Und damit kommen wir zu einem Talk, der ein Thema berührt, mit dem die eine oder andere hier schon mal Erfahrung hatte.
Wie der Zufall es will, bin ich vor einigen Jahren zufällig in der Inpol-Falldatei für Cybercrime gelandet.
Fun Fact, ich kann gar nicht hacken. Es reichte, eine Protestwebseite zu machen.
Aber ich bin ja nicht allein mit diesem Problem.
Es gibt ziemlich viele Leute, die Responsible Ethisches Hacking betreiben, Sicherheitslücken finden, diese schließen wollen oder veranlassen wollen, dass sie geschlossen werden und sich dann fragen so, Mache ich mich jetzt hier aber eigentlich strafbar?
Riskiere ich eventuell dann angeklagt zu werden?
Vielleicht von der Firma, die es gerne unter den Teppich kehren will, dass bei Ihnen was unsicher ist?
Oder vielleicht auch von der Behörde?
Und genau damit beschäftigen sich unsere zwei nächsten Speaker.
Der Titel ihres Talks lautet, was lange währt, wird endlich gut.
Die Modernisierung des Computerstrafrechts.
Florian Hanske ist Doktorand am Helmholtz-Institut für Informationssicherheit und hat einen soliden Background als Pentester.
Und er trägt vor zusammen mit Prof. Dr. Dennis Kenji Kipka.
Er ist wissenschaftlicher Direktor beim Cyber Intelligence Institute in Frankfurt am Main.
Bitte einen sehr herzlichen Applaus für die beiden. Hallo. Ja, vielen Dank für diese netten Worte.
Vielen Dank, dass wir hier sein dürfen.
Und es freut mich richtig, dass sich so viele Leute für unseren Vortrag interessieren.
Was lange währt, wird endlich gut. Ein Vortrag über die Modernisierung des Computerstrafrechts.
Bevor wir anfangen, tief in das Thema einzutauchen, kurz. Was war die Idee hinter unserem Talk?
Was war unser Ziel? Was war unser Plan?
Das Bundesministerium der Justiz hat dieses Jahr endlich einen Gesetzesvorschlag hervorgebracht zur Änderung des Computerstrafrechts, das schon viel zu lange hätte geändert werden sollen.
Aber dieses Jahr kam dieser Vorschlag endlich.
Also dachten wir uns, okay, hier sind sicher ganz viele Leute, die dieses Thema interessiert.
Also reichen wir einen Vortrag dazu ein.
Wir haben uns dann auch super gefreut, dass der Vortrag angenommen wurde. Wir hatten uns überlegt.
Okay, was könnten wir erzählen? Haben ein bisschen was konzipiert. Naja.
Und dann ist die Ampel zusammengebrochen.
Und wir saßen auch ungefähr so da und dachten uns, toll, können wir alles nochmal umwerfen.
Haben wir gemacht.
Und werden euch jetzt ein bisschen was erzählen über den Hintergrund des Computerstrafrechts.
Wo kommt das Ganze überhaupt her? Wo kommen die Probleme her, die wir aktuell haben?
Was sind diese Probleme? Und was ist mit dieser Reform?
Was hat das BMJ vorgeschlagen hat, was hat es damit auf sich?
Und wie wird das vielleicht weitergehen? Was wissen wir bisher jetzt? Wer sind wir?
Mein Name ist Florian Handke. Wir wurden gerade eben schon vorgestellt. Vielen Dank dafür.
Ich bin Doktorand am CISPA, am Helmholtz Center für Informationssicherheit und beschäftige mich hier hauptsächlich eher mit Web-Sicherheit, Web-Sicherheitsthemen und bin so dann in diese ganze rechtliche Schiene auch reingerutscht.
Und ich bin heute hier mit Dennis. Ja, auch von meiner Seite aus ganz herzlich willkommen.
Ich bin Dennis Kipke.
Ich bin Research Director irgendwie am Cyber Intelligence Institute, unschwer erkennbar und Professor für IT-Sicherheitsrecht.
Und wie es irgendwie der Name dann auch schon sagt, habe ich viel mit IT-Sicherheitsrecht zu tun.
Okay. Ja, fangen wir an mit dem Thema. Was lange währt.
Wo kommt das Computerstrafrecht überhaupt her? Es ist tatsächlich schon ziemlich, ziemlich alt.
Die ersten Gesetze in die Richtung wurden schon 1986.
Verabschiedet zum Beispiel der 202 A gegen das Ausspähen von Daten und 303 A, B und C gegen die Manipulation von Daten.
Man hat nämlich damals gemerkt, dass neue Entwicklungen im Wirtschaftsleben zu einem verstärkten Einsatz von Datenverarbeitung in der Wirtschaft kommen und dass hier neue Kriminalitätsformen hervorgebracht werden.
Und um dem entgegenzuwirken, dachte man sich, okay, muss man hier mal was.
Gegen diese Wirtschaftskriminalität tun. Ihr seht, das Ganze ist schon sehr, sehr lange her.
Ich war damals noch gar nicht geboren.
Und bei der Recherche habe ich gesehen, das Wort Internet stand auch noch gar nicht im Duden.
Das war erst zehn Jahre später.
Also man hat damals vielleicht noch nicht an alles gedacht, was wir heute in der modernen Zeit benötigen würden.
Aber Dennis wird dazu vielleicht noch mehr erzählen.
Mit der Zeit ist das Computer, ist Cybercrime immer relevanter geworden.
Auch international, sodass es dann 2001 zu einem Treffen in Budapest kam, zu der sogenannten Budapest Convention.
Hier hat man sich auf ein paar Grundregeln geeinigt.
Grundregeln, die wir auch heute bei uns im deutschen Recht sehen.
Zum Beispiel gab es damals den Artikel 6, oder gibt es immer noch den Artikel 6 dieser Convention, der das Herstellen, Verkaufen, Beschaffen von Tools, die zum Hacken benötigt oder gebraucht werden, die kriminellen Hacken unter Strafe stellen soll.
Das kommt sicher einigen hier auch bekannt vor.
Es steht aber auch explizit darin, dass Tools, die nicht für kriminelle Taten verwendet werden, also zum Beispiel legale Spam-Testen oder Sicherheitsforschung, nicht verboten werden sollen.
Auf Grundlage dieses Vertrags wurde dann 2007, also schon einige Jahre später, ein bisschen was bei uns am Gesetz geändert.
