Sicherheitslücke entdeckt – darf Ihr Vertrieb die Daten des Mitbewerbers verwenden? Der OGH sagt klar: nein
Ein Screenshot, zwölf Abrufe, mehrere betroffene Kunden – und plötzlich wird aus „Wettbewerbsanalyse“ ein UWG-Verfahren mit einstweiliger Verfügung. Genau dieses Risiko trifft Unternehmen im Vertrieb oft schneller, als intern vermutet wird: Jemand findet eine technische Schwachstelle beim Mitbewerber, die Daten wirken abrufbar, der Vertrieb wittert eine Chance zur Kundenansprache. Rechtlich kann das sehr teuer werden.
Der Oberste Gerichtshof hat dazu eine klare Grenze gezogen: Passwortgeschützte Kundenberichte bleiben Geschäftsgeheimnisse, auch wenn ein Cache oder eine Fehlkonfiguration den Zugriff technisch erleichtert. Wer den Login gezielt umgeht, Berichte abruft und diese Informationen für die Akquise nutzt, handelt unlauter.
Wie aus einer „Analyse“ ein handfestes Wettbewerbsproblem wurde
Zwei Anbieter von Ticket- und Zutrittssystemen konkurrierten um dieselben Skigebiete und Veranstalter. Einer der Anbieter betrieb für seine Kunden Server und Reporting-Anwendungen. Dort lagen Auswertungen darüber, wer wann welche Tickets gekauft hatte; also genau jene Informationen, mit denen sich Kundenbeziehungen, Auslastung und Geschäftsmodelle bewerten lassen. Der Zugang war passwortgeschützt.
Zusätzlich wurden Berichte technisch im Cache zwischengespeichert. Diese Berichte waren nicht für die Öffentlichkeit bestimmt. Sie waren Teil eines geschützten Systems, das nur einem begrenzten Personenkreis offenstehen sollte.
Ein Mitarbeiter des Mitbewerbers fotografierte bei einer „Analyse“ eine Bildschirm-URL. Danach blieb es nicht bei einer bloßen Beobachtung. Er nutzte gezielt die Schwachstelle im Cache, um den Login zu umgehen, und rief mindestens zwölfmal Kundenberichte ab. Nicht nur einen. Mehrere. Mit den gewonnenen Informationen sprach der Mitbewerber gezielt den Kundenpool „Ski Arlberg“ an, warnte vor einem angeblichen Datenleck und versuchte, Kunden abzuwerben.
Der betroffene Anbieter klagte auf Unterlassung der Nutzung und Offenlegung dieser Daten – und bekam Recht.
Warum „frei abrufbar“ nicht automatisch „frei verwendbar“ bedeutet
Gerade im Vertrieb wird technische Verfügbarkeit oft mit rechtlicher Erlaubnis verwechselt. Das ist ein Fehler. Eine Information ist nicht deshalb frei nutzbar, weil sie mit einem Trick, über eine Standard-URL oder über einen ungeschützten Cache abrufbar war.
Der OGH stellt auf den Geheimhaltungswillen und das wirtschaftliche Interesse an der Vertraulichkeit ab. Wenn Berichte hinter Login und Passwort liegen, ist nach außen klar erkennbar: Diese Daten sollen gerade nicht beliebig zugänglich sein. Eine unbeabsichtigte Sicherheitslücke hebt diesen Schutz nicht auf.
Mit anderen Worten: Sicherheitslücke ist kein Freibrief. Wer eine technische Schwäche des Mitbewerbers ausnutzt, handelt nicht deshalb rechtmäßig, weil der Server fehlerhaft konfiguriert war.
Welche Regeln das UWG hier zieht
§ 11 Abs 2 UWG schützt Geschäftsgeheimnisse gegen unbefugtes Erlangen, Nutzen und Offenlegen zu Wettbewerbszwecken. Vereinfacht gesagt: Wer vertrauliche geschäftliche Informationen eines anderen Unternehmens rechtswidrig beschafft und im Wettbewerb einsetzt, setzt sich Unterlassungsansprüchen aus.
§ 13 UWG regelt, wer solche Ansprüche gerichtlich durchsetzen kann. Das ist praktisch wichtig, wenn nicht der wirtschaftliche „Eigentümer“ der Daten, sondern ein Betreiber, Plattformanbieter oder technischer Dienstleister betroffen ist.
Geschäftsgeheimnisse sind nicht nur Rezepturen oder Preislisten. Auch Reports, Dashboards, KPI-Auswertungen, Ticketdaten, CRM-Berichte oder Vertriebsanalysen können darunter fallen, wenn sie nur einem begrenzten Personenkreis zugänglich sein sollen und ihre Geheimhaltung wirtschaftlich relevant ist.
