Legal Safe Harbor – Wie ethische Hacker entkriminalisiert werden

Bug-Bounty-Programme bieten Sicherheitsforschern die Möglichkeit, Online-Dienste auf Sicherheitslücken zu prüfen und diese zu melden. Das Schweizer Strafrecht sieht dies jedoch nicht vor – im Gegenteil: Artikel 143^bis StGB richtet sich explizit gegen das unbefugte Eindringen in ein fremdes Datenverarbeitungssystem:

‍

Wer mit Hilfe von Datenübertragungseinrichtungen unbefugt in ein fremdes, gegen seinen Zugriff besonders gesichertes Datenverarbeitungssystem eindringt, wird auf Antrag mit Freiheitsstrafe bis zu drei Jahren oder Geldstrafe bestraft.

StGB 143^bis – https://www.admin.ch/opc/de/classified-compilation/19370083/index.html#a143bis

‍

Professionelle Penetrationstester sehen sich im Rahmen ihrer Arbeit regelmäßig mit dieser Norm konfrontiert. Aufgrund der vertraglichen Vereinbarung mit dem Systeminhaber ist das Problem jedoch entschärft.

‍

Für Bug-Bounty-Hunter stellt sich die Situation anders dar, da sie zum Zeitpunkt der Untersuchung des fremden Systems grundsätzlich in keinem geregelten Vertragsverhältnis stehen und im schlimmsten Fall mit einer Strafverfolgung durch den Inhaber des untersuchten Systems rechnen müssen.

‍

Zwar ist die internationale Strafverfolgung bei Cyberkriminalität langwierig und wird selten angestrebt, doch stellt das Strafrecht für einheimische Forscher eine reale Bedrohung dar.

‍

Dieses Problem tritt auch in anderen Rechtsordnungen auf. International hat insbesondere die israelisch-amerikanische Forscherin Amit Elazari auf die Notwendigkeit eines «Legal Safe Harbor» für Bug-Bounty-Programme aufmerksam gemacht.

‍

Ein Leitfaden des niederländischen National Cyber Security Center (NCSC) ist vorbildlich. Er erläutert, wie Bug-Bounty-Programme nach niederländischem Recht organisiert werden können.

‍

Für die Schweiz fehlt eine entsprechende Vorlage. Im Vorfeld ihres Bug-Bounty-Programms hat sich die Schweizerische Post bereits 2018 intensiv mit diesem Thema auseinandergesetzt und wendet einen Verhaltenskodex für Bounty-Hunter an. Dieser verpflichtet die Forschenden dazu, sich im Rahmen des Bug-Bounty-Programms regelkonform zu verhalten. Ist dieses Verhalten gegeben, verpflichtet sich die Post im Gegenzug dazu, von einer Strafverfolgung abzusehen und den Forschenden zudem rechtlichen Beistand zu leisten, sollte eine entsprechende Strafverfolgung durch Dritte eingeleitet werden.

‍

Wir haben diesen Legal Safe Harbor geprüft und stellen hier in Absprache mit der Schweizerischen Post ein beispielhaftes Formular zur Verfügung, das für andere Bug-Bounty-Programme in der Schweiz verwendet werden kann:

‍

Konsequenzen bei Einhaltung des Verhaltenskodex (Legal Safe Harbor)

1. Der Betreiber wird keine zivilrechtlichen Schritte einleiten oder Strafanzeige bei den Strafverfolgungsbehörden gegen Teilnehmende erstatten, sofern Verstöße gegen den Verhaltenskodex versehentlich und in gutem Glauben erfolgt sind.
2. Der Betreiber wertet Aktivitäten von Teilnehmenden, die dem Verhaltenskodex entsprechen, als autorisierten Zugriff im Sinne des Schweizer Strafgesetzbuches. Dies umfasst die Artikel 143, 143^bis sowie 144^bis.
3. Der Betreiber wird keine Strafanzeige gegen Teilnehmende erstatten, die versuchen, die Sicherheitsmaßnahmen zu umgehen, welche zum Schutz der in den Geltungsbereich dieses Programms fallenden Dienste eingesetzt werden.
4. Sollten durch Dritte rechtliche Schritte gegen einen Teilnehmenden eingeleitet werden und hat der Teilnehmende den in diesem Dokument beschriebenen Verhaltenskodex eingehalten, wird der Betreiber die notwendigen Schritte unternehmen, um den Behörden gegenüber zu erklären, dass die Handlungen des Teilnehmenden in Übereinstimmung mit dieser Richtlinie erfolgten.
5. Jeder Verstoß gegen den Verhaltenskodex kann zum Ausschluss vom Programm führen. Bei geringfügigen Verstößen kann eine Verwarnung ausgesprochen werden. Bei schwerwiegenden Verstößen behalten sich die Organisatoren das Recht vor, Strafanzeige zu erstatten.

‍

Der Legal Safe Harbor wird unter der Lizenz Attribution 4.0 International (CC BY 4.0) bereitgestellt. Die kommerzielle Nutzung und Bearbeitung des Textes sind gestattet, sofern www.bugbounty.ch als Quelle genannt wird.

‍

Tatsächlich wurde die Formulierung des Posts bereits übernommen. MELANI / NCSC verwendet diese für den Public Security Test (PST) des SwissCovid Proximity Tracing Systems.

‍

Zwei der oben genannten Punkte wurden jedoch offenbar zum Nachteil der Tester abgeändert. Da es beim Test des Tracing-Systems primär um eine Quellcode-Analyse geht und die Server des Bundesamtes für Gesundheit ausserhalb des Geltungsbereichs liegen, spielt der Schutz vor Strafverfolgung eine untergeordnete Rolle. Daher hat MELANI / NCSC den vierten Punkt gestrichen und die Abstufung im fünften Punkt (geringfügige Verstösse) weggelassen. Beides erscheint uns im konkreten Fall sinnvoll.

‍

Für reguläre Bug-Bounty-Programme ist es hingegen wichtig, die entsprechenden Passagen zu übernehmen: Nur so kann sichergestellt werden, dass einheimische Tester vor Strafverfolgung geschützt sind.

–

Dieser Artikel wurde verfasst von Dr. Christian Folini