Gesetze geändert und auch neue hinzugefügt.
Zum Beispiel 202b Strafgesetzbuch oder 202c, denn hier vielleicht einige als den Hackerparagraph kennen, unser Pardon zum Artikel 6.
Unser 202c ist sehr weit umfassend, werden wir auch gleich noch sehen, sodass es dazu einige Verfassungsbeschwerden gab.
Und da haben wir auch hier vom CCC dagegen geklagt.
Das Ganze wurde 2009 dann, vom Bundesverfassungsgericht entschieden und sie haben festgestellt, okay, sie wollen jetzt hier nichts am Wortlaut ändern, denn es ist klar, dass dieser 202c sich wirklich nur mit Tools befasst, die für kriminelle Taten benötigt werden.
Das kann man so sehen, kann man da so rauslesen, aber ich bin der Meinung, ich als jemand, der sich mit IT-Sicherheit auskennt, sollte die Gesetze verstehen, ohne ein ganzes Jurastudium abzuschließen.
Naja, aber wir haben immer noch den 202c und Dennis, wie ging es seitdem weiter?
Ja, seitdem ist erst mal relativ wenig passiert, muss man ehrlicherweise sagen, auch wenn man sich mal diese Zeitschiene anschaut, 1986 bis 2009 ist auch schon vorher relativ wenig passiert.
Was dann geschehen ist und das ist auch einer der Gründe, warum wir uns heute hier getroffen haben und drüber sprechen, am 24.11.2021 wird erstmals eine Reform des Computerstraums, des Computerstrafrechts im Koalitionsvertrag erwähnt.
Das ist schon mal ein großer Schritt nach vorne gewesen an der Stelle.
Dann ist erst mal zwei Jahre fast relativ wenig geschehen und dann hat man eben hier am 30.06.2023, 4. Oktober 2023, zwei Symposien durchgeführt, die sich mit der Reform des Computerstrafrechts befasst haben.
Das war im BMJ, da waren eben Vertreter aus der Forschung, aus der Zivilgesellschaft, von Politik,
den Ministerien eingeladen, um eben zu schauen, was sind so die Pain Points im Bereich Computerstrafrecht,
was muss man ändern, welche Punkte muss man eigentlich anfassen und dann hat man sich etwas Zeit gelassen
und dann eben einen Referentenentwurf vorgelegt, zum 4.11.2024, also vor relativ kurzer Zeit,
wurde dieser Referentenentwurf dann auch veröffentlicht und die Kommentierungsfrist ist auch vor kurzem abgelaufen.
Soweit, so gut erst einmal, aber die Frage ist natürlich, um verstehen zu können,
wie eigentlich das Computerstrafrecht tickt, müssen wir uns erst mal überlegen,
wie tickt überhaupt das Strafrecht an der Stelle und deswegen gibt es jetzt einen ganz, ganz kurzen Crash-Kurs,
eine Juravorlesung, erstes Semester Strafrecht an der Stelle, damit man einfach mal so ein bisschen einordnen kann,
was bedeutet das überhaupt hier Computerstrafrecht.
Man kann das hier ganz gut erkennen, was jeder Jurastudent prüfen muss, ist diesen dreistufigen Deliktsaufbau,
also man unterscheidet zwischen Tatbestand, Rechtswidrigkeit und Schuld.
Für uns vor allen Dingen wichtig ist dieser Tatbestand, das heißt, ich muss erst mal schauen,
was ist der objektive Tatbestand, das heißt, was erfülle ich jetzt an Alternativen durch meine Tathandlung,
wie stellt sich das nach außen hin dar und zum anderen,
habe ich vorsätzlich gehandelt oder fahrlässig gehandelt und wenn ich diesen Tatbestand erfüllt habe,
dann ist es grundsätzlich erst mal so, dass vermutet wird, ja, du hast auch grundsätzlich rechtswidrig gehandelt
und dann kann man sich vielleicht an der Stelle die Rechtswidrigkeit wieder nehmen lassen,
indem man zum Beispiel eine Einwilligung vorweisen kann, also gerade im Bereich Pentesting ist das zum Beispiel relevant,
wenn man einen Vertrag geschlossen hat, eben als Unternehmen tätig ist, Pentestings professionell durchführt,
dann entsprechende Vereinbarungen vorab geschlossen hat, die dann dazu führen,
dass man dann doch wieder nicht tatbestandsmäßig gehandelt hat, was umstritten ist und diskutiert wird,
sind so Fragen, dass man sagt, ja, so ein Computersystem, wenn es unsicher im Raum steht, ist das ja irgendwie so eine Dauergefahr,
nicht nur für den Betreiber, sondern auch für die Allgemeinheit, dann gibt es vielleicht so etwas wie Notwehr oder Notstand,
das ist aber hoch umstritten, da kann man sich nicht wirklich drauf verlassen und am Ende muss dann immer gefragt werden,
ja, wenn der Täter, potenzielle Täter, tatbestandsmäßig rechtswidrig gehandelt hat, hat er auch schuldhaft gehandelt,
also kann ihm das irgendwie so individuell vorgeworfen werden.
Also wenn man sich zum Beispiel in rauschartige Zustände zuvor versetzt hat, um dann beispielsweise Systeme auf ihre Cybersicherheit zu überprüfen,
dann wird, also kann ja durchaus vorkommen, dann wird aber am Ende gesagt,
nee, also da müssen wir doch besser auf den Zustand abstellen, der vor dem Rausch bestanden hat, um das bewerten zu können.
Aber es gilt für alle Tatbestände des Cyberstrafrechts auch, dass eben nur vorsätzlich Handeln mit Strafe bedroht ist.
Und das ist hier aus dem StGB auch klar erkennbar, strafbar ist nur vorsätzliches Handeln,
wenn nicht das Gesetz fahrlässiges Handeln ausdrücklich mit Strafe hier bedroht.
Soviel aber auch zum Thema Juravorlesung.
Die nächste Frage, die wir uns stellen müssen, was ist das überhaupt Computerstrafrecht?
Also Florian, du hast eben schon über den Hackerparagrafen gesprochen.
Das ist sicherlich eine zentrale Norm, aber das ist eben nicht die ausschließliche Norm.
