Sie sind hier: Home » Markt » Hintergrund

Positionspapier: "Hacker-Pragraphen" § 202c StGB


EICAR Legal Advisory Board veröffentlicht Stellungnahme zur Strafbarkeit beim Umgang mit IT-Sicherheits-Tools
Erstes Arbeitsergebnis des neu gegründeten EICAR-Fachbereichs beschäftigt sich mit dem aktuell viel diskutierten § 202c StGB

(08.11.07) - Die European Expert Group for IT Security (EICAR) stellt ihr Positionspapier zur Strafbarkeit beim Umgang mit IT-Sicherheits-Tools in Zusammenhang mit dem 41. Strafrechtsänderungsgesetz zur Bekämpfung der Computerkriminalität (sog. "Hacker-Paragraf) der Öffentlichkeit vor. Kernthese des Papiers ist, dass es keine klare Definition seitens des Gesetzgebers darüber gibt, welcher Einsatz von Hacker-Werkzeugen durch IT-Security-Experten und Unternehmen eine strafbare Handlung darstellt.

Der Bundestag hat es versäumt, vom Europarat in der Cybercrime Convention vorgesehene Ausnahmen eindeutig ins deutsche Strafrecht umzusetzen. Es besteht demnach in einigen Teilen erhebliche Rechtsunsicherheit. Das Positionspapier kann unter www.eicar.org heruntergeladen werden.

Sachliche Einschätzung zu viel diskutiertem Paragrafen

"Als Autor des Positionspapiers konnten wir Dennis Jlussi gewinnen. Er ist aktueller Träger des Nachwuchspreises der deutschen Stiftung für Recht und Informatik und hat die Kommentierung im Rahmen einer Projektarbeit mit seinem Kollegen Christian Hawellek erstellt", kommentiert Prof. Dr. Nikolaus Forgo, Vorsitzender des EICAR Legal Advisory Boards.

Als Kernthese geht aus dem Positionspapier hervor, dass der deutsche Gesetzgeber es nicht vermocht hat, entsprechend der Cybercrime Convention gutartige Tätigkeiten im Rahmen der IT-Sicherheit klar von den Straftatbeständen auszunehmen. Das gilt speziell dann, wenn sich IT-Sicherheitsexperten oder Entwickler mit Viren auseinanderzusetzen, um entsprechende Sicherheitssoftware zu programmieren.

In diesem Zusammenhang besteht in Teilen Rechtsunsicherheit.

Einführung des §202c StGB sorgt für Diskussion

Die Einführung des § 202c StGB durch das 41. Strafrechtsänderungsgesetz zur Bekämpfung der Computerkriminalität (41. StrÄndG) ist in den Medien und von betroffenen Fachkreisen scharf kritisiert worden; Maßnahmen der IT-Sicherheit würden kriminalisiert und auch nach allgemeiner Anschauung gutartige Anwender von Hacker-Tools seien "von der Gnade des Richters" abhängig.

Das Gesetz ändert und ergänzt die Strafrechtsbestimmungen über Computerkriminalität: Beim Ausspähen von Daten (§ 202a StGB) kommt es nicht mehr auf einen Erfolg an, das heißt, es ist nunmehr unerheblich, ob der Täter tatsächlich Daten erlangt, es genügt die Möglichkeit des Zugangs zu Daten. Der Tatbestand des Abfangens von Daten (§ 202b StGB) ist neu geschaffen und der der Computersabotage (§ 303b StGB) ausgeweitet worden.

Als Tätigkeiten, die unter § 202c StGB fallen könnten, kommen insbesondere die Beschaffung, Erstellung, Anpassung und Verwendung von Software in Frage, und zwar einerseits für die IT-Sicherheit designte Software zur Schwachstellenanalyse (z. B. AppScan, GFI Languard, Nessus). Solche Software versucht (unter anderem), Sicherheitslücken aufzuspüren, indem bestimmte potenziell schädliche Werte an das zu testende System übergeben und sodann Reaktionsmuster ("Signaturen") ausgewertet werden.

Andererseits kommt aber auch Schadsoftware (Viren, Trojaner, Würmer Exploits etc.) in Frage, die beschafft und angewendet wird, um zu testen, ob Computersysteme für bestimmte Angriffe anfällig sind oder ob die Systeme durch aktuelle Patches und Sicherheitssoftware (z. B. Virenscanner) ausreichend und wirksam geschützt sind.

Keine eindeutige Rechtslage – dennoch keine Panik angesagt

"Durch Beachtung einiger weniger Vorsichtmaßnahmen kann das Strafbarkeitsrisiko minimiert werden", meint der Autor Dennis Jlussi. "Es ist also keine Panik angesagt. Die Rechtslage ist zwar nicht ganz eindeutig – eine höchstrichterliche oder obergerichtliche Rechtssprechung liegt auch nicht vor." Dennoch ist davon auszugehen, dass bei Beachtung geeigneter Maßnahmen keine strafbaren Handlungen vorliegen.

EICAR Legal Advisory Board beschäftigt sich mit neutralen Rechtseinschätzungen

Das EICAR Legal Advisory Board ist ein neu gegründeter Fachbereich unter dem Dach der europäischen Sicherheitsorganisation. Als Vorsitzender des Boards konnte der renommierte IT-Rechtsexperte Prof. Dr. Nikolaus Forgo gewonnen werden. Das EICAR Legal Advisory Board wird sich in Zukunft mit aktuellen Rechtsfragen, die in einem Zusammenhang mit Informationssicherheit stehen, auseinander setzen. Darüber hinaus steht das Board als neutrale Informationsstelle für IT-Rechtsfragen zur Verfügung. Hierbei soll insbesondere das neue EICAR Forum (https://secure.eicar.org/forum/) als interaktive Kommunikationsplattform unterstützen.

Kurzprofil EICAR
Die EICAR wurde 1991 als eingetragener Verein in Deutschland gegründet. Zunächst mit dem Ziel, Know-how im Bereich der Antivirenforschung zu bündeln, gilt die EICAR mittlerweile als anerkanntes IT-Security Expertennetzwerk. Das Institut versteht sich als Plattform für den Informationsaustausch für alle Sicherheitsexperten, die in den Bereichen Forschung und Entwicklung, Implementierung sowie Management tätig sind. Hierdurch soll die globale Zusammenarbeit im Bereich der Computersicherheit gefördert werden. Z

iel des Instituts ist es, Lösungen und Präventivmaßnahmen gegenüber allen Arten der Computerkriminalität, wie z.B. das Schreiben und Verbreiten von Computer-Viren, Betrug sowie das Ausspähen von personenbezogenen Daten, zu entwickeln. Dabei arbeitet das Institut sowohl sehr eng mit Unternehmen, politischen Organisationen oder universitären Einrichtungen als auch Medien, Technik- und Rechtsexperten zusammen. (EICAR: ra)

Lesen Sie auch:
Klage gegen "Hacker-Paragraph" § 202c StGB


Kostenloser Compliance-Newsletter
Ihr Compliance-Magazin.de-Newsletter hier >>>>>>


Meldungen: Markt / Hintergrund

  • Vier Fragen rund um ESG

    Deutschland - so will es die Bundesregierung - soll ein führender Sustainable-Finance-Standort werden. Eine Schlüsselrolle bei der Transformation zur nachhaltigen Wirtschaft nimmt dabei der Mittelstand ein. Denn längst haben sich die ESG-Kriterien von der reinen Anlagestrategie der Kapitalmarkt-Elite zum entscheidenden Faktor für Geschäftsentscheidungen und die Unternehmensausrichtung entwickelt.

  • Konjunkturelle Entwicklung im Zeichen des Krieges

    Der russische Angriffskrieg in der Ukraine führt nicht nur zu unvorstellbarem Leid aufseiten der ukrainischen Zivilbevölkerung, er hat auch massive Auswirkungen auf die europäische und deutsche Wirtschaft. Zu Recht hat Bundeskanzler Olaf Scholz bereits wenige Tage nach Kriegsausbruch das Wort Zeitenwende benutzt, um die mit dem Krieg in Europa einhergehenden Konsequenzen zu umschreiben. Stand heute ist weder ein Ende des Krieges absehbar noch erkennbar, welche Szenarien oder Eskalationen noch eintreten können. Diese Unsicherheit belastet die Wirtschaft zusehends.

  • Meldung rechtswidriger Inhalte

    Morddrohungen, Beleidigungen, Volksverhetzung: Hass und Hetze haben im Netz ein erschreckendes Ausmaß angenommen. Sie vergiften das gesellschaftliche Klima, unterdrücken die Meinungsfreiheit und gefährden die Demokratie. Deutschland hat mit dem im Oktober 2017 in Kraft getretenen Netzwerkdurchsetzungsgesetz (NetzDG) reagiert. Hiernach müssen soziale Netzwerke rechtswidrige Inhalte zeitnah löschen (§ 3 NetzDG) und seit 1. Februar 2022 beim Bundeskriminalamt (BKA) melden (§ 3a NetzDG).

  • Wie IT-Forensik die Demokratie schützt

    Eine Demokratie bietet den Menschen, die in ihr leben, viele Rechte und Freiheiten. Diese zu garantieren und zu schützen, ist Aufgabe des Staates. Exterro erläutert, wie digitalforensische Untersuchungen von Datenträgern, IT-Systemen und Kommunikationsverbindungen dabei helfen.

  • Hinter den Kulissen: Was Ransomware kostet

    Die Sicherheitsforscher von Check Point Research (CPR geben neue Einblicke in die Ransomware-Ökonomie, nachdem die Leaks der Conti-Gruppe und verschiedene Datensätze von Ransomware-Opfern weiter analysiert wurden. Das gezahlte Lösegeld ist nur ein kleiner Teil der tatsächlichen Kosten eines Ransomware-Angriffs für das Opfer, denn CPR schätzt die Gesamtkosten auf das Siebenfache. Die Cyberkriminellen verlangen eine Summe, die sich am Jahresumsatz des Opfers orientiert und zwischen 0,7 und fünf Prozent liegt.

Wir verwenden Cookies um unsere Website zu optimieren und Ihnen das bestmögliche Online-Erlebnis zu bieten. Mit dem Klick auf "Alle akzeptieren" erklären Sie sich damit einverstanden. Erweiterte Einstellungen