Die rechtlichen Grenzen: testen nur mit Auftrag

Ein auffälliger offener Dienst, eine falsch konfigurierte Cloud Freigabe oder eine Sicherheitslücke in einer Webanwendung weckt schnell den Impuls, genauer nachzusehen. Technisch mag das einfach sein. Rechtlich kann schon der nächste Schritt problematisch werden, wenn dir keine eindeutige Erlaubnis vorliegt. Gute Absicht, Neugier oder der Wunsch, Schaden zu verhindern, ersetzen keinen Auftrag.

Wer IT Sicherheit professionell betreibt, trennt deshalb klar zwischen Beobachtung, Bewertung und aktivem Test. Ein Penetrationstest ist kein spontaner Selbstversuch. Er ist eine kontrollierte Sicherheitsprüfung mit schriftlicher Beauftragung, definiertem Umfang und abgestimmten Regeln. Das schützt das Unternehmen, die betroffenen Personen und dich selbst.

Dieser Beitrag gibt eine allgemeine Orientierung und keine Rechtsberatung. Bei konkreten Vorfällen, Verträgen oder Unsicherheiten solltest du qualifizierten rechtlichen Rat einholen.

Warum technische Neugier keine Berechtigung schafft

Ein System, eine Anwendung oder ein Konto kann öffentlich erreichbar sein, ohne dass du es testen darfst. Ein Login Formular, eine offene Schnittstelle oder ein sichtbarer Server sind keine Einladung zur Sicherheitsprüfung. Auch wenn ein Fund über eine Suchmaschine, einen Hinweis aus der Community oder eine Fehlermeldung erfolgt ist, bleibt entscheidend: Wer hat dir welche Handlung erlaubt?

In der Praxis ist die Grenze oft früher erreicht, als viele erwarten. Schon das gezielte Prüfen von Zugangsschutz, Berechtigungen oder Schwachstellen kann Daten, Systeme und Betriebsabläufe berühren. Besonders kritisch wird es, wenn du Zugriffsschutz umgehst, Konten verwendest, Daten abrufst oder Systeme belastest.

Ein verbreiteter Irrtum lautet: „Ich wollte doch nur helfen.“ Die Motivation kann bei der Bewertung eines Falls eine Rolle spielen, sie schafft aber keine Befugnis. Unternehmen müssen selbst entscheiden können, wer ihre Systeme wann und wie prüft. Das gilt auch dann, wenn du dort beschäftigt bist. Eine allgemeine Tätigkeit in der IT oder Entwicklung bedeutet nicht automatisch, dass du jedes System testen darfst.

§ 202 StGB im Überblick: Welche Normen relevant sein können

Wenn von „§ 202 StGB“ gesprochen wird, ist im Umfeld von IT Sicherheit meist vor allem § 202a StGB gemeint. Er betrifft das Ausspähen von Daten. Vereinfacht gesagt geht es um Daten, die nicht für dich bestimmt und besonders gegen unberechtigten Zugang gesichert sind. Wer sich solche Daten unbefugt verschafft, kann sich strafbar machen.

Für Sicherheitstests sind daneben weitere Vorschriften relevant. Welche davon im Einzelfall greift, hängt stark von Handlung, System, Berechtigung und Folgen ab.

• § 202a StGB, Ausspähen von Daten: Relevant, wenn geschützte Daten ohne Berechtigung erlangt werden.
• § 202b StGB, Abfangen von Daten: Kann berührt sein, wenn nicht öffentliche Datenübertragungen unbefugt abgefangen werden.
• § 202c StGB, Vorbereiten des Ausspähens und Abfangens von Daten: Regelt bestimmte Vorbereitungshandlungen. Die rechtliche Einordnung hängt vom konkreten Zweck und Kontext ab.
• § 303a StGB, Datenveränderung: Betrifft das unbefugte Löschen, Unterdrücken, Unbrauchbarmachen oder Verändern von Daten.
• § 303b StGB, Computersabotage: Kann bei erheblichen Beeinträchtigungen der Datenverarbeitung relevant werden.
• § 263a StGB, Computerbetrug: Kann betroffen sein, wenn IT Systeme eingesetzt werden, um unberechtigte Vermögensvorteile zu erzielen.

