Donnerstag, 3. Juni 2010, von Dr. Simon Assion

Der BGH zur WLAN-Haftung

Am Mittwoch ist der Volltext des BGH-Urteils zur WLAN-Haftung bekannt geworden. Anders als noch die Pressemitteilung erwarten ließ, enthält das Urteil kein obiter dictum zu § 97a Abs. 2 UrhG. Auch sonst umgeht der BGH viele Punkte, die nicht nur für die Rechtswissenschaft und -Praxis interessant gewesen wären, sondern durchaus auch ergebnisrelevant.
Grundsätzlich ging es in dem Urteil um die Frage: Wer haftet für ein WLAN? Der Beklagte hatte in den Vorinstanzen nachweisen können, dass er die Rechtsverletzung, die ihm vorgeworfen wurde, unmöglich selbst begangen haben konnte. Die Vorinstanzen hatten festgestellt, dass er zur fraglichen Zeit in Urlaub gewesen war und seinen Computer in einem verschlossenen Büroraum zurückgelassen hatte. Den Computer konnte also niemand benutzt haben. Das WLAN lief während des Urlaubs allerdings weiter und wurde von einem Dritten für urheberrechtswidriges Filesharing verwendet.

Zu diesem Ergebnis kommt der BGH über eine Beweislastregelung:

Wird ein geschütztes Werk der Öffentlichkeit von einer IP-Adresse aus zugänglich gemacht, die zum fraglichen Zeitpunkt einer bestimmten Person zugeteilt ist, so spricht zwar eine tatsächliche Vermutung dafür, dass diese Person für die Rechtsverletzung verantwortlich ist. Daraus ergibt sich eine sekundäre Darlegungslast des Anschlussinhabers, der geltend macht, eine andere Person habe die Rechtsverletzung begangen (vgl. OLG Köln MMR 2010, 44, 45; GRUR-RR 2010, 173, 174). Dieser sekundären Darlegungslast ist der Beklagte jedoch nachgekommen, indem er — von der Klägerin unbestritten — vorgetragen hat, zum fraglichen Zeitpunkt im Urlaub gewesen zu sein, während sich seine PC-Anlage in einem für Dritte nicht zugänglichen, abgeschlossenen Büroraum befunden habe. (…) Das Berufungsgericht konnte deshalb ohne Rechtsfehler annehmen, dass die unmittelbar urheberrechtsverletzende Handlung nur von einem Dritten begangen worden sein konnte, der die WLAN-Verbindung des Beklagten von außerhalb nutzte, um sich Zugang zu dessen Internetanschluss zu verschaffen.

Keine Täter- oder Teilnehmerhaftung für ein schlecht gesichertes WLAN

Der BGH schließt zunächst eine Täter- oder Teilnehmerhaftung des Beklagten für das WLAN aus. Dabei grenzt er den vorliegenden Fall vor allem gegen zwei Entscheidungen ab, in denen er gesonderte Zurechnungsregeln geschaffen hatte: In seiner Entscheidung „Jugendgefährdende Medien bei Ebay” hatte er eine täterschaftliche Haftung daraus hergeleitet, dass Ebay es aus wirtschaftlichem Eigeninteresse zugelassen hatte, dass Dritte illegales Material über seine Handelsplattform verkauften; in seiner „Halzband”-Entscheidung hatte der BGH festgestellt, dass es einen eigenständigen, d.h. außerhalb der Grundsätze der Störerhaftung stehenden Zurechungsgrund darstellt, wenn jemand Dritten (absichtlich oder fahrlässig) Zugang zu seinem Ebay-Mitgliedskonto gewährt. Der BGH stellt klar, dass beide Entscheidungen nicht auf den WLAN-Fall übertragbar sind: Weder habe der Beklagte wie Ebay ein wirtschaftliches Eigeninteresse verfolgt, noch habe er vergleichbar mit der (fahrlässigen) Öffnung seines Ebay-Kontos für Dritte einen Vertrauenstatbestand im Geschäftsverkehr erzeugt.

Störerhaftung

Im Folgenden beschäftigt sich der BGH nur noch mit der Störerhaftung. Dabei wendet er schulmäßig seine etablierte Definition der Störerhaftung an:

Als Störer kann bei der Verletzung absoluter Rechte auf Unterlassung in Anspruch genommen werden, wer — ohne Täter oder Teilnehmer zu sein — in irgendeiner Weise willentlich und adäquat kausal zur Verletzung des geschützten Rechts beiträgt (…). Da die Störerhaftung nicht über Gebühr auf Dritte erstreckt werden darf, die nicht selbst die rechtswidrige Beeinträchtigung vorgenommen haben, setzt die Haftung des Störers nach der Rechtsprechung des Senats die Verletzung von Prüfpflichten voraus. Deren Umfang bestimmt sich danach, ob und inwieweit dem als Störer in Anspruch Genommenen nach den Umständen eine Prüfung zuzumuten ist (…).

