Schlagwort-Archive: wireless

WLAN-Router: Voreingestellte WPA-Passwörter teilweise zu unsicher

Mit Blick auf das Urteil des BGH (Urt. v. 12.5.2010 – I ZR 121/08: Sommer unseres Lebens, s. dazu hier, hier, hier, hier und hier) erhält die heute auf heise-online veröffentlichte Meldung mit dem Titel „WPA-Key von Speedport-Routern zu einfach“ neue Bedeutung:

In der Meldung wird berichtet, dass insbesondere bei den (von der Telekom häufig zu DSL-Anschlüssen gelieferten und daher relativ weit verbreiteten) WLAN-Routern der Speedport-Reihe (W700V, W500V; dagegen ist W701V wohl nicht betroffen das voreingestellte Kennwort vom Hersteller zu einfach gewählt wurde. Zwar ist das Kennwort auf den Router individualisiert, aber mit den durch die gesendeten Pakete veröffentlichten Informationen lässt sich der Schlüssel bis auf 3 Ziffern ableiten. Die restlichen 3 Ziffern mit nur 4096 Möglichkeiten lassen sich hingegen leicht durch ein Skript ausprobieren. Damit sind diese Router mit Standardkennwort tatsächlich als unsicher zu bezeichnen.

Der BGH hatte in seinem Urteil vom 12.5.2010 – I ZR 121/08 (Sommer unseres Lebens) den Beklagten deshalb nach den Grundsätzen der Störerhaftung verurteilt, weil er ein solches Routerkennwort nicht geändert hatte. Dabei war der BGH wohl fälschlicherweise davon ausgegangen, dass es sich um ein Standardkennwort wie „1234“ handelte. Der Hersteller AVM hingegen hatte darauf hingewiesen, dass die gewählten Kennwörter zufällig und damit sicher seien (s. hier). Für die o.g. Konkurrenzprodukte stimmt diese These aber nun nicht mehr.

Daher ist jedem Betreiber eines verschlüsselten WLAN – unabhängig vom Hersteller des Routers – mit Blick auf das Urteil des BGH und diese neuen Erkenntnisse zu raten, sein Kennwort individuell festzulegen. Dabei ist eine zufällige Folge mit mind. 20 Zeichen empfehlenswert, wie sie sich z.B. bei http://www.freepasswordgenerator.com generieren lässt.

AG Wuppertal, Beschl. v. 3.8.2010 – 26 Ds-10 Js 1977/08-282/08: Schwarz-Surfen (doch) nicht strafbar (inkl. Volltext)

Das AG Wuppertal hat offenbar seine Ansicht  bzgl. der Strafbarkeit des Schwarz-Surfens korrigiert und kommt nun in einem ablehnenden Eröffnungsbeschluss (Volltext s.u.) zum Ergebnis, dass eine Strafbarkeit nicht gegeben ist.

Dabei hatte das AG Wuppertal mit Teilen der Literatur mit einem Urteil aus dem Jahre 2007 (AG Wuppertal, Urteil vom 3. 4. 2007 – 22 Ds 70 Js 6906/06) noch die Auffassung vertreten, dass die Nutzung eines offenen WLAN durch Dritte nach §§ 89, 148 TKG, §§ 43 II Nr. 3, 44 BDSG strafbar sei. Dem war anschließend das AG Zeven gefolgt (s. dazu hier; Bericht über eine weitere „öffentliche Festnahme“ hier).

Nun hat das AG Wuppertal auf die immer wieder geäußerte Kritik reagiert und seine Ansicht geändert:

Diese Ansicht überspannt jedoch den Schutz- und Strafbereich der hier in Betracht kommenden Strafvorschriften.

(im einzelnen s.u. sowie die Besprechung von Jens Ferner)

Damit läuft eine Rechtsfrage wieder auf ihre (richtige) Klärung zu. Vor allem könnte dies auch Auswirkungen auf das noch laufenden Ermittlungsverfahren gegen Google haben, wobei man allerdings nicht vergessen darf, dass in jenem Fall Daten tatsächlich gespeichert wurden, ohne dazu hier eine Bewertung vorzunehmen. Aber jedenfalls die beim Schwarz-Surfen üblicherweise automatisch zugewiesene IP-Adresse wird vom AG Wuppertal nicht mehr als „abgefangene Nachricht“ nach § 89 TKG eingestuft.

Links:

Update: Das Aktenzeichen lautet „26 Ds-10 Js 1977/08-282/08“, nicht wie ursprünglich angegeben „20 Ds-10 Js 1977/08-282/08“. Danke an RA Gramespacher (www.miur.de) für den Hinweis.

Volltext

AG Wuppertal, Beschl. v. 3.8.2010 – 26 Ds-10 Js 1977/08-282/08

Amtsgericht Wuppertal

Beschluss

In der Strafsache
gegen […]
wegen Ausspähen von Daten

(Tenor:)

Der Antrag auf Eröffnung des Hauptverfahrens wird aus rechtlichen Gründen abgelehnt.
Die Kosten des Verfahrens und die notwendigen Auslagen des Angeschuldigten hat die Staatskasse zu tragen.

Gründe
Nach den Ergebnissen des vorbereitenden Verfahrens erscheint der Angeschuldigte einer Straftat nicht hinreichend verdächtig. Hinreichender Tatverdacht im Sinne des §203 StPO ist zu bejahen, wenn bei vorläufiger Tatbewertung auf Grundlage des Ermittlungsergebnisses die Verurteilung in einer Hauptverhandlung wahrscheinlich ist.

Dies ist vorliegend nicht der Fall. Eine Strafbarkeit des Angeschuldigten ist nicht ersichtlich. Vorgeworfen wird ihm, sich am 26.08.2008 und am 27.o8.2oo8 mit seinem Laptop mittels einer drahtlosen Netzwerkverbindung in das offene Funknetzwerk des Zeugen I. eingewählt zu haben, um ohne Erlaubnis und ohne Zahlung eines Entgeltes die Internetnutzung zu erlangen.
Dieses Verhalten ist jedoch nicht strafbar.

Es erfüllt weder den Tatbestand des unbefugten Abhörens von Nachrichten nach §89 I 1 TKG noch des unbefugten Abrufens oder Verschaffens personenbezogener Daten nach §§44, 43 II Nr.3 BDSG.

Zwar wurde in der Entscheidung des Amtsgerichts Wuppertal vom 03.04.2010 (NStZ 2008, 161) ein solches Verhalten als strafbar gesehen. Danach sei der WLAN-Router eine elektrische Sende- und Empfangseinrichtung und damit eine Funkanlage im Sinne des §89 TKG. Die aufgrund der Internetnetzung abgehörte “Nachricht” sei in der Zuweisung einer IP-Adresse durch den Router zu sehen. Das Verhalten sei unbefugt, weil die IP-Adresse nicht für den Angeklagten bestimmt gewesen sei.

Zudem sei eine Strafbarkeit nach §44 i.V.m. §43 II Nr.3 BDSG gegeben, da durch Zugriff auf den Router personenbezogene Daten abgerufen würden. Da der Angeklagte des Nichtvorhandensein einer Flatrate des “Opfers” zumindestens billigend in Kauf nehme, handele er auch in Bereicherungs- bzw. Schädigungsabsicht.

Diese Ansicht überspannt jedoch den Schutz- und Strafbereich der hier in Betracht kommenden Strafvorschriften.

Eine Strafbarkeit nach §89 S.1 TKG ist nicht gegeben. Als “Nachricht” kommt hier allenfalls die automatische Zuweisung einer IP-Adresse an den Computer in Betracht (so AG Wuppertal, NStZ 2008, 161). Hierbei ist aber bereits äußerst fraglich, ob die Zuweisung einer IP-Adresse eine “Nachricht” im Sinne dieser Vorschrift darstellt (vgl. Popp, jurisPR-ITR 16/2008 Anm.4). Dass der Angeschuldigte andere Nachrichten des Zeugen I. unbefugt empfangen haben könnte, lässt sich nach dem Ermittlungsergebnis gerade nicht feststellen (BL. 79 d.A.). Jedenfalls ist durch das vorgeworfene Nutzen des Internetzugangs kein “abhören” im Sinne des §89 TKG gegeben. Dies ergibt sich bereits aus dem Wortlaut der Vorschrift. Unter Abhören ist das unmittelbare Zuhören oder das Hörbarmachen für andere, aber auch das Zuschalten einer Aufnahmevorrichtung zu verstehen. Dies erfordert jedenfalls einen zwischen anderen Personen stattfindenden Kommunikationsvorgang, den der Täter als Dritter mithört (vgl. Bär MMR 2005, 434, 440). Es müsste ein bewusster und gezielter Empfang fremder Nachrichten und das bewusste und gezielte Wahrnehmen fremder Nachrichten durch den Täter gegeben sein, um von einem Abhören von Nachrichten sprechen zu können. Dies ist bei dem Nutzer eines fremden WLAN nicht der Fall.

