Das dünne rechtliche Eis von IT-Sicherheitsaudits

Eine Überprüfung der IT-Sicherheit dient nicht nur der Wahrung der Geschäftsinteressen sondern gehört – zumindest bei aktiennotierten Unternehmen – sogar zum Pflichtprogramm. Ein neuer Leitfaden sorgt vor dem Hintergrund des neuen Computerstrafrechts für mehr Klarheit.

Die European Expert Group for IT Security (EICAR) stellt ein neues Positionspapier zur strafrechtlichen Relevanz von IT-Sicherheitsaudits vor, das Sicherheitsüberprüfungen vor dem Hintergrund des neuen Computerstrafrechts beleuchtet.

Demnach ist die überwiegende Zahl der IT-Sicherheitsüberprüfungen nur dann zulässig, wenn zuvor durch den Rechtsgutsträger eine Gestattung der entsprechenden Tätigkeiten im vorzunehmenden Umfang erfolgt. Die Durchführung von IT-Sicherheitsüberprüfungen ist essentielle Voraussetzung für die Gewährleistung von Informationsschutz, Daten- und Netwerksicherheit im eigenen Unternehmen. Sie liegt damit nicht nur im ureigenen wirtschaftlichen Interesse, sondern ist zumindest für Aktiengesellschaften aufgrund § 91 II AktG auch rechtlich geboten.

"Die rechtlichen Rahmenbedingungen sind allerdings, gerade mit Blick auf das im Sommer 2007 erheblich ausgeweitete deutsche Computerstrafrecht, alles andere als trivial und erschließen sich nicht etwa durch einfachen Blick in das Gesetz", heißt es in einer Mitteilung von EICAR. Ein hohes Maß an Rechtssicherheit für die beteiligten Fachkreise ist aber Grundvoraussetzung für die Durchführung effektiver Sicherheitsaudits.

Der Autor Christian Hawellek stellt in dem Papier fest, dass nach neuer Rechtslage ausschließlich rein passive Scans nach Sicherheitslücken gestattet sind, die ohne jegliche weitere Penetration der gescannten Systeme erfolgen. Jede darüber hinausgehende Überprüfung hingegen fällt üblicherweise in den Anwendungsbereich des Computerstrafrechts und ist damit erst bei Vorliegen weiterer besonderer Voraussetzungen zulässig.

So stellt das Ausnutzen von Sicherheitslücken zur Erlangung des Zugangs zu Daten oder Systemen – sei es mit Hilfe der erweiterten Funktionen von Scan-Software wie AppScan, der Nutzung eigener oder fremder Exploits, XSS, SQL-Injections oder aber Passwortcracks – ein Ausspähen von Daten im Sinne des § 202a des StrafGB dar. Handlungen zur Überprüfung der Leistungsfähigkeit von Antivirus- und Antispy-Programmen können in den Anwendungsbereich des § 303a StGB (Datenveränderung) fallen. Der Einsatz sogenannter Sniffer schließlich ist ein klassischer Fall des Abfangens von Daten (§ 202b StGB).

Zwingende Voraussetzung für die strafrechtliche Zulässigkeit der vorgenannten Handlungen ist damit die Gestattung durch den jeweiligen Rechtsgutsträger, soweit nicht sonstige Rechtfertigungsgründe eingreifen. Problematisch ist dabei vor allem die exakte Bestimmung des jeweils geschützten Personenkreises, insbesondere dann, wenn Informationssysteme in bestimmtem Umfang auch privat genutzt werden dürfen. Sind auch Rechtsgüter Dritter betroffen, so sind Eingriffe nur zulässig, wenn entweder auch deren jeweilige Zustimmung vorliegt.

Das EICAR Legal Advisory Board, Herausgeber der neuen Broschüre, ist ein neu gegründeter Fachbereich unter dem Dach der europäischen Sicherheitsorganisation. Als Vorsitzender des Boards konnte der renommierte IT-Rechtsexperte Prof. Dr. Nikolaus Forgo gewonnen werden. Das EICAR Legal Advisory Board wird sich in Zukunft mit aktuellen Rechtsfragen, die in einem Zusammenhang mit Informationssicherheit stehen, auseinander setzen.