Die Ankündigung nimmt in dem 166 Seiten starken Haushaltsdokument nur einen einzigen Aufzählungspunkt ein, markiert aber die erste förmliche Selbstverpflichtung einer britischen Regierung, die Haftungsfrage bei Cybervorfällen zu untersuchen. Hintergrund ist die wachsende Beunruhigung in Westminster über die wirtschaftlichen Schäden durch Cyberangriffe. Allein der Angriff auf Jaguar Land Rover im vergangenen Jahr soll die britische Volkswirtschaft schätzungsweise 1,9 Milliarden Pfund (2,5 Milliarden Dollar) gekostet haben.

Die Arbeit soll auf einer laufenden Überprüfung des Produkthaftungsrechts durch die Law Commission of England and Wales aufsetzen. Offen bleibt bislang vieles: welches Ressort die Konsultation führen wird, wann sie beginnt und ob die Minister ein zivilrechtliches Haftungsregime, gesetzliche Pflichten für Anbieter oder beides im Sinn haben. Das Finanzministerium HM Treasury reagierte nicht auf eine Bitte um Stellungnahme.

Intern dürfte als eine Option die Ausweitung des Product Security and Telecommunications Infrastructure Act (PSTI) geprüft werden. Dieses Gesetz schreibt Herstellern vernetzter Verbrauchergeräte seit 2024 grundlegende Sicherheitsanforderungen vor. Zugleich wird erwartet, dass die Beamten darauf achten, neue Regeln mit dem Cybersicherheitsregime der Europäischen Union für Software kompatibel zu halten, damit Unternehmen nicht mit hohen Kosten zwei getrennte Anforderungskataloge erfüllen müssen.

Jahrelanger Druck aus der Cybersicherheitsbehörde

Der Schritt folgt auf jahrelangen Druck britischer Cybersicherheitsbehörden, insbesondere von Ollie Whitehouse, dem Technikchef des National Cyber Security Centre (NCSC), das Teil des Nachrichtendienstes GCHQ ist. Die Behörde forderte im vergangenen Jahr öffentlich eine „strategische politische Agenda", nachdem Bemühungen gegen unsichere Technik ins Stocken geraten waren.

Whitehouse hatte bereits in seiner Grundsatzrede auf der Konferenz CyberUK in Birmingham im Jahr 2024 gewarnt, der Technologiemarkt belohne Unternehmen nicht dafür, widerstandsfähige und sichere Produkte zu bauen, während Regulierung und Gesetzgebung nicht Schritt hielten. Im vergangenen Jahr schrieb er: „Die Realität ist, dass wir im Jahr 2025 wissen, wie man sichere Produkte und Dienste baut" — doch „die geschäftlichen und kommerziellen Anreize, die Einführung und den Erhalt sicherer Lösungen zu fördern, reichen nicht aus."

Seine Argumentation entspricht einer Debatte in den Vereinigten Staaten, wo Vorschläge, Softwarehersteller für fehlerhaften Code haftbar zu machen, jahrelang an Uneinigkeit darüber scheiterten, wie der angemessene Sorgfaltsmaßstab zu definieren sei. Die Trump-Regierung hat inzwischen mehrere unter Biden eingeführte Anforderungen an sichere Software für Lieferanten des Bundes zurückgenommen.

Parlamentsausschuss forderte verbindlichen Kodex

Der politische Druck in Großbritannien verschärfte sich im vergangenen November, als der Business and Trade Committee des Unterhauses unter Vorsitz von Liam Byrne erklärte, die fehlende Haftung von Softwareanbietern zähle zu den dringlichsten Problemen, die Großbritanniens wirtschaftliche und nationale Sicherheit gefährdeten. Der Ausschuss forderte die Minister auf, den freiwilligen Software-Sicherheitskodex des NCSC rechtsverbindlich zu machen und Strafen für Unternehmen vorzusehen, die ihn nicht einhalten.

Byrne bezeichnete den Angriff auf Jaguar Land Rover als „Cyber-Schockwelle, die durch unsere industriellen Kernregionen rollt"; der Ausschuss warnte vor „einem enormen Anstieg privater Trägerschaft öffentlichen Risikos".

Das Cyber Security and Resilience Bill der Regierung, im selben Monat ins Parlament eingebracht und inzwischen im Oberhaus, räumte in seiner Folgenabschätzung einige der vom NCSC benannten Marktversagen ein. Dort wird auf die „Informationsasymmetrie zwischen Anbietern und Käufern" verwiesen, die es Kunden erschwere, die Sicherheit der von ihnen beschafften Technik zu beurteilen. In seiner derzeitigen Fassung verzichtet das Gesetz jedoch auf Pflichten für Softwareentwickler und konzentriert sich auf Betreiber kritischer Infrastruktur und deren Zulieferer.

