Sie sind hier: Home » Markt » Hintergrund

Positionspapier: "Hacker-Pragraphen" § 202c StGB


EICAR Legal Advisory Board veröffentlicht Stellungnahme zur Strafbarkeit beim Umgang mit IT-Sicherheits-Tools
Erstes Arbeitsergebnis des neu gegründeten EICAR-Fachbereichs beschäftigt sich mit dem aktuell viel diskutierten § 202c StGB

(08.11.07) - Die European Expert Group for IT Security (EICAR) stellt ihr Positionspapier zur Strafbarkeit beim Umgang mit IT-Sicherheits-Tools in Zusammenhang mit dem 41. Strafrechtsänderungsgesetz zur Bekämpfung der Computerkriminalität (sog. "Hacker-Paragraf) der Öffentlichkeit vor. Kernthese des Papiers ist, dass es keine klare Definition seitens des Gesetzgebers darüber gibt, welcher Einsatz von Hacker-Werkzeugen durch IT-Security-Experten und Unternehmen eine strafbare Handlung darstellt.

Der Bundestag hat es versäumt, vom Europarat in der Cybercrime Convention vorgesehene Ausnahmen eindeutig ins deutsche Strafrecht umzusetzen. Es besteht demnach in einigen Teilen erhebliche Rechtsunsicherheit. Das Positionspapier kann unter www.eicar.org heruntergeladen werden.

Sachliche Einschätzung zu viel diskutiertem Paragrafen

"Als Autor des Positionspapiers konnten wir Dennis Jlussi gewinnen. Er ist aktueller Träger des Nachwuchspreises der deutschen Stiftung für Recht und Informatik und hat die Kommentierung im Rahmen einer Projektarbeit mit seinem Kollegen Christian Hawellek erstellt", kommentiert Prof. Dr. Nikolaus Forgo, Vorsitzender des EICAR Legal Advisory Boards.

Als Kernthese geht aus dem Positionspapier hervor, dass der deutsche Gesetzgeber es nicht vermocht hat, entsprechend der Cybercrime Convention gutartige Tätigkeiten im Rahmen der IT-Sicherheit klar von den Straftatbeständen auszunehmen. Das gilt speziell dann, wenn sich IT-Sicherheitsexperten oder Entwickler mit Viren auseinanderzusetzen, um entsprechende Sicherheitssoftware zu programmieren.

In diesem Zusammenhang besteht in Teilen Rechtsunsicherheit.

Einführung des §202c StGB sorgt für Diskussion

Die Einführung des § 202c StGB durch das 41. Strafrechtsänderungsgesetz zur Bekämpfung der Computerkriminalität (41. StrÄndG) ist in den Medien und von betroffenen Fachkreisen scharf kritisiert worden; Maßnahmen der IT-Sicherheit würden kriminalisiert und auch nach allgemeiner Anschauung gutartige Anwender von Hacker-Tools seien "von der Gnade des Richters" abhängig.

Das Gesetz ändert und ergänzt die Strafrechtsbestimmungen über Computerkriminalität: Beim Ausspähen von Daten (§ 202a StGB) kommt es nicht mehr auf einen Erfolg an, das heißt, es ist nunmehr unerheblich, ob der Täter tatsächlich Daten erlangt, es genügt die Möglichkeit des Zugangs zu Daten. Der Tatbestand des Abfangens von Daten (§ 202b StGB) ist neu geschaffen und der der Computersabotage (§ 303b StGB) ausgeweitet worden.

Als Tätigkeiten, die unter § 202c StGB fallen könnten, kommen insbesondere die Beschaffung, Erstellung, Anpassung und Verwendung von Software in Frage, und zwar einerseits für die IT-Sicherheit designte Software zur Schwachstellenanalyse (z. B. AppScan, GFI Languard, Nessus). Solche Software versucht (unter anderem), Sicherheitslücken aufzuspüren, indem bestimmte potenziell schädliche Werte an das zu testende System übergeben und sodann Reaktionsmuster ("Signaturen") ausgewertet werden.

Andererseits kommt aber auch Schadsoftware (Viren, Trojaner, Würmer Exploits etc.) in Frage, die beschafft und angewendet wird, um zu testen, ob Computersysteme für bestimmte Angriffe anfällig sind oder ob die Systeme durch aktuelle Patches und Sicherheitssoftware (z. B. Virenscanner) ausreichend und wirksam geschützt sind.

Keine eindeutige Rechtslage – dennoch keine Panik angesagt

"Durch Beachtung einiger weniger Vorsichtmaßnahmen kann das Strafbarkeitsrisiko minimiert werden", meint der Autor Dennis Jlussi. "Es ist also keine Panik angesagt. Die Rechtslage ist zwar nicht ganz eindeutig – eine höchstrichterliche oder obergerichtliche Rechtssprechung liegt auch nicht vor." Dennoch ist davon auszugehen, dass bei Beachtung geeigneter Maßnahmen keine strafbaren Handlungen vorliegen.