Diese Definition sieht der BGH als erfüllt an. Zunächst subsummiert er unter die Tatbestandsmerkmale willentlich und adäquat kausal (d.h. „nicht ganz unwahrscheinlich”):

Der Betrieb eines nicht ausreichend gesicherten WLAN-Anschlusses ist adäquat kausal für Urheberrechtsverletzungen, die unbekannte Dritte unter Einsatz dieses Anschlusses begehen. (…) Es ist nicht gänzlich unwahrscheinlich, dass unberechtigte Dritte einen unzureichend gesicherten WLAN-Anschluss dazu benutzen, urheberrechtlich geschützte Musiktitel im Internet in Tauschbörsen einzustellen. Die Unterlassung ausreichender Sicherungsmaßnahmen beruht auch auf dem Willen des Anschlussinhabers.

An diesem Punkt tritt eine entscheidende Schwachstelle des Urteils auf: Der BGH geht nämlich, ohne dies zu spezifizieren, davon aus, das WLAN sei „nicht ausreichend gesichert” gewesen. Aber war es das wirklich? Das Passwort, das der Beklagte verwendete, war zwar offenbar noch das werksseitig eingestellte (und als solches auch auf dem Router aufgedruckt) – aber es war individualisiert. Anders als bei vielen marktüblichen Routern war das Standardpasswort nicht „0000” oder etwas ähnliches, sondern eine lose Abfolge von 16 Zeichen. Diese technisch zu knacken, ist nicht unmöglich – aber es ist durchaus schwierig und nur unter Zuhilfenahme illegaler Programme machbar. Was meint nun also der BGH? Ist es adäquat kausal für eine Rechtsverletzung, dass WLAN-Passwörter von 16 Zeichen knackbar sind? Oder ist es adäquat kausal, dass das (individualisierte) Passwort auf dem Router aufgedruckt war?

Ich möchte bezweifeln, dass der Betrieb eines gesicherten WLANs mit einem Passwort, das nicht zu erraten ist, für sich gesehen adäquat kausal für Rechtsverletzungen Dritter wird. Somit bliebe nur der Vorwurf, der Beklage hätte den Aufdruck auf dem Router nicht ausreichend gesichert – das BGH-Urteil stellt auf diesen Punkt freilich kaum ab.

Im Folgenden beschäftigt sich der BGH mit den zumutbaren Prüfungspflichten.

Auch Privatpersonen, die einen WLAN-Anschluss in Betrieb nehmen, ist es zuzumuten zu prüfen, ob dieser Anschluss durch angemessene Sicherungsmaßnahmen hinreichend dagegen geschützt ist, von außenstehenden Dritten für die Begehung von Rechtsverletzungen missbraucht zu werden. Die Zumutbarkeit folgt schon daraus, dass es regelmäßig im wohlverstandenen eigenen Interesse des Anschlussinhabers liegt, seine Daten vor unberechtigtem Eingriff von außen zu schützen. Zur Vermeidung von Urheberrechtsverletzungen durch unberechtigte Dritte ergriffene Sicherungsmaßnahmen am WLAN-Zugang dienen zugleich diesem Eigeninteresse des Anschlussinhabers.

Dem lässt sich entgegenhalten, dass es längst nicht zwangsläufig im eigenen Interesse des WLAN-Betreibers liegt, dieses zu sichern. Das mag im streitgegenständlichen Fall so gewesen sein – zwingend ist diese Wertung nicht. Es gibt viele Fälle, in denen ein WLAN-Betreiber sein Netzwerk öffnet, ohne dabei seine Datensicherheit zu gefährden, z.B. Freifunk, FON und andere öffentliche Hotspots. Zu diesem Punkt war im Vorfeld der Entscheidung viel diskutiert worden, lesenswerte Beiträge waren vor allem ein Beitrag von Garcia bei Telepolis und ein Aufsatz von Reto Mantz in der JurPC.

Außerdem ist die Begründung dogmatisch gesehen nicht korrekt: Der BGH setzt hier ein „Verschulden gegen sich selbst” gleich mit einem „Verschulden gegen andere”. Diese beiden Kategorien sind im Zivilrecht eigentlich zu trennen – einzige Ausnahme ist die sog. diligentia quam in suis (§ 277 BGB), die hier aber nicht einschlägig ist.

