Rechtsunsicherheiten beim Arbeiten mit Hackerwerkzeugen
Wenn es darum geht, Dual-Use-Software legal zu nutzen, bietet das deutsche Computerstrafrecht Administratoren und Pentestern noch immer nicht genug Sicherheit.
- Verena Ehrl
Grundsätzlich haben IT-Sicherheitsexperten und Netzangreifer vieles gemeinsam. Das betrifft insbesondere ihr Handwerkszeug, nämlich Datenflussanalyse- und andere Softwaretools. Während die einen dies für Penetration Tests ("Pentests") nutzen, um Schwachstellen im eigenen Netz oder in den Systemen ihrer Auftraggeber zu suchen, verfolgen die anderen kriminelle Ziele.
Die Ambivalenz typischer Netzanalysetools bringt das dem Militärbereich entlehnte Schlagwort "Dual Use" recht gut zum Ausdruck: In der Hand eines Administrators, der Tests an einem System durchführt, für das er verantwortlich ist, kann ein Softwarewerkzeug wie "Mimikatz" legalen Einsatz finden. Es ebnet allerdings ebenso gut Angreifern den Weg bei illegalen Aktionen.
- Die Gesetzeslage in Deutschland ist fĂĽr die legale Arbeit von Sicherheitsexperten unzureichend; sie mĂĽssen auf sehr vieles achten, um sich nicht straf- oder zivilrechtlichem Ă„rger auszusetzen.
- Die Ampelkoalition hat während ihrer Regierungszeit eine vielfach geforderte Reform des Computerstrafrechts in Gang gesetzt, aber durch das vorzeitige Ende der Legislaturperiode liegt diese jetzt noch immer auf Eis.
- Außer dem Ausspähen und Abfangen von Daten steht auch das Vorbereiten solcher Handlungen unter Strafe; laut Gesetz betrifft das insbesondere das Herstellen und Verbreiten von Software mit diesen Zwecken.
Dual-Use-Softwarewerkzeuge sind rechtlich schwer zu fassen. Weder ihr Erwerb noch ihr Besitz ist grundsätzlich untersagt. Straf- und Zivilrecht melden sich erst dann, wenn jemand diese Tools einsetzt, um Rechtsbrüche zu begehen. Derjenige riskiert dann eine Strafe oder er sieht sich zivilrechtlichen Ansprüchen ausgesetzt – oft droht ihm beides.
Das war die Leseprobe unseres heise-Plus-Artikels "Rechtsunsicherheiten beim Arbeiten mit Hackerwerkzeugen". Mit einem heise-Plus-Abo können Sie den ganzen Artikel lesen.
