Schlagwort-Archive: WPA

AG Koblenz: Keine Haftung des Betreibers eines Hotel-WLANs

Free WiFi (Montréal)Auch das AG Koblenz vom 18.06.2014 – Az. 161 C 145/14 (Volltext hier) hat sich kürzlich mit der (Störer-)Haftung des Betreibers eines Hotel-WLANs befasst (s. auch zum Urteil des AG Hamburg vom  10.6.2014 – 25b C 431/13; zum Urteil des LG Frankfurt vom 18.08.2010 – 2-06 S 19/09 (PDF); zum Urteil des LG Frankfurt vom 28.06.2013).

1. Der Sachverhalt

In dem dem Urteil zu Grunde liegenden Fall wurde der Inhaber eines Hotels abgemahnt, der seinen Gästen ein WLAN zur Verfügung gestellt hatte (zur wirtschaftlichen Bedeutung von kostenlosem WLAN u.a. in Hotels hier). Das WLAN war verschlüsselt, der Hotelinhaber änderte das Passwort regelmäßig.

Das AG Koblenz wies die Klage gegen den Hotelinhaber – wie schon in ähnlichen Konstellationen das AG Hamburg und das LG Frankfurt – ab.

2. Die Gründe

Das Gericht lehnt aufgrund der Erschütterung der Vermutung der Haftung des Anschlussinhabers kurz und bündig eine täterschaftliche Haftung ab.

Anschließend lehnt es auch eine Haftung als Störer ab, da dem Hotelinhaber keine Verletzung seiner Prüfungs- und Überwachungspflichten vorzuwerfen sei:

Der WLAN-Anschluss des Beklagten war ausreichend gesichert. Der Beklagte hat hierzu glaubhaft erklärt, die Fritz-Box des Gästeanschlusses sei bei Auslieferung werkseitig mit WPA1/2 verschlüsselt gewesen. Es habe sich hierbei um die handelsübliche und zu diesem Zeitpunkt aktuelle Verschlüsselung gehandelt. Den Beklagten trifft nach höchstrichterlicher Rechtpsprechung hingegen keine Pflicht, seinen WLAN-Anschluss regelmäßig auf den neuesten Stand zu bringen.

Der erforderliche Sicherheitsstandard wurde von dem Beklagten auch dadurch eingehalten, dass er eigenen Angaben zufolge regelmäßig wechselnde Zugangspasswörter verwendet hat.

Darüber hinaus ist der Beklagte seiner Belehrungspflicht nachgekommen. …

Da es sich vorliegend um die erste Abmahnung des Beklagten handelt, bestand des Weiteren keine Verpflichtung des Beklagten, die Internetnutzung durch seine Gäste oder Angestellte zu überwachen.

3. Bewertung

Vom Ergebnis her stimmt das Urteil froh. Die Analyse der Gründe hinterlässt jedoch leider einen faden Beigeschmack.

Das AG Koblenz orientiert sich bei dem Urteil ganz offensichtlich am BGH-Urteil Sommer unseres Lebens (s. dazu auch meine Anmerkung in der MMR hier – PDF) und lehnt eine Täterhaftung ab. Allerdings fehlt auch hier der Hinweis auf § 8 TMG, ebenso wie schon bei den Urteilen des LG Frankfurt (und anders als beim AG Hamburg).

Bei den Prüfungspflichten überspannt das AG Koblenz nach meiner Auffassung den Bogen. Das AG Hamburg hat gerade erst – unter entsprechendem Bezug auf § 8 TMG – richtigerweise festgestellt, dass hier besonders strenge Maßstäbe an die Zumutbarkeit solcher Pflichten zu stellen sind.

Unter (offenbarem) Rückgriff auf das BGH-Urteil Sommer unseres Lebens erkennt das AG Koblenz an, dass das WLAN (nach bei Einrichtung aktuellem Stand, wieder eine Figur aus BGH Sommer unseres Lebens) gesichert war. Das kann von gewerblichen WLANs allerdings grundsätzlich nicht verlangt werden, wobei es sich bei Hotel-WLANs zumindest in Deutschland um eine verbreitete Maßnahme handelt, und bei Hotels durch das Einchecken immerhin ein unmittelbarer Kontakt mit der Möglichkeit der Mitteilung des Passworts besteht.