Für einen solchen bewussten und gezielten Empfang von Nachrichten durch den Angeschuldigten gibt es keine Anhaltspunkte. Dem Angeschuldigten kam es ausweislich der Anklage und des Ermittlungsergebnisses nur darauf an, durch Einwählen in das Netzwerk des Zeugen dessen Internetzugang mitbenutzen zu können. Das dabei notwendige Empfangen der IP-Adresse stellt kein Abhören fremder Nachrichten dar, denn hierdurch wird die Vertraulichkeit fremder Kommunikation nicht angegriffen (vgl. Popp, jurisPR-ITR 16/2008 Anm.4). Die IP-Adresse ist im Übrigen auch für den Angeschuldigten bestimmt gewesen, da er der einzige Teilnehmer der Internetverbindung gewesen ist. Damit ist er nicht Mithörer eines fremden Datenaustauschs (vgl. Bär MMR 2005, 434, 440).

Auch ist der Tatbestand des §44 I i.V.m. §43 II Nr.3 BDSG nicht erfüllt. Der Angeschuldigte hat ausweislich der Anklage und des Ermittlungsergebnisses keine personenbezogenen Daten abgerufen oder sich verschafft. In Betracht kommen auch hier allenfalls die IP-Daten. Die IP-Daten sind jedoch keine personenbezogenen Daten im Sinne des §3 I  BDSG (vgl. auch Popp, jurisPR-ITR 16/2008 Anm.4). Personenbezogene Daten sind hiernach alle Informationen über persönliche und sachliche Verhältnisse, die einer natürlichen Person zuzuordnen und nicht allgemein zugänglich sind.  Die IP-Adresse wird frei an den jeweiligen, das Netzwerk nutzenden Computer vergeben. Die Daten waren im Zeitpunkt des Empfangs durch den Angeschuldigten für diesen – als Nutzer des Computers der sich in das netzwerk einwählt – bestimmt und somit der Schutzbereich der Datendelikte nicht berührt (vgl. Popp, JurisPR-ITR 16/2008 Anm.4). Wer sich in ein WLAN einwählt, kann grds. nicht erkennen, wer der Betreiber des WLANs ist (MMR 2008, 632, 635). Dass dies bei dem Angeschuldigten  anders sein sollte, ist nicht ersichtlich und wäre nach dem derzeitigen Ermittlungsstand nicht nachweisbar (vgl. Aktenvermerk Bl. 79 d.A.).

Eine Strafbarkeit nach §202b StGB ist nicht gegeben, da die empfangenen IP-Daten für den Angeschuldigten als Nutzer des Netzwerks bestimmt sind (vgl. hierzu MMR 2008, 632, 634).

Lesetipp: Der Standard, Freie WLAN-Netze erobern Europa

Der Standard aus Österreich hat am 10.3.2010 über offene Netze in Europa berichtet und dafür Aaron Kaplan von funkfeuer.at interviewt. Der Fokus liegt dabei auch auf funkfeuer.at in Wien, aber auch das spanische Guifi und Freifunkt werden erwähnt.

Ein paar Ausschnitte:

„Angesichts der akut grassierenden Überwachungsideen und der Datenschutzdebatte im Internet ist das Konzept eines privat aufgebauten, dezentralen Breitbandnetzes mit lokalen Servern und Diensten aktueller denn je“, erklärt Aaron Kaplan.

„Neben unserem Bestreben, ein unabhängiges Bürgernetz zu schaffen, hatte das Netz von Anfang an immer auch einen experimentellen Charakter. Mittels der Technologie ist es theoretisch möglich, ein solarbetriebenes WLAN-Netz von Berggipfel zu Berggipfel aufzuspannen und so auch entlegene Gebiete zu erreichen, die bisher von Breitbandtechnologien abgeschnitten sind“

(via wireless in weimar-Mailingliste)

WLAN-Urteil des BGH: Router war gesichert (AVM)

Mittlerweile habe ich mit der Pressestelle des Fritz!Box-Herstellers AVM ueber die tatsaechlichen Grundlagen des WLAN-Urteils (hier, Besprechung hier) gesprochen. Dabei haben sich hinsichtlicher meiner Fragen (s. hier, s. auch die AVM-Pressemitteilung) die folgenden Erkenntnisse ergeben:

  1. AVM liefert seit 2004 WLAN-faehige Router aus. Diese Router waren von Anfang an mit einem auf den Router individualisierten Kennwort versehen.
  2. Das Kennwort besteht aus 16 zufaelligen Ziffern und ist auf dem Router ausgedruckt.

Mit anderen Worten: Der Beklagte im Urteil des BGH hat mit Sicherheit einen durch ein 16-stelliges zufaelliges und unbekannten Dritten nicht bekanntes Kennwort gesicherten WLAN-Router verwendet.

Es stellt sich die Frage, ob das dem BGH klar war, als er sein Urteil gefaellt hat. Diese Frage wage ich mit „nein“ zu beantworten. Denn ein personalisiertes, nachtraeglich eingerichtetes Kennwort ist im Zweifel sogar unsicherer als das voreingestellte 16-stellige Kennwort.

Vermutlich ist der BGH also davon ausgegangen, dass das „standardmaessig voreingestellte Kennwort“ fuer alle Router der Modellreihe gleich war – und damit einem Dritten bekannt sein konnte. Hier bestand nach dieser Lesart eine Luecke im Sachverhalt, die im Laufe des Verfahrens nicht geschlossen wurde.

Zur Problematik, ob der Aufdruck des Kennworts auf dem Router die Quelle der Unsicherheit gewesen sein koennte, s. Moeller, Telemedicus. Allerdings haette sich der BGH dann mit der Frage beschaeftigen muessen, ob der Aufdruck bzw. die Mitteilung des Kennworts z.B. an Haushaltsmitglieder fuer eine Annahme der Stoererhaftung ausreicht – was im Hinblick darauf, dass der BGH ebenfalls festgestellt hat, dass das Teilen des Internetanschlusses in Ordnung ist, kaum haette ausgereichen koennen.

Eine Analogie zum WLAN-Urteil des BGH

Ich habe mich gerade mit einem amerikanischen Kollegen ueber das WLAN-Urteil des BGH unterhalten. Und er hat das Urteil in eine sehr verstaendliche Form uebersetzt und mich gefragt:

„Nehmen wir an, dass ich eine Scheune auf dem Land besitze. Jemand benutzt diese Scheune, ohne dass ich es weiss, um dort Bootlegs (=nicht autorisierte Tonaufzeichnung) zu verkaufen.

Laut dem German Supreme Court soll ich dafuer haftbar sein?“

Und ich musste ihm antworten:

„Ja, und es wird noch besser, denn Du hast Deine Scheune sogar mit einem Zaun gesichert, aber der Typ hat das Tor aufgebrochen.“

Sein Kommentar war so etwas aehnliches wie „stupid fucked up Germans“… 🙂

Interview zum WLAN-Urteil des BGH in der Jungle-World

In eigener Sache: In der Jungle-World ist ein Interview mit mir zum WLAN-Urteil des BGH erschienen: http://jungle-world.com/artikel/2010/22/41060.html

Dabei ist zu beachten, dass dieses auf dem Kenntnisstand der Pressemitteilung beruht, der sich durch die Urteilsbegruendung massgeblich geaendert hat.

Das WLAN-Urteil des BGH und seine Auswirkungen auf offene Netze

Für das am 12.5.2010 (Urt. v. 12.5.2010 – I ZR 121/08 – Sommer unseres Lebens) verkündete Urteil des BGH zur Haftung des Inhabers eines Internetanschlusses mit WLAN liegt mittlerweile die Begründung vor, nachdem sich zuvor alle Äusserungen nur auf die Pressemitteilung des BGH bezogen konnten (s. den Volltext hier).

1. Der Fall

Obwohl über den Fall schon mehrfach geschrieben wurde, ist die tatsächliche Grundlage des Urteils auch mit Vorliegen der Urteilsgründe leider noch nicht vollends geklärt.

Fest steht, dass der Beklagte Inhaber eines Internetanschlusses ist, und dass er einen WLAN-Router daran angeschlossen hatte. Während der Inhaber nachweislich im Urlaub war, hat ein unbekannter Dritter über sein WLAN den Titel „Sommer unseres Lebens“ über das Emule-P2P-Netzwerk angeboten. Die vom Rechteinhaber mit der Überwachung des Titels beauftragte Firma hat die IP-Adresse festgestellt und diesen über eine Auskunft beim Telekommunikationsanbieter des Beklagten dessen Namen und Anschrift erhalten und diesen anschliessend abgemahnt und auf dessen Weigerung, eine Unterlassungserklärung abzugeben, auf Unterlassungs, Schadensersatz und Ersatz der Abmahnkosten verklagt.

Fest steht weiter, dass der WLAN-Router des Beklagten zum Tatzeitpunkt mit einem 16-stelligen Passwort gesichert war.

Unklar ist aber, ob dieses Passwort für alle Router der Modellreihe gleich und damit erratbar war, oder ob es auf den spezifischen Router personalisiert war. In den Feststellungen des LG Frankfurt (BGH und OLG Frankfurt spezifizieren dies nicht näher) heisst es dazu:

„Des Weiteren ist der Zugang auf den Router selbst bei aktivierter WLAN-Unterstützung werkseitig mit einer WPA-Verschlüsselung gesichert, welche bei Einwahl in das Netzwerk des Beklagten einen 16-stelligen Authentifizierungsschlüssel erfordert, der nur direkt über den Router auslesbar und von außen nicht erreichbar ist.“

S. dazu auch http://www.telemedicus.info/article/1774-Der-BGH-zur-WLAN-Haftung.html

2. Die Entscheidung des BGH

Der BGH hat auf Rechtsfolgenseite drei wesentliche Folgen ausgeurteilt

  • Ein Schadensersatzanspruch gegen den Beklagten scheidet aus.
  • Der Beklagte haftet als Störer grundsätzlich auf Unterlassen, allerdings soll die Klägerin ihren Unterlassensantrag vor dem OLG Frankfurt noch präzisieren, insofern wird an das OLG Frankfurt zurückverwiesen.
  • Wegen der Kosten wird ebenfalls an das OLG Frankfurt verwiesen.

3. Eine kurze Analyse der wesentlichen Punkte der Urteilsgründe

Das Urteil des BGH ist bisher ingesamt eher negativ aufgenommen worden. Das liegt nicht unbedingt am Ergebnis, sondern vielmehr daran, dass der BGH nicht nur die Chance vertan hat, seit dem Urteil des LG Hamburg aus dem Jahr 2006 (LG Hamburg MMR 2006, 763, Volltext und Anmerkung hier) bestehende Rechtsfragen im Hinblick auf die Störerhaftung für WLAN-Netzwerke zu klären, sondern darüber hinaus selbst in den Fragen, die der BGH definitiv hätte beantworten können oder müssen, für neue Verwirrung gesorgt hat.

a)      Keine Haftung auf Schadensersatz

Der BGH hat relativ ausführlich zur Frage Stellung genommen, ob der Beklagte als Täter oder Teilnehmer der Rechtsverletzung haftet. Dabei muss man stets im Hinterkopf behalten, dass für diese Haftung nach §§ 19a, 97 UrhG ein Verschulden des Beklagten nachgewiesen und begründet werden muss. Auch wenn die Ausführungen zur Schadensersatzhaftung einen guten Eindruck machen, war hier eine andere Behandlung kaum denkbar.

aa)   Sekundäre Darlegungslast zur Täterschaft und Routerprotokolle

Zunächst hat der BGH festgestellt, dass den Beklagte in einem Filesharing-Verfahren eine sekundäre Darlegungslast trifft und sich darin dem insoweit meinungsführenden OLG Köln (OLG Köln MMR 2010, 44, 45) angeschlossen. Dabei ist zu beachten, dass die sekundäre Darlegungslast keinen Vollbeweis erfordert. Es reicht vielmehr aus, den Vortrag der Klägerin substantiiert zu erschüttern, was zugegebenermassen häufig einem Vollbeweis nahekommt.

Vorliegend reicht es laut dem BGH aus, dass die Klägerin darlegt, dass der Beklagte Anschlussinhaber des für die Rechtsverletzung genutzten Anschlusses ist. Dem ist der Beklagte erfolgreich damit entgegengetreten, dass er zum fraglichen Zeitpunkt unstreitig im Urlaub war. In solchen Fällen ist es also hilfreich, wenn es Zeugen dafür gibt, dass man zum fraglichen Zeitpunkt auf der Arbeit war, im Urlaub, im Sportclub etc.

Interessanterweise geht der BGH weiter noch auf Routerprotokolle bzw. Routerlogs ein und stellt fest, dass der Beklagte als nicht versierter Computernutzer nicht zur Vorlage von Routerprotokollen verpflichtet war.

Diese Feststellung wäre nicht nötig gewesen. Denn es hätte bereits der Hinweis ausgereicht, dass der Beklagte unstreitig nicht zu Hause war und sein Computer ausgeschaltet war. Hier handelt es sich also um ein obiter dictum (http://de.wikipedia.org/wiki/Obiter_dictum). Es ist daher unklar, was der BGH mit seinem Hinweis bezweckt hat. Man könnte daraus lesen, dass versierte Computernutzer zur Vorlage von Routerlogs verpflichtet sein könnten. Allerdings speichern nicht alle Router solche Logs oder löschen sie nach einer gewissen Zeit. Wenn die Abmahnung aber erst spät kommt und dann keine Daten mehr vorliegen, so kann der BGH kaum vom (selbst versierten) Nutzer die Vorlage nicht existierender Routerlogs verlangen.

bb)  Keine Übertragung der Halzband-Entscheidung

Die immer wieder ins Feld geführte Entscheidung „Halzband“ (BGH NJW 2009, 1960) ist laut BGH nicht übertragbar, da eine IP-Adresse gerade keine eindeutige Identifizierungsfunktion innehat. Ganz im Gegenteil stellt der BGH erfreulicherweise fest, dass der Inhaber des Anschlusses dazu berechtigt ist, beliebigen Dritten seinen Anschluss zur Verfügung zu stellen.

b)      Ausführungen zur Störerhaftung

Anders als bei der Verschuldenshaftung lässt der BGH bei der Begründung der Annahme der Störerhaftung einige klärende Antworten vermissen. Zur Erinnerung: Störerhaftung erfordert eine willentliche und adäquat-kausale Mitwirkung an der Rechtsverletzung, eine Abhilfemöglichkeit und die Verletzung von Prüfungs- und Überwachungspflichten, die im Ergebnis eine Abwägung der beteiligten Interessen darstellt.

aa)   Adäquate Kausalität

Der BGH hat – auf einer Linie mit dem LG Hamburg und der erstinstanzlichen Entscheidung des LG Frankfurt die adäquate Kausalität der Handlungen des Beklagten angenommen. Adäquate Kausalität liegt verkürzt gesprochen vor, wenn ein Ergebnis oder Kausalverlauf nicht vollkommen unwahrscheinlich und fern jeder Lebenserfahrung ist. Dies ist auf den ersten Blick der Fall. Allerdings hat das OLG Frankfurt hier darauf abgestellt, dass keine Daten dazu vorliegen, ob WLAN-Netze durch Dritte genutzt werden (dazu näher Mantz, JurPC Web-Dok. 95/2010, Rn. 25 mwN).

Diese Frage stellt sich noch deutlicher, wenn man sich vergegenwärtigt, dass das Netz des Beklagten tatsächlich gesichert war. Während man bei einem unverschlüsselten Netz noch davon ausgehen kann, dass dieses evtl. von Dritten genutzt wird, wenn sie darüber „stolpern“, ist dies bei einem mit Verschlüsselung und Passwort gesicherten Netz nicht der Fall. Ganz im Gegenteil ist es völlig unwahrscheinlich, dass sich jemand bewusst in ein gesichertes Netz begibt und dieses nutzt – unabhängig davon, ob ein Standardpasswort verwendet wird oder nicht. Hier geht der BGH davon aus, dass es normal ist, dass Dritte sich unter Verstoss gegen § 202a StGB (wenigstens nach aktueller Instanzrechtsprechung, s. hier) in strafrechtlich relevanter Art und Weise Zugang zum Netz eines Dritten verschaffen. Hier hätte der BGH wenigstens nach der Fragestellung, die das OLG Frankfurt aufgeworfen hat, deutlich mehr Aufwand für die Begründung aufwenden müssen.

Weiter schreibt der BGH: „Die Unterlassung ausreichender Sicherungsmassnahmen beruht auch auf dem Willen des Anschlussinhabers.“ Ob der Beklagte einen solchen vom BGH unterstellen Willen überhaupt gebildet hat, ist eher fraglich – sein WLAN war schliesslich gegen Zugang gesichert, an weitere Handlungen hat er wohl kaum gedacht.

bb)  Zumutbarkeit der Änderung des Passworts

Anschliessend stellt der BGH fest, dass es zumutbar ist, dem privaten Inhaber eines WLAN aufzuerlegen, sein WLAN-Kennwort zu ändern.

Interessanterweise stützt der BGH die Zumutbarkeit auf das Eigeninteresse des Betroffenen. Da der Beklagte ein vitales Interesse am Schutz seiner eigenen Daten gehabt habe, sei ihm aus diesem Grunde der Schutz der Interessen Dritter zumutbar.

Diese Begründung hat bereits viel Kritik erfahren, da es sich um ein unzulässiges Abstellen auf ein „Verschulden gegen sich selbst“ handele (dazu Stadler, http://www.internet-law.de/2010/06/bgh-urteil-zur-w-lan-haftung-im-volltext.html und  Möller, http://www.telemedicus.info/article/1774-Der-BGH-zur-WLAN-Haftung.html).

In diesem Punkt hat der BGH offenbar vom Ergebnis her gedacht, allerdings die technischen Gegebenheiten nicht richtig beachtet. Denn hier hätte der BGH sauber trennen müssen: Die Unsicherheit des WLAN bedingt nicht die Unsicherheit der Daten. Trotz Zugang zum WLAN kann der Beklagte die Freigaben auf seinem Computer restriktiv und damit sicher eingestellt haben. Hierzu haben aber weder die Instanzgerichte noch der BGH tatsächliche Feststellungen getroffen. Ob ein solches Interesse also vorlag, lässt sich nicht ohne weiteres postulieren.

