Ethisches Hacken: Raus aus der Grauzone

Was geschehen ist – die Kernmeldung

Die Gesellschaft für Informatik (GI) hat ein wegweisendes Positionspapier vorgelegt, das eine dringende Reform des deutschen Computerstrafrechts einfordert. Im Zentrum steht die rechtliche Absicherung von Sicherheitsforschenden, den sogenannten „White Hats“. Diese Experten identifizieren Schwachstellen in IT-Systemen und melden diese verantwortungsbewusst, um die digitale Infrastruktur vor Angriffen zu schützen. Bisher bewegen sich diese Personen in einer prekären rechtlichen Grauzone, da das seit 2007 geltende Strafrecht viele ihrer notwendigen Werkzeuge und Techniken kriminalisiert. Die GI warnt eindringlich davor, dass diese Situation die IT-Sicherheit gefährdet, da Sicherheitslücken ungefiltert bleiben und so von kriminellen Akteuren oder fremden Geheimdiensten ausgenutzt werden können. Das Papier, das unter Beteiligung von Industrie, NGOs und Forschenden entstand, schlägt konkrete gesetzliche Anpassungen vor, um ethisches Hacken zu legalisieren und den Schutz des Gemeinwohls über eine veraltete Kriminalisierung zu stellen. Die Forderung ist klar: Statt Strafanzeigen und rechtlicher Verfolgung benötigen ehrenamtliche Sicherheitsforscher eine rechtssichere Basis, um ihre Arbeit zum Wohle der Gesellschaft verrichten zu können.

Die Einzelheiten der Problematik

Die rechtliche Unsicherheit für Sicherheitsforschende ist kein theoretisches Problem, sondern gelebte Realität. Ein prominentes Beispiel ist der Fall der Forscherin Lilith Wittmann, die nach dem Aufdecken einer gravierenden Sicherheitslücke in einer CDU-App mit einer Anzeige konfrontiert wurde. Obwohl Wittmann die Lücke nicht ausnutzte, sondern die Partei informierte und ihr Zeit zur Behebung gab, sah sie sich juristischen Konsequenzen gegenüber. Die GI betont, dass das Computerstrafrecht in seiner aktuellen Form Werkzeuge kriminalisiert, die für die Analyse von Software essenziell sind, etwa Programme zum Dekompilieren. Laut dem Papier, das am 26. August 2026 durch den GI-Präsidenten Martin Wolf vorgestellt wurde, müsse die Absicht des Handelns zum zentralen Kriterium werden. Wolf, der als IT-Experte in Aachen lehrt, unterstreicht, dass die Bedrohungslage durch KI-Systeme das Risiko für unentdeckte Schwachstellen massiv erhöht. Die aktuelle Gesetzeslage, einschließlich des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG), wirke dabei kontraproduktiv, da sie das Melden von Schwachstellen faktisch erschwere, selbst wenn die Ursache beim Hersteller liegt.

Hintergrund der Debatte

Die Diskussion um das Computerstrafrecht ist keineswegs neu, doch die bisherigen politischen Bemühungen blieben Stückwerk. Über Jahre hinweg gab es zwar parteiübergreifende Erkenntnisse darüber, dass die geltenden Paragrafen mehr Probleme verursachen, als sie lösen, doch eine wirksame Reform blieb aus. Die Ampelregierung kam in der Vergangenheit nicht über einen Referentenentwurf hinaus, der die umstrittenen Hacker-Paragrafen entschärfen sollte. Auch frühere Regierungsversprechen, etwa der schwarz-roten Koalition, Rechtssicherheit für die IT-Sicherheitsforschung zu schaffen, blieben lediglich nebulöse Absichtserklärungen ohne konkrete Umsetzung. Die GI hat nun die Initiative ergriffen, um die festgefahrene Debatte neu zu beleben. Die historische Entwicklung zeigt, dass das Gesetz von 2007 den technologischen Fortschritt und die heutige Bedeutung von Sicherheitsforschung nicht mehr adäquat abbildet. Die zunehmende Komplexität von IT-Infrastrukturen und die wachsende Professionalität von Cyberkriminellen haben den Druck auf den Gesetzgeber erhöht, den Status quo zu überdenken und eine rechtssichere Umgebung für die „White Hats“ zu schaffen.

Die Beteiligten und ihre Rollen

In der Debatte um die Reform des Computerstrafrechts sind verschiedene Akteure involviert. Die Gesellschaft für Informatik (GI) agiert hierbei als treibende Kraft und Vermittlerin, die verschiedene Interessengruppen wie die Industrie, zivilgesellschaftliche NGOs und die Sicherheitsforschenden selbst an einen Tisch gebracht hat. Martin Wolf, der Präsident der GI und Professor in Aachen, fungiert als wichtigster Sprecher der Initiative und betont die Notwendigkeit einer schnellen gesetzgeberischen Reaktion. Auf der anderen Seite steht die Bundesregierung, die bisher durch unzureichende Entwürfe und vage Versprechen aufgefallen ist. Zudem spielt die Rolle von Sicherheitsforschenden wie Lilith Wittmann eine zentrale Rolle, deren Erfahrungen als mahnendes Beispiel für die Defizite des aktuellen Systems dienen. Auch das Bundesamt für Sicherheit in der Informationstechnik (BSI), vertreten durch Präsidentin Claudia Plattner, ist in den Diskurs eingebunden, insbesondere durch die Einordnung der aktuellen Sicherheitslage als Beginn einer neuen „Zeitrechnung der Cybersicherheit“. Diese Akteure bilden das Spannungsfeld zwischen notwendiger Innovation, staatlicher Regulierung und dem Schutz digitaler Freiheitsrechte.

Einordnung der aktuellen Lage

Einzuordnen ist die Forderung der GI als notwendige Reaktion auf eine sich dramatisch verschlechternde Sicherheitslage. Den Berichten zufolge stieg die Zahl der gemeldeten Schwachstellen im ersten Quartal 2026 weltweit um 25 Prozent im Vergleich zum Vorjahr. Die wirtschaftlichen Schäden für deutsche Unternehmen gehen jährlich in die hunderte Milliarden Euro. Die GI bewertet die aktuelle Situation als kritisch, da neue Technologien wie KI-Modelle zwar bei der Verteidigung helfen, aber auch von Angreifern genutzt werden, um unbekannte Lücken schneller zu finden. Ein besonderes Risiko sehen Experten im sogenannten „Vibe-Coding“, bei dem Laien durch einfache Anweisungen an KI-Systeme Software entwickeln, was oft zu fehlerhaftem und unsicherem Code führt. Die Legalisierung von ethischem Hacken wird daher nicht nur als Schutzmaßnahme für Forscher gesehen, sondern als strategische Notwendigkeit, um die Cybersicherheit in Deutschland insgesamt auf ein höheres Niveau zu heben. Die GI argumentiert, dass die Anerkennung der Arbeit von „White Hats“ ein wesentlicher Baustein für eine resiliente digitale Infrastruktur ist.

Offene Fragen und Lücken im Diskurs

Obwohl das Papier der GI einen detaillierten Fahrplan liefert, bleiben einige Fragen im Quelltext unbeantwortet. So bleibt unklar, wie genau die Bundesregierung auf die Forderungen reagieren wird und ob es einen konkreten Zeitplan für ein neues Gesetzgebungsverfahren gibt. Der Text benennt zwar das Ziel, die „Absicht“ als Kriterium zu etablieren, lässt jedoch offen, wie eine solche Absicht im juristischen Sinne zweifelsfrei nachgewiesen werden soll, ohne die Beweislast für die Forschenden zu erhöhen. Ebenso bleibt die Frage offen, wie eine „aktive Meldekultur“ konkret staatlich gefördert werden kann, ohne die Unabhängigkeit der Sicherheitsforschenden zu gefährden. Auch die genaue Ausgestaltung der Schnittstelle zum „Cyber Resilience Act“ der EU wird im Quelltext nur skizziert; wie die Meldepflichten für Hersteller und die ehrenamtliche Forschung in der Praxis ineinandergreifen sollen, ist noch nicht im Detail ausgearbeitet. Diese Lücken deuten darauf hin, dass die Debatte nach der Veröffentlichung des Papiers erst in eine neue, intensivere Phase eintritt.

Wie es weitergeht

Die GI fordert die Bundesregierung auf, zügig einen Reformprozess unter Beteiligung aller betroffenen Gruppen einzuleiten. Als Vorbild für eine mögliche Neuausrichtung dient Polen, das laut der GI den in Europa liberalsten Ansatz verfolgt und Personen, die ausschließlich zum Schutz von Systemen handeln, ausdrücklich von der Strafbarkeit ausnimmt. Ein weiterer Ansatzpunkt für die Politik ist der „Windschatten des Cyber Resilience Act“. Die GI schlägt vor, die bestehenden Meldepflichten für Hersteller und Betreiber auf externe und ehrenamtliche Sicherheitsforschende auszuweiten, um eine geregelte und sichere Kommunikationsstruktur zu schaffen. Ob und wann die Regierung diese Vorschläge in einen konkreten Gesetzesentwurf gießen wird, bleibt abzuwarten. Der Druck auf die Politik wächst jedoch, da die Bedrohungslage durch KI-gestützte Angriffe und die steigende Zahl an Schwachstellen kaum Spielraum für weitere Verzögerungen lässt. Die Legalisierung ethischen Hackens steht damit als zentraler Punkt auf der Agenda für die kommenden Monate, wobei die Einbindung der Fachgesellschaften als entscheidender Faktor für den Erfolg der Reform gilt.