Software als Produkt ab dem 9. Dezember 2026: was sich im Underwriting zwischen Berufshaftpflicht, Produkthaftpflicht und Cyber ändert

Ab dem 9. Dezember 2026 ist Software nach der Richtlinie (EU) 2024/2853 ein Produkt. Was in die Berufshaftpflicht, die Produkthaftpflicht und die Cyber-Police fällt, wo sich die drei Deckungen überschneiden oder Lücken lassen und was sich bei den Underwriting-Fragen ändert.

von cybercoverinsurance

Ab dem 9. Dezember 2026 ist Software, die auf dem europäischen Markt in Verkehr gebracht wird, ein Produkt, und der Hersteller haftet für Schäden aus einem Fehler auch ohne Verschulden. Für das Underwriting ist eine andere Frage entscheidend: Ändert sich die Art, wie Risiken gezeichnet werden? Ja, aber weniger, als die Schlagzeilen behaupten, und an anderen Stellen als erwartet. Die Richtlinie schafft kein neues Risiko. Sie verlagert einen Teil des Softwarerisikos vom Vertrag und vom Verschulden hin zur verschuldensunabhängigen Haftung gegenüber natürlichen Personen. Und sie tut das im Grenzbereich zwischen drei Policen, die sich die Arbeit bisher geteilt haben, ohne miteinander zu sprechen: Berufshaftpflicht (oder Tech E&O), Produkthaftpflicht und Cyber.

Der Artikel trennt, was in jede dieser Policen fällt, wo sie sich überschneiden, wo sie eine Lücke lassen und was sich bei den Underwriting-Fragen ändert.

Was die Norm tatsächlich sagt

Im Text bezeichnet "Art." eine verbindliche Vorschrift der Richtlinie; "Erwägungsgrund" bezeichnet die einleitenden Absätze, die erklären, wie diese Vorschriften zu lesen sind.

Die Richtlinie (EU) 2024/2853 gilt für Produkte, die nach dem 9. Dezember 2026 in Verkehr gebracht oder in Betrieb genommen werden, und nimmt Software ausdrücklich in die Produktdefinition auf (Art. 2 und 4, EUR-Lex). Es spielt keine Rolle, wie die Software zum Nutzer gelangt: auf dem Gerät installiert, über das Internet oder in der Cloud genutzt oder im Abonnement als Dienst verkauft (Software-as-a-Service). Das stellt Erwägungsgrund 13 klar. Ausgenommen bleibt freie und quelloffene Software, die außerhalb einer Geschäftstätigkeit entwickelt oder bereitgestellt wird (Art. 2).

Fünf Punkte zählen für das Underwriting.

Wer Schadensersatz verlangen kann. Nur natürliche Personen, also Privatpersonen (Art. 5). Ein geschädigtes Unternehmen kann sich nicht auf diese Richtlinie stützen: Für es gelten der Vertrag und die allgemeinen Regeln.
Welche Schäden. Die Richtlinie lässt nur drei Schadensarten zu (Art. 6): Tod oder Körperverletzung, einschließlich ärztlich anerkannter psychischer Gesundheitsschäden; Schäden an persönlichen Sachen, ausgenommen das fehlerhafte Produkt selbst und ausschließlich beruflich genutzte Sachen; die Vernichtung oder Beschädigung von Daten, die nicht beruflich genutzt werden, etwa private Dateien, die von einem Computer gelöscht werden. Wer nur Geld verliert, etwa weil ein Betrieb stillsteht, kann nach diesen Regeln keinen Ersatz verlangen (Erwägungsgrund 24). Und gelöschte oder beschädigte Daten sind etwas anderes als gestohlene oder verbreitete personenbezogene Daten: Dieser Fall bleibt in der DSGVO geregelt (Erwägungsgrund 20).
Was ein Produkt fehlerhaft macht. Zu den Faktoren gehören sicherheitsrelevante Cybersicherheitsanforderungen und die Fähigkeit des Produkts, weiter zu lernen (Art. 7).
Die Zeit nach dem Verkauf. Die Verteidigung, der Fehler habe beim Inverkehrbringen noch nicht bestanden, greift nicht, wenn der Fehler auf der Software, ihren Updates oder dem Fehlen sicherheitsnotwendiger Updates beruht, soweit diese unter der Kontrolle des Herstellers stehen (Art. 11 Abs. 2).
Der Beweis und der Dritte. Das Gericht kann die Offenlegung von Beweismitteln anordnen (Art. 9), und Fehler sowie Kausalzusammenhang können vermutet werden (Art. 10). Trägt auch ein anderer zum Schaden bei, verringert sich die Haftung des Herstellers gegenüber dem Geschädigten nicht (Art. 13). Als Beispiel dient ein Angreifer, der eine Softwarelücke ausnutzt: Der Hersteller kann die Haftung nicht auf ihn abwälzen (Erwägungsgrund 55). Der Ersatz kann dagegen sinken, wenn den Geschädigten ein Mitverschulden trifft, etwa weil er ein Sicherheitsupdate nicht installiert hat.

