Stand der Technik

Der jeweilige Kontext kann etwa Patentrecht, Produktsicherheitsrecht, Umweltrecht, Datenschutzrecht, IT-Sicherheitsrecht, Vertragsrecht oder branchenspezifischen Vorgaben sein. Für Unternehmen ist der Begriff besonders relevant, wenn sie Innovationen entwickeln, Risiken bewerten, technische Schutzmaßnahmen festlegen oder Informationsmanagementsysteme auswählen und betreiben.

Ob eine Lösung dem Stand der Technik entspricht, hängt unter anderem vom betrachteten Zeitpunkt, dem konkreten Anwendungsbereich, dem Schutzbedarf und den verfügbaren technischen Möglichkeiten ab. In dynamischen Bereichen wie künstlicher Intelligenz, Cybersecurity, Cloud-Services, Datenmanagement und digitaler Archivierung kann sich die Bewertung kurzfristig ändern. Eine heute fortschrittliche Lösung kann sich innerhalb weniger Jahre als etablierte Praxis durchsetzen oder durch wirksamere Verfahren überholt werden.

Was bedeutet Stand der Technik?

Im allgemeinen Sprachgebrauch bezeichnet der Stand der Technik den aktuellen Entwicklungsstand technischer Verfahren, Produkte und Erkenntnisse in einem Fachgebiet. Rechtlich ist der Begriff jedoch nicht in allen Bereichen gleich ausgestaltet. Während er im Patentrecht vor allem der Beurteilung von Neuheit und erfinderischer Tätigkeit dient, beschreibt er im Datenschutz oder in der Informationssicherheit einen Faktor für die Auswahl angemessener Schutzmaßnahmen.

Technische Informationen können aus unterschiedlichen Quellen stammen. Ihre Aussagekraft hängt davon ab, ob sie fachlich belastbar, ausreichend konkret, zeitlich einordenbar und für den jeweiligen Zweck relevant sind. Marktangebote oder Werbeaussagen können Hinweise auf verfügbare Lösungen geben, offenbaren aber nicht zwingend deren technische Funktionsweise oder alle entscheidenden Merkmale.

Mögliche Erkenntnisquellen sind insbesondere:

• veröffentlichte Patentdokumente und Patentanmeldungen,
• wissenschaftliche Fachartikel, Studien und Konferenzbeiträge,
• Fachbücher, technische Handbücher und Produktdokumentationen,
• technische Normen, Branchenstandards und Leitlinien,
• öffentlich zugängliche Software, Quellcode und technische Repositorien,
• Produkte, die öffentlich vertrieben, genutzt oder vorgeführt wurden,
• Veröffentlichungen von Behörden, Fachverbänden und Forschungseinrichtungen,
• kostenpflichtige Fachpublikationen, Datenbanken und Normenwerke, soweit sie Fachkreisen zugänglich sind.

Ein digitales Vertragsarchiv kann dies veranschaulichen: Zentral gespeicherte Vertragsdokumente allein genügen nicht zwingend, um angemessene Sicherheits- und Organisationsanforderungen zu erfüllen. Je nach Schutzbedarf können differenzierte Berechtigungen, nachvollziehbare Protokollierung, sichere Authentifizierung, Verschlüsselung, Versionierung, Aufbewahrungsregeln und Wiederherstellungskonzepte erforderlich sein. Welche Maßnahmen angemessen sind, ergibt sich jedoch nicht allein aus einer technischen Liste, sondern aus der konkreten Risiko- und Nutzungssituation.

Warum ist der Stand der Technik wichtig?

Die Kenntnis des Stands der Technik unterstützt Unternehmen dabei, technische Entscheidungen nachvollziehbar und risikoorientiert zu treffen. Sie hilft, Doppelentwicklungen zu vermeiden, Schutzrechtsrisiken früh zu erkennen und Sicherheitsmaßnahmen an veränderte Bedrohungen anzupassen. Zugleich ersetzt die Orientierung am Stand der Technik keine Einzelfallprüfung, denn gesetzliche, vertragliche oder branchenspezifische Pflichten können weitergehende Anforderungen begründen.

Besonders relevant ist der Stand der Technik in folgenden Bereichen:

• Patentrecht und Schutzrechtsstrategie,
• Produkt-, Software- und Verfahrensentwicklung,
• Informationssicherheit und Cyber-Resilienz,
• Datenschutz und technische Schutzmaßnahmen,
• Produktsicherheit, Umwelt- und Anlagensicherheit,
• Beschaffung, Ausschreibungen und Lieferantenmanagement,
• Aufbewahrung, Archivierung und Nachvollziehbarkeit von Geschäftsinformationen,
• interne Governance, Risikomanagement und technische Compliance-Vorgaben.

