Am 9. Dezember 2026 tritt das reformierte Produkthaftungsrecht in Kraft - und es verändert die Spielregeln für alle, die Software entwickeln, betreiben oder mit ihr Geld verdienen. Erstmals gelten Software, Apps, Plugins und sogar Sicherheits-Updates ausdrücklich als Produkt (Richtlinie EU 2024/2853). Ein fehlerhaftes Stück Code haftet damit künftig nach denselben strengen Regeln wie ein defektes physisches Gerät: verschuldensunabhängig, mit deutlich erleichterter Beweisführung und ohne die bisherige Haftungsobergrenze. Für Betreiber eines Online-Shops und für alle, die individuelle Software einsetzen oder verkaufen, ist das kein abstraktes Randthema, sondern ein handfestes Risiko - und der richtige Moment, Update- und Dokumentationspflichten jetzt sauber aufzustellen.
Was sich am 9. Dezember 2026 ändert
Die Europäische Union hat die neue Produkthaftungsrichtlinie (Richtlinie EU 2024/2853) am 23. Oktober 2024 verabschiedet; seit dem 8. Dezember 2024 ist sie in Kraft. Die Mitgliedstaaten müssen sie bis zum 9. Dezember 2026 in nationales Recht umsetzen (Richtlinie EU 2024/2853). Damit endet nach 39 Jahren die Ära der alten Richtlinie aus dem Jahr 1985, die das Produkthaftungsgesetz bislang prägte (ADVANT Beiten). In Deutschland erfolgt die Umsetzung über das Gesetz zur Modernisierung des Produkthaftungsrechts, dessen Entwurf am 4. März 2026 in erster Lesung im Bundestag beraten wurde und derzeit im Ausschuss für Recht und Verbraucherschutz liegt (Bundestag).
Wichtig für die Praxis ist der Stichtag: Die neuen Regeln gelten für Produkte, die nach dem 9. Dezember 2026 in Verkehr gebracht oder in Betrieb genommen werden (Richtlinie EU 2024/2853). Ältere Produkte bleiben zunächst unter dem alten Recht - es sei denn, sie werden nach diesem Datum wesentlich verändert, etwa durch ein umfangreiches Software-Upgrade. Gerade im E-Commerce, wo Shops fortlaufend erweitert, angebunden und aktualisiert werden, verschwimmt diese Grenze schnell. Wer heute plant, sollte deshalb davon ausgehen, dass neue Funktionen und größere Releases ab dem Stichtag unter das neue Regime fallen.
Der 9. Dezember 2026 ist keine unverbindliche Zielmarke, sondern die verbindliche Umsetzungsfrist der EU-Richtlinie (Richtlinie EU 2024/2853). Anders als bei manchen Übergangsregelungen gibt es hier keinen mehrjährigen Puffer für Bestandsprodukte, sobald diese wesentlich verändert werden. Der Aufbau sauberer Prozesse für Dokumentation und Updates braucht Vorlauf - je früher Sie beginnen, desto entspannter erreichen Sie den Stichtag.
Software wird zum Produkt - wer jetzt in die Haftung rückt
Das bisherige Produkthaftungsgesetz kannte als Produkt im Kern bewegliche körperliche Sachen. Software fiel nur mittelbar darunter, etwa als Teil eines Geräts. Das ändert sich grundlegend: Künftig gilt Software ausdrücklich als Produkt, und zwar unabhängig von der Art ihrer Bereitstellung oder Nutzung - ob als Download, als vorinstallierte Komponente, eingebettet in ein Gerät oder als Cloud-Dienst (PwC Legal). Erfasst sind eigenständige Software, KI-Systeme, digitale Komponenten und digitale Konstruktionsunterlagen; selbst Elektrizität zählt dazu (Richtlinie EU 2024/2853). Ausgenommen bleibt freie und quelloffene Software, sofern sie außerhalb einer Geschäftstätigkeit unentgeltlich bereitgestellt wird (PwC Legal).