Ein weiterer Fauxpas unterläuft dem BGH, als er sich damit beschäftigt, ob hier zugunsten des WLAN-Betreibers eine Haftungsprivilegierung nach dem TMG greift.

Es gelten auch nicht die Haftungsprivilegien nach § 10 TMG und Art. 14 f. der Richtlinie 2000/31/EG über den elektronischen Geschäftsverkehr, die im Falle des Diensteanbieters nach § 10 Satz 1 TMG (Host Provider) einen weitergehenden Unterlassungsanspruch ausschließen. Das hoch zu bewertende, berechtigte Interesse, über WLAN leicht und räumlich flexibel Zugang zum Internet zu erhalten, wird nicht dadurch in Frage gestellt, dass die zum Zeitpunkt der Installation des WLAN-Routers auch im Privatbereich verkehrsüblich vorhandenen Sicherungsmaßnahmen gegen unbefugte Nutzung angewandt werden.

Man muss sich an dieser Stelle fragen, ob der BGH weiß, was ein Host-Provider ist. Ein Host-Provider ist gem. § 10 TMG ein „Diensteanbieter, der fremde Informationen für einen Nutzer speichert”. Gespeichert wurde auf dem WLAN aber sicherlich nichts – vielmehr wurde hier durchgeleitet. Der Beklagte war nicht Host- sondern Access-Provider, § 8 TMG. Für Access-Provider hat die Rechtsprechung in der Vergangenheit eine Mitstörerhaftung aber nur im äußersten Ausnahmefall angenommen (vgl. z.B. OLG Hamburg – Alphaload). Ein solcher Fall wäre für die hier vorliegende Konstellation sicherlich nicht gegeben – andernfalls müsste der BGH sich fragen lassen, wo der Unterschied zwischen einem schlecht gesicherten WLAN liegt und z.B. dem UMTS-Netz (jedenfalls nicht in der Tatsache, dass sich Rechtsverletzungen hier zum Verursacher zurückverfolgen ließen).

Die Anwendung des § 10 TMG kann m.E. nur als klarer Fehler des BGH bezeichnet werden; ausgelöst dadurch, dass der Verfasser offenbar unbesehen Wertungen aus Entscheidungen übernommen hat, die zu Host-Providern ergingen (z.B. die oben zitierten Ebay-Entscheidungen).

Letztlich kommt der BGH zu dem Ergebnis, dass Prüfungspflichten nur soweit zumutbar sind, als den WLAN-Betreiber die Pflicht trifft, sein WLAN einmal ordnungsgemäß zu konfigurieren. Der Betreiber muss also nur beim Einrichten des Netzes ein individuelles Passwort vergeben und dabei einen hinreichenden Sicherheitsstandard verwenden (mittlerweile wohl WPA2). Er muss es allerdings nicht fortlaufend überprüfen.

Kein obiter dictum zu § 97a UrhG

Anders als noch in der Pressemitteilung fällt im eigentlichen Urteil kein Wort zu § 97a Abs. 2 UrhG. Dies überrascht. Wer hierfür verantwortlich ist, kann von außen nicht beurteilt werden – jedenfalls ist es ein Hinweis darauf, dass die Praxis des BGH, bei Urteilsverkündung nur eine Pressemitteilung zu veröffentlichen, zu Fehlern in der Berichterstattung führt. Ob und wie der BGH zu § 97a UrhG steht, wird nun erst noch zu klären sein.

Fazit

Der BGH hat hier ein Urteil gesprochen, das er mit hoher Sicherheit in der Zukunft stark eingrenzen, wenn nicht sogar revidieren müssen wird. Der Gerichtshof geht auf den besonderen Sachverhalt, dass hier ein Passwort verwendet wurde, das im Grundsatz sicher ist, nicht ein. Stattdessen zieht er sich auf Gemeinplätze zurück, die im konkreten Fall ohne weiteres eigentlich gar nicht anwendbar waren.

Nicht nachvollziehbar bleibt, wieso der BGH § 10 TMG erörtert, aber zu § 8 TMG kein Wort sagt. Hier hätte der BGH m.E. auf die Sondersituation bei Access-Providern eingehen müssen und – daraus folgend – eine Verantwortlichkeit des beklagten WLAN-Betreibers ablehnen. Die Behauptung, dass allein die Zugangsvermittlung zum Internet bei gleichzeitig fehlender Identitätskontrolle eine Haftung begründet, wird sich jedenfalls nicht halten lassen.

Das Urteil v. 12.05.2010, Az. 1 ZR 121/08 im Volltext.