Cowboys
und Computer
Computerstrafrecht:
Wie schützen wir die, die uns schützen?
Es ist nicht leicht, ein guter Mensch zu sein. Besonders IT-Sicherheitsforschende bewegen sich bei ihrer Arbeit oft in einer legalen Grauzone: Das aktuelle Computerstrafrecht verhindert, dass sie Schwachstellen rechtssicher melden können. Denn wenn sie selbst testen, ob sie über eine solche Schwachstelle Zugriff auf ein System bekommen können, machen sie sich damit strafbar. Dabei wird nicht einmal jede Schwachstelle aktiv „gehackt". Einige fallen durch das bloße Benutzen von Programmen oder Websites auf. Unternehmen setzen längst auf Pen-Tests oder Bug-Bounty-Programme, müssen dafür aber viel bürokratischen Aufwand vornehmen. Solange Sicherheitsforschende nicht wissen, welche Konsequenzen sie erwarten, zögern viele „White Hat Hacker“, Schwachstellen zu melden.
Schwarz und Weiß
Bei „Hackern“ gibt es drei Gruppen: White, Black und Grey Hats1. Die Anlehnung folgt der Logik alter Western: Die Guten haben weiße Hüte, die Bösen tragen Schwarz. Der Begriff „White Hats“ bezeichnet „ethische Hacker“. Sie suchen nach Sicherheitslücken, um diese betroffenen Anbietern oder Entwicklern zu melden. „Black Hats“ hingegen nutzen Schwachstellen zu kriminellen Zwecken aus, etwa Erpressung, Diebstahl oder Löschung von Daten. „Grey Hats“ bewegen sich im Feld dazwischen: Sie verfolgen keine kriminelle Absicht, agieren aber oft ohne Wissen der Netzwerkeigentümer oder setzen unethische Methoden ein.
White Hat Hacking, aber wie?
In Deutschland ist jede Art des Hacking offiziell verboten: Die Paragraphen 202 a-c im Strafgesetzbuch (StGB) stellen das Ausspähen und Abfangen von Daten sowie dessen Vorbereitung und den Besitz sogenannter Hackertools unter Strafe. Ethisches Hacken ist damit außen vor. Fällt einer White-Hat-Hackerin eine Schwachstelle auf, so steht sie vor der Wahl: den Hersteller informieren und eine Klage riskieren, oder nichts sagen und das eigene Risiko minimieren. Dadurch bleibt ungenutztes Potenzial auf der Strecke, denn Unternehmen, Privatpersonen und der Staat profitieren davon, dass Lücken geschlossen werden.2,3 Während andere Länder ethisches Hacken legalisieren, stagniert die Gesetzgebung in Deutschland.
Simeon Hoffmann
Doktorand am CISPA Helmholtz-Zentrum für Informationssicherheit
Marieke Petersen
Referentin für Politik und Wissenschaft bei der Gesellschaft für Informatik
Drei Perspektiven aus der Praxis
Ich habe gehackt ...
und es ist gut ausgegangen
Ich habe positive Erfahrungen gemacht: So haben etwa die Firmen hinter den Plattformen KigaRoo und Timeless nach meinen Hinweisen professionell und innerhalb weniger Stunden reagiert und die Lücken geschlossen. Anschließend wurde der Vorfall zum Anlass genommen, ihre Systeme noch mal extern prüfen zu lassen. Schnelle und konstruktive Reaktionen auf Coordinated Vulnerability Disclosure sind wertvoll, denn sie kommen nicht nur den Firmen selbst zugute4, sondern auch den Nutzenden und der Gesellschaft insgesamt, die dadurch in der digitalen Welt besser geschützt sind. Leider führt die gesetzliche Lage teils dazu, dass Unternehmen eher rechtliche Schritte einleiten, statt kooperativ zu handeln.5 Zudem hindern zahlreiche Negativbeispiele und die rechtliche Unsicherheit engagierte Sicherheitsforschende daran, sich Systeme genauer anzuschauen.6 Bessere Gesetze könnten hier bei Unternehmen zu einem Umdenken beitragen und gleichzeitig mehr ethische Hacker*innen zum Hinschauen motivieren – eine klare Win-win-Situation.
