Wer sich mit IT-Sicherheit in Deutschland beruflich beschäftigt, stößt früher oder später auf § 202c StGB — den sogenannten „Hacker-Paragraphen". Er ist deshalb heikel, weil er nicht erst den unerlaubten Zugriff selbst bestraft, sondern schon einen Schritt davor ansetzt: bei den Werkzeugen. Und genau diese Werkzeuge — Exploit-Frameworks, Passwort-Cracker, selbst geschriebener Proof-of-Concept-Code — sind gleichzeitig das tägliche Handwerkszeug eines seriösen Penetrationstests.

Zwei Paragraphen, ein Grundproblem

Um die Rechtslage zu verstehen, lohnt sich ein Blick auf zwei Vorschriften, die eng zusammenhängen, aber unterschiedliche Dinge regeln.

§ 202a StGB — der Türsteher

§ 202a StGB stellt das „Ausspähen von Daten" unter Strafe: das gezielte Überwinden einer Zugangssicherung, um sich Zugriff auf fremde Daten zu verschaffen. Das ist der Kern dessen, was bei einem Penetrationstest technisch passiert — und ohne weitere Voraussetzung wäre das strafbar, unabhängig von der Absicht dahinter. Der einzige Unterschied zwischen einem Penetrationstester und einem Angreifer ist die ausdrückliche Erlaubnis des Systemeigentümers.

§ 202c StGB — das eigentliche Problem für Sicherheitsexperten

Hier wird es für die Branche unangenehm. § 202c StGB stellt schon das Herstellen, Verschaffen, Verkaufen, Überlassen, Verbreiten oder sonstige Zugänglichmachen von Passwörtern, Zugangscodes oder Computerprogrammen unter Strafe, „deren Zweck die Begehung einer solchen Tat ist". Gemeint sind Werkzeuge zum Ausspähen oder Abfangen von Daten — und das trifft in der Theorie ziemlich genau auf die Standardausrüstung eines Penetrationstests zu: Scanner, Exploit-Code, Angriffswerkzeuge gegen Passwörter.

Der Gesetzgeber wollte 2007 bei Einführung der Norm ausdrücklich nicht die legitime Sicherheitsforschung kriminalisieren — sondern den Handel mit Angriffswerkzeugen für kriminelle Zwecke.

Warum Einwilligung das Werkzeug „reinwäscht"

§ 202c ist juristisch ein sogenanntes Vorbereitungsdelikt. Das heißt: Es bestraft die Vorbereitung einer rechtswidrigen Haupttat nach § 202a bzw. § 202b StGB. Wenn diese Haupttat aber wegen einer wirksamen Einwilligung des Systeminhabers gar nicht rechtswidrig ist, fehlt es an genau dieser Voraussetzung — und damit auch an der strafbaren Vorbereitungshandlung. Die Werkzeugnutzung „erbt" gewissermaßen die Rechtmäßigkeit der autorisierten Haupttat.

Das ist keine kreative Auslegung meinerseits, sondern die in Rechtsprechung und Fachliteratur herrschende Meinung — und sie entspricht der Absicht des Gesetzgebers bei der Einführung der Norm.

Was das für die Praxis bedeutet

Diese Absicherung ist allerdings kein Freifahrtschein. Sie greift nur, wenn die Einwilligung nicht nur die geprüften Systeme, sondern erkennbar auch die eingesetzten Methoden und Werkzeugkategorien abdeckt. Eine vage Formulierung wie „Sie dürfen unsere Website testen" lässt offen, ob damit auch der Einsatz von Exploit-Code gemeint war. Ein rechtssicheres Scope-Dokument sollte deshalb explizit regeln:

  • Welche Systeme, Domains und IP-Bereiche getestet werden dürfen
  • Welche Methoden ausdrücklich ausgeschlossen sind
  • Welche Kategorien von Sicherheitswerkzeugen eingesetzt werden dürfen — nicht nur pauschal „Testing"
  • Das genehmigte Zeitfenster für aktive Tests
  • Wer im Ernstfall informiert wird

Fazit

§ 202c StGB ist kein Grund, vor Penetrationstests zurückzuschrecken — weder als Auftraggeber noch als Tester. Er ist ein Grund, das Scope-Dokument ernst zu nehmen und über die reine Systemliste hinaus auch die eingesetzten Werkzeuge ausdrücklich zu benennen. Genau deshalb gehört bei mir zu jedem Auftrag eine gesonderte, unterschriebene Einwilligungserklärung mit expliziter Werkzeug-Freigabe — unabhängig vom eigentlichen Vertrag.