Ferner verlangt das AG Koblenz offenbar die regelmäßige Änderung des Kennworts. Letzteres ist – wenn man ein Kennwort einsetzt – durchaus sinnvoll.

Anschließend spricht das AG Koblenz von einer „Belehrungspflicht“ des Hotelinhabers. Dies ist jedoch problematisch. Denn eine solche Belehrung kann gegenüber den eigenverantwortlich handelnden Nutzern des WLANs grundsätzlich nicht verlangt werden. Auch diese Auffassung hat das AG Hamburg kürzlich vertreten (ebenso Sassenberg/Mantz, WLAN und Recht, Rn. 235 m.w.N.).

Letztlich postuliert das AG Koblenz eine angebliche Überwachungspflicht des Hotelinhabers nach einer ersten Abmahnung. Dabei bleibt unklar, ob es sich um die generell erste Abmahnung oder um die erste Abmahnung bezogen auf die konkrete Rechtsverletzung handelte (so z.B. das AG Hamburg; näher dazu Sassenberg/Mantz, WLAN und Recht, Rn. 217 m.w.N.). Eine solche Überwachungspflicht kann aber nicht bestehen, da sie ohnehin nur durch eine Kontrolle des Datenverkehrs erfolgen könnte, die wiederum einen Eingriff in das für den Hotelinhaber anwendbare Fernmeldegeheimnis nach § 88 TKG darstellen würde. Möglich wäre nach der Rechtsprechung des BGH allenfalls, nach einem konkreten Hinweis andere (zumutbare) Prüfungs- und Überwachungsmaßnahmen zu verlangen (z.B. eine konkrete Belehrung des betroffenen Nutzers).

Insgesamt nun das vierte – mir bekannte – Urteil bezüglich eines Hotel-WLANs, die durchweg mit Klageabweisungen geendet haben. Offenbar häufen sich mittlerweile Fälle, die auch vor Gericht kommen.

(Danke für den Hinweis an initiative-abmahnwahn.de)

(Bild: @offenenetze)

AG Frankfurt, Urt. v. 14.6.2013 – 30 C 3078/12 (75): Personalisierung des Kennworts eines WLAN-Routers

Leitsatz (des Verfassers): Authentifizierungsschlüssel eines WLAN-Routers, die bereits ab Werk individuell pro Gerät vergeben werden, gewähren ein hinreichendes, hohes Schutzniveau. Eine Personalisierung ist in diesem Fall auch vor dem Hintergrund des Urteils BGH „Sommer unseres Lebens“ nicht erforderlich.

Tatbestand

Die Klägerin begehrt Schadensersatz aufgrund einer behaupteten Urheberrechtsverletzung durch den Beklagten sowie Kostenersatz wegen der durch die erfolgte Abmahnung entstandenen Rechtsanwaltsgebühren.

Die Klägerin gehört zu den führenden deutschen Tonträgerherstellern und ist als solche Inhaberin der ausschließlichen Verwertungsrechte des streitgegenständlichen Musikalbums _____ (Doppel-CD) der Musikgruppe ______ für das Gebiet der Bundesrepublik Deutschland.

Mit Anwaltsschreiben vom 08.12.2009 (Anlage K 3) mahnte die Klägerin den Beklagten ab, weil am 18.07.2009 um 12:45 Uhr (MEZ) über den Internetanschluss mit der IP-Adresse „79.229.15.172“ das Musikalbum _____ (Doppel-CD) der Musikgruppe _____ als Musikdatei zum Herunterladen verfügbar gemacht worden sei. Sie forderte ihn zur Abgabe einer strafbewehrten Unterlassungserklärung auf, wonach dieser sich verpflichten sollte, es bei Vermeidung einer für jeden Fall der Zuwiderhandlung fälligen Vertragsstrafe in Höhe von 5.001,- Euro zu unterlassen, geschütztes Musikrepertoire der Unterlassungsgläubiger ohne deren erforderliche Einwilligung im Internet verfügbar zu machen oder sonst wie zu verwerten. Eine entsprechende Erklärung gab der Beklagte ohne Anerkennung einer Rechtspflicht ab.

