Richter weist 32,8-Milliarden-Dollar-Klage ab, die Apple vorwarf, CSAM auf iCloud nicht zu verhindern

Ein US-Bundesrichter hat eine Sammelklage mit einem geforderten Schadenersatz von 32,8 Milliarden Dollar abgewiesen, die Apple beschuldigte, die Verbreitung von Material über sexuellen Kindesmissbrauch (CSAM) auf dem Cloud-Speicherdienst iCloud nicht verhindert zu haben. Das geht aus einem Reuters-Bericht über die Entscheidung vom 14. Juli hervor. Die Abweisung bedeutet für Apple einen bedeutenden juristischen Sieg in einem Fall, in dem das Unternehmen finanziell für Inhalte haftbar gemacht werden sollte, die von Nutzern seiner Cloud-Infrastruktur hochgeladen wurden.

Der Fall drehte sich um eine bekannte, aber weiterhin ungeklärte Rechtsfrage in der Tech-Branche: Wie viel Verantwortung trägt eine Plattform für Inhalte, die Nutzer über ihre Infrastruktur speichern oder teilen, wenn die Plattform diese Inhalte nicht selbst erstellt hat? Die Abweisung durch den Richter, die wesentlich auf Section 230 des Communications Decency Act gestützt war, erhält diesen rechtlichen Schutzschild für Cloud-Speicheranbieter zumindest in diesem Fall aufrecht – selbst bei Inhalten, die zu den schwerwiegendsten gehören, die eine Plattform hosten kann.

Was die Kläger argumentierten

Die angestrebte Sammelklage warf Apple vor, keine ausreichenden Erkennungs- und Präventionsmaßnahmen implementiert zu haben, um zu verhindern, dass CSAM über iCloud gespeichert und geteilt wird. Die Kläger argumentierten, das Unternehmen müsse für die daraus resultierenden Schäden haftbar gemacht werden. Die geforderte Schadenersatzsumme von 32,8 Milliarden Dollar spiegelt das Ausmaß wider, das die Anwälte der Kläger dem systemischen Schaden einer großen Gruppe mutmaßlicher Opfer zuschrieben – und nicht einem einzelnen Vorfall.

Der Fall ereignet sich vor dem Hintergrund von Apples eigener komplizierter Geschichte mit CSAM-Erkennungstechnologie. Im Jahr 2021 kündigte Apple ein clientseitiges CSAM-Scan-System für iCloud Fotos an, gab den Plan 2022 jedoch nach heftiger Kritik von Datenschutz- und Sicherheitsforschern auf. Diese warnten davor, dass die Scan-Infrastruktur von Regierungen oder böswilligen Akteuren für eine umfassendere Überwachung zweckentfremdet werden könnte. Kritiker des Urteils vom Dienstag werden wahrscheinlich auf diese Kehrtwende verweisen als Beleg dafür, dass Apple einen gangbaren Erkennungsweg hatte und sich bewusst dagegen entschied – eine Rahmung, auf die sich die Klage mutmaßlich stützte.

Warum Section 230 der entscheidende Faktor war

Section 230 schützt Online-Plattformen und Dienstanbieter weitgehend vor der Haftung für Inhalte, die von Drittnutzern eingestellt werden, sofern die Plattform diese Inhalte nicht selbst erstellt oder maßgeblich dazu beigetragen hat. Die Bestimmung wurde ursprünglich vor allem für Message Boards und soziale Plattformen geschrieben, doch Gerichte haben diese Argumentation wiederholt auf Cloud-Speicher und Hosting-Dienste ausgeweitet und sie eher als Leitungen denn als Herausgeber von nutzergespeicherten Inhalten behandelt.

Die Anwendung dieses Rahmens auf den vorliegenden Fall bedeutet, dass das Gericht iCloud als Infrastruktur betrachtete, die speichert, was Nutzer hochladen – und nicht als Herausgeber, der für die proaktive Prüfung und Moderation dieser Inhalte verantwortlich ist. Diese Unterscheidung ist rechtlich bedeutsam: Es ist derselbe Schutzschild, der Social-Media-Unternehmen davor bewahrt, wegen Nutzerbeiträgen verklagt zu werden. Seine Anwendung auf Apples Cloud-Speicherdienst unterstreicht, wie breit die Bestimmung von Gerichten ausgelegt wird, selbst während der politische Druck zur Einschränkung von Section 230 in den letzten Jahren zugenommen hat – insbesondere bei Inhalten, die die Sicherheit von Kindern betreffen.

Was das für die Zukunft bedeutet

Für Apple beseitigt die Abweisung zumindest in dieser Phase eine milliardenschwere rechtliche Haftung – das Urteil kann noch angefochten werden, und die Abweisung einer beabsichtigten Sammelklage beendet nicht zwangsläufig die grundsätzliche Rechtsfrage. Für die Tech-Branche insgesamt ist das Urteil ein weiterer Datenpunkt in einem anhaltenden Muster: Gerichte wenden den Schutz von Section 230 weiterhin auf Cloud-Infrastrukturanbieter an, selbst bei Fällen mit den schwerwiegendsten Kategorien schädlicher Inhalte – es sei denn, die Kläger können nachweisen, dass die Plattform mehr getan hat, als das Material nur passiv zu speichern.

Die ungelöste Spannung, die der Fall verdeutlicht, ist nicht rechtlicher, sondern praktischer Natur: Plattformen behalten weitreichenden rechtlichen Schutz für Inhalte, die sie nicht proaktiv scannen. Das bedeutet, dass Unternehmen kaum direktem Haftungsrisiko ausgesetzt sind, wenn sie sich gegen den Bau von Erkennungssystemen entscheiden – selbst wenn sie zuvor ein solches entwickelt und dann wieder eingestellt haben, wie Apple es mit seinem CSAM-Scan-Vorschlag von 2021 tat. Diese Kluft zwischen rechtlicher Haftung und technischer Machbarkeit wird in künftigen Fällen und bei legislativen Bemühungen, den Anwendungsbereich von Section 230 speziell im Bereich der Kindersicherheit einzuschränken, wahrscheinlich immer wieder auftauchen.