Linus Neumann 0:47:32
Weltweit ist es ja für SicherheitsforscherInnen in vielen Ländern ein Risiko,dass es Gesetze gibt, die das Hacking nicht erlauben.Ähm,die also quasi das Melden einerSicherheitslücke mit dem grundsätzlichen rechtlichen Risiko verbinden,dass man sich damit selber de facto einer strafbaren Handlung bezichtigen muss.Das ist weit mehr ein theoretisches Problem als ein praktisches,das möchte ich immer wieder betonen.Die meisten Menschen und Unternehmen sind schlau genug zu erkennen,dass wenn eine Sicherheitsforscherin eine Schwachstelle meldet,dass es sich dabei um eine freundliche,kostenlose Dienstleistung handelt, für die man dankbar sein kann.Aber es gibt eben ein rechtliches Risiko, dass mitunter auch mal die ein oderandere Sicherheitsforscherin davon abhält, eine Meldung vorzunehmen.Es ist, glaube ich, auch bekannt, dass wir als CCC bei so etwas gerne auch mal helfen.Eine Meldung ordentlich vorzunehmen oder auch in einem besonders kritischenFall die Meldung dann für die Leute zu machen,um quasi sicherzustellen, dass sollten die Unsouveränen darauf reagieren,sie nicht wissen, gegen wen sie jetzt die Strafanzeige stellen sollen.Sondern es wäre schön, hier diese rechtliche Grauzone und diesen Risikobereicheinfach wegzuschaffen.Und wenn ich mich nicht täusche, haben das jetzt auch mehrere Bundesregierungenimmer wieder angekündigt und versprochen, es dann leider nicht erfolgt,weil man immer irgendwas anderes hatte.Portugal hat jetzt eine Ausnahme formuliert,in ihrem Cybercrime-Gesetz.Und da schreiben sie, haben sie quasi einen Paragraphen, in dem sie sagen,Handlungen, die nicht strafbar sind, aufgrund des öffentlichen Interesses an IT-Sicherheit.Dann sagen sie,wenn, also es gibt eine Ausnahme für Sicherheitsforscher, die mit dem Ziel unddem alleinigen Ziel handeln, Schwachstellen zu identifizieren,um somit zur Sicherheit beizutragen.Und dafür haben sie viele Voraussetzungen, zum Beispiel ...Du darfst ausschließlich darauf abzielen, nicht vom Forscher selbst verursachteSchwachstellen zu identifizieren.Du darfst jetzt nicht irgendwie auf der einen Seite eine machen,die andere Seite melden.Du darfst keinen wirtschaftlichen Vorteilanstreben, der über eine übliche professionelle Vergütung hinausgeht.Ich glaube, das geht einfach darauf zurück, dass man ja eben auch Bug-Bounties potenziell,es gibt ja Unternehmen, die sagen, Wenn du uns eine Sicherheitslücke meldest,haben wir ein Bug-Bounty-Programm und dann wäre es eben natürlich,dass du auch mit der Meldung einen wirtschaftlichen Vorteil anstrebst in diesem Fall.Ansonsten finde ich es eigentlich grundsätzlich, unser Ansatz beim CCC ist grundsätzlich,dass wir niemals damit einen wirtschaftlichen Vorteil anstreben und auch niemandem helfen, der das tut.Die Schwachstelle muss unverzüglich gemeldet werden und zwar dem Systeminhaber,allen Verantwortlichen im Sinne des,Datenschutzrechts und der CNCS, ich denke das ist die National Cyber,hast du nicht gesehen, so ein BSI oder sowas,die Handlungen, die du vollführst, müssen streng auf das Zuerkennung der Schwachstelleerforderliche beschränkt sein, dürfen keine Dienste beeinträchtigen,keine Daten verändern oder löschen und keinen Schaden verursachen.Also so ein bisschen minimal invasiv. Nicht irgendwie sagen,guck mal hier, da kann man ausmachen. Aus, hab ich mal gezeigt.Keine unrechtmäßige Verarbeitung personenbezogener Daten im Sinne der DSGVO.Klingt ein bisschen, da bin ich ein bisschen vorsichtig, weil ich nicht genauweiß, wo die Schwelle ist, was jetzt Verarbeitung von Daten ist.Zugreifen wird schon irgendwann mal nötig sein, weil die meisten Schwachstellen,die gemeldet werden, sind eben,Daten-Lags, ja, da weiß ich nicht genau, wie das dann im Detail ausformuliertist, aber es ist gleichermaßen auch klar, dass du jetzt nicht sagen kannst, alles klar,ich nehme jetzt alle Daten und verarbeite die oder leake die und sage dann,ich bin Sicherheitsvorscher oder so.Gleichermaßen haben wir, glaube ich, vor zwei Folgen auch diskutiert,dass da Leute einmal das komplette WhatsApp-Verzeichnis gedumpt haben und,Ist das jetzt eine unrechenmäßige Verarbeitung personenbezogener Daten oder nicht?Bin ich keine Fachperson? Irgendeine Form von Limitation muss da sein,wie die genau jetzt formuliert ist, weiß ich nicht.Der Forscher oder die Forscherin darf keine verbotenen Techniken einsetzen.Da hört, und da nennen sie kein DOS, kein DDoS, kein Social Engineering,kein Phishing, kein Passwortdiebstahl, keine vorsätzliche Datenveränderung,Systembeschädigung oder den Einsatz von Schadsoftware.Also ja, Phishing, Social Engineering, bei Passwortdiebstahl finde ich so eineSache, ich meine, wenn ich in einem Passwortleak ein funktionierendes Passwort finde und das melde,weiß ich jetzt nicht, ob das etwas Böses wäre, aber immerhin sind hier nichtHacker-Tools gelistet.Und es geht jetzt quasi auch, also ich meine, wenn ich dich fische und dir dannsage, übrigens, ich habe eine Schwachstelle gefunden, bei dir am Computer sitztein Idiot, der jeden Link klickt, das ist jetzt keine Schwachstelle in dem Sinne.Und wenn ich eine Schadsoftware bei dir installiere, also würde ich sagen,ist schon das, was dort gelistet ist, bis eventuell auf Passwortdiebstahl.Oder der aktive Passwortdiebstahl ist damit ja auch gemeint,dann würde ich sagen, Das sind alles Sachen, die im Prinzip eine Sicherheitsforschungpotenziell auch einfach disqualifizieren.Alle im Rahmen der Forschung erlangten Daten müssen vertraulich behandelt undinnerhalb von zehn Tagen nach Behebung der Schwachstelle gelöscht werden.Okay, denke ich ist auch...Ist jetzt eine Anforderung, der man gerecht werden kann.Das führt nur so ein bisschen zu einer Beweislastumkehr oder zu einer Verpflichtung,dass ich als Forscher entweder diekorrekte Behebung der Schwachstelle verifizieren muss oder die Aussage,sie wäre behoben, mich jetzt zur Löschung aller Nachweise zwingt.Das kann dann im Detail auch noch mal komplizierter werden.Handlungen, die mit Zustimmung des Systeminhabers erfolgen, sind ebenfalls vonder Strafe ausgenommen.Gefundene Schwachstellen müssen jedoch trotzdem der CNCS gemeldet werden.Das klingt ein bisschen komisch, weil das klingt so ein bisschen,dass sie da eigentlich letztendlich ihre Meldepflicht so ein bisschen zu dem nehmen,um das zu hebeln und sagen, wir wollen als Staat das unbedingt wissen,damit du straffrei bleibst.Da gibt es natürlich auch so ein bisschen so ein Eigeninteresse.