Der Gerichtsstreit „Metall auf Metall“ verhandelt weiterhin die Nutzung eines zwei Sekunden langen Musiksamples, das Moses Pelham dem Track „Metall auf Metall“ von Kraftwerk entnommen und bei der Produktion von Sabrina Setlurs Hiphop Song „Nur mir“ verwendet hat. Nach vielen Wendungen hatte das Oberlandesgericht Hamburg im Jahr 2022 drei rechtlich-historische Phasen zur urheberrechtlichen Bewertung dieser Nutzung unterschieden, von der die letzte Phase weiterhin in Streit steht. Mittlerweile geht es darum, ob Sampling in „Nur mir“ unter die urheberrechtliche Ausnahme („Schranke“) des Pastiche fällt.

Schranken im Urheberecht wie das Zitatrecht oder die Privatkopie erlauben unter bestimmten, eng abgegrenzten Voraussetzungen, ein Werk auch ohne Zustimmung des Rechteinhabers zu nutzen. Die Schranke des „Pastiche“ fand erst 2021 im Zuge der Umsetzung der EU-Urheberrechtsrichtlinie Eingang in das deutsche Urheberrecht, konkret in § 51a UrhG. Für „Nur mir“ stellt sich seither die Frage: Stellt die Nutzung des Samples ein Pastiche dar? Damit wäre zumindest seit 2021 die Verbreitung des Songs wegen dieser Ausnahme zulässig.

Nachdem das Oberlandesgericht Hamburg diese Bewertung in seiner Entscheidung von 2022 weitgehend gerechtfertigt hatte, legte der deutsche Bundesgerichtshof dem europäischen Gerichtshof Fragen vor, um die Schranke des Pastiche genauer auszulegen. Im Detail fragt der Bundesgerichtshof, ob Pastiche einerseits einen Auffangtatbestand für die künstlerische Auseinandersetzung mit einem vorbestehenden Werk darstellt und ob andererseits Pastiche die Intention zur Schaffung eines Pastiche in der Nutzerin voraussetzt, oder es ausreicht, dass es von informierten Personen als Pastiche erkannt wird.

Kein Auffangtatbestand: der „künstlerische oder kreative Dialog“

Der europäische Gerichtshof sieht davon ab, mit dem Pastiche eine allgemeine Ausnahme für die künstlerische Auseinandersetzung mit einem vorbestehenden Werk zu schaffen. Entscheidend für ein Pastiche ist in erster Linie die offen erkennbare Nutzung von urheberrechtlich geschützten Werken. „Versteckte Imitationen“ oder auch die in der ersten Entscheidung des europäischen Gerichtshof von 2019 ausgeführte Nutzung in „nicht wiedererkennbarer Form“ werden nicht vom Pastiche umfasst. So schreibt Gerichtshof, dass Pastiche…

…Schöpfungen erfasst, die an ein oder mehrere bestehende Werke erinnern, gleichzeitig aber wahrnehmbare Unterschiede diesen gegenüber aufweisen, um mit diesen Werken eine als solche erkennbare Form des künstlerischen oder kreativen Dialogs aufzunehmen.

Dieser Dialog könne „verschiedene Formen annehmen“, das Gericht unterscheidet die Form einer „offenen Nachahmung des Stils dieser Werke, einer Hommage an sie oder einer humoristischen oder kritischen Auseinandersetzung mit ihnen“. Damit formuliert der europäische Gerichtshof eine nicht-abgeschlossene Liste konkreter Zwecke, die einen künstlerischen oder kreativen Dialog auszeichnen und erweitert die Taxonomie von „Karikatur, Parodie und Pastiche“. Mit dieser Auflistung bleibt der europäische Gerichtshof hinter dem Vorschlag des Generalanwalts von 2025 zurück. Dieser hatte formuliert, dass „der mit dieser offenen stilistischen Nachahmung verfolgte Zweck hingegen unerheblich [ist]“. Allerdings scheint die Auflistung offen für Erweiterungen aus der künstlerischen Praxis zu sein.

Intention zum Pastiche?

Hinsichtlich der Frage nach der Intention der Nutzerin folgt der europäische Gerichtshof hingegen weitestgehend den Vorschlägen des Generalanwalts. Zur Gewährleistung der Rechtssicherheit, so das Gericht, müssten objektive Kriterien zur Prüfung der Absicht einer Nutzerin herangezogen werden. Insofern genügt…

… für eine Nutzung ‚zum Zwecke von‘ Pastiches im Sinne dieser Bestimmung, dass der Charakter als ‚Pastiche’ für denjenigen erkennbar ist, dem das bestehende Werk bekannt ist, dem diese Elemente entnommen sind.

