IT-Sicherheit: GI fordert Legalisierung von ethischem Hacken

Was geschehen ist: Der Vorstoß der Gesellschaft für Informatik

Am 25. August 2026 hat die Gesellschaft für Informatik e.V. (GI) eine deutliche Forderung an die deutsche Bundespolitik gerichtet. In einem neu veröffentlichten Whitepaper plädiert der Verband für eine grundlegende Reform des bestehenden Computerstrafrechts. Im Zentrum steht dabei die Forderung nach einer gesetzlichen Entkriminalisierung des sogenannten ethischen Hackens. Die GI sieht in der aktuellen Rechtslage ein erhebliches Hindernis für die IT-Sicherheit in Deutschland. Sicherheitsforscher, die ehrenamtlich nach Schwachstellen in IT-Systemen suchen, bewegen sich derzeit oft in einer rechtlichen Grauzone oder riskieren sogar Strafverfolgung. Die GI fordert daher, dass diese Tätigkeit, die für die Abwehr von Cyberangriffen durch Kriminelle oder staatliche Akteure essenziell ist, künftig explizit legalisiert wird. Dieser Vorstoß markiert den Höhepunkt einer langjährigen Kritik an der deutschen Gesetzgebung, insbesondere an den Paragrafen, die seit 2007 die Verbreitung und Nutzung von Hacking-Tools unter Strafe stellen. Die Forderung ist als dringender Appell an die Bundesregierung zu verstehen, die im Koalitionsvertrag zwar bereits Rechtssicherheit für die Cybersicherheitsforschung versprochen hat, bisher jedoch konkrete legislative Schritte vermissen ließ.

Die Einzelheiten: Zahlen, Namen und internationale Vorbilder

Die Argumentation der Gesellschaft für Informatik stützt sich auf eine breite Basis an Konsultationen, an denen neben dem Verband selbst auch Akteure aus der Industrie, spezialisierte Sicherheitsforscher sowie diverse digitalpolitische Nichtregierungsorganisationen (NGOs) beteiligt waren. Martin Wolf, der Präsident der GI, fungiert dabei als zentraler Sprecher für das Anliegen. Er unterstreicht, dass die aktuelle Rechtslage eine kontraproduktive Wirkung entfaltet: Statt Anerkennung und Unterstützung erfahren ehrenamtliche Experten oft Strafanzeigen. Als positive Beispiele für eine gelungene gesetzliche Neuregelung führt die GI explizit Polen und Belgien an. Diese Länder haben bereits Wege gefunden, wie Sicherheitsforschung rechtssicher gestaltet und die Arbeit der ehrenamtlichen Experten gewürdigt werden kann. Die Kritik der GI richtet sich insbesondere gegen die im Jahr 2007 eingeführten Bestimmungen im Strafgesetzbuch, die den Umgang mit Werkzeugen zur IT-Sicherheitsanalyse kriminalisieren. Die Forderungen des Whitepapers sind dabei nicht als isolierte Gesetzesänderung zu verstehen, sondern als Teil eines ganzheitlichen Ansatzes. Dieser umfasst neben der juristischen Entkriminalisierung auch die Etablierung eines wirkungsvollen Meldeverfahrens sowie die Förderung einer aktiven Meldekultur, um entdeckte Sicherheitslücken effizient schließen zu können.

Hintergrund: Der lange Weg zur Reformforderung

Die Debatte um das Computerstrafrecht in Deutschland ist kein neues Phänomen, sondern das Ergebnis einer über Jahre gewachsenen Unzufriedenheit innerhalb der IT-Fachwelt. Seit der Verschärfung der Gesetze im Jahr 2007, die primär darauf abzielte, den Missbrauch von Hacking-Tools zu unterbinden, hat sich die digitale Bedrohungslage massiv verändert. Die GI weist darauf hin, dass die damalige Gesetzgebung die Realität der modernen Cybersicherheit nicht mehr abbildet. Während die Bedrohungen durch Kriminelle und staatliche Akteure zunehmen, hat sich die Rolle der ehrenamtlichen Sicherheitsforscher als unverzichtbare Verteidigungslinie etabliert. Die GI kritisiert seit Langem, dass das Gesetz zwischen böswilligen Angriffen und konstruktiver, sicherheitsorientierter Forschung kaum unterscheidet. Dies hat dazu geführt, dass sich viele Experten aus Sorge vor rechtlichen Konsequenzen zurückhalten oder ihre Erkenntnisse nicht an die betroffenen Stellen melden können. Die aktuelle Initiative ist somit das Resultat eines langjährigen Prozesses, in dem die GI versucht hat, die Politik davon zu überzeugen, dass eine resiliente Gesellschaft auf die Expertise derer angewiesen ist, die Schwachstellen finden, bevor sie ausgenutzt werden können. Die jetzige Veröffentlichung des Whitepapers ist der Versuch, diesen Prozess durch konkrete Lösungsansätze zu beschleunigen.