Im Informationsmanagement betrifft der Stand der Technik vor allem die Frage, wie Informationen sicher, verfügbar, integer und nachvollziehbar verarbeitet werden können. Nicht jede funktionale Anforderung ist dabei automatisch eine Anforderung des Stands der Technik. Beispielsweise können Datenqualitätsregeln oder bestimmte Integrationen aus fachlichen oder organisatorischen Gründen erforderlich sein, ohne dass sie unmittelbar aus einem technischen Sicherheitsmaßstab folgen.

Stand der Technik im Patentrecht

Im Patentrecht hat der Stand der Technik eine klar abgegrenzte Funktion. Er dient insbesondere dazu, zu prüfen, ob eine Erfindung neu ist und auf erfinderischer Tätigkeit beruht. Für eine Patentierung müssen darüber hinaus weitere Voraussetzungen erfüllt sein, etwa gewerbliche Anwendbarkeit, ein patentfähiger Gegenstand und das Fehlen gesetzlicher Ausschlusstatbestände.

Im deutschen und europäischen Patentrecht umfasst der Stand der Technik grundsätzlich alles, was vor dem maßgeblichen Zeitpunkt der Öffentlichkeit zugänglich gemacht worden ist. Dies kann durch schriftliche oder mündliche Beschreibung, Benutzung, Vorführung, Verkauf, Online-Veröffentlichung oder auf andere Weise erfolgen. Entscheidend ist nicht, ob eine Information besonders leicht auffindbar war, sondern ob sie der Öffentlichkeit tatsächlich zugänglich war.

Eine patentrechtlich relevante Offenbarung muss die beanspruchten technischen Merkmale unmittelbar und eindeutig erkennen lassen. Ein Produkt kann daher zum Stand der Technik gehören, soweit Fachleute seine Eigenschaften durch zulässige Nutzung, Untersuchung oder Reverse Engineering feststellen konnten. Nicht jede öffentlich angebotene oder vertriebene Lösung offenbart jedoch automatisch interne technische Details, Herstellungsverfahren oder nicht erkennbare Funktionsmerkmale.

Neuheit und erfinderische Tätigkeit

Für die Neuheitsprüfung wird grundsätzlich untersucht, ob eine einzelne frühere Offenbarung sämtliche Merkmale eines Patentanspruchs unmittelbar und eindeutig offenbart. Fehlt auch nur ein anspruchsgemäßes Merkmal in dieser einen Offenbarung, ist die Neuheit nicht allein aus diesem Dokument zerstört. Die Prüfung der Neuheit unterscheidet sich damit deutlich von einer allgemeinen Ähnlichkeits- oder Marktbetrachtung.

Bei der erfinderischen Tätigkeit wird dagegen bewertet, ob die beanspruchte Lösung für einen Fachmann ausgehend vom bekannten Stand der Technik naheliegend war. Dabei können mehrere Quellen, das allgemeine Fachwissen und typische technische Überlegungen eine Rolle spielen. Eine Erfindung kann daher neu sein, aber dennoch nicht auf erfinderischer Tätigkeit beruhen, wenn die Kombination ihrer Merkmale für Fachleute nahelag.

Anmeldetag, Prioritätstag und Veröffentlichungsdatum

Der Anmeldetag ist der Tag, an dem eine Patentanmeldung bei der zuständigen Stelle eingereicht wird. Ein Prioritätstag kann maßgeblich sein, wenn für dieselbe Erfindung wirksam die Priorität einer früheren Anmeldung beansprucht wird. Für die Beurteilung des regulären Stands der Technik ist regelmäßig entscheidend, welche Informationen vor diesem maßgeblichen Zeitpunkt öffentlich zugänglich waren.

Das Veröffentlichungsdatum zeigt an, wann ein Patentdokument der Öffentlichkeit zugänglich wurde. Es ist nicht mit dem Anmelde- oder Prioritätstag gleichzusetzen. Bei der Recherche sollten Sie diese Daten daher getrennt betrachten, weil sie unterschiedliche Aussagen über die zeitliche Einordnung und die patentrechtliche Relevanz eines Dokuments erlauben.

Eine Besonderheit bilden im deutschen und europäischen Patentrecht frühere nationale oder europäische Patentanmeldungen, die erst nach dem maßgeblichen Anmelde- oder Prioritätstag veröffentlicht werden. Sie können unter bestimmten Voraussetzungen als älteres Recht für die Neuheit relevant sein, obwohl sie am maßgeblichen Tag noch nicht öffentlich zugänglich waren. Typischerweise werden solche nachveröffentlichten älteren Anmeldungen nicht zur Beurteilung der erfinderischen Tätigkeit herangezogen.

