Lücken (immer) schließen? Wie soll der Staat mit IT-Sicherheitslücken umgehen?

Mit der zunehmenden Digitalisierung wächst auch die Gefahr von Cyberangriffen aus dem Netz: Hier stehen sowohl Unternehmen als auch die öffentliche Verwaltung vor der Herausforderung, ihre Soft- und Hardware zu schützen und Schaden abzuwenden. Auf der Seite der Wissenschaft können IT-Sicherheitsforschende im Umgang mit Cyberangriffen einen wertvollen Beitrag leisten – sie setzen sich allerdings durch ihr Handeln massiven rechtlichen Risiken aus: Spüren beispielsweise Forschende in ihrer Funktion als ethische Hacker Sicherheitslücken auf und möchten sie betroffene Institutionen darüber adäquat informieren, bleiben viele rechtliche Fragen offen.

Hier bedarf es daher eines Rechtsrahmens, der ein praktisches und rechtssicheres Verfahren zur Meldung und Schließung von Sicherheitslücken bietet. Denn die Forschenden selbst stehen mit ihren Aktivitäten vor einem Dilemma: Inwiefern können sie eine identifizierte Sicherheitslücke wissenschaftlich analysieren, wenn das Strafrecht mit § 202c und § 202a StGB bereits Vorbereitungsmaßnahmen belangt? Das Recht steht darüber hinaus vor einem Zielkonflikt: Wenn Sicherheitslücken an Hersteller gemeldet werden, dann können Behörden diese nicht mehr nutzen. Solange Sicherheitslücken bestehen, können diese zum Schaden der Gesellschaft ausgenutzt werden. Aufgabe der Politik ist es folglich, diesen Konflikt zu lösen.

---