Die Klägerin behauptet, die von ihr in Auftrag gegebenen Ermittlungsmaßnahmen zur Feststellung von Verletzungen ihrer Leistungsschutzrechte durch unautorisierte Internet-Angebote hätten ergeben, dass am 18.07.2009 um 12:45 Uhr (MEZ) über den Internetanschluss mit der IP-Adresse „79.229.15.172“ das Musikalbum _____ (Doppel-CD) der Musikgruppe _____ zum Herunterladen verfügbar gemacht worden sei. Der Internet-Serviceprovider des Beklagten habe Auskunft dahingehend gegeben, dass die IP-Adresse zum oben genannten Zeitpunkt dem Internetzugang des Beklagten zugeordnet gewesen sei.

Die Klägerin behauptet, der Beklagte selbst habe die streitgegenständlichen Musikalbum für den Abruf durch andere Teilnehmer des Filesharing-Systems verfügbar gemacht.

Die Klägerin beantragt,

der Beklagte wird verurteilt, an die Klägerin einen angemessenen Wertersatz in Höhe von mindestens 2.500,- Euro und 1.379,80 Euro Kostenersatz neben jeweils Zinsen in Höhe von 5 Prozentpunkten über dem jeweiligen Basiszinssatz seit Rechtshängigkeit zu zahlen.

Der Beklagte beantragt,

                   die Klage abzuweisen.

Der Beklagte behauptet, er habe die behauptete Rechtsverletzung nicht begangen. Er habe zu keinem Zeitpunkt die streitgegenständliche Datei und ein Filesharingprogramm auf seinem Rechner vorgehalten. Zu dem damaligen Zeitpunkt seien seine Ehefrau mit ihrem Rechner, sein 16-jähriger Sohn mit seinem Laptop sowie seine 20-jährige Tochter mit ihrem Laptop über das WLAN-Netzwerk an dem Internetanschluss des Beklagten angebunden gewesen. Der Beklagte habe keine Kenntnis davon gehabt, dass einer der übrigen Familienmitglieder den Anschluss für rechtswidrige Aktivitäten nutzt. Er habe im September 2006 im Familienkreis mit der Ehefrau die zwei Kinder belehrt, illegales und strafbares Herunterladen und zum Download bereit stellen von urheberrechtlich geschützten Werken zu unterlassen und insbesondere keine Tauschbörsen zu nutzen. Er habe seinen Kindern ausdrücklich die Nutzung der Dienste BitTorrent, Applejuice, Directconnect und eDonkey, aber auch die Nutzung vergleichbarer Dienste untersagt.

Der Beklagte behauptet ferner, der von ihm im streitgegenständlichen Zeitpunkt genutzte W-Lan-Router sei eine Fritz-Box W-Lan 750 gewesen. Der Internetanschluss sei WEP-verschlüsselt gewesen.

Das Gericht hat Beweis erhoben durch Vernehmung der Zeugin _____ sowie die informatorische Anhörung des Beklagten.

Hinsichtlich des Ergebnisses der Beweisaufnahme wird auf das Protokoll der Verhandlung vom 24.05.2013 Bezug genommen.

Zur Ergänzung des Tatbestandes wird Bezug genommen auf alle Schriftsätze der Parteien nebst Anlagen und sonstigen Aktenteile.

Entscheidungsgründe

I. Die Klage ist zulässig.

Die örtliche Zuständigkeit des Amtsgerichts Frankfurt am Main ergibt sich aus § 32 ZPO. Danach ist das Gericht zuständig, in dessen Bezirk die beanstandete Handlung begangen worden ist. Dies ist hier der Ort, an dem auch nur eines der spezifischen Tatbestandsmerkmale des Deliktes verwirklicht worden ist, also nicht nur der Begehungsort, sondern auch der Erfolgsort (vgl Zöller/Vollkommer, ZPO, 29. Auflage, § 32 Rn 16). Da eine ins Internet gestellte Tonaufnahme auch in Frankfurt aufgerufen werden konnte, ist das Amtsgericht  Frankfurt örtlich zuständig.

II. Die Klage ist jedoch unbegründet.

1.

Die Klägerin hat gegen den Beklagten keinen Anspruch auf Schadenersatz aus § 97 Abs. 2 UrhG, da eine Haftung des Beklagten als Täter oder Teilnehmer der behaupteten Urheberrechtsverletzung nicht in Betracht kommt.