Und wenn man da mal so ein bisschen reinschaut, was Strafrecht im deutschen Sinne bedeutet,
dann kann man zwischen einem Kernstrafrecht und einem Nebenstrafrecht unterscheiden.
Und ich habe jetzt hier mal ohne Gewähr auf Vollständigkeit,
sowie Hauptvorschriften aufgelistet, die aus dem deutschen Kernstrafrecht kommen.
Also 202a, Ausspähen von Daten, 202b, Abfang von Daten. Dann der sogenannte Hackerparagraf.
Die Bezeichnung ist so ein bisschen irreführend,
weil letzten Endes geht es bei allen Vorschriften darum, auf Daten Zugriff zu nehmen.
Der befasst sich im Wesentlichen mit Vorbereitungshandlungen.
Dann haben wir zwei Tatbestände, 303a und 303b, die Sonderfälle der Sachbeschädigung sind.
Also wenn man eben nicht nur Einsicht in Daten nimmt,
aber schließlich auch Datenbestände verändert oder Computersabotage durchführt.
Daneben gibt es das sogenannte Nebenstrafrecht.
Und Nebenstrafrecht bedeutet, dass es gesetzliche Regelungen gibt,
die bestimmte Handlungen in Deutschland unter Strafe stellen,
die jetzt aber nicht im StGB drinstehen.
Und da haben wir zum Beispiel das Abhörverbot für Funkanlagen
im sogenannten Telekommunikationen-Digitale-Dienste-Datenschutz-Gesetz.
Jeder Jurist freut sich über diese Formulierung. Bei vielen anderen sieht es anders aus.
Wir haben auch Regelungen zum Verrat von Geschäftsgeheimnissen
und zum Urheberstrafrecht, wenn es zum Beispiel darum geht,
Daten oder Programme zu dekompilieren oder man beispielsweise im Rahmen seiner Tätigkeit
als IT-Sicherheitsforscher einen Zugriff auf eben jene Geschäftsgeheimnisse erlangt.
Und wichtig zu wissen ist, wenn man natürlich auch als Sicherheitsforscher tätig wird,
wann gilt eigentlich das deutsche Strafrecht?
Und da kann man eine relativ einfache Aussage treffen.
Das deutsche Strafrecht, hat hier Professor Brodowski geschrieben,
ist dann anwendbar, wenn die beschuldigte Person in Deutschland gehandelt hat und oder
auch rechtlich relevante Erfolg hierzulande eingetreten ist.
Und jetzt werden wir einmal einen näheren Blick in die einzelnen Vorschriften wagen,
um verstehen zu können, was bedeutet das?
Wir werden uns insbesondere den 202a, den B und den C, also den Hackerparagraphen anschauen.
Der Paragraph 202a ist relativ, auf den ersten Blick relativ klar formuliert
und wir erkennen hier eine Art Systematik wieder.
Also man kann sich so ein bisschen Straftatbestände oder generell Rechtssätze eher so ein bisschen wie Formeln vorstellen,
wie wir es hier in der Tatbestandsmerkmale haben.
Das heißt, man hat bestimmte Variablen, also diese Tatbestandsmerkmale,
und die werden dann mit bestimmten Werten befüllt.
Und wenn diese Werte dann irgendwie zutreffen oder nicht, also eins oder null kann man eigentlich sagen,
dann kommt am Ende das Ergebnis mehr oder weniger raus, hat man sich strafbar erst einmal gemacht oder ist es nicht der Fall.
Und diese Variablen sind hier diese Tatbestandsmerkmale aus diesem objektiven Tatbestand.
Absatz 1, wer unbefugt sich oder einem anderen Zugang zu Daten, die nicht für ihn bestimmt,
und die gegen Unberechtigten Zugang besonders gesichert sind,
unter Überwindung der Zugangssicherung verschafft,
wird mit Freiheitsstrafe bis zu drei Jahren oder mit Geldstrafe bestraft.
Man kann hier ganz gut erkennen, es muss unbefugt sein.
Man verschafft sich Daten, die nicht für einen selbst bestimmt sind,
die gegen unberechtigten Zugang bsonders gesichert sind und das eben unter Überwindung dieser Zugangssicherung.
Was sind Daten? Das wird hier einmal im Gesetz definiert.
Daten im Sinne dieses Absatzes 1 sind nur solche, die elektronisch, magnetisch oder sonst nicht unmittelbar wahrnehmbar gespeichert sind,
sind oder übermittelt werden. Klingt jetzt erstmal irgendwie einschränken, ist aber
ein extrem weit gefasster Begriff. Wenn man in den Paragraphen 202b schaut, der regelt
das Abfangen von Daten, also im Übermittlungsvorgang und das ist ganz ähnlich formuliert, kann
man relativ zügig feststellen. Wer unbefugt, sich oder einem anderen unter Anwendung von
technischen Mitteln nicht für ihn bestimmte Daten, wieder dieser Begriff, aus einer nicht
öffentlichen Datenübermittlung oder aus der elektromagnetischen Abstrahlung einer
Datenverarbeitungsanlage verschafft, also Side-Channel-Attacks, wird eben hier mit
Freiheitsstrafe und so weiter bedroht. Und der 202c regelt eben dieses Vorbereiten, also
Vorbereitungshandlungen des Ausspähens und Abfangens von Daten. Das ist natürlich hier
besonders virulent und da werden wir später auch drüber sprechen, weil es da natürlich
auch um die Frage geht, wann setze ich denn überhaupt mit meinem Handeln, wenn ich IT-Sicherheitsforschung
betreiben will, zu einer Schwelle der Strafbarkeit an. Und das ist hier relativ unklar formuliert
eigentlich auch.
Wer eine Straftat nach 202a oder b, also Ausspähen oder Abfangen von Daten, vorbereitet, indem
er Passwörter oder sonstige Sicherungscodes, die eben Datenzugang ermöglichen, oder Computerprogramme,
deren Zweck die Begehung einer solchen Tat ist, also Hacker-Tools, stellt sich auch das
Problem von Dual Use, kommen wir auch noch darauf zu sprechen, herstellt, sich oder
einem anderen verschafft, verkauft, einem anderen überlässt, verbreitet oder sonst
zugänglich macht, also extrem weit gefasst, wird eben auch hier wieder bestraft an der Stelle.
