Общественная организация ГИ требует отменить в Германии уголовную ответственность за поиск уязвимостей

Seit 2007 stehen die Paragrafen 202a bis 202c im Strafgesetzbuch, und seit 2007 kritisiert die Gesellschaft für Informatik sie. Am Dienstag hat der Verband dazu ein 25-seitiges Whitepaper vorgelegt, entstanden aus drei Workshops im Mai und Juni mit Beteiligten aus Sicherheitsforschung, Automobilindustrie und Zivilgesellschaft. Die Forderung ist alt. Der Anlass, sie jetzt zu wiederholen, ist es nicht. Der Widerspruch, um den es eigentlich geht Der EU-Cyber-Resilience-Act verpflichtet Hersteller, aktiv ausgenutzte Schwachstellen zu melden. Das deutsche Computerstrafrecht stellt gleichzeitig das Finden unter Strafe, wenn es von außen kommt — unabhängig davon, ob jemand Schaden anrichten oder verhindern wollte. Besonders Paragraf 202c trifft dabei nicht die Tat, sondern das Werkzeug: Wer Software bereitstellt oder nutzt, mit der sich Lücken überhaupt erst finden lassen, bewegt sich im Graubereich. Für eine ernsthafte Sicherheitsanalyse ist genau solche Software unverzichtbar. Der Verband will deshalb die Schädigungsabsicht als Tatbestandsmerkmal verankert sehen: Wer eine Schwachstelle ordnungsgemäß meldet, soll straffrei bleiben. Und es soll nicht beim Strafrecht bleiben. Das Whitepaper nennt ausdrücklich das Geschäftsgeheimnisgesetz und die Paragrafen 69d und 69e des Urheberrechtsgesetzes — Dekompilieren von Code und das Untersuchen unverschlüsselter Funkverbindungen sollen keine Rechtsverstöße mehr sein. Das ist keine graue Theorie. Wer fremd aufgesetzte Systeme übernimmt, stößt regelmäßig auf Schnittstellen, die dort nichts zu suchen haben — und steht dann vor der Frage, ob er nachsieht, was genau erreichbar ist. Ich halte mich in solchen Fällen streng an das, was der Auftrag hergibt, und melde den Rest ungeprüft weiter. Präzise ist so eine Meldung dann nicht, und hilfreich nur bedingt. Sieben Staaten machen es anders Der aufschlussreichste Teil des Papiers steht in einem Exkurs zur Rechtslage im europäischen Umfeld. Danach ist ethisches Hacken in sieben europäischen Staaten ausdrücklich erlaubt, in zwei weiteren entfällt die Strafverfolgung unter bestimmten Umständen. Deutschland gehört zu keiner der beiden Gruppen. Drei Länder hebt die GI als Vorbild hervor. Polen fährt den liberalsten Kurs: Wer ausschließlich zur Absicherung von Systemen handelt, ist von der Strafbarkeit ausgenommen — ohne weitere Bedingungen. Portugal knüpft die Straffreiheit an einen Katalog, der kumulativ erfüllt sein muss: gute Absicht, keine finanzielle Motivation, kein Schaden, zeitnahe Meldung. Belgien verlangt zusätzlich die Meldung an das nationale Cybersicherheitszentrum sowie Notwendigkeit und Verhältnismäßigkeit des Vorgehens — und unterhält daneben eine Hall of Fame für Sicherheitsforschende. Anerkennung als Teil der Regelung, nicht als Beiwerk. Was der Zustand praktisch anrichtet Das Papier beschreibt einen Nebeneffekt, der bislang wenig Beachtung findet. Weil der direkte Weg zum Hersteller riskant erscheint, melden Freiwillige lieber über das BSI oder den Chaos Computer Club. Dort laufen entsprechend überdurchschnittlich viele Meldungen auf — und ausgerechnet die ehrenamtlich getragene Organisation trägt die Last einer Aufgabe, die eigentlich zwischen Findenden und Herstellern gehört. Prominentester Abschreckungsfall bleibt die Verurteilung im Zusammenhang mit der Software Modern Solutions: Ein IT-Experte hatte 2021 eine gravierende Lücke in einer E-Commerce-Anwendung entdeckt und geprüft, um Kundendaten zu schützen. Staatsanwaltschaft und Gerichte werteten den Zugriff trotzdem als Straftat. Wie wenig eine saubere Meldekette in der Praxis garantiert, zeigt sich auch ohne Staatsanwalt: Erst diese Woche wurde eine Router-Lücke nach 75 Tagen ohne jede Herstellerantwort veröffentlicht, obwohl der Melder über drei Kanäle gleichzeitig angeklopft hatte. Wer meldet, hat also gleich zwei Risiken: keine Reaktion — oder eine Anzeige. Die Bundesregierung hat sich Rechtssicherheit für die Cybersicherheitsforschung in den Koalitionsvertrag geschrieben. Genau darauf zielt die Vorlage: nicht auf einen neuen Vorschlag, sondern auf ein bereits gegebenes Versprechen. Ob daraus ein Referentenentwurf zum Computerstrafrecht wird, hängt am Bundesjustizministerium, und dort liegt das Thema seit Jahren. In der Zwischenzeit gilt weiterhin: Wer in Deutschland eine Lücke findet, überlegt sich zweimal, ob er sie meldet. Das ist die eigentliche Bilanz aus 19 Jahren Hackerparagraf.