Fragen und Grenzen

Ab dem 11. September 2026 gilt die Meldepflicht des Cyber Resilience Act (Artikel 14 der Verordnung (EU) 2024/2847): Von einer aktiv ausgenutzten Schwachstelle in einem Ihrer Produkte müssen BSI und ENISA binnen 24 Stunden eine Frühwarnung erhalten — das erfasst auch Produkte, die Sie früher verkauft haben.

Damit diese Frist haltbar ist, hilft eine erreichbare Meldeadresse: eine security.txt auf Ihrer Domain und ein Postfach, in dem Meldungen ankommen. Vorgeschrieben ist die Kontaktadresse ab dem 11. Dezember 2027 (Anhang I Teil II Nr. 6). Ob Ihre security.txt existiert, sehen Sie in fünf Sekunden — Domain plus /.well-known/security.txt in die Adresszeile. Oberflow richtet genau das ein — was dazugehört und was es kostet, steht auf der CRA-Seite.

Ob Ihr Produkt unter den CRA fällt, ist eine rechtliche Frage des Einzelfalls — die klärt im Zweifel Ihr Anwalt. Oberflow übernimmt die technische Einrichtung.

Wahrscheinlich ja — und zwar unabhängig davon, wie groß Ihr Betrieb ist. Beim BFSG sind Kleinstunternehmen bei Dienstleistungen ausgenommen. Bei Artikel 50 gibt es diese Ausnahme nicht. Es zählt nicht, wie groß Sie sind, sondern was Sie einsetzen.

Vereinfacht verlangt die Vorschrift zweierlei: Wo Menschen mit KI zu tun haben, müssen sie es erkennen können. Und wo KI Inhalte erzeugt, muss das gekennzeichnet sein.

Oberflow sieht sich an, welche KI-Funktionen bei Ihnen tatsächlich laufen, und setzt die Kennzeichnung technisch um. Die rechtliche Einordnung Ihres Einzelfalls treffen Sie — gegebenenfalls mit Ihrem Anwalt. Oberflow liefert die Grundlage dafür und die Umsetzung danach. Was Artikel 50 im Einzelnen verlangt

Vielleicht — das ist genau die Frage, die sich pauschal nicht beantworten lässt. Ohne Chatbot fällt die klarste der Pflichten weg.

Bei erzeugten Texten und Bildern hängt es davon ab, wer erzeugt und wozu veröffentlicht wird. Die maschinenlesbare Markierung nimmt zuerst den Anbieter des erzeugenden Systems in die Pflicht, nicht den Betrieb, der es benutzt. Eine eigene Offenlegungspflicht als Betreiber gibt es vor allem dort, wo Bild-, Ton- oder Videoinhalte real wirkende Personen oder Ereignisse zeigen.

Was unabhängig davon stimmt: Viele Betriebe setzen KI ein, ohne es so zu nennen. Meist hat es jemand im Marketing eingeführt, und in der Geschäftsführung weiß niemand davon. Genau deshalb beginnt die Arbeit mit einer Bestandsaufnahme und nicht mit einem Angebot — erst wenn auf dem Tisch liegt, was läuft, lässt sich sagen, was zu tun ist.

Immer ein Festpreis, und Sie kennen ihn, bevor die Arbeit beginnt. Kein Stundensatz, keine Nachforderung. Die Hälfte wird bei Auftragserteilung fällig, die Hälfte, wenn Sie abgenommen haben.

Die Höhe hängt an der Größe Ihres Auftritts: wie viele verschiedene Seitentypen es gibt, wie viele Sprachen, wie der Bestellvorgang gebaut ist. Der Ablauf ist deshalb: kostenloser Kurz-Check, dann ein schriftliches Angebot mit einer festen Zahl, 14 Tage gültig. Erst dann entscheiden Sie.

Warum hier keine Preisliste steht: Ein geratener Preis wäre entweder zu hoch — dann zahlen Sie für eine Unsicherheit, die nicht Ihre ist — oder zu niedrig, und dann käme genau die Nachforderung, die Oberflow zusagt nicht zu stellen.

Zwei Ausnahmen gibt es: Bei der CRA-Meldestelle steht der Umfang fest — deshalb steht ihr Preis öffentlich: 490 € einmalig. Und beim Artikel-50-Paket zur KI-Kennzeichnung steht der Preis ebenfalls vorab fest — ab 990 €. Zur Einordnung der übrigen Leistungen: Die Behebung liegt in der Größenordnung einer einzigen Abmahnung, ohne deren Folgekosten.

