Finden von Sicherheitslücken in fremden Websites

Sehr geehrter Fragesteller,

Ihre Fragen möchte ich anhand der vorliegenden Informationen wie folgt beantworten:

1. Das von Ihnen beschriebene Vorgehen steht in möglichem Konflikt mit den Straftatbeständen der §§ 202a und 202c StGB .

Eine Strafbarkeit nach § 202 c StGB wegen des Vorbereitens des Ausspähens oder Abfangens von Daten scheitert letztlich zwar daran, dass Sie keine "Spezial-Tools", also keine Software verwenden, sondern die Sicherheitslücken "manuell" aufdecken. § 202c StGB soll als abstraktes Gefährdungsdelikt jedoch grundsätzlich das Herstellen, Verschaffen, Verkaufen, Überlassen, Verbreiten oder Zugänglichmachen so genannter Hacker-Tools strafrechtlich ahnden und ist damit in Ihrem Fall schon tatbestandlich nicht einschlägig, sofern Sie weder Sicherungscodes im Sinne des § 202c Abs. 1 Nr. 1 noch Computerprogramme im Sinne des § 202c Abs. 1 Nr. 2 StGB verwenden.

Anders sieht es jedoch bei § 202 a StGB aus. Dieser stellt es unter Strafe, sich unbefugt den Zugang zu Daten zu verschaffen, die nicht für den Täter bestimmt und die gegen unberechtigten Zugang besonders gesichert sind, und hierbei diese Zugangssicherung zu überwinden.

Auch die bloße (erfolgreiche) Systempenetration wird daher vom Tatbestand des § 202a Abs. 1 StGB erfasst. Es kommt nicht mehr darauf an, ob der Täter auch tatsächlich Kenntnis von den Daten nimmt (so die frühere Gesetzeslage vor 2007); die bloße Möglichkeit der Kenntnisnahme genügt. Es genügt, wenn er die Möglichkeit der Interaktion mit den Daten erhält, da das Geheimhaltungsinteresse bereits beim Eindringen in das Computersystem gefährdet ist.

Eine Differenzierung danach, ob diese Zugangsverschaffung mittels den in § 202c StGB beschriebenen Mitteln oder eben mit anderen "Tricks" erfolgt, nimmt § 202a StGB gerade nicht vor.

Um die Strafbarkeit jedoch nicht zu weit auszudehnen, wird die § 202a StGB insoweit eingeschränkt, dass die Daten gegen den unberechtigten Zugang besonders gesichert sein müssen. Ausreichend ist hierbei, dass der Zugriff auf die Daten wenigstens nicht unerheblich erschwert wird. An die Qualität der Schutzmaßnahme sind keine zu hohen Anforderungen zu stellen.

Nach wohl überwiegender Auffassung in Literatur und Rechtsprechung ist von einer "besonderen Sicherung" in diesem Sinn dann auszugehen, wenn die Maßnahmen zur Sicherung objektiv geeignet und subjektiv dazu bestimmt sind, eine Kenntnisnahme durch unberechtigte Dritte zu verhindern oder zumindest zu erschweren. Es sollen diejenigen Fälle nicht erfasst werden, in denen die Durchbrechung eines Schutzes ohne weiteres möglich ist und die Überwindung ohne erheblichen zeitlichen oder technischen Aufwand erfolgen kann. Genaue Kriterien werden insoweit nicht festgelegt, so dass für jeden Einzelfall gesondert zu untersuchen ist, ob der vorhandene Schutz diesen Anforderungen genügt.

Ihr Vorgehen verwirklicht daher je nach Einzelfall und der jeweiligen Qualität des vorhandenen Schutzes den Tatbestand des § 202 a StGB .

Möglicherweise entfällt die Strafbarkeit aufgrund der mutmaßlichen Einwilligung des Betreibers der jeweiligen Seite. Man darf jedoch nicht automatisch annehmen, dass jede Form des "White-Hat-Hackings" durch eine solche mutmaßliche Einwilligung gedeckt ist. Die Betreiber der Seiten können durchaus auch ein Interesse daran haben, technische Mängel zu verschweigen, um ihr Image zu wahren oder weitergehende Schäden aufgrund des Bekanntwerdens einer solchen Sicherheitslücke zu verhindern.

Auf der sicheren Seite sind Sie damit ausschließlich nur dann, wenn Sie vorher eine Einwilligung des jeweiligen Systembetreibers eingeholt haben.

2. Eine Strafbarkeit des Seitenbetreibers, der nichts unternimmt, um eine Sicherheitslücke zu schließen, wird in aller Regel nicht gegeben sein. Er macht sich seinen Kunden gegenüber natürlich zivilrechtlich schadensersatzpflichtig, wenn durch sein sorgfaltspflichtwidriges Unterlassen dem Kunden ein Schaden entsteht.

3. Ein Unterlassungsanspruch steht Ihnen als Drittem gegenüber dem Seitenbetreiber nicht zu. Es besteht zwischen Ihnen und dem Seitenbetreiber weder ein vertragliches Verhältnis, auf das sich ein solcher Unterlassungsanspruch stützen könnte, noch gehören Sie zum Kreis sonstiger Abmahnberechtigter Personen, die beispielsweise bei einem wettbewerbsrechtlich relevanten Fehlverhalten des Seitenbetreibers diesem gegenüber einen Unterlassungsanspruch geltend machen können (abgesehen davon, dass in dem Vorhandensein einer solchen Sicherheitslücke kein wettbewerbsrechtlich relevantes Verhalten vorliegt). Auch haben Sie keinen Anspruch auf Erstattung etwaiger Aufwendungen. Es gibt zwar die Rechtsfigur der sog. Geschäftsführung ohne Auftrag, bei der ein Dritter im wirklichen oder mutmaßlichen Interesse eines Dritten für diesen ein Geschäft besorgt und hierfür Ersatz seiner Aufwendungen verlangen kann. Dies gilt jedoch nicht für Fälle der vorliegenden Art, in denen unbefugt in den Rechtskreis eines Dritten eingedrungen wird.

Ich hoffe, ich konnte Ihnen einen hilfreichen ersten Überblick verschaffen und verweise bei Unklarheiten auf die Nachfragefunktion.

Mit freundlichen Grüßen

Christian Mauritz, LL.M.
Rechtsanwalt