Und die Frage, die wir uns stellen müssen, ist natürlich nicht nur, was bedeutet das
materiell rechtlich, sondern was bedeutet das auch strafprozessual, also die Bedrohung
endet an der Stelle da natürlich nicht für IT-Sicherheitsforscherinnen, weil es auch
zusätzlich zu den Straftatbeständen strafprozessuale Ermittlungsmaßnahmen zur Aufdeckung von
Computerstraftaten oder potenziellen Computerstraftaten gibt.
Es gibt sogenannte Internetstreifen, die sind allgemein zulässig, gestützt auf Generalabwehrklauseln,
passive Beobachtung.
Beobachtung von Aktivitäten in öffentlichen Datennetzen können die Sicherheitsbehörden
jederzeit durchführen.
Sicherstellung und Beschlagnahme von Datenträgern und Datendurchsuchungen, also unter anderem
auch Hausdurchsuchungen bei Beschuldigten und anderen Personen und hier ein besonders
interessanter Fall natürlich für uns aus der Strafprozessordnung, Durchsicht von Papieren
und elektronischen Speichermedien wird auch als kleine Online-Durchsuchung beschrieben.
Das heißt also, theoretisch ist es auch möglich, dass man eben nicht nur Datenträger beschlagnahmt,
sondern eben auch die Inhalte auf den Datenträgern durchsucht und letzten Endes auch soweit geht,
dass man fernzugängliche Datenträger aufgreift im Rahmen dieser Untersuchung, das heißt
insbesondere Cloud-Speicher oder ähnliche verbundene Datendienste und das Problem an
der ganzen Geschichte ist, dass dafür regelmäßig ein Anfangsverdacht ausreichend ist, das heißt
die bloße Möglichkeit der Begehung einer Straftat ist ausreichend und das sagt dann
der Staatsanwalt schon, ist der Fall, wenn eben zureichende tatsächliche Anhaltspunkte vorliegen.
Das ist der geringste Verdachtsgrad, den es eben hier im Strafrecht bzw. im Strafprozessrecht
gibt. Wenn man mal diese Ausgangslage zusammenfasst, dann kann man relativ schnell feststellen,
es gibt ziemlich viele Gründe, warum wir eigentlich das Computerstrafrecht in Deutschland
dringend reformieren müssen. Ich habe das mal versucht zusammenzufassen.
Erstens, die rechtliche Gefahrenlage, das Handeln von White Hats ist regelmäßig bereits
objektiv tatbestandsmäßig, da kommen wir wieder an diese Dreigliederung ran und damit
natürlich dann auch strafrechtlich relevant. Warum ist das so?
Wir haben eben dieses sehr weit gefasste Verständnis vom Daten im materiellen Strafrecht, also
Computerprogramme sind natürlich genauso erfasst wie sonstige Dateien, die auf der
Festplatte befindlich sind und hinzu kommt oftmals, dass die IT-Sicherheitsforscherinnen
auch nicht die Verfügungsberechtigung über diese Daten haben, weil da relativ klar im
Strafrecht auch gesagt hat, nur derjenige, der die Daten gespeichert hat, ist unabhängig
vom IT-Eigentum, auf dem die Daten dann irgendwie laufen oder angezeigt werden, derjenige, der
vorhanden ist.
Und das ist natürlich insbesondere für die Untersuchung von Quellcode oder Dekompilierung
von Programmen relevant.
Weiterhin wird auch gesagt, das kommt aus der Rechtsprechung, dass eine besondere Sicherung
von Daten, also Überwindung einer Zugangssicherung, nicht nur Passwörter sind, sondern beispielsweise
auch Fälle von Schreib- und Leseberechtigungen erfasst sein können und hinzu kommt, und
das erschwert es letzten Endes weiter, dass ich als IT-Sicherheitsforscherin noch nicht
einmal eine Datenkenntnis genommen haben muss. Sondern.
Das Eindringen in das System ist eben ausreichend, damit sich die Gefahr für das Gesamtsystem
realisiert und theoretisch ist es eben auch möglich, dass ich durch mein Handeln eben
nicht nur Straftatbestände aus dem Computerstrafrecht, das StGB erfülle, sondern auch aus diesem
Nebenstrafrecht, was ich eben skizziert habe, also Geschäftsgeheimnisgesetz, Urheberrechtsverletzungen
und so weiter.
Und wir haben natürlich das Problem, dass in vielen Fällen gerade kein Auftragshandeln
mit irgendeiner Art von Einwilligung vertraglicher Regelung vorliegt, die im Vorfeld getroffen
wurde. Das ist der erste Punkt.
Der zweite Punkt ist Rechtsunsicherheit und das haben wir so ein bisschen anhand der Tatbestände
schon gesehen.
Also hier heißt es Unklarheiten und Widersprüche in der juristischen Auslegung, fehlende Laienverständlichkeit
von Vorschriften und das hattest du ja, Florian, auch richtigerweise konkretisiert.
Wie gehe ich überhaupt damit um, wenn ich mir diese Vorschriften anschaue?
Und der erste Punkt ist, und das ist ein ganz wichtiger Punkt an der Stelle auch, die Rechtfertigung
meines Handelns ist wirklich juristisch hoch umstritten.
Man kann natürlich sagen, ja, durch einen IT-Sicherheitsmangel.
Schwachstelle, Sicherheitslücke, haben wir eine Art von Dauergefahr für viele Menschen
möglicherweise, für erhebliche Vermögenswerte, aber da wird nicht per se gesagt, deswegen
darfst du jetzt in IT-Systeme eingreifen.
Wir haben das Problem Dual-Use-Tools, das ist insbesondere beim Hacker-Paragraphen 202c
StGB relevant, weil eben viele Tools nicht nur zur Förderung der IT-Sicherheit, sondern
theoretisch auch zur Schwächung der IT-Sicherheit ausgenetzt werden können.
Im Paragraphen 202c finden wir keinen Hinweis darauf.
Welche Art von Programmen jetzt strafrechtlich relevant sind oder nicht.
Es gibt zwar eine Rechtsprechung des Bundesverfassungsgerichts dazu, wo eben drinsteht, dass zusätzlich
zur objektiven Eignung eines Hackertools auch die subjektive Absicht hervortreten muss, dieses
eben zur Schädigung einzusetzen, aber das steht nicht im Gesetz, also das kann man
an der Stelle nicht als Laie ableiten, das führt eben zu Rechtsunsicherheit und zusätzlich
kommt hinzu, dass eben auch diese Computerstrafrechtsbestände sogenannte relative Antragsdelikte sind, das
heißt.