Florian Hantke
Doktorand am CISPA Helmholtz-Zentrum für Informationssicherheit
Ich habe gehackt ...
und wurde verklagt
Als Sicherheitsforscher ist es mein Ziel, Schwachstellen zu finden, bevor Kriminelle sie ausnutzen. Genau dafür geriet ich selbst ins Visier von Ermittlern: Gemeinsam mit meinem Team der Mint Secure GmbH entdeckte ich kritische Sicherheitslücken in Observationssystemen des Herstellers Infodraw. Wir meldeten die Probleme verantwortungsvoll, warteten die übliche 90-Tage-Frist ab und informierten anschließend CERTs und Behörden. In Luxemburg konnte eine Polizeieinheit ihr betroffenes System sogar rechtzeitig offline nehmen. Trotzdem wurde gegen mich ein Ermittlungsverfahren eingeleitet.
Der Fall zeigt ein Grundproblem: In Deutschland und Europa riskieren ethische Hacker*innen noch immer Strafverfolgung, obwohl sie im öffentlichen Interesse handeln. Während Hersteller Sicherheitslücken oft monatelang ignorieren, werden diejenigen kriminalisiert, die Missstände aufdecken. Das schreckt Forschende ab – und gefährdet letztlich die Sicherheit von Behörden, Unternehmen und Bürger*innen.Ein modernes Computerstrafrecht muss Sicherheitsforschung endlich schützen statt bestrafen.
Tim Philipp Schäfers
Gründer von Mint Secure und bloggender White-Hat-Hacker
Wir melden für Hacker ...
weil wir müssen
Sicherheitsforschende, die Schwachstellen verantwortungsvoll melden, riskieren in Deutschland Strafverfolgung nach §§ 202 a–c StGB. Nicht wegen verursachter Schäden, sondern wegen des bloßen Zugriffs auf unzureichend gesicherte Systeme. Strafanzeigen sind selten, aber kostspielig genug, um als Abschreckung zu wirken.
Das Ergebnis ist ein kollektives Sicherheitsdefizit: Lücken, die Forschende gern gemeldet hätten, bleiben offen – bis sie ausgenutzt werden. Der CCC fungiert deshalb bei zahlreichen Meldungen als rechtlicher Puffer, wenn Forschende das Risiko nicht tragen wollen oder können.
Kriminelle brauchen keinen solchen Puffer. Sie melden nicht, sie nutzen aus. Das Strafrecht belastet systematisch diejenigen, deren Arbeit Infrastrukturen, Unternehmen und Bürger*innen schützt – und lässt die eigentliche Bedrohung nicht nur unberührt, sondern verschlimmert sie.
Solange Responsible Disclosure rechtlich riskant bleibt, zahlt die Allgemeinheit die Zeche: in Form geleakter Daten und vermeidbarer Angriffe. Die ehrenamtliche Schutzfunktion des CCC wird oft gelobt. Sie sollte aber überflüssig sein.
Linus Neumann
IT-Sicherheitsexperte und Sprecher des Chaos Computer Clubs (CCC)
Standpunkt:
Der Hackerparagraph ist irreführend
Cybersicherheit ist der Bundesregierung wichtig: Die zahllosen Akteure visualisiert die Stiftung Neue Verantwortung mit einer interaktiven Grafik.6 Doch das Cyber-Strafrecht wirkt wie eine Verzweiflungstat. Kann eine Reform Hoffnung machen?
