Source: https://www.cr-online.de/blog/2015/08/17/das-it-sicherheitsgesetz-neue-anforderungen-fuer-alle-geschaeftsmaessigen-onlinedienste/
Timestamp: 2019-04-18 20:26:52+00:00

Document:
Das IT-Sicherheitsgesetz: Neue Anforderungen für alle geschäftsmäßigen Onlinedienste – CR-online.de Blog
« Warum Facebook in dem neuen Streit um die Klarnamenpflicht wenig zu befürchten hat
Kundendaten beim Unternehmenskauf: Was sich zur Rechtslage sagen lässt. Und was nicht. »
Am 1. August 2015 ist das IT-Sicherheitsgesetz in Kraft getreten. Damit werden vor allem Betreiber von sog. “kritischen Infrastrukturen” – zum Beispiel Energieversorgung, Banken und Telekommunikationsanbieter – zu sehr umfangreichen Sicherheitsmaßnahmen verpflichtet.
Bisher wenig Beachtung hat allerdings eine weitere Gesetzesänderung gefunden, deren Anwendungsbereich deutlich weiter gefasst ist. Denn auch an die Betreiber „ganz normaler” Online-Dienste, wie Webshops, Apps oder Onlinespiele, stellt § 13 Abs. 7 TMG n.F. erhebliche neue Sicherheitsanforderungen. Bei allen geschäftsmäßig erbrachten Onlinedienste sind diese neuen Regelungen ab sofort beachten – andernfalls drohen Bußgelder und möglicherweise auch Abmahnungen.
„Geschäftsmäßig“ angebotene Telemedien
Die neuen Sicherheitsregeln gelten für Anbieter von “geschäftsmäßig angebotenen” Telemedien, also etwa Webseiten, Blogs, Shops, aber auch Online-Games und Apps, sofern sie Online-Inhalte darstellen. Keine Telemedien sind etwa IP-Telefonielösungen oder reine Chats.
Bei der Auslegung des Begriffes „geschäftsmäßig“ setzt sich die Unsicherheit fort, die auch im Bereich der Impressumspflicht (§ 5 TMG) Platz greift. Geschäftsmäßig sind Telemedien dann, wenn sie nicht rein privat und „non-profit“ betrieben werden. Die Rechtsprechung ist hier bisher streng: Schon wenn eine Privatperson im persönlichen Blog Werbebanner schaltet, gilt das als “geschäftsmäßig”, unabhängig davon, ob die Werbung überhaupt Umsatz bringt – und auch wenn das Angebot nach Inhalt und Zielgruppe nur der Selbstdarstellung einer Privatperson dient (siehe etwa LG Essen, Urt. v. 26.4.2012 – 4 O 256/11 juris oder LG Stendal, Urt v. 24.2.2010 – 21 O 242/09 juris).
Die Gesetzesbegründung zum IT-Sicherheitsgesetz versäumt hier die Chance, nachvollziehbarere Grenzen zwischen privaten und geschäftsmäßigen Angeboten zu ziehen. Zwar wird betont, dass das „nicht-kommerzielle Angebot von Telemedien durch Private und Idealvereine“ nicht erfasst sei, doch wird weiter jede „werbefinanzierte“ Webseite als „entgeltlich“ und damit „nachhaltig“ und „geschäftsmäßig“ charakterisiert (BT-Drs. 643/14, S. 50). Wünschenswert wäre hier eine Klarstellung, dass von „Werbefinanzierung“ nur ausgegangen werden kann, wenn die Einnahmen mindestens die Kosten der Bereitstellung decken.
Ausmaß unklar: Die vorgeschriebenen Sicherheitsmaßnahmen
Unter den “Schutz vor unerlaubtem Zugriff” (§ 13 Abs. 7 Nr. 1 TMG) fallen allgemein Maßnahmen, die Server und Anwendungen nach außen absichern. Ziel ist ausweislich der Gesetzesbegründung hier insbesondere die Verhinderung von sog. Drive-by Downloads, d.h. Manipulationen einer eigentlich seriösen Webseite, die bei Besuchern ohne deren weiteres Zutun Schadsoftware installieren.
Hiervor können beispielsweise Firewalls schützen. Konkret gibt die Gesetzesbegründung aber auch das regelmäßige Einspielen von Updates vor. Innerhalb welcher Reaktionszeiten Updates eingespielt werden müssen, sagt das Gesetz allerdings nicht. Einigermaßen realitätsfern ist die Gesetzesbegründung auch mit der Annahme, der Betreiber einer einzelnen (kleinen) Webseite könne einem großen Werbenetzwerk ja einfach vertraglich konkrete Sicherheitsanforderungen auferlegen (BT-Drs. 643/14, S. 50).