Relevante Quellen für Patentrecherchen

Patentdokumente können in nationalen, europäischen und internationalen Datenbanken recherchiert werden. Geeignete Ausgangspunkte sind beispielsweise DEPATISnet des Deutschen Patent- und Markenamts, Espacenet des Europäischen Patentamts, WIPO PATENTSCOPE sowie Google Patents. Eine belastbare Recherche berücksichtigt neben Schlagwörtern auch Synonyme, englischsprachige Fachbegriffe, Patentklassifikationen, Anmelder, Erfinder und Zitationsketten.

Neben Patentdatenbanken sind wissenschaftliche Datenbanken, Fachzeitschriften, Normendatenbanken, technische Repositorien sowie Veröffentlichungen von Behörden und Fachverbänden relevant. Gerade bei Software, künstlicher Intelligenz und IT-Sicherheit können frei zugängliche Quellcodes, technische Blogs oder Konferenzbeiträge wichtige Informationen enthalten. Die Recherche sollte stets dokumentieren, welche Datenbanken, Suchbegriffe, Klassifikationen und Zeiträume verwendet wurden.

Patentfähigkeitsrecherche und Freedom-to-Operate unterscheiden

Eine Recherche zum Stand der Technik beantwortet nicht automatisch die Frage, ob Sie ein Produkt rechtmäßig herstellen, nutzen oder vertreiben dürfen. Die Patentfähigkeitsrecherche untersucht vor allem, ob eine geplante Erfindung gegenüber dem bekannten Stand der Technik neu und erfinderisch sein könnte. Sie dient damit der Bewertung eigener Schutzrechtschancen.

Eine Freedom-to-Operate-Recherche, häufig als FTO-Recherche bezeichnet, verfolgt ein anderes Ziel. Sie untersucht, ob noch in Kraft befindliche Schutzrechte Dritter durch ein konkretes Produkt, Verfahren oder Geschäftsmodell verletzt werden könnten. Dafür sind insbesondere der räumliche Geltungsbereich, der Rechtsstatus, der Schutzumfang der Ansprüche und die geplante Ausgestaltung des Produkts relevant.

Auch abgelaufene Schutzrechte oder veröffentlichte, aber nicht erteilte Anmeldungen können für eine Patentfähigkeitsrecherche bedeutsam sein. Für eine FTO-Bewertung sind sie dagegen regelmäßig nicht unmittelbar verletzungsrelevant, können aber Hinweise auf technische Alternativen oder anhängige Schutzrechtsrisiken liefern. Bei wirtschaftlich bedeutsamen Entscheidungen sollten Sie Patent- und Rechtsberatung frühzeitig einbeziehen.

Geheimhaltung vor Schutzrechtsanmeldungen

Eigene Veröffentlichungen können die Patentierbarkeit gefährden. Im deutschen und europäischen Patentrecht besteht grundsätzlich keine allgemeine Schonfrist für eigene Offenbarungen vor einer Patentanmeldung. Eine Präsentation auf einer Messe, eine öffentliche Produktdemo, ein Fachvortrag, ein Blogbeitrag oder eine detaillierte Website-Beschreibung können daher bereits vor der Anmeldung nachteilig sein.

Für deutsche Gebrauchsmuster gelten abweichende Regeln, insbesondere eine Neuheitsschonfrist von sechs Monaten für bestimmte eigene Offenbarungen oder solche, die auf einem Missbrauch beruhen. Das Gebrauchsmuster ist jedoch kein vollwertiger Ersatz für ein Patent. Es schützt nicht jede technische Entwicklung, unterliegt eigenen Voraussetzungen und sollte nur nach einer fachkundigen Prüfung als Schutzrechtsoption gewählt werden.

Geschäftsgeheimnisschutz kann sinnvoll sein, wenn technische Informationen nicht veröffentlicht werden sollen oder eine Patentierung nicht in Betracht kommt. Voraussetzung sind angemessene Geheimhaltungsmaßnahmen, etwa Zugriffsbeschränkungen, Geheimhaltungsvereinbarungen, Kennzeichnung vertraulicher Informationen, Schulungen und dokumentierte Freigabeprozesse. Geschäftsgeheimnisse schützen jedoch grundsätzlich nicht gegen unabhängige Entwicklung oder rechtmäßiges Reverse Engineering.

Ein wirksamer Schutzprozess beginnt deshalb vor der ersten externen Kommunikation. Sie sollten Entwicklungsstände, Erfindungsmeldungen, Entscheidungszeitpunkte und Freigaben nachvollziehbar dokumentieren. Zugriffsrechte, vertrauliche Projekträume und klare Veröffentlichungsprozesse helfen, technische Informationen bis zur Entscheidung über Patent, Gebrauchsmuster, Geheimhaltung oder Veröffentlichung kontrolliert zu behandeln.