Haftbar ist eine Kette: Hersteller, Hersteller der fehlerhaften Komponente, Einführer, Bevollmächtigter, Fulfilment-Dienstleister und in bestimmten Fällen Händler und Online-Plattformen; wer ein Produkt außerhalb der Kontrolle des Herstellers wesentlich verändert, wird selbst Hersteller (Art. 8). Mehrere Beteiligte haften gesamtschuldnerisch (Art. 12), und die Haftung gegenüber dem Geschädigten kann vertraglich nicht beschränkt werden (Art. 15). Der Geschädigte hat drei Jahre Zeit, ab Kenntnis von Schaden, Fehler und Haftendem (Art. 16). In jedem Fall erlischt der Anspruch zehn Jahre nach dem Inverkehrbringen; bei Körperverletzungen, die sich erst nach langer Zeit zeigen, verlängert sich die Frist auf fünfundzwanzig Jahre (Erwägungsgrund 57).

In Italien hat der Ministerrat am 28. Oktober 2026 das Umsetzungsgesetz endgültig verabschiedet; es ändert das Verbrauchergesetzbuch und streicht den Selbstbehalt von 387 Euro bei Sachschäden (eDotto).

Was nicht erfasst ist

Bevor es um Policen geht, lohnt sich ein Blick darauf, was die Richtlinie nicht berührt, denn dieser Teil relativiert viele alarmistische Lesarten.

Der Stillstand eines Unternehmens wegen eines fehlerhaften Updates des Anbieters ist nach der Richtlinie kein ersatzfähiger Schaden: Es ist ein Vermögensschaden eines gewerblichen Akteurs. Dasselbe gilt für beschädigte Unternehmensdaten. Diese Fälle bleiben, wo sie waren: Vertrag, allgemeine Haftung und damit Berufshaftpflicht oder Tech E&O des Anbieters und Cyber-Police des Versicherungsnehmers. Ebenfalls nicht erfasst sind Produkte, die vor dem 9. Dezember 2026 in Verkehr gebracht wurden; für sie gilt weiterhin die alte Regelung.

Die Richtlinie wirkt dort, wo Software Personen und Verbrauchergüter berührt: vernetzte Medizinprodukte, Auto und Mobilität, Gebäudeautomation und Anlagen, Haushaltsgeräte, Wearables, Apps, die Sicherheitsfunktionen oder nicht berufliche personenbezogene Daten verwalten.

Drei Policen, drei Logiken

Die Produkthaftpflicht ist für Personen- und Sachschäden durch ein Produkt gedacht. Sie ist die Police, die die Richtlinie zuerst betrifft. Das Problem: Viele Softwarehersteller kaufen sie nicht, weil sie sich als Dienstleister verstehen, und viele Bedingungswerke beschreiben das versicherte Produkt als physische Ware. Covington und Airmic empfehlen, die Produktdefinition auf Software, Updates und Komponenten auszuweiten und die Schadensdefinitionen zu überprüfen (Covington, Airmic). Die dritte Schadensart, nicht berufliche Daten, ist für diese Police die unbequemste: Zu prüfen ist, ob das Haftpflicht-Bedingungswerk Daten als Sache behandelt oder ausschließt, und Reed Smith erwartet, dass Versicherer die Definitionen von Sachschaden und Datenschaden überarbeiten.

Die Berufshaftpflicht oder Tech E&O ist für Vermögensschäden aus einem Fehler bei der beruflichen Leistung gedacht. Sie deckt den B2B-Kunden gut, der einen Stillstand erleidet, also genau den Teil, den die Richtlinie ausklammert. Häufig schließt sie jedoch Personen- und Sachschäden aus oder begrenzt sie, und gerade diese sind der Kern der Richtlinie. Covington regt an, die Schadensdefinition auf Körperverletzung, Sachschäden und anerkannte psychische Schäden zu erweitern und die Definition der beruflichen Leistungen an den Produktbegriff der Richtlinie anzupassen.

