Update Open-Source-Recht Offenlegung von GPLv2-Code, Haftung für fremde Software & Heartbleed/OpenSSL

Transkript

1 Update Open-Source-Recht Offenlegung von GPLv2-Code, Haftung für fremde Software & Heartbleed/OpenSSL RA Bernd Suchomski, LL.M , IT-SA Nürnberg SSW Schneider Schiffer Weihermüller 1

2 AGENDA I. Open Source Software - Basics II. Offenlegung von GPLv2-Code (Welte./. Fantec) III. Haftung für fremde Software (JDownloader2) IV. Heartbleed/OpenSSL (Gewährleistung, Contribution) SSW Schneider Schiffer Weihermüller 2

3 Open Source Software - Basics Lizenz- und Entwicklungsumgebung, die es dem Nutzer erlaubt, das Programm (samt Quellcode) unbeschränkt - zu vervielfältigen - zu bearbeiten und - zu vertreiben Lizenzgebühren werden dafür vom Lizenzgeber nicht erhoben. Vorteile: kürzer Time-to-Market; weniger Aufwand für Pflege und F&E; Sekundärmarkte können leichter erschlossen werden (z.b. Schulungen, ecommerce, zusätzliche Garantien, etc.). Man unterscheidet OSS-Lizenzen mit und ohne Copyleft -Effekt = Pflicht des Lizenznehmers (!) seine Entwicklungen ebenfalls unter derselben OSS-Lizenz zu verbreiten; = dabei ist grds. der eigene Quellcode mit zu lizenzieren/ offen zu legen. SSW Schneider Schiffer Weihermüller 3

4 Offenlegung von GPLv2-Code SSW Schneider Schiffer Weihermüller 4

5 Grundlagen GPL GPLv2 = General Public License Version 2 OSS-Lizenz mit Copyleft Konzipiert % Marktanteil der OSS-Projektlizenzen ( Stand ) Wichtige Projekte, z.b. Linux (Betriebssystem) Busybox (Embedded-Komponenten) Netfilter/iptables/nftables (Firewall-Komponenten) SSW Schneider Schiffer Weihermüller 5

6 Grundlagen GPL (2) Pflicht zur Offenlegung = Copyleft = Ziffern 3 und 2b GPLv2 3. You may copy and distribute the Program (or a work based on it, under Section 2) in object code or executable form under the terms of Sections 1 and 2 ( ) a) Accompany it with the complete corresponding machine-readable source code, ( ); or, b) Accompany it with a written offer, ( ) to give any third party, ( ) a complete machine-readable copy of the corresponding source code ( ) 2. b) You must cause any work that you distribute or publish, that in whole or in part contains or is derived from the Program or any part thereof, to be licensed as a whole at no charge to all third parties under the terms of this License. ( ) SSW Schneider Schiffer Weihermüller 6

7 Grundlagen GPL (2) Pflicht zur Offenlegung = Copyleft = Ziffern 3 und 2b GPLv2 3. You may copy and distribute the Program (or a work based on it, under Section 2) in object code or executable form under the terms of Sections 1 and 2 ( ) a) Accompany it with the complete corresponding machine-readable source code, ( ); or, b) Accompany it with a written offer, ( ) to give any third party, ( ) a complete machine-readable copy of the corresponding Unbeschränktes source Recht code zur ( ) Vervielfältigung, Bearbeitung und 2. b) You must cause any work that you distribute Verbreitung or publish, (copy, that modify, in whole or in part contains or is derived from the Program distribute) or any part thereof, to be licensed as a whole at no charge to all third parties under the terms of this License. ( ) SSW Schneider Schiffer Weihermüller 7

8 LG Hamburg vom (Welte./. Fantec) Sachverhalt Ein Mediaplayer-Hersteller vertreibt seine Geräte mit einer Firmware, die GPLv2-Komponenten enthält. Er hatte sich in einem früheren außergerichtlichen Verfahren verpflichtet, nur Komponenten anzubieten, die der GPLv2 entsprechen. Auf seiner Homepage bietet der Hersteller nur den Quellcode der Komponenten an, der einige Wochen älter war als die aktuellen Version des gehandelten Mediaplayers. Dabei wies der Hersteller weder auf die GPLv2- Lizenzierung noch auf den Lizenztext hin. (Die Abweichung war auf einen Hacking for Compliance Workshop der Free Software Foundation Europe (FSFE) festgestellt worden.) Der Hersteller verteidigte sich u.a. mit dem Argument, dass ein Zulieferer die Firmware entwickelt und ihm die Vollständigkeit des Quellcodes zugesichert hätte. SSW Schneider Schiffer Weihermüller 8

