Was einen Pentester vom Angreifer unterscheidet?
Eine Unterschrift.
Stellen Sie sich vor, jemand verschafft sich Zugang zu Ihrem Firmennetzwerk, knackt ein paar Passwörter, stöbert in Ihrer Kundendatenbank und schreibt am Ende fein säuberlich auf, wie er alles geschafft hat. Albtraum oder Dienstleistung? Das hängt ganz davon ab, ob Sie vorher etwas unterschrieben haben.
Pentester arbeiten, wie Angreifer es auch tun würden, mit denselben Tools, denselben Kniffen und derselben Hartnäckigkeit. Der Unterschied zwischen uns und ihnen passt auf ein paar Seiten Papier: die Beauftragung. Ohne sie wären wir nicht Ihre Sicherheitsberater, sondern ein Fall für die Staatsanwaltschaft.
Unser Arbeitsalltag aus Sicht des Strafgesetzbuchs
Das Strafgesetzbuch hat gleich mehrere Vorschriften für Menschen, die sich für fremde Daten interessieren. Das sogenannte Computerstrafrecht:
Was im Pentest passiert | Wo es im StGB steht |
Zugangssicherungen überwinden und Daten einsehen | § 202a StGB – Ausspähen von Daten |
Datenverkehr im Netzwerk mitlesen | § 202b StGB – Abfangen von Daten |
Werkzeuge und Zugangsdaten für den ,,Angriff‘‘ besorgen | § 202c StGB – der sogenannte ,,Hackerparagraf‘‘ |
Daten verändern oder löschen | § 303a StGB – Datenveränderung |
Systeme stören oder lahmlegen | § 303b StGB – Computersabotage |
Allein für das Ausspähen von Daten sieht das Gesetz bis zu drei Jahre Freiheitsstrafe vor.
Warum sitzen also Pentester nicht hinter Gittern?
Ein Wort macht den Unterschied.
Der Grund, warum wir legal handeln, steckt direkt im Wortlaut des Gesetzestextes. Die Normen des Computerstrafrechtes bestrafen nicht jeden, der auf fremde Daten zugreift, sondern nur, wer das ,,unbefugt‘‘ tut und an Daten gelangt, die ,,nicht für ihn bestimmt sind‘‘ (§ 202a StGB).
Und hier kommt Ihre Unterschrift ins Spiel: Wenn Sie uns als Berechtigter beauftragen, Ihre Systeme anzugreifen, handeln wir eben nicht unbefugt. Ähnliches gilt für die Datenveränderung. Mit Ihrer Erlaubnis ist alles im grünen Bereich. Ob man das dogmatisch als Einverständnis oder als Einwilligung einordnet, füllt in der Rechtswissenschaft ganze Fußnotenapparate. Für Sie und uns läuft es aber auf eine einfache Formel hinaus: Solange eine Erlaubnis vorliegt, ist alles gut. Liegt keine Erlaubnis vor, haben wir ein Problem. Umso wichtiger ist es, zu Ihrer und unserer Sicherheit klar abzugrenzen, was getestet werden darf und wo die Grenzen liegen.
Bleibt nur noch die Frage nach unserem Werkzeug. Darf man Software besitzen, mit der man theoretisch auch Schaden anrichten könnte? Ja. Das Bundesverfassungsgericht hat 2009 entschieden, dass der Hackerparagraf nicht automatisch Programme betrifft, die von Angreifern und Verteidigern gleichermaßen genutzt werden. In der Pressemitteilung erläuterte das Bundesverfassungsgericht, warum sogenannte ,,Dual-Use-Tools‘‘ nicht automatisch erfasst sind: „Das Programm muss mit der Absicht entwickelt oder modifiziert worden sein, es zur Ausspähung oder zum Abfangen von Daten einzusetzen. Außerdem muss sich diese Absicht objektiv manifestiert haben. Es reicht schon nach dem Wortlaut der Vorschrift nicht aus, dass ein Programm – wie das für das so genannte dual use tools gilt – für die Begehung der genannten Computerstraftaten lediglich geeignet oder auch besonders geeignet ist.‘‘
Ein Küchenmesser ist auch kein Tatwerkzeug, nur weil es spitz ist.
Gut gemeint ist nicht gleich befugt
Dass Gerichte hier keinen Spaß verstehen, musste ein IT-Experte im Fall ,,Modern Solution‘‘ erfahren. Bei einem Auftrag für einen Kunden entdeckte er Zugangsdaten zur Datenbank eines Softwareherstellers. In dieser Datenbank befanden sich Bestellungen, Adressen und Kontodaten vieler Onlinehändler. Er prüfte den Zugang, meldete die Lücke und hoffte vermutlich auf ein freundliches ,,Danke‘‘. Er bekam eine Strafanzeige, Besuch von der Polizei und eine Geldstrafe.
Das Strafrecht fragt nicht, ob Sie es gut gemeint haben, sondern ob Sie durften. Der IT-Experte hatte zwar einen Auftrag von einem Kunden des Softwareherstellers aber eben nicht vom Softwarehersteller selbst. Gute Absichten ersetzen keine Erlaubnis.
