Ethische Hacker: Warum IT-Forschung strafbar sein kann
Worum es bei der Forderung der Gesellschaft für Informatik geht
Die Gesellschaft für Informatik ist der größte Fachverband für Informatik im deutschsprachigen Raum und vertritt damit eine Stimme, die in der Debatte um IT-Sicherheit ein erhebliches Gewicht hat. Ihre Kernforderung ist im Grunde einfach formuliert: Menschen, die aus guter Absicht Sicherheitslücken aufspüren und den betroffenen Unternehmen oder Behörden melden, sollen dafür nicht strafrechtlich belangt werden können. Aktuell ist genau das in Deutschland nicht klar geregelt, und diese Unsicherheit sorgt seit Jahren für Reibung zwischen der Sicherheitsforschung und dem geltenden Recht.
Der Kern des Problems liegt darin, dass das deutsche Strafrecht beim sogenannten Ausspähen von Daten und beim unbefugten Zugriff auf Computersysteme kaum zwischen böswilligem Hacking und gut gemeinter Sicherheitsforschung unterscheidet. Wer eine Schwachstelle findet, indem er zum Beispiel eine URL manipuliert oder eine offen zugängliche, aber eigentlich schutzbedürftige Datenbank entdeckt, bewegt sich damit oft schon in einem rechtlichen Graubereich, unabhängig davon, wie die Information anschließend verwendet wird. Genau hier setzt die Forderung nach einem sogenannten Freipass an: klare gesetzliche Leitplanken, die redliche Sicherheitsforschung von krimineller Tätigkeit trennen.
Warum ethische Hacker heute in einer Grauzone arbeiten
Das Konzept dahinter nennt sich in der Fachwelt Responsible Disclosure oder koordinierte Offenlegung. Der Gedanke ist naheliegend: Ein Sicherheitsforscher findet eine Schwachstelle, informiert das betroffene Unternehmen vertraulich, gibt ihm Zeit zur Behebung und veröffentlicht die Details erst danach, wenn überhaupt. In der Theorie ist das ein fairer Deal für beide Seiten. In der Praxis erleben viele Forscher genau das Gegenteil dessen, was sie erwarten würden: Statt eines Dankeschöns folgt eine Anzeige, weil das Unternehmen den Fund als unautorisierten Zugriff wertet und nicht als Hilfeleistung.
Das Grundproblem ist strukturell. Das Gesetz stellt bereits den Versuch, sich Zugang zu einem geschützten System zu verschaffen, unter Strafe, unabhängig von der Absicht dahinter. Ob jemand eine Lücke ausnutzt, um Daten zu stehlen, oder ob er sie nur dokumentiert, um sie zu melden, macht rechtlich zunächst keinen Unterschied. Für Unternehmen, die überrascht oder bloßgestellt werden, ist die Versuchung groß, den Überbringer der schlechten Nachricht rechtlich anzugehen, statt sich mit der eigentlichen Schwachstelle zu beschäftigen. Das schafft ein Klima, in dem es für viele Forscher schlicht sicherer erscheint, eine gefundene Lücke gar nicht erst zu melden oder anonym und ohne Rückkanal an die Öffentlichkeit zu bringen, was wiederum niemandem nützt, am wenigsten dem betroffenen Unternehmen.
Die Kluft zwischen Anspruch und Rechtswirklichkeit
Diese Unsicherheit trifft nicht nur einzelne Enthusiasten, sondern die gesamte IT-Sicherheitsbranche. Sicherheitsforschung ist heute ein fester Bestandteil dessen, wie digitale Infrastruktur überhaupt sicher bleibt. Große Softwarehersteller und Plattformen betreiben längst eigene Programme, in denen sie externe Forscher gezielt einladen, ihre Systeme zu testen, und honorieren gefundene Schwachstellen finanziell. Diese Programme funktionieren aber vor allem deshalb, weil sie vertraglich klar regeln, was erlaubt ist und was nicht. Sobald ein Unternehmen kein solches Programm anbietet, was auf den überwiegenden Teil des deutschen Mittelstands zutrifft, gibt es diese Klarheit schlicht nicht.
Die Gesellschaft für Informatik argumentiert deshalb, dass es eine gesetzliche statt nur eine vertragliche Lösung braucht. Ein einzelnes Unternehmen kann zwar eine eigene Richtlinie für Responsible Disclosure veröffentlichen, aber das schützt einen Forscher nur gegenüber genau diesem Unternehmen und nur, wenn er die Regeln vorher kannte. Bei der Vielzahl an Websites, Apps und Systemen, die im Alltag geprüft werden, ob gezielt oder eher zufällig, ist das kein realistischer Schutz. Eine bundesweite gesetzliche Regelung würde diese Lücke schließen und Rechtssicherheit für alle Beteiligten schaffen, für Forscher genauso wie für Unternehmen, die im Ernstfall wissen wollen, woran sie sind.
Was ein Freipass für Sicherheitsforscher konkret bedeuten würde
Wichtig ist dabei die Einordnung, was mit einem solchen Freipass tatsächlich gemeint ist und was nicht. Es geht nicht darum, jede Form des Eindringens in fremde Systeme straffrei zu stellen. Die Forderung zielt auf einen eng umrissenen Ausnahmetatbestand: Wer eine Schwachstelle in gutem Glauben findet, sie nicht ausnutzt, keinen Schaden anrichtet und sie zeitnah und vertraulich an den Betreiber meldet, soll dafür nicht strafrechtlich verfolgt werden können. Kriminelle Absicht, Datenabfluss oder Erpressung blieben selbstverständlich weiter strafbar. Ein solcher Rahmen würde vor allem eines schaffen: eine klare Linie zwischen legitimer Prüfung und Straftat, die heute in vielen Fällen fehlt.
Für Unternehmen, die selbst Websites, Onlineshops oder Kundenportale betreiben, ist das relevanter, als es auf den ersten Blick wirkt. Wenn Sicherheitsforscher sich sicher fühlen können, eine gefundene Lücke zu melden, statt sie zu verschweigen oder unkontrolliert zu veröffentlichen, profitieren am Ende genau die Betriebe, deren Systeme betroffen sind. Die Alternative zu einer gemeldeten Lücke ist nämlich nicht keine Lücke, sondern eine Lücke, die irgendwann von jemandem mit weniger guten Absichten gefunden wird.
Warum das auch für kleinere Unternehmen relevant ist
Man könnte meinen, dieses Thema betreffe vor allem große Konzerne mit prominenten Marken, die naturgemäß mehr Aufmerksamkeit von Sicherheitsforschern auf sich ziehen. Tatsächlich zeigt die Praxis aber, dass automatisierte Scans, mit denen viele Forscher und auch Angreifer nach verwundbaren Systemen suchen, keinen Unterschied zwischen Konzern und Handwerksbetrieb machen. Ein veraltetes Content-Management-System, ein offen erreichbares Admin-Panel oder eine unzureichend abgesicherte Kundendatenbank wird gefunden, unabhängig von der Unternehmensgröße dahinter. Für den Mittelstand bedeutet die aktuelle Debatte deshalb zweierlei: Erstens sollte man sich bewusst machen, dass die eigene Website oder Infrastruktur jederzeit Ziel einer solchen Prüfung sein kann, ob gewollt oder ungewollt. Zweitens lohnt es sich, selbst eine Haltung dazu zu entwickeln, wie man mit einer solchen Meldung umgehen würde, bevor der Fall tatsächlich eintritt.
Gerade weil viele kleine und mittlere Unternehmen weder eine eigene IT-Sicherheitsabteilung noch feste Ansprechpartner für solche Meldungen haben, verpufft eine gut gemeinte Warnung häufig im Nichts. Eine E-Mail an eine allgemeine Info-Adresse wird übersehen, landet im Spam-Ordner oder wird schlicht nicht ernst genommen, weil niemand im Unternehmen einordnen kann, wie kritisch der Hinweis wirklich ist. Am Ende verstreicht wertvolle Zeit, in der die Lücke offen bleibt, obwohl jemand sie bereits kostenlos gefunden und gemeldet hat.
Was das für den Mittelstand bedeutet
Konkret lassen sich aus der aktuellen Debatte mehrere Handlungsschritte ableiten, die auch ohne eine fertige Gesetzesänderung sofort umsetzbar sind:
Erstens hilft eine klar auffindbare Kontaktmöglichkeit für Sicherheitshinweise. Eine eigene E-Mail-Adresse wie security@ihredomain.de, verbunden mit einer kurzen Seite, die beschreibt, wie man eine Schwachstelle melden kann und was man dabei erwarten darf, senkt die Hürde für ehrliche Finder erheblich und signalisiert gleichzeitig, dass das Unternehmen das Thema ernst nimmt. Diese Seite muss nicht kompliziert sein, aber sie sollte existieren und regelmäßig auf eingehende Nachrichten geprüft werden.
Zweitens sollten Unternehmen intern klären, wer im Ernstfall zuständig ist, wenn eine solche Meldung eintrifft. Ohne definierten Ablauf verstreicht wertvolle Zeit zwischen dem Eingang eines Hinweises und der tatsächlichen Behebung der Lücke. Ein kurzer, dokumentierter Prozess reicht oft schon aus: Wer prüft die Meldung, wer entscheidet über Priorität und Behebung, wer meldet den Vorfall gegebenenfalls weiter.
Drittens lohnt sich ein regelmäßiger, unabhängiger Blick auf die eigene digitale Angriffsfläche, statt erst zu reagieren, wenn jemand von außen eine Lücke findet. Ein strukturiertes Website-Audit deckt viele der klassischen Schwachstellen auf, bevor sie überhaupt zum Thema für externe Sicherheitsforscher werden, und liefert eine belastbare Grundlage, um Prioritäten bei der Behebung zu setzen.