Was Sie bekommen: behobene Befunde im Quellcode und eine prüffähige Dokumentation nach EN 301 549 / WCAG 2.1 AA — den Nachweis also, was wann geprüft und was behoben wurde. Genau das ist es, was Sie vorlegen können, wenn jemand fragt.

Keine rechtliche Zusage — das kann seriös niemand geben, und Oberflow tut es deshalb nicht.

Der Einwand ist berechtigt. Er trifft jeden, der prüft und repariert — die Werkstatt, den Zahnarzt, den IT-Gutachter.

Was dagegen eingebaut ist: Jeder Befund nennt die Stelle und das geprüfte Kriterium, damit Ihre Agentur oder ein Dritter ihn nachprüfen kann. Der Kurz-Check enthält bewusst keine Fix-Anleitung und keinen Preis. Der Festpreis steht vor der Arbeit fest und nicht je Befund — an einem zusätzlichen Befund verdient Oberflow nichts. Und Sie dürfen den Bericht mitnehmen und woanders umsetzen lassen; er ist dafür geschrieben.

Nein.

Eine Prüfung ist eine Stichprobe zu einem Stichtag. Eine Garantie darüber hinaus wäre ein Versprechen, das niemand halten kann — und Sie sollten misstrauisch werden, wenn es Ihnen jemand gibt.

Zugesagt wird: Die gefundenen Befunde werden im Quellcode behoben, das Ergebnis wird gegengeprüft, und beides so dokumentiert, dass es einer Prüfung standhält. Wer den Zustand halten will, nimmt die laufende Betreuung dazu.

Nein. So ein Knopf blendet ein Bedienfeld über Ihre Seite — Schrift größer, Farben kräftiger. Der Fehler darunter bleibt, wo er ist.

Overlays ändern den Quellcode nicht — sie legen sich darüber.

Ein Beispiel: Wenn Ihr Bestellknopf sich mit der Tastatur nicht ansteuern lässt, ändert daran auch ein solches Bedienfeld nichts. Es liegt darüber. Repariert wird darunter nichts.

Das ist keine Einzelmeinung: Im Overlay Fact Sheet haben über 1.000 Fachleute — darunter Mitwirkende an den WCAG-Standards und Screenreader-Nutzer — dieselbe Feststellung unterschrieben.

Gut — dann muss niemand ersetzt werden.

Zwei Wege funktionieren: Oberflow prüft und dokumentiert, Ihre Agentur setzt um. Oder Oberflow setzt um und übergibt sauber, mit Protokoll, damit die Agentur den Stand weiterführen kann. Was nicht passiert: dass sich jemand zwischen Sie und Ihren Dienstleister schiebt.

Kurz-Check: Rückmeldung innerhalb eines Werktags, Ampel-PDF in 48 Stunden. Voll-Audit: in der Regel 5 bis 10 Arbeitstage ab Freigabe. Die Behebung hängt von der Größe ab und davon, wie schnell der Zugang bereitsteht.

Oberflow nimmt höchstens vier Fix-Sprints im Monat an. Das begrenzt die Menge, hält aber die Termine.

Für den Kurz-Check: die Adressen. Sonst nichts.

Für die Behebung: Zugang zum Quellcode oder zum System, eine Ansprechperson für Rückfragen und die Möglichkeit, vor dem Eingriff eine Sicherung anzulegen. Oberflow arbeitet nie ohne Backup.

Das ist der realistische Fall, nicht der Ausnahmefall. Genau dafür gibt es die laufende Betreuung: wiederkehrende Prüfläufe, Meldung bei neuen Befunden, fortgeschriebene Dokumentation.

Ohne Betreuung bekommen Sie einen sauberen Stand zum Stichtag. Das ist ein echter Wert — aber es ist eben ein Stichtag.

Weil es noch keine gibt, die genannt werden dürfen. Oberflow ist neu.

Erfundene Logos, „über 50 Projekte“ oder Sternebewertungen wären in dieser Lage schlicht gelogen. Stattdessen liegt die Methodik offen, und die Grenzen stehen benannt da — das ist nachprüfbar, auch ohne Vergangenheit. Wie das Ergebnis aussieht, sehen Sie am Prüfbericht über die eigene Seite.