Für die tägliche Praxis ist die zentrale Regel einfacher als die juristische Detailprüfung: Ohne klare Erlaubnis keine aktive Sicherheitsprüfung. Greife nicht auf Daten zu, versuche keine Zugangskontrollen zu überwinden und führe keine Aktionen aus, die Verfügbarkeit, Integrität oder Vertraulichkeit beeinträchtigen könnten.

Neben Strafrecht können auch zivilrechtliche Ansprüche, arbeitsrechtliche Folgen, Datenschutzpflichten und vertragliche Verpflichtungen relevant sein. Das gilt besonders bei Dienstleistern, Cloud Umgebungen und Systemen mit personenbezogenen Daten.

Schriftliche Beauftragung ist dein Sicherheitsnetz

Eine mündliche Bitte wie „Schau da mal drauf“ ist für einen echten Sicherheitstest zu ungenau. Sie lässt offen, welches Ziel gemeint ist, welche Methoden zulässig sind und welche Systeme ausgeschlossen bleiben. Im Konfliktfall ist sie zudem schwer nachweisbar.

Eine schriftliche Beauftragung schafft Klarheit. Sie muss nicht unnötig kompliziert formuliert sein, sollte aber eindeutig festhalten, wer den Auftrag erteilt und welche Prüfung erlaubt ist. Wichtig ist, dass die auftraggebende Person tatsächlich berechtigt ist, über die Systeme zu entscheiden. Eine fachliche Führungskraft kann zuständig sein, muss es aber nicht zwingend sein.

Prüfe vor Beginn insbesondere diese Punkte:

• Name des Unternehmens und der verantwortlichen Auftraggeberin oder des verantwortlichen Auftraggebers
• Ziel der Prüfung, etwa Schwachstellenbewertung, Penetrationstest oder Überprüfung einer konkreten Anwendung
• betroffene Systeme, Anwendungen, Domains, Cloud Konten und IP Adressbereiche
• ausdrücklich ausgeschlossene Systeme und Bereiche
• erlaubte Prüfmethoden sowie untersagte Handlungen
• Zeitraum und Testfenster
• Eskalationskontakte für technische oder organisatorische Notfälle
• Regeln für den Umgang mit gefundenen Daten, Zugangsdaten und Beweisen
• Anforderungen an Dokumentation, Bericht und Löschung von Testdaten
• Freigabe durch die fachlich und rechtlich zuständige Stelle

Eine schriftliche Freigabe ist kein Freibrief. Sie erlaubt nur das, was darin vereinbart ist. Fehlt eine konkrete Erlaubnis, solltest du die Handlung nicht einfach als mitgemeint betrachten, sondern nachfragen und die Klärung dokumentieren.

Der Scope bestimmt, was du tun darfst

Der Scope ist der verbindliche Prüfrahmen. Er beantwortet nicht nur die Frage, welche Ziele getestet werden, sondern auch, welche Methoden zulässig sind. Je präziser er formuliert ist, desto sicherer ist die Durchführung.

Ein guter Scope enthält beispielsweise konkrete Domains, Anwendungen, Mandanten oder IP Bereiche. Formulierungen wie „unsere gesamte Infrastruktur“ sind in der Regel zu unbestimmt. Moderne Umgebungen bestehen aus eigenen Systemen, gemieteten Diensten, Cloud Ressourcen, Plattformen von Drittanbietern und Schnittstellen zu Kunden oder Lieferanten. Nicht alles gehört rechtlich oder organisatorisch dem Auftraggeber.