Als Lilith Wittmann eine Wahlkampf-App der CDU, CSU und ÖVP „hackte“7, kassierte sie von der CDU eine Strafanzeige. Sie habe sich unbefugt Zugang zu Daten verschafft, die dagegen besonders gesichert wären – strafbar nach § 202 a StGB. Doch es fehlte an einer „besonderen Sicherung“. Anders im Fall Modern Solution8: Ein IT-Berater fand im kompilierten Programm trivial auslesbare Datenbank-Servernamen und -Zugangsdaten und griff so mit PHPMyAdmin auf Datensätze mehrerer Kund*innen zu. Das sei ein Umgehen „einer besonderen Sicherung“. Konsequenz: 60 Tagessätze.
Besondere Sicherung ≠ besonders sicher
Für die Rechtsprechung kommt es bei der Sicherung auf den Willen der Sichernden an, nicht auf deren Wirkung. Sie will mangelhaften Schutz nicht zum Freibrief erklären. Anders die Informatik: Selbst Erstsemester denken sofort an Verschlüsselung, Mandantentrennung, individuelle Passwörter – alles bei der inzwischen insolventen9 Modern Solution nicht zu finden. PHPMyAdmin als Hackertool zu bezeichnen, führt zu Gelächter im gleichen Hörsaal.
Eine Reform muss diese „besondere Sicherung“ greifbarer machen. Doch die aufwendige Gesetzgebung mit vielen Rahmenbedingungen von EU-Recht bis Lobbyismus erfordert langlebige, generische Formulierungen, siehe die Definition von Daten in § 202 a Abs 2 StGB, die auch CDs und Qubits mit erfasst.
Üblich sind Verweise etwa auf eine DIN oder – abstrakter – den „Stand der Technik“. Denn: Nicht die marktübliche Qualität von Software ist das Maß, sondern das technisch sinnvoll Mögliche. Mehr ist der „Stand der Wissenschaft und Technik“10.Beides ist für Jurist*innen einzuordnen und macht Personen, die Fehler entdecken, straffrei. Bei Ersterem blieben Entdecker*innen komplexerer Lücken jedoch strafbar.
Ehrliche Finder?
Wer eine Sicherheitslücke beim CERT des BSI abgibt oder direkt dem Hersteller meldet, will Schaden abwenden. Da könnte sogar „Nothilfe“ als Abwehr einer unmittelbar drohenden Gefahr ein Rechtfertigungsgrund sein11. Doch es wäre deutlich gerechtfertigter, den Straftatverdacht gleich auszuschließen. Ein entsprechender Referentenentwurf der vorigen Bundesregierung nach dem Vorbild anderer europäischer Länder blieb beim Regierungswechsel aber stecken. Statt des schwer prüfbaren Willens jener, die die Lücken entdecken, nutzen einige Nationen eine Mindestschadenhöhe oder nehmen registrierte Sicherheitsforschende von Strafe aus, was jedoch zufällige Entdecker*innen nicht schützt.
Fehlkonzeption
Die Bezeichnung „Hackerparagraph“ unter anderem für § 202 a StGB zeigt zwei Denkfehler: Erstens sind die sogenannten Hacker vor allem kreative Problemlöser*innen – quasi digitale MacGyver – und keine Kriminellen. Zweitens sind die Ursachen von Sicherheitslücken Programmierfehler, Sicherheitsforschende entdecken sie nur. Finderlohn statt Strafe wäre besser. Für ordentliche Softwarequalität sorgt ein robuster Regressanspruch gegen den Hersteller. Weiter schafft der unbeholfene Versuch einer Strafandrohung für „Hackertools“ (u.a. § 202 c StGB) ein Paradox, das im analogen Leben schwer nachvollziehbar ist: Während der Besitz eines Vulnerability-Scanners bei entsprechendem Tatvorsatz strafbedroht ist, wäre der einer zum Morden beschafften Axt es nicht.
Prof. Dr. Tobias Eggendorfer
Professor für Cybersicherheit
Dr. Florian Deusch
Fachanwalt für IT-Recht, RAe Dr. Gretter
In Polen sind Personen, die ausschließlich zum Zweck der Sicherung von Systemen handeln, explizit von der Strafbarkeit ausgenommen. Der polnische Ansatz ist im Vergleich am liberalsten.
