Kriminalisierung: Informatiker verlangen Freipass für IT-Sicherheitsforscher

Die Forderung nach einem rechtssicheren Raum für Sicherheitsforschung

Die Gesellschaft für Informatik (GI) hat gemeinsam mit einem breiten Bündnis aus Industrie, Cybersicherheitsforschung und digitalpolitischen Nichtregierungsorganisationen ein wegweisendes Weißbuch zur Reform des deutschen Computerstrafrechts vorgelegt. Im Zentrum dieser Initiative steht die dringende Forderung an die Bundesregierung, das im Koalitionsvertrag gegebene Versprechen einzulösen und endlich wirksame Rechtssicherheit für IT-Sicherheitsforscher zu schaffen. Aktuell befinden sich Personen, die Sicherheitslücken in IT-Systemen aufdecken und diese im Sinne des Gemeinwohls an die Betroffenen melden, in einer prekären rechtlichen Lage. Sie riskieren bei ihrer Arbeit, die für die Stabilität digitaler Infrastrukturen essenziell ist, strafrechtliche Konsequenzen. Die GI argumentiert, dass dieser Zustand nicht länger tragbar sei, da er die Sicherheit der gesamten Gesellschaft gefährde. Angesichts der zunehmenden Bedrohungen durch Cyberangriffe, die durch den Einsatz moderner KI-Werkzeuge zur Schwachstellensuche massiv beschleunigt werden, ist das Handeln des Gesetzgebers überfällig. Die Kriminalisierung von Sicherheitsforschern, die lediglich Schwachstellen identifizieren wollen, um sie zu schließen, wirkt kontraproduktiv und schadet der digitalen Resilienz Deutschlands nachhaltig.

Die Problematik der Hackerparagrafen im Strafgesetzbuch

Seit ihrer Einführung im Jahr 2007 stehen die sogenannten Hackerparagrafen 202a bis 202c des Strafgesetzbuchs (StGB) in der Kritik von Fachleuten und Bürgerrechtlern. Besonders der Paragraph 202c, der das Vorbereiten des Ausspähens und Abfangens von Daten unter Strafe stellt, erweist sich in der Praxis als erhebliches Hindernis für die IT-Sicherheit. Er kriminalisiert bereits die Bereitstellung sowie den Einsatz von Werkzeugen, die für eine fundierte und professionelle Sicherheitsanalyse unverzichtbar sind. Das Gesetz unterscheidet nach Ansicht der GI nicht ausreichend zwischen der kriminellen Absicht, Schaden anzurichten, und der wertvollen Arbeit von sogenannten White-Hat-Hackern, die ihre Erkenntnisse zur Verbesserung der IT-Sicherheit nutzen. Ein prominentes Beispiel für die negativen Auswirkungen dieser Rechtslage ist die Verurteilung im Kontext der Software Modern Solutions. Solche Fälle führen zu einem massiven Abschreckungseffekt, der dazu führt, dass wichtige Sicherheitshinweise entweder gar nicht gemeldet werden oder nur über komplizierte und anonyme Zwischenstellen den Weg zu den betroffenen Herstellern finden. Diese bürokratischen und rechtlichen Hürden verhindern eine effiziente und schnelle Behebung kritischer Sicherheitslücken, was die digitale Infrastruktur des Landes unnötig verwundbar macht.