Besondere Aufmerksamkeit brauchen diese Bereiche:

• Cloud Dienste: Ein Unternehmen kann eigene Daten in einer Cloud Umgebung verwalten, ohne beliebige Prüfungen der zugrunde liegenden Plattform durchführen zu dürfen. Prüfe nur die eigenen Ressourcen und beachte die Vorgaben des jeweiligen Anbieters.
• Dienstleister und Lieferketten: Systeme externer Dienstleister benötigen häufig eine eigene Freigabe. Ein Auftrag des Kunden reicht nicht automatisch für deren Infrastruktur.
• Produktivsysteme: Aktive Tests können Ausfälle, Alarmmeldungen oder unerwartete Nebeneffekte auslösen. Lege fest, ob zuerst eine Testumgebung verwendet wird und welche Belastungsgrenzen gelten.
• Personenbezogene Daten: Datenminimierung gilt auch beim Testen. Erhebe und speichere nur, was für den Nachweis erforderlich ist.
• Social Engineering: Simulierte Phishing Kampagnen oder Anrufe betreffen Menschen, Arbeitsabläufe und Datenschutz. Sie brauchen besonders klare Regeln, abgestimmte Kommunikation und definierte Eskalationswege.

Ein Scope sollte auch festlegen, was bei einem kritischen Fund geschieht. Darfst du den Nachweis nur minimal führen? Musst du sofort stoppen und eine Notfallnummer kontaktieren? Darfst du Zugangsdaten testen, die du zufällig gefunden hast? Solche Fragen gehören vor dem Test geklärt, nicht erst in der laufenden Untersuchung.

Regeln für verantwortungsvolle Sicherheitstests

Professionelles Vorgehen bedeutet nicht, möglichst viel zu demonstrieren. Es bedeutet, Risiken belastbar nachzuweisen und dabei Schäden zu vermeiden. Wir orientieren uns dabei an dem Grundsatz: so wenig Eingriff wie möglich, so viel Nachweis wie nötig.

Eine sinnvolle Vorgehensweise umfasst folgende Schritte:

1. Auftrag prüfen: Stelle sicher, dass die schriftliche Freigabe vollständig ist und die auftraggebende Stelle berechtigt handelt.

2. Scope bestätigen: Gleiche Zielsysteme, Ausschlüsse, Zeitfenster und erlaubte Methoden vor dem Start ab. Dokumentiere Änderungen ebenfalls schriftlich.

3. Risiken bewerten: Berücksichtige kritische Geschäftsprozesse, Verfügbarkeit, sensible Daten und Abhängigkeiten. Lege Stop Kriterien fest.

4. Schonend testen: Vermeide unnötige Last, Datenveränderungen und dauerhafte Eingriffe. Nutze für Nachweise möglichst nicht produktive oder speziell bereitgestellte Testkonten.

5. Funde absichern: Dokumentiere nachvollziehbar, wann und wie ein Befund festgestellt wurde. Sichere nur die notwendigen Belege und schütze sie vor unberechtigtem Zugriff.

6. Kritische Funde sofort melden: Wenn du eine akute Gefährdung erkennst, informiere den vereinbarten Kontaktweg. Warte nicht auf den Abschlussbericht.

7. Sauber berichten: Beschreibe Risiko, betroffene Systeme, Priorität, mögliche Auswirkungen und konkrete Abhilfemaßnahmen. CVSS kann bei der technischen Einordnung helfen, ersetzt aber keine Bewertung des Geschäftskontexts.

8. Testzugänge entfernen: Lösche oder sperre vereinbarte Testkonten, Zugangsdaten und erhobene Daten nach Abschluss entsprechend der Vereinbarung.

Was du ohne Auftrag tun solltest

Wenn dir eine potenzielle Schwachstelle auffällt, bleibe bei passiven Beobachtungen und vermeide jede weitergehende Prüfung. Notiere, was du rechtmäßig gesehen hast, etwa eine öffentlich sichtbare Fehlermeldung oder einen Hinweis in einer eigenen Anwendung. Versuche nicht, den Fund durch Zugriff auf fremde Daten zu bestätigen.

Informiere stattdessen die verantwortliche Stelle über einen seriösen Kontaktweg. In Unternehmen ist das meist das IT Security Team, der Service Desk oder der Datenschutz und Informationssicherheitskontakt. Beschreibe den Hinweis sachlich, ohne vertrauliche Daten unnötig weiterzugeben. Wenn es ein öffentliches