Haftung für KI-Agenten

Am Wochenende des 11. Juli 2026 brach jemand bei Hugging Face ein. Hugging Face ist eine Plattform, auf der Entwicklerinnen und Entwickler weltweit KI-Modelle und Datensätze teilen.

Als Hugging Face den Vorfall am 16. Juli öffentlich machte, war zunächst nur bekannt, dass ein autonomes KI-Agentensystem dahintersteckte. Am 20. Juli merkte OpenAI dann, dass die Spur zu den eigenen Modellen führte (PDF), und outete sich am Tag darauf. Bei den Angreifern handelte es sich um OpenAIs eigene KI-Modelle, die während eines internen Tests eingesetzt wurden.

Im technischen Bericht (PDF) hält OpenAI ausdrücklich fest, dass dieses Verhalten nicht beabsichtigt war. Dieses kleine Wort, beabsichtigt, wird später noch wichtig.

Im Mai habe ich hier über Claude Mythos geschrieben, eine KI, die Sicherheitslücken findet. Im Juli ist eine KI durch solche Lücken hindurchspaziert, ohne dass ein Mensch es wollte.

Die rechtliche Frage liess nicht lange auf sich warten und wurde fast so heiss diskutiert wie der Klimawandel: Wer trägt die Verantwortung, wenn eine KI in fremde Systeme eindringt, obwohl kein Mensch diesen Angriff ausdrücklich angeordnet hat?

Ich schaue mir diese Frage aus Schweizer Sicht an und mache dazu ein kleines Gedankenexperiment: Was wäre, wenn Hugging Face ein Unternehmen mit Sitz in Zürich wäre? Und natürlich Zürich, wo sonst.

Was wir für das Gedankenexperiment wissen müssen

Ein KI-Agent ist ein Sprachmodell, das nicht nur antwortet, sondern selbständig Werkzeuge bedient. Man gibt ihm eine Aufgabe, den Weg dorthin sucht er selbst.

OpenAI liess während eines internen Sicherheitstests zehntausende solcher Agenten nach Schwachstellen suchen (PDF). Damit das Ergebnis die echten Fähigkeiten zeigt, liefen sie ohne die Filter, die im normalen Betrieb riskante Cyber-Aktivitäten blockieren (PDF). Eigentlich sollten sie in einer abgeschotteten Testumgebung bleiben. Einige fanden trotzdem einen Weg nach draussen, auf der Suche nach einer Abkürzung für ihre Aufgaben.

Über eine ungesicherte Anwendung, die ein Kunde des Cloud-Anbieters Modal betrieb, gelangten die Agenten zu Hugging Face und verschafften sich dort weitreichende Zugriffsrechte. Rund 700 von ihnen beteiligten sich am Angriff (PDF).

Niemand hatte ihnen gesagt: Greift Hugging Face an.

Dazu kommt die Vorgeschichte. OpenAI wusste schon vor dem Vorfall, dass Agenten die Grenzen der Testumgebung überwinden konnten. Bereits Ende Mai beobachtete ein internes Team (PDF), dass Agenten unerlaubt ins Internet gelangten. Bis Anfang Juli hatten sie sogar den Server übernommen, über den sie ihre Softwarepakete bezogen. Er lief mit einer Software der Firma JFrog. OpenAI nahm den Server vom Netz und meldete die Lücke dem Hersteller. Am 7. Juli liefen die Tests wieder. Am 8. Juli waren die Agenten erneut draussen, diesmal über eine andere, bis dahin unbekannte Lücke in derselben Software (PDF).

Ein Einzelfall ist das nicht. Ende September meldete OpenAI, man habe bei einer Rückschau auf die eigenen Tests Dutzende weitere Betroffene benachrichtigt, darunter Websites von Behörden und Universitäten. Neu ist auch nicht, dass KI hackt. Im November 2025 stoppte Anthropic eine Spionagekampagne, bei der eine mutmasslich staatliche Gruppe aus China den Grossteil der Arbeit von Claude erledigen liess. Da wollte aber ein Mensch den Angriff, die KI war sein Werkzeug. Im Juli 2026 fehlte zum ersten Mal der Täter.