Die Klägerin hat dafür, dass der Beklagte selbst die Urheberrechtsverletzung begangen hat, keinen Beweis angeboten. Die Klägerin kann sich insofern auch nicht auf Beweiserleichterungen stützen. Denn die tatsächliche Vermutung, dass der Inhaber eines Internetanschlusses für eine von diesem Anschluss aus begangene Rechtsverletzung verantwortlich ist (vgl. BGH, Urteil vom 12.05.2010, I ZR 121/08 – juris), ist hinreichend entkräftet.

Die Vermutung der Verantwortlichkeit des Anschlussinhabers beruht nämlich (mangels einer dem § 831 Abs. 1 S. 2 BGB oder § 18 Abs. 1 S. 2 StVG  entsprechenden Regelung) nicht auf einer gesetzlichen Wertung, sondern wie der Beweis des ersten Anscheins auf der Annahme eines der Lebenserfahrung entsprechenden Geschehensablaufs, wonach in erster Linie der Anschlussinhaber seinen Internetzugang nutzt, jedenfalls über die Art und Weise der Nutzung bestimmt und diese mit Tatherrschaft bewusst kontrolliert. Diese Annahme wird erschüttert und die Vermutungsgrundlage beseitigt, wenn Umstände feststehen, aus denen sich die ernsthafte Möglichkeit eines anderen Geschehensablaufs – nämlich der Alleintäterschaft eines anderen Nutzers des Internetanschlusses – ergibt. Dafür wird es regelmäßig genügen, wenn Hausgenossen des Anschlussinhabers – wie sein Ehegatte – selbständig auf den Internetanschluss zugreifen können. (vgl. OLG Köln, Beschluss vom 24.03.2011, I-6 W 42/11, 6 W 42/11 – juris; OLG Köln, Urteil v. 16.05.2012, I-6 U 239/11, 6 U 239/11).

Dies ist vorliegend der Fall, da der Beklagte der ihm nach der Rechtsprechung des Bundesgerichtshofs obliegenden sekundären Darlegungslast (BGH, Urteil vom 12.05.2010, I ZR 121/08) nachgekommen ist.

Er hat substantiiert dargetan und in seiner informatorischen Anhörung angegeben, dass neben ihm, die im Haushalt wohnende Ehefrau, seine damals 20-jährige Tochter und sein damals 16-jähriger Sohn über eigene Rechner verfügten, die jeweils Zugriff zu dem W-Lan-Anschluss hatten. Seine Angaben sind glaubhaft und lebensnah. Er berichtete in Übereinstimmung mit der Zeugin widerspruchsfrei und objektiv von den damaligen Verhältnissen. Das Gericht hat keinen Zweifel, dass in einem Vier-Personenhaushalt im Jahr 2009 alle Familienmitglieder – insbesondere Kinder im Alter von 16 und 20 Jahren – über eigene Computer verfügen und das Internet nutzen.

Es ist daher ernsthaft möglich, dass die rechtsverletzende Handlung von einem der drei weiteren Familienmitglieder begangen worden ist, das ebenfalls den W-Lan-Anschluss des Beklagten nutzte.

Dafür, dass der Beklagte als Anstifter oder Gehilfe an der Tat seiner Familienmitglieder beteiligt gewesen sein könnte und aus diesem Grunde auf Schadensersatz haften würde, sind keine Anhaltspunkte ersichtlich.

2.

Die Klägerin hat gegen den Beklagten auch keinen Anspruch auf Erstattung von Rechtsanwaltsgebühren aus § 97a Abs. 1 S. 2 UrhG,

Der Beklagte haftet als Inhaber des Internetanschlusses auch nicht als Störer wegen einer von einem Dritten begangenen Urheberrechtsverletzung auf Unterlassung. Auch die von der Klägerin geltend gemachten Ansprüche auf Erstattung von Abmahnkosten sind daher nicht begründet, da die Abmahnung unter keinem Gesichtspunkt berechtigt war.

