Maschinenverordnung mit erweiterten Anforderungen an Software und Cybersicherheit gilt.
• Automotive-Zulieferer mit Steuergeräte-Software und Over-the-Air-Updates.
• Medizintechnik und Gesundheitswesen, wo Softwarefehler unmittelbar Menschen gefährden können.
• Anbieter von KI-Funktionen, deren Verhalten sich durch Lernen oder Modell-Updates nach der Auslieferung ändert.
• Integratoren und Händler, die Software außereuropäischer Hersteller in ihre Produkte einbauen oder in der EU vertreiben.

Was Sie jetzt technisch tun sollten

Haftung lässt sich gegenüber Geschädigten vertraglich nicht ausschließen. Was Sie beeinflussen können, ist das Risiko, dass überhaupt ein Fehler entsteht – und Ihre Fähigkeit, im Streitfall nachzuweisen, dass Sie sorgfältig gearbeitet haben. Fünf Maßnahmen sind dafür zentral:

1. Software-Inventar und SBOM. Sie müssen wissen, welche Komponenten und Bibliotheken in Ihren Produkten stecken, in welcher Version und von wem. Eine Software-Stückliste (SBOM) wird mit dem Cyber Resilience Act für Produkte mit digitalen Elementen ohnehin verpflichtend und ist die Grundlage für alles Weitere.
2. Update- und Patch-Prozess. Legen Sie fest, wie lange Sie Sicherheitsupdates liefern, wie schnell kritische Lücken geschlossen werden und wie Kunden die Updates erhalten. Ein dokumentierter Prozess ist im Streitfall Gold wert.
3. Nachvollziehbare Entwicklung. Versionsverwaltung, Code-Reviews, automatisierte Tests und eine saubere Release-Dokumentation sind nicht nur gute Praxis – sie sind Ihr Nachweis, dass ein Fehler nicht auf mangelnder Sorgfalt beruht.
4. KI-Funktionen kontrollierbar halten. Wo KI eingesetzt wird, sollten Modellversionen, Trainingsdaten-Stände und Prüfergebnisse dokumentiert sein. Ein KI-System, dessen Verhalten sich unbemerkt ändert, ist ein Haftungsrisiko.
5. Lieferanten und Verträge prüfen. Klären Sie mit Zulieferern von Software-Komponenten, wer im Innenverhältnis wofür einsteht, und lassen Sie Ihre Verträge und Ihre Betriebshaftpflicht auf die neue Lage prüfen.

Fazit

Das neue Produkthaftungsrecht beendet eine jahrzehntelange Grauzone: Software haftet wie jedes andere Produkt, und die Verantwortung endet nicht mit der Auslieferung, sondern läuft über jedes Update weiter. Für die meisten Unternehmen bedeutet das keine völlig neue Welt, sondern eine Verschiebung von Prioritäten – weg von „Hauptsache, es läuft“ hin zu nachvollziehbarer Entwicklung, gepflegten Abhängigkeiten und einem verlässlichen Update-Prozess. Wer das in den kommenden Wochen angeht, steht am 9. Dezember nicht unter Druck.

Welche weiteren Pflichttermine 2027 auf die IT zukommen, haben wir in unserer Übersicht zu den IT-Pflichtterminen 2027 zusammengestellt. Wenn Sie prüfen möchten, wie Ihre Software in Sachen Update-Prozess, Abhängigkeiten und Dokumentation dasteht, sprechen Sie uns an – wir unterstützen bei der Entwicklung ebenso wie bei der Bestandsaufnahme bestehender Systeme.