KI-Haftung: Grüne wollen Chefs nach PHP-Lücke belangen

Grüne fordern Haftung für KI-Chefs

Die Grünen-Bundestagsfraktion fordert verbindliche Sicherheitsstandards für leistungsstarke KI-Systeme und will Unternehmen sowie deren Führungskräfte für schwere Sicherheitsvorfälle haftbar machen. Anlass ist ein Antrag der Fraktion, der eine Woche nach einer kritischen PHP-Sicherheitslücke vorgelegt wurde.

Antrag verlangt unabhängige Prüfungen

Der Antrag sieht unabhängige Prüfungen und eine verbindliche Aufarbeitung von Sicherheitsvorfällen vor. Die Grünen-Digitalpolitikerin Rebecca Lenhard erklärte, die Sicherheit von KI-Systemen dürfe nicht länger allein den entwickelnden Unternehmen überlassen werden.

Nach ihrer Darstellung müssen diejenigen haften, die Schäden verursachen. Das solle auch für die Chefs großer KI-Konzerne gelten.

PHP-Lücke erhöht politischen Druck

Wegen der kritischen Sicherheitslücke in der Webprogrammiersprache PHP waren zahlreiche Websites vorsorglich vom Netz genommen worden. Lenhard verwies darauf, dass die Vorfälle die Verwundbarkeit der digitalen Infrastruktur zeigten.

Mithilfe von KI könnten Angreifer solche Schwachstellen immer schneller aufspüren und ausnutzen. Die Grünen leiten daraus zusätzlichen Handlungsbedarf bei Sicherheitsvorgaben für leistungsstarke Systeme ab.

Mehr Mittel für BSI und AISI gefordert

Die Fraktion verlangt einen personellen, finanziellen und technischen Ausbau des Bundesamts für Sicherheit in der Informationstechnik sowie des KI-Sicherheitsinstituts AISI. Außerdem setzt sie sich international, etwa bei den Vereinten Nationen, für gemeinsame KI-Sicherheitsstandards ein.

Der Grünen-Politiker Konstantin von Notz verwies auf die Vorfälle der vergangenen Wochen und forderte konkrete politische Maßnahmen. Die Bundesregierung müsse zeigen, dass auf Ankündigungen auch Taten folgten.

Der Vorstoß der Grünen verbindet zwei Entwicklungen: die konkrete Verwundbarkeit weit verbreiteter Web-Infrastruktur und die wachsende Fähigkeit von KI-Systemen, Schwachstellen schneller zu identifizieren. Wenn zahlreiche Websites nach einer kritischen PHP-Lücke vorsorglich offline gehen, wird sichtbar, dass Sicherheitsprobleme nicht nur einzelne Unternehmen, sondern auch öffentliche Dienste und digitale Lieferketten betreffen.

Haftung und Kontrolle

Die politische Forderung zielt deshalb auf eine Verschiebung der Verantwortung. Verbindliche Standards, unabhängige Prüfungen und eine dokumentierte Aufarbeitung von Sicherheitsvorfällen sollen verhindern, dass Schutzmaßnahmen allein auf freiwilligen Zusagen der Anbieter beruhen. Die Debatte über persönliche Verantwortung von Unternehmensführungen berührt dabei eine rechtlich anspruchsvolle Grenze: Zwischen Hersteller, Betreiber und Nutzer eines KI-Systems können sich unterschiedliche Verantwortungsanteile ergeben.

Parallel entwickelt sich der europäische Rechtsrahmen weiter. Die EU-Produkthaftungsrichtlinie erfasst Software und KI-Systeme ausdrücklich als Produkte; Deutschland muss sie bis zum 9. Dezember 2026 umsetzen. Die geplante europäische KI-Haftungsrichtlinie wurde dagegen im Februar 2025 zurückgezogen, wodurch zentrale Fragen zur Beweisführung und Zuständigkeit weiterhin national geregelt werden.

Wachsende Anforderungen an Behörden

Für das BSI und das KI-Sicherheitsinstitut AISI bedeutet der Vorstoß zusätzlichen politischen Druck. Gefordert sind nicht nur mehr Personal und Geld, sondern auch schnellere Warn- und Prüfverfahren. Die BSI-Präsidentin Claudia Plattner verwies zuletzt darauf, dass Unternehmen KI zunehmend einsetzen, während viele noch keine festen Abläufe für KI-Sicherheitsvorfälle haben.

International gewinnt das Thema ebenfalls an Gewicht. Australische Cybersicherheitsbehörden warnten am 27. Oktober 2026, KI werde von staatlichen und kriminellen Akteuren genutzt, um Schwachstellen schneller und in größerem Umfang auszunutzen. Für Bürger und Unternehmen wächst damit die Bedeutung regelmäßiger Updates, klarer Zuständigkeiten und belastbarer Notfallpläne.

Pressespiegel: Einigkeit, Unterschiede und offene Fragen

Frankfurter Rundschau: „KI birgt Gefahren für Firmen: BSI-Chefin warnt vor laxer Cybersicherheit“ (27.10.2026)

Der Beitrag rückt die Verantwortung der Hersteller und die möglichen Haftungsfragen bei Schäden durch KI in den Mittelpunkt. Anders als der Grünen-Antrag beschreibt er zusätzlich den bestehenden europäischen Rechtsrahmen und die Rolle der Betreiber.

Euronews: „Australien warnt vor beispiellosen KI-Cyberangriffen: diese Faktoren treiben sie“ (27.10.2026)

Der Artikel setzt den Schwerpunkt auf die internationale Bedrohungslage und die Nutzung von KI durch staatliche und kriminelle Angreifer. Er bestätigt den Zusammenhang zwischen KI-gestützter Suche nach Schwachstellen und der PHP-Lücke, behandelt aber nicht die deutschen Haftungsforderungen.

Gemeinsam ist beiden Beiträgen der Befund, dass KI die Geschwindigkeit und Reichweite von Cyberangriffen erhöht. Unterschiede bestehen beim politischen Schwerpunkt: Während der deutsche Beitrag Haftung und Regulierung betont, konzentriert sich die internationale Perspektive auf operative Bedrohungen und staatliche Cyberaktivitäten.