Zwar hat das Bundesjustizministerium 2024 einen Entwurf vorgelegt, der IT-Sicherheitsforschung besser absichern sollte, Gesetz geworden ist daraus bisher aber nichts. Die Erlaubnis bleibt weiterhin der Schlüssel.
Die Stolperfallen: Wer darf eigentlich ,,Ja‘‘ sagen?
Also schnell einen Vertrag aufsetzen, unterschreiben und gut ist? Fast. Einen kleinen Haken gibt es noch. Eine Erlaubnis ist nur so viel wert wie die Befugnis dessen, der sie erteilt. Sie können uns gestatten, Ihren Server anzugreifen, aber nicht den Ihres Nachbarn. Das klingt banal, wird aber in der Praxis schnell knifflig.
Der Grundsatz: Es kommt auf die Daten an, nicht auf die Hardware
Das Computerstrafrecht schützt nicht Geräte, sondern Daten. Erlauben kann deshalb nur, wer über die betroffenen Daten verfügen darf. Juristen sprechen vom Verfügungsberechtigten. Das ist in der Regel derjenige, der die Daten gespeichert hat oder für den sie gespeichert werden, und nicht unbedingt der, dem der Rechner gehört.
Das hat zwei Seiten: Wer einen Server mietet, ist für seine Daten darauf selbst berechtigt, auch wenn das ,,Blech‘‘ dem Vermieter gehört. Umgekehrt kann er aber nur für seine eigenen Daten und Systeme einwilligen, nicht für die Infrastruktur, die ihm nicht gehört.
Im Unternehmen: Wer spricht für die Firma?
Bei einem Unternehmen ist die Firma selbst die Berechtigte. Weil eine GmbH oder AG aber keinen Kugelschreiber halten kann, handelt sie durch Menschen: die Geschäftsführung oder den Vorstand und alle, die von ihnen dafür bevollmächtigt wurden, etwa die IT-Leitung oder der Informationssicherheitsbeauftragte.
Nicht automatisch befugt ist dagegen, wer einfach nur Zugang hat. Der hilfsbereite Administrator, der am Telefon sagt „Probiert’s ruhig mal“, kennt vielleicht die Systeme am besten, darf aber nicht unbedingt für das ganze Unternehmen entscheiden.
Wenn Dritte im Spiel sind
Kaum ein Unternehmen betreibt heute noch alles selbst. Sobald fremde Infrastruktur beteiligt ist, gibt es mehrere Berechtigte, und jeder kann nur für seinen Teil zustimmen:
- Cloud und Hosting: Ihre Daten und Ihre Instanz dürfen Sie testen lassen. Die Plattform darunter gehört dem Anbieter, und auf geteilten Systemen könnte ein Test auch andere Kunden treffen. Viele Anbieter legen deshalb in eigenen Regeln fest, was bei Sicherheitstests erlaubt ist.
- Konzerne: Die Muttergesellschaft beauftragt, das System gehört aber der Tochter. Dann muss auch die Tochter zustimmen.
Und selbst dann: nur so weit wie vereinbart
Auch eine wirksame Erlaubnis hat Grenzen, nämlich genau die, die vereinbart wurden. Wer die Adressen 203.0.113.10 bis .20 freigibt, hat .21 nicht freigegeben, auch wenn .21 noch so verlockend aussieht. Dasselbe gilt für die Methoden, wie Social Engineering oder Phishing-Simulationen, diese brauchen eine ausdrückliche Freigabe.
Die Checkliste für eine saubere Beauftragung
Damit am Ende niemand vor Gericht über die Frage ,,War das jetzt erlaubt?‘‘ diskutieren muss, sollte jede Beauftragung mindestens Folgendes klären:
- Was wird getestet? Systeme, IP-Adressen, Domains und Anwendungen, und genauso, was außen vor bleibt.
- Wann wird getestet? Ein klar definiertes Zeitfenster.
- Wie wird getestet? Erlaubte und ausgeschlossene Methoden.
- Wer darf das erlauben? Die Bestätigung, dass der Auftraggeber über die Systeme verfügen darf, und wenn nötig die Zustimmung von Hoster oder Dienstleister.
- Wen rufen wir an? Ansprechpartner und eine Notfallnummer, falls etwas Unerwartetes passiert.
- Was passiert mit den Daten? Vertraulichkeit, Datenschutz und Löschung nach Projektende.
Fazit: Eine Unterschrift, die uns und Sie schützt
Die Formalitäten vor einem Pentest sind keine lästige Bürokratie, sondern die Grenze zwischen Sicherheitstest und Straftat. Sie schützen den Pentester vor der Strafverfolgung und Sie davor, dass jemand mehr testet, als Sie wollten.
Ein seriöser Anbieter wird deshalb immer genau nachfragen, bevor er loslegt. Will jemand mal drauflos hacken, ohne zu klären, was er überhaupt darf, sollten bei Ihnen die Alarmglocken schrillen. Bei pen.sec klären wir all das gemeinsam mit Ihnen in einem Kick-off-Gespräch und halten es in einer schriftlichen Scope-Liste fest, bevor die erste Taste gedrückt wird. Sie möchten wissen, wie das konkret abläuft? Sprechen Sie uns an Kontakt pen.sec AG