Auch die Daten auf dem Router selbst, also z.B. die Zugangsdaten zum DSL-Anbieter, müssen nicht zwingend unsicher gewesen sein. Denn das Kennwort zum Zugang zum WLAN und das Administratorpasswort des Routers sind in der Regel nicht identisch. Ob der Beklagte das Administratorpasswort des Routers geändert hat, ergibt sich ebenfalls nicht aus den Feststellungen des Gerichts.

Dennoch ist dieser Teil beachtlich, denn er hat für Freifunk und institutionelle Anbieter von offenen WLANs (worunter ich jetzt z.B. auch Internet-Cafes fasse) eine grosse Bedeutung: Wenn der Anbieter eines offenen Netzes seine Daten schützt und dennoch das Netz bewusst öffnet, dann kann sich der BGH nicht auf das Eigeninteresse des Anbieters stützen und daraus eine Pflicht ableiten. Gerade bei Freifunk ist es üblich, dass das Setup zwei Router umfasst, von denen einer das offene Netz bereitstellt. Durch diese Aufteilung erfolgt eine netzwerktypologische Trennung der Netze und damit eine Sicherung des privaten lokalen Netzes vor Zugriffen der Nutzer. Ebenso dürfte es sich bei institutionellen Anbietern verhalten.

Update zur Passwortsicherung (Dank an Simon Moeller, Telemedicus): Bisher ist mir noch immer nicht endgueltig klar, wie das WPA-Passwort des Beklagten beschaffen war. Falls es aber ein individualisiertes (und daher wohl zufaelliges), 16-stelliges Passwort der Fritzbox war, dann ist kaum einsichtig, warum ein solches unsicherer sein soll als ein vom Beklagten selbst gewaehltes 16-stelliges Passwort. Das Urteil des BGH ergibt nur einen Sinn, wenn das Passwort fuer die gesamte Modellreihe einheitlich und damit auch Dritten bekannt war. Ich warte hier noch auf eine endgueltige Klaerung des Sachverhaltes. S. dazu auch Moeller, http://www.telemedicus.info/article/1774-Der-BGH-zur-WLAN-Haftung.html, der sich auch fragt, ob vielleicht das Nichtentfernen des Aufdrucks auf dem Router gemeint sein soll. Aber das haette der BGH anders begruenden koennen und wohl auch muessen. Es ist schade, dass der Tatbestand hier keine eindeutige Klaerung ermoeglicht.

cc)   Marktübliche Sicherung

Anschliessend konkretisiert der BGH die Pflichten des Beklagten, indem er darauf abstellt, dass derjenige, der einen WLAN-Router kauft, wenigstens diejenigen Sicherheitseinstellungen einhalten muss, die zum Zeitpunkt des Kaufs marktüblich sind. Eine Überwachungspflicht sieht der BGH als unzumutbar an (vgl. zur Pflicht zu Updates bzgl. Viren Mantz, K&R 2007, 566).

Hierbei ist allerdings zu beachten, dass der BGH diesbezüglich von einer Unzumutbarkeit für den privaten Inhaber spricht. Das könnte darauf hindeuten, dass institutionelle Anbieter ihre Sicherheitseinstellungen regelmässig zu überprüfen haben.

dd)  Privilegierung von Geschäftsmodellen

Ein m.E. ganz wichtiger Punkt der Entscheidung ist der folgende Absatz (II.2.b.dd). Denn der BGH drückt aus, dass es dem Beklagten zumutbar war, Sicherungsmassnahmen zu ergreifen, da er KEIN Geschäftsmodell verfolgt.

In der Rechtsprechung des BGH zur Störerhaftung hat sich immer wieder gezeigt, dass der BGH Geschäftsmodelle grundsätzlich schützt – wenigstens insoweit als eine auferlegte Pflicht nicht zur Einstellung des Geschäftsbetriebes führen darf (BGH MMR 2004, 668 – Internetversteigerung I; BGH MMR 2007, 507 – Internetversteigerung II; BGH MMR 2008, 531 – Internetversteigerung III; näher Mantz, JurPC Web-Dok. 95/2010, Rn. 28 ff.).

Man kann den BGH also so verstehen, dass er geringere Pflichten auferlegt, sobald hinter dem Angebot ein wie auch immer geartetes Geschäftsmodell steht. Dies darf allerdings nicht in einem streng wirtschaftlichen Sinne verstanden werden, sondern dürfte sich auf jegliches organisierte und bewusste Öffnen des Netzes beziehen – und damit auch auf Freifunk.

ee)   Keine Anwendung der Privilegierung des § 8 TMG – (doch) eine grundsätzliche Anwendbarkeit der Privilegierungen auf Unterlassungsansprüche?

Bedeutsam ist ferner der Teil, in dem der BGH auf die Anwendung der Privilegierung der §§ 7 ff. TMG eingeht. Interessanterweise bezieht sich der BGH hier nur auf § 10 TMG, der für Host Provider wie Ebay gilt und mit dem Bereitstellen eines WLAN nichts zu tun hat.

Ungeachtet dessen offenbart eine Analyse dieses Abschnitts möglicherweise eine Überraschung.

Der BGH geht im ersten Teil des Absatzes auf das Geschäftsmodell und seine Internetversteigerungsrechtsprechung ein. Dann stellt er fest, dass die Privilegierungen des TMG keine Anwendung finden. Argumentativ ist nach dieser Feststellung der Platz für eine Begründung der Feststellung. Bisher hat der BGH an dieser Stelle immer auf seine entsprechenden Entscheidungen verwiesen und damit gesagt, dass die Privilegierungen ohnehin nicht auf Unterlassungsansprüche anwendbar sind. Damit wäre dieser Punkt abschliessend behandelt.

Stattdessen führt der BGH aus, dass das Interesse an WLAN dem nicht entgegensteht.

Fraglich ist, wie dies zu verstehen ist. Denn nach dem bisherigen Vorgehen des BGH hätte es dieses Satzes nicht bedurft. Man könnte dies als Hinweis darauf sehen, dass der BGH von seiner grundsätzlichen Ablehnung der Anwendung der Privilegierungen auf Unterlassungsansprüche abrückt und stattdessen eine neue Begründung benötigt. Eine ähnliche Tendenz hat der BGH bereits im Urteil zu Google-Thumbnails (Urteil vom 29. April 2010, Az.: I ZR 69/08) erkennen lassen (s. zu dieser Problematik Stadler, http://www.internet-law.de/2010/05/anmerkung-zum-urteil-des-bgh-zur-google-bildersuche.html; und Mantz, http://www.retosphere.de/offenenetze/2010/05/19/bgh-google-thumbnails-und-die-anwendung-der-privilegierungen-der-%c2%a7%c2%a7-7-10-tmg-auf-unterlassungsanspruche).

ff)      Das Interesse an WLAN ist hoch zu bewerten und berechtigt

Besondere Hervorhebung gebührt noch der Feststellung des BGH, dass das Interesse an „leichtem und räumlich flexiblem Zugang zum Internet“ hoch zu bewerten und berechtigt ist.

Hier hat der BGH tatsächlich Farbe bekannt – und damit einen Baustein für künftige Abwägunsentscheidungen gelegt. Wichtig ist dies, da das Interesse am Zurverfügungstellen von Infrastruktur im Hinblick auf den „Digital Divide“ sogar noch höher zu bewerten ist (s. dazu Mantz, JurPC Web-Dok. 95/2010, Rn. 28 ff.; und ausführlich Mantz, Rechtsfragen offener Netze, Karlsruhe 2008, S. 16 ff. mwN). Damit gibt der BGH Freifunk ein weiteres wichtiges Argument an die Hand.

4. Zur Kostendeckelung nach § 97a UrhG

Interessanterweise enthält das Urteil – entgegen der Pressemitteilung, die insofern mindestens missverständlich war – keine Erwähnung zur Anwendung der Kostenkappung für die Abmahnung auf 100 EUR. Zur Kritik daran s. http://www.telemedicus.info/article/1773-Pressemitteilungen-und-Urteilsgruende-beim-BGH.html).

Alle diesbezüglichen Ausführungen in die eine oder andere Richtung sind damit hinfällig. Allerdings gilt dies auch für den Hinweis in der Pressemitteilung, dass § 97a UrhG auf den vorliegenden Fall nicht anwendbar sein soll. Denn der BGH hat die komplette Kostenentscheidung an das OLG Frankfurt zurückverwiesen. Es liegt jetzt in der Hand des OLG Frankfurt, nicht nur den Streitwert zu bestimmen, sondern auch über eine Anwendung von § 97a UrhG auf Altfälle zu entscheiden. Diese Auffassung nimmt beispielsweise das OLG Brandenburg MMR 2009, 258 ein.

5. Fazit und Auswirkungen

Insgesamt ist das Urteil sehr unbefriedigend. Denn der BGH hat es versäumt, offene Rechtsfragen klar und deutlich zu beantworten. Zudem hat der BGH die über den konkreten Fall hinausreichende Bedeutung seiner Entscheidung verkannt (diese wurde im Vorfeld der Entscheidung mehrfach in der Literatur diskutiert, s. Garcia, Telepolis v. 19.4.2010, http://www.heise.de/tp/r4/artikel/32/32466/1.html; Stadler, http://www.internet-law.de/2010/04/grundrecht-auf-offene-netze.html; Mantz, JurPC Web-Dok. 95/2010, Rn. 3 ff., 29, http://www.jurpc.de/aufsatz/20100095.htm) – oder bewusst ignoriert. Denn die Entscheidung hätte für offene Netze und institutionelle Anbieter Rechtssicherheit und Rechtsklarheit bringen können.

Diese bringt die Entscheidung des BGH nicht. Es ist keine Antwort darauf gefunden, welche Pflichten Betreibern offener Netze obliegen – bzw. ob der BGH bei ihnen überhaupt Pflichten annehmen würde. Die Ausführungen zur Privilegierung nach §§ 7 ff. TMG bewirken zudem eher weitere Unsicherheiten.

Die Ausführungen zum Geschäftsmodell machen Mut, dass solche Anbieter eher besser behandelt werden. Allerdings sieht der BGH möglicherweise auch eine Pflicht zur weiteren Überwachung der Entwicklung von Sicherheitsstandards bei nicht-privaten Anbietern.

Weiter ist es sehr schade, dass der BGH sich mit den in der Literatur geäusserten Auffassungen überhaupt nicht auseinander gesetzt hat. Insbesondere die Anmerkungen zu einem ähnlichen Urteil des LG Frankfurt sowie zum Urteil des OLG Frankfurt sowie die kurz vor dem Urteil veröffentlichten Aufsätze hätten Anlass für eine vertiefte Betrachtung geboten.

Fuer Freifunker hat sich damit die Situation kaum geändert. Es besteht weiter Rechtsunsicherheit – mit gewissen Tendenzen zur Besserung.

Links:

Urteilsbegründung zum WLAN-Urteil des BGH liegt vor, BGH, Urt. v. 12.5.2010 – I ZR 121/08 – Sommer unseres Lebens

BGH, Urt. v. 12.5.2010 – I ZR 121/08 – Sommer unseres Lebens

(Besprechung folgt später)

In dem Rechtsstreit

Der I. Zivilsenat des Bundesgerichtshofs hat auf die mündliche Verhand­lung vom 18. März 2010 durch … für Recht erkannt:

Auf die Revision der Klägerin wird das Urteil des 11. Zivilsenats des Oberlandesgerichts Frankfurt am Main vom 1. Juli 2008 unter Zurückweisung des weitergehenden Rechtsmittels im Kostenpunkt und insoweit aufgehoben, als das Berufungsgericht die Klage mit dem Unterlassungsantrag und mit dem Antrag auf Erstattung der Abmahnkosten (325,90 € zuzüglich Zinsen) abgewiesen hat.

Im Umfang der Aufhebung wird die Sache zur neuen Verhandlung und Entscheidung, auch über die Kosten der Revision, an das Be­rufungsgericht zurückverwiesen.

Tatbestand

Die Klägerin vermarktet den Tonträger “Sommer unseres Lebens” mit einer Aufnahme des Künstlers Sebastian Härner. Sie beauftragte die L. AG mit der Überwachung des Titels im Internet. Am 8. September 2006 um 18.32 Uhr erfasste dieses Unternehmen einen Nutzer mit einer bestimmten IP-Adresse, der zu diesem Zeitpunkt den Tonträger “Sommer unseres Lebens” anderen Teilnehmern der Tauschbörse “eMule” zum Herunterladen anbot. Nach der im Rahmen der daraufhin eingeleiteten staatsanwaltschaftlichen Ermittlungen eingeholten Auskunft der Deutschen Telekom AG war die IP-Adresse zum fraqli­chen Zeitpunkt dem Internetanschluss des Beklagten zugeordnet.

Die Klägerin hat beantragt,
dem Beklagten zu verbieten, die Tonträgerproduktion “Sommer unseres Le­bens” mit Darbietungen des Künstlers Sebastian Hämer im Internet in soge­nannten Tauschbörsen über Peer-to-Peer-Netzwerke bereitzustellen oder auf sonstige Weise der Öffentlichkeit zuganglich zu machen.

Ferner hat sie den Beklagten auf Schadensersatz (150 €) sowie auf Erstattung von Abmahnkosten (325,90 €) zuzüglich Zinsen in Anspruch genom­men.

Das Landgericht hat den Beklagten bis auf einen Teil der Zinsforderung antragsgemäß verurteilt. Die Berufung des Beklagten hat zur Abweisung der Klage geführt (OLG Frankfurt GRUR-RR 2008, 279). Mit ihrer vom Berufungs­gericht zugelassenen Revision verfolgt die Klägerin ihre Klageanträge weiter. Der Beklagte beantragt, das Rechtsmittel zurückzuweisen.

Entscheidungsgründe

Sachverhalt

Die Klägerin vermarktet den Tonträger „Sommer unseres Lebens“ mit einer Aufnahme des Künstlers Sebastian Hämer, Sie beauftragte die L. AG mit der Überwachung des Titels im Internet. Am 8. September 2006 um 18.32 Uhr erfasste dieses Unternehmen einen Nutzer mit einer bestimmten IP-Adresse, der zu diesem Zeitpunkt den Tonträger „Sommer unseres Lebens“ anderen Teilnehmern der Tauschbörse „eMule“ zum Herunterladen anbot. Nach der im Rahmen der daraufhin eingeleiteten staatsanwaltschaftlichen Ermittlungen eingeholten Auskunft der Deutschen Telekom AG war die IP-Adresse zum fraglichen Zeitpunkt dem Internetanschluss des Beklagten zugeordnet.

Die Klägerin hat beantragt,
dem Beklagten zu verbieten, die Tonträgerproduktion „Sommer unseres Lebens“ mit Darbietungen des Künstlers Sebastian Hämer im Internet in sogenannten Tauschbörsen über Peer-to-Peer-Netzwerke bereitzustellen oder auf sonstige Weise der Öffentlichkeit zugänglich zu machen.
Ferner hat sie den Beklagten auf Schadensersatz (150 €) sowie auf Erstattung von Abmahnkosten (325,90 €) zuzüglich Zinsen in Anspruch genommen.

Das Landgericht hat den Beklagten bis auf einen Teil der Zinsforderung antragsgemäß verurteilt. Die Berufung des Beklagten hat zur Abweisung der Klage geführt (OLG Frankfurt GRUR-RR 2008, 279). Mit ihrer vom Berufungsgericht zugelassenen Revision verfolgt die Klägerin ihre Klageanträge weiter. Der Beklagte beantragt, das Rechtsmittel zurückzuweisen.

Aus den Gründen
I.
Das Berufungsgericht hat Ansprüche der Klägerin gegen den Beklagten aus § 97 Abs. 1 Satz 1 UrhG verneint. Hierzu hat es ausgeführt:

Der Beklagte habe die Rechtsverletzung nicht selbst begangen, da er zum fraglichen Zeitpunkt urlaubsabwesend gewesen sei und sich sein PC in einem abgeschlossenen Büroraum befunden habe“ der keinem Dritten zugänglich gewesen sei. Die Rechtsverletzung könne daher nur von einem Dritten begangen worden sein, der die WLAN-Verbindung des Beklagten von außerhalb genutzt habe, um sich Zugang zu dessen Internetanschluss zu verschaffen. Für diese – wie zu unterstellen sei – vorsätzliche rechtswidrige Urheberrechtsverletzung eines Dritten hafte der Beklagte nicht als Störer. Der WLAN-Anschlussinhaber dürfe nicht für das vorsätzliche Verhalten beliebiger Dritter, die mit ihm in keinerlei Verbindung stünden, verantwortlich gemacht werden. Ein WLAN-Anschlussinhaber hafte im privaten Bereich deshalb nicht generell wegen der abstrakten Gefahr eines Missbrauchs seines Anschlusses von außen, sondern erst, wenn konkrete Anhaltspunkte hierfür bestünden. Daran fehle es im Streitfall.

Störer könne zwar auch sein, wer die Möglichkeit einer Rechtsverletzung, zu der er einen adäquat-kausalen Beitrag geleistet habe, nicht erkannt habe, sie aber hätte erkennen und mit zumutbaren Mitteln verhindern können. Es erscheine aber fraglich, ob die Unterhaltung eines WLAN-Anschlusses als adäquater Beitrag zu einer Urheberrechtsverletzung angesehen werden könne, die ein vorsätzlich handelnder Dritter mit Hilfe dieses Anschlusses begehe. Jedenfalls sei dem Anschlussinhaber nicht zuzumuten, seinen Computer stets auf seine Kosten mit der neuesten Schutztechnik zu versehen. Solange keine konkreten Anhaltspunkte für eine Rechtsverletzung bestünden, sei es dem Anschlussinhaber unzumutbar, Mittel aufzuwenden, um einen vorsätzlich rechtswidrigen Eingriff eines Dritten zu vermeiden, dessen Handeln dem Beklagten unter keinem Gesichtspunkt zuzurechnen sei. Das erschwere die Rechtsdurchsetzung nicht unzumutbar, weil immer dann, wenn der Anschlussinhaber von konkreten Rechtsverletzungen erfahre, seine Prüfungs- und Überwachungspflicht einsetze.