Abgrenzung zu anerkannten Regeln der Technik und Wissenschaft und Technik

Die Begriffe anerkannte Regeln der Technik, Stand der Technik sowie Stand von Wissenschaft und Technik werden häufig in eine Rangfolge eingeordnet. Eine solche Einordnung kann als grobe Orientierung dienen, ist aber nicht rechtsgebietsübergreifend verbindlich. Die konkrete Bedeutung hängt vom jeweiligen Gesetz, der Rechtsprechung, technischen Regelwerken, Verträgen und den Umständen des Einzelfalls ab.

Anerkannte Regeln der Technik beziehen sich häufig auf Verfahren und Lösungen, die sich in der Praxis bewährt haben und in Fachkreisen überwiegend akzeptiert sind. Der Stand der Technik kann in bestimmten Rechtsgebieten ein fortgeschritteneres Niveau verlangen, das nicht bereits flächendeckend umgesetzt sein muss. Ob eine praxistaugliche neue Lösung schon zum maßgeblichen Stand der Technik zählt, lässt sich jedoch nicht abstrakt für alle Fälle beantworten.

Der Stand von Wissenschaft und Technik kann einen weitergehenden Maßstab beschreiben und aktuelle wissenschaftliche Erkenntnisse einbeziehen. Daraus folgt jedoch nicht automatisch, dass jede theoretisch denkbare oder noch unzureichend erprobte Forschungslösung verlangt werden kann. Insbesondere praktische Umsetzbarkeit, Verhältnismäßigkeit, branchenspezifische Risiken und gesetzliche Vorgaben sind für die rechtliche Bewertung entscheidend.

In der Informationssicherheit sollten Sie daher nicht allein danach fragen, ob eine Maßnahme verbreitet ist. Entscheidend ist, ob sie für das konkrete System, seine Bedrohungslage und seinen Schutzbedarf angemessen ist. Eine Mehrfaktor-Authentifizierung kann beispielsweise bei privilegierten Konten oder extern erreichbaren Diensten regelmäßig erforderlich sein, während für andere Zugriffsszenarien andere oder ergänzende Schutzmaßnahmen angemessen sein können.

Bedeutung für Informationsmanagementsysteme

Informationsmanagementsysteme verarbeiten häufig personenbezogene, vertrauliche, geschäftskritische oder aufbewahrungspflichtige Informationen. Der Stand der Technik ist hier vor allem bei Sicherheitsarchitektur, Zugriffssteuerung, Datenintegrität, Verfügbarkeit, Protokollierung und Wiederherstellbarkeit relevant. Die erforderlichen Maßnahmen hängen von den Datenarten, Verarbeitungsvorgängen, Bedrohungen, Abhängigkeiten und rechtlichen Rahmenbedingungen ab.

Bei der Auswahl und dem Betrieb eines Informationsmanagementsystems sollten Sie technische und organisatorische Maßnahmen gemeinsam betrachten. Eine leistungsfähige Funktion allein genügt nicht, wenn Rollen unklar sind, Berechtigungen zu weit gefasst bleiben oder Sicherheitsupdates nicht zeitnah eingespielt werden. Umgekehrt kann auch eine gut organisierte Umgebung technische Schwächen nicht vollständig ausgleichen.

Typische Prüffelder sind:

• Rollen- und Berechtigungskonzepte nach dem Need-to-know-Prinzip,
• sichere Identitätsverwaltung und angemessene Authentifizierungsverfahren,
• Verschlüsselung bei Übertragung und Speicherung sensibler Daten,
• Schlüsselmanagement, sichere Schlüsselablage und regelmäßige Schlüsselrotation,
• Protokollierung sicherheitsrelevanter Zugriffe und Änderungen,
• Versionierung, Freigaben und nachvollziehbare Bearbeitungsstände,
• Schwachstellenmanagement, Patch-Prozesse und Sicherheitsmonitoring,
• sichere Schnittstellen sowie die Absicherung von APIs und Integrationen,
• Backup-, Wiederanlauf- und Notfallkonzepte,
• Datenklassifikation, Aufbewahrungsfristen und geregelte Löschprozesse.

Begriffe wie revisionssichere Archivierung oder rechtssichere Aufbewahrung sollten Sie nicht pauschal verwenden. Die einschlägigen Anforderungen können sich je nach Handels- und Steuerrecht, GoBD, Datenschutzrecht, branchenspezifischen Vorgaben, Vertragsbeziehungen und Art der Dokumente unterscheiden. In der Praxis kommt es darauf an, ob Informationen vollständig, nachvollziehbar, verfügbar, gegen unbefugte Veränderungen geschützt und innerhalb der jeweils geltenden Fristen aufbewahrt oder gelöscht werden.

Risikoorientierte Bewertung technischer Maßnahmen

Der Stand der Technik führt nicht dazu, dass jedes Unternehmen identische Technologien einsetzen muss. Eine angemessene Sicherheitsarchitektur berücksichtigt Schutzbedarf, Eintrittswahrscheinlichkeit, mögliche Schadenshöhe, Angriffsfläche, Anzahl der Nutzenden, Verarbeitungszweck und Abhängigkeiten von Dritten. Auch Implementierungsaufwand und Verhältnismäßigkeit können je nach Rechtsgebiet und Sachverhalt eine Rolle spielen.

Für den Datenschutz ist dies ausdrücklich in Art. 32 DSGVO angelegt. Bei der Auswahl technischer und organisatorischer Maßnahmen sind unter anderem der Stand der Technik, die Implementierungskosten sowie Art, Umfang, Umstände und Zwecke der Verarbeitung zu berücksichtigen. Maßgeblich ist außerdem die unterschiedliche Eintrittswahrscheinlichkeit und Schwere der Risiken für die Rechte und Freiheiten natürlicher Personen.

Normen und Sicherheitsstandards können bei der Bewertung wertvolle Orientierung geben, sind aber nicht ohne Weiteres verbindlich. ISO/IEC 27001 und ISO/IEC 27002, der BSI-IT-Grundschutz, das NIST Cybersecurity Framework oder branchenspezifische Standards können geeignete Referenzen sein. Ob sie anwendbar sind und welche Maßnahmen daraus folgen, hängt jedoch vom Einsatzbereich, den vertraglichen Pflichten und den konkreten Risiken ab.

Die Orientierung an anerkannten Standards oder etablierten Sicherheitsverfahren bewirkt keine vollständige Haftungsfreistellung. Besondere Gefährdungen, bekannte Schwachstellen, individuelle Vertragszusagen oder gesetzliche Sonderpflichten können zusätzliche Maßnahmen erfordern. Umgekehrt ist eine Maßnahme nicht allein deshalb unzureichend, weil sie nicht in jeder aktuellen Publikation genannt wird.

Cloud-Dienste, Lieferanten und Drittparteien

Bei Cloud-Services sind Sicherheitsaufgaben häufig zwischen Anbieter und Kunde aufgeteilt. Dieses Shared-Responsibility-Modell bedeutet, dass der Anbieter typischerweise bestimmte Aspekte der Infrastruktur absichert, während Sie beispielsweise für Benutzerkonten, Berechtigungen, Datenklassifikation, Konfigurationen und die sichere Nutzung angebundener Systeme verantwortlich bleiben. Die konkrete Aufgabenteilung richtet sich nach dem Service-Modell und den vertraglichen Vereinbarungen.

Ein wirksames Lieferanten- und Drittparteienmanagement sollte technische und organisatorische Anforderungen bereits vor der Beauftragung berücksichtigen. Dazu gehören Sicherheitsanforderungen in Verträgen, geeignete Nachweise, Meldepflichten bei Sicherheitsvorfällen, Patch- und Update-Regelungen, Regelungen zu Unterauftragnehmern sowie Audit- oder Kontrollrechte. Auch Exit- und Migrationskonzepte sind wichtig, damit Daten bei einem Anbieterwechsel sicher übertragen, verfügbar gehalten oder vollständig gelöscht werden können.

Für Informationsmanagementsysteme ist besonders relevant, welche Daten in externe Dienste übermittelt werden und welche Schnittstellen bestehen. Sie sollten nachvollziehen können, wo Daten verarbeitet werden, wer Zugriff erhält, welche Protokolle verfügbar sind und wie Backups, Wiederherstellung sowie Löschung umgesetzt werden. Eine sorgfältige Dokumentation erleichtert die Risikobewertung und die Überprüfung vertraglicher Zusagen.

Künstliche Intelligenz im Informationsmanagement

KI-Funktionen können Dokumente klassifizieren, Inhalte extrahieren, Suchergebnisse verbessern, Vorgänge priorisieren oder Entwürfe erstellen. Ihr Einsatz kann Prozesse beschleunigen, bringt aber zusätzliche Anforderungen an Datenqualität, Nachvollziehbarkeit, Berechtigungen und Kontrollmechanismen mit sich. Insbesondere bei vertraulichen Informationen müssen Sie prüfen, welche Eingaben verarbeitet werden, wo Modelle betrieben werden und ob Daten für Trainings- oder Verbesserungszwecke verwendet werden.

