Schadensersatzansprüche bei Viren- und Hackerangriffen

Transkript

1 Eröffnungsveranstaltung der Karlsruher IT-Sicherheitsinitiative Schadensersatzansprüche bei Viren- und Hackerangriffen Marc Jüdt Rechtsanwalt

2 Inhaltsübersicht Einleitung Haftung des Angreifers Haftung des Herstellers kommerzieller Software Haftung des Herstellers von Open Source Software Haftung des IT-Dienstleisters Haftungsausschluß und Mitverschulden Zusammenfassung

3 Einleitung From Manila With Love Pressestimmen im Mai 2000 CNN: 'ILOVEYOU' computer bug bites hard, spreads fast Spiegel Online: Killer von Manila legt PCs lahm Heise Online: Liebesbrief -Lawine legt das Netz lahm. Bild: Internet-Terroristen haben alles lahmgelegt - mit einem Killer-Virus., Ein verheerender Angriff auf Deutschland Was war geschehen? -Anhang mit VBScript-Code (vielfach als Virus bezeichnete) verbreitet sich explosionsartig über den Microsoft- -Client Outlook Express weltweit.

4 Einleitung Denial-Of Of-Service Attacken, Trojaner Andere Arten von Angriff: DDOS-Attacken und Trojaner Webpräsenzen werden durch eine Unzahl von Anfragen aus den Weiten des Internet überlastet und so außer Funktion gesetzt Der Hacker bedient sich einer großen Zahl von ihm (zeitweise) kontrollierter Fremder Rechner ( Zombies ), die er kontrolliert durch den Einsatz von Trojanischen Pferden Hieraus ergibt sich die Fragestellung dieses Vortrags: Wer haftet für die entstandenen Schäden einer Vireninfektion bzw. eines Hackerangriffs?

5 Inhaltsübersicht Situation Haftung des Angreifers Haftung des Herstellers kommerzieller Software Haftung des Herstellers von Open Source Software Haftung des IT-Dienstleisters Haftungsausschluß und Mitverschulden Zusammenfassung

6 Haftung des Angreifers Haftung für vorsätzlich verursachte Schäden denkbar bei: Virenprogrammierung und Inverkehrbringen, Denial of Service Attacks oder anderen mutwilligen Angriffen Anspruchsgrundlagen: 823 I BGB allgemeine Schadensersatznorm zentrale Norm und Hauptgegenstand dieses Referats Voraussetzung Eigentumsverletzung: nicht nur Substanzzerstörung, sondern jeder Substanzeingriff, der nicht zu einer ganz geringfügigen Funktionsstörung führt Also auch auf Software anwendbar

7 Haftung des Angreifers Weitere Anspruchsgrundlagen: 826 BGB (vorsätzliche sittenwidrige Schädigung) 823 II BGB in Verbindung mit einem Schutzgesetz insbesondere Strafrechtsnormen: 823 II BGB i.v.m. 202 a StGB (Ausspähen von Daten) 823 II BGB i.v.m. 263 a StGB (Computerbetrug) 823 II BGB i.v.m. 268 StGB (Fälschung techn. Aufz.) 823 II BGB i.v.m. 269 StGB (Fälschung beweiserhebl. Daten) 823 II BGB i.v.m. 303 a StGB (Datenveränderung) 823 II BGB i.v.m. 303 b StGB (Computersabotage) Voraussetzung: Anwendbarkeit deutschen Strafrechts Etwa nach 7 StGB: Täter Ausländer, Tat richtet sich gegen Deutschen, Tat auch am Tatort mit Strafe bedroht, Täter im Inland betroffen

8 Haftung des Angreifers praktische Durchsetzbarkeit problematisch: Angreifer unbekannt wie bei den meisten Denial Of Service Attacks Angreifer unerreichbar Bsp.: ILOVEYOU-Programmierer Hacker auf Philippinen dort keine strafbare Handlung Oder:... falls Angreifer greifbar...