In Belgien ist ethisches Hacking unter bestimmten Bedingungen gestattet. Dazu zählen eine zeitnahe Meldung an das belgische Cybersicherheitszentrum, das Fehlen einer Schadensabsicht sowie die Einhaltung der Prinzipien von Notwendigkeit und Verhältnismäßigkeit. Zusätzlich unterhält Belgien eine „Hall of Fame“, um IT-Sicherheitsforschende für ihren Beitrag zur nationalen Cybersicherheit zu würdigen.
Ethisches Hacking ist in Portugal unter kumulativen Voraussetzungen erlaubt: Die Handlung muss in guter Absicht und ohne finanzielle Motivation erfolgen, darf keine Schäden verursachen und gefundene Schwachstellen sollen zeitnah gemeldet werden.
Rechtlicher Rahmen für ethisches Hacken
- explizit erlaubt
- strafbar; Verfolgung entfällt bei Vorliegen bestimmter Umstände
- verboten
- keine Angabe
23.11.2001
Übereinkommen des Europarates zu Cyberkriminalität
Die sogenannte Cybercrime Convention ist das erste internationale Abkommen gegen Computerkriminalität. Es deckt eine Spanne an Straftaten ab: darunter Urheberrechtsverletzungen, Betrug, Kinderpornografie und Hasskriminalität. Dabei wird auch der illegale Zugang adressiert.
24.02.2005
Rahmenbeschluss des Rates der Europäischen Union zu Angriffen auf Informationssysteme
Die Mitgliedstaaten werden verpflichtet, schwere Formen der Cyberkriminalität unter Strafe zu stellen. So sollen die nationalen Strafvorschriften vereinheitlicht werden.
03.07.2007
Kritik der GI an Einführung des § 202 c StGB
Bereits vor dem Inkrafttreten des Hackerparagraphen kritisiert der Arbeitskreis Datenschutz und IT-Sicherheit der GI die Einführung. Prof. Dr. Hartmut Pohl nennt es eine „unzulässige Erweiterung der Cybercrime Convention“.
07.08.2007
Inkrafttreten der Strafrechtsänderung zur Bekämpfung der Computerkriminalität
Trotz Kritik tritt die Änderung von § 202 a in Kraft, § 202 b und § 202 c werden hinzugefügt. Damit stellt das deutsche Recht unter anderem die Herstellung und Verbreitung sogenannter Hackertools unter bestimmten Umständen unter Strafe. Die Höchststrafe beträgt ein Jahr.
18.05.2009
Stellungnahme des Bundesverfassungsgerichts nach drei Verfassungsbeschwerden
Aufgrund der rechtlichen Unklarheiten für Sicherheitsforschende reichen drei Personen unabhängig voneinander eine Verfassungsbeschwerde ein. Diese werden im Mai 2009 vom Bundesverfassungsgericht als unzulässig abgelehnt, da die Beschwerdeführenden nicht „selbst, gegenwärtig und unmittelbar“ in ihren Grundrechten betroffen wären. Das Gericht sieht kein Risiko für eine strafrechtliche Verfolgung für ihre Tätigkeit bei einer verfassungskonformen Auslegung.
20.11.2015
Änderung des Strafmaßes
2013 wird die EU-Richtlinie über Angriffe auf Informationssysteme geändert und fordert nun eine Mindesthöchststrafe von zwei Jahren. Diese Erhöhung des Strafrahmens wird in 2015 umgesetzt.
19.02.2020
GI klärt zu rechtlichen Rahmenbedingungen der IT-Sicherheitsforschung auf
Bei der Veranstaltungsreihe „F5 – Refresh your Knowledge“ dreht sich das Politikfrühstück in der Berliner Außenstelle des FZI Forschungszentrum Informatik um rechtliche Rahmenbedingungen der IT-Sicherheitsforschung. Auch die GI bringt sich mit ihrer Expertise ein.
