Die Ventile in der Nacht
Ercan Özkul kaufte am 10. Januar 2022 bei der Bardenhagen Software GmbH für 59 € die App „Bardenhagen Gartenuhr“, die die Magnetventile seiner Gartenbewässerung schaltet. Ende 2024 stellte Bardenhagen die Pflege der App ein und teilte das den Nutzern mit. Im Mai 2026 wird eine gravierende Sicherheitslücke der App öffentlich bekannt, über die sich die Ventile aus der Ferne öffnen lassen. Bardenhagen erfährt davon, unternimmt nichts und warnt niemanden. In der Nacht zum 3. Juli 2026 öffnet ein Unbekannter über diese Lücke sämtliche Ventile; Özkuls Souterrainräume laufen voll, Möbel und ein Klavier sind zerstört, Schaden 9.400 €.
Kann Özkul von Bardenhagen Ersatz der 9.400 € verlangen?
Lösung
Özkul könnte gegen Bardenhagen einen Anspruch auf Ersatz der 9.400 € haben — vertraglich wegen einer Verletzung der Aktualisierungspflicht aus § 327f BGB, deliktisch aus § 823 I BGB. Zu prüfen ist, ob die Aktualisierungspflicht 2026 noch bestand und ob den Anbieter danach noch eine deliktische Pflicht traf, vor der bekannt gewordenen Lücke zu warnen.
Vertraglich ist nichts zu holen, und das gehört in einen Halbsatz: Der nach § 327f I 3 Nr. 2 BGB erwartbare Zeitraum für eine 59-€-App ist nach über vier Jahren jedenfalls abgelaufen, und Ansprüche wären nach § 327j I und III BGB längst verjährt.
Fraglich ist, ob den Anbieter danach noch eine deliktische Pflicht trifft. Den Hersteller treffen nach ständiger Rechtsprechung des Bundesgerichtshofs vier Verkehrspflichten — Konstruktion, Fabrikation, Instruktion und Produktbeobachtung; die Produktbeobachtungspflicht verlangt, Gefahren zu verfolgen, die sich erst im Gebrauch zeigen, und notfalls zu warnen oder zurückzurufen. Das System dieser Pflichten wird im Feld zur Produkthaftung behandelt. Hier zählt die Übertragung: Eine Software, die körperliche Vorgänge steuert, schafft dieselbe Gefahr wie ein körperliches Produkt, und diese Gefahr entsteht typischerweise erst im Gebrauch — nämlich in dem Augenblick, in dem eine Lücke bekannt wird.
Subsumtion am Sachverhalt: Bardenhagen wusste im Mai 2026 von der Lücke, wusste, dass die App Magnetventile schaltet, und tat nichts — keine Warnung, kein Hinweis, die App abzuschalten. Die Eigentumsverletzung an Möbeln und Klavier, der Pflichtverstoß und die Ursächlichkeit liegen damit vor; das Verschulden ist bei bewusster Untätigkeit unproblematisch (§ 276 II BGB).
Die Grenze muss man selbst ziehen, sonst wird die Figur uferlos: Die Verkehrspflicht zwingt nicht, ein eingestelltes Produkt ewig weiterzuentwickeln. Geschuldet ist das mildere Mittel — die Warnung. Wer für ein abgekündigtes Produkt einen „Anspruch auf Sicherheitsupdates“ aus § 823 I BGB herleitet, überdehnt sie; wer die unterlassene Warnung rügt, trifft den Kern.
Und das Zeitgefälle, das den Fall lehrreich macht: Vertragliche Ansprüche verjähren nach § 327j I BGB in zwei Jahren ab Bereitstellung, deliktische nach §§ 195, 199 I BGB in drei Jahren ab dem Schluss des Jahres, in dem der Anspruch entstanden ist und der Geschädigte Kenntnis erlangt hat. Das Delikt lebt also weiter, wenn das Vertragsrecht längst erloschen ist. Über das Produkthaftungsgesetz liefe der Fall dagegen nicht ohne Weiteres: Nach dem geltenden Gesetz ist Software dort nicht ausdrücklich als Produkt erfasst — dazu das Feld zur Produkthaftung.
Ergebnis: Özkul kann die 9.400 € nicht vertraglich, wohl aber deliktisch aus § 823 I BGB verlangen. Die Aktualisierungspflicht des § 327f BGB war 2026 erloschen; die deliktische Pflicht, vor einer bekannt gewordenen Gefahr zu warnen, war es nicht.
Häufiger Fehler · Klausurtipp — Die Aktualisierungspflicht muss man nicht im Sachverhalt suchen; sie steht in § 327f I BGB und gilt ohne Abrede. Entscheidend ist allein ihre Dauer; diese bestimmt § 327f I 3 Nr. 2 BGB nach Art und Zweck des Produkts, nicht nach einem Kalenderwert. Wer „zwei Jahre“ hinschreibt, ohne zu begründen, warum gerade hier, hat den Leitwert mit einer Frist verwechselt.