9 SPIEGEL ONLINE 19. Januar 2001 Jugendlicher Hacker bekennt sich schuldig Netzwelt Der Junge ist sechzehn und lehrte im Februar 2000 die Industrie das Fürchten. "Mafiaboy" legte mit gezielten Attacken Websites wie die von CNN lahm. Jetzt könnte ihm eine Haftstrafe drohen. Ein 16-jähriger Kanadier hat sich zu 56 Hackerangriffen auf die Computer von Unternehmen und Universitäten bekannt. Das Gericht in Montreal legt dem unter dem Szenenamen "Mafiaboy" bekannt gewordenen Jugendlichen insgesamt 66 Angriffe zur Last. "Mafiaboy", dessen wirklicher Name nach kanadischem Recht nicht veröffentlicht werden darf, stand hinter einigen der verheerenden Denial-of-Service-Attacken des letzten Jahres. Nach Schätzungen des FBI verursachte "Mafiaboy" einen Gesamtschaden von rund 1,7 Milliarden Dollar. Ein Urteil wird am 17. oder 18. April erwartet.

10 Inhaltsübersicht Situation Haftung des Angreifers Haftung des Herstellers kommerzieller Software Am Beispiel: Schaden durch ILOVEYOU-Virus beim Einsatz von Microsoft Outlook Express ( -Client) auf Rechnern mit Microsoft Windows (Betriebssystem) Haftung des Herstellers von Open Source Software Haftung des IT-Dienstleisters Haftungsausschluß und Mitverschulden Zusammenfassung

11 Haftung bei kommerzieller Software Vertragliche Rechte Gewährleistungsrechte Prämisse: vertragliche Beziehung also Hersteller identisch mit Lieferant typischerweise: Kaufvertrag Überlassung von Standardsoftware wird als Kauf typisiert Haftung nach 459 ff. BGB (Gewährleistungsrechte) nur für Mangelschäden, nicht aber Mangelfolgeschäden es sei denn: Ausbleiben des Mangelfolgeschadens zugesicherte Eigenschaft ( 463 BGB) Mangelschaden: aus der Mangelhaftigkeit der Sache selbst Mangelfolgeschaden: Schaden, der an einem anderen Rechtsgut als an der schädigenden Sache entsteht: Bsp.: Explodierende Gasflasche

12 Haftung bei kommerzieller Software Vertragliche Rechte Schadensersatz aus pvv pvv des (Kauf)vertrages positive Vertragsverletzung = schuldhafte Verletzung von vertraglichen Nebenpflichten Generell als Anspruchsgrundlage denkbar Problem: Beweisführung hinsichtlich Verschulden Anspruchsteller muss Hersteller en detail Verschulden nachweisen Kein Vorteil gegenüber Schadensersatz nach den Grundsätzen der Produzentenhaftung (siehe unten)

13 Haftung bei kommerzieller Software Produkthaftungsgesetz Vorteile Gefährdungshaftung, also kein Verschulden erforderlich Erfasst Mangelschaden und Mangelfolgeschaden Nachteile Gesetzliche Haftungshöchstgrenze nicht für gewerbliche Nutzung gedachte oder gewerblich eingesetzte Sachen (Verbraucherschutzgesetz)

14 Haftung bei kommerzieller Software Produzentenhaftung ( 823 I BGB) Gesetzliche Regelung unzureichend wegen Beweislast, deshalb: Erweiterung der Haftung durch Rechtsprechung Bsp: Hühnerpestfall Anspruchsvoraussetzungen : bestimmungsgemäßer Gebrauch eines Produktes Schadenseintritt bei Gebrauch er Geschädigte muss lediglich beweisen, dass ein Schaden beim bestimmungsgemäßen Gebrauch entstanden ist und dieser auf einem Fehler des Produktes beruht Beweislastumkehr: Produzent muss sich entlasten, z.b. durch Ausreißer = trotz aller zumutbarer Vorkehrungen unvermeidbarer Produktionsfehler

15 Haftung bei kommerzieller Software Produzentenhaftung Voraussetzungen: Kausale Handlung bzw. (meist) kausales Unterlassen des Herstellers, nämlich Fallgruppen Konstruktionsfehler Produktionsfehler Instruktionsfehler Observationsfehler Verschulden des Herstellers wird vermutet Konstruktionsfehler im Beispiel zu bejahen?

