Forschende von FIZ Karlsruhe analysieren Rechtslage von sogenannten „ethischen Hackern“

Karlsruhe, 25.11.2021 – Die Lage ist ernst – das wird deutlich angesichts der besorgniserregenden Einschätzung zur Cybersicherheit. Laut aktuellem Lagebericht der IT-Sicherheit in Deutschland des Bundesamts für Sicherheit in der Informationstechnik (BSI) ist der Umgang mit Schwachstellen eine der größten Herausforderungen der Informationssicherheit, denn so das BSI: „Cyber-Kriminelle sind aufgrund ihrer technischen Möglichkeiten dazu fähig, Schwachstellen auszunutzen – in vielen Fällen ohne weiteres Zutun der Anwenderinnen und Anwender“. Der Branchenverband Bitkom e. V. belegt dies zusätzlich mit einer Studie, der zufolge Cyberangriffe bei 86 Prozent aller Unternehmen zu Schäden führen und jedes zehnte Unternehmen sich deshalb in seiner Existenz bedroht sieht.

Ein effektives Mittel dagegen ist die IT-Sicherheitsforschung. Forschende dieses Bereichs widmen sich der Analyse möglicher Sicherheitslücken, denn trotz größtmöglicher Sorgfalt sind Produkte der Informations- und Kommunikationstechnik selten frei von diesen Schwachstellen. Die eingesetzten Methoden und technischen Vorgehensweisen ähneln zwar denen von Cyberkriminellen – die Intention ist aber eine ganz andere: gefundene Sicherheitsschwachstellen werden an Produktverantwortliche gemeldet, die so ihre Produkte absichern und damit sowohl ihr Unternehmen als auch deren Kundschaft vor Schäden bewahren. Leider mussten sich Forscherteams von Universitäten aus Berlin, München und Nürnberg wegen der geplanten Veröffentlichung der daraus gewonnenen Forschungsdaten vor Gericht verantworten; „ethische Hacker“ werden mit Strafanzeigen und sogar Hausdurchsuchungen konfrontiert.

Das Recht in Deutschland berücksichtigt diese schwierige Lage der IT-Sicherheitsforschenden allerdings bis heute nicht: Ein heute veröffentlichtes Whitepaper zur Rechtslage der IT-Sicherheitsforschung in Deutschland von 22 Autorinnen und Autoren aus Forschung und Praxis belegt „eine weitläufige Rechtsunsicherheit, die schon bei der Entscheidung für oder gegen einen Forschungsgegenstand ggf. abschreckende Wirkung hat. Da Hochschulen gesetzlich zu wissenschaftlicher Redlichkeit verpflichtet sind, dürfen sie keine Projekte betreiben, wenn diese gegen geltendes Recht verstoßen könnten.“ In dem Whitepaper werden auch Chancen und Lösungen aufgezeigt, wie IT-Sicherheitsforschende vor juristischen Konfrontationen bewahrt und zugleich IT-Systeme und Software-Anwendungen zukünftig sicherer werden.

Details zum Projekt unter der Beteiligung von Oliver Vettermann und Prof. Dr. Franziska Boehm für FIZ Karlsruhe finden Sie unter https://sec4research.de.