Das Computerstrafrecht sieht für zahlreiche Testverfahren von IT-Sicherheitsaudits strafrechtliche Konsequenzen vor. Doch die European Expert Group for IT-Security hält fest: Werden vorab alle nötigen Einwilligungen erteilt, haben IT-Sicherheitsaudits keine strafrechtliche Relevanz.
Passwort-Manager für Unternehmen gibt es als On-Premise- und als Cloud-Lösung. Während die Daten bei der Cloud-Variante in einem externen Rechenzentrum (auf einem externen Server) gespeichert werden, liegen diese bei einer On-Premise-Variante auf einem unternehmensinternen Server.
Welche Variante sicherer ist, muss im Einzelfall bewertet werden.
Passive Scans gelten nach §202a StGB nicht als strafrechtlich relevant, weil die abgefragten Informationen vor der Zugriffssicherung liegen.
Die Ausnutzung gefundener Schwachstellen, um das System auf einer tieferen Ebene zu scannen, fällt allerdings schon unter die Strafbarkeit von §202a StGB. Auch die Ausnutzung sogenannter Trap Doors ist demnach strafbar, da hier auf das ganze System abzustellen ist und somit die Zugriffssicherung umgangen wird.
Honeypots, die installiert werden, um Angreifer in Sackgassen zu führen, gelten als zulässig. Anders als oft behauptet, sind sie auch keine Anstiftung zu einer Straftat.
Das Hacking von Testsystemen im Rahmen des Audits ist ebenfalls nicht strafbar. Die Bereitstellung eines solchen Systems wird rechtlich als Einwilligung gewertet.
Zugriffe auf Produktivsysteme, auch durch IP-Spoofing, Übernahme einer Session, SQL-Injections oder Cross-Site-Scripting müssen explizit durch die Einwilligung des Rechteinhabers gedeckt werden, um nicht als strafbar zu gelten.
Das Durchbrechen von Passwortsperren gilt als Straftat, sobald der Durchbruch erfolgreich ist. Werden für das Cracken eines Passworts Daten aus dem System benötigt, gilt schon das Auslesen dieser Daten als strafbar.
Das Einschleusen von Trojanern gilt dann als strafbar, wenn:
Das Ändern unsicherer Passwörter darf nur mit dem Einverständnis des Rechteinhabers erfolgen
Die Implementierung von Virensoftware auf Testsystemen zum Zweck der Sicherheitsüberprüfung ist zulässig. Ansonsten fällt diese Implementierung unter die Strafbarkeit nach §303a StGB, sofern keine Einwilligung vorliegt. Die Programmierung von Virensoftware ist allerdings nicht strafbar, solange sie nachweisbar zu Testzwecken erfolgte und die Software nicht an Dritte weitergegeben wird.
Sniffer sind ein klassisches Beispiel für die Strafbarkeit nach §202b StGB. Da vorab auch nicht festgelegt werden kann, wessen Daten abgefangen werden, kann auch niemand eine Einwilligung erteilen, die eine Strafbarkeit aufheben würde. Hier können sich Dienstleister und Rechtinhaber allerdings auf die Sicherung der Funktionalität des Telekommunikationsnetzes gemäß §88 III 1 TKG berufen, wonach ein Einsatz gerechtfertigt sein könnte.
Da die Strafbarkeit der Sicherheitsüberprüfung im Computerstrafrecht durch eine Einwilligung aufgehoben werden kann, sollten Dienstleister und Rechtinhaber vor dem Audit gemeinsam eine Einverständniserklärung aufsetzen.
Diese sollte folgende Punkte beinhalten:
eine Aufzählung der durchzuführenden Tests
die Zielsetzung dieser Tests
ggf. die angedachte Vorgehensweise
eine Aufführung der zu überprüfenden Systeme
eine Aufklärung über mögliche Risiken und Gefahrenpotentiale
die Befugnis der gestattenden Person auf Seiten des Rechteinhabers
In Unternehmen erteilt die Einwilligung in der Regel die Geschäftsführung bzw. der Vorstand, wenn es sich um eine Aktiengesellschaft handelt. Besitzt das Unternehmen eine IT-Abteilung, kann durch eine mögliche Vereinbarung diese Befugnis auch an eine Abteilung oder Einzelpersonen delegiert werden. Um Rechtssicherheit für alle Beteiligten herzustellen, sollte die Einverständniserklärung für die IT-Sicherheitsüberprüfung schriftlich fixiert werden.
Eine juristisch umstrittene Konstellation für IT-Sicherheitsaudits ist die, dass Unternehmen ihren Arbeitnehmerinnen und Arbeitnehmern erlaubt haben, die IT-Infrastruktur auch für private Zwecke zu nutzen. Hier ist strittig, wer Rechteinhaber an den im System gespeicherten privaten Daten der Arbeitnehmer ist.
In der Regel überwiegt allerdings das berechtigte Interesse des Unternehmens an der Funktionalität seiner Systeme gegenüber dem Geheimbereich des Arbeitnehmers. Es ist anzuraten, für IT-Sicherheitsaudits dennoch das Einverständnis der Arbeitnehmer einzuholen. Gängig ist hierfür der Abschluss einer Betriebsvereinbarung.