Schadens- und Aufwendungsersatzansprüche kämen erst recht nicht in Betracht. Ein Verschuldensvorwurf gegenüber dem Beklagten scheide aus. Nach Erhebungen aus der Praxis seien die Sicherheitsprobleme von WLAN-Anschlüssen weithin unbekannt oder würden als nicht erheblich bewertet.

II.
Die Revision hat im Wesentlichen Erfolg. Sie führt hinsichtlich des Unterlassungsantrags sowie des Antrags auf Erstattung der Abmahnkosten zur Aufhebung des angefochtenen Urteils und zur Zurückverweisung der Sache an das Berufungsgericht.

1. Das Berufungsgericht ist allerdings ohne Rechtsfehler davon ausgegangen, dass der Beklagte nicht als Täter oder Teilnehmer einer Urheberrechtsverletzung nach §§ 19a, 97 UrhG haftet. Die dagegen gerichteten Angriffe der Revision bleiben ohne Erfolg.

a) Das Berufungsgericht hat festgestellt, dass der Beklagte im Zeitpunkt der Rechtsverletzung urlaubsabwesend war und sich sein PC in einem abgeschlossenen Büroraum befand. Es besteht kein Anhaltspunkt dafür, dass der Computer des Beklagten während seines Urlaubs mit dem Internet verbunden war. Die Klägerin hat dies in den Vorinstanzen auch nicht geltend gemacht. Die von der Revision aufgeworfene Frage, ob der Beklagte das fragliche Werk öffentlich zugänglich gemacht hätte, wenn sein Rechner, ausgestattet mit den maßgeblichen Daten und einer Tauschbörsensoftware, während seiner Abwesenheit eingeschaltet und mit dem Internet verbunden gewesen wäre, stellt sich daher im Streitfall nicht.

Wird ein geschütztes Werk der Öffentlichkeit von einer IP-Adresse aus zugänglich gemacht, die zum fraglichen Zeitpunkt einer bestimmten Person zugeteilt ist, so spricht zwar eine tatsächliche Vermutung dafür, dass diese Person für die Rechtsverletzung verantwortlich ist. Daraus ergibt sich eine sekundäre Darlegungslast des Anschlussinhabers, der geltend macht, eine andere Person habe die Rechtsverletzung begangen (vgl. OLG Köln MMR 2010, 44, 45; GRUR-RR 2010, 173, 174). Dieser sekundären Darlegungslast ist der Beklagte jedoch nachgekommen, indem er – von der Klägerin unbestritten – vorgetragen hat, zum fraglichen Zeitpunkt im Urlaub gewesen zu sein, während sich seine PC-Anlage in einem für Dritte nicht zugänglichen, abgeschlossenen Büroraum befunden habe. Die Vorlage eines Routerprotokolls hat die Klägerin von dem Beklagten in den Vorinstanzen nicht verlangt. Unabhängig von der Frage, ob überhaupt ein solches Protokoll mit entscheidungserheblichem Inhalt hätte vorgelegt werden können, war der computertechnisch nicht versierte Beklagte jedenfalls nicht verpflichtet, von sich aus ein Routerprotokoll vorzulegen. Das Berufungsgericht konnte deshalb ohne Rechtsfehler annehmen, dass die unmittelbar urheberrechtsverletzende Handlung nur von einem Dritten begangen worden sein konnte, der die WLAN-Verbindung des Beklagten von außerhalb nutzte, um sich Zugang zu dessen Internetanschluss zu verschaffen.

b) Es kommt auch keine täterschaftliche Haftung des Beklagten unter dem Aspekt der Verletzung einer wettbewerbsrechtlichen Verkehrspflicht (vgl. BGHZ 173, 188 Tz. 22 – Jugendgefährdende Schriften bei eBay) in Betracht. Diese für das Wettbewerbsrecht entwickelte Haftungsgrundlage setzt voraus, dass die Merkmale einer täterschaftlichen Haftung nach dem jeweiligen Haftungsregime erfüllt sein müssen. Während im Lauterkeitsrecht das in Rede stehende Verhalten – die Eröffnung einer nicht hinreichend begrenzten Gefahr für die geschützten Interessen anderer Marktteilnehmer – ohne weiteres als eine unlautere geschäftliche Handlung eingeordnet werden kann, müssen für eine täterschaftlich begangene Urheberrechtsverletzung die Merkmale eines der handlungsbezogenen Verletzungstatbestände des Urheberrechts erfüllt sein. Im Streitfall müsste das Verhalten des Beklagten – also die Unterhaltung eines nicht ausreichend gesicherten privaten WLAN-Anschlusses – den Tatbestand der öffentlichen Zugänglichmachung des in Rede stehenden urheberrechtlichen Werkes (§ 19a UrhG) erfüllen (vgl. zum Merkmal des Anbietens im Markenrecht BGHZ 158, 236, 250 – Internet-Versteigerung I). Dies ist indessen – wie dargelegt – nicht der Fall. Hinzu kommt, dass die Haftung für die Verletzung einer wettbewerbsrechtlichen Verkehrspflicht in dem vom Senat entschiedenen Fall nicht zuletzt mit dem eigenen geschäftlichen Interesse begründet worden ist, das der Betreiber der Handelsplattform verfolgt und das es rechtfertigt, von ihm eine besondere Rücksichtnahme auf Rechtsgüter zu verlangen, die durch sein Verhalten gefährdet werden.

c) Allerdings hat der Bundesgerichtshof nach Verkündung des Berufungsurteils entschieden, dass der private Inhaber eines Mitgliedskontos bei eBay sich so behandeln lassen muss, als habe er selbst gehandelt, wenn er das Konto nicht hinreichend vor dem Zugriff Dritter gesichert hat und es von einem Dritten benutzt wird, ohne dass der Kontoinhaber dies veranlasst oder geduldet hat (BGHZ 180, 134 Tz. 16 – Halzband). Die bei der Verwahrung der Zugangsdaten für das Mitgliedskonto gegebene Pflichtverletzung stellt danach einen eigenen, selbständigen Zurechnungsgrund dar. Diese Entscheidung ist indes nicht auf den Fall der Nutzung eines ungesicherten WLAN-Anschlusses durch außenstehende Dritte übertragbar.

Der IP-Adresse kommt keine mit einem eBay-Konto vergleichbare Identifikationsfunktion zu. Anders als letzteres ist sie keinem konkreten Nutzer zugeordnet, sondern nur einem Anschlussinhaber, der grundsätzlich dazu berechtigt ist, beliebigen Dritten Zugriff auf seinen Internetanschluss zu gestatten. Die IP-Adresse gibt deshalb bestimmungsgemäß keine zuverlässige Auskunft über die Person, die zu einem konkreten Zeitpunkt einen bestimmten Internetanschluss nutzt. Damit fehlt die Grundlage dafür, den Inhaber eines WLAN-Anschlusses im Wege einer unwiderleglichen Vermutung so zu behandeln, als habe er selbst gehandelt (vgl. BGHZ 180, 134 Tz. 16 – Halzband). Es ginge deshalb zu weit, die nicht ausreichende Sicherung eines WLAN-Anschlusses mit der unsorgfältigen Verwahrung der Zugangsdaten für ein eBay-Konto gleichzusetzen. Dies würde die WLAN-Nutzung im Privatbereich auch mit unangemessenen Haftungsrisiken belasten, weil der Anschlussinhaber bei Annahme einer täterschaftlichen Verantwortung unbegrenzt auf Schadensersatz haften würde, wenn außenstehende Dritte seinen Anschluss in für ihn nicht vorhersehbarer Weise für Rechtsverletzungen im Internet nutzen.

d) Der Beklagte ist auch nicht Teilnehmer der durch den unbekannten Dritten begangenen Urheberrechtsverletzung. Ihm fehlt jedenfalls der dafür erforderliche Vorsatz (vgl. zum Markenrecht BGHZ 158, 236, 250 – Internet-Versteigerung I).

e) Haftet der Beklagte nicht als Täter oder Teilnehmer einer Urheberrechtsverletzung, scheidet ein Schadensersatzanspruch der Klägerin aus. Nicht zu beanstanden ist daher die Abweisung des Zahlungsantrags, soweit die Klägerin Schadensersatz begehrt hat.