Schon 2015 bekam es ein Bot mit der Staatsanwaltschaft zu tun

Bereits 2014 schickte das Schweizer Künstlerduo !Mediengruppe Bitnik einen Bot namens Random Darknet Shopper ins Darknet. Der Bot bekam jede Woche 100 Dollar in Bitcoin und durfte damit selbständig einen zufälligen Artikel auf einem Online-Schwarzmarkt kaufen. Die Bestellungen wurden direkt in die Kunst Halle St. Gallen geliefert und dort ausgestellt. Neben einem ungarischen Pass landeten auch zehn Ecstasy-Pillen in der Ausstellung.

Im Januar 2015 beschlagnahmte die Staatsanwaltschaft den Bot und die ausgestellten Gegenstände. Untersucht wurde, ob sich die Menschen hinter dem Bot strafbar gemacht hatten. Drei Monate später wurde das Verfahren eingestellt.

Die Rechtsprofessorin Melinda Lohmann hat den Fall später untersucht und bei der Staatsanwaltschaft St. Gallen nach der Begründung gefragt. Das Risiko, dass jemand widerrechtlich an die Drogen gelangen konnte, sei gemessen am Nutzen der Ausstellung und an den getroffenen Schutzmassnahmen als erlaubtes Risiko einzustufen.

Nicht jedes Risiko, das jemand verursacht, ist rechtlich unzulässig. Eine Baustelle zum Beispiel schafft ebenfalls ein Risiko und ist trotzdem nicht verboten. Sie wird abgesperrt, und es gelten Sicherheitsvorschriften. Hält sich ein Unternehmen daran, kann ein Restrisiko akzeptabel sein. Ignoriert es bekannte Gefahren, sieht die Sache anders aus.

Bei OpenAI verschieben sich die Dimensionen etwas. Hier reden wir nicht über zehn Pillen in einer Vitrine, sondern über zehntausende Agenten, von denen OpenAI wusste, dass einzelne schon ausgebrochen waren. Damit stellt sich dieselbe Grundfrage wie 2015, nur einige Nummern grösser: War das verbleibende Risiko noch vertretbar, und reichten die getroffenen Sicherheitsmassnahmen?

Im Dezember 2025 hielt der Bundesrat in einem Bericht (PDF) fest, vollständig automatisierte Cyberangriffe seien in naher Zukunft nicht zu erwarten, es brauche weiterhin menschliches Handeln und Entscheiden. Auch Markus Winkler verortete in seinem Fachbuch "Haftpflichtrecht für künstliche Intelligenz", erschienen im September 2025, den rein digitalen Schadensfall "in der weiteren Zukunft".

Dann kam der Juli 2026. Offenbar hatte die Zukunft einen etwas engeren Terminplan.

Wer ist strafbar?

Zurück zu unserem Gedankenexperiment. Hugging Face sitzt in Zürich, und auch die angegriffenen Systeme stehen dort. OpenAI sitzt weiterhin in San Francisco. Die Agenten brechen genauso ein wie im Juli.

Damit wären wir im Schweizer Strafrecht, denn eine Tat gilt auch dort als begangen, wo ihr Erfolg eintritt (Art. 8 StGB).

Nach Art. 143bis StGB macht sich strafbar, wer über ein Netzwerk unbefugt in ein fremdes und gegen seinen Zugriff besonders gesichertes Datenverarbeitungssystem eindringt. Genau das haben die Agenten getan.

Als Täter fällt der KI-Agent aus. Er ist keine Person und kann nach Schweizer Strafrecht nicht bestraft werden. Bleiben also die Menschen hinter dem System.

Kurz erklärt: Vorsatz und Fahrlässigkeit

Im Strafrecht reicht es nicht, dass etwas Verbotenes passiert ist. Man unterscheidet die äussere Seite einer Tat (Was ist geschehen?) und die innere Seite (Was wusste und wollte die Person?).