Alle Maßnahmen stehen unter dem Vorbehalt, dass sie “technisch möglich und wirtschaftlich zumutbar” sein müssen. Welcher Service welche genauen Maßnahmen umsetzen muss, hängt also sehr vom Einzelfall ab. Das ist einerseits eine gute Nachricht, weil das Gesetz keine unverhältnismäßigen Investitionen in die IT-Sicherheit erwartet. Andererseits lässt sich aber auch schwer einschätzen, wann welche genauen Maßnahmen ausreichend sind, um die Anforderungen des Gesetzes zu erfüllen. Die Gesetzesbegründung stellt auch nicht etwa auf das Verhältnis zwischen Aufwand für die Sicherungsmaßnahme und kommerziellem Erfolg oder Größe des Telemediums ab. Entscheidend soll vielmehr der „angestrebte Schutzzweck“ sein (BT-Drs. 643/14, S. 51).
Nach § 16 Abs. 2 Nr. 3 TMG kann ein Verstoß gegen § 13 Abs. 7 Nr. 1 und Nr. 2 a) TMG mit einem Bußgeld von bis zu 50.000 EUR geahndet werden.
Aufmerksame Leser werden bemerkt haben: § 13 Abs. 7 Nr. 2 b) TMG ist davon nicht erfasst. Wer also keine Maßnahmen gegen “Störungen von außen” – sprich DDoS – ergreift, hat kein Bußgeld zu erwarten.
Wie hoch das praktische Risiko eines Bußgeldes sein wird, muss sich noch zeigen. Zuständig für Bußgeldverfahren nach dem Telemediengesetz sind verschiedenste Landesbehörden:
In NRW ist dies beispielsweise die Bezirksregierung Düsseldorf,
in Niedersachsen das Landesamt für Verbraucherschutz und Lebensmittelsicherheit [sic!].
In der Vergangenheit haben sich diese Behörden eher zurückhaltend gezeigt, was die Durchsetzung ähnlicher Bußgeldtatbestände im Telemediengesetz angeht.
Sicherheitsregeln = Marktverhaltensregeln?
Unklar ist bislang allerdings, ob die neuen Sicherheitsregeln zugleich Marktverhaltensregeln darstellen, ein Verstoß also etwa von Konkurrenten oder Verbraucherschützern abgemahnt werden kann.
Im Hinblick auf die bestehenden Datenschutzvorschriften des § 13 Abs. 1 TMG gibt es hierzu divergierende Rechtsprechung – während das Kammergericht diese (eher) nicht als Marktverhaltensregeln begreift (KG, Urt. v. 29.4.2011 – 5 W 88/11 , CR 2011, 468), hat das OLG Hamburg deutlich klargestellt, dass es auch § 13 Abs. 1 TMG für eine Marktverhaltensregel hält (OLG Hamburg, Urt. v. 27.3.2013 – 3 U 26/12, CR 2013, 596).
Eine Parallele lässt sich überdies zum „herkömmlichen“ Produktsicherheitsrecht ziehen. Hier ist anerkannt, dass der Schutz von Verbrauchern vor Schäden durch fehlerhafte Produkte auch marktverhaltensregelnden Charakter hat (OLG Frankfurt, Urt. v. 21.5.2015 – 6 U 64/14, OpenJur 2015, 10876).
Vor diesem Hintergrund ist durchaus wahrscheinlich, dass es in absehbarer Zeit zumindest erste Versuche geben wird, unliebsame Konkurrenten wegen versäumter IT-Sicherheitsmaßnahmen anzugehen.
Beitrag von Felix Hilgert vom – 12:05. Rubrik: Allgemein, Datenschutz, Datenschutz (Kap. A), E-Commerce, E-Commerce, Telemedien (Kap. B), Haftung im Netz (Kap. H), Internetregulierung und IT-Strafrecht, J. Schneider, Handbuch EDV-Recht, N. Härting, Internetrecht, Redeker, Handbuch der IT-Verträge, Technik, Wettbewerbsrecht (Kap. F), Stichwörter: Datenschutz, IT-Sicherheit, IT-Sicherheitsgesetz, Telemedien, Verschlüsselung. Lesezeichen: Permalink. Kommentare: RSS-Feed. Trackbacks sind deaktiviert, aber Sie können einen Kommentar schreiben.

References: § 13
 § 16
 § 13
 § 13
 § 13
 § 13