2. Soweit das Berufungsgericht die Klage mit dem Unterlassungsantrag abgewiesen hat, kommt eine Bestätigung dagegen nicht in Betracht. Denn entgegen der Ansicht des Berufungsgerichts kann die Klägerin den Beklagten als Störer auf Unterlassung in Anspruch nehmen. Das Berufungsgericht meint zwar, der Betreiber eines privaten WLAN-Anschlusses hafte nicht generell wegen der abstrakten Gefahr eines Missbrauchs seines Anschlusses durch einen Außenstehenden, sondern erst wenn konkrete Anhaltspunkte für einen solchen Missbrauch bestünden. Dem kann aber für den hier vorliegenden Fall nicht beigetreten werden, dass der WLAN-Anschluss ohne die auch im privaten Gebrauch verkehrsüblichen und zumutbaren Zugangssicherungen betrieben wird.

a) Als Störer kann bei der Verletzung absoluter Rechte auf Unterlassung in Anspruch genommen werden, wer – ohne Täter oder Teilnehmer zu sein – in irgendeiner Weise willentlich und adäquat kausal zur Verletzung des geschützten Rechts beiträgt (BGH, Urt. v. 18.10.2001 – I ZR 22/99, GRUR 2002,618, 619 = WRP 2002, 532 – Meißner Dekor I; BGH, Urt. v. 30.4.2008 -I ZR 73/05, GRUR 2008, 702 Tz. 50 = WRP 2008, 1104 – Internet-Versteigerung III). Da die Störerhaftung nicht über Gebühr auf Dritte erstreckt werden darf, die nicht selbst die rechtswidrige Beeinträchtigung vorgenommen haben, setzt die Haftung des Störers nach der Rechtsprechung des Senats die Verletzung von Prüfpflichten voraus. Deren Umfang bestimmt sich danach, ob und inwieweit dem als Störer in Anspruch Genommenen nach den Umständen eine Prüfung zuzumuten ist (BGH, Urt. v. 15.10.1998 -I ZR 120/96, GRUR 1999,418,419 f. = WRP 1999, 211 – Möbelklassiker; BGHZ 158, 343, 350 – Schöner Wetten; BGH, Urt. v. 9.2.2006 – I ZR 124/03, GRUR 2006, 875 Tz. 32 = WRP 2006, 1109 – Rechtsanwalts-Ranglisten).

b) Der Betrieb eines nicht ausreichend gesicherten WLAN-Anschlusses ist adäquat kausal für Urheberrechtsverletzungen, die unbekannte Dritte unter Einsatz dieses Anschlusses begehen. Auch privaten Anschlussinhabern obliegen insoweit Prüfungspflichten, deren Verletzung zu einer Störerhaftung führt.

aa) Es ist nicht gänzlich unwahrscheinlich, dass unberechtigte Dritte einen unzureichend gesicherten WLAN-Anschluss dazu benutzen, urheberrechtlich geschützte Musiktitel im Internet in Tauschbörsen einzustellen. Die Unterlassung ausreichender Sicherungsmaßnahmen beruht auch auf dem Willen des Anschlussinhabers.

bb) Auch Privatpersonen, die einen WLAN-Anschluss in Betrieb nehmen, ist es zuzumuten zu prüfen, ob dieser Anschluss durch angemessene Sicherungsmaßnahmen hinreichend dagegen geschützt ist, von außenstehenden Dritten für die Begehung von Rechtsverletzungen missbraucht zu werden. Die Zumutbarkeit folgt schon daraus, dass es regelmäßig im wohlverstandenen eigenen Interesse des Anschlussinhabers liegt, seine Daten vor unberechtigtem Eingriff von außen zu schützen. Zur Vermeidung von Urheberrechtsverletzungen durch unberechtigte Dritte ergriffene Sicherungsmaßnahmen am WLAN-Zugang dienen zugleich diesem Eigeninteresse des Anschlussinhabers. Die Prüfpflicht ist mit der Folge der Störerhaftung verletzt, wenn die gebotenen Sicherungsmaßnahmen unterbleiben.

cc) Welche konkreten Maßnahmen zumutbar sind, bestimmt sich auch für eine Privatperson zunächst nach den jeweiligen technischen Möglichkeiten (vgl. 8GHZ 172, 119 Tz. 47 – Internet-Versteigerung 11). Es würde die privaten Verwender der WLAN-Technologie allerdings unzumutbar belasten und wäre damit unverhältnismäßig, wenn ihnen zur Pflicht gemacht würde, die Netzwerksicherheit fortlaufend dem neuesten Stand der Technik anzupassen und dafür entsprechende finanzielle Mittel aufzuwenden. Die Prüfungspflicht im Hinblick auf die unbefugte Nutzung eines WLAN-Routers konkretisiert sich vielmehr dahin, dass jedenfalls die im Kaufzeitpunkt des Routers für den privaten Bereich marktüblichen Sicherungen ihrem Zweck entsprechend wirksam einzusetzen sind (vgl. dazu für den Bereich der Verkehrssicherungspflichten BGH, Urt. v. 31.10.2006 – VI ZR 223/05, NJW 2007, 762 Tz. 11; Urt. v. 2.3.2010 – VI ZR 223/09 Tz. 9 f., VersR 2010, 544).

dd) Die dem privaten WLAN-Anschlussinhaber obliegende Prüfungspflicht besteht nicht erst, nachdem es durch die unbefugte Nutzung seines Anschlusses zu einer ersten Rechtsverletzung Dritter gekommen und diese ihm bekannt geworden ist. Sie besteht vielmehr bereits ab Inbetriebnahme des Anschlusses. Die Gründe, die den Senat in den Fällen der Internetversteigerung dazu bewogen haben, eine Störerhaftung des Plattformbetreibers erst anzunehmen, nachdem er von einer ersten Rechtsverletzung Kenntnis erlangt hat, liegen bei privaten WLAN-Anschlussbetreibern nicht vor. Es geht hier nicht um ein Geschäftsmodell, das durch die Auferlegung präventiver Prüfungspflichten gefährdet wäre (vgl. BGHZ 158, 236, 251 f. -Internet-Versteigerung I). Es gelten auch nicht die Haftungsprivilegien nach § 10 TMG und Art. 14 f. der Richtlinie 2000/31/EG über den elektronischen Geschäftsverkehr, die im Falle des Diensteanbieters nach § 10 Satz 1 TMG (Host Provider) einen weitergehenden Unterlassungsanspruch ausschließen. Das hoch zu bewertende, berechtigte Interesse, über WLAN leicht und räumlich flexibel Zugang zum Internet zu erhalten, wird nicht dadurch in Frage gestellt, dass die zum Zeitpunkt der Installation des WLAN-Routers auch im Privatbereich verkehrsüblich vorhandenen Sicherungsmaßnahmen gegen unbefugte Nutzung angewandt werden.

c) Die Klägerin kann den Beklagten als Störer auf Unterlassung in Anspruch nehmen. Er hat unter Verletzung der ihm obliegenden Prüfungspflicht eine Ursache dafür gesetzt, dass ein Dritter über seinen unzureichend gesicherten WLAN-Anschluss die in Rede stehende Urheberrechtsverletzung begehen konnte.

aa) Ohne Rechtsfehler hat das Berufungsgericht auf der Grundlage der von der L. AG ermittelten IP-Adresse festgestellt, dass ein außenstehender Dritter den WLAN-Anschluss des Beklagten für die das Verwertungsrecht der Klägerin verletzende Handlung benutzt hat.

(1) Der Beklagte hat zwar bestritten, dass die Klägerin korrekt an seine IP-Adresse gelangt sei, und geltend gemacht, bei der Feststellung der IP-Adresse des wirklichen Täters müsse ein Ermittlungsfehler unterlaufen sein. Nach den vom Berufungsgericht in Bezug genommenen Feststellungen des Landgerichts hat die L. AG aber die fragliche IP-Adresse mit Hilfe der von ihr entwickelten zuverlässigen und eingehend überwachten Software ermittelt.

Nachdem das Landgericht das pauschale Bestreiten des Beklagten als zu unbestimmt angesehen hatte und der Beklagte seinen Vortrag in zweiter Instanz nicht weiter substantiiert hat, konnte das Berufungsgericht insoweit ohne Rechtsfehler auf die Feststellungen des Landgerichts verweisen.

(2) Für die Auskunft der Deutschen Telekom AG, wonach die ermittelte IP-Adresse im fraglichen Zeitpunkt dem WLAN-Anschluss des Beklagten zugeordnet war, bestand kein Beweiserhebungsverbot. Sie konnte deshalb vom Berufungsgericht auch ohne Rechtsfehler verwertet werden.

Auskünfte über den Namen des hinter einer IP-Adresse stehenden Anschlussinhabers richten sich nach den Regelungen des Telekommunikationsgesetzes über die Bestandsdatenabfrage (LG Stuttgart MMR 2005, 624, 628; LG Hamburg MMR 2005, 711; LG Würzburg NStZ-RR 2006, 46; Sankol, MMR 2006, 361, 365; a.A. Bock in Beck’scher TKG-Kommentar, 3. Aufl., § 113 Rdn, 24; Bär, MMR 2005, 626). Es handelt sich nicht um Verkehrsdaten nach § 96 Abs. 1, § 113a TKG, die gemäß § 100g Abs. 2, § 100b Abs. 1 StPO nur auf richterliche Anordnung erhoben werden dürfen. Die Zuordnung einer zu einem bestimmten Zeitpunkt benutzten dynamischen IP-Adresse zu einem Anschlussinhaber enthält keine Aussage darüber, mit wem der Betreffende worüber und wie lange kommuniziert hat. Es entspricht auch dem Willen des Gesetzgebers, die IP-Adressen von Anschlussinhabern als Bestandsdaten einzuordnen (vgl. Begründung des Regierungsentwurfs eines Gesetzes zur Änderung der Strafprozessordnung, BT-Drucks. 14/7008, S. 7; Begründung des Regierungsentwurfs eines Gesetzes zur Neuregelung der Telekommunikationsüberwachung …, BT-Drucks. 16/5846, S. 26 f.). Die Ermittlung des einer konkreten IP-Adresse zu einem bestimmten Zeitpunkt zugeordneten Anschlussinhabers erfolgt daher auf der Grundlage der allgemeinen Befugnisse der Strafverfolgungsbehörden gemäß § 161 Abs. 1 Satz 1 und § 163 StPO, so dass die Auskunft der Deutschen Telekom AG rechtmäßig eingeholt worden ist.

(3) Der Beklagte hat vorgetragen, sein Computer sei zwar WLAN-fähig, bei der Installation im Jahre 2003/04 sei diese Funktion aber deaktiviert worden und die Vernetzung über eine strukturierte Verkabelung erfolgt. Das steht indes einer Nutzung des WLAN-Zugangs durch einen Dritten am 8. September 2006 nicht entgegen. Vielmehr konnte das Berufungsgericht durch Bezugnahme auf die landgerichtlichen Feststellungen im Hinblick auf die von der Deutschen Telekom AG erteilte Auskunft davon ausgehen, dass der WLAN-Zugang des Beklagten zum fraglichen Zeitpunkt aktiviert war.

Entgegen dem Vortrag des Beklagten konnte sein WLAN-Router dann auch nicht während seines Urlaubs über einen der Stromversorgung seines PC-Systems dienenden Sammelstecker ausgeschaltet gewesen sein.

bb) Der Beklagte hat die ihm als Betreiber eines WLAN-Anschlusses obliegende Prüfungspflicht hinsichtlich ausreichender Sicherungsmaßnahmen verletzt.

Nach den vom Berufungsgericht in Bezug genommenen Feststellungen des Landgerichts hat der Beklagte allerdings keinen gänzlich ungesicherten WLAN-Zugang verwendet. Vielmehr war der Zugang auf seinen Router bei aktivierter WLAN-Unterstützung werkseitig durch eine WPA-Verschlüsselung geschützt, die für die Einwahl in das Netzwerk des Beklagten einen 16-stelligen Authentifizierungsschlüssel erfordert. Mangels anderweitiger Feststellungen kann jedenfalls für September 2006 auch nicht davon ausgegangen werden, dass bei privater WLAN-Nutzung eine Verschlüsselung nach dem WPA2-Standard verkehrsüblich und damit geboten war, um unberechtigte Zugriffe Dritter auf das Drahtlosnetzwerk zu verhindern. Es belastete die Verwender dieser Technologie unzumutbar und damit unverhältnismäßig, wenn sie ihre Netzwerksicherheit fortlaufend dem neuesten Stand der Technik anpassen und dafür entsprechende finanzielle Mittel aufwenden müssten.

Die Prüfpflicht des Beklagten bezieht sich aber auf die Einhaltung der im Kaufzeitpunkt des Routers für den privaten Bereich marktüblichen Sicherungen. Diese Pflicht hat der Beklagte verletzt. Der Beklagte hat es nach dem Anschluss des WLAN-Routers bei den werkseitigen Standardsicherheitseinstellungen belassen und für den Zugang zum Router kein persönliches, ausreichend langes und sicheres Passwort vergeben. Der Schutz von Computern, Kundenkonten im Internet und Netzwerken durch individuelle Passwörter gehörte auch Mitte 2006 bereits zum Mindeststandard privater Computernutzung und lag schon im vitalen Eigeninteresse aller berechtigten Nutzer. Sie war auch mit keinen Mehrkosten verbunden.

c) Auch wenn der Beklagte als Störer haftet, kommt eine Verurteilung nach dem bislang gestellten Unterlassungsantrag nicht in Betracht. Denn der Antrag, es dem Beklagten zu verbieten, die Tonträgerproduktion „Sommer unseres Lebens“ im Internet in Tauschbörsen zugänglich zu machen, verfehlt die konkrete Verletzungsform.

Ein Unterlassungsanspruch steht der Klägerin nur insoweit zu, als sie sich dagegen wendet, dass der Beklagte außenstehenden Dritten Rechtsverletzungen der genannten Art ermöglicht, indem er den Zugang zu seinem WLAN-Anschluss unzureichend sichert. Die Revision macht zwar geltend, dass sich ihr Antrag konkret auf diese Verletzungsform beziehe. Es wird aber nicht deutlich, dass er sich darauf beschränkt. Der Antrag bedarf daher der Einschränkung, die nur die Klägerin selbst vornehmen kann.

Der Umstand, dass der gestellte Unterlassungsantrag die konkrete Verletzungsform nicht erfasst, rechtfertigt andererseits nicht die Abweisung der Klage. Aus der Sicht des Berufungsgerichts bestand kein Anlass, darauf hinzuwirken, dass die Klägerin einen an der konkreten Verletzungsform orientierten Unterlassungsantrag stellt (§ 139 Abs. 1 ZPO). Der Grundsatz des fairen Verfahrens gebietet es unter diesen Umständen, der Klägerin die Möglichkeit einzuräumen, ihren Antrag auf die konkrete Verletzungsform anzupassen.

3. Hinsichtlich der geltend gemachten Abmahnkosten ist der Rechtsstreit ebenfalls noch nicht zur Entscheidung reif. Das Berufungsgericht hat bislang noch nicht geprüft, ob nach dem maßgeblichen Sachverhalt – unzureichende Sicherung eines WLAN-Anschlusses, die zum einmaligen öffentlichen Zugänglichmachen eines einzelnen Titels auf einer Tauschbörse geführt hat – die vom Vertreter der Klägerin angesetzte Geschäftsgebühr auf der Grundlage eines Streitwerts von 10.000 € zu berechnen ist (vgl. etwa LG Hamburg ZUM 2007, 869).

Vorinstanzen:
LG Frankfurt/Main, Entscheidung vom 05.10.2007, Az. 2/3 0 19/07
OLG Franfurt/Main, Entscheidung vom 01.07.2008, Az. 11 U 52/07

Kurz-Anmerkung zu BGH, Urt. v. 12.5.2010 – I ZR 121/08 – Sommer unseres Lebens, MMR-Aktuell 2010, 303438

In eigener Sache:

In der MMR-Aktuell (Newsdienst der MMR) ist meine Kurz-Anmerkung zum Urteil des BGH, Urt. v. 12.5.2010 – I ZR 121/08 – Sommer unseres Lebens erschienen:

BGH entscheidet zur Haftung des Inhabers eines Internetzugangs mit WLAN-Router, MMR-Aktuell 2010, 303438

S. zu dem Urteil auch schon:

Weitere Publikationen

Lesetipp: Breyer, Die Haftung für Mitbenutzer von Telekommunikationsanschlüssen, NJOZ 2010, 1085

Ganz frisch ist in der NJOZ ein Aufsatz von Patrick Breyer mit dem Titel „Die Haftung für Mitbenutzer von Telekommunikationsanschlüssen“ erschienen (in: Neue Juristische Online Zeitschrift, NJOZ 2010, 1085 – noch nicht online verfügbar).

Darin setzt sich Breyer ebenfalls mit der Haftung des WLAN-Inhabers auseinander und bereitet noch einmal wesentliche Argumente mit einer speziellen Sicht auf die telekommunikationsrechtlichen Gegebenheiten auf.

So wie Oliver Garcia in Telepolis (dazu hier) setzt sich Breyer mit der grundrechtlichen Komponente auseinander:

„Die skizzierte Rechtsprechung zur Überlassung von Telekommunikationsanschlüssen setzt sich leider kaum mit der Werteordnung des Grundgesetzes auseinander und begegnet diesbezüglich durchgreifenden Bedenken. So ist schon im Ausgangspunkt ungeklärt, ob es mit dem grundrechtlichen Gesetzesvorbehalt in Einklang zu bringen ist, im Wege des nachkonstitutionellen Richterrechts ohne gesetzliche Grundlage weitreichende Verkehrspflichten wie eine Pflicht zur Hinderung anderer an der vorsätzlichen Begehung von Straftaten zu schaffen.“

Auch setzt er sich mit anschaulichen Beispielen mit dem „Gefahrenquelle“-Begriff auseinander.

Seit Fazit lautet:

„In Anbetracht der bisherigen deutschen Rechtsprechung zur Überlassung von Telekommunikationszugängen an Mitbenutzer liegt es an dem BGH, dem BVerfG und dem Gesetzgeber, einen ausgewogenen und freiheitsgerechten Ausgleich der einschlägigen Interessen auf diesem Gebiet herbeizuführen.“

Leider ist der Artikel erst kurz nach dem Urteil des BGH am 12.5.2010 (dazu hier, hier und hier) erschienen, so dass der Beitrag am Ergebnis des Urteils nichts ändern kann. Es bleibt aber zu hoffen, dass der BGH die Argumente wenigstens aufgreift und Klarheit schafft, inwiefern diese für andere Betreiber verfangen.