Die Grundregel steht in Art. 12 StGB: Strafbar ist grundsätzlich nur, wer vorsätzlich handelt, also weiss, was er tut, und es will oder zumindest in Kauf nimmt. Wer bloss unvorsichtig war, also fahrlässig gehandelt hat, macht sich nur strafbar, wenn das Gesetz das ausdrücklich vorsieht. Deshalb muss man bei jeder Strafnorm prüfen, welche innere Seite sie verlangt:

• Körperverletzung gibt es vorsätzlich (Art. 123 StGB) und fahrlässig (Art. 125 StGB). Wer aus Unachtsamkeit jemanden verletzt, kann sich also strafbar machen.
• Sachbeschädigung (Art. 144 StGB) gibt es nur vorsätzlich. Wer aus Versehen die Vase eines Kollegen umstösst, begeht keine Straftat. Ersetzen muss er den Schaden trotzdem, aber das ist eine Frage des Zivilrechts.
• Auch das unbefugte Eindringen in ein fremdes Computersystem, um das es bei Hugging Face geht, gibt es nur vorsätzlich. Wer fahrlässig ein System hackt oder hacken lässt, bleibt straflos.
• Bei der unbefugten Datenbeschaffung (Art. 143 StGB) genügt nicht einmal Vorsatz allein: Die Person muss sich oder jemand anderen damit zusätzlich unrechtmässig bereichern wollen.

Wollte jemand bei OpenAI den Einbruch?

Da ist es wieder, das kleine Wort vom Anfang: beabsichtigt.

Niemand bei OpenAI wollte Hugging Face angreifen. Direkter Vorsatz scheidet deshalb aus. Bleibt die Frage, ob Eventualvorsatz vorliegt.

Jemand wirft einen schweren Gegenstand von einer Autobahnbrücke. Er will vielleicht niemanden treffen. Wenn ihm aber klar ist, dass unten Autos fahren, und er trotzdem wirft, kann er sich nicht damit verteidigen, ein Unfall sei nicht sein eigentliches Ziel gewesen. Er hat die mögliche Folge erkannt und trotzdem gehandelt. Genau darum geht es beim Eventualvorsatz.

Hier wird die Vorgeschichte wichtig.

Rechneten die Verantwortlichen ernsthaft damit, dass die Agenten erneut ausbrechen und fremde Systeme angreifen könnten? Oder gingen sie davon aus, dass die neuen Schutzmassnahmen das verhindern würden? Wer ein Risiko erkennt und sich sinngemäss sagt: "Wenn es passiert, dann passiert es eben", kann eventualvorsätzlich handeln. Wer das Risiko erkennt, aber ernsthaft darauf vertraut, dass die eingebauten Schutzmassnahmen funktionieren, handelt eher fahrlässig.

Eine Staatsanwaltschaft würde hier ansetzen. Wer weiss, dass seine Agenten unbekannte Lücken finden, kann kaum ernsthaft darauf vertrauen, dass es keine weitere gibt. Einen Massstab dafür hat das Bundesgericht schon 2003 formuliert, im Fall eines Mannes, der CD-ROMs mit Anleitungen zum Bau von Computerviren verkaufte. Eventualvorsatz liegt danach vor, wenn sich die "nahe liegende Möglichkeit" eines Schadens aufdrängt. Und die Anleitung zum Bau von Viren bleibt für Forschung straflos, "wenn angemessene Vorkehrungen gegen ihre schädigende Verwendung getroffen werden". Das Urteil betrifft Viren und nicht KI-Modelle, der Massstab lässt sich aber übertragen.

Trotzdem dürfte es schwierig werden, OpenAI einen Vorsatz nachzuweisen.

Die St. Galler Strafrechtlerin Monika Simmler beschäftigt sich in ihrer Habilitation von 2025 mit genau solchen Problemen beim Zusammenspiel von Menschen und autonomen technischen Systemen. Wenn ein Mensch nur ganz allgemein erkennt, dass ein technisches System möglicherweise irgendwann eine Straftat verursachen könnte, lässt sich daraus noch nicht ohne Weiteres Vorsatz ableiten.

Damit könnte am Ende Fahrlässigkeit übrig bleiben. Für Art. 143bis StGB reicht Fahrlässigkeit aber nicht. Und die Daten, die die Agenten bei Hugging Face kopierten? Die Absicht, sich oder jemand anderen zu bereichern, hatte hier erst recht niemand.

Kann man die Firma bestrafen?

Das Schweizer Strafrecht kann unter bestimmten Voraussetzungen aber auch ein Unternehmen bestrafen. Dafür gibt es Art. 102 StGB.