Für Shopbetreiber und Entwickler bedeutet das konkret: Eine individuell entwickelte Shop-Erweiterung, ein selbst gebautes Plugin, ein Produktkonfigurator, eine angebundene App oder ein digitales Produkt, das Sie verkaufen, kann in den Anwendungsbereich fallen. Auch KI-gestützte Funktionen wie eine automatische Produktsuche oder eine Empfehlungslogik zählen dazu. Wer Software herstellt - oder ein bestehendes Produkt wesentlich verändert -, gilt als Hersteller und trägt die Herstellerhaftung. Diese Ausweitung trifft nicht nur klassische Softwarehäuser, sondern jeden Betrieb, der digitale Funktionen selbst baut oder maßgeblich anpasst. Wer dagegen ausschließlich fertige Standardsoftware unverändert einsetzt, steht anders da als jemand, der tief in den Code eingreift. Die folgende Gegenüberstellung zeigt die wichtigsten Verschiebungen im Überblick.
| Thema | Bisher (seit 1985) | Neu (ab 9.12.2026) |
|---|---|---|
| Software | keine eigenständige Produkthaftung | Software, Apps und KI gelten als Produkt |
| Verschulden | verschuldensunabhängig für Sachen | verschuldensunabhängig auch für Software |
| Sicherheits-Updates | nicht ausdrücklich erfasst | unterlassene Updates können Fehler sein |
| Beweisführung | weitgehend beim Geschädigten | Offenlegungspflicht und Fehlervermutung |
| Datenverlust | kein ersatzfähiger Schaden | Vernichtung von Daten ist ersatzfähig |
Verschuldensunabhängige Haftung und leichtere Beweisführung
Die Produkthaftung ist eine verschuldensunabhängige Haftung. Der Geschädigte muss also weder Vorsatz noch Fahrlässigkeit nachweisen, sondern nur den Fehler des Produkts, den Schaden und den Zusammenhang zwischen beiden (Richtlinie EU 2024/2853). Neu und besonders folgenreich sind die Beweiserleichterungen: Das Gesetz führt Offenlegungspflichten sowie gesetzliche Vermutungen für Fehlerhaftigkeit und Kausalität ein. Eine generelle Beweislastumkehr gibt es zwar nicht, faktisch wird die Position der Geschädigten aber deutlich gestärkt (Ebner Stolz).
Das Zusammenspiel ist entscheidend: Legt eine klagende Partei plausible Anhaltspunkte für ihren Anspruch vor, kann das Gericht anordnen, dass die beklagte Seite relevante Beweismittel offenlegt - etwa Konstruktionsunterlagen, Testberichte oder Sicherheitskonzepte. Kommt sie dem nicht nach, wird die Fehlerhaftigkeit des Produkts gesetzlich vermutet (Richtlinie EU 2024/2853). Ebenso greift eine Vermutung, wenn der Nachweis wegen technischer Komplexität - etwa bei KI-Systemen - übermäßig schwierig wäre. Und der Schadensbegriff wächst: Neben Personen- und Sachschäden gilt künftig auch die Vernichtung oder Beschädigung von Daten als ersatzfähiger Schaden (Richtlinie EU 2024/2853).
Wer im Streitfall keine belastbaren Unterlagen vorlegen kann, riskiert, dass das Gericht die Fehlerhaftigkeit unterstellt. Damit wird eine saubere, nachvollziehbare Entwicklungs- und Testdokumentation vom lästigen Formalismus zum handfesten Schutzschild. Revisionssichere Aufzeichnungen über Anforderungen, Tests, Sicherheitsprüfungen und Freigaben sind erfahrungsgemäß der wirksamste Hebel, um im Ernstfall die eigene Sorgfalt zu belegen.
Update-Pflicht: Wenn ein fehlendes Sicherheits-Update haftbar macht
Eine der größten Neuerungen betrifft den Lebenszyklus nach dem Verkauf. Ein Produkt kann nicht nur zum Zeitpunkt des Inverkehrbringens fehlerhaft sein, sondern auch dadurch, dass ein erforderliches Update ausbleibt. Solange der Hersteller die Kontrolle behält - etwa weil Aktualisierungen in seiner Verantwortung liegen -, bleiben die berechtigten Sicherheitserwartungen maßgeblich. Ein unterlassenes Sicherheits-Update oder mangelnde Cybersicherheit können deshalb einen haftungsrelevanten Fehler begründen (Ebner Stolz). Dieser Gedanke verzahnt die Produkthaftung eng mit den Pflichten aus dem Cyber Resilience Act und macht ein verlässliches Patch- und Update-Management im Hosting zur Kernaufgabe.
