Europäische ISPs fordern Haftung der Rechteinhaber für Overblocking-Schäden

Overblocking trifft längst nicht mehr nur Piracy-Seiten. Wer seine Website auf Shared-Hosting-Infrastruktur betreibt, kann durch eine Sperranordnung gegen eine völlig fremde Domain offline gehen. Und bislang zahlt dafür niemand.

Drei Tage nach dem erneuten EuroISPA-Vorstoß beim CDSM-Konsultationsverfahren der EU-Kommission steht die zentrale Frage unbeantwortet im Raum: Müssen Rechteinhaber, die überbordende IP-Sperranordnungen erwirken, für die kollateralen Schäden geradestehen? EuroISPA, der Dachverband von über 3.300 europäischen Internetanbietern, fordert genau das.

Warum trifft eine Piracy-Sperre Ihre legitime Website?

Das strukturelle Versagen liegt im Zusammenspiel zweier Entwicklungen: IP-Sperranordnungen richten sich technisch gegen einzelne IP-Adressen oder /24-Ranges. Im modernen Shared-Hosting- und CDN-Betrieb teilen sich jedoch hunderte bis tausende legitime Domains dieselbe Infrastruktur. Beantragt ein Rechteinhaber eine Sperre gegen eine Piracy-Domain und erhält diese gegen deren IP-Adresse, gehen alle Co-Hosted-Dienste auf derselben Infrastruktur mit offline.

Der ISP dazwischen haftet operativ und rechtlich: In Italien müssen Anbieter Sperren binnen 30 Minuten implementieren, tragen die Durchführungskosten und riskieren Sanktionen bei Nicht-Befolgung. Der Antragsteller hingegen hat nach dem aktuellen IPRED-Rahmen keine Schadensersatzpflicht gegenüber kollateral getroffenen Dritten. EuroISPA beschreibt das zutreffend als strukturelle Asymmetrie: Der ISP handelt als neutraler Vermittler, haftet aber wie ein aktiver Schadensverursacher.

Dieses Muster ist keine Ausnahme. Italiens Piracy Shield hat durch IP-Blocking über 7.700 Domains kollateral gesperrt, darunter CDN-Subdomains und DDoS-Schutzdienste. Eine portugiesische Hosting-Firma hat 16 Tage lang die E-Mail-Konnektivität mit ihren italienischen Kunden verloren. In Spanien hat eine LaLiga-Blocking-Order auf Shared-IPs Millionen Nutzer getroffen, die keinen Zugang mehr zu Banking-Apps und Payment-Plattformen hatten, dokumentiert durch OONI-Messdaten. Cisco hat OpenDNS 2024 aus Frankreich und 2025 aus Belgien zurückgezogen, nachdem DNS-Resolver zur Umsetzung von Piracy-Sperren verpflichtet worden waren. Kein regionaler Ausreißer, sondern ein Strukturproblem der gesamten EU-Sperr-Architektur.

Was bedeutet das konkret für DACH-Hoster und Website-Betreiber?

Im deutschen Rechtsrahmen ermöglicht § 7 Abs. 4 DDG (früher TMG) Rechteinhabern Sperransprüche gegen Access Provider, ohne dass eine Schadensersatzpflicht für kollaterale Overblocking-Schäden vorgesehen ist. Diese Lücke entspricht exakt dem, was EuroISPA über den IPRED-Mechanismus EU-weit schließen will. Der Digital Services Act enthält bislang keine explizite Overblocking-Haftungsklausel; die EU-Kommission hat 2025 vor Italiens Framework als DSA-inkompatibel gewarnt, ohne eine verbindliche Korrektur zu erzwingen.

Der BGH hat mit dem DNS-Sperren-Urteil vom 13. Oktober 2022 (I ZR 111/21, Elsevier vs. Deutsche Telekom, Sci-Hub/LibGen) Netzsperren als ultima ratio eingestuft, die Haftungsfrage für Overblocking-Schäden aber nicht adressiert. Wer im DACH-Raum digitale Infrastruktur betreibt oder auf Shared-Hosting setzt, sollte drei Maßnahmen jetzt angehen, ohne auf den EU-Gesetzgeber zu warten:

Zunächst: Dedizierte IPs statt Shared-Hosting-Umgebungen prüfen. Unser Webhosting-Vergleich listet Anbieter, die dedizierte IPs oder kleinere IP-Ranges standardmäßig anbieten. Shared-Hosting-Umgebungen sind bei kollateralen Sperranordnungen zuerst und am häufigsten betroffen.

Parallel dazu: Geografisches Uptime-Monitoring mit Messsonden wie RIPE Atlas oder OONI einrichten. Länderspezifische Sperren sind aus dem eigenen Netz unsichtbar und werden ohne Monitoring erst durch Kundenbeschwerden sichtbar.

Im nächsten Schritt: Die laufende CDSM-Direktiven-Revision der EU-Kommission verfolgen. Kommentierungsfenster für Intermediäre und Hosting-Anbieter sind geöffnet. Die Forderungen von EuroISPA decken sich mit dem CEPS-Bericht vom April 2026, der IP-Adress-Blocking grundsätzlich als unverhältnismäßig eingestuft und Rechteinhaberhaftung empfohlen hat. Offen bleibt, ob die Kommission den ISP-Forderungen folgt. Die Richtung ist jedoch klar: Das regulatorische Fundament für Cybersecurity-Compliance im DACH-Raum verschiebt sich, und wer die Entwicklung passiv abwartet, riskiert Ausfälle, die heute schon technisch vermeidbar wären. Ähnliche Debatten um Intermediärspflichten zeigen sich auch in der ChatControl-Diskussion und beim Cyberabwehr-Gesetz. Wer die NIS2-Anforderungen für seinen Betrieb bereits kennt, findet im Cybersecurity-Glossar die regulatorischen Begriffe, die in der CDSM-Debatte auftauchen werden.

Mehr Newshunger?

• ChatControl kehrt zurück: Am 29. Juni fällt die Entscheidung über Massenscans
• Cyberabwehr-Gesetz: Darf der Staat jetzt zurückschlagen?
• NIS2 für Mittelstand: Wer ist befreit? Unter 250.
• BSI NIS-2-Umfrage 2026: Was braucht der Mittelstand?
• DSGVO bremst 70 % Innovationen aus? Laut Bitkom ja.
• hyper-Bug bei Cloudflare: Wie gefährlich ist er?
• Was ist Medienrecht? Der Schnellüberblick für KMU