Der bemerkenswerte Punkt: Auch der Betreiber des Systems durfte klagen
Besonders relevant für SaaS-Anbieter, Plattformbetreiber, Franchisegeber und Hersteller mit zentralen Vertriebstools: Der OGH ließ den betroffenen Anbieter klagen, obwohl die Daten wirtschaftlich aus dem Geschäft seiner Kunden stammten.
Der Grund liegt in der faktischen Verfügungsmacht und im eigenen Geheimhaltungsinteresse. Der Betreiber hatte die Daten in seinem System, musste sie schützen und trug bei einer Offenlegung erhebliche Risiken – etwa Vertragsverluste, Reputationsschäden und mögliche Ersatzansprüche. Das genügte, um ihn nach dem UWG aktivlegitimiert anzusehen.
Für die Praxis ist das ein starker Punkt. Wer zentrale Reporting-, CRM-, Pricing- oder Portallösungen für Händler, Vertragspartner oder Franchisenehmer betreibt, ist nicht rechtlos, nur weil die Daten aus dem Geschäft des Kunden stammen.
Was der OGH entschieden hat
Der OGH bestätigte, dass passwortgeschützte Kundenberichte Geschäftsgeheimnisse sind und dass deren Abruf durch Umgehung von Sicherheitsvorkehrungen ein unrechtmäßiges Erlangen darstellt. Ebenso unzulässig war die Nutzung und Weitergabe dieser Informationen zur gezielten Ansprache von Kunden des Mitbewerbers.
Entscheidend war nicht, ob irgendwo eine technische Lücke bestand oder ob ein einzelner Kunde das Fotografieren einer Bildschirmansicht erlaubt hatte. Das ändert nichts daran, dass der Zugriff auf weitere Berichte anderer Kunden unbefugt war. Wer versteckte Caches „auskundschaftet“ und Kennwortschutz praktisch aushebelt, dringt rechtswidrig in ein fremdes System ein.
Der OGH bejahte daher einen Unterlassungsanspruch im Provisorialverfahren. Gerade diese Schnelligkeit ist für Wettbewerbsfälle bedeutsam: Unternehmen können sich gegen die weitere Nutzung und Verbreitung solcher Daten per einstweiliger Verfügung wehren, bevor der Schaden durch Abwanderung von Kunden eskaliert.
Die Entscheidung erging zu 4 Ob 88/24m vom 22.10.2024.
Vier Situationen, in denen das Urteil für Ihren Vertrieb sofort relevant ist
- Wenn Sie Portale für Händler oder Franchisenehmer betreiben: Reports, Auswertungen und Kundendaten in Ihrem System können Geschäftsgeheimnisse sein – auch dann, wenn sie das Geschäft Ihres Partners betreffen.
- Wenn Ihr Vertrieb „Benchmarking“ macht: Screenshots, Testzugänge, gecachte Reports oder technisch auffindbare Dateien des Mitbewerbers dürfen nicht einfach ausgewertet und in der Akquise verwendet werden.
- Wenn ein Mitbewerber mit Ihren internen Berichten Stimmung macht: Dann geht es nicht nur um IT-Sicherheit, sondern um Lauterkeitsrecht, Beweissicherung und rasches gerichtliches Vorgehen.
- Wenn Ihre Mitarbeiter Sicherheitslücken entdecken: Ohne saubere Responsible-Disclosure-Strategie kippt ein vermeintlich cleverer Fund schnell in einen Rechtsverstoß.
Wo Unternehmer jetzt nachschärfen sollten
Wenn Sie als Hersteller, Importeur, Franchisegeber oder Plattformbetreiber zentrale Tools bereitstellen, sollten Sie nicht nur Ihre Technik prüfen, sondern auch Ihre Vertragslage. Vertraulichkeitsklauseln sollten Reports, Dashboards, KPIs, Kundendaten und Auswertungen ausdrücklich erfassen. Ebenso sinnvoll ist eine Regelung, dass Sie als Betreiber zur Wahrung dieser Geheimnisse im eigenen Namen gegen Dritte vorgehen dürfen.
Auf IT-Seite geht es um Default-Settings, Caching, Logfiles, Zugriffskontrollen und Alarmierungen bei auffälligen Requests. Ein ungeschützter Cache ist kein bloßes Technikdetail. Er kann zum Einfallstor für UWG-Verfahren, Kundenverluste und Krisenkommunikation werden.
Auch Nutzungsbedingungen und Portal-AGB verdienen Aufmerksamkeit. Verboten gehören dort insbesondere Scraping, Umgehung von Sicherheitsmechanismen und Reverse Engineering. Für Vertriebsorganisationen ist zusätzlich eine klare Compliance-Linie nötig: Was ist bei Competitive Intelligence erlaubt – und was nicht?