16 Haftung bei kommerzieller Software Konstruktionsfehler Konstruktionsfehler im Beispiel zu bejahen? Im Beispiel ILOVEYOU führt allein das Öffnen eines eingegangenen Dateianhangs - mit den Voreinstellungen der Software - zum Datenverlust. Ursachen, gemessen an Standards des BSI: BSI = Bundesamt für Sicherheit in der Informationstechnik System an sich nicht ausreichend sicher Sandkastenumgebung geboten System wird in Bezug auf einstellbare Sicherheitsfunktionen mit nicht sicheren Einstellungen ausgeliefert? Ein Teil der Sicherheitseinstellungen ist für den normalen Benutzer (ohne EDV-Spezialkenntnisse) verdeckt

17 Haftung bei kommerzieller Software Konstruktionsfehler Frage der Sicherheitserwartung: grundsätzlich muss Schädigung durch Produkt ausgeschlossen sein aber nur vernünftige Sicherheitserwartungen müssen befriedigt werden würde man an Softwareprodukte ähnlich hohe Anforderungen stellen, wie an Autos dürfte ILOVEYOU nicht passieren. Konstruktionsfehler m.e. zu bejahen! Problem: Der Hersteller Microsoft hat Firmensitz in USA = hohes Prozessrisiko

18 Haftung bei kommerzieller Software Produktionsfehler Haftet auch Microsoft Deutschland? Sofern länderspezifischer Anpassung durch Microsoft Deutschland erfolgt: Produzent (+) Haftung für Produktionsfehler

19 Haftung bei kommerzieller Software Instruktionsfehler Instruktionspflicht gilt auch für Importeur und Vertriebshändler. Der Instruktionspflicht kann nur nachkommen, wer das Produkt überprüft hat. Nutzer wird nicht auf Sicherheitsrisiken aufmerksam gemacht (Handbücher bzw. Online-Hilfe unzureichend) Gerade wenn Händler nur geringen Einfluss auf Produktqualität hat und wenn Produkte des Herstellers als nicht fehlerfrei bekannt sind, ist die Prüfpflicht des Händlers hoch anzusetzen. Das Prüfergebnis ist vor allem bei der Instruktion der Nutzer deutlich herauszustellen.

20 Haftung bei kommerzieller Software Observationsfehler Produktbeobachtungspflicht des Herstellers und Importeurs Hieraus resultiert die Pflicht, bekannt werdende Sicherheitslücken umgehend zu beseitigen Mai 2000: ILOVEYOU März 1999: MELISSA Melissa: Der im März 1999 grassierende Melissa-Wurm befiel die Programme Microsoft Word und Outlook, versandte sich selbst als Dateianhang an die ersten fünfzig -Adressen im Adressbuch. Das Virus befiel Millionen Computer und legte weltweit Mail-Server von großen Firmen lahm. Schaden: 80 Millionen Dollar. Microsoft hätte hier reagieren können

21 Haftung bei kommerzieller Software Produzentenhaftung bei DDOS-Attacken Bisher ist kein Kraut gegen Distributed-Denial-Of- Service-Attacks gewachsen Daher auch kein Fehler des Produkts, wenn Schaden eintritt

22 Inhaltsübersicht Situation Haftung des Angreifers Haftung des Herstellers kommerzieller Software Haftung des Herstellers von Open Source Software Beispiel für Open Source Software: Mozilla Mail-Client auf Linux-System Was ist Open-Source-Software? Haftung des IT-Dienstleisters Haftungsausschluß und Mitverschulden Zusammenfassung

23 Haftung bei Open-Source-Software Was ist Open-Source Source-Software? Software? Open-Source-Software soll gewährleisten: unabhängige Prüfung beständige Verbesserung und Auslese, basierend auf dem Evolutionsprinzip Verlässlichkeit und Funktionalität, die kein proprietäres Produkt erreichen kann Mittel: Verhinderung der Geheimhaltung von Quellcode Klassische Beispiele: Linux Betriebssystem Apache Webserver Neuere Beispiele: Mozilla Communicator (hervorgegangen aus Netscape) StarOffice (ursprünglich als proprietäre Software entwickelt)