Die Cyber-Police ist für den IT-Vorfall des Versicherungsnehmers gedacht: Reaktionskosten, Betriebsunterbrechung, Wiederherstellung der eigenen Daten, Haftung für Datenschutzverletzungen und Netzwerksicherheit. In der Regel schließt sie Personen- und Sachschäden aus. Covington und Airmic nennen Cyber und Tech E&O als die für fehlerhafte Software am besten geeigneten Deckungen, warnen aber, dass sich das Risiko der Richtlinie nicht sauber in Cyber-Bedingungswerke einfügen könnte und dass eigene Sublimits und Ausschlüsse auftauchen können.

Kurz gesagt: Die Richtlinie erzeugt Produkthaftpflichtschäden (Personen und Sachen), die oft durch typische Cyber-Ereignisse (Schwachstellen, Updates) ausgelöst werden, und zwar bei Akteuren, die vor allem Berufshaftpflicht kaufen. Keine der drei Policen wurde für diese Überschneidung geschrieben.

Die Überschneidungen im Einzelnen

1. Körperverletzung durch eine ausgenutzte Schwachstelle. Das ist der eindeutigste Fall. Ein vernetztes Gerät wird kompromittiert und ein Mensch wird verletzt. Nach der Richtlinie haftet der Hersteller, und das Eingreifen des Angreifers mindert die Haftung nicht (Art. 13). Die Produkthaftpflicht ist die natürliche Police für die Verletzung, kann aber Ausschlüsse für böswillige IT-Handlungen enthalten. Die Cyber-Police kennt das Ereignis, schließt aber die Verletzung aus. Die Berufshaftpflicht kann beides ausschließen. Das mögliche Ergebnis ist keine Überschneidung, sondern eine Lücke, und es ist die konkreteste Form von umgekehrtem Silent Cyber: ein Cyberrisiko, das keine Police decken will.

2. Unterlassenes Update. Die Richtlinie behandelt das Fehlen eines Sicherheitsupdates als Fehlerquelle (Art. 11). Für die Berufshaftpflicht ist es eine Unterlassung bei der Leistung, für die Produkthaftpflicht ein fehlerhaftes Produkt. Die beiden Policen haben unterschiedliche Auslöser: Die Produkthaftpflicht arbeitet oft nach Schadenereignis oder Manifestation, Cyber und Tech E&O sind in der Regel Claims-made-Deckungen mit Rückwärtsdatum (Reed Smith). Bei einer Ausschlussfrist von bis zu fünfundzwanzig Jahren kann derselbe Fehler zwei Policen in verschiedenen Jahren auslösen, oder gar keine, wenn Rückwärtsversicherung oder Nachhaftung nicht weit genug reichen.

3. Beschädigte Verbraucherdaten. Ein fehlerhaftes Update löscht die nicht beruflichen personenbezogenen Daten vieler Nutzer. Nach der Richtlinie ist das ein ersatzfähiger Schaden. Die Produkthaftpflicht wertet ihn möglicherweise nicht als Sachschaden. Die Cyber-Police deckt die Haftung gegenüber Dritten bei einem Sicherheitsvorfall, doch ein Programmierfehler ohne Angriff löst sie unter Umständen nicht aus. Die Tech E&O reagiert auf den Fehler, kann aber Schäden bei Dritten ausschließen, die keine Kunden sind. Das Risiko ist doppelt: eine Lücke, wenn kein Bedingungswerk Daten als Schaden anerkennt, eine Überschneidung, wenn zwei Policen sie anerkennen und über Subsidiaritätsklauseln um den Schaden streiten.

4. Die Regresskette. Der Gerätehersteller entschädigt den Verbraucher über seine Produkthaftpflicht und nimmt dann den Softwareanbieter in Regress. Für den Anbieter kommt dieser Regress als vertragliche Forderung eines gewerblichen Kunden an: ein Vermögensschaden, also Terrain der Berufshaftpflicht. Derselbe Fehler erzeugt so zwei Schäden in zwei Policen zweier verschiedener Versicherungsnehmer, womöglich beim selben Versicherer. Die Richtlinie fügt ein Detail hinzu: Der Hersteller, der Software eines Kleinst- oder Kleinunternehmens integriert, hat keinen Regress, wenn er vertraglich darauf verzichtet hat (Art. 12 Abs. 2). Für das Underwriting der Berufshaftpflicht des kleinen Anbieters werden Freistellungs- und Verzichtsklauseln in Kundenverträgen zu einem Risikomerkmal, und für das Underwriting der Produkthaftpflicht des Kunden entfällt durch den Verzicht eine Regressquelle.

5. Abwehrkosten. Vermutungen und Offenlegungspflichten erhöhen Kosten und Dauer der Verfahren. Covington und Reed Smith empfehlen, die Grenzen für Abwehrkosten zu überprüfen. Wenn drei Policen betroffen sein können, kommt es darauf an, wer die Abwehr führt und wie die Kosten verteilt werden: Ohne klare Regeln droht ein Streit zwischen Versicherern, während der Versicherungsnehmer wartet.