Ein ganzheitlicher Ansatz für eine notwendige Reform

Die Verfasser des Weißbuchs betonen nachdrücklich, dass ein bloß punktueller Eingriff in das Strafrecht nicht ausreichen wird, um die bestehenden Probleme nachhaltig zu lösen. Stattdessen fordern sie einen ganzheitlichen Ansatz, der eine umfassende Reform des rechtlichen Rahmens vorsieht. Ein zentraler Punkt ist dabei die Verankerung einer konkreten Schädigungsabsicht als notwendiges Tatbestandsmerkmal. Nur wer mit krimineller Energie handelt, sollte strafrechtlich belangt werden können. Wer hingegen eine Schwachstelle ordnungsgemäß an den Hersteller oder die zuständigen Stellen meldet, muss von der Angst vor Strafandrohungen entlastet werden. Darüber hinaus verlangt das Papier eine Anpassung von Nebengebieten, die bisher ebenfalls zur Kriminalisierung beitragen. Dazu gehören das Urheberrecht, das Gesetz zum Schutz von Geschäftsgeheimnissen sowie diverse Datenschutzbestimmungen. Methoden wie das Dekompilieren von Softwarecode oder das Untersuchen unverschlüsselter Funkverbindungen, die für Sicherheitsanalysen grundlegend sind, dürfen nach Auffassung der Experten nicht länger als Rechtsverstoß gewertet werden. Nur durch eine solche umfassende Anpassung kann ein rechtssicherer Rahmen geschaffen werden, der ethische Sicherheitsforschung ermöglicht, ohne die notwendige Verfolgung echter Cyberkriminalität zu behindern.

Internationale Vorbilder und die Rolle der Meldekultur

Die GI verweist in ihrem Papier auf positive Beispiele aus dem europäischen Ausland, die zeigen, dass eine rechtssichere Gestaltung der Sicherheitsforschung möglich ist. Länder wie Polen, Belgien und Portugal haben bereits Rahmenbedingungen geschaffen, die ethisches Hacking explizit ermöglichen und schützen, ohne dabei die Sicherheit zu gefährden. Deutschland sollte sich an diesen Modellen orientieren, um den Anschluss nicht zu verlieren. Neben den gesetzlichen Anpassungen drängt die Gesellschaft für Informatik zudem auf den Aufbau einer gelebten Meldekultur. Firmen und Behörden sollten das Auffinden von Sicherheitslücken nicht länger als Bedrohung oder Anlass für Strafanzeigen begreifen, sondern als kostenfreien Sicherheitsgewinn. Standardisierte Prozesse, wie die Bereitstellung einer Kontaktmöglichkeit über die Datei „security.txt“ auf Webseiten oder die Etablierung funktionierender „Coordinated Vulnerability Disclosure“-Verfahren (CVD), könnten die Kooperation zwischen Forschern und Betreibern erheblich erleichtern. Solche Verfahren stellen sicher, dass Schwachstellen strukturiert und vertraulich gemeldet werden können, was das Vertrauen zwischen den Parteien stärkt und die Sicherheit für alle Beteiligten erhöht.

Anerkennung und Anreize für die Sicherheitscommunity

Ein weiterer wichtiger Aspekt des Weißbuchs ist die Forderung nach einer stärkeren gesellschaftlichen Anerkennung der Arbeit von IT-Sicherheitsexperten. Die GI schlägt vor, dass öffentliche Würdigungen, wie sie etwa vom Bundesamt für Sicherheit in der Informationstechnik (BSI) oder durch von heise geführte „Halls of Fame“ praktiziert werden, ausgeweitet werden sollten. Auch staatlich geförderte Bug-Bounty-Programme, bei denen Forscher für das Finden von Lücken belohnt werden, tragen maßgeblich dazu bei, das Ansehen dieser Experten in der Gesellschaft zu stärken und sie aus der Schmuddelecke der Kriminalität zu holen. Wenn das Auffinden von Schwachstellen als wertvolle Dienstleistung an der Allgemeinheit begriffen wird, sinkt die Hemmschwelle für Unternehmen, mit der Sicherheitscommunity zusammenzuarbeiten. Dies ist ein entscheidender Schritt, um die digitale Souveränität und Sicherheit in einer zunehmend vernetzten Welt zu gewährleisten. Die Anerkennung sollte dabei nicht nur materieller Natur sein, sondern auch eine klare politische Botschaft beinhalten, dass Sicherheitsforschung ein notwendiger und geschätzter Teil der digitalen Gesellschaft ist.