24 Haftung bei Open-Source-Software Open-Source Source-Lizenzen Open-Source-Software wird unter einer bestimmten Lizenz verteilt, die beinhalten muss: Freie Redistribution (Weiterverteilung) erlaubt Programm muss Source Code (Quellcode) enthalten Lizenz muss Änderungen und ableitende Arbeiten erlauben Keine Diskriminierung von Personen, Gruppen oder Einsatzgebieten Lizenz darf nicht bezeichnend für ein Produkt sein Prototyp: GNU General Public License (GNU = rekursiv für GNU s Not Unix ) Im Bsp. leicht abgewandelte Lizenz: Mozilla Public License

25 Haftung bei Open-Source-Software Vertragliche Haftung Vertragstypus? Kauf = Ware gegen Geld also keine kaufrechtlichen Gewährleistungsrechte wie bei kommerzieller Software Gesellschaftsrechtliches Leitbild passt nur für Entwicklergemeinde, nicht für Rechtsbeziehung Entwickler / einfacher Nutzer Schenkung / Altruistisches Leitbild Haftung für Sachmängel nur bei Arglist, 523 BGB pvv: Schadensersatz nur bei Vorsatz und grober Fahrlässigkeit Vertrag sui generis

26 Haftung bei Open-Source-Software Vertragliche Haftung Eingeschränkte Haftung wg. Ähnlichkeit zur Schenkung Weiteres Problem: Wer ist der Hersteller? Hersteller = Entwicklerkollektiv Fazit: keine vertraglichen Ansprüche gegen den Hersteller durchsetzbar, unabhängig von der Frage des Haftungsausschlusses

27 Haftung bei Open-Source-Software Produkthaftung Im Grunde identisch wie bei kommerzieller Software: Produkthaftungsgesetz anwendbar (als Verbraucherschutznorm) Produzentenhaftung nach 823 I Konstruktionsfehler Produktionsfehler Instruktionsfehler Observationsfehler (treten selten auf: bei Open Source Produkten werden Fehler regelmäßig deutlich schneller beseitigt, als bei kommerzieller Software) Problem wiederum: Wer ist der Hersteller?

28 Haftung bei Open-Source-Software Haftung des Lieferanten Download: Hersteller + Lieferant identisch Lieferung auf CD mit Handbuch (Bsp. Linux-Distribution) Unterscheidung zwischen den einzelnen Leistungskomponenten erforderlich Keine Haftung für Fehler am Produkt selbst Haftung für Handbuchfehler (= Instruktionsfehler) fehlerhafte Zusammenstellung: Produktionsfehler Falschberatung durch Hotline: Instruktionsfehler oder dienstvertragliche Rechte

29 Haftung des IT-Dienstleisters Einschaltung des IT-Dienstleisters ist empfehlenswert, um oben genannte Fehler auszubügeln und Schäden zu vermeiden. Wenn es trotzdem zum Schaden kommt: Unterscheidung nach Vertragstyp: Dienstvertrag Werkvertrag

30 Haftung des IT-Dienstleisters Dienstvertrag = ( Body-Leasing ) der Auftragnehmer (AN) schuldet (nur) ein Tätigwerden, ein Sich-Bemühen AN schuldet Können und Know-how mittlerer Art und Güte Kein gesetzliches Gewährleistungsrecht, daher Haftung des AN nach pvv bei Verschulden (vom Kunden nachzuweisen)

31 Haftung des IT-Dienstleisters Dienstvertrag Verschulden liegt nicht vor, wenn der AN sich im Rahmen seiner Möglichkeiten bemüht hat. Haftung nach 823 I BGB (allgemeine Schadensersatznorm, aber ohne Beweislasterleichterung) Fazit: Schadensersatzansprüche schwer durchsetzbar

32 Haftung des IT-Dienstleisters Werkvertrag = der Auftragnehmer (AN) schuldet einen Erfolg Haftung nach 823 I BGB verschuldensabhängig Haftung nach 635 BGB: Schadensersatz wegen Nichterfüllung verschuldensabhängig Keine Beweislastumkehr wie bei Produzentenhaftung aber Verschuldensnachweis kann einfacher als beim Produzenten geführt werden