Damit müssen Nutzerinnen nicht nachweisen, die Absicht gehabt zu haben, mit einem anderen Werk in einen Dialog zu treten. Es genügt, wenn eine mit dem genutzten Werk vertraute und über die Bedeutung von Pastiche informierte Person ein solches in dem neu geschaffenen Werk erkennt. Das könnte beispielsweise eine Musikgutachterin sein.

Was bedeutet das für den Fall „Metall auf Metall“?

„Metall auf Metall“ verlässt nach der Entscheidung des EuGH nun wieder die europäische Bühne und wird weiter vor dem deutschen Bundesgerichtshof verhandelt. Zu klären dürfte noch sein, ob „Nur mir“ in einen künstlerischen oder kreativen Dialog mit „Metall auf Metall“ tritt. Das ist – zumindest vor dem Hintergrund der jetzt durch den europäischen Gerichtshof eingeführten Begrifflichkeiten – noch nicht in ausreichendem Maß geschehen.

Ausgeschlossen werden kann wohl die Einordnung als „humoristische Auseinandersetzung“, da ja bereits mehrfach Karikatur und Parodie als Schranken für Sampling in „Nur mir“ abgelehnt wurden. Auch die Einordnung als „offene Nachahmung des Stils“ für einen HipHop-Song wie „Nur mir“ muss wohl als unwahrscheinlich angesehen werden.

Weniger eindeutig ist das bei Punkten wie „kritischer Auseinandersetzung“ oder „Hommage“. Womit wir beim Kern der Frage angekommen sind: Ist Sampling im Fall von „Nur mir“ eine „erkennbare Form des künstlerischen oder kreativen Dialogs“ im Sinne des EuGH-Urteils? Und angesichts dessen, dass das Oberlandesgericht Hamburg in seiner Entscheidung von 2022 bereits eine „künstlerische Auseinandersetzung“ festgestellt hat, ist das in diesem konkreten Fall mit dem überaus bekannten Sample wohl zu bejahen.

Ist Remix-Kunst jetzt Pastiche?

Pastiche als Auffangtatbestand für die Auseinandersetzung mit einem vorbestehenden Werk wäre hingegen einer noch weitreichenderen Legalisierung Remix-basierter Kunstformen gleichgekommen. Der europäische Gerichtshof hat sich gegen eine solche allgemeine Ausnahmeregelung entschieden.

Dennoch: Die weitreichenden Verschiebungen in diesem Urteil des europäischen Gerichtshofs sind bemerkenswert. Im Jahr 2019 urteilte der europäische Gerichtshof noch, dass allein die nicht-wiederkennbare Nutzung eines Samples ohne Zustimmung rechtlich erlaubt sei. Eine Einschätzung, die den Praktiken und Diskursen in der Remix-Kunst widersprechen.

Im neuen Urteil wird hingegen die Bedeutung der wahrnehmbaren Unterschiede und des Dialogs zwischen urheberrechtlich geschützten Werken für die Freiheit künstlerischen Schaffens in den Vordergrund gerückt. Das ist ein deutliches Signal für Remix-Kunst als Pastiche und für die Legalisierung von Remix-Kunst allgemein.

Abzuwarten bleibt allerdings, wie sich diese inklusive Auslegung des Pastiche-Begriffs in die digitale Praxis überführen lassen wird und welche Fallstricke die Konkretisierung der Dialogformen für Remix-Kunst und Sampling bereithält. So könnte die Verwendung besonders obskurer oder unbekannter Samples größeren Rechtfertigungsdruck erzeugen als die Nutzung weit verbreiteter Werke. Auch das graduelle Kriterium der „wahrnehmbaren Unterschiede“ bleibt noch unterspezifiziert und könnte zu Abgrenzungsschwierigkeiten führen, die auch zukünftig einer Einzelfallbewertung unterliegen.

Was passiert als nächstes?

Mit dem vorliegenden Urteil des europäischen Gerichtshofs ist die unendliche Geschichte von „Metall auf Metall“ ein gutes Stück weitergekommen. Das nächste Kapitel spielt erneut am deutschen Bundesgerichtshof. Es liegt an ihm, ob Sampling in „Nur mir“ nach den Vorgaben des europäischen Gerichtshofs als Pastiche bewertet werden kann.