Zu den relevanten Sicherheitsaspekten zählen Schutz vor unbefugten Eingaben und Datenabflüssen, Kontrolle von Zugriffsrechten, Protokollierung, Überwachung der Modellqualität und Verfahren zum Umgang mit fehlerhaften Ergebnissen. Bei generativen KI-Systemen sollten Sie unter anderem Risiken durch Prompt-Injection, manipulierte Dokumentinhalte, unzulässige Offenlegung vertraulicher Daten und unzuverlässige Ausgaben berücksichtigen. Menschliche Kontrolle ist insbesondere dort wichtig, wo Ergebnisse rechtliche, finanzielle oder personelle Folgen haben.

Soweit KI-Systeme in den Anwendungsbereich europäischer KI-Regelungen fallen, können zusätzliche Anforderungen entstehen. Dies betrifft abhängig von Rolle, Systemart und Risikokategorie beispielsweise Risikomanagement, Daten-Governance, technische Dokumentation, Protokollierung, Transparenz, menschliche Aufsicht und Cybersicherheit. Die konkrete rechtliche Einordnung eines KI-Einsatzes sollte daher nicht allein anhand der verwendeten Technologie, sondern anhand des vorgesehenen Zwecks und Nutzungskontexts erfolgen.

Resilienz, Kryptografie und Wiederherstellbarkeit

Verschlüsselung ist nur dann wirksam, wenn auch das Schlüsselmanagement angemessen umgesetzt ist. Dazu gehören sichere Erzeugung, Speicherung, Zugriffskontrolle, Rotation, Wiederherstellung und gegebenenfalls Widerruf von Schlüsseln. Unternehmen sollten außerdem planen, wie sie kryptografische Verfahren bei veränderten Bedrohungslagen, auslaufenden Algorithmen oder neuen regulatorischen Anforderungen migrieren können.

Backups sind ein zentraler Bestandteil der Cyber-Resilienz, reichen für sich allein aber nicht aus. Sinnvoll sind nachvollziehbare Sicherungskonzepte mit definierten Wiederherstellungszielen, getrennten oder unveränderbaren Sicherungskopien und regelmäßigen Wiederherstellungstests. Gerade gegen Ransomware sollten Sie berücksichtigen, ob Sicherungen vor Manipulation geschützt sind und ob im Notfall kritische Geschäftsprozesse innerhalb der erforderlichen Zeit wieder anlaufen können.

Notfallpläne sollten nicht nur dokumentiert, sondern auch praktisch erprobt werden. Übungen können zeigen, ob Verantwortlichkeiten, Kommunikationswege, Berechtigungen und technische Wiederanlaufverfahren tatsächlich funktionieren. Erkenntnisse aus Sicherheitsvorfällen, Audits, Penetrationstests oder Wiederherstellungsübungen sollten in Maßnahmenpläne und künftige Bewertungen des technischen Schutzniveaus einfließen.

So ermitteln Sie den Stand der Technik

Eine belastbare Bewertung kombiniert technische, rechtliche, organisatorische und wirtschaftliche Perspektiven. Der Rechercheumfang richtet sich nach der Fragestellung und dem Risiko: Eine Patentstrategie für eine zentrale Innovation erfordert regelmäßig eine tiefere Analyse als die Auswahl einer Standardfunktion für einen internen Prozess. Wichtig ist, Annahmen, Quellen und Bewertungsentscheidungen nachvollziehbar festzuhalten.

Ein praxistaugliches Vorgehen umfasst folgende Schritte:

1. Definieren Sie die Fragestellung präzise. Statt allgemein nach Dokumentensicherheit zu fragen, können Sie beispielsweise den Schutz vertraulicher Personalakten in einem cloudbasierten Informationsmanagementsystem bewerten.
2. Legen Sie Anwendungsbereich, Systemgrenzen und Stichtag fest. Dokumentieren Sie, welche Daten, Nutzenden, Schnittstellen, Standorte, Bedrohungen und rechtlichen Anforderungen in die Bewertung einbezogen werden.
3. Recherchieren Sie geeignete Quellen. Berücksichtigen Sie technische Fachliteratur, Patentdatenbanken, wissenschaftliche Veröffentlichungen, Normen, Behördeninformationen, Herstellerdokumentationen und seriöse Branchenquellen.
4. Bewerten Sie Quellen kritisch. Relevante Kriterien sind Veröffentlichungsdatum, fachliche Autorität, technische Detailtiefe, Nachprüfbarkeit, Aktualität, Praxisrelevanz und mögliche Interessenkonflikte.
5. Beziehen Sie die zuständigen Funktionen ein. Je nach Thema können IT, Informationssicherheit, Datenschutz, Legal, Einkauf, Fachbereiche, Architekturverantwortliche und externe Sachverständige beteiligt sein.
6. Leiten Sie Maßnahmen risikoorientiert ab. Prüfen Sie, welche technischen und organisatorischen Maßnahmen Risiken wirksam reduzieren und ob Verantwortlichkeiten, Fristen und Kontrollmechanismen klar definiert sind.
7. Dokumentieren Sie die Entscheidung. Eine nachvollziehbare Bewertung enthält mindestens Anwendungsbereich, Schutzbedarf, Quellenliste, Bewertungsmaßstab, Risikoentscheidung, Maßnahmenplan, Verantwortlichkeiten und einen Review-Termin.
8. Überprüfen Sie die Bewertung kontinuierlich und anlassbezogen. Neue Schwachstellen, Sicherheitsvorfälle, Systemänderungen, neue Schnittstellen, Anbieterwechsel oder regulatorische Änderungen können eine sofortige Neubewertung erforderlich machen.