Wenn man sagt, er will keine Strafverfolgung einleiten, kann die Staatsanwaltschaft theoretisch
sagen, wir haben besonderes öffentliche Interesse und müssen trotzdem mal eine Strafverfolgung
einleiten. Und last but not least, das ist eigentlich schon fast das Interessanteste, das hier ist
ein Ausschnitt aus der Amtsgericht Jülich-Entscheidung, den Case wird sicherlich fast jeder hier im
Raum kennen, Modern Solution, das ist ja einer dieser extremen Aufhänger auch gewesen
und da hat man gesagt, das Auslesen des Passwortes nach Dekompilierung des Objektcodes in den
Quellcode stellt auch eine Überwindung.
Einer besonderen Zugangssicherung da und da kann man schon ganz, ganz gut erkennen,
was Zugangssicherung bedeutet und wie weit das gefasst ist und das Gericht hat da gesagt,
danach ist ein weites Verständnis des Überwindens einer Zugangssicherung zugrunde zu legen,
bei dem eine Orientierung am technischen Line erfolgt und damit kann theoretisch jedes,
jede technische Eigenschaft irgendwo zu einer Zugangssicherung mutieren.
Der letzte Punkt, den ich ansprechen möchte und das hat man in der Einleitung von Florian
auch schon gesehen.
Ist das Thema Überalterung dieser Rechtsvorschriften, also die Vorschriften sind extremst alt und
wurden seit langer, langer Zeit nicht überarbeitet und entsprechen damit weder dem Stand von Digitalisierung
noch der gestiegenen Bedrohungslage, noch dem erhöhten IT-Sicherheitsbedürfnis.
Die NISA hat dazu im April 2022 eben bestimmt, dass eine veröffentlichte CVD-Richtlinie
eines Unternehmens als Einverständniserklärung für ein Produkt oder Systemtest angewendet
werden kann. NIST 2 und der kommende Cyber Resilience Act.
Sehen das genauso, indem sie ihm sagen, wir brauchen erleichterte, erleichterte Möglichkeiten
für die koordinierte Offenlegung von Schwachstellen, aber das spiegelt sich überhaupt nicht im Computerstrafrecht
wieder.
Und wenn man mal die Vorschriften vergleicht, hier sieht man links 87, hier sieht man Stand
aktuell. Es wurde fast nichts geändert, es wurde im Wesentlichen ja ein paar Sätze an den Anfang
übertragen und es wurde unter Überwindung der Zugangssicherung noch eingefügt.
Das war aber auch schon vorher durch die Rechtsprechung bekannt, also im Wesentlichen
kann man sagen. Das Computerstrafrecht.
Das Computerstrafrecht ist auf dem Status von 1987, über das wir hier zur Zeit reden.
Also kann man sagen, es gibt mehr als genügend Gründe für eine Reform des Computerstrafrechts.
Es wurde auch schon viel dazu publiziert.
Also unter anderem hat bereits der CCT selbst hier einen Bericht an das Bundesverfassungsgericht
bezüglich des Hackerparagrafen geschrieben.
Es gibt ein White Paper zur Rechtslage der IT-Sicherheitsforschung in Deutschland aus
einer multidisziplinären Perspektive.
Und am Ende muss sich der Sicherheitsforscher fragen, melde ich, riskiere ich Risiken für
mich selbst? Melde ich nicht und riskiere Risiken für die Cybersicherheit?
Das Justizministerium hat das in dem Referentenentwurf ganz gut zusammengefasst, indem sie eben gesagt
haben, diese vielen Gründe lassen sich im Wesentlichen in einem Satz widerspiegeln.
Es muss verhindert werden, dass das Strafrecht von Handlungen abschreckt, die im gesellschaftlichen
Interesse erfolgen und daher wünschenswert sind.
Genau dies droht im Falle des Computerstrafrechts und was man jetzt angedacht hat, ja, genau
das ist ganz wichtig.
Die Frage ist, ob wir klatschen können, das ist ja, glaube ich, die große Frage.
Die politische Intention steht fest und das werden wir uns jetzt ganz kurz nochmal anschauen.
Also, wir kennen ja jetzt einige dieser Tatbestände schon, 202a, Aussperren von Daten und man
will da insbesondere dieses Merkmal unbefugt anfassen, das genauso in § 202b, den wir
auch schon kennen und in 303a, der ist jetzt neu, das ist eben dieser Fall der Datenveränderung
als Sonderfall der Sachbeschädigung.
Und was das Justizministerium jetzt gemacht hat im Hinblick auf diese drei Tatbestände
des Kern-Computerstrafrechts ist folgendes, man hat sich überlegt, man lässt eigentlich
alles im Wesentlichen so, wie es ist, aber sagt, unter bestimmten Kriterien handelt man
nicht unbefugt, also das Handeln für IT-Sicherheitsforschung ist nicht unbefugt, wenn sie hier die Handlung
in der Absicht erfolgt, eine Schwachstelle oder ein anderes Sicherheitsrisiko eines IT-Systems
festzustellen und die für das IT-System Verantwortlichen, den betreibenden Dienstleistern, den Betreibern,
den Anleistern des jeweiligen Systems, den Hersteller der betroffenen IT-Anwendung oder
das BSI über die festgestellte Sicherheitslücke zu unterrichten und diese Handlung hier zur
Feststellung der Sicherheitslücke erforderlich ist.
Das ist eigentlich die Änderung im Computerstrafrecht und diese Änderung hat man dann übertragen
einfach auf die weiteren Absätze, indem man gesagt hat, ja, es gilt eben hier auch für
andere Straftatbestände, nämlich § 202b und hier § 303a, das ist eigentlich die gesamte Änderung.
Frage ist, wie machen es andere?
Dankenswerterweise hat der wissenschaftliche Dienst des Bundestages ein Gutachten verfasst,
wo man eben hier die Strafbarkeit des Hackings, in Anführungszeichen, im internationalen
Vergleich analysiert hat und da kann man eigentlich sehen, viele Staaten machen das ganz ähnlich.