9 LG Hamburg vom (Welte./. Fantec) Entscheidung Da die Beklagte nicht den vollständigen Quellcode zum korrespondierenden Objektcode ausgeliefert hat, liegt ein Verstoß gegen die Bedingungen der GPLv2 vor, sodass eine unberechtigte Nutzung vorliegt. Nach den Bestimmungen der GPLv2 Lizenz ist jedem auf Grund der eingeräumten Lizenz die Nutzung und Bearbeitung der Software gestattet und jedem Nutzer auferlegt, Dritten dieselben Rechte an seiner Bearbeitung einzuräumen. Schlussfolgerungen Angebotene Quellcode(s) muss stets der verbreiteten Software entsprechen. Die Zusicherungen Dritter genügen nicht als Entschuldigung. Es sind vielmehr selbst oder durch Dritte die Überprüfungen der Software durchzuführen. Die OSS-Community prüft OSS-Compliance! SSW Schneider Schiffer Weihermüller 9

10 LG Hamburg vom (Welte./. Fantec) Bestrebungen der Community zur OSS-Compliance: SSW Schneider Schiffer Weihermüller 10

11 Haftung für fremde Software SSW Schneider Schiffer Weihermüller 11

12 LG Hamburg vom (JDownloader2) Sachverhalt Die beklagte Firma bietet fremde Open Source Software (Downloadprogramm für Online-Videos) auf der eigenen Homepage an. Die Firma nannte ihren Namen im Installationsfenster und fügte einen eignen Copyright-Vermerk in das Programm ein. Mit der Software konnten technische Vorkehrungen zum Schutz von Urheberrechten umgangen werden ( 95 UrhG). Im Rahmen des Prozesses wurde auch der Geschäftsführer der Firma in Anspruch genommen. Er verteidigte sich mit dem Argument, dass er die Störung nicht veranlasst oder davon Kenntnis gehabt habe. Er sei lediglich Vermittler der Software und damit nach den 8 ff. TMG von der Haftung ausgenommen. SSW Schneider Schiffer Weihermüller 12

13 LG Hamburg vom (JDownloader2) Entscheidung Die Haftungsprivilegien der 8 ff TMG greifen nicht, da der Distributor sich die Software zu Eigen gemacht hat (durch den eigenen Copyright- Vermerk und der Nennung des eigenen Namens im Installationsfenster) Der Beklagte unterließ es wenigstens fahrlässig zu kontrollieren, ob das Programm mit einer Funktionalität Rechtsverletzungen ermöglicht. Solche Kontrollen wären jedenfalls nach Anbringen der Copyright-Vermerke geboten gewesen. Schlussfolgerung Kontrolle angebotener Komponenten auf Rechtskonformität nötig, wenn eigene Urhebervermerke etc. angebracht werden (betrifft evtl. auch eigenen Contribution-Webseiten). SSW Schneider Schiffer Weihermüller 13

14 Heartbleed/OpenSSL SSW Schneider Schiffer Weihermüller 14

15 vom gital/heartbleedsicherheitsluecke-bei-diesendiensten-sollten-sie-ihrpasswort-aendern SSW Schneider Schiffer Weihermüller

16 Klauseln zu Haftung und Gewährleistung OpenSSL License SSW Schneider Schiffer Weihermüller 16

17 Klauseln zu Haftung und Gewährleistung a. Grundsatz AS IS (z.b. OpenSSL, aber auch viele andere wie GPLv2 ) Vollständiger Haftungs- und Gewährleistungsausschluss nach deutschem Recht unwirksam: Nr. 7 BGB (Haftung für Vorsatz und grobes Verschulden) Nr. 8 b) aa) BGB (Ausschluss und Verweisung auf Dritte) b. unless required by applicable law (z.b. LGPLv2.1) Reduktion der Haftung und Gewährleistung auf nationale Mindeststandards nach deutschem Recht unwirksam Abs. 1 BGB (Verbot der geltungserhaltenden Reduktion) SSW Schneider Schiffer Weihermüller 17

18 Klauseln zu Haftung und Gewährleistung (2) Konsequenz der Unwirksamkeit nach deutschem Recht für den Vertrieb? Die wohl h.l. geht davon aus, dass eine (lizenzgebührenfreie) OSS-Lizenz dem Schenkungsrecht der 516 ff BGB unterfällt. Nach 523 f. BGB haftet der Schenker danach nur für Vorsatz und Arglist. Aber: die Distribution und damit das Haftungs- und Gewährleistungsrecht richtet sich schon nach dem Kaufrecht, wenn die Distribution entgeltlich vertrieben wird (verkürzt gesagt, wenn ein Entgelt nur andere Produktbestandteile wie z.b. Datenträger, Hardware, eigene Programmbeiträge verlangt wird) und dieses Entgelt für die anderen Bestandteile zu hoch ist oder innerhalb der Distribution nicht zwischen den entgeltlichen und den lizenzgebührenfreien Bestandteilen unterschieden wird. Folge: Gewährleistung nach Kaufrecht findet Anwendung (Nachbesserung, Rücktritt, Minderung, Schadensersatz schon für Fahrlässigkeit) SSW Schneider Schiffer Weihermüller 18

