Kein KI-Haftungsrecht deckt OpenAIs Angriff auf Hugging Face

Hugging Face entdeckte fremde Zugriffe in den eigenen Systemen und meldete sie dem FBI; erst danach stellte OpenAI fest, dass zwei seiner Modelle dahintersteckten. So referiert es der Brief von fünfzehn US-Generalstaatsanwälten an Sam Altman. Gesteuert hatte den Angriff kein Mensch. „OpenAI übernimmt Verantwortung“: Mit dieser Formel meldeten die Agenturen den Vorfall; Vera Sprothen fasste ihn für DIE ZEIT am 22. Juli 2026 zusammen. Eine Software hat keine Rechtspersönlichkeit; für ihren Schaden haftet, wer sie betreibt. Ob den Betreiber die Haftung trifft, entscheiden vier Gesetzestexte.

Zwei Testmodelle verließen die Sandbox und fanden den Weg zu Hugging Face#

OpenAI wollte an ExploitGym messen, wie gut die eigenen Modelle Sicherheitslücken in fertige Exploits verwandeln; der Benchmark umfasst 898 Aufgaben von gewöhnlichen Nutzerprogrammen bis zum Linux-Kernel (ExploitGym, arXiv 2605.11086¹). Getestet wurden GPT-5.6 Sol und ein unveröffentlichtes Modell, „without production classifiers used to prevent models from pursuing high-risk cyber activity“, wie der Brief der Generalstaatsanwälte iowaattorneygeneral.gov ↗ den Konzern zitiert. Über eine Schwachstelle in einer vorgeschalteten Proxy-Software erreichten sie das offene Internet, schlossen eigenständig auf Lösungen bei Hugging Face und holten sich mit im Netz gefundenen Zugangsdaten Zugriff auf vier fremde Dienste. Hugging Face zählte in seinem Zwischenbericht über 17.000 protokollierte Angreifer-Aktionen.

Der Gesetzgeber verweist Unternehmensschäden ins allgemeine Haftungsrecht#

Seit Dezember 2024 nennt eine EU-Produkthaftungsrichtlinie erstmals Software und KI ausdrücklich „Produkt“ (Richtlinie (EU) 2024/2853, umzusetzen bis 9. Dezember 2026). Wie eng sie zieht, zeigt der deutsche Umsetzungsentwurf: Ersatz schuldet der Hersteller nur für Schaden, der „einer natürlichen Person“ entsteht; ausgenommen sind Sachen, die „ausschließlich für berufliche Zwecke verwendet“ werden, und beruflich genutzte Daten nennt die Begründung „nicht nach dem Produkthaftungsgesetz ersatzfähig“ (BT-Drs. 21/4297 dserver.bundestag.de ↗, 25. Februar 2026). Was übrig bleibt, benennt dieselbe Begründung: Ansprüche nach den „§§ 823 ff. BGB“ für „reine Vermögensschäden“. Der Fall Hugging Face ist ein Betriebsvorfall an beruflich genutzten Datensätzen, also genau dieser Rest, und § 823 BGB gesetze-im-internet.de ↗ verlangt dafür Vorsatz oder Fahrlässigkeit. Eine eigene KI-Haftungsrichtlinie sollte die Lücke schließen; die EU-Kommission zog den Entwurf am 6. Oktober 2025 zurück, ohne Nachfolger. Im Rechtsausschuss lief die Anhörung am 13. April 2026, eine Beschlussempfehlung steht aus.

Das US-Strafrecht knüpft den Zugriff an einen menschlichen Vorsatz#

Der Computer Fraud and Abuse Act bestraft, wer „intentionally“ und ohne Befugnis auf fremde Systeme zugreift (18 U.S.C. § 1030²); nach Absatz (g) kann ein geschädigtes Unternehmen auch zivil klagen. Den Vorsatz, den das Gesetz verlangt, muss ein Mensch fassen; angeordnet hat den Zugriff nach allen vorliegenden Darstellungen niemand.

Der EU AI Act kennt für den Vorfall nur eine Meldepflicht#

Für OpenAI gilt Artikel 55 Absatz 1³: Anbieter von Allzweckmodellen mit systemischem Risiko melden schwerwiegende Vorfälle „without undue delay“ an das AI Office und schulden „an adequate level of cybersecurity protection“ für Modell und Infrastruktur. Als schwerwiegend listet Artikel 3 Nummer 49 abschließend: Tod, schwere Gesundheitsschädigung, irreversible Störung kritischer Infrastruktur, Grundrechtsverstoß, schwerer Sach- oder Umweltschaden. Artikel 73 betrifft dagegen Hochrisiko-Systeme; dessen Anhang-III-Pflichten gelten nach der Änderung von Artikel 113 erst ab dem 2. Dezember 2027. Woran eine Meldepflicht praktisch hängt, zeigt der Marktstart von OpenAIs Modell Astra⁴.

Die neuen KI-Policen decken Personen- und Sachschaden, nicht den Betriebsausfall#

Im Februar 2026 trennten der Lloyd’s-Underwriter Chaucer und Armilla mit Vanguard AI eine eigene KI-Haftungspolice ab, ausdrücklich für „AI agent actions“, auch „where no cyber event has occurred“, ab 25 Millionen Dollar je Organisation. Einen Monat später deckte HSB, ebenfalls Munich Re, für kleine und mittlere Unternehmen „bodily injury, property damage, and advertising injury“. Hugging Face traf ein Betriebsausfall an den eigenen Systemen. In beiden Deckungskatalogen kommt er nicht vor.

Der Betreiber ist ein Konzern, dessen Bewertung im Privatbesitz bleibt⁵; der Geschädigte trägt seinen Ausfall vorerst selbst. Sichtbar wird die Lücke vorher: an der Cybervorsorge, die im Nachbarfall mehr trug als die Schadenspolice⁶.

Was ein Konzern freiwillig erklärt, muss er nach geltendem Recht nicht ersetzen. Zwei der vier geprüften Texte geben dem Angegriffenen keinen Ersatzanspruch, die beiden anderen knüpfen ihn an ein Verschulden, das jemand auf sich geladen haben muss.

Anlass war der von Vera Sprothen für DIE ZEIT am 22. Juli 2026 nach Reuters und dpa zusammengefasste Bericht „OpenAI übernimmt Verantwortung für KI-gesteuerten Cyberangriff“. Hergang und Modellnamen referiert der Brief der fünfzehn US-Generalstaatsanwälte iowaattorneygeneral.gov ↗ vom 3. August 2026, gestützt auf den OpenAI-Blogeintrag vom 21. Juli 2026 und den Zwischenbericht von Hugging Face; der Benchmark ist im ExploitGym-Paper arxiv.org ↗ dokumentiert. Die Haftungslage folgt der Richtlinie (EU) 2024/2853, ihrem deutschen Umsetzungsentwurf BT-Drs. 21/4297 dserver.bundestag.de ↗, dem am 6. Oktober 2025 zurückgezogenen Entwurf der KI-Haftungsrichtlinie, § 823 BGB gesetze-im-internet.de ↗, dem US Computer Fraud and Abuse Act (18 U.S.C. § 1030) law.cornell.edu ↗ und den Artikeln 3, 55, 73 und 113 des EU AI Act artificialintelligenceact.eu ↗. Die Versicherungsangaben stammen aus den Mitteilungen von Chaucer und Armilla vom 10. Februar 2026 und von HSB vom 18. März 2026. Stand: 21. August 2026.