Für Online-Shops heißt das: Sicherheitslücken in eigenentwickeltem Code, veraltete Abhängigkeiten oder ein liegengebliebenes Update sind nicht länger nur ein Betriebsrisiko, sondern potenziell ein Haftungsfall. Ein strukturierter Prozess, der Schwachstellen erkennt, bewertet und zeitnah schließt, ist deshalb doppelt wertvoll - er schützt den laufenden Betrieb und dokumentiert zugleich die eigene Sorgfalt. Hilfreich ist es zudem, den Zeitraum festzulegen, über den ein Produkt mit Updates versorgt wird, und diese Zusage gegenüber Kunden transparent zu machen. Wie eng Sicherheit, Wiederanlauf und Nachweisführung zusammenhängen, zeigt auch der Blick auf Backup und Notfallplanung.
Routinemäßige Fehlerbehebungen und kleinere Patches ändern die rechtliche Ausgangslage in der Regel nicht (Orrick). Anders sieht es aus, wenn ein Update oder Upgrade die Funktion, Leistung oder das Risikoprofil eines Produkts erheblich verändert - dann gilt es als wesentliche Veränderung und damit als neues Inverkehrbringen. Wird eine solche Änderung außerhalb der Kontrolle des ursprünglichen Herstellers vorgenommen, rückt die verändernde Partei selbst in die Herstellerhaftung (Gibson Dunn).
Wer in der Lieferkette haftet - Hersteller, Händler, Plattform
Die Richtlinie verteilt die Verantwortung entlang der gesamten Wertschöpfungskette und schließt bewusst Lücken, die bei digitalen Produkten und internationalen Anbietern entstehen (Richtlinie EU 2024/2853). Für Shopbetreiber ist das besonders relevant, wenn sie Software aus Drittländern beziehen, digitale Produkte weiterverkaufen oder selbst als Importeur auftreten. Vier Rollen sollten Sie kennen:
Hersteller und Entwickler
Wer Software herstellt oder ein Produkt wesentlich verändert, haftet als Hersteller - auch für eigenentwickelte Erweiterungen und Plugins.
Importeur und Bevollmächtigter
Sitzt der Hersteller außerhalb der EU, rücken Importeur oder EU-Bevollmächtigter in die Haftung. Das trifft schnell auf bezogene Software aus Drittländern zu.
Fulfilment und Plattform
Auch Fulfilment-Dienstleister und unter bestimmten Voraussetzungen Online-Plattformen können in Anspruch genommen werden, wenn kein greifbarer Hersteller in der EU vorhanden ist.
Händler als Auffanghaftung
Kann ein Händler auf Nachfrage keinen verantwortlichen Hersteller oder Importeur benennen, kann er selbst haften - ein Anreiz, die eigene Lieferkette sauber zu dokumentieren.
Was entfällt: Selbstbehalt, Obergrenze und längere Fristen
Neben der Ausweitung auf Software senkt die Reform auch die Hürden für Ansprüche spürbar. Zwei bisherige Schranken fallen ersatzlos weg, und die Fristen werden in Teilen länger. Das erhöht die praktische Bedeutung der Produkthaftung deutlich - vor allem für Anbieter, die bislang davon ausgingen, dass sich kleinere Schäden ohnehin nicht lohnen einzuklagen. Genau diese Rechnung geht künftig anders auf.
Der bisherige Selbstbehalt von 500 Euro bei Sachschäden entfällt, ebenso die Haftungshöchstgrenze von 85 Millionen Euro bei Personenschäden (IHK Hannover). Dadurch werden auch kleinere Sachschäden einklagbar, und die Deckelung großer Schadensfälle fällt weg. Zusammen mit den Beweiserleichterungen rechnen Fachleute mit einer steigenden Zahl von Produkthaftungsklagen (Ebner Stolz) - ein Risiko, das gerade kleinere Anbieter nicht unterschätzen sollten.
