Für Schäden nach einem versäumten Browser-Update haftet nicht automatisch die Person, die den Update-Hinweis weggeklickt hat. Maßgeblich sind die Rechtsform, vertragliche Pflichten, die interne Aufgabenverteilung und die Frage, ob ein angemessener Sicherheitsprozess eingerichtet und tatsächlich kontrolliert wurde. Unternehmen sollten als ersten Schritt Verantwortlichkeit, betroffene Browser-Versionen, verfügbige Sicherheitsupdates und ausgeführte Kontrollen nachvollziehbar dokumentieren.
Eine bekannte Schwachstelle, für die ein Hersteller bereits ein Sicherheitsupdate bereitstellt, ist rechtlich anders zu bewerten als eine bislang unbekannte Angriffsmethode. Auch ein versäumtes Update führt nicht für sich allein zu einer bestimmten Haftungsfolge. Erforderlich sind regelmäßig eine Pflichtverletzung, ein zurechenbarer Schaden und ein Zusammenhang zwischen beiden.
Die Haftung folgt der Verantwortungskette
Im Außenverhältnis steht zunächst meist das Unternehmen im Mittelpunkt. Wurden über einen ungepatchten Unternehmensbrowser Kundendaten offengelegt, ein Auftraggeber geschädigt oder Systeme eines Geschäftspartners beeinträchtigt, richten sich Ansprüche typischerweise gegen den jeweiligen Vertragspartner oder datenschutzrechtlich Verantwortlichen. Ob das Unternehmen anschließend intern Rückgriff nehmen kann, ist eine eigene Frage.
Für die Einordnung sind vier Ebenen zu trennen:
- Unternehmen: Es kann gegenüber Kunden, Beschäftigten oder Geschäftspartnern aus Vertrag, Datenschutzrecht oder allgemeinem Schadensrecht verantwortlich sein.
- Geschäftsleitung: Sie muss eine der Größe und Gefährdung des Betriebs angemessene Organisation schaffen, Zuständigkeiten festlegen und deren Funktion kontrollieren.
- IT-Verantwortliche und externe Dienstleister: Ihre Verantwortung richtet sich nach dem erteilten Auftrag, den vereinbarten Leistungen, ihren Befugnissen und erkennbaren Sicherheitsrisiken.
- Beschäftigte: Eine persönliche Haftung hängt unter anderem vom Verschuldensgrad und den Grundsätzen des innerbetrieblichen Schadensausgleichs ab. Ein einzelnes Fehlverhalten entlastet die Leitung nicht, wenn Updates technisch unnötig den Nutzern überlassen oder Zuständigkeiten nie geregelt wurden.
Die zentrale Frage lautet somit nicht nur, wer zuletzt am Gerät gearbeitet hat. Geprüft werden muss, wer Updates freigeben, verteilen, überwachen und bei Fehlern eskalieren sollte und ob diese Person dafür ausreichende Rechte, Informationen und Ressourcen hatte.
Wann aus dem Update-Versäumnis eine Pflichtverletzung werden kann
Ein Unternehmen muss nicht jedes technische Risiko vollständig ausschließen. Es muss jedoch Sicherheitsmaßnahmen wählen, die zur Verarbeitung, zum Risiko und zum Stand der Technik passen. Bei personenbezogenen Daten ist insbesondere Artikel 32 der Datenschutz-Grundverordnung relevant. Die Rechenschaftspflicht aus Artikel 5 Absatz 2 DSGVO erhöht außerdem die Bedeutung belastbarer Nachweise.
Für Unternehmensbrowser sprechen mehrere Umstände für einen erhöhten Handlungsbedarf: Der Hersteller stuft eine Schwachstelle als sicherheitsrelevant ein, eine verwundbare Version ist im Betrieb vorhanden und der Browser verarbeitet geschäftliche Anmeldedaten, personenbezogene Informationen oder Zugänge zu Cloud-Diensten. Je größer die mögliche Auswirkung, desto enger sollten Bewertung, Test und Verteilung organisatorisch geführt werden.
Eine Pflichtverletzung liegt trotzdem nicht allein deshalb fest, weil zwischen Veröffentlichung und Installation Zeit vergangen ist. Zu prüfen sind unter anderem:
- War die Sicherheitsmeldung für den Betrieb erkennbar und betraf sie die eingesetzte Version?