Als Störer kann bei der Verletzung absoluter Rechte auf Unterlassung in Anspruch genommen werden, wer – ohne Täter oder Teilnehmer zu sein – in irgendeiner Weise willentlich und adäquat kausal zur Verletzung des geschützten Rechts beiträgt. Da die Störerhaftung nicht über Gebühr auf Dritte erstreckt werden darf, die nicht selbst die rechtswidrige Beeinträchtigung vorgenommen haben, setzt die Haftung des Störers die Verletzung von Prüfpflichten voraus. Deren Umfang bestimmt sich danach, ob und inwieweit dem als Störer in Anspruch Genommenen nach den Umständen eine Prüfung zuzumuten ist (vgl. BGH, Urteil vom 12.05.2010, I ZR 121/08 – juris)

Die Anforderungen an die Aufsichtspflicht, insbesondere die Pflicht zur Belehrung und Beaufsichtigung von Kindern, richten sich nach der Vorhersehbarkeit des schädigenden Verhaltens. Dabei hängt es hauptsächlich von den Eigenheiten des Kindes und seinem Befolgen von Erziehungsmaßnahmen ab, in welchem Umfang allgemeine Belehrungen und Verbote ausreichen oder deren Beachtung auch überwacht werden muss (vgl BGH, NJW 2009, 1952 Rn. 17; NJW 2009, 1954 Rn. 14, jeweils mwN).

Danach genügen Eltern ihrer Aufsichtspflicht über ein normal entwickeltes Kind, das ihre grundlegenden Gebote und Verbote befolgt, regelmäßig bereits dadurch, dass sie das Kind über die Rechtswidrigkeit einer Teilnahme an Internettauschbörsen belehren und ihm eine Teilnahme daran verbieten. Eine Verpflichtung der Eltern, die Nutzung des Internets durch das Kind zu überwachen, den Computer des Kindes zu überprüfen oder dem Kind den Zugang zum Internet (teilweise) zu versperren, besteht grundsätzlich nicht. Zu derartigen Maßnahmen sind Eltern erst verpflichtet, wenn sie konkrete Anhaltspunkte dafür haben, dass das Kind dem Verbot zuwiderhandelt. (BGH, Urteil v. 15.11.2012, I ZR 74/12 – juris)

Der Beklagte hat seiner Aufsichtspflicht dadurch genügt, dass er seinen Kindern die rechtswidrige Teilnahme an Internettauschbörsen nach einer entsprechenden Belehrung verboten hat. Der Beklagte hat in seiner informatorischen Befragung nachvollziehbar, lebensnah und glaubhaft vorgetragen, er habe seinerzeit über so genannte illegale Tauschbörsen gehört und mit seinen Kindern im September 2006 darüber gesprochen und ihnen die Teilnahme an solchen verboten. Er sei hierfür sensibilisiert gewesen, da er auch selbständig sei, er von den finanziellen Nöten von Musikern wisse und das es sich bei der entsprechenden Musik um geistiges Eigentum handle, was man nicht ohne Zahlung illegal herunterladen dürfe. Für die Glaubhaftigkeit seiner Angaben spricht auch, dass der Beklagte in seiner informatorischen Anhörung nicht nur für ihn Günstiges mitteilte, sondern u.a. auch angab, dass er den Authentifizierungsschlüssel auf seiner Fritz-Box nicht personalisiert habe.

Damit ist der Beklagte den an die Vorgabe von Verhaltensregeln zu stellenden Anforderungen gegenüber seinen Kindern nachgekommen.

Eine Verletzung zumutbarer Prüfpflichten gegenüber der Ehefrau des Beklagten, der Zeugin ______, ist ebenfalls nicht festzustellen. Denn es sind keine konkreten Anhaltspunkte zu erkennen, dass der Beklagte wusste oder hätte wissen müssen, dass seine Ehefrau Urheberrechtsverletzungen über seinen Internetanschluss begeht, die er durch zumutbare Maßnahmen hätte verhindern können. Denn ein Ehemann kann seiner Ehefrau, solange er keine konkreten Anhaltspunkte für Rechtsverletzungen hat, den auf seinen Namen laufenden Internetanschluss überlassen, ohne diese ständig überwachen zu müssen. Sofern der Anschlussinhaber nicht mit einer Rechtsverletzung durch seinen Ehepartner rechnen muss, sind Hinweis-, Aufklärungs- und Überprüfungspflichten diesem gegenüber unzumutbar. (OLG Frankfurt, Beschluss v. 22.03.2013, Az. 11 W 8/13)

Der Beklagte hat auch die ihm als Betreiber eines WLAN-Anschlusses obliegende Prüfungspflicht hinsichtlich ausreichender Sicherungsmaßnahmen nicht verletzt.

