Berufsverbot

Das Wörtchen “unbefugt” hilft im Zusammenhang mit § 202c Abs. 1 Nr. 2 StGB-E - um den es hier ja geht - leider nicht weiter. Denn die Vorschrift betrifft “Computerprogramme, deren Zweck die Begehung einer solchen Tat ist”, also bspw. des unbefugten Verschaffens von Zugang zu Daten oder des unbefugten Abfangens von Daten. Diese Eigenschaft eines Computerprogrammes kann diesem aber nur entweder generell anhaften oder generell nicht anhaften; es geht ja nicht darum, ob im Einzelfall dieses Programm bsp.w mit dem Einverständnis des “Opfers” (= befugt) oder ohne dessen Einverständnis verwendet wird, sondern es geht bereits um das Herstellen oder Sichverschaffen solcher Programme, also der eigentlichen Tat vorgelagerte Handlungen.

Um ein Beispiel zu bringen: ein “fertiger” Exploit, der quasi auf Knopfdruck Zugang zu besonders gesicherten Daten verschafft, wenn die “angegriffene” Software verwundbar ist, kann der Vorschrift daher nur ganz oder gar nicht unterfallen: entweder ist er ein Computerprogramm, dessen Zweck die Begehung einer Straftat des Verschaffens von unbefugtem Zugang zu Daten ist, oder er ist es nicht. Diese Frage muß man unabhängig davon beantworten können, ob nun ein “Blackhat” damit tatsächlich Angriffe ausführen will oder ein “Whitehat” einen Verwundbarkeitstest machen soll, schon deshalb, weil die ganze Vorschrift sonst sinnlos wäre, da bei dieser Auslegung erst zu prüfen wäre, ob es um ein befugtes oder unbefugtes Verschaffen von Daten geht, will sagen, ob das “Hacker-Tool” nun wirklich von einem “bösen Hacker” oder von einem “lieben Sicherheitstester” eingesetzt wird. Die Vorschrift soll ja gerade im Vorfeld der Tatbegehung eingreifen und die entsprechenden Programme generell treffen.

Natürlich ist ein Audit weiterhin zulässig, wenn die Zustimmung des “zu auditenden” vorliegt; denn dann ist eine Strafbarkeit nach §§ 202a, 202b, 303b StGB-E ausgeschlossen. *Aber*: es soll zukünftig dann nicht mehr zulässig sein, entsprechende Software (“Hacker-Tools”) herzustellen oder sich zu verschaffen. Auch nicht dann, wenn man sie bspw. nur aus wissenschaftlichem Interesse auf seiner eigenen Maschine ausprobiert. Und genau da liegt das Problem dieser Vorschrift, das sich auch durch Auslegung nicht beseitigen läßt (weil bei einer anderen Auslegung die Vorschrift leer läuft - dann müßte man nämlich die Beurteilung eines “Hacker-Tools” von der damit begangenen oder versuchten Tat abhängig machen, käme also immer nur dann zu einer Strafbarkeit nach dieser Vorschrift, wenn auch eine Strafbarkeit aus §§ 202a, 202b, 303b StGB-E schon gegeben ist; das ist gerade nicht das Ziel der Regelung, die ja u.a. gezielt Downloadseiten treffen will.)

Das Problem wird nicht nur Deutschland treffen, da der Gesetzentwurf lt. Begründung auch insoweit der Umsetzung europäischer Vorgaben dient ...