GI fordert Reform für ethisches Hacking

Die Gesellschaft für Informatik e.V. (GI) hat gemeinsam mit LOAD e.V., der AG KRITIS sowie Fachexpert*innen ein Whitepaper vorgelegt, das eine grundlegende Reform der §§ 202a-c StGB fordert. Grundlage sind drei Workshops und mehrere Expertengespräche im Mai/Juni 2026 zum Thema Responsible Disclosure.

Das Kernproblem

Nach geltendem Recht macht sich strafbar, wer unbefugt auf gesicherte Daten zugreift und zwar unabhängig von der Motivation. Wer eine Schwachstelle entdeckt und meldet, belastet sich damit faktisch selbst. Besonders der stark kritisierte § 202c StGB kriminalisiert bereits die Herstellung und Verbreitung sogenannter „Hacker*innentools“, was auch legitime Sicherheitsforschung (etwa Pen-Tests, Reverse Engineering oder Dekompilieren) erschwert. Als Präzedenzfall dient der Fall „Modern Solutions“: Ein IT-Experte wurde verurteilt, obwohl er eine E-Commerce-Sicherheitslücke im Sinne des Kundenschutzes aufgedeckt hatte; das Bundesverfassungsgericht bestätigte 2024 die Verurteilung.

Die Rechtsunsicherheit betrifft mehrere Rechtsgebiete gleichzeitig: neben dem Strafrecht auch das Abhörverbot nach § 5 TDDDG, § 42 Abs. 2 BDSG, das Geschäftsgeheimnisgesetz (§ 5 GeschGehG) sowie urheberrechtliche Vorschriften zum Dekompilieren (§§ 69d, e UrhG). Auch datenschutzrechtlich bleibt unklar, wie sich Art. 32 DS-GVO (der Verantwortliche zur Überprüfung ihrer technisch-organisatorischen Maßnahmen verpflichtet) mit dem strafrechtlichen Risiko für externe Tester*innen verträgt.

Empfehlungen der GI

Zentrale Forderung ist die Einführung einer Schädigungsabsicht als zusätzliches Tatbestandsmerkmal in §§ 202a-b StGB, sodass die Beweislast auf Herstellerseite verlagert wird. Zudem solle eine unzureichende Sicherung (z.B. unverschlüsselte Passwörter) nicht als „besondere Sicherung“ im Sinne des § 202a StGB gelten. § 202c StGB solle nicht die Werkzeuge, sondern nur deren missbräuchliche Verwendung sanktionieren. Als Vorbilder nennt das Papier Polen, Portugal und Belgien, die ethisches Hacking unter bestimmten Voraussetzungen bereits straffrei stellen.

Ausdrücklich abgelehnt werden dagegen ein Hacker*innen-Register sowie eine Pflicht zur De-Anonymisierung Meldender, da beides zeitkritische Meldungen verzögern und Repressionsrisiken erhöhen würde. Die GI verweist zudem auf den ab September 2026 greifenden Cyber Resilience Act, dessen verpflichtende Meldewege um freiwillige Meldemöglichkeiten für externe Forschende ergänzt werden sollten.

(Foto: ZAY WIN HTAI – stock.adobe.com)