25.02.2022
Blogbeitrag der GI zu Risiken beim Melden von Datenlecks
Tim Philipp Schäfers und Matthias Marx, Junior-Fellows der GI, klären in ihrem Blogbeitrag über Datenlecks und einen verantwortungsvollen Meldeprozess auf.
09.11.2022
BSI stellt CVD-Leitlinien vor
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) veröffentlicht seine Richtlinie für Sicherheitsforschende, wie sie mit gemeldeten Schwachstellen umgehen sollten. Die Leitlinie beschreibt den Prozess der Coordinated Vulnerability Disclosure.
07.09.2023
GI hostet ATHENE-Veranstaltungsreihe „Rechtsrahmen der Cybersicherheitsforschung“
In der Veranstaltungsreihe „Rechtsrahmen der Cybersicherheitsforschung“ werden Rechtsfragen, die sich in der IT-Sicherheitsforschung stellen, erörtert. Die Reihe wird von ATHENE-Datenschutzrechts-Expertin Dr. Dr. Annika Selzer und Prof. Dr. Indra Spiecker gen. Döhmann organisiert. Die vierte Ausgabe über Alternativen zum „Hackback“ wird auch von der GI gehostet.
04.11.2024
Ampelregierung stellt Referentenentwurf zur Modernisierung des Computerstrafrechts vor
Die Ampelkoalition stellt den Gesetzentwurf des Bundesjustizministeriums vor, der eine Straffreiheit des White-Hat-Hackings vorsieht. Damit setzt sie ein Vorhaben aus dem Koalitionsvertrag um.
11.12.2024
Stellungnahme der GI zur geplanten Reform des Computerstrafrechts
Die GI begrüßt den Gesetzentwurf und das damit erklärte Ende der Rechtsunsicherheit für die IT-Sicherheitsforschung. Trotz offener Fragen zu der praktischen Umsetzung ist es aus Sicht der GI ein Schritt in die richtige Richtung. Mit dem Bruch der Regierung wird dieses Gesetzesvorhaben nicht mehr umgesetzt.
09.04.2025
Reform im Koalitionsvertrag
Die neue Bundesregierung unter Friedrich Merz vereinbart in ihrem Koalitionsvertrag, „Rechtssicherheit für IT-Sicherheitsforschung“ zu schaffen. Seitdem prüft das Bundesjustizministerium die Umsetzung.
05.09.2025
Exkurs zum ethischen Hacken und Computerstrafrecht im GI-Blog
Der Junior-Fellow Tim Philipp Schäfers mahnt, dass das Computerstrafrecht dringend aktualisiert werden muss. In seinem Beitrag geht es zudem um ethisches Hacking.
Das sagt die Industrie:
Notwendige Anpassung des Computerstrafrechts
Fahrzeughersteller sind gemäß europäischen und deutschen Vorschriften verpflichtet, Cybersicherheitslücken ihrer Produkte durch Penetrationstests zu identifizieren und zu beheben. Für die Typgenehmigung schreibt beispielsweise die UNECE-Regulierung R155 in Verbindung mit der EU-Verordnung 2019/2144 invasive Tests vor. Diese sind unerlässlich, um die Wirksamkeit der Cybersecurity-Maßnahmen zu gewährleisten.
Die derzeitige Strafrechtslage (§§ 202 a–c StGB) stellt Penetrationstests ohne ausdrückliche Zustimmung der Berechtigten unter Strafe. Besonders problematisch ist die oft komplexe Lieferkette in der Automobilindustrie und die Integration von Drittanbietersoftware. Dadurch sind nicht nur unbeauftragte Sicherheitsforschende strafrechtlichen Risiken ausgesetzt. Auch alle, die intern und extern testen, sehen sich schnell mit unübersichtlichen rechtlichen Rahmenbedingungen konfrontiert. Dies benachteiligt ehrliche Sicherheitsforschende und begünstigt kriminelle Hacker (Black Hat Hacker), was die Umsetzung von Fahrzeugsicherheit unnötig erschwert.