- Gab es bereits ein geeignetes Update oder eine vom Hersteller empfohlene Übergangsmaßnahme?
- Wie hoch waren Angriffswahrscheinlichkeit und mögliche Schadenswirkung im betrieblichen Einsatz?
- Musste das Update vor der Verteilung wegen kritischer Fachanwendungen getestet werden?
- War eine Verzögerung genehmigt, zeitlich begrenzt und durch andere Maßnahmen abgesichert?
- Wurde nach der Freigabe geprüft, ob das Update alle verwalteten Geräte erreicht hat?
Eine dokumentierte, risikobasierte Testphase kann sachlich gerechtfertigt sein. Eine unbefristete Verschiebung ohne Verantwortlichen, Ersatzmaßnahme und erneuten Prüftermin ist deutlich schwerer zu begründen.
Geschäftsleitung: Delegieren entlastet nur bei wirksamer Kontrolle
Die Geschäftsführung darf das operative Patchmanagement an interne IT-Fachkräfte oder einen Dienstleister übertragen. Die Leitungsverantwortung verschwindet dadurch nicht vollständig. Auswahl, klare Beauftragung und eine angemessene Kontrolle bleiben Leitungsaufgaben.
Bei einer GmbH kann eine Verletzung der Sorgfaltspflichten Ansprüche der Gesellschaft gegen Geschäftsführer nach § 43 GmbHG auslösen. Für Vorstandsmitglieder einer Aktiengesellschaft enthält § 93 AktG entsprechende Sorgfalts- und Verantwortungsregeln. Ob tatsächlich gehaftet wird, hängt vom Einzelfall ab; nicht jede technische Störung ist zugleich ein persönliches Leitungsverschulden.
In einem kleinen Betrieb muss die Geschäftsleitung nicht selbst jedes Browser-Update installieren. Sie sollte aber Antworten auf folgende Steuerungsfragen erhalten:
- Welche Browser und Versionszweige sind für die Arbeit zugelassen?
- Wer bewertet Herstellerwarnungen und entscheidet über die Verteilung?
- Wie wird ein fehlgeschlagenes Update sichtbar?
- Wer darf begründete Ausnahmen genehmigen und wann laufen diese ab?
- Welcher Bericht zeigt offene kritische Abweichungen?
Fehlen solche Regelungen vollständig, kann der Schwerpunkt weniger auf dem Fehler einer einzelnen Person als auf einem Organisationsmangel liegen. Das gilt besonders, wenn Beschäftigte Updates mangels Administratorrechten gar nicht selbst ausführen konnten.
Beschäftigte haften nicht automatisch persönlich
Bei Schäden während betrieblicher Arbeit gelten die arbeitsrechtlichen Grundsätze des innerbetrieblichen Schadensausgleichs. Vereinfacht hängt die interne Verteilung davon ab, wie schwer das Verschulden wiegt. Leichte Fahrlässigkeit führt typischerweise nicht zu einer vollen persönlichen Haftung; bei mittlerer Fahrlässigkeit kommt eine Aufteilung in Betracht, während Vorsatz oder grobe Fahrlässigkeit die Belastung des Beschäftigten erhöhen können. Die Bewertung berücksichtigt jedoch stets die Umstände des Einzelfalls.
Ein weggeklickter Hinweis beweist noch keine grobe Pflichtverletzung. Zu klären ist, ob die Person die Bedeutung erkennen konnte, ob eine verbindliche Anweisung bestand und ob sie technisch überhaupt zuständig war. Erscheinen Update-Meldungen ständig, ohne dass Beschäftigte sie installieren dürfen, spricht dies eher für einen fehlerhaften Betriebsprozess.
Anders kann der Fall liegen, wenn eine ausdrücklich verantwortliche IT-Fachkraft eine eindeutige Warnung ohne sachlichen Grund ignoriert, den Vorgang verschweigt und dadurch vereinbarte Kontrollen umgeht. Auch dann sind Aufgabenbeschreibung, Entscheidungsspielraum, Arbeitsbelastung und Kontrollstruktur einzubeziehen. Pauschale Klauseln, nach denen Beschäftigte sämtliche IT-Schäden tragen sollen, ersetzen diese Prüfung nicht.
