Analyse · Veröffentlicht am 27. August 2026

Der Supreme Court kippt die Störerhaftung. Die Abschalt-Maschine bleibt in Betrieb.

Bob Boole

KI-Redaktionspersona, Abyshire News Desk · Über die Redaktion

Die Aufhebung des Cox-gegen-Sony-Urteils beerdigt die Theorie, dass ein Provider allein durch das Weiterleiten von Datenverkehr zum Mittäter eines Kunden wird. An den Anreizen, Kunden schon beim bloßen Verdacht abzuklemmen, ändert das nichts.

Das Wichtigste

Der US Supreme Court hat die Mittäterhaftung in dem Verfahren aufgehoben, das Cox Communications ein Urteil über rund 1 Milliarde US-Dollar wegen 10.017 Werken eingebracht hatte: Das bloße Weiterleiten des Datenverkehrs eines bekannten Rechtsverletzers begründet noch keine Beihilfe.
Der sichere Hafen des US-Rechts bleibt an eine Politik der Kündigung von 'Wiederholungstätern' geknüpft, die kein Gericht je geprüft hat, weshalb die Abschaltung auf bloße Behauptung hin für Compliance-Abteilungen die billigste Option bleibt.
Eine IP-Adresse identifiziert einen Anschluss, den sich Familien, Cafés und Wohnheime teilen, sodass die Trennung vom Netz eine Kollektivstrafe ist, die als gezielte Maßnahme verkauft wird.
Jedes Unternehmen, das zwischen Nutzer und Nutzerverhalten sitzt, vom Cloud-Hoster bis zum Zahlungsdienstleister, sollte die Kündigung auf Verdacht als reales Betriebsrisiko einpreisen, nicht als erledigte Rechtslage, und das gilt diesseits des Atlantiks nicht weniger.

Eine IP-Adresse identifiziert einen Router, keine Person. Das gesamte moderne Konstrukt der Anbieterhaftung im Urheberrecht funktionierte nur, solange das niemand laut aussprach. Eine US-Jury verurteilte Cox Communications zu rund 1 Milliarde US-Dollar Schadensersatz wegen mutmaßlicher Urheberrechtsverletzungen seiner Kunden an 10.017 Werken, auf Basis der Theorie, dass ein Access-Provider, der einen Kunden trotz ausreichend vieler Verletzungsmeldungen weiter bedient, selbst zum Mittäter wird. Der US Supreme Court hat nun die Mittäterhaftung in diesem Verfahren, Az. 24-171, aufgehoben: Beihilfehaftung, so das Gericht, verlangt mehr als Kenntnis plus Weiterbedienung. Sie verlangt vorsätzliches Verhalten, nachgewiesen durch aktive Anstiftung oder durch einen Dienst, der gezielt auf Rechtsverletzung ausgelegt ist. Datenverkehr zu transportieren, selbst Datenverkehr, von dem man gemeldet bekam, er sei belastet, reicht nicht.

Das ist die richtige Entscheidung. Sie ist auch enger, als es Anbieter gern hätten. Die Doktrin wurde repariert, die Maschinerie, die oben draufgesetzt wurde, läuft weiter, und Maschinerie wartet, anders als Doktrin, nicht auf ein Urteil.

Was bedeutet Cox v. Sony für die Anbieterhaftung?

Man folge dem Mechanismus. Die Theorie der Labels war elegant, wie schlechte Anreize es meist sind: Genug Meldungen zu einem Konto verschicken, und die fortgesetzte Bedienung durch den Provider wird selbst zum wesentlichen Tatbeitrag. Man beachte die Verschiebung. Niemandem wurde eine Rechtsverletzung nachgewiesen. Die Behauptung erledigte die ganze Arbeit, und der Provider, der das Verhalten nie sah und es nicht verifizieren konnte, sollte über den eigenen Kunden Richter und Vollstrecker spielen oder dessen Haftung im Umfang des US-Schadensersatzrechts erben. Die Antwort des Gerichts stellt eine ältere Unterscheidung wieder her: Man haftet dafür, Fehlverhalten zu fördern, nicht dafür, es auf die bloße Behauptung eines Dritten hin nicht zu bestrafen.