Viertens sollte IT-Sicherheit als kontinuierlicher Prozess verstanden werden und nicht als einmaliges Projekt. Wer regelmäßig Updates einspielt, Zugänge sauber verwaltet und seine Systeme grundlegend absichert, reduziert die Zahl der Angriffsflächen von vornherein deutlich. Eine strukturierte Betreuung im Bereich IT-Sicherheit sorgt dafür, dass solche Aufgaben nicht im Tagesgeschäft untergehen, sondern kontinuierlich mitlaufen.
Fünftens gewinnt das Thema durch die europäische NIS2-Richtlinie zusätzlich an Gewicht, denn immer mehr mittelständische Betriebe fallen unter deren Anwendungsbereich oder sind indirekt als Zulieferer betroffen. Wer sich frühzeitig mit den Anforderungen an NIS2 & IT-Sicherheit für KMU auseinandersetzt, ist nicht nur auf externe Meldungen besser vorbereitet, sondern erfüllt gleichzeitig regulatorische Pflichten, die in den kommenden Jahren strenger kontrolliert werden dürften.
Sechstens ist es sinnvoll, eine Meldung nicht reflexhaft als Angriff zu werten. Die Reaktion auf eine gut gemeinte Sicherheitsmeldung entscheidet maßgeblich darüber, ob ein Unternehmen künftig von weiteren Hinweisen profitiert oder ob sich herumspricht, dass Meldungen dort auf Ablehnung stoßen. Eine sachliche Rückmeldung, ein Dankeschön und eine zeitnahe Behebung kosten wenig, schaffen aber Vertrauen, das sich langfristig auszahlt.
Fazit
Die Forderung der Gesellschaft für Informatik trifft einen wunden Punkt, der in der öffentlichen Wahrnehmung oft unterschätzt wird. Solange ethische Hacker rechtlich kaum von böswilligen Angreifern unterschieden werden, verlieren Unternehmen wertvolle, kostenlose Hinweise auf Schwachstellen in ihrer eigenen Infrastruktur. Für den Mittelstand ist das keine abstrakte Rechtsdebatte, sondern eine ganz praktische Frage: Wie geht mein Unternehmen mit einer Sicherheitsmeldung um, wenn sie morgen im Postfach landet? Wer diese Frage schon heute beantwortet hat, statt sie im Ernstfall improvisieren zu müssen, ist klar im Vorteil, unabhängig davon, wie und wann der Gesetzgeber am Ende reagiert.
Häufige Fragen
Was bedeutet Responsible Disclosure genau?
Damit ist ein Verfahren gemeint, bei dem eine gefundene Sicherheitslücke zunächst vertraulich an das betroffene Unternehmen gemeldet wird, verbunden mit ausreichend Zeit zur Behebung, bevor Details öffentlich gemacht werden. Ziel ist es, die Lücke zu schließen, bevor sie von Kriminellen ausgenutzt werden kann.
Warum ist die Rechtslage für Sicherheitsforscher aktuell unklar?
Das deutsche Strafrecht unterscheidet beim unbefugten Zugriff auf ein System bislang kaum zwischen böswilliger und wohlmeinender Absicht. Wer eine Schwachstelle findet und meldet, kann sich dadurch theoretisch bereits strafbar gemacht haben, selbst wenn kein Schaden entstanden ist.
Betrifft dieses Thema auch kleinere Unternehmen ohne bekannten Namen?
Ja, denn viele Schwachstellen werden nicht gezielt bei bekannten Marken gesucht, sondern über automatisierte Scans gefunden, die keinen Unterschied nach Unternehmensgröße machen. Auch kleine Websites und Onlineshops können jederzeit betroffen sein.
Was sollte ein Unternehmen tun, wenn eine Sicherheitslücke gemeldet wird?
Am wichtigsten ist eine schnelle, sachliche Reaktion: die Meldung ernst nehmen, intern prüfen und die Lücke zeitnah beheben, statt den Melder als Bedrohung zu behandeln. Eine klar erreichbare Kontaktmöglichkeit für solche Hinweise erleichtert diesen Prozess erheblich.
Wie kann ich als Unternehmen vorbeugen, statt erst zu reagieren?
Regelmäßige Prüfungen der eigenen Systeme, zeitnahe Updates und ein sauber verwaltetes Zugriffsmanagement senken das Risiko deutlich, bevor überhaupt jemand von außen eine Lücke findet. Ein strukturiertes Audit schafft dafür eine belastbare Ausgangsbasis.
Hat dieses Thema etwas mit NIS2 zu tun?
Indirekt ja, denn die europäische NIS2-Richtlinie verlangt von immer mehr Unternehmen ein systematisches Risikomanagement und klare Meldewege für Sicherheitsvorfälle. Ein funktionierender Umgang mit externen Sicherheitsmeldungen passt genau in diesen Rahmen.