EICAR: Sicherheitsexperten dürfen Hacker-Werkzeuge einsetzen
Sicherheitsspezialisten, die Software zur Schwachstellenanalyse nutzen, aber auch Malware verwenden, um bestehende System zu testen, sollten ihre Arbeit genau dokumentieren, heißt es in einer Analyse des so genannten Hackerparagraphen.
Die European Expert Group for IT Security (EICAR [1]) hat im Rahmen ihres Information Security Summit [2] eine juristische Stellungnahme zur Einführung des § 202c StGB veröffentlicht. Danach lässt der so genannte Hackerparagraph Sicherheitsexperten genügend Raum, Hacker-Werkzeuge zum Testen von Software-Exploits oder Lücken Netzwerken einzusetzen. Voraussetzung dafür sei allerdings, dass die "gutartige Tätigkeit" ausführlich dokumentiert wird. Beim Angriff auf Unternehmensnetze müsse obendrein das schriftliche Einverständnis der betroffenen Firma vorliegen.
Das EICAR-Positionspapier [3] (PDF-Datei) zum 41. Strafrechtsänderungsgesetz zur Bekämpfung der Computerkriminalität wurde von Dennis Jlussi und Christian Hawellek verfasst. Die Autoren kommen zum Schluss, dass es im Gesetz versäumt wurde, gutartige Tätigkeiten im Rahmen der IT-Sicherheit im Sinne der europäischen Cybercrime Convention [4] klar von den Straftatbeständen abzugrenzen. Daher erzeuge der § 202c eine Rechtsunsicherheit, zumal bisher keine höchstrichterliche oder obergerichtliche Rechtssprechung in der Frage vorliege. Sicherheitsspezialisten, die Software wie Nessus und AppScan zur Schwachstellenanalyse einsetzen müssen, aber auch Malware wie Viren, Trojaner und Exploits verwenden, um bestehende System zu testen, sollten ihre Arbeit genau dokumentieren.
"Aus der Dokumentation sollte sich zweifelsfrei ergeben, dass die Software nicht beschafft wurde, um Straftaten zu begehen, sondern um gutartige Tätigkeiten auszuüben. Auch der Einsatz des Programms ist entsprechend – schriftlich und veränderungssicher – zu dokumentieren", heißt es in dem Positionspapier, das auch auf die Einwilligung von betroffenen Unternehmen zum Eindringen in Netzwerke hinweist: "Es ist auf eine geschlossene Legitimationskette von der Unternehmensleitung bis hin zu derjenigen Person zu achten, die die Einwilligung gibt. Dabei sind auch die Arbeitnehmerbeteiligungsrechte zu wahren." Obendrein halten die Autoren eine Klärung durch das Bundesverfassungsgericht für wünschenswert. Sie verweisen dabei auf die Verfassungsbeschwerde, die ein Hersteller von Computerprogrammen für die Kilometerzählerverfälschung eingelegt hat, um Rechtssicherheit für sein Programm zu bekommen.
Als problematische Grauzone werden im Positionspapier vor allem die Exploits dargestellt, die etwa bei der Erstellung von Software für eine verdeckte Online-Durchsuchung eine wichtige Rolle spielen sollen. "Ein Exploit ist z.B. an sich nach objektiver Zweckbestimmung strafwürdig. Ob das aber etwa auch für Exploits gilt, die von IT-Sicherheitsmitarbeitern erstellt werden und Sicherheitslücken testweise ausnutzen, die bekannt sind und geschlossen sein sollten, ist sehr fraglich; diese können möglicherweise bereits nach objektivierter Bestimmung auch zur gutartigen Verwendung bestimmt sein", heißt es in der Stellungnahme der Juristen.