| Kennzahl | Bisher | Neu (ab 9.12.2026) |
|---|---|---|
| Selbstbehalt bei Sachschäden | 500 € | entfällt |
| Obergrenze bei Personenschäden | 85 Mio. € | entfällt |
| Verjährung ab Kenntnis | 3 Jahre | 3 Jahre |
| Erlöschensfrist | 10 Jahre | 10 Jahre, bis 25 bei Spätschäden |
Die reguläre Erlöschensfrist bleibt bei zehn Jahren nach Inverkehrbringen, kann aber bei erst spät erkennbaren Personenschäden auf bis zu 25 Jahre verlängert werden (Richtlinie EU 2024/2853). Für langlebige digitale Produkte, die über viele Jahre im Einsatz sind und regelmäßig Updates erhalten, verlängert sich damit der Zeitraum, in dem Ansprüche entstehen können, erheblich. Wer Software über einen langen Lebenszyklus betreut, sollte seine Dokumentation deshalb so aufbewahren, dass sie auch nach Jahren noch belastbar ist - eine Anforderung, die sich mit einer geordneten Ablage und klaren Versionsständen gut erfüllen lässt.
Was Shopbetreiber und Entwickler jetzt tun sollten
Der Handlungsbedarf ist real, denn Software steht ohnehin im Fokus von Angreifern: Der wirtschaftliche Gesamtschaden durch Cyberangriffe, Datendiebstahl und Sabotage lag 2025 in Deutschland bei rund 289 Milliarden Euro (Bitkom Wirtschaftsschutz 2025), und 87 Prozent der Unternehmen waren von Datendiebstahl, Spionage oder Sabotage betroffen (Bitkom Wirtschaftsschutz 2025). Wer digitale Produkte anbietet, sollte die neue Haftungslage deshalb nicht als Bürde, sondern als Anlass für belastbare Prozesse begreifen. Die folgenden Schritte haben sich als sinnvoller Startpunkt bewährt:
- Softwarebestand erfassen: Welche eigenentwickelten Plugins, Apps und digitalen Produkte fallen in den Anwendungsbereich?
- Update- und Patch-Prozess etablieren - dokumentiert, nachvollziehbar und mit klaren Verantwortlichkeiten
- Entwicklungs- und Testdokumentation revisionssicher aufbewahren, damit Sorgfalt im Streitfall belegbar ist
- Schwachstellen- und Sicherheitsmanagement aufsetzen, da Cybersicherheit zum haftungsrelevanten Produktmerkmal wird
- Rollen und Verträge in der Lieferkette klären: Hersteller, Importeur, Bevollmächtigter und Zulieferer
- Versicherungsschutz und Haftungsklauseln mit fachkundiger Rechtsberatung prüfen
Diese Punkte lassen sich am besten gemeinsam angehen - technisch im laufenden Betrieb und organisatorisch in klaren Abläufen. In der Beratung ordnen wir Ihren Softwarebestand ein, und wo Datenhoheit und Betrieb zusammenkommen, hilft der Blick auf souveränes Hosting und Cloud-Betrieb. Wer parallel weitere Pflichten für 2026 im Auge behält, etwa die neuen EU-Zahlungsregeln PSD3 und PSR, bündelt den Aufwand sinnvoll.
Software-Haftung jetzt zum Vorteil machen
Die reformierte Produkthaftung wirkt auf den ersten Blick wie ein zusätzliches Risiko - tatsächlich belohnt sie genau die Arbeitsweise, die ohnehin für stabile, sichere Software steht: saubere Entwicklung, nachvollziehbare Dokumentation und ein verlässliches Update-Management. Wer diese Bausteine früh verankert, senkt nicht nur sein Haftungsrisiko, sondern liefert auch bessere Software.
Sauber dokumentierte Entwicklung
Wir entwickeln Ihre Shop-Software mit nachvollziehbarer Test- und Freigabedokumentation - die Grundlage, um Sorgfalt im Ernstfall zu belegen.
Update- und Patch-Management
Ein strukturierter Prozess im Hosting hält Abhängigkeiten aktuell und schließt Sicherheitslücken zeitnah - protokolliert und nachweisbar.
Sichere Architektur und Cloud
Wir richten Betrieb und Cloud so ein, dass Sicherheit und Datenhoheit von Anfang an mitgedacht sind.
Prozesse statt Schadensbegrenzung
Gemeinsam bringen wir Entwicklung, Betrieb und Dokumentation in eine Linie, damit die neuen Pflichten planbar statt überraschend sind.
Ob eigenentwickeltes Plugin, angebundene App oder verkauftes Digitalprodukt: Entscheidend ist, dass Sie vor dem 9. Dezember 2026 wissen, welche Software in den Anwendungsbereich fällt und wie Sie Ihre Sorgfalt belegen. Wir prüfen mit Ihnen den Softwarebestand, richten dokumentierte Update-Prozesse ein und bringen Ihre Entwicklung auf einen belastbaren Stand. Sprechen Sie unser Team an, um Ihre Software rechtzeitig auf die neue Produkthaftung vorzubereiten - dieser Beitrag ersetzt allerdings keine individuelle Rechtsberatung.
Dieser Artikel stützt sich auf die Richtlinie (EU) 2024/2853 über die Haftung für fehlerhafte Produkte (Geltungsbereich Software und KI, Beweiserleichterungen, Fristen, Wegfall von Selbstbehalt und Obergrenze), Einordnungen von IHK Hannover, PwC Legal, Ebner Stolz, ADVANT Beiten, Orrick und Gibson Dunn zur Umsetzung sowie den Verfahrensstand im Bundestag (Modernisierung des Produkthaftungsrechts, erste Lesung 4. März 2026). Die Marktzahlen stammen aus dem Bitkom-Wirtschaftsschutz 2025. Angegebene Zahlen und Daten können sich im Gesetzgebungsverfahren ändern; dieser Beitrag dient der Orientierung und ersetzt keine individuelle Rechtsberatung. Stand: August 2026.
Die EU-Produkthaftungsrichtlinie (Richtlinie EU 2024/2853) muss bis zum 9. Dezember 2026 in nationales Recht umgesetzt sein; das neue deutsche Produkthaftungsgesetz soll zu diesem Zeitpunkt greifen (Bundestag). Die Regeln gelten für Produkte, die nach dem 9. Dezember 2026 in Verkehr gebracht werden. Ältere Produkte bleiben zunächst unter dem alten Recht, sofern sie nicht danach wesentlich verändert werden.
Ja. Software gilt künftig ausdrücklich als Produkt, unabhängig von der Art der Bereitstellung - ob Download, vorinstalliert, eingebettet oder als Cloud-Dienst (PwC Legal). Erfasst sind auch KI-Systeme, digitale Komponenten und digitale Konstruktionsunterlagen (Richtlinie EU 2024/2853). Ausgenommen bleibt freie und quelloffene Software, die außerhalb einer Geschäftstätigkeit unentgeltlich bereitgestellt wird.
Für eigenentwickelte Erweiterungen und Plugins kommen Sie als Hersteller in Betracht. Zusätzlich kann ein unterlassenes Sicherheits-Update einen Fehler begründen, solange die Kontrolle beim Anbieter liegt (Ebner Stolz). Verändern Sie ein bestehendes Produkt wesentlich, gelten Sie für die veränderte Fassung ebenfalls als Hersteller (Gibson Dunn). Routinemäßige kleine Patches ändern die Ausgangslage dagegen in der Regel nicht.
Eine generelle Beweislastumkehr gibt es nicht, wohl aber Offenlegungspflichten und gesetzliche Vermutungen (Ebner Stolz). Legt eine klagende Partei plausible Anhaltspunkte vor, kann das Gericht die Offenlegung relevanter Unterlagen anordnen; unterbleibt sie, wird die Fehlerhaftigkeit vermutet (Richtlinie EU 2024/2853). Deshalb ist eine belastbare Entwicklungs- und Testdokumentation der wichtigste Schutz.
Der bisherige Selbstbehalt von 500 Euro bei Sachschäden und die Haftungshöchstgrenze von 85 Millionen Euro bei Personenschäden entfallen ersatzlos (IHK Hannover). Die Verjährung ab Kenntnis bleibt bei drei Jahren, die Erlöschensfrist bei zehn Jahren; bei spät erkennbaren Personenschäden kann sie sich auf bis zu 25 Jahre verlängern (Richtlinie EU 2024/2853).
Wir erfassen mit Ihnen den relevanten Softwarebestand, entwickeln dokumentiert und richten ein nachweisbares Update- und Patch-Management im Hosting ein. So lassen sich Sorgfalt und Sicherheit erfahrungsgemäß belegbar organisieren, statt im Ernstfall zu improvisieren. Für die rechtliche Bewertung im Einzelfall arbeiten wir mit Ihrer fachkundigen Rechtsberatung zusammen - dieser Beitrag ersetzt keine Rechtsberatung.