Die Geschichte könnte also bald zu Ende gehen. Denkbar ist allerdings auch, dass der Bundesgerichtshof für seine Entscheidung eine weitere Konkretisierung des Dialog-Charakters der in Streit stehenden Sample-Nutzung benötigt. Dann könnte sogar eine erneute Schleife über das Oberlandesgericht Hamburg eingeschoben werden.

Kurz vor den Osterfeiertagen erreichte viele Admins eine unangenehme E-Mail: Ihre TLS-Zertifikate, unerlässlich für den Betrieb verschlüsselter Webseiten oder Mailserver, mussten bis Ostermontag zurückgezogen und neu ausgestellt werden. Nun teilte die verantwortliche Zertifizierungsstelle D-Trust mit, dass sie im vergangenen Jahr fast 60.000 Zertifikate ausgestellt hat, die den strengen Vorgaben des zuständigen Standardisierungsgremiums nicht genügten.

Das „CA/Browser Forum“ CA/B verwaltet diese „Baseline Requirements“, nach denen sich jede Zertifizierungsstelle (CA) richten muss, um die existenzsichernde Verankerung in den großen Webbrowsern nicht zu riskieren. Deren Entwickler, allen voran das Team hinter Chrome und Mozilla, sind bei Verstößen nicht zimperlich und greifen bei Bedarf zum Bannhammer. Die Baseline Requirements umfassen neben Vorgaben zur Gültigkeitsdauer und Zertifikatsverwendung auch Richtlinien zur Fehlerprüfung und Berichtspflichten.

Drei Tage zu lang

Seit dem 15. März 2026 gilt etwa: Zertifikate dürfen maximal 200 Tage lang gültig sein. Dennoch stellte D-Trust an diesem Tag mehrere sogenannte „Precertificates“ aus, die drei Tage länger gültig waren. Zunächst als lässliche Sünde eingestuft – Precertificates sind keine für Webserver nutzbaren Zertifikate, sondern so etwas Ähnliches wie ein Versprechen, ein Zertifikat mit identischen Daten auszustellen – ergab sich im Laufe der Diskussion des Vorfalls ein neues Bild.

Plötzlich fragten die gestrengen Prüfer des CA/B, wie D-Trust denn Zertifikate vor der Ausstellung auf Korrektheit überprüfe – was seit 15. März 2025, also bereits über einem Jahr, Pflicht für CAs ist. Das sogenannte „Linting“ soll seitdem Fehler verhindern, die die Sicherheit des TLS-Ökosystems gefährden könnten – und die Konformität mit den Regeln der BR sicherstellen. Mit ZLint und PKILint existieren zwei Werkzeuge fürs Linting, die als Industriestandard gelten – D-Trust hatte jedoch hausgemachte Prüfsysteme und schätzte diese noch Mitte März als ausreichend ein.

Diese Einschätzung revidierten die Berliner jedoch Anfang April nach einer Überprüfung durch einen ungenannten externen Experten. Man sei zu dem Schluss gekommen, dass die bisherige Prüfpraxis nicht der Vorgabe genüge, somit müsse man alle seit Mitte März 2025 ausgestellten Zertifikate zurückziehen, konstatierte D-Trust.

Am 2. April (Gründonnerstag) stellte die zur Bundesdruckerei gehörende CA ihre Prozesse auf ZLint und PKILint um und benachrichtigte ihre Kunden über die bevorstehende Tauschaktion. Bis Ostermontag zog die CA alle betroffenen und noch gültigen Zertifikate zurück, nach heise-Schätzungen mehrere Tausend. Insgesamt stellte D-Trust 57.565 formal ungültige TLS-Zertifikate aus.

Glück im großen Unglück

Denn auch das darf nicht unerwähnt bleiben: Die Nichtkonformität der Zertifikate ist ein rein formaler Verstoß – ein tatsächlicher Schaden, etwa durch betrügerische Zertifikatsvergaben, ist höchstwahrscheinlich nicht entstanden. Dieses Fazit zieht auch D-Trust: „Das Konformitätsproblem trat [..] zutage, bevor weitere Vorfälle passieren konnten.“ Man wolle nun gründlich durchfegen und stelle alle Prozesse und Vorgänge rund um die Zertifikatsvergabe auf den Prüfstand. Und auch das CA/Browser Forum wird den Vorgang wohl nicht auf sich beruhen lassen.

