Viel Lärm um nichts
Der Antihacker-Paragraf »202c Strafgesetzbuch« (StGB) ist erst seit August in Kraft, hat aber große Unruhe gestiftet. Andreas Bröhl von Integralis schafft Klarheit. Dienstleister und Administratoren dürfen weiterhin ein aggressives Werkzeug ungestraft in Audits einsetzen, wenn sie dazu offiziell befugt wurden.
- Viel Lärm um nichts
- Werkzeuge entwickeln und vertreiben
Die deutsche Gesetzgebung hat ein wichtiges Ziel verfehlt. Sie hat mit ihrem Antihacker-Paragrafen »202c« zwar juristische Richtlinien gegen Cyberkriminelle und ihre Einbruchswerkzeuge geschaffen. Sie hat zugleich alle Tools diskreditiert, mit denen Security-Dienstleister und IT-Verantwortliche das Sicherheitsniveau im Netzwerk evaluieren. Damit nicht genug, es werden prinzipiell alle verdächtigt, die solche Tools für legale Zwecke. Begeht also ein Dienstleister wie Integralis oder ein IT-Administrator eine Straftat, wenn er mit Hilfe eines Passwort-Krackers, Port-Sniffers oder Vulnerability-Assessment-Scannern das Sicherheitsniveau in seinem Netzwerk untersucht?
»Die Idee hinter dem Paragraf ist gut, die aktuelle Umsetzung allerdings erzeugt viel Verwirrung «, klagt Andreas Bröhl, Leiter Systems Security Services (S3) CISSP beim Security-Dienstleister Integralis. »Denn der Gesetztext ist an wichtigen Stellen unsauber formuliert und lässt so zuviel Freiraum für Spekulationen«, sagt Bröhl. Aber einige Stellungnahmen von offizieller Seite und jüngste Entscheidungen vor Gericht haben Fakten geschaffen, die die Lage eindeutig klären.
Die gesamte Novelle, aus den drei Teilen 202a, 202b und 202c bestehend, trennt einmal eindeutig zwischen »unbefugtem« und «befugtem Handeln«. »Wer Hacking-Tools in einem genehmigten Audit einsetzt, fällt nicht unter die Paragrafen. Damit ist das Aufspüren von Sicherheitslücken im Netz legal, sofern wir als Dienstleister vom Inhaber des Unternehmens mit dieser Aufgabe beauftragt wurden. Dies hat das Bundesministerium für Justiz in einer Erläuterung bestätigt«, erklärt Bröhl. »Wir handeln Befugnisse ohnehin seit je her in den Service-Level-Agreements für unsere Security-Audits aus, die übrigens auf Grund der Natur der Aufgabe zu den strengsten auf dem Markt gehören.« Außerdem handelt ein Dienstleister per se niemals ohne ausdrücklichen Auftrag.
»Interessant wird es bei Administratoren, die nicht ausdrücklich befugt wurden. Ich empfehle ihnen, sich diese Befugnis in schriftlicher Form einzuholen, um alle Unklarheiten zu beseitigen«, rät Bröhl.
