Verbleibende Strafbarkeit des White-Hacking

Das Bundesverfassungsgericht hat sich allerdings nicht mit der Frage des White-Hackings auseinandergesetzt. Damit bleibt es bei der – höchst umstrittenen – Strafbarkeit von White-Hackern. Ein unerlaubtes Eindringen in fremde Netze ist dementsprechend grundsätzlich strafbar.

Der Hacker, welcher die IT-Security Dritter, etwa von Großunternehmen oder des Staates ohne entsprechende Erlaubnis testet, ist damit stets einem erheblichen Strafrechtsrisiko ausgesetzt.

Dies gilt auch dann, wenn das Hacking nachweislich nur zur Sensibilisierung der Öffentlichkeit und/oder Aufdeckung von Schwachstellen erfolgt. In diesen Fällen muss sich der Hacker vorher eine (nachweislich dokumentierte) Einwilligung des Angegriffenen verschaffen.

Hierdurch werden kritische Überprüfungen des Sicherheits- und Datenschutzstandards durch eine kritische IT-Öffentlichkeit faktisch zunichte gemacht; der trotzdem weiterhin agierende White-Hacker steht unter einem Strafrisiko.

Verbleibende Restrisiken bei der Dual-Use-Software

Das Bundesverfassungsgericht hat zudem im Ergebnis offen gelassen, ob nicht in Einzelfällen Dual-Use-Software doch von § 202 c StGB erfasst sein kann. Dies soll etwa denkbar sein, wenn eine rechtswidrige Vorgehensweise manifestiert sei oder eindeutig ein Vertrieb zu illegalen Zwecken erfolge. Das Bundesverfassungsgericht relativiert also seine eigene Relativierung zur Frage der Strafbarkeit; wann und wie konkret eine Strafbarkeit gegeben sein soll, bleibt offen. Hier bleiben insbesondere bei Grenzfällen erhebliche Risiken.

Mit anderen Worten: Je gefährlicher eine Dual-Use-Software ist, desto eher wird diese einer Malsoftware gleichgestellt werden; Gleiches gilt dann, wenn ein Missbrauch der Dual-Use-Software erfolgt ist oder dieser nicht ausgeschlossen werden kann. Damit bleibt es faktisch bei der Situation, dass der Besitzer einer zu Hackertätigkeiten einsetzbaren Dual-Use-Software beweisen muss, dass er die Software nur für »gute« Zwecke angeschafft hat und verwendet. Dies gilt zumindest dann, wenn gehobene Hackertätigkeiten beziehungsweise -angriffe mit der Software möglich sind. Der Verwender risikoreicher Penetrationssoftware ist damit nach wie vor im Strafbarkeitsrisiko.

Das Bundesverfassungsgericht rät daher Penetrationstestern auch ausdrücklich, sicherzustellen, dass nur ein ordnungsgemäßer Einsatz von Hackersoftware erfolgt und dass dieser durch entsprechende ausdrückliche Einwilligungen gedeckt ist.

Verbleibende gravierende Risiken im Vertrieb

Die rechtlichen Risiken im Bereich des Vertriebs sind nach dem Urteil des Bundesverfassungsgerichts noch deutlich höher. Dies gilt insbesondere für reine Malsoftware. Der Weitergebende muss nach der ausdrücklichen Entscheidung des Bundesverfassungsgerichts sicherstellen, dass der Einsatz nur für rechtmäßige Zwecke erfolgt und dass eine Weitergabe an unlauter handelnde Personen ausgeschlossen ist. Tut er dies nicht, macht er sich strafbar.

Der Vertreiber von Malsoftware und/oder gehobener Dual-Use-Software ist daher faktisch gezwungen, seine Abnehmer und den Einsatz durch die Abnehmer zu kontrollieren. Diese Kontrolle und deren Ergebnisse muss er auch entsprechend dokumentieren. Tut er dies nicht, besteht die erhebliche Gefahr, dass Ermittlungsbehörden und Gerichte allein auf Grund der unterlassenen Kontrolle und Dokumentation von einem strafbaren Vertrieb gemäß § 202 c StGB ausgehen.