6. Kumulierung. Ein fehlerhaftes Update, das auf Tausende Geräte verteilt wird, ist für die Produkthaftpflicht ein möglicher Serienschaden, für die Tech E&O eine Serie zusammenhängender Ansprüche, für die Cyber-Police ein systemisches Ereignis. Jede Police hat ihre eigene Definition des einheitlichen Schadens. Dieselben Tausenden Geschädigten können in einer Police eine Versicherungssumme und in einer anderen viele Versicherungssummen ausmachen. Für einen Versicherer, der mehrere Sparten für denselben Kunden zeichnet, ist das ein nicht gemessener Kumul.

Was sich im Underwriting ändert

Die Frage "Produkt oder Dienstleistung" verliert an Gewicht. Bisher entschied die Unterscheidung, welche Police angeboten wird. Für die Richtlinie spielt sie keine Rolle mehr: Auch Software, die im Abonnement als Dienst verkauft wird, ist ein Produkt (Erwägungsgrund 13). Das Underwriting muss stattdessen fragen, was die Software tut, auf welchen Geräten sie läuft und ob sie Personen, Sachen oder Verbraucherdaten schädigen kann.

Die Bemessungsgrundlage ändert sich. Der Umsatz misst dieses Risiko schlecht. Wichtiger sind die installierte Basis, die Zahl vernetzter Geräte, das Vorhandensein sicherheitsrelevanter Funktionen und die Dauer des Supports. Eine Software mit wenig Umsatz, die auf Millionen Geräten installiert ist, wiegt schwerer als eine viel verkaufte Unternehmenssoftware, die nur von Firmen genutzt wird.

Der Lebenszyklus gehört in den Fragebogen. Wenn ein unterlassenes Update ein Fehler ist, wird die Update-Politik zum Underwriting-Merkmal: wie viele Jahre Sicherheitspatches garantiert werden, wie schnell bekannte Schwachstellen behoben werden, wie dokumentiert wird, dass der Nutzer sie erhalten hat. Der Cyber Resilience Act geht in dieselbe Richtung, und die Verletzung seiner verbindlichen Anforderungen kann die Vermutung eines Fehlers begründen (Art. 10).

Der Schadenschwanz wird länger. Mit Fristen von zehn und fünfundzwanzig Jahren werden Rückwärtsversicherung und Nachhaftung zu zentralen Klauseln für alle, die Tech E&O und Cyber an Geräte- und Softwarehersteller verkaufen.

Das Programm muss als Ganzes gelesen werden. Marsh stellt fest, dass Software als Produkt dazu führen könnte, Teile von Tech PI, Produkthaftpflicht und Cyber zusammenzuführen (Marsh). Ob es zu einer kombinierten Police kommt oder nicht: Das Underwriting muss die drei Bedingungswerke des Versicherungsnehmers kennen und wissen, welches für welches Szenario einsteht.

Was in die Vertragsverlängerung gehört

Können Software oder Dienste des Versicherungsnehmers Körperverletzungen, Schäden an Verbrauchergütern oder den Verlust nicht beruflicher Daten verursachen? Bei welchen Produkten und mit welcher installierten Basis?
Umfasst die Risikobeschreibung in der Produkthaftpflicht Software, Updates und verbundene digitale Dienste, auch wenn sie aus der Cloud bereitgestellt werden?
Schließt die Tech E&O Personen- und Sachschäden aus? Wenn ja, welche Police deckt das Szenario einer Verletzung durch einen Softwarefehler?
Enthält die Produkthaftpflicht Ausschlüsse für böswillige IT-Handlungen oder für Daten? Schließt die Cyber-Police Personen- und Sachschäden aus? Ist das Szenario einer ausgenutzten Schwachstelle, durch die jemand verletzt wird, irgendwo gedeckt?
Wie viele Jahre garantiert der Versicherungsnehmer Sicherheitsupdates, und wie schnell behebt er bekannte Schwachstellen?
Welche Kundenverträge enthalten Regressverzichte oder Freistellungen, und mit welchen Höchstbeträgen?

Auf Portfolioebene stellt sich die Frage des spartenübergreifenden Kumuls. Wie viele Versicherungsnehmer in Produkthaftpflicht, Tech E&O und Cyber hängen von derselben Softwarekomponente oder demselben Update-Anbieter ab? Ein Fehler in dieser Komponente erzeugt nicht einen Schaden, sondern einen pro Sparte und pro Glied der Kette.

Dieser Artikel dient der Information und ist weder Rechts- noch Versicherungsberatung.