Checkliste: Was Sie vor dem nächsten „gefundenen Report“ klären sollten
- Nicht verwenden, bevor die Rechtslage geprüft ist: Auch scheinbar offen zugängliche Reports können geschützte Geschäftsgeheimnisse sein.
- Zugriffspfad dokumentieren: Wie wurde die Information gefunden? Wurde ein Login umgangen, eine URL manipuliert oder ein Cache ausgenutzt?
- Interne Eskalation statt Vertriebsnutzung: Solche Funde gehören zuerst zu IT, Compliance und Rechtsabteilung – nicht in die Kundenakquise.
- Beweissicherung bei Angriffen: Server-Logs, Zeitstempel, IP-Adressen, Hashes und Screenshots sauber sichern.
- Verträge nachziehen: Geheimhaltung, Nutzungsverbote, Vorgehen gegen Dritte und Incident-Response-Prozesse ausdrücklich regeln.
FAQ: Was Unternehmer dazu tatsächlich googeln
„Darf ich Daten des Mitbewerbers nutzen, wenn sie ohne Passwort im Internet abrufbar waren?“
Nicht automatisch. Entscheidend ist, ob die Informationen erkennbar vertraulich sein sollten und ob der Zugriff auf einer Umgehung von Schutzmechanismen oder einer technischen Fehlkonfiguration beruhte. Wenn Berichte eigentlich hinter einem Login liegen sollten, bleibt der Geheimnisschutz in der Regel bestehen.
„Sind Kundenberichte überhaupt Geschäftsgeheimnisse, wenn die Daten eigentlich dem Kunden gehören?“
Ja, das kann der Fall sein. Der OGH hat klargestellt, dass auch der Betreiber eines Systems ein eigenes schutzwürdiges Geheimhaltungsinteresse haben kann. Faktische Verfügungsmacht und wirtschaftliches Risiko reichen aus, damit auch der Dienstleister gegen Missbrauch vorgehen kann.
„Was passiert, wenn mein Vertrieb solche Daten für die Akquise verwendet?“
Dann drohen Unterlassungsansprüche, einstweilige Verfügungen, Prozesskosten und erhebliche Reputationsschäden. Besonders heikel wird es, wenn mit den Informationen gezielt Kunden des Mitbewerbers angesprochen oder dessen Sicherheitsniveau als Verkaufsargument instrumentalisiert wird. Intern kann das zusätzlich Compliance- und Haftungsfragen auslösen.
„Was soll ich tun, wenn wir eine Sicherheitslücke beim Mitbewerber entdecken?“
Keine Selbsthilfe. Keine weiteren Abrufe. Keine Nutzung im Vertrieb. Sinnvoll ist eine rechtlich geprüfte Responsible Disclosure, also eine kontrollierte, dokumentierte Meldung ohne unzulässige Vertiefung des Zugriffs. Gerade hier ist eine frühe anwaltliche Prüfung entscheidend, um die Grenze zwischen zulässiger Entdeckung und rechtswidrigem Auskundschaften nicht zu überschreiten.
Zur vollständigen OGH-Entscheidung
Probleme im Vertriebsrecht? Wir beraten Sie.
Unsere Rechtsanwaltskanzlei in 1010 Wien berät Hersteller, Importeure, Handelsvertreter, Vertragshändler und Franchisenehmer in allen Fragen des Vertriebs- und Handelsrechts. Beratungstermin vereinbaren oder anrufen: 01/513 07 00.
Dieser mit KI-Unterstützung erstellte Beitrag dient ausschließlich der allgemeinen Information über das österreichische Recht. Er stellt keine Rechtsberatung im Sinne der RAO dar und ersetzt nicht die individuelle anwaltliche Beratung . Die Anwendung gesetzlicher Bestimmungen und höchstgerichtlicher Judikatur auf einen konkreten Lebenssachverhalt erfordert stets eine einzelfallbezogene Prüfung durch einen Rechtsanwalt. Durch das Lesen, Speichern, Teilen oder Weiterleiten dieses Beitrags kommt kein Auftrags- oder Beratungsverhältnis mit der Pichler Rechtsanwalt GmbH oder einer ihrer Rechtsanwältinnen oder Rechtsanwälte zustande. Ein Mandat entsteht ausschließlich nach individueller Beauftragung. Soweit dieser Beitrag auf Entscheidungen des OGH, EuGH oder anderer Gerichte Bezug nimmt, geben wir die jeweilige Geschäftszahl und allenfalls einen Direktlink zum Rechtsinformationssystem des Bundes (RIS) an. Maßgeblich ist stets der vollständige Wortlaut der Originalentscheidung, nicht die Zusammenfassung in diesem Beitrag. Für eine auf Ihren konkreten Sachverhalt zugeschnittene Beurteilung vereinbaren Sie bitte eine Erstberatung , schreiben Sie an wien@anwaltskanzlei-pichler.at oder rufen Sie uns unter 01/5130700 an.