Einführung einer obligatorischen Opt-In-Pflicht bei Firmware-Updates für Verbraucher

Petition richtet sich an: Bundestag

1. Problemstellung und Begründung 

Im Zuge der Digitalisierung und des Ausbaus dezentraler Energieinfrastrukturen (Photovoltaikanlagen, Batteriespeicher, Wärmepumpen) greifen Hersteller zunehmend über Cloud-Schnittstellen mittels automatischer Firmware-Updates (Over-the-Air) in das Eigentum der Verbraucher ein. 

Diese Updates geschehen in der Praxis meist unangekündigt und ohne explizite Zustimmung der Endnutzer. Dies führt zu erheblichen Verbraucherschutz-Defiziten: 

• Kaskadierende Systemfehler: Updates verändern lokale Netzwerkkonfigurationen (z. B. Zurücksetzen von IP-Adressen auf Standard-Hostnames wie .local), wodurch die Kommunikation mit Drittgeräten abreißt. 
• Mangelnde Transparenz: Verbraucher werden nicht über den Zeitpunkt, den Zweck oder die Risiken eines Updates informiert. Fehlfunktionen werden fälschlicherweise lokalen Netzwerken oder Anwenderfehlern zugeschrieben. 
• Wirtschaftlicher Schaden: Durch Update-bedingte Systemausfälle bei Energiemanagementsystemen (EMS) entstehen Verbrauchern direkte finanzielle Verluste (z. B. durch blockierte Batterieladungen oder entgangene Einspeisevergütungen). 

2. Regelungsvorschlag (Kernforderungen) 

Die EU-Kommission wird aufgefordert, die bestehenden Richtlinien zum digitalen Verbraucherschutz (insb. Richtlinie (EU) 2019/770 und Richtlinie 2011/83/EU) um folgende verbindliche Punkte zu erweitern: 

• Artikel 1: Transparenz- und Informationspflicht (Vorab-Notifikation) 
• Hersteller sind verpflichtet, Verbraucher mindestens 72 Stunden vor einem geplanten Update über eine dauerhafte Benachrichtigung (App-Push, E-Mail oder Display-Anzeige am Gerät) zu informieren. Diese Benachrichtigung muss ein leicht verständliches Änderungsprotokoll (Changelog) in der jeweiligen Landessprache sowie potenzielle Auswirkungen auf die lokale Netzwerkkonfiguration enthalten. 
• Artikel 2: Explizite Zustimmungspflicht (Opt-In statt Auto-Update) 
• Automatische Updates, die funktionale Änderungen oder Konfigurationsrücksetzungen bewirken, dürfen nur nach ausdrücklicher, digitaler oder schriftlicher Zustimmung des Endverbrauchers ausgeführt werden. Der Verbraucher muss das Recht haben, den Installationszeitpunkt selbst zu bestimmen. 
• Artikel 3: Ausnahme für kritische Sicherheitsupdates 
• Ausgenommen von der strikten Zustimmungspflicht sind ausschließlich Updates, die nachweislich kritische Sicherheitslücken (gemäß Cyber Resilience Act) schließen, welche eine unmittelbare Gefahr für das öffentliche Netz oder die Datensicherheit darstellen. Aber auch in diesem Fall ist eine unverzügliche Push-Benachrichtigung nach erfolgreicher Installation zwingend vorgeschrieben, um den Verbraucher über den Systemneustart aufzuklären. 
• Artikel 4: Haftung bei Update-Schäden und Ausfällen 
• Führt ein unangekündigtes oder fehlerhaftes Update zu Funktionseinschränkungen oder zum Zurücksetzen mühsam eingerichteter Konfigurationen, trägt der Hersteller die Beweislast und die Kosten für die Wiederherstellung des vorherigen Betriebszustands (z. B. durch Bereitstellung eines kostenfreien Technikers oder automatische Rollback-Funktionen). 

3. Erwartete Auswirkungen 

Diese Regulierung schützt das digitale Eigentum der Bürger, stärkt das Vertrauen in die Energiewende und zwingt Hersteller dazu, Updates stabiler, transparenter und abwärtskompatibler zu gestalten.