EICAR Legal Advisory Board beschäftigt sich mit neutralen Rechtseinschätzungen

Das EICAR Legal Advisory Board ist ein neu gegründeter Fachbereich unter dem Dach der europäischen Sicherheitsorganisation. Als Vorsitzender des Boards konnte der renommierte IT-Rechtsexperte Prof. Dr. Nikolaus Forgo gewonnen werden. Das EICAR Legal Advisory Board wird sich in Zukunft mit aktuellen Rechtsfragen, die in einem Zusammenhang mit Informationssicherheit stehen, auseinander setzen. Darüber hinaus steht das Board als neutrale Informationsstelle für IT-Rechtsfragen zur Verfügung. Hierbei soll insbesondere das neue EICAR Forum (https://secure.eicar.org/forum/) als interaktive Kommunikationsplattform unterstützen.

Kurzprofil EICAR
Die EICAR wurde 1991 als eingetragener Verein in Deutschland gegründet. Zunächst mit dem Ziel, Know-how im Bereich der Antivirenforschung zu bündeln, gilt die EICAR mittlerweile als anerkanntes IT-Security Expertennetzwerk. Das Institut versteht sich als Plattform für den Informationsaustausch für alle Sicherheitsexperten, die in den Bereichen Forschung und Entwicklung, Implementierung sowie Management tätig sind. Hierdurch soll die globale Zusammenarbeit im Bereich der Computersicherheit gefördert werden. Z

iel des Instituts ist es, Lösungen und Präventivmaßnahmen gegenüber allen Arten der Computerkriminalität, wie z.B. das Schreiben und Verbreiten von Computer-Viren, Betrug sowie das Ausspähen von personenbezogenen Daten, zu entwickeln. Dabei arbeitet das Institut sowohl sehr eng mit Unternehmen, politischen Organisationen oder universitären Einrichtungen als auch Medien, Technik- und Rechtsexperten zusammen. (EICAR: ra)

Lesen Sie auch:
Klage gegen "Hacker-Paragraph" § 202c StGB

- Anzeigen -




Kostenloser Compliance-Newsletter
Ihr Compliance-Magazin.de-Newsletter hier >>>>>>


Meldungen: Markt / Hintergrund

  • Hinweisgebersystem für Korruption

    Zum 15. September 2020 wurde die "Bayerische Zentralstelle zur Bekämpfung von Betrug und Korruption im Gesundheitswesen" (ZKG) in Nürnberg gegründet. Ein Team aus Spezialstaatsanwälten um den Leitenden Oberstaatsanwalt Richard Findl nimmt seither bayernweit schwarze Schafe im Gesundheitssektor ins Visier. Bayerns Justizminister Georg Eisenreich sagte: "Es geht um die Abrechnung von nicht erbrachten Corona-Tests, um Pflegedienstbetrug, um Schmiergelder. Betrug und Korruption im Gesundheitswesen können viel Schaden anrichten - von enormen finanziellen Schäden bei Krankenkassen und Versicherungen bis hin zu Gesundheitsschäden bei Patienten. Dagegen muss der Staat entschlossen vorgehen. Wir haben deshalb vor einem Jahr unsere Ermittlungsstrukturen mit der ZKG nochmals verstärkt." Justizminister Eisenreich zog heute (17. November) eine erste Bilanz: "Unsere zentrale Ermittlungseinheit, die ZKG, hat 254 Verfahren von den drei Schwerpunkt-Staatsanwaltschaften in Bayern übernommen und binnen eines Jahres 197 Verfahren selbst eingeleitet. Beim Großteil der Verfahren geht es um Betrugstaten im Gesundheits- und Pflegebereich."

  • Fremdfinanzierung & Risikocheck

    Verschlechtert sich das Rating eines Unternehmens, ändert der Banker seinen Blickwinkel darauf. Das sorgt in der Regel für Emotionen bei Geschäftsführern und Gesellschaftern. Doch: Der Finanzierer braucht schlichtweg die Sicherheit, dass geliehenes Geld auch zurückbezahlt werden kann - selbst wenn es "hart auf hart" kommt. Und so liegt es quasi in der Natur des Bankers, durch die Risikobrille auf Unternehmensgeschicke zu blicken und Prozesse zu hinterfragen. Er will Entscheidungsprozesse des Managements beurteilen können: Wie werden Entscheidungen getroffen? Wer ist in die Entscheidungsfindung eingebunden? Zu welchem Zeitpunkt und wie erfolgt die Umsetzung einer Entscheidung? An dieser Stelle wird häufig missverstanden, welche Botschaften "richtig" für den Banker sind. Der vielfache Glaube, nur gute Nachrichten sind "bankable" ist nicht nur falsch, sondern auch gefährlich. Denn diese Botschaften sind in aller Regel nicht stimmig und beleuchten nur die positive Seite der Medaille - was mit der Risikosicht des Bankers kollidiert und so für Zweifel sorgt. Statt Risiken auszublenden und nur von positiven Perspektiven zu berichten, ist ein realistischer Blick nach vorne, die Beschreibung von Chancen und Risiken gleichermaßen und vor allem die Reaktion darauf gefragt.

