Der Schutz digitaler Infrastrukturen steht vor wachsenden Herausforderungen. Schwachstellen-Exploits und Datenleaks gehören längst zum Alltag. Der Einsatz moderner KI-Werkzeuge beschleunigt das Auffinden und Ausnutzen von IT-Sicherheitslücken im großen Stil. Doch wer in Deutschland versucht, solche Bugs im Sinne des Gemeinwohls aufzudecken und den Betroffenen zu melden, riskiert nach wie vor strafrechtliche Konsequenzen. Um diesen Zustand zu beenden, hat die Gesellschaft für Informatik (GI) zusammen mit Partnern aus Industrie, Cybersicherheitsforschung und digitalpolitischen NGOs ein Weißbuch zur Reform des Computerstrafrechts vorgelegt.
In dem Papier appelliert die Vereinigung an die Bundesregierung, das Versprechen aus dem Koalitionsvertrag einzulösen und endlich Rechtssicherheit für die Sicherheitsforschung zu schaffen.
Seit ihrer Einführung im Jahr 2007 stehen die sogenannten Hackerparagrafen 202a bis 202c des Strafgesetzbuchs (StGB) in der Kritik. Besonders 202c sorgt für Probleme, da er bereits die Bereitstellung und Nutzung von Werkzeugen kriminalisiert, die für eine fundierte Sicherheitsanalyse notwendig sind.
Das Gesetz unterscheidet laut der Analyse nicht ausreichend zwischen krimineller Schädigungsabsicht und der wertvollen Arbeit von White-Hat-Hackern. Prominente Fälle wie die Verurteilung im Kontext der Software Modern Solutions verdeutlichen die Auswirkungen: Wer Sicherheitslücken aufdeckt und meldet, findet sich schnell auf der Anklagebank wieder. Das führt zu einem Abschreckungseffekt, sodass wichtige Sicherheitshinweise ungenutzt bleiben oder aufwendig über anonyme Zwischenstellen gemeldet werden müssen.
Rechtssicherheit schaffen und Meldekultur fördern
Die Verfasser des Weißbuchs betonen, dass ein punktueller Eingriff ins Strafrecht nicht ausreiche. Nötig sei ein ganzheitlicher Ansatz, der etwa die Verankerung einer konkreten Schädigungsabsicht als Tatbestandsmerkmal vorsehe. Wer eine Schwachstelle ordnungsgemäß an den Hersteller oder zuständige Stellen melde, solle von Strafandrohungen entlastet werden.
Ferner sollen dem Papier zufolge Nebengebiete wie das Urheberrecht, das Gesetz zum Schutz von Geschäftsgeheimnissen und Datenschutzbestimmungen praxistauglich angepasst werden. Es gelte, Methoden wie das Dekompilieren von Code oder das Untersuchen unverschlüsselter Funkverbindungen nicht länger als Rechtsverstoß zu werten. Nachbarländer wie Polen, Belgien und Portugal zeigten bereits, wie ein rechtssicherer Rahmen für ethisches Hacking gesteckt werden könne, ohne die Aufklärung von Cyberkriminalität zu behindern.
Neben gesetzlichen Anpassungen drängt die GI auf den Aufbau einer Meldekultur. Anstatt ehrenamtliche Sicherheitsforschende mit Strafanzeigen zu überziehen, sollten Firmen und Behörden das Auffinden von Lücken als kostenfreien Sicherheitsgewinn begreifen. Standardisierte Prozesse wie die Bereitstellung einer Kontaktmöglichkeit über die Datei security.txt sowie funktionierende „Coordinated Vulnerability Disclosure“-Verfahren (CVD) erleichterten die Kooperation.
Öffentliche Anerkennungen wie die vom BSI oder von heise geführten Halls of Fame oder staatliche Bug-Bounty-Programme tragen laut der GI dazu bei, das gesellschaftliche Ansehen von IT-Sicherheitsexperten zu stärken. Mit Blick auf das Inkrafttreten neuer europäischer Regularien wie dem Cyber Resilience Act (CRA) müsse die Regierung zügig handeln und einen Reformprozess unter Einbindung aller Betroffenen starten.
(wpl)
