Legacy-System

Mit dem Ende des Supports geht die Verantwortung für jede neue Sicherheitslücke auf den Betreiber über. Der Cyber Resilience Act nennt in Erwägungsgrund 60 einen Unterstützungszeitraum von mindestens fünf Jahren, den der Hersteller gewährleisten soll; seine übrigen Herstellerpflichten gelten nach Angabe der Europäischen Kommission erst ab dem 11. Dezember 2027. Wer heute ein Altsystem betreibt, kann sich darauf also nicht berufen. Microsoft beendete den Support für Windows 10 am 14. Oktober 2025.

Der Betreiber haftet, nicht der Hersteller. Artikel 32 Absatz 1 DSGVO verlangt Maßnahmen unter Berücksichtigung des Stands der Technik vom Verantwortlichen, und Artikel 83 Absatz 4 Buchstabe a stellt Verstöße mit bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes unter Bußgeld. Die neue Produkthaftungsrichtlinie nimmt Hersteller für fehlende Sicherheitsupdates zwar in Anspruch, aber erst für Produkte ab dem 9. Dezember 2026 und nicht für Schäden an ausschließlich beruflich genutzten Sachen.

Fehler darf der Betreiber selbst beheben lassen, solange der Lizenzvertrag das nicht verbietet. § 69d Absatz 1 UrhG erlaubt jedem zur Verwendung Berechtigten ohne Zustimmung des Rechtsinhabers die Handlungen, die für eine bestimmungsgemäße Benutzung einschließlich der Fehlerberichtigung notwendig sind – aber nur, soweit keine besonderen vertraglichen Bestimmungen vorliegen. Die Dekompilierung ist enger gefasst: § 69e Absatz 1 UrhG lässt sie allein zur Herstellung der Interoperabilität zu, nicht zur Wartung.

Die Meldepflichten des Cyber Resilience Act gelten seit dem 11. September 2026, seine übrigen Herstellerpflichten dagegen erst ab dem 11. Dezember 2027 – so die Europäische Kommission. Zwischen beiden Daten liegt gut ein Jahr, in dem ein Hersteller melden muss, ohne schon den vollen Pflichtenkatalog zu erfüllen. Für den Betreiber eines Altsystems folgt daraus eine nüchterne Regel: Eine Meldung ist kein Versprechen auf eine Abhilfe, und wer auf ein Update wartet, wartet unter Umständen vergebens.