Im Rahmen der geplanten Gesetzesnovellierung – die zwar im Koalitionsvertrag verankert, jedoch noch ohne konkreten Entwurf ist – sollte die Strafbarkeit im Computerstrafrecht deshalb nicht allein von der Zustimmung abhängig gemacht werden. Vielmehr muss die Intention der Testenden als zentrales Kriterium berücksichtigt werden. Positive Intentionen zeichnen sich durch verantwortungsvollen Umgang mit Schwachstellen, den Beitrag zur Systemsicherheit sowie durch den Schutz von Herstellern und Nutzenden aus. Negative Absichten wie die Ausnutzung von Sicherheitslücken oder das Streben nach unverhältnismäßigen finanziellen Vorteilen sollen weiterhin sanktioniert werden. Ziel ist eine klare, rechtssichere Regelung, die ethisch motivierte Cybersecurity-Tests ermöglicht, die Cybersicherheit erhöht und zugleich Missbrauch verhindert.
Dr. Kirsten Matheus
Expertin für Digitalisierung und Cybersicherheit beim Verband deutscher Automobilhersteller (VDA)
Das sagt der Verbraucherschutz:
Ein strukturelles Dilemma
Angesichts der fortschreitenden Digitalisierung und der damit einhergehenden Erfassung erheblicher Datenmengen ist die Einhaltung des Datenschutzrechts, insbesondere der DSGVO, von zentraler Bedeutung. Zur Aufdeckung möglicher Datenschutzverstöße bestehen im Wesentlichen zwei Ansätze: die Prüfung von Datenschutzhinweisen und die technische Untersuchung des tatsächlichen Datenverkehrs.
Datenschutzhinweise sollen Transparenz schaffen, sind jedoch häufig nur vage formuliert. Verbraucher*innen müssen zudem darauf vertrauen können, dass die tatsächliche Datenverarbeitung den Angaben in den Datenschutzhinweisen entspricht. Hier setzt die technische Analyse an, bei der Datenströme zwischen Gerät und Anbieter-Server untersucht werden.
Ist der Datenverkehr transportverschlüsselt, erfordert seine Analyse regelmäßig die Umgehung dieser Schutzmaßnahme. Dies kann den Tatbestand des § 202 a StGB erfüllen. Damit ist die Analyse von Datenströmen zur Feststellung möglicher Datenschutzverstöße mit einem erheblichen Risiko der Strafbarkeit verbunden. Das gilt insbesondere bei dem Einsatz von Reverse Engineering, das zusätzlich urheberrechtliche Fragen aufwirft.
Im Ergebnis zeigt sich ein strukturelles Dilemma: Anbieter erfüllen durch die Verschlüsselung des Netzwerkverkehrs ihre Schutzpflichten, zugleich wird damit jedoch die Kontrolle datenschutzrechtlicher Vorgaben faktisch erschwert. Nicht selten erfassen Anbieter über das erforderliche Maß hinaus Daten. Eine klarstellende gesetzliche Regelung, die die Analyse von Datenströmen zum Zwecke der Datenschutzkontrolle privilegiert, erscheint daher dringend geboten. Hierzu könnten insbesondere im Verbandsklage-
register eingetragene Organisationen in ausgewählten Fällen befugt werden, gemeinsam mit technisch versierten Partnern entsprechende Prüfungen außerhalb einer Strafbarkeit durchzuführen und dadurch zugleich die Datenschutzaufsichtsbehörden zu entlasten.
Dr. Ayten Öksüz
Referentin für Digitales, Datenschutz und Datensicherheit bei der Verbraucherzentrale NRW
Das sagt das BSI:
Hohe Priorität für Rechtssicherheit
Die Cybersicherheitslage ist nach wie vor angespannt: Insbesondere unzureichend geschützte Angriffsflächen machen Deutschland im digitalen Raum verwundbar. Dass es daher notwendig ist, deutsche Bürger*innen, Behörden sowie Unternehmen zu schützen, wird inzwischen von niemandem mehr bestritten. Eine Gesellschaft, die resilient gegen Cyberangriffe werden will, kann sich dabei aber nicht nur auf staatliche Schutzmaßnahmen und kommerzielle Software stützen. Das Engagement und die Erkenntnisse von Forschenden und anderen Personen, die sich beruflich oder privat mit der IT-Sicherheit von Systemen beschäftigen, sind hier äußerst wertvoll und essenziell.
Vor diesem Hintergrund ist eine Reform des Computerstrafrechts von großer Relevanz. Die Sorge davor, sich bei der Untersuchung von IT-Systemen auf Verwundbarkeiten strafbar zu machen oder anderen rechtlichen Konsequenzen auszusetzen, verunsichert die IT-Sicherheits-Community und schränkt Forschungstätigkeiten ein. Rechtsunsicherheit ergibt sich dabei aus dem sehr weiten Anwen-dungsbereich der Computerdelikte im Strafgesetzbuch, andererseits aber auch aus den Vorgaben des Urheber- und des Datenschutzrechts. Auch für das Bundesamt für Sicherheit in der Informationstechnik (BSI) erschwert die aktuelle Rechtslage die Erfüllung seines gesetzlichen Auftrags: Schon allein die Sorge vor rechtlichen Konsequenzen kann Personen von einer Schwachstellenmeldung abhalten. Jede nicht gemeldete und damit nicht geschlossene Schwachstelle stellt ein Risiko für die Cybersicherheit dar und hat zur Folge, dass Betroffenen von Schwachstellen nicht oder erst spät geholfen wird. Auch schränken unterbliebene Meldungen die Erkenntnisse über die Cybersicherheitslage in Deutschland ein.
Das BSI hat im Rahmen seiner CVD-Richtlinie mit Blick auf die Rechtslage auch anonyme Meldewege eingeführt. Anonyme Meldungen können vor Strafverfolgung und anderen rechtlichen Konsequenzen schützen. Sie erschweren aber für das BSI umgekehrt die Bewertung des Sachverhalts und die Kommunikation – denn gerade bei komplexen Sachverhalten ist es oft entscheidend, Rückfragen mit Meldenden besprechen zu können.
Das Bundesjustizministerium hat in der vergangenen Legislaturperiode einen Gesetzesentwurf zur Modernisierung des Computerstrafrechts vorgelegt und plant, das Vorhaben in dieser Legislatur wieder aufzugreifen. Dies sollte mit hoher Priorität geschehen und den Aspekt der Rechtssicherheit für die betroffenen Personenkreise in den Vordergrund stellen – denn Cybersicherheit braucht engagierte, aktive Sicherheitsforschende.
Judith Faust und Tassilo Thieme
Bundesamt für Sicherheit in der Informationstechnik (BSI)
1 https://www.kaspersky.de/resource-center/definitions/hacker-hat-types
2 https://www.bitkom.org/Presse/Presseinformation/Angriffe-auf-die-deutsche-Wirtschaft-nehmen-zu
3 https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/Lageberichte/Lagebericht2024.html
4 https://doi.org/10.1016/j.cose.2022.102936
5 https://doi.org/10.1109/SP54263.2024.00104
6 https://doi.org/10.1145/3133956.3134047
7 https://www.interface-eu.org/publications/deutschlands-staatliche-cybersicherheitsarchitektur
8 https://lilithwittmann.medium.com/ wenn-die-cdu-ihren-wahlkampf-digitalisiert-a3e9a0398b4d
9Deusch, Eggendorfer, K&R 2023, 649ff. und K&R 2025, 150ff.
10AG Essen, 161 IN 10/26 (vorläufiges Insolvenzverfahren)
11 Deusch, Eggendorfer, K&R 2018, 223ff., 227f.