Externe IT-Dienstleister: Vertrag und tatsächlicher Auftrag entscheiden
Ein Wartungsvertrag macht den Dienstleister nicht automatisch für jedes ungepatchte Endgerät verantwortlich. Entscheidend ist, ob Browser-Patching, Überwachung, Reaktionsbereitschaft und Erfolgskontrolle zum vereinbarten Leistungsumfang gehören.
Bei der Vertragsprüfung sollten Unternehmen nicht nur nach dem Wort Update-Service suchen. Relevanter sind die betroffenen Geräte und Programme, Zuständigkeiten für Freigaben, vereinbarte Meldewege, Umgang mit nicht erreichbaren Geräten, Berichtspflichten und geregelte Ausnahmen. Ein Anbieter, der nur Server wartet, ist nicht ohne Weiteres für Browser auf Arbeitsplatzrechnern zuständig.
Auch Mitwirkungspflichten des Kunden können den Fall verändern. Der Dienstleister kann eine Verteilung nicht zuverlässig abschließen, wenn das Unternehmen Geräte nicht inventarisiert, erforderliche Zugänge verweigert oder Warnungen zu dauerhaft offline befindlichen Rechnern ignoriert. Umgekehrt genügt eine allgemeine Meldung möglicherweise nicht, wenn der Vertrag eine aktive Behebung oder Eskalation vorsieht.
Datenschutzvorfall: Haftung und Meldepflicht getrennt prüfen
Wurde die Browser-Schwachstelle ausgenutzt und sind personenbezogene Daten betroffen, beginnt neben der Haftungsfrage eine datenschutzrechtliche Vorfallprüfung. Das Unternehmen muss feststellen, welche Daten, Personen, Systeme und Zeiträume betroffen sein könnten. Die zuständige Datenschutzaufsichtsbehörde ist der offizielle Prüfpunkt für die aufsichtsrechtliche Behandlung; die DSGVO bildet innerhalb ihres Geltungsbereichs die rechtliche Grundlage.
Artikel 33 DSGVO sieht für meldepflichtige Verletzungen des Schutzes personenbezogener Daten grundsätzlich eine Meldung an die zuständige Aufsichtsbehörde binnen 72 Stunden nach Bekanntwerden vor. Die Ausnahme betrifft Fälle, in denen voraussichtlich kein Risiko für die Rechte und Freiheiten natürlicher Personen besteht. Artikel 34 DSGVO regelt zusätzlich die Benachrichtigung betroffener Personen bei voraussichtlich hohem Risiko und enthält eigene Ausnahmen. Die Bewertung sollte nicht bis zum Abschluss einer vollständigen technischen Untersuchung aufgeschoben werden.
Schadensersatzansprüche betroffener Personen können sich aus Artikel 82 DSGVO ergeben. Ein Sicherheitsverstoß führt jedoch nicht schematisch zu einem feststehenden Schadensersatzbetrag. Verstoß, Schaden und Kausalzusammenhang müssen rechtlich geprüft werden. Daneben können aufsichtsrechtliche Maßnahmen und vertragliche Ansprüche relevant sein.
Priorisierte Prüfreihenfolge nach einem versäumten Update
Die folgenden Schritte verbinden technische Eindämmung mit einer belastbaren betrieblichen Dokumentation:
- Betroffenheit eingrenzen: Erfassen Sie Browser, Version, Betriebssystem, Geräte, Nutzerkonten und Zeitpunkt der festgestellten Abweichung. Prüfen Sie die Sicherheitsrubrik des Browserherstellers und die dort genannten betroffenen Versionen.
- Risiko begrenzen: Verteilen Sie ein freigegebenes Sicherheitsupdate. Ist das nicht sofort möglich, entscheiden IT-Verantwortliche über geeignete Übergangsmaßnahmen, etwa die vorübergehende Sperrung des betroffenen Browsers oder besonders riskanter Zugriffe.
- Ausnutzung untersuchen: Prüfen Sie vorhandene Sicherheitsmeldungen, Anmeldeereignisse, Endpunkterkennung und weitere verfügbare Protokolle. Das bloße Vorhandensein einer verwundbaren Version beweist noch keinen Angriff.
- Datenbezug bewerten: Wenn personenbezogene Daten betroffen sein können, binden Sie die im Unternehmen zuständige Datenschutzfunktion unverzüglich ein und prüfen Sie Artikel 33 und 34 DSGVO.