33 Inhaltsübersicht Situation Haftung des Angreifers Haftung des Herstellers kommerzieller Software Haftung des Herstellers von Open Source Software Haftung des IT-Dienstleisters Haftungsausschluß und Mitverschulden Haftungsausschluss bei kommerzieller Software Haftungsausschluss bei Open Source Software Mitverschulden Zusammenfassung

34 Haftungsausschluss Hersteller kommerzieller Software Haftungsausschluss durch AGB Im gewerblichen Bereich Inhaltskontrolle durch 9 AGBG: Haftungsausschluss zulässig? Kein Haftungsausschluss für Verletzung von Kardinalpflichten: Kein Haftungsausschluss für grob fahrlässig verursachte Mängel bzw. Konstruktionsfehler

35 Haftungsausschluss IT-Dienstleister Haftungsausschluss durch AGB möglich gleiche Grundsätze hinsichtlich der Wirksamkeit der AGB wie bei Produzent: Haftungsausschluss für Verletzung von Kardinalpflichten unzulässig Absicherung durch klare vertragliche Regelungen möglich AGB vor Vertragsschluss prüfen (lassen)!

36 Haftungsausschluss Open Source Lizenz Weitgehender Haftungsausschluss durch 11, 12 GPL: Keine Gewährleistung 11 GPL. Da das Programm ohne jegliche Kosten lizenziert wird, besteht keinerlei Gewährleistung für das Programm, soweit dies gesetzlich zulässig ist. (...) stellen die Copyright-Inhaber und/oder Dritte das Programm so zur Verfügung, wie es ist, ohne irgendeine Gewährleistung, weder ausdrücklich noch implizit, (...). Das volle Risiko bezüglich Qualität und Leistungsfähigkeit des Programms liegt bei Ihnen. (...) 12 GPL. In keinem Fall, außer wenn durch geltendes Recht gefordert oder schriftlich zugesichert, ist irgendein Copyright-Inhaber oder irgendein Dritter, der das Programm wie oben erlaubt modifiziert oder verbreitet hat, Ihnen gegenüber für irgendwelche Schäden haftbar (...).

37 Haftungsausschluss Open Source Software Haftungsausschluss unwirksam wenn Vertragspartner unangemessen benachteiligt Insbesondere bei wesentlichem Abweichen von Grundgedanken der gesetzlichen Regelung M. E. wirksam soweit kein Vorsatz und keine grobe Fahrlässigkeit vorliegt, wegen Ähnlichkeit zu Schenkung

38 Haftungsausschluss Open Source Software Durch IT-Dienstleister Unterschied zu kommerzieller Software: 12 GPL: keine Haftung für den, der Programm zugänglich gemacht hat der Haftungsausschluss bezieht sich aber nur auf die Überlassung der Software selbst wird ein IT-Dienstleister beauftragt, hat er auch die üblichen Sorgfaltspflichten walten zu lassen

39 Mitverschulden Grundsätzlich zu berücksichtigen Mitverschulden bei: Missachtung von Warnhinweisen durch Nutzer Fehlenden Sicherheitsvorkehrungen (z.b. Virenscanner, Backup) Unzureichende Mitarbeiterschulung? Wieviel Know-how kann vom Durchschnittsbenutzer erwartet werden?

40 Mitverschulden Beispiel Microsoft Outlook Express: Mitverschulden des Nutzers? Grundsatz: Ein Produkt muss auch Sicherheit gegen zu erwartenden Fehlgebrauch bieten. Warnhinweise sind dann unbeachtlich, wenn sie bei jeder Nutzung gleichförmig auftreten!

41 Zusammenfassung Schädiger haftet, aber Schadensersatz kaum realisierbar Hersteller fehlerhafter kommerzieller Software haften unter Umständen für Schäden durch Viren bei gezielten Angriffen schwierig Bei Open-Source-Software Haftung nur für grobe Fahrlässigkeit und Vorsatz IT-Dienstleister haftet für seine Fehler bei vernünftiger Vertragsgestaltung und präziser Auftragsbeschreibung