Goldene Regeln für IT-Security

Dementsprechend bleibt es also faktisch bei den – seit Inkrafttreten des Gesetzes – empfohlenen Sicherheitsmaßnahmen (siehe auch Network Computing 1/2008):

- Sammlung, Risikoeinordnung und Dokumentation der Hacker-Tools,

- Regelung und Dokumentation der Einsatzzwecke,

- Separierung und Zugangssicherung zu Hacker-Tools,

- Einschränkung und gegebenenfalls Staffelung der Zugriffsbefugnisse, auch nach Zuverlässigkeit der eingesetzten Personen,

- Dokumentation der Zugriffe und der Einsätze,

- reguläre und Stichprobenkontrollen, Dokumentation sowie

Kontrolle der Kontrolleure und Dokumentation.

Je gefährlicher die Hacker-Tools sind, desto höher beziehungsweise strikter sollten die Sicherheitsanforderungen sein. Besondere Vorsicht gilt hierbei insbesondere für die Entwickler von Malsoftware und für Personen, die berufsmäßig Hacker-Tools einsetzen.

Darüber hinaus ist ein striktes Überwachungs- und Kontrollsystem bei dem Verkauf gehobener Hackersoftware nötig. Dies gilt bereits bei Dual-Use-Software mit hohen Missbrauchsrisiken, auf jeden Fall aber für echte Mal- beziehungsweise Hackersoftware. Hier muss eine entsprechende Überprüfung stattfinden und diese schriftlich dokumentiert werden.

Goldene Regeln bei Penetrationstests

Sofern ein Einsatz von Mal- und/oder Hackersoftware gegenüber Dritten im Rahmen von Überprüfungen erfolgen soll, sollte nach wie vor stets sichergestellt werden, dass

- der Einsatz vertraglich klar geregelt ist,

- der Einsatz, insbesondere durch eine entsprechende Einwilligung, legitimiert ist,

- bei Durchführung des Einsatzes strikt die oben genannten generellen Sicherheitsvorgaben und die Vorgaben der Einwilligung eingehalten werden und

- sämtliche dieser Schritte, insbesondere die Einwilligungen schriftlich dokumentiert sind.

Zusammenfassung – Rechtslage bei Hacker-Tools

Entwarnung gilt nur für den nachweislich rein »guten« Besitz und Einsatz von Dual-Use-Software. Ansonsten sind nach wie vor umfangreiche Dokumentationen des »guten« Einsatzes von Hackersoftware notwendig. Dies gilt insbesondere für den Vertrieb von besonders für Missbrauch geeigneter Dual-Use-Software sowie insbesondere für Malsoftware, dort sind besondere Sicherheitsüberprüfungen und Dokumentationen erforderlich. Insgesamt bleibt es damit bei den bereits vor der Entscheidung des Bundesverfassungsgerichts praktizierten Sicherheitsvorkehrungen und Dokumentationen, um so eine Strafbarkeit der IT-Anwender, vor allem aber der IT-Security mit Sicherheit auszuschließen.

Franz-Josef Schillo, Rechtsanwalt bei Noerr LLP in Dresden und unter anderem Spezialist für IT-Strafrecht

E-Mail: franz-josef.schillo@noerr.com