Einordnung der aktuellen politischen Situation

Einzuordnen ist die aktuelle Debatte vor dem Hintergrund des wachsenden Drucks durch neue europäische Regularien wie den Cyber Resilience Act (CRA). Diese Verordnungen setzen hohe Standards für die Sicherheit von Produkten mit digitalen Elementen und erfordern eine engere Zusammenarbeit zwischen Herstellern und Sicherheitsforschern. Den Berichten zufolge muss die Bundesregierung zügig handeln, um den Reformprozess unter Einbindung aller betroffenen Akteure, insbesondere aus der Wissenschaft und der Zivilgesellschaft, zu starten. Die bisherige Zögerlichkeit bei der Umsetzung der versprochenen Reformen wird von Experten als Risiko für den Wirtschaftsstandort Deutschland gewertet. Während andere Länder bereits moderne Rahmenbedingungen schaffen, droht Deutschland durch veraltete Gesetze den Anschluss zu verlieren. Die Forderung der GI ist daher nicht nur eine fachliche Empfehlung, sondern ein dringender Appell an die Politik, die digitale Sicherheit als gesamtgesellschaftliche Aufgabe zu begreifen und die rechtlichen Rahmenbedingungen entsprechend der technologischen Realität anzupassen. Die Zeit drängt, da die Bedrohungslage durch Cyberkriminalität stetig zunimmt und jede unentdeckte Lücke ein potenzielles Sicherheitsrisiko darstellt.

Offene Fragen zur Umsetzung und Konkretisierung

Obwohl das Weißbuch der Gesellschaft für Informatik eine klare Richtung vorgibt, bleiben einige Fragen zur konkreten Ausgestaltung der Reformen offen. Der Quelltext lässt beispielsweise offen, wie genau die Grenze zwischen einer „ordnungsgemäßen Meldung“ und einer unzulässigen Ausforschung definiert werden soll, um Missbrauch durch echte Kriminelle zu verhindern. Ebenso wird nicht im Detail erläutert, welche spezifischen Änderungen im Urheberrecht oder im Gesetz zum Schutz von Geschäftsgeheimnissen als „praxistauglich“ angesehen werden. Es bleibt unklar, wie die Bundesregierung auf die Forderung nach einer expliziten Anpassung dieser Nebengebiete reagieren wird, da hier oft widerstreitende Interessen von Unternehmen und Sicherheitsforschern aufeinandertreffen. Auch die Frage, wie ein einheitlicher Standard für „Coordinated Vulnerability Disclosure“-Verfahren in einer so heterogenen Unternehmenslandschaft wie in Deutschland flächendeckend durchgesetzt werden kann, wird im Dokument nicht abschließend geklärt. Diese Lücken in der Debatte verdeutlichen, dass der Reformprozess komplex ist und eine tiefgehende Auseinandersetzung zwischen Politik, Wirtschaft und der Sicherheitscommunity erfordert, um tragfähige Kompromisse zu finden.

Ausblick auf den weiteren Reformprozess

Wie es weitergeht, hängt nun maßgeblich vom politischen Willen der Bundesregierung ab. Die Forderung der GI ist als Startschuss für einen notwendigen Diskussionsprozess zu verstehen, der die Einbindung aller relevanten Akteure erfordert. Es steht aus, ob und wann die Regierung konkrete Gesetzesentwürfe vorlegen wird, die den Forderungen nach einer Entschärfung der Hackerparagrafen und einer rechtlichen Absicherung der Sicherheitsforschung Rechnung tragen. Die kommenden Monate werden zeigen, ob die Ankündigungen aus dem Koalitionsvertrag in konkrete legislative Schritte münden. Ein wichtiger Termin oder ein fester Zeitplan für die Umsetzung der Reformen wurde im vorliegenden Text nicht explizit genannt. Dennoch ist klar, dass der Druck auf den Gesetzgeber wächst, da die europäische Regulierung durch den Cyber Resilience Act den Handlungsspielraum für nationale Alleingänge einschränkt und gleichzeitig den Bedarf an einer klaren nationalen Strategie zur Förderung der Sicherheitsforschung erhöht. Die Akteure sind nun gefordert, den Dialog fortzusetzen und die im Weißbuch skizzierten Vorschläge in die parlamentarische Debatte einzubringen, um eine zukunftsfähige Lösung für die IT-Sicherheit in Deutschland zu erreichen.