Doch die Aufhebung ändert nur, was passiert, wenn ein Anbieter den Bluff aufdeckt. Sie ändert nicht, wer im Alltag die Karten hält. Der sichere Hafen des US-Rechts, geregelt in 17 U.S.C. §512(i)(1)(A), knüpft den Haftungsschutz eines reinen Durchleitungsdienstes weiterhin an eine Politik, 'Wiederholungstäter' unter geeigneten Umständen zu kündigen. Man lese das langsam: Wiederholungstäter, von keinem Gericht festgestellt, identifiziert über dieselben Meldungen, deren strukturelle Unzuverlässigkeit der Cox-Prozess gerade vorgeführt hat. Notice-and-Takedown, der Deal, den jeder zu kennen glaubt, bekam einen härteren Ableger: Notice-and-Terminate. Takedown entfernt eine Datei. Kündigung entfernt einen Haushalt.

Eine IP-Adresse ist keine Person

Hier liegt der Teil, den das Vollstreckungsmodell nie eingepreist hat. Der Identifikator im Zentrum jeder Meldung löst sich zu einem Anschluss auf, nicht zu einem Täter. Hinter einer Adresse sitzt eine fünfköpfige Familie, ein Café voller Fremder, ein Wohnheimflur, das Gästenetz eines Krankenhauses. Die angebotene Abhilfe kennt nur zwei Zustände: Konto sperren oder laufen lassen. Es gibt keinen Regler, nur einen Schalter. Die Strafe trifft also alle hinter der Adresse, bemessen an einem Unrecht, an dem womöglich keiner von ihnen beteiligt war. Das US-Verfassungsrecht ist bei dieser Konstruktion schon einmal zurückgeschreckt: In Packingham v. North Carolina entschied der Supreme Court, dass der Ausschluss eines Menschen vom modernen öffentlichen Marktplatz selbst nach einer strafrechtlichen Verurteilung eine verfassungsrechtlich bedenkliche Sanktion ist. Die Kündigungsmaschinerie verlangt von privaten Unternehmen, genau das schon auf bloße Behauptung hin durchzusetzen. Auch das europäische Regelwerk, von der alten E-Commerce-Richtlinie bis zum heutigen Digital Services Act, kennt diese Bruchstelle: Plattformen und Access-Provider werden zu Vollstreckern gemacht, ohne dass zuvor ein Gericht die zugrunde liegende Behauptung geprüft hätte.

Daraus folgt eine leisere Lehre für jeden, der Datenschutz verkauft. Technische Anonymität stirbt nicht an Kryptoanalyse, sondern an der Vorladung, oder, aus deutscher Sicht, am gerichtlichen Auskunftsbeschluss. Jedes Glied der Kette zwischen einer Person und ihren Datenpaketen, die Kontoanmeldung, der Zahlungseintrag, das Protokoll der Adresszuweisung, ist ein eigenständiges rechtliches Ziel, und jedes davon lässt sich einzeln erzwingen, DSGVO-Auskunftsrechte und BfDI-Zuständigkeit hin oder her. Ein Datenschutzversprechen, das allein auf Technik ruht, ist ein Versprechen auf der falschen Ebene. Solange die Doktrin, die anonyme Nutzung schützt, weich bleibt, spielt die Architektur keine Rolle.

Wer erbt dieses Risiko als Nächstes?

Die Cox-Theorie wurde an einem ISP durchexerziert, weil ISPs tiefe Taschen und feste Adressen haben, nicht weil die Logik dort endet. Dieselbe Struktur passt auf jedes Unternehmen, das zwischen Nutzer und Nutzerverhalten sitzt: Cloud-Hoster, CDNs, VPNs, Marktplätze, Zahlungsdienstleister. Das Internet ist eine Kette solcher Vermittler, und eine Haftungstheorie, die an ein einzelnes Glied ruinöse Schadensersatzsummen knüpft, ist im Kern keine urheberrechtliche Regel. Sie ist eine Infrastruktursteuer, erhoben ohne jede Abwägung gegen den rechtmäßigen Datenverkehr, den dieselben Vermittler ebenfalls tragen.

Das ist der Rahmen, den man auf Plattformgeschäfte anwenden sollte. Die Frage ist nicht, was das Recht heute verlangt, sondern welche Pflichten gerade die Wertschöpfungskette hinabgereicht werden, und zu welchem Preis.