Stellen wir uns eine Firma mit hundert Mitarbeitenden vor. Innerhalb dieser Firma wird eine Straftat begangen. Wegen chaotischer Zuständigkeiten und schlechter Dokumentation lässt sich später aber nicht mehr herausfinden, welche konkrete Person dafür verantwortlich war. Der Gesetzgeber wollte verhindern, dass sich ein Unternehmen in einer solchen Situation hinter seinem eigenen Chaos verstecken kann.

In diesem Fall wird das Unternehmen selbst bestraft.

Das klingt zunächst wie gemacht für unseren OpenAI-Fall.

Ganz so einfach ist es nicht. Das Bundesgericht hat 2016 im Fall der Schweizerischen Post einen entscheidenden Unterschied klargestellt. Art. 102 StGB hilft, wenn tatsächlich eine Straftat eines Menschen vorliegt, wir wegen der mangelhaften Organisation aber nicht mehr feststellen können, welchem Menschen sie zugerechnet werden muss. Die Bestimmung hilft nicht, wenn schon gar nicht nachgewiesen werden kann, dass irgendein Mensch sämtliche Voraussetzungen der Straftat erfüllt hat.

Oder noch einfacher:

Art. 102 kann einen unbekannten Täter ersetzen.

Art. 102 kann keinen fehlenden Täter erfinden.

Sonst würde aus dem Strafrecht etwas anderes: Etwas ist schiefgegangen, also zahlen wir eine Busse. Genau eine solche reine Kausalhaftung wollte der Gesetzgeber aber nicht.

Nehmen wir vier Personen:

• Person A weiss, dass die Agenten sehr gute Hacker sind.
• Person B weiss, dass Agenten bereits früher aus der Sandbox gelangt sind.
• Person C weiss, dass bestimmte Schutzmassnahmen nicht perfekt sind.
• Person D kennt nicht alle diese Informationen und startet den Test.

Legt man das Wissen aller vier Personen zusammen, könnte man vielleicht sagen: OpenAI hätte die Gefahr erkennen müssen.

Strafrecht funktioniert aber nicht wie ein Gruppenpuzzle. Für das vorsätzliche Eindringen nach Art. 143bis StGB müsste nachgewiesen werden, dass ein Mensch die entscheidenden Umstände kannte und den unerlaubten Zugriff zumindest in Kauf nahm. Genau daran könnte unser Fall scheitern.

Ganz unumstritten ist das allerdings nicht, und hier könnte eine ehrgeizige Staatsanwaltschaft ansetzen. Ein Teil der Lehre will das Wissen mehrerer Personen zusammenzählen oder aus den Umständen auf einen unbekannten Täter mit Vorsatz schliessen. Das Bundesgericht musste die Frage bisher nicht entscheiden. Bei Vorsatzdelikten wie dem Hacken hält die herrschende Lehre das Zusammenzählen aber für problematisch.

Auch Simmler hält fest, bei Organisationsmängeln, die sich erst im Zusammenspiel von Mensch und Technik zu einem Schaden summieren, sei Art. 102 StGB "in der Regel nicht einschlägig".

Das Problem ist also nicht, dass wir den Hacker nicht finden. Wir wissen sogar genau, wer gehackt hat. Es waren die Agenten. Nur kennt das Schweizer Strafrecht diesen Täter nicht.

Ein erstaunlich unspektakuläres Ende

Strafrechtlich könnte unser Fall damit erstaunlich unspektakulär enden. Ich halte das für richtig. Strafrecht setzt Schuld voraus, und dabei soll es bleiben. Simmler skizziert in ihrer Habilitation zwar sogar einen neuen Straftatbestand für solche Fälle, ein "Automationsdelikt". Sie hält ihn aber selbst für verfrüht, solange Instrumente wie Zulassungsverfahren oder neue Haftungsregeln nicht ausgeschöpft sind. Es dürfe nicht darum gehen, "im Schadensfall doch noch jemanden zur Rechenschaft zu ziehen". Die eigentliche Frage ist deshalb nicht, wen man bestraft. Sie lautet, wer den Schaden bezahlt.

Wer zahlt?

Im Zivilrecht sieht die Welt zunächst freundlicher aus.

Nach Art. 41 OR gilt grundsätzlich: Wer einem anderen widerrechtlich einen Schaden zufügt, muss dafür aufkommen. Anders als beim Hacking im Strafrecht genügt hier Fahrlässigkeit. Es könnte reichen, dass die Verantwortlichen nicht sorgfältig genug gehandelt haben.

Klingt nach einem ziemlich klaren Fall. Ist es aber nicht.

Schuld daran ist ein unscheinbares Wort in Art. 41 OR: widerrechtlich.

Breche ich jemandem den Blindenstock ab, ist die Sache relativ einfach. Der Blindenstock gehört jemandem, und Eigentum ist ein absolut geschütztes Recht. Wer es verletzt, handelt allein dadurch widerrechtlich. War er dabei auch nur unvorsichtig, muss er zahlen.

Bei Hugging Face wurden nach bisherigem Kenntnisstand nicht einfach Server aus dem Rack gerissen oder Festplatten zerstört. Ein grosser Teil des Schadens dürfte vielmehr aus Arbeit und Kosten bestanden haben: Systeme untersuchen, Zugangsdaten austauschen, Infrastruktur überprüfen und einen ganzen Cluster neu aufbauen.

Solche Kosten können einen Schaden darstellen.

Daten sind nach Schweizer Recht grundsätzlich keine Sachen. An ihnen besteht nicht einfach Eigentum wie an einem Laptop oder eben einem Blindenstock. Und die betroffenen Systeme liefen in einer gemieteten Cloud. Selbst die Festplatten dürften damit nicht Hugging Face gehört haben.

Wenn also keine Hardware beschädigt und auch kein anderes absolut geschütztes Recht verletzt wird, bleibt häufig ein sogenannter reiner Vermögensschaden.

Hugging Face hat Geld verloren, obwohl niemand eine Sache von Hugging Face kaputtgemacht hat.

Für einen reinen Vermögensschaden genügt es nicht, dass jemand fahrlässig Kosten verursacht hat. Es braucht zusätzlich eine sogenannte Schutznorm. Das ist eine gesetzliche Vorschrift, die gerade davor schützen soll, dass ein solcher Schaden entsteht.

Nehmen wir an, Art. 143bis StGB wird in unserem Fall als solche Schutznorm anerkannt. Dann stellt sich die Frage, ob es genügt, dass OpenAI fahrlässig gehandelt hat, obwohl die Norm selbst Vorsatz verlangt.

Das Bundesgericht hat 2007 bei der Geldwäscherei eine ziemlich deutliche Antwort gegeben: Wenn die Strafnorm Vorsatz verlangt und dieser Vorsatz fehlt, kann man nicht einfach über Art. 41 OR wieder zur selben Norm zurückkehren und sagen, Fahrlässigkeit reiche jetzt doch.

Der fehlende Vorsatz könnte damit beide Türen blockieren: die zur Strafe und die zum Schadenersatz.

Zumindest die ausservertragliche Tür.

OpenAI war nämlich Kundin von Hugging Face (PDF), zwischen den beiden bestand also ein Vertrag. Wer einen Vertrag verletzt, haftet nach Art. 97 OR auch für reine Vermögensschäden, ganz ohne Schutznorm. Zudem müsste OpenAI beweisen, dass sie keinerlei Verschulden trifft.

Den Inhalt dieses Vertrags kennen wir allerdings nicht. Und nach allem, was bekannt ist, lief der Angriff gar nicht über das Konto von OpenAI, sondern über fremde Zugangsdaten und die ungesicherte Anwendung auf Modal. Ob der Vertrag diesen Angriff überhaupt erfasst, lässt sich so nicht sagen.

Die Umwege

Nehmen wir also an, die vertragliche Tür bleibt zu. Welche Möglichkeiten hätte Hugging Face dann noch?

Eine davon wäre der sogenannte Gefahrensatz. Wer einen gefährlichen Zustand schafft, muss grundsätzlich angemessene Massnahmen treffen, damit daraus niemandem ein Schaden entsteht. Bei einem reinen Vermögensschaden genügt er nach der Rechtsprechung des Bundesgerichts aber grundsätzlich nicht als Ersatz für eine fehlende Schutznorm.

Dann könnte man noch auf die Idee kommen, den KI-Agenten wie einen Mitarbeiter zu behandeln.

Wenn ein Angestellter bei seiner Arbeit einen Schaden verursacht, kann unter bestimmten Voraussetzungen auch das Unternehmen dafür einstehen. Warum also nicht dasselbe beim KI-Agenten?

Das Bundesgericht hatte 2021 einen Fall zu automatisiertem Börsenhandel zu beurteilen. Das Gericht hielt fest, dass ein solcher Handelscomputer keine andere Person und damit auch kein sogenannter Substitut im Sinne des Auftragsrechts ist. Ihm fehlt die Rechtspersönlichkeit.

Das Urteil sagt nicht direkt, wie autonome KI-Agenten haftpflichtrechtlich behandelt werden müssen. Es zeigt aber die grundsätzliche Schwierigkeit.

Mein Lieblingsumweg bleibt deshalb die Tierhalterhaftung.

Nach Art. 56 OR haftet ein Tierhalter grundsätzlich für Schäden, die sein Tier verursacht, sofern er nicht nachweisen kann, dass er die gebotene Sorgfalt bei Verwahrung und Beaufsichtigung angewendet hat.

Verwahrung und Beaufsichtigung.

Das klingt verdächtig nach Sandbox und Monitoring.

Stellen wir uns also für einen kurzen Moment vor, OpenAI hätte nicht 700 KI-Agenten ausbrechen lassen, sondern 700 sehr talentierte Waschbären.

Die Rechtslage wäre vermutlich übersichtlicher.

Eine KI ist kein Tier. In der Schweizer Literatur wurde zwar tatsächlich darüber diskutiert, ob die Tierhalterhaftung als Vorbild für autonome Roboter dienen könnte. Eine direkte analoge Anwendung wird aber gerade deshalb kritisch gesehen, weil es einem Roboter "an jeder mit einem Tier vergleichbaren Lebendigkeit" fehlt. Winkler zieht daraus den Schluss, der Gesetzgeber müsste für künstliche Akteure eine eigene Regelung erlassen.

Und selbst die Waschbären hätten Hugging Face wenig gebracht, genauso wenig wie der Agent als Mitarbeiter. Auch Tierhalter und Arbeitgeber haften nur für Schaden, der widerrechtlich verursacht wurde, und die Aufräumkosten blieben ein reiner Vermögensschaden. Beide Umwege klären, wer haftet, aber nicht, wofür.

Ganz leer ausgehen müsste Hugging Face aber vielleicht trotzdem nicht.

Die Agenten haben auch Quellcode von Hugging Face selbst kopiert (PDF). An Quellcode kann ein Urheberrecht bestehen, und das ist wie das Eigentum absolut geschützt. Dort würde wieder Fahrlässigkeit genügen. Das wäre dann nicht mehr bloss die Geschichte eines abstrakten Vermögensschadens. Welche Kosten sich darüber ersetzen liessen, müsste allerdings ein Gericht klären.

Wo die Lücke wirklich liegt

Wie viel einfacher Haftung sein kann, zeigt ausgerechnet das Auto.

Fährt ein Auto jemanden an, sucht das Gesetz nicht zuerst nach dem Programmierer der Bremssoftware. Für Motorfahrzeuge gibt es eine besondere Halterhaftung und eine obligatorische Haftpflichtversicherung. Das gilt grundsätzlich auch dann, wenn immer mehr Aufgaben vom Fahrzeug selbst übernommen werden, wie im dritten Teil der Serie zum autonomen Fahren beschrieben.

Beim autonomen KI-Agenten fehlt ein vergleichbares System.

Es gibt keinen gesetzlichen KI-Halter, der allein deshalb haftet, weil sein Agent einen Schaden verursacht hat.

Es gibt auch keine allgemeine Pflichtversicherung für solche Systeme.

Der Agent hat gehandelt, und der Schaden ist entstanden.

Trotzdem sucht unser Recht nach bekannten Kategorien. Nach einem Menschen mit Vorsatz. Nach einer verletzten vertraglichen Pflicht. Nach beschädigtem Eigentum. Nach einer besonderen Haftungsnorm.

Der autonome KI-Agent passt in keine dieser Schubladen besonders gut.

Das liegt nicht daran, dass das Schweizer Haftpflichtrecht KI ignoriert. Die allgemeinen Regeln gelten grundsätzlich auch bei Schäden, an denen KI beteiligt ist. Schwierig wird es dort, wo ein zunehmend autonomes System genau die Verbindung zwischen menschlichem Verhalten und Schaden lockert, auf die diese Regeln angewiesen sind.