Ich habe jetzt mal das Beispiel Niederlande hier rausgegriffen, da wird es eher prozessual
gelöst, aber mit ähnlicher Argumentation, also gleichzeitig werden Organisationen und
Unternehmen ermutigt, Richtlinien zur Meldung von Schwachstellen in ihren IKT-Systemen
festzulegen, an welche Sicht die ethischen Hacker zu halten haben, werden Handlungen
eines ethischen Hackers von einer Organisation ohne Richtlinien zur Meldung von Schwachstellen
angezeigt, so betrachtet die Staatsanwaltschaft den ethischen Hacker nicht sofort als Verdächtigen,
findet ein ethischer Computerhacker eine Schwachstelle im IKT-System einer Organisation
und meldet dies derselben Organisation, so wird grundsätzlich keine strafrechtliche
Untersuchung durchgeführt, es wird aber untersucht, ob im Rahmen eines wesentlichen soziales
Interesses gehandelt wurde.
Es wurde verhältnismäßig vorgegangen ist und das Erfordernis der Subsidiarität eingehalten wurde.
Also ganz ähnlich wie im deutschen Recht und wenn man das Ganze jetzt mal zusammenfasst,
also einerseits politischen Wunsch, tatsächlich Realität dieses Änderungsvorschlags gegenüberstellt,
kann man eben feststellen, also erstens, was schon mal positiv grundsätzlich ist,
ist, dass wir im Tatbestandsausstoß bei fehlender Unbefugtheit handeln, also ich handele schon
nicht mehr tatbestandsmäßig, unabhängig, ob jetzt irgendwie für die vertraglichen
Regelungen oder Einwilligungen da sind. Ich muss aber handeln.
In der Absicht, eine Sicherheitslücke festzustellen, die Sicherheitslücke soll responsible gemeldet
werden und ich muss beurteilen, als Hacker war das Vorgehen erforderlich zur Feststellung
dieser Sicherheitslücke.
Und da würde ich jetzt nämlich dann wieder an dich übergeben, Florian, mit deiner Erfahrung,
da kannst du uns einiges erzählen, denke ich. Genau.
Ist das Ganze denn so gut, wie jetzt eben gerade dargestellt?
Als erstes frage ich mich natürlich hier zum Begriff der Erforderlichkeit.
Was ist Erforderlichkeit? Wo sind die Grenzen? Das Erforderliche?
Und aus meiner Forschung, wo ich mit vielen anderen Experten und Expertinnen schon diskutiert
habe, ist mir aufgefallen, es ist oft nicht so ganz klar, was ist denn jetzt wirklich erforderlich,
um eine Schwachstelle nachzuweisen? Denken wir zum Beispiel mal an eine SQL Injection.
Reicht das aus, hier einfach ein Select 1 plus 1 auszuführen, um eine 2 zurückzubekommen?
Oder sollte ich doch lieber auf Nummer sicher gehen? Und einmal die ganze Datenkarte.
Ich meine, bei einem Select 1 plus 1 kann auch durch irgendeine ganz komische Code-Logik
auf der Serverseite einfach eine 2 zurückgegeben werden und ich melde eine False Positive an
die Entwickler und Entwicklerinnen und ich möchte sie ja auch nicht unnötig stressen.
Auf der anderen Seite, die gesamte Datenbankdumpen ist irgendwie mit der Hackerethik nicht so
ganz vereinbar. Man will ja nicht in den Daten fremder Leute rumwühlen.
Also vielleicht einfach einzelne Datensätze extrahieren. Einen oder zwei, wo ist hier die Grenze?
Oder was ist, wenn ich an der Datenbankversion sehe, es ist möglicherweise eine Remote-Code-Execution
möglich.
Sollte ich die dann ausführen, ist es erforderlich, einen Code auf dem Server der Entwickler,
der Entwicklerin auszuführen?
Wir sehen, erforderlich ist nicht genau definiert im Gesetz und das ist auch wirklich schwierig,
das Ganze zu definieren.
Und wir müssen uns am Ende wahrscheinlich auf die Güte des Richters oder der Richterin vertrauen.
Und können wir darauf vertrauen, solange wir das Gesetz jetzt gebraucht hat, um mal
ein Vorschlag dafür gemacht zu werden oder was wir mit dem Fall Modern Solutions sehen,
bin ich mir hier leider nicht so ganz sicher.
Dann stand im Gesetz, dass Sicherheitslücken gemeldet werden sollten und das finde ich
durchaus sehr gut.
Aber ich finde, es sollte so gut wie jede Sicherheitslücke, die man findet, gemeldet werden.
Und hier möchte ich auch gar nichts kritisieren, sondern kurz einen kleinen Exkurs machen für
die Leute, die nicht wissen, wie Responsible Disclosure geht. Wie funktioniert das Ganze?
Der Exkurs ist aber wirklich bloß ganz, ganz kurz.
Ich verweise hier an einen Vortrag von Zerforschung, der das ganze Thema nochmal größer aufarbeitet.
Oder ich glaube, heute später im Verlauf des Tages gibt es auch nochmal einen Vortrag
zu Responsible Disclosure. Also, wie funktioniert das Ganze?
Zuerst einmal muss man natürlich was finden, dann freut man sich meistens erstmal, hat
Adrenalin, hat was gefunden, cool.
Dann sollte man das Ganze nochmal reproduzieren, weil es kann ja durchaus sein, dass das irgendwie
bloß Zufall war oder man doch was nicht ganz richtig verstanden hat.
Also nochmal reproduzieren und dann das Ganze aufschreiben.
Einmal aufschreiben, was hat man gefunden, wie ist das Ganze zu reproduzieren, was sind,
äh, was, was ist das? Was ist der Impact von dem Ganzen, was erfolgt daraus?
Und vielleicht, wenn man auch Tipps hat, wie kann man das Ganze fixen?
Und dann gibt es verschiedenste Wege, das zu reporten.
Man kann es entweder direkt an den Hersteller, äh, senden, vielleicht findet man eine Kontakt-E-Mail
in der Security-TXT, falls der Hersteller sowas hat, äh, haben leider nicht so viele
Backbautree-Plattformen, bieten sowas an, aber hier immer ein bisschen aufpassen, äh,
NDAs und so, möchte man nicht unbedingt unterschreiben. Oder man kann das Ganze auch fixieren.
Man kann das Ganze auch anonym melden über den CCC, sie bieten hier eine E-Mail-Adresse
an, BSI oder Z-Bund, ähm, mehr Informationen dazu in den genannten Talk.
Dann wird das Ganze hoffentlich behoben.