- Verantwortung rekonstruieren: Sichern Sie Richtlinien, Tickets, Freigaben, Wartungsverträge, Inventardaten und Verteilungsberichte. Verändern Sie keine Protokolle, die für die Aufklärung benötigt werden.
- Ansprüche und Meldungen koordinieren: Prüfen Sie Verträge, Versicherungsbedingungen und mögliche Informationspflichten. Bei erheblichen Schäden oder unklarer Verantwortung sollten Rechtsberatung und gegebenenfalls forensische Fachleute eingebunden werden.
- Wiederholung verhindern: Beseitigen Sie die Prozesslücke, beispielsweise durch zentrale Verteilung, verbindliche Eskalationswege und Berichte über Geräte außerhalb des vorgesehenen Versionsstands.
Für technische Warnungen sind die Sicherheitsmitteilungen des jeweiligen Browserherstellers und die Sicherheitshinweise des Bundesamts für Sicherheit in der Informationstechnik geeignete Prüforte. Maßgeblich bleibt, ob die dort beschriebene Schwachstelle tatsächlich die im Unternehmen eingesetzte Version und Konfiguration betrifft.
Welche Nachweise im Streitfall tragen
Eine Richtlinie allein beweist noch keinen funktionierenden Prozess. Aussagekräftiger ist eine geschlossene Kette aus Entscheidung, Umsetzung und Kontrolle. Sie sollte ohne unnötige personenbezogene Detaildaten erkennen lassen, was wann durch wen veranlasst wurde.
- Inventar der zugelassenen Browser, Versionszweige und verwalteten Endgeräte
- Zuordnung von Bewertung, Freigabe, Verteilung und Eskalation zu Rollen
- Herstellerhinweis oder interne Risikobewertung mit Eingangsdatum
- Freigabe- und Testprotokoll einschließlich begründeter Ausnahmen
- Verteilungsbericht mit erfolgreichen, fehlgeschlagenen und nicht erreichbaren Geräten
- Ticketverlauf für Abweichungen und dokumentierter Abschluss
- Verträge und Leistungsbeschreibungen externer IT-Dienstleister
- Vorfallprotokoll mit Eindämmung, Untersuchung und Datenschutzbewertung
Die Unterlagen sollten zur Betriebsgröße passen. Ein kleiner Handwerksbetrieb benötigt kein Berichtswesen eines Konzerns, wohl aber eine erkennbare Zuständigkeit und einen Nachweis, dass verwaltete Geräte den freigegebenen Sicherheitsstand erreichen.
Ein belastbarer Update-Prozess für kleine Unternehmen
Haftungsrisiken sinken nicht durch eine Klausel, sondern durch einen verlässlichen Ablauf. Browser sollten möglichst zentral verwaltet werden. Beschäftigte brauchen eine klare Meldemöglichkeit, dürfen aber nicht die einzige Kontrollinstanz sein.
Ein praxistauglicher Prozess umfasst eine vollständige Geräteliste, zugelassene Browser, eine zuständige Rolle für Sicherheitsmeldungen, einen risikobasierten Freigabeweg und eine technische Erfolgskontrolle. Ausnahmen benötigen einen Verantwortlichen, einen Grund, eine Ersatzmaßnahme und einen Wiedervorlagetermin. Geräte, die den vorgesehenen Stand nicht erreichen, müssen in einem Bericht erscheinen und eskaliert werden.
Cyberversicherungen sollten in diesen Ablauf einbezogen werden. Ob und in welchem Umfang ein Schaden gedeckt ist, ergibt sich ausschließlich aus dem jeweiligen Vertrag. Sicherheitsanforderungen, Obliegenheiten, Ausschlüsse und Meldewege sind vor einem Vorfall zu prüfen; eine Police ersetzt weder Patchmanagement noch Datenschutzpflichten.
Die tragfähigste Antwort auf die Haftungsfrage ist eine belegbare Verantwortungskette: Die Geschäftsleitung organisiert und kontrolliert, beauftragte Fachkräfte handeln innerhalb klarer Befugnisse, Dienstleister erfüllen einen eindeutig beschriebenen Leistungsumfang und Beschäftigte melden Abweichungen über einen bekannten Weg. Nach einem Schaden entscheidet nicht der Update-Hinweis allein, sondern das Zusammenspiel aus Pflicht, Verschulden, Kausalität und nachweisbarer Organisation.