Ein strategischer Regelreview kann beispielsweise jährlich oder halbjährlich sinnvoll sein, abhängig von Systemkritikalität und Veränderungsgeschwindigkeit. Kontinuierliches Schwachstellenmanagement, Patch-Überwachung und Reaktionen auf aktiv ausgenutzte Sicherheitslücken dürfen jedoch nicht bis zum nächsten festen Review warten. Je höher die Kritikalität eines Systems, desto enger sollten Sie Beobachtung, Bewertung und Reaktion organisieren.

Typische Fehler beim Umgang mit dem Stand der Technik

Ein häufiger Fehler besteht darin, den Stand der Technik allein aus Marktangeboten oder den Funktionen einzelner Wettbewerber abzuleiten. Dass eine Funktion bei einem bekannten Anbieter fehlt, bedeutet nicht, dass sie technisch unbekannt, unwirtschaftlich oder rechtlich irrelevant ist. Umgekehrt beweist eine Werbeaussage noch nicht, dass eine Lösung technisch ausgereift, sicher oder für den eigenen Anwendungsfall geeignet ist.

Ebenso problematisch ist die Annahme, eine Norm bilde stets den vollständigen Stand der Technik ab. Normen sind grundsätzlich privatwirtschaftliche Regelwerke und werden erst durch Gesetz, Verordnung, behördliche Vorgaben, Verträge oder konkrete Verkehrserwartungen verbindlich oder besonders relevant. Sie können hinter technischen Entwicklungen zurückbleiben, zugleich aber für Audits, Ausschreibungen und vertragliche Anforderungen eine hohe praktische Bedeutung haben.

Weitere typische Fehler sind:

• Recherche nur in deutscher Sprache und ohne Synonyme oder Fachklassifikationen,
• Gleichsetzung von Patentfähigkeitsrecherche und Freedom-to-Operate-Prüfung,
• fehlende Unterscheidung zwischen Anmelde-, Prioritäts- und Veröffentlichungsdatum,
• Übersehen älterer, nachveröffentlichter Patentanmeldungen,
• unkritische Übernahme von Herstellerangaben oder Marketingmaterialien,
• Verwechslung internen Wissens mit öffentlich zugänglichem Wissen,
• Veröffentlichungen vor Klärung der Schutzrechtsstrategie,
• pauschale Sicherheitsvorgaben ohne Risiko- und Schutzbedarfsanalyse,
• fehlende Verantwortlichkeiten für Patches, Konfigurationen und Berechtigungen,
• nicht getestete Backups und unklare Wiederherstellungsprozesse,
• unzureichende Sicherheitsanforderungen an Cloud-Anbieter und Dienstleister,
• fehlende Dokumentation von Recherche, Risikobewertung und Entscheidungen.

Bei rechtlich oder wirtschaftlich bedeutsamen Fragestellungen kann spezialisierte Patent-, Rechts-, Datenschutz- oder IT-Sicherheitsberatung sinnvoll sein. Externe Expertise ersetzt nicht die interne Verantwortung, kann aber helfen, blinde Flecken zu erkennen und die Qualität von Entscheidungen zu verbessern. Besonders bei Schutzrechtsstrategien, kritischen Systemen, Sicherheitsvorfällen oder umfangreichen Cloud- und KI-Projekten ist eine interdisziplinäre Bewertung empfehlenswert.

Häufige Fragen zu Stand der Technik

Was gehört zum Stand der Technik?

Das hängt vom jeweiligen Kontext ab. Im allgemeinen technischen Sinn können Fachliteratur, Normen, Produkte, Verfahren, Software, Studien und technische Dokumentationen relevante Erkenntnisquellen sein. Im Patentrecht ist insbesondere entscheidend, welche technischen Informationen vor dem maßgeblichen Zeitpunkt öffentlich zugänglich waren oder unter besonderen Voraussetzungen als älteres Recht gelten.

Ist ein Marktangebot automatisch Stand der Technik?

Nein. Ein Marktangebot kann zeigen, dass eine Lösung verfügbar oder beworben wird, offenbart aber nicht zwingend ihre technische Funktionsweise. Für patentrechtliche Bewertungen kommt es darauf an, welche Merkmale der Öffentlichkeit tatsächlich zugänglich waren. Für Beschaffungs- oder Sicherheitsentscheidungen müssen Sie außerdem prüfen, ob die Lösung für Ihren konkreten Anwendungsfall geeignet ist.

Was ist der Unterschied zwischen Neuheit und erfinderischer Tätigkeit?

Bei der Neuheit wird geprüft, ob eine einzelne frühere Offenbarung alle Merkmale einer beanspruchten Erfindung unmittelbar und eindeutig zeigt. Bei der erfinderischen Tätigkeit geht es darum, ob die Lösung für Fachleute ausgehend vom bekannten Stand der Technik naheliegend war. Eine Erfindung kann daher neu sein, aber dennoch nicht patentierbar sein, wenn sie als naheliegende Weiterentwicklung bewertet wird.

Gibt es für eigene Offenbarungen vor einer Patentanmeldung eine Schonfrist?

Im deutschen und europäischen Patentrecht gibt es grundsätzlich keine allgemeine Schonfrist für eigene Offenbarungen. Eine öffentliche Präsentation, Veröffentlichung oder Produktdemo vor der Anmeldung kann die Neuheit gefährden. Für deutsche Gebrauchsmuster gelten unter bestimmten Voraussetzungen abweichende Regeln, insbesondere eine sechsmonatige Neuheitsschonfrist.

Ist der Stand der Technik dasselbe wie eine Norm?

Nein. Normen können wichtige Orientierung bieten und je nach Gesetz, Vertrag oder Branche besondere Relevanz erhalten. Sie bilden jedoch nicht automatisch den vollständigen technischen Entwicklungsstand ab und sind nicht ohne Weiteres allgemein verbindlich. Eine Bewertung sollte deshalb sowohl relevante Normen als auch aktuelle technische, rechtliche und risikobezogene Erkenntnisse einbeziehen.

Welche Rolle spielt der Stand der Technik beim Datenschutz?

Art. 32 DSGVO nennt den Stand der Technik als einen Faktor für die Auswahl geeigneter technischer und organisatorischer Maßnahmen. Zusätzlich sind unter anderem Implementierungskosten, Art, Umfang, Umstände und Zwecke der Verarbeitung sowie die Risiken für betroffene Personen zu berücksichtigen. Datenschutz verlangt daher keine einheitliche Sicherheitsmaßnahme für alle Unternehmen und Verarbeitungsvorgänge.

Muss ein Unternehmen immer die neueste Technologie einsetzen?

Nein. Entscheidend ist nicht, ob eine Technologie neu ist, sondern ob die eingesetzten Maßnahmen für den konkreten Zweck und das bestehende Risiko angemessen sind. Bei hochsensiblen Daten, privilegierten Zugängen, öffentlich erreichbaren Diensten oder kritischen Geschäftsprozessen kann allerdings ein deutlich höheres Schutzniveau erforderlich sein als bei weniger sensiblen Anwendungen.

Wie häufig sollte der Stand der Technik überprüft werden?

Die Prüfhäufigkeit richtet sich nach Kritikalität, Bedrohungslage und Veränderungsgeschwindigkeit. Strategische Bewertungen können in festen Intervallen erfolgen, etwa jährlich oder halbjährlich. Schwachstellenmanagement, Patch-Überwachung und die Reaktion auf Sicherheitsvorfälle müssen jedoch kontinuierlich oder kurzfristig organisiert sein, insbesondere bei aktiv ausgenutzten Sicherheitslücken.

Was bedeutet Shared Responsibility bei Cloud-Diensten?

Bei Cloud-Diensten teilen sich Anbieter und Kunde Sicherheitsaufgaben. Der Anbieter ist häufig für Teile der Infrastruktur verantwortlich, während Sie beispielsweise Benutzerkonten, Berechtigungen, Datenklassifikation, sichere Konfigurationen und angebundene Systeme verantworten. Welche Aufgaben konkret bei welcher Partei liegen, ergibt sich aus dem genutzten Service-Modell und den vertraglichen Vereinbarungen.

Wie können Informationsmanagementsysteme die Umsetzung unterstützen?

Informationsmanagementsysteme können durch Rollen- und Berechtigungskonzepte, Versionierung, Protokollierung, Aufbewahrungs- und Löschregeln, sichere Schnittstellen sowie geregelte Workflows unterstützen. Entscheidend sind jedoch auch die konkrete Konfiguration, klare Verantwortlichkeiten, dokumentierte Prozesse, regelmäßige Sicherheitsprüfungen und belastbare Notfall- und Wiederherstellungskonzepte.