Falls nicht, verweise ich nochmal auf den Talk, äh, aber hoffen wir mal, dass es behoben
wird und dann kann man danach, wenn man will, dazu was veröffentlichen. Soviel dazu.
Aber kommen wir wieder zurück zum Gesetzesentwurf.
Und im Begriff Absicht, denn es steht in dem Gesetzesentwurf, dass man mit der Absicht,
äh, gehandelt haben soll, eine Sicherheitslücke festzustellen.
Und jetzt frage ich mich, wenn die Polizei bei mir anklopft und sagt, hier, einmal Hausdurchsuchung
bitte, wie, wie beweise ich meine gute Absicht?
Und wie lässt sich das Ganze von unbefugten Handeln dann vielleicht abgrenzen? Und, ähm, ja.
Was muss ich dafür tun? Sollte ich alles genauestens dokumentieren, was ich tue?
Was genau soll ich dokumentieren?
Ich kann ja auch nicht jeden Schritt, den ich, oder jede Tätigkeit, die ich am Rechner
durchführe, genauestens dokumentieren.
Ich meine, ich sitze den ganzen Tag vor meinem Laptop, äh, kann ich nicht Protokoll führen
und sagen, äh, jetzt habe ich hier irgendwie die und die URL aufgerufen.
Also, was soll man hier genau dokumentieren? Eine andere Überlegung wäre, äh.
Sachen vorab anzumelden, falls man bestimmte Hacks vorhat, sowas vorab anzumelden.
Aber hier ist dann die Frage, wie sieht das Ganze mit Privacy aus, falls man das bei irgendeiner
Behörde anmelden sollte? Oder oft findet man ja auch eher Zufallsfunde.
Also, das Ganze Vorab-Anmeldung ist dann doch eher was für mich als Sicherheitsforscher
oder Forscherin, wenn ich eine Forschungsfrage im Kopf habe und das Ganze einmal vorab anmelden
kann. Aber ich glaube für den privaten White Hat.
Ist so eine Vorab-Anmeldung vielleicht doch nicht das Richtige.
Zum Beispiel hier, schauen wir uns das mal an, ähm, wen von euch juckt es denn hier jetzt
schon in den Fingern, die 1338 auf eine 1337 zu ändern?
Also, wenn ich sowas sehe, dann ändere ich sofort die ID.
Und plötzlich sehen wir die Party-Bilder von einer anderen Person oder von einem anderen
Hund hier, äh, auf die wir eigentlich keinen Zugriff haben sollten.
Und ich habe mir in dem Moment ja sicher nicht gedacht. Okay.
Ich ändere jetzt die ID und danach reporte ich das gleich oder dokumentiere das in dem
Moment, was ich mache. Also, was ist mit so Zufallsfunden?
Letztendlich kommt es hier wieder auf den Richter oder die Richterin an, welche wir
davon überzeugen müssen, dass wir nicht unbefugt gehandelt haben.
Hier sollte dringend nachgebessert werden und klarere Regeln festgestellt werden.
Und wie ist das jetzt?
Das, ähm, Bundesministerium der Justiz hat, ähm, das Bundesministerium der Justiz hat,
ähm, in einem Referentenentwurf festgestellt, dass, ähm, Handlung nicht abgeschreckt werden
soll, die im gesellschaftlichen Interesse erfolgt. Ähm, haben Sie das Ziel erreicht?
Hier gibt's viele Statements und, ähm, viel Kritik dazu, unter anderem von der Gesellschaft
für Informatik, von AG Kritis oder Dennis hat auch was dazu geschrieben.
Und generell, denke ich, ist der Konsens da, dass wir sagen, es ist ein Schritt in die
richtige Richtung. Aber wir haben gerade eben gesehen, es ist noch nicht ausreichend.
Die beiden Punkte, die ich gerade angesprochen habe, sind, denke ich, die wichtigsten Punkte,
die kritisiert werden. Wir haben aber auch noch andere Punkte.
Dennis hat schon angesprochen, ähm, die Strafverfolgung, so die Hausdurchsuchung,
das ist nicht Teil des Strafgesetzbuches, sondern Teil der Strafprozessordnung.
Und die Gefahr ist immer noch da.
Und aus Gesprächen mit anderen Hackern und Hackerinnen weiß ich, dass genau dieses Risiko,
der Grund ist, wieso sie sich nicht auf Suche nach Schwachstellen begeben, im gesellschaftlichen
Interesse handeln oder Sachen, die sie gefunden haben, einfach für sich behalten und nicht melden.
Und das sollte dringend geändert werden.
Der 202c, den wir vorhin kritisiert haben, hat Dennis nicht in der Reform erwähnt, weil
hier nichts geändert werden wird. Die Frage ist, warum?
Ja, es wird ein bisschen erklärt in dem Referentenentwurf. Aber ich bin der Meinung.
Es sollte für den Laien verständlich gemacht werden.
Und andere Themen, die Dennis auch schon angesprochen hat, Geschäftsgeheimnis und Urheberrecht für
Themen wie Remarks Engineering oder das Abhörverbot von Funkanlagen, sollten auch geändert werden.
Gut. Aber jetzt haben wir diese Reformen.
Es ist noch nicht alles gut, aber wir haben wenigstens eine Reform. Und was jetzt?
Ich meine, wir wissen alle. Ja. Wir wissen, dass die Koalition zerbrochen ist.
Die Ampel hat sich zerstritten.
Und der Gesetzesentwurf, so wie wir ihn jetzt vorliegen haben, steht erstmal auf Eis, wird
so erstmal nicht kommen. Das Ampel aus im November.
Die Regierung hat aber erstmal so weitergemacht und bis zum 16.12. konnten noch Stellungnahmen
eingereicht werden zum Gesetzesentwurf. Deswegen haben wir hiervon einige Stellungnahmen gesehen.
Ob die irgendwas ändern werden? Wir wissen es nicht genau. Denn am 23.02. sind Neuwahlen.
Und Neuwahlen bedeutet, dass wieder alles neu anfangen wird.
Das Thema Computerstrafrecht muss erstmal wieder auf die Agenda gebracht werden.
Es muss erstmal wieder eine neue Gesetzesentwurfung vorliegen.
Entwurf entwickelt werden und ja, das ist jetzt erstmal nicht ganz klar, ob das kommen wird.
