Nachrichten der Woche

Whitepaper der GI zur überfälligen Neuregelung von Ethischem Hacken

Von Laurenz HübscherVeröffentlicht am
Lesezeit:-Wörter

Wer in Deutschland eine Sicherheitslücke findet und meldet, riskiert selbst bei guter Absicht und verantwortungsbewusstem Vorgehen eine Anzeige. Ein neues Whitepaper der Gesellschaft für Informatik (GI) legt nun konkrete Reformvorschläge vor und versucht damit eine Debatte zu beleben, die von der Politik bislang eher verschleppt als entschieden wurde.

Die §§ 202a bis 202c StGB stammen aus dem Jahr 2007 und stellen bereits die Überwindung einer Zugangssicherung unter Strafe, unabhängig von der Motivation der handelnden Person. Insbesondere § 202c StGB ist weitreichend: Er kriminalisiert schon den Besitz von vielen Werkzeugen, die auch zum Aufspüren von Schwachstellen nötig sind, wie Dekompilierungs-Software oder Penetrationstest-Tools. Das diese Rechtslage praktische Konsequenzen hat, zeigt der Fall Lilith Wittmann: Die Sicherheitsforscherin erstattete 2021 verantwortungsvoll Meldung über eine gravierende Lücke in der CDU-Wahlkampf-App, wurde dafür aber zunächst selbst angezeigt. Ein IT-Entwickler, der im selben Jahr eine Schwachstelle beim Dienstleister Modern Solutions fand und in einem Responsible Disclosure-Verfahren meldete, wurde ohne böswilliges Ausnutzen verurteilt. Er zog erfolglos bis vors Bundesverfassungsgericht, die Karlsruher Richter verwarfen seine Beschwerde 2025.

Die GI hat für ihr Whitepaper monatelang mit Sicherheitsforschung,Industrie und Zivilgesellschaft gesprochen, darunter LOAD e.V. und die AG KRITIS. Ihr zentraler Vorschlag: § 202a StGB soll um eineSchädigungsabsicht als Tatbestandsmerkmal ergänzt werden. Wer eine Lücke dem Hersteller meldet statt sie auszunutzen, zeigt damit seine redliche Absicht. Weitergehend fordert die GI, auch das umstrittene Werkzeugverbot des § 202c StGB grundlegend zu überarbeiten oder abzuschaffen, da nicht die Existenz von Hacking-Tools, sondern deren missbräuchliche Verwendung strafwürdig sein sollte. Und weil ab September 2026 der Cyber Resilience Act Hersteller zu Schwachstellenmeldungen verpflichtet, will die GI parallel einen legalen Meldeweg für externe, oft ehrenamtliche Sicherheitsforscher schaffen.

2024 hatte Justizminister Marco Buschmann (FDP) bereits einen Referentenentwurf vorgelegt. Er wollte über die Definition von „unbefugt“ in § 202a StGB eine Ausnahme für Sicherheitsforschung schaffen, gekoppelt an schärfere Strafen für Angriffe auf kritische Infrastruktur. § 202c StGB sollte dabei unangetastet bleiben – aus Sicht des Ministeriums schlicht nicht mehr nötig. Genau das kritisierte der Chaos Computer Club scharf. CCC-Sprecher Dirk Engling nannte den Entwurf eine Erlaubnis für „nur offensichtlich harmlose Besichtigungen“, während professionelle Sicherheitsforscher weiter in der Grauzone hängen blieben. Wittmann selbst merkte an, dass die „gute Absicht“ ohnehin erst im Strafverfahren geklärt würde, oft nach einer Hausdurchsuchung. Ein Tatbestandsausschluss, der erst vor Gericht greift, entfaltet keine ausreichende Vorabwirkung gegen den von der GI beschriebenen „Chilling Effect“, der Meldungen von vornherein verhindert.Der Entwurf verschwand in der Schublade. Die aktuelle Koalition hat das Ziel „Rechtssicherheit für Cybersicherheitsforschung“ bislang nur im Koalitionsvertrag stehen, ohne konkreten Gesetzentwurf.

Andere Länder können hier als Beispiel dienen. Polen etwa schließtPersonen, die ausschließlich zur Systemsicherung handeln, komplettvon Strafbarkeit aus – laut GI der liberalste Ansatz in Europa. Portugal und Belgien knüpfen Straffreiheit an Bedingungen wie zeitnahe Meldung und Schadensfreiheit, Belgien führt zusätzlich eine Hall of Fame für Sicherheitsforscher. Österreich verlangt für eine Strafbarkeit eine gezielte Spionage- oder Verwertungsabsicht, gutgläubiges Handeln bleibt damit von vornherein straffrei. Neun europäische Staaten haben inzwischen praktikable Lösungen gefunden. Deutschland verharrt bei einer Regelung von 2007 und verpasst eine Chance, IT-Sicherheitsexperten einen attraktiven Standort anzubieten.er

Die Kritik von netzpolitik.org und CCC am gescheiterten Buschmann-Entwurf trifft den Kern: Eine Ausnahme, die erst vor Gericht wirkt, schützt niemanden vor der Hausdurchsuchung. Die GI legt jetzt einen breiter abgestimmten Vorschlag vor, der über § 202a StGB hinaus auch Nebengesetze wie das TDDDG einbezieht. Ob die Bundesregierung daraus tatsächlich zügig einen Gesetzentwurf macht, bleibt abzuwarten – der wachsende Handlungsdruck durch KI-gestützte Angriffe und die CRA-Meldepflichten spricht jedenfalls dafür, dass ein weiteres Verstreichenlassen der Reform zunehmend schwerer zu rechtfertigen wäre.

Quellen: