Warum ein Pentest kein Graubereich ist.

Ohne Auftrag ist es eine Straftat § 202a StGB

Das Ausspähen von Daten — das gezielte Überwinden einer Zugangssicherung, um sich Zugriff auf fremde Daten zu verschaffen — ist nach § 202a StGB strafbar, unabhängig von der Absicht dahinter. Genau das ist technisch auch das, was bei einem Penetrationstest passiert.

Der entscheidende Unterschied zu einem echten Angriff ist einzig und allein die ausdrückliche, schriftliche Erlaubnis des Systemeigentümers. Deshalb beginnt jeder Auftrag bei mir mit einem unterschriebenen Scope-Dokument, bevor ein einziger Test läuft.

Weitere relevante Paragraphen

Je nach Testtiefe berühren Penetrationstests auch:

• § 202c StGB — Vorbereiten des Ausspähens und Abfangens von Daten (u. a. Besitz und Einsatz entsprechender Werkzeuge)
• § 303a StGB — Datenveränderung
• § 303b StGB — Computersabotage, etwa bei Systemausfällen durch den Test

Auch hier gilt: Mit einem klar abgegrenzten, schriftlichen Auftrag bewegt sich ein Test im legalen Rahmen. Genau deshalb ist der Scope kein Nebenaspekt, sondern das rechtliche Fundament des gesamten Projekts.

Was das Scope-Dokument regelt

• Welche Systeme, Domains und IP-Bereiche getestet werden dürfen
• Welche Methoden ausdrücklich ausgeschlossen sind
• Das genehmigte Zeitfenster für aktive Tests
• Wer im Ernstfall (z. B. bei unerwarteten Ausfällen) informiert wird
• Dass Sie als Auftraggeber die nötigen Zustimmungen Dritter (z. B. Hosting-Provider) eingeholt haben, sofern erforderlich

Vertraulichkeit & DSGVO

Im Rahmen eines Tests kann ich Zugriff auf personenbezogene oder sensible Daten erhalten. Das unterliegt denselben Sorgfaltspflichten wie bei Ihnen selbst — Vertraulichkeit ist keine Kür, sondern Grundlage jeder Zusammenarbeit. Auf Wunsch wird das zusätzlich per NDA schriftlich fixiert.

Ein Penetrationstest ist zugleich ein anerkanntes Mittel, um die in Art. 32 DSGVO geforderte „regelmäßige Überprüfung, Bewertung und Evaluierung der Wirksamkeit“ technischer Sicherheitsmaßnahmen nachzuweisen.