Auseinandersetzungen absehbar

Der Cyber Resilience Act der Europäischen Union erlaubt Aufsichtsbehörden, Hersteller unsicherer Produkte mit bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Umsatzes zu belegen, je nachdem, welcher Betrag höher ist; die wesentlichen Pflichten greifen ab Dezember 2027. Eine gesonderte Überarbeitung der EU-Produkthaftungsregeln, die die Mitgliedstaaten bis Dezember umsetzen müssen, dehnt die verschuldensunabhängige Haftung auf Software aus — einschließlich Mängeln, die durch fehlende Sicherheitsupdates entstehen.

Versuche, die Haftung in Großbritannien auf Softwareanbieter zu verlagern, dürften auf Widerstand stoßen. Die Business Software Alliance, zu deren Mitgliedern Microsoft, Oracle und Amazon Web Services zählen, hat gegen derartige Maßnahmen lobbyiert und argumentiert, sie würden Innovation ersticken. Zudem könnten die Vorschläge Reibungen mit den Vereinigten Staaten erzeugen, wo die größten Technologieanbieter der Welt sitzen und aufeinanderfolgende Regierungen ausländische Regulierungsvorstöße mit Misstrauen betrachtet haben, wenn diese den kommerziellen Erfolg der Branche zu beschränken schienen.

Die im Haushalt genannte Konsultation der Law Commission läuft seit dem 8. Oktober und endet am 14. Januar. Sie schlägt vor, die Definition eines „Produkts" im Consumer Protection Act 1987 auf Software und KI-Systeme auszuweiten, die derzeit in einer rechtlichen Grauzone liegen, weil das Gesetz für physische Güter geschrieben wurde. Federführend für diese Überprüfung ist das Department for Business, Innovation, Science and Trade, während die Zuständigkeit für die nationale Cybersicherheitspolitik inzwischen beim Department for Culture, Media and Sport liegt. Die zuständige Cyberministerin, Baroness Lloyd, hat Ämter in beiden Ressorts inne.

154 Millionen Pfund für KI-gestützte Cyberabwehr

Neben der Haftungskonsultation sieht der Haushalt 154 Millionen Pfund (205 Millionen Dollar) an neuen Mitteln für Cyberabwehr vor; ein Großteil davon war bereits vor der Haushaltsrede am Mittwoch angekündigt worden.

  • 70 Millionen Pfund (93 Millionen Dollar) — der größte Posten — fließen in ein National Exposure and Real-Time Vulnerability Centre (NERV) beim NCSC. Es soll künstliche Intelligenz nutzen, um Schwachstellen in kritischer Infrastruktur und der breiteren Wirtschaft aufzuspüren. Das NCSC scannt bereits in Großbritannien gehostete, mit dem Internet verbundene Geräte und warnt Organisationen über seine Dienste Early Warning und Proactive Notifications vor exponierten oder verwundbaren Systemen. Worin sich NERV davon unterscheidet, erläutert der Haushalt nicht; ein Sprecher der Behörde lehnte eine Stellungnahme ab.
  • 60 Millionen Pfund (79 Millionen Dollar) gehen in die erste Phase des NCSC-Projekts Cyber Shield, im April als „souveräne Verteidigungsfähigkeit in nationalem Maßstab" angekündigt, die mit agentischen KI-Systemen Sicherheitsschwächen in Regierungsnetzen und kritischer nationaler Infrastruktur finden und beheben soll.
  • Die übrigen Mittel sollen die Sicherheit der Technik im öffentlichen Sektor stärken, darunter Systeme von Kommunalverwaltungen, Krankenhäusern und Schulen.
  • Gesondert davon sind 40 Millionen Pfund (53 Millionen Dollar) für eine National Agentic Security Unit vorgesehen, die abtrünnige KI-Agenten erkennen, untersuchen und auf sie reagieren soll. Der Haushalt beschreibt ihr Ziel als Entwicklung „weltweit erster Fähigkeiten zur Erkennung von und Reaktion auf fehlausgerichtete agentische Aktivität", nennt aber weder die aufnehmende Behörde noch das Verhältnis zu ähnlichen Projekten im Umfeld des NCSC.
  • Das im Juli ins Cabinet Office überführte AI Security Institute erhält über vier Jahre weitere 120 Millionen Pfund (159 Millionen Dollar), um seine Tests von Frontier-KI-Modellen auszuweiten.

Die Investitionen folgen auf eine Woche, in der mit Hilfe von KI entdeckte kritische Schwachstellen in PHP weltweit Websites vom Netz zwangen. Das NCSC forderte Organisationen auf, betroffene Systeme zu patchen oder deren Abschaltung zu erwägen.