Siehe dazu auch:
- Bundesgesetzblatt Nr. 38 vom 10.8.2007 [5]
- Einundvierzigstes Strafrechtsänderungsgesetz zur Bekämpfung der Computerkriminalität (41. StrÄndG [6]) (PDF-Datei), veröffentlicht im Bundesgesetzblatt Nr. 38
- IT-Branchenverband fordert rasche Korrektur der Hackerparagraphen [7]
- Keine PHP-Exploits mehr wegen Hackerparagraphen [8]
- Chaos Communication Camp: Mit Massenfesselung gegen den Hackerparagraphen [9]
- Verschärfte Hackerparagraphen treten in Kraft [10]
- Bundesrat billigt verschärfte Hackerparagraphen [11]
- Bundesrat will Hackerparagraphen durchwinken [12]
- Scharfe Kritik am neuen Hackerparagraphen [13]
- Risikoberuf Sicherheitsexperte? [14], Bundestag winkt aufgebohrtes Computerstrafrecht durch, c't 13/07, S. 42
- Bundestag winkt verschärften Hackerparagraphen durch [15]
- Grünes Licht für Verschärfung der Hackerparagraphen [16]
- Klarstellungen bei neuen Hackerparagraphen gefordert [17]
- 23C3: Geplante Hackerparagraphen bringen "absolute Rechtsunsicherheit" [18]
- Bundesregierung hält an Verschärfung der "Hackerparagraphen" fest [19]
- Bundesrat kritisiert Gesetzentwurf zur Bekämpfung der Computerkriminalität scharf [20]
- Kritik am Gesetzesentwurf zu "Hacker-Tools" hält an [21]
- IT-Branchenverband gegen pauschales Verbot von "Hacker-Tools" [22]
- Justizministerium sieht keinen Änderungsbedarf bei Paragraphen über "Hacker-Tools" [23]
- CCC warnt vor Verbot von "Hacker-Tools" [24]
- Regierung will "letzte Lücken" im Computerstrafrecht schließen [25]
- EU geht schärfer gegen Hacker vor [26]
- Neue Strafbarkeiten und Probleme [27], Der Entwurf des Strafrechtsänderungsgesetzes (StrafÄndG) zur Bekämpfung der Computerkriminalität vom 20. September 2006, Analyse von Alexander Schultz
- IT-Sicherheit und § 202c StGB [28], Strafbarkeit beim Umgang mit IT-Sicherheitstools nach dem 41. Strafrechtsänderungsgesetz zur Bekämpfung der Computerkriminalität, Analyse von Dennis Jlussi und Christian Hawellek für die European Expert Group for IT Security
(Detlef Borchers) / (jk [29])
URL dieses Artikels:
https://www.heise.de/-189194
Links in diesem Artikel:
[1] http://www.eicar.org
[2] http://www.eicar.org/press/news_press221007.htm
[3] http://www.eicar.org/press/infomaterial/JLUSSI_LEITFADEN_web.pdf
[4] http://www.heise.de/tp/r4/artikel/11/11083/1.html
[5] http://frei.bundesgesetzblatt.de/index.php?teil=I&jahr=2007&nr=38
[6] http://www.bgblportal.de/BGBL/bgbl1f/bgbl107s1786.pdf
[7] https://www.heise.de/news/IT-Branchenverband-fordert-rasche-Korrektur-der-Hackerparagraphen-164087.html
[8] https://www.heise.de/news/Keine-PHP-Exploits-mehr-wegen-Hackerparagraphen-163339.html
[9] https://www.heise.de/news/Chaos-Communication-Camp-Mit-Massenfesselung-gegen-den-Hackerparagraphen-162368.html
[10] https://www.heise.de/news/Verschaerfte-Hackerparagraphen-treten-in-Kraft-162011.html
[11] https://www.heise.de/news/Bundesrat-billigt-verschaerfte-Hackerparagraphen-148463.html
[12] https://www.heise.de/news/Bundesrat-will-Hackerparagraphen-durchwinken-145564.html
[13] https://www.heise.de/news/Scharfe-Kritik-am-neuen-Hackerparagraphen-132852.html
[14] http://www.heise.de/ct/07/13/042/
[15] https://www.heise.de/news/Bundestag-winkt-verschaerften-Hackerparagraphen-durch-Update-132656.html
[16] https://www.heise.de/news/Gruenes-Licht-fuer-Verschaerfung-der-Hackerparagraphen-131816.html
[17] https://www.heise.de/news/Klarstellungen-bei-neuen-Hackerparagraphen-gefordert-160210.html
[18] https://www.heise.de/news/23C3-Geplante-Hackerparagraphen-bringen-absolute-Rechtsunsicherheit-129601.html
[19] https://www.heise.de/news/Bundesregierung-haelt-an-Verschaerfung-der-Hackerparagraphen-fest-124621.html
[20] https://www.heise.de/news/Bundesrat-kritisiert-Gesetzentwurf-zur-Bekaempfung-der-Computerkriminalitaet-scharf-114678.html
[21] https://www.heise.de/news/Kritik-am-Gesetzesentwurf-zu-Hacker-Tools-haelt-an-173659.html
[22] https://www.heise.de/news/IT-Branchenverband-gegen-pauschales-Verbot-von-Hacker-Tools-170772.html
[23] https://www.heise.de/news/Justizministerium-sieht-keinen-aenderungsbedarf-bei-Paragraphen-ueber-Hacker-Tools-169472.html
[24] https://www.heise.de/news/CCC-warnt-vor-Verbot-von-Hacker-Tools-165603.html
[25] https://www.heise.de/news/Regierung-will-letzte-Luecken-im-Computerstrafrecht-schliessen-164437.html
[26] https://www.heise.de/news/EU-geht-schaerfer-gegen-Hacker-vor-138060.html
[27] http://www.medien-internet-und-recht.de/volltext.php?mir_dok_id=398
[28] http://www.eicar.org/press/infomaterial/JLUSSI_LEITFADEN_web.pdf
[29] mailto:jk@heise.de
Copyright © 2007 Heise Medien