Aber vielleicht ist es auch gar nicht so schlecht, weil Neuwahlen bedeuten ein neuer Anfang,
aber auch neue Chancen mit einem neuen Gesetzesentwurf, die eben genannte Kritik besser zu adressieren.
Wir bleiben auf jeden Fall dran. Mit ein paar Kollegen hatte ich mal einen Öffnungsantrag.
Ich habe einen offenen Brief formuliert, findet man auf SciSecReform.jetz, den wir dann verwerfen
mussten. Aber wir werden sicher dranbleiben und bei Dennis könnt ihr sicher auch was dazu lesen.
Wir bleiben dran, denn ich persönlich habe als Hacker keine Lust, weiterhin dem Risiko
ausgesetzt zu sein, für Taten im gesellschaftlichen Interesse am Ende verurteilt zu werden.
Dankeschön. Vielen Dank. Vielen Dank. Vielen Dank. Vielen Dank.
Ja, vielen Dank für diesen supertollen, auch sehr praxisrelevanten Vortrag und ich
würde sagen, ach komm, noch ein bisschen Applaus, oder?
Und wir hätten sogar noch Zeit für mindestens eine Frage. Haben wir eventuell eine Frage?
Ja, bitte. Eine Frage aus dem Cyberspace. Ja?
Heißt das, wenn der Verdacht auf Vorhandensein einer Software, so was wie Aircrack-NG, besteht,
ist es fair game, meinen PC zu beschlagnahmen, zu durchsuchen, etc.?
Wie sieht es aus mit Instruktionen, diese Software zu installieren, also Repositories
in jeder gängigen Linux-Distribution zum Beispiel? Soll ich das beantworten? Ja. Ja.
Also ich denke, das ist so ein bisschen eine Frage, die auf den juristischen Hintergrund abzielt.
Also generell ist der Besitz einer solchen Software erst einmal nicht strafbar grundsätzlich.
Das muss man, glaube ich, dazu sagen.
Es kommt eben auf die Intention an, das Produkt zu missbrauchen, also eben die Cybersicherheit
zu schwächen, IT-Systeme anzugreifen.
Wenn ich nichts weiß, dass das möglicherweise missbraucht werden könnte, wenn ich selbst
nicht die Intention habe, dass es missbraucht werden könnte, kann man auch nicht an der
Stelle grundsätzlich, würde ich sagen, von einem Anfangsverdacht reden, jetzt überhaupt
IT-Systeme zu durchsuchen, Hausdurchsuchungen oder ähnliches anzusprechen.
Das ist natürlich eine Frage, die man sich auch noch mal anzuordnen kann.
Anders sieht es natürlich schon aus, wenn sich auf irgendeine Art und Weise ein Handeln
stärker nach außen manifestiert hat. Dann müsste man das, glaube ich, noch mal neu beurteilen.
So, und dann hätten wir noch eine Frage am Mikro, Nummer eins.
Was wären eurer Meinung nach Anzeichen für Good Intentions, dass man nicht böse rangeht,
sondern gut? Muss man dafür schon mal Responsible Disclosure gemacht haben oder?
Ja, das habe ich mich tatsächlich auch gefragt.
Ich denke, wenn man schnell das Ganze meldet, was man findet, also innerhalb des nächsten
Tages oder nächsten zwei Tage vielleicht, dann deutet man ja seine Good Intention an.
Ich denke, das wäre schon mal der richtige Schritt. Aber ja, im Gesetz steht dazu nichts genau.
Deswegen ist das leider nicht so ganz klar.
Genau, das ist, glaube ich, das richtige Problem, auf was du angesprochen hast.
Man kann da vielleicht noch so ein bisschen auf das Vorgehen der Niederländer verweisen.
Also, da würde ich insbesondere auf dieses Gutachten des wissenschaftlichen Dienstes
vom Bundestag verweisen, weil sich in einigen anderen europäischen Mitgliedsstaaten durchaus
ganz sinnvolle Best Practices entwickelt haben, um eben diese Good Intention nachzuweisen,
dass eben, wenn eine bestimmte Person Untersuchungen der Cybersicherheit oder Meldungen vornehmen,
dann nicht per se gesagt wird, wir starten jetzt eine Strafverfolgung mit allen strafprozessualen
Ermittlungsinstrumenten, die wir gesehen haben.
Und das wäre vielleicht auch wünschenswert für eine Reform des Computerstrafrechts. Ein paar, ja.
So. Hätten wir noch eine letzte Frage aus dem Netz.
Genau, es ging vorhin um Zugangsdaten, wenn man eine Binary Reverse ingeniert wegen den Zugangsdaten.
Aber gilt das auch generell? Also ist der Code der Binary zum Beispiel auch besonders geschützt?
Ja, also ich meine, wir haben ja verschiedene Ebenen der Strafbarkeit. Das haben wir eben gesehen.
Wir haben dieses allgemeine Strafgesetzbuch mit dem Computerstrafrecht drin.
Wir haben aber eben dieses Nebenstrafrecht, wo eben auch Schutz von Geschäftsgeheimnissen,
Urheberrechtsverstöße sanktioniert werden.
Und wenn ich eben anfange, eine Software zu dekompilieren, dann bewege ich mich ganz eindeutig in diesen Bereich
Geschäftsgeheimnisschutz, Urheberstrafrecht rein.
Und da muss man ehrlicherweise sagen, da ist schon fast noch mehr Unsicherheit eigentlich als im Kernstrafrecht,
als wir das vorfinden können. Und das Problem ist auch noch,
dass das Urheberstrafrecht nicht so ohne weiteres national einfach reformiert werden kann,
weil wir da eine europarechtliche Überformung haben, weil es auf der Software-Richtlinie basiert
und die eben solche Ausnahmen zurzeit nicht vorsieht, weil sie auch eigentlich uralt ist,
muss man vielleicht auch dazu sagen.
Und da müsste man vielleicht nicht nur auf den deutschen Gesetzgeber einwirken,
sondern auch auf die europäische Politik sich dieses Themas anzunehmen,
wo man jetzt ja so viel Cybersecurity mit IS-2 und Cyber Resilience Act und so weiter reguliert.
Das wäre vielleicht ein Punkt, den man da auch nochmal mitnehmen könnte in die Richtung.
Ja, kann ich nur zustimmen. Ja, und damit würde ich sagen, lieber Dennis, lieber Florian,