19 Haftung und Gewährleistung (str.) Urheber (Lizenzgeber) Lizenz(recht) + Software Distributor (Lizenznehmer und Verkäufer) Software Lizenz(recht) Nutzer (Lizenznehmer und z.b. Shopbetreiber) Services, Produkte Kunde SSW Schneider Schiffer Weihermüller 19

20 Haftung und Gewährleistung (str.) Urheber (Lizenzgeber) Rechtsmängel: bei Kenntnis / grob fahrlässige Unkenntnis Sachmangel: bei arglistigem Verschweigen Haftung nur für Vorsatz & grobe Fahrlässigkeit Distributor (Lizenznehmer und Verkäufer) Z.B. ohne Differenzierung zw. OSS und proprietären Bestandteilen: 437 ff. BGB (grds. volle Kauf-Gewährleistung) Rechtsmängel: bei Kenntnis / grob fahrlässige Unkenntnis i.ü. Haftung nur für Vorsatz & grobe Fahrlässigkeit Nutzer (Lizenznehmer und z.b. Shopbetreiber) Bei Dienstleistungen: - Schadensersatz 611, 280 BGB (Bei Produkten: - Gewährleistung 437 ff. BGB - ProdHaftG: Schadensersatz) Kunde SSW Schneider Schiffer Weihermüller 20

21 Gemeinsame Problemlösung - Contribution /Wie-Google-und- sechs-finnen-gleichzeitig- Heartbleed-entdeckten - Contribution (oder auch Commitment genannt) bezeichnet die Form der Zusammenarbeit bei der Softwareentwicklung, -pflege oder beim Troubleshooting durch die OSS-Community. Die Beiträge der Helfer können von organisatorischen oder gestalterischen Tätigkeiten bis hin zu Programmierleistungen reichen. - Organisierte Communities werden durch einen Project Owner geleitet. Oftmals besitzt er die Namens-/Markenrechte an einem Projekt und/oder den Hauptbestandteil des Codes (z.b. Oracle mit Java oder SQL). SSW Schneider Schiffer Weihermüller 21

22 Gemeinsame Problemlösung Contribution (2) Beispiel OpenSSL The OpenSSL project is volunteer-driven. We do not have any specific requirement for volunteers other than a strong willingness to really contribute while following the projects goal. The OpenSSL Project is a collaborative effort to develop a robust, commercial-grade, full-featured, and Open Source toolkit ( ) Beispiel Apache Submission of Contributions. Unless You explicitly state otherwise, any Contribution intentionally submitted for inclusion in the Work by You to the Licensor shall be under the terms and conditions of this License, without any additional terms or conditions. Notwithstanding the above, nothing herein shall supersede or modify the terms of any separate license agreement you may have executed with Licensor regarding such Contributions. SSW Schneider Schiffer Weihermüller 22

23 Gemeinsame Problemlösung Contribution (3) Beispiel mysql Contributoren-Lizenz (Oracle Contribution Agreement) für diejenigen OSS-Entwickler, die durch Ihre Beiträge die proprietäre und die freie SQL-Distribution weiterentwickeln pdf Beispiel Java Community Process (JCP) Sehr formalisiert, Geheimhaltungsvereinbarung, umstrittene Zertifizierung (TCK) z.b. SSW Schneider Schiffer Weihermüller 23

24 Open Source Ecosystem: OSS + Dual Licensing + Contribution Eigener Code Mitarbeiter-Rekrutierung IP-Lizenzierung Contributor- Lizenz(en) Projekt OSS-Lizenz(en) Schnellere Verbreitung/Akzeptanz am Vorteile Markt Seltener Lock-In Community-Feedback für Verbesserungen und Fehlerkorrektur möglich weniger Supportkosten Proprietäre Entwickler werden mit Copyleft-Lizenzen ausgebremst Proprietäre Lizenzen Alternative für proprietäre Entwickler am Markt Individuelle Lizenzmodelle denkbar, die die Vorteile von OSS zugunsten des Kunden berücksichtigen SSW Schneider Schiffer Weihermüller 24

25 Vielen Dank für Ihre Aufmerksamkeit. SSW Schneider Schiffer Weihermüller Rechtsanwälte Steuerberater Wirtschaftsprüfer Beethovenstraße München Tel. 089/ Fax 089/ Homepage: SSW Schneider Schiffer Weihermüller 25