Publikation von Christoph Puppe
Praktischer Leitfaden für die Bewertung von Software im Hinblick auf den § 202c StGB
Der im August 2007 eingeführte Hackerparagraf stellte mit dem § 202c StGB bereits die Vorbereitung des Ausspähens von Daten unter Strafe und traf damit genau die Werkzeuge, mit denen Sicherheitsforscher, Administratoren und Penetrationstester Systeme schützen: Einem Programm sieht man nicht an, ob sein Zweck die Begehung einer Straftat ist. Der im BITKOM erarbeitete Leitfaden nimmt diese Dual-Use-Problematik an und liefert, was der Gesetzestext schuldig bleibt: ein Bewertungsschema, mit dem Unternehmen Software vor Einsatz oder Vertrieb einordnen können, durchgespielt an vier Werkzeugklassen von Passwort-Crackern über Portscanner und Software-Analysewerkzeuge bis zu Zero-Day-Exploits. Dazu Best Practices für den Unternehmenseinsatz: organisatorische Regelungen, Vorbereitung und Durchführung von Tests, Abbruchkriterien bei versehentlicher Schädigung Dritter. Entstanden in Zusammenarbeit von Sicherheitspraktikern, Herstellern und einem Fachanwalt, in der Zeit, als die Branche fürchtete, ihre eigenen Werkzeuge könnten sie strafbar machen. Der Leitfaden übersetzte Rechtsunsicherheit in dokumentierte Sorgfalt; die Grundfrage ist bis heute nicht aus der Welt.