  • Mustererkennung beim E-Mail-Betrug

    4 Milliarden US-Dollar Jahresgesamtverlust in 2020: Der Bericht der vom FBI geführten Beschwerdestelle für Internetkriminalität offenbart erschreckende Zahlen. "Der E-Mail Betrug mit Phishing, Malware und Ransomware hat besonders stark zugenommen, wobei Cyberkriminelle die Corona-Krise für ihre E-Mail Betrugsmaschen ausnutzten. Pandemie-Themen wie Impfstoffe, Hilfen für Unternehmen oder neue COVID19-Varianten beflügelten ihre Kreativität und wurden für allgemeine Phishing- oder gezielte Social Engineering-Angriffe verwendet", macht IT-Sicherheitsexpertin Patrycja Schrenk, Geschäftsführerin der PSW Group, auf den jüngst erschienenen Bericht des Internet Crime Complaint Centers aufmerksam. Neben dem sogenannten Business E-Mail Compromise, in Deutschland als "Chefmasche" bezeichnet, verursachte E-Mail Account Compromise, eine Taktik, bei der E-Mail-Konten kompromittiert werden, um Zugang zu legitimen Postfächern zu erhalten, dabei die höchsten Verluste, die mit über 1,8 Milliarden US-Dollar beziffert. Tatsächlich sind diese beiden Angriffsarten sowie Phishing dem Bericht zufolge eine größere Bedrohung als Ransomware: Finanzielle Verluste waren - verglichen mit Ransomware-Angriffen - 64 Mal höher.

  • Pool der verfügbaren Kreditinstitute schrumpft

    ESG-Bedenken lassen die Finanzierungskosten für Mineralölunternehmen rapide ansteigen, da das Interesse an Investitionen in kohlenwasserstoffintensive Anlagen schwindet und die Fondsmandate immer restriktiver werden. Obwohl sich viele Ölunternehmen aus der Perspektive der Kreditvergabe in einer besseren Verfassung befinden als in den letzten Jahren, da ihre Bilanzen durch den Anstieg der Ölpreise im Jahr 2021 gestärkt wurden, wird es für sie immer schwieriger, Finanzmittel zu beschaffen. Denn der Pool an bereitwilligen Investoren schrumpft und die Banken beugen sich dem Druck, ihre Kreditvergabe dem Trend zur CO2-Reduktion anzupassen. Tullow Oil emittierte im April eine Anleihe mit einem Volumen von 1,8 Mrd. USD, die aufgrund ihres zweistelligen Kupons und der gleichzeitigen Vereinfachung der Kapitalstruktur vom Markt gut aufgenommen wurde. Die im letzten Monat von Ithaca, einem Unternehmen, das sich im Besitz von Delek befindet, aufgelegte Anleihe war jedoch eine andere Angelegenheit. Der Preis des Titels lag weit unter dem Marktpreis und wird immer noch leicht unter dem Emissionspreis gehandelt, trotz eines saftigen Kupons von 9 Prozent, einer gut ausgestatteten, kostengünstigen Vermögensbasis und einer beträchtlichen Cash-Generierung.

  • Betrug und Korruption im Gesundheitswesen

    Schmiergelder, gefakte Corona-Tests, falsche Abrechnungen: Zum Schutz des Gesundheitssystems hat der Minister bei der Generalstaatsanwaltschaft Nürnberg im vergangenen Jahr die "Bayerische Zentralstelle zur Bekämpfung von Betrug und Korruption im Gesundheitswesen" (ZKG) eingerichtet. Bayerns Justizminister Georg Eisenreich: "425 Milliarden Euro wurden nach Schätzungen vergangenes Jahr im deutschen Gesundheitssystem umgesetzt. Vor diesem großen Wirtschaftssektor machen Kriminelle nicht Halt. Betrug und Korruption im Gesundheitswesen können viel Schaden anrichten - von enormen finanziellen Schäden bei Krankenkassen und Versicherungen bis hin zu Gesundheitsschäden bei Patienten. Dem muss der Staat entschlossen entgegentreten. Deshalb setzt Bayern ab morgen zusätzlich auf eine neue Hinweisgeber-Plattform, um gezielt gegen die schwarzen Schafe der Branche vorzugehen." Justizminister Eisenreich: "Das Gesundheitssystem in Bayern ist sehr leistungsfähig. Den vielen im Gesundheits- und Pflegebereich Tätigen, die sich für die Gesundheit anderer mit großer Hilfsbereitschaft einsetzen, möchte ich herzlich danken."