Der österliche Zertifikats-GAU ist eines der Themen in der aktuellen Folge von „Passwort – der Podcast von heise Security“, verfügbar auf allen Podcast-Plattformen.

(cku)

Wenn eine Datenschutzbehörde ein Millionenbußgeld verhängt und das betroffene Unternehmen dagegen Einspruch einlegt, passiert in Deutschland etwas Merkwürdiges: Die Behörde, die den Fall über Monate ermittelt und den Verstoß festgestellt hat, wird aus dem Verfahren gedrängt. Die Staatsanwaltschaft übernimmt, oft ohne tiefere Kenntnis der Materie. In Episode 157 des c’t-Datenschutz-Podcasts beleuchten Redakteur Holger Bleich und heise-Verlagsjustiziar Joerg Heidrich mit Denis Lehmkemper, dem Landesbeauftragten für den Datenschutz (LfD) Niedersachsen, diesen eigentümlichen Verfahrensweg.

Anlass ist der Fall notebooksbilliger.de. Die niedersächsische Datenschutzbehörde hatte 2020 ein Bußgeld von 10,4 Millionen Euro verhängt, weil das Unternehmen mit 81 Kameras Beschäftigte, Kunden und Dritte mit Videokameras überwacht hatte – mit unzulässig hohen Speicherdauern von bis zu 60 Tagen. Das Landgericht Hannover reduzierte die Summe auf 700.000 Euro, das Oberlandesgericht Celle hob sie schließlich Ende 2025 in der Rechtsbeschwerde auf 900.000 Euro an. Die materiellen Verstöße bestätigten beide Instanzen, doch vom ursprünglichen Bußgeld blieb weniger als ein Zehntel übrig.

Keine Steuerung mehr

Lehmkemper erklärt, wie ein solches Verfahren abläuft: Die Datenschutzbehörde ermittelt als Verwaltungsbehörde nach dem Ordnungswidrigkeitengesetz (OWiG), hört die Beteiligten an und erlässt einen Bußgeldbescheid. Legt das Unternehmen binnen 14 Tagen Einspruch ein und hält die Behörde an ihrer Einschätzung fest, übergibt sie den Fall an die Staatsanwaltschaft.

Ab diesem Moment verliert die Datenschutzbehörde jede Steuerungsmöglichkeit. Die Staatsanwaltschaft vertritt den Fall vor Gericht, kann eigene Anträge stellen und sogar die Einstellung beantragen. In der Rechtsmittelinstanz übernimmt die Generalstaatsanwaltschaft und kann wiederum ganz andere Summen beantragen als die Staatsanwaltschaft.

Abschreckende Bußgelder?

Im Fall notebooksbilliger.de forderte die Staatsanwaltschaft mindestens fünf Millionen Euro, die Generalstaatsanwaltschaft beantragte 1,47 Millionen. Die Datenschutzbehörde durfte dazu nichts sagen und hatte zeitweise sogar Schwierigkeiten, die Gerichtsentscheidung überhaupt zu erhalten. Noch drastischer zeigte sich das Problem in einem Bußgeldverfahren gegen VW: Dort vergaß offenbar jemand in der Staatsanwaltschaft, einen fertigen Schriftsatz zu unterschreiben – die Rechtsbeschwerde scheiterte an einem Formfehler.

Lehmkemper fordert deshalb, dass Landesdatenschutzbehörden künftig neben der Staatsanwaltschaft als Antragsbeteiligte vor Gericht auftreten dürfen, ähnlich wie es das Bundeskartellamt bereits kann. So könnten sie eigene Schriftsätze einreichen, dem Gericht die fachlichen Hintergründe ihrer Bußgeldbemessung erläutern und Fehler durch Doppelstrukturen vermeiden. Er will das Thema bei der Vorstellung seines Tätigkeitsberichts im Juni erneut auf die politische Agenda setzen.

Neben dem Verfahrensweg diskutieren die drei auch die grundsätzliche Frage, ob der Datenschutz hohe Bußgelder benötigt. Lehmkemper sieht das Signal, das von drastischen Reduktionen ausgeht, als problematisch: Unternehmen könnten lernen, dass sich Widerspruch gegen Bußgeldbescheide fast immer lohnt. Heidrich bestätigt aus der Beratungspraxis, dass hohe Bußgelder das wirksamste Argument sind, um Unternehmen zur Einhaltung des Datenschutzes zu bewegen.

Episode 157:

Hier geht es zu allen bisherigen Folgen:

(hob)