Hackerparagraf (§ 202a ff. StGB)

Hackerparagraf meint die §§ 202a bis 202d StGB, die Ausspähen und Abfangen von Daten sowie deren Vorbereitung unter Strafe stellen; Sicherheitstests brauchen daher eine schriftliche Autorisierung.

„Hackerparagraf“ ist die umgangssprachliche Bezeichnung für die Strafvorschriften des deutschen Computerstrafrechts, insbesondere die §§ 202a bis 202d StGB. Im engeren Sinn meint der Begriff § 202c StGB, der 2007 eingeführt wurde und bereits das Vorbereiten des Ausspähens oder Abfangens von Daten unter Strafe stellt, etwa das Herstellen oder Verschaffen von Programmen, deren Zweck die Begehung solcher Taten ist. Genau diese Vorschrift sorgt in der Sicherheitsbranche seit Jahren für Unsicherheit, weil dieselben Werkzeuge für Angriff und Prüfung verwendet werden.

Für Red Teams und Penetrationstester ist das Strafrecht kein Randthema, sondern der Rahmen, in dem jeder Einsatz stattfindet. Ohne ausdrückliche Einwilligung des Berechtigten ist das Eindringen in fremde Systeme strafbar, unabhängig von der Absicht. Deshalb beginnt jeder seriöse Test mit einer schriftlichen Autorisierung.

Die relevanten Vorschriften

• § 202a StGB (Ausspähen von Daten): Wer sich unbefugt Zugang zu besonders gesicherten Daten verschafft, indem er die Zugangssicherung überwindet, macht sich strafbar. Das umfasst praktisch jede Umgehung einer Authentifizierung.
• § 202b StGB (Abfangen von Daten): das unbefugte Mitschneiden nicht öffentlicher Datenübermittlungen, etwa Man-in-the-Middle-Angriffe.
• § 202c StGB (Vorbereiten des Ausspähens und Abfangens): Herstellen, Verschaffen oder Verbreiten von Passwörtern, Zugangscodes oder entsprechenden Programmen. Das Bundesverfassungsgericht hat 2009 klargestellt, dass Dual-Use-Werkzeuge nicht erfasst sind, wenn sie zu legitimen Zwecken wie Sicherheitstests eingesetzt werden.
• § 202d StGB (Datenhehlerei): der Handel mit rechtswidrig erlangten Daten.
• §§ 303a, 303b StGB (Datenveränderung, Computersabotage): relevant, sobald ein Test Daten verändert oder Systeme stört.

Entscheidend ist in allen Fällen das Merkmal „unbefugt“. Die Einwilligung des Berechtigten schließt die Strafbarkeit aus, muss aber von der Person stammen, die über die Systeme verfügen darf, und den konkreten Umfang des Tests abdecken.

Bedeutung für Unternehmen

Auftraggeber tragen Mitverantwortung dafür, dass ein Test rechtlich sauber aufgesetzt ist. Drei Fallstricke sehen wir regelmäßig. Erstens: Systeme im Scope, die dem Unternehmen gar nicht gehören, etwa Cloud-Dienste, gehostete Anwendungen oder Infrastruktur von Dienstleistern; hier muss der jeweilige Betreiber zustimmen. Zweitens: Social-Engineering-Tests gegen Mitarbeitende, bei denen Persönlichkeitsrechte, Betriebsverfassungsgesetz und Datenschutz zu beachten sind. Drittens: Autorisierungen, die von Personen unterschrieben wurden, die dazu nicht berechtigt waren.

Gut gemachte Rules of Engagement lösen diese Fragen vor dem ersten Scan: Sie benennen Systeme, Zeiträume, erlaubte Techniken, Ausschlüsse, Ansprechpartner und die Zustimmung Dritter. Diese Dokumentation schützt Tester wie Auftraggeber, auch gegenüber Aufsichtsbehörden und Versicherern.

Praxis-Hinweise

1. Lassen Sie die Autorisierung von der Geschäftsleitung oder einer nachweislich bevollmächtigten Person unterschreiben.
2. Listen Sie alle Zielsysteme mit Eigentümer auf und holen Sie Zustimmungen von Cloud- und Hosting-Anbietern sowie Dienstleistern ein, soweit deren Nutzungsbedingungen dies verlangen.
3. Beteiligen Sie Betriebsrat und Datenschutzbeauftragten frühzeitig, wenn Mitarbeitende Ziel von Phishing- oder Vishing-Tests sind.
4. Vereinbaren Sie, wie mit zufällig gefundenen Daten Dritter umgegangen wird und wie Daten nach Projektende gelöscht werden.