Die Beteiligten: Wer sich für die Reform stark macht

Die Initiative wird von einem breiten Bündnis getragen, das die Gesellschaft für Informatik als zentrale koordinierende Instanz anführt. Präsident Martin Wolf nimmt dabei eine Schlüsselrolle ein, indem er die Dringlichkeit der Lage öffentlichkeitswirksam unterstreicht. Er weist insbesondere auf die wachsende Gefahr durch den Missbrauch von KI-Systemen hin, die das Risiko für IT-Infrastrukturen weiter verschärfen. An den Konsultationen, die dem Whitepaper zugrunde liegen, waren verschiedene Gruppen beteiligt, deren Interessen sich in den Forderungen widerspiegeln. Dazu gehören Vertreter aus der Industrie, die ein vitales Interesse an sicheren Systemen haben, sowie die Sicherheitsforscher selbst, die direkt von der Rechtsunsicherheit betroffen sind. Zudem unterstützen digitalpolitische NGOs das Vorhaben, da sie die Stärkung des ethischen Hackens als einen wichtigen Baustein für eine resiliente und informierte Gesellschaft betrachten. Auf der Gegenseite steht die Bundesregierung, die durch den Koalitionsvertrag in der Pflicht steht. Obwohl die schwarz-rote Regierung das Ziel der Rechtssicherheit für die Cybersicherheitsforschung bereits in ihr Programm aufgenommen hat, bleibt die praktische Umsetzung die zentrale Hürde, die es nun zu überwinden gilt.

Einordnung: Warum dieser Vorstoß so bedeutsam ist

Einzuordnen ist der Vorstoß der GI als ein notwendiger Paradigmenwechsel im deutschen Sicherheitsverständnis. Den Berichten zufolge ist die aktuelle Rechtslage nicht nur ein bürokratisches Ärgernis, sondern ein echtes Sicherheitsrisiko für den Standort Deutschland. Indem das Gesetz den Fokus auf die Kriminalisierung von Werkzeugen legt, anstatt das Ziel der Schwachstellenbeseitigung zu priorisieren, wird die IT-Sicherheit insgesamt geschwächt. Die GI argumentiert hierbei aus einer systemischen Perspektive: Eine Gesellschaft, die ihre Sicherheitsforscher kriminalisiert, nimmt in Kauf, dass kritische Lücken unentdeckt bleiben oder von böswilligen Akteuren ausgenutzt werden. Die Forderung nach einer Entkriminalisierung ist daher als Plädoyer für eine Kultur der Transparenz und Zusammenarbeit zu verstehen. Die GI betont, dass eine resiliente Gesellschaft nur dann entstehen kann, wenn das Melden von Schwachstellen als wertvoller Beitrag zur Allgemeinheit anerkannt wird. Diese Einschätzung deckt sich mit internationalen Trends, bei denen Sicherheitsforschung zunehmend als essenzieller Bestandteil der nationalen Sicherheitsstrategie begriffen wird. Die GI fordert somit eine Abkehr von einer rein repressiven Logik hin zu einer kooperativen Sicherheitsarchitektur, die den Schutz der Bürger in den Mittelpunkt stellt.

Offene Fragen: Was das Whitepaper noch nicht klärt

Obwohl das Whitepaper der Gesellschaft für Informatik eine klare Richtung vorgibt, bleiben in der öffentlichen Debatte einige Fragen unbeantwortet. Der Quelltext macht deutlich, dass die GI zwar die Notwendigkeit einer Gesetzesänderung betont, jedoch keine detaillierten Entwürfe für die konkrete Ausgestaltung der neuen Paragrafen liefert. Es bleibt offen, wie genau die Grenze zwischen „ethischem“ und „kriminellem“ Hacken im Gesetzestext präzise definiert werden soll, um Missbrauch durch echte Angreifer auszuschließen. Auch zur Frage, wie ein „wirkungsvolles Meldeverfahren“ in der Praxis aussehen könnte, fehlen im vorliegenden Text konkrete technische oder organisatorische Details. Es wird nicht spezifiziert, welche staatlichen Stellen für die Entgegennahme der Meldungen zuständig sein sollen und wie die rechtliche Absicherung der Forscher im Moment der Meldung garantiert werden kann. Zudem bleibt unklar, wie die Industrie auf die Forderung reagiert, die oft ein ambivalentes Verhältnis zu Sicherheitsforschern hat, die Schwachstellen in ihren Produkten öffentlich machen könnten. Die genaue Ausgestaltung der „gesellschaftlichen Anerkennung“ bleibt ebenfalls vage und lässt Raum für Diskussionen über finanzielle Anreize oder rechtliche Schutzräume.

Wie es weitergeht: Der Ball liegt bei der Bundesregierung

Die GI hat den Ball nun offiziell in das Feld der Bundesregierung gespielt. Die Forderung ist klar: Die Regierung muss zügig eine Reform unter aktiver Beteiligung aller betroffenen Gruppen initiieren. Da das Vorhaben der Rechtssicherheit für die Cybersicherheitsforschung bereits im Koalitionsvertrag verankert ist, besteht ein politischer Auftrag, der nun in konkrete Gesetzgebungsarbeit umgesetzt werden muss. Es ist zu erwarten, dass in den kommenden Monaten weitere Konsultationen stattfinden werden, um die im Whitepaper skizzierten Ansätze in einen Gesetzentwurf zu überführen. Ob und wann die Bundesregierung einen konkreten Zeitplan für diese Reform vorlegen wird, bleibt abzuwarten. Die GI wird den Prozess voraussichtlich weiterhin eng begleiten und als Sprachrohr der Sicherheitsforscher und der IT-Community fungieren. Die Dynamik der Bedrohungslage, insbesondere durch KI-gestützte Angriffe, könnte den politischen Druck erhöhen, die Reform schneller voranzutreiben, als es bei anderen Gesetzgebungsvorhaben der Fall ist. Die nächsten Schritte hängen nun davon ab, wie entschlossen die zuständigen Ministerien die Forderungen der GI aufgreifen und in den parlamentarischen Prozess einbringen.