Neuer Gesetzentwurf schützt gutwillige Hacker vor Strafverfolgung

MÜNCHEN (IT BOLTWISE) – Die geplante Reform des Hacker-Paragrafen soll gutwillige Hacker, die Sicherheitslücken aufdecken, künftig vor Strafverfolgung schützen.

Ein neuer Gesetzentwurf aus dem Justizministerium unter Marco Buschmann (FDP) sieht vor, dass wohlmeinende Hacker, die ohne Auftrag Schwachstellen in Computersystemen suchen und den Verantwortlichen melden, nicht mehr strafrechtlich verfolgt werden. Damit soll die Unsicherheit in der Hackerszene verringert werden, die seit der Verschärfung des Paragrafen 202c im Jahr 2007 besteht. Dieser stellt bereits den Besitz von Hackertools unter Strafe, die zum Ausspähen von Daten genutzt werden können.

Der Entwurf, der nun in die Ressortabstimmung der Bundesregierung gegangen ist, reagiert auf jahrelange Kritik aus der IT-Sicherheitsbranche. Grey-Hat-Hacker, die ohne Absprache Schwachstellen finden und melden, agieren bislang in einer rechtlichen Grauzone. Besonders prominent wurde dieser Umstand 2021 im Fall der IT-Expertin Lilith Wittmann, die gravierende Sicherheitslücken in der Wahlkampf-App „CDUconnect“ entdeckte und daraufhin von der CDU angezeigt wurde. Trotz späterer Entschuldigung der CDU und Rücknahme der Anzeige ermittelte die Staatsanwaltschaft monatelang weiter.

Der neue Gesetzentwurf soll ethische Hacker rechtlich absichern, solange sie in guter Absicht handeln und die entdeckten Sicherheitslücken dem betroffenen Unternehmen oder Hersteller melden. Viele Unternehmen fördern inzwischen sogar diese Art der „offensiven IT-Sicherheitsforschung“ durch Bug Bounties, also Belohnungen für gemeldete Schwachstellen.

Zusätzlich plant der Entwurf jedoch eine Verschärfung der Strafen für böswilliges Hacking. In besonders schweren Fällen, etwa wenn kritische Infrastrukturen wie die Wasserversorgung angegriffen werden, soll die Höchststrafe für das „Ausspähen von Daten“ von drei auf fünf Jahre erhöht werden.

Der Entwurf setzt einen Auftrag aus dem Ampel-Koalitionsvertrag um und könnte eine bedeutende Entlastung für die IT-Sicherheitsbranche bedeuten, während gleichzeitig die Gefahren böswilliger Angriffe stärker bekämpft werden.