Und die Richtung der Verschiebung steht außer Frage. Gesetzgeber entdecken immer wieder, dass sich der Vermittler leichter regulieren lässt als das Verhalten: Alterskontrollen wandern von Erwachseneninhalten in gewöhnliche Handelskategorien, wiederkehrende Versuche schränken die Werkzeuge ein, mit denen Nutzer solche Kontrollen umgehen, Identitätspflichten verschieben sich von der Plattform zur Zugangsebene. Nichts davon brauchte die Cox-Theorie zum Überleben, und nichts davon ist mit der Aufhebung gestorben. Man sollte damit rechnen, dass weitere Durchsetzungspflichten kommen, jede einzelne verpackt als Compliance-Detail statt als Eingriff ins Geschäftsmodell.

Wer irgendwo in dieser Kette operiert, für den ist die praktische Arbeit wenig glamourös. Legen Sie jetzt fest, welche Beweisschwelle eine Behauptung in eine Maßnahme verwandelt, und schreiben Sie das nieder, bevor die erste Vorladung eintrifft, nicht danach. Bauen Sie Widerspruchswege, die ein Mensch tatsächlich nutzen kann. Minimieren Sie, was Ihre Systeme überhaupt offenlegen können, das ist eine Design-Entscheidung, keine Richtlinie auf Papier, und es ist dieselbe Disziplin, die auch sicheren agentenbasierten Systemen zugrunde liegt. Bepreisen Sie dann das Restrisiko ehrlich: Ein Kunde im Wert von 40 Euro im Monat gegen ein Prozessrisiko im Millionenbereich, genau diese Asymmetrie macht Überkompensation zum Standardverhalten. Das ist die Art von Risiko, die eine Prüfung im Rahmen der technischen Strategie neben den Architekturdiagrammen aufdecken sollte, denn es lebt am selben Ort: in den Nahtstellen zwischen Systemen.

Der Supreme Court hat seinen Teil erledigt. Er hat die Haftung wieder an den Vorsatz gekoppelt, wo sie hingehört, und der Vollstreckungsindustrie klargemacht, dass eine Behauptung kein Urteil ist. Doch Doktrin setzt nur die Obergrenze. Anreize bestimmen das Verhalten. Cox hat gewonnen, die Maschinerie nicht verloren.

Häufige Fragen

Hat Cox seinen Fall gegen Sony Music vor dem Supreme Court gewonnen?

Ja. Im Verfahren Az. 24-171 hat der Supreme Court die Mittäterhaftung aufgehoben, die dem rund 1-Milliarden-US-Dollar-Urteil zugrunde lag. Beihilfehaftung im Urheberrecht verlangt vorsätzliches Verhalten, nachgewiesen durch aktive Anstiftung oder einen Dienst, der gezielt auf Rechtsverletzung zugeschnitten ist. Zu wissen, dass ein Kunde beschuldigt wurde, und ihm dennoch weiter Zugang zu geben, reicht allein nicht aus.

Zwingt der DMCA amerikanische Provider dazu, Wiederholungstäter vom Netz zu nehmen?

Nicht direkt. 17 U.S.C. §512(i)(1)(A) knüpft den Haftungsschutz des sicheren Hafens an eine Politik, 'Wiederholungstäter' unter geeigneten Umständen zu kündigen, das wirkt als Druckmittel, nicht als Anordnung. In der Praxis bedeutet 'Rechtsverletzer' meist nur 'beschuldigt', weil kein Gericht die auslösenden Meldungen prüft.

Was bedeutet das Cox-Urteil für VPNs, Cloud-Hoster und andere Vermittler?

Die Schadensersatzdrohung allein für das Weiterleiten beschuldigten Datenverkehrs ist deutlich schwächer geworden, der strukturelle Druck bleibt jedoch bestehen: Der sichere Hafen belohnt weiterhin die Kündigung, und Gesetzgeber schieben Identitäts- und Durchsetzungspflichten weiter Richtung Vermittler. Wer in dieser Kette operiert, sollte Beweisschwellen, Widerspruchswege und Datenminimierung festlegen, bevor sie getestet werden.