Im Rahmen seiner informatorischen Anhörung teilte der Beklagte mit, seine W-Lan-Verbindung sei über WEP und einen 13-stelligen werksseitigen Authentifizierungsschlüssel gesichert gewesen. Dieser habe sich auf der Rückseite seiner Fritz-Box befunden. Zwar hat der Beklagte dieses Passwort nicht in ein persönliches Passwort geändert. Allerdings handelt es sich – gerichtsbekannt – bei den auf einer Fritz-Box seit 2004 verwendeten Authentifizierungsschlüsseln um solche, die bereits ab Werk individuell pro Gerät vergeben werden. Vor diesem Hintergrund ist der seitens des Bundesgerichtshofs in seiner Entscheidung vom 12.05.2010, I ZR 121/08 erstrebte Zweck eines hohen Schutzniveaus, welches den Zugriff unbefugter Dritter ausschließt, auch ohne ein persönliches Passwort – das regelmäßig nicht länger als 13-stellig sein wird – erreicht. Der Bundesgerichtshof kann in der oben zitierten Entscheidung lediglich die Fälle im Blick gehabt haben, in denen die Router einer Modellreihe werksseitig über den gleichen Authentifizierungsschlüssel verfügen, so dass ein effektiver Schutz für diese Fälle nur über eine sofortige Personalisierung des Passwortes gewährleistet war. (vgl. Mantz, Anm. zu BGH Urt. v. 12.05.2010 in MMR 2010, 569)

heise-online: US-Studie: WLAN-Nutzer überschätzen die eigene Sicherheit

heise-online berichtet über eine US-Studie, in der Wahrnehmung und Wirklichkeit der Sicherheit von WLAN-Netzen untersucht wurde: http://www.heise.de/newsticker/meldung/US-Studie-WLAN-Nutzer-ueberschaetzen-die-eigene-Sicherheit-1359025.html

Und hier der direkte Link zur Pressemitteilung über die Studie: http://www.wi-fi.org/news_articles.php?f=media_news&news_id=1085

Und wieder: Vorkonfigurierte WPA-Passwörter in WLAN-Routern teilweise unsicher

Wie heise-security meldet, sind viele voreingestellte WPA-Passwörter in WLAN-Routern unsicher.

Das ist grundsätzlich nichts Neues (s. dazu schon hier). Allerdings haben zwei Studenten nun weitere Details herausgefunden.

So leiten einige Hersteller, z.B. die Telekom bei ihrem Router W-700V ) das Passwort von der MAC-Adresse ab, die bei Broadcast-Nachrichten des Routers veröffentlicht wird.

So beginnt etwa der voreingestellte WPA-Key des Modells Speedport W 700V der Telekom-Hausmarke Speedport immer mit „SP-„, gefolgt von neun hexadezimalen Ziffern. Fünf davon lassen sich aus dem ebenfalls voreingestellten WLAN-Namen (SSID) und der MAC-Adresse der WLAN-Schnittstelle ableiten. Von den restlichen vier Stellen sind zwei stets gleich, sodass ein Angreifer insgesamt nur drei Stellen des WPA-Keys selbst erraten muss. Da nur hexadezimale Ziffern erlaubt sind, reduziert sich der Schlüsselraum auf 16 hoch 3, also 4096 Schlüssel.

Nun haben zwei Studenten ein Reverse-Engineering der Speedport-Firmware herausgefunden, dass zusätzlich drei Stellen der Seriennummer bei der Generierung der Seriennummer verwendet werden. Außerdem ist eine Stelle der Seriennummer fast immer eine 3. Im Ergebnis reduziere dies die Anzahl der möglichen Schlüssel auf 100. Das führt selbstverständlich zu einer erheblichen Unsicherheit des Netzwerks gegenüber Attacken.

Im Test konnten sie sich an einem Speedport W700V schon nach weniger als 4 Minuten anmelden. Betroffen sind nach Untersuchungen von Müller und Viehböck auch Speedport-Modelle W 303V (Typ A), W 500, W 502V, W 503V (Typ C) , W 504V, W 720V, W 722V (Typ B) und W 723V (Typ B).

Obwohl das Problem bereits seit rund einem Jahr bekannt ist (s. dazu hier), scheinen viele Besitzer dieser Router noch immer auf das alte Kennwort zu setzen:

 Müller und Viehböck haben bei Flächentests die Probe aufs Exempel gemacht. Bei der Überprüfung von knapp 14.000 Access Points in Stuttgart, München, Coburg und Berlin fanden die beiden heraus, dass zwischen 17 und 25 Prozent noch auf eine Speedport- oder Easybox-Standard-SSID eingestellt waren.

Der BGH hatte in seinem Urteil „Sommer unseres Lebens“ (BGH MMR 2010, 568 m. Anm. Mantz) vom Inhaber eines WLAN-Routers verlangt, dass er das Standard-Kennwort neu setzt. Dass der damalige Beklagte dies bei seinem WLAN-Router nicht gemacht hatte, sah der BGH als Verletzung seiner Prüfungs- und Überwachungspflichten an und verurteilte den Beklagten nach den Grundsätzen der Störerhaftung. Dies ist vielfach auf Kritik gestoßen. Denn der vom Beklagten verwendete WLAN-Router war ein Router der Marke AVM, der nach Aussagen des Herstellers mit einem vollständig zufälligen und damit vermutlich sicheren Standard-Passwort versehen war (s. dazu hier).

Mit Blick auf die größere Anzahl schlecht vorkonfigurierter WLAN-Router (auch wenn es sich bisher nur um diejenigen des Herstellers Arcadyan handelt), stellt sich das Urteil des BGH im Nachhinein als zumindest nachvollziehbar heraus. Streng genommen hätte der BGH (entsprechenden Vortrag und Beweisangebot der Parteien vorausgesetzt) allerdings klären müssen, ob der WLAN-Router des Beklagten tatsächlich unsicher war.

Es ist vor diesem Hintergrund allerdings allen Besitzern von WLAN-Routern zu raten, das Standardkennwort abzuändern. Dafür ist eine zufällige Folge mit mind. 20 Zeichen empfehlenswert, wie sie sich z.B. bei http://www.freepasswordgenerator.com generieren lässt.

 

S. auch:


WLAN-Router: Voreingestellte WPA-Passwörter teilweise zu unsicher

Mit Blick auf das Urteil des BGH (Urt. v. 12.5.2010 – I ZR 121/08: Sommer unseres Lebens, s. dazu hier, hier, hier, hier und hier) erhält die heute auf heise-online veröffentlichte Meldung mit dem Titel „WPA-Key von Speedport-Routern zu einfach“ neue Bedeutung:

In der Meldung wird berichtet, dass insbesondere bei den (von der Telekom häufig zu DSL-Anschlüssen gelieferten und daher relativ weit verbreiteten) WLAN-Routern der Speedport-Reihe (W700V, W500V; dagegen ist W701V wohl nicht betroffen das voreingestellte Kennwort vom Hersteller zu einfach gewählt wurde. Zwar ist das Kennwort auf den Router individualisiert, aber mit den durch die gesendeten Pakete veröffentlichten Informationen lässt sich der Schlüssel bis auf 3 Ziffern ableiten. Die restlichen 3 Ziffern mit nur 4096 Möglichkeiten lassen sich hingegen leicht durch ein Skript ausprobieren. Damit sind diese Router mit Standardkennwort tatsächlich als unsicher zu bezeichnen.

Der BGH hatte in seinem Urteil vom 12.5.2010 – I ZR 121/08 (Sommer unseres Lebens) den Beklagten deshalb nach den Grundsätzen der Störerhaftung verurteilt, weil er ein solches Routerkennwort nicht geändert hatte. Dabei war der BGH wohl fälschlicherweise davon ausgegangen, dass es sich um ein Standardkennwort wie „1234“ handelte. Der Hersteller AVM hingegen hatte darauf hingewiesen, dass die gewählten Kennwörter zufällig und damit sicher seien (s. hier). Für die o.g. Konkurrenzprodukte stimmt diese These aber nun nicht mehr.

Daher ist jedem Betreiber eines verschlüsselten WLAN – unabhängig vom Hersteller des Routers – mit Blick auf das Urteil des BGH und diese neuen Erkenntnisse zu raten, sein Kennwort individuell festzulegen. Dabei ist eine zufällige Folge mit mind. 20 Zeichen empfehlenswert, wie sie sich z.B. bei http://www.freepasswordgenerator.com generieren lässt.

Erneut zum Tatbestand des WLAN-Urteils des BGH – Sicheres Kennwort oder nicht?

Simon Moeller von Telemedicus macht mich eben auf eine Klarstellung des Fritz!Box-Herstellers AVM zur Verschlüsselung seiner Router aufmerksam:

http://www.avm.de/de/News/artikel/2010/wlan_urteil.html

„AVM liefert FRITZ!Box-Produkte ab Werk mit einem individuellen WLAN-Netzwerkschlüssel aus. Damit ist eine FRITZ!Box bereits ab dem ersten Einschalten sicher vor unberechtigten Zugriffen. Dieses Verfahren wenden wir seit der Auslieferung der ersten FRITZ!Box mit WLAN im Jahre 2004 an.“

Leider bleibt das Dilemma, dass wir nicht genau wissen, welchen Router der Beklagte verwendet hat. Denn es bleibt eine Luecke, in der wir nicht genau sagen koennen, ob der Router individualisiert war.

Ich habe daher soeben eine Mail an die Pressestelle von AVM geschickt und um weitere Informationen gebeten:

„Sehr geehrte Damen und Herren,

ich habe soeben mit Interesse Ihre Pressemitteilung zum Urteil des BGH (http://www.avm.de/de/News/artikel/2010/wlan_urteil.html) gelesen.
Ich habe fuer die Zeitschrift Multimedia und Recht (MMR) in deren „aktuell“-Teil bereits eine Kurzanmerkung zur Pressemitteilung des Urteil verfasst (MMR-aktuell 2010, 303438) und bearbeite gerade eine volle Anmerkung fuer die Zeitschrift selbst, die vermutlich im Juli-Heft erscheinen wird. Ausserdem habe ich das Urteil bereits kurz in meinem Blog „Offene Netze und Recht“ (http://www.retosphere.de/offenenetze/2010/06/04/das-wlan-urteil-des-bgh-und-seine-auswirkungen-auf-offene-netze/) besprochen. Bei der Bearbeitung faellt aber auf, dass aus dem Tatbestand des Urteils des BGH nicht deutlich wird, wie genau die Sicherung des WLAN-Routers des Beklagten ausgesehen hat (s. z.B. zu den Unsicherheiten Simon Moeller,
http://www.telemedicus.info/article/1774-Der-BGH-zur-WLAN-Haftung.html).
Dennoch scheint das Urteil bei Ihnen genug Eindruck hinterlassen zu haben, um die oben angefuehrte Pressemitteilung herauszugeben.

Leider fehlt trotz der Informationen in Ihrer Pressemitteilung noch ein letzter Schritt, und ich hoffe, dass Sie mir hier evtl. weiterhelfen koennen:

Nach den Informationen, die zur Verfuegung stehen, war der Fritz!Box-Router des Beklagten mit einem 16-stelligen Passwort gesichert und ausserdem mit WPA verschluesselt. In Ihrer Pressemitteilung heisst es, dass ab 2004 nur noch individualisierte Passwoerter vergeben wurden. Soweit ich es herausfinden konnte, wurde ebenfalls 2004 WPA offiziell verabschiedet. Allerdings wurde laut Tatbestand des LG Frankfurt der Computer 2003/2004 eingerichtet. Der Filesharing-Vorfall erfolgte im Jahr 2006.

Es ist aber weiter nicht ganz klar, ob das Passwort im konkreten Fall auf den Router individualisiert war, oder aus einer fuer alle Router der Modellreihe gleichen Kennung bestand.

Daher meine zwei Fragen:
1) Gab es je einen Router aus Ihrem Hause aus den Vertriebsjahren 2003-2006 (einschliesslich), der mit einem 16-stelligen Passwort und WPA standardmaessig aktiviert versehen war, ohne dass das Kennwort auf den Router individualisiert war?

2) Wie sah so ein individualisiertes Passwort aus? War es eine Abfolge von zufaelligen oder nahezu zufaelligen Zeichen?

Vielen Dank und mit freundlichen Gruessen“

Ich hoffe, dass die Antwort von AVM Licht ins Dunkel bringt und werde hier berichten.

Update: Mittlerweile habe ich mit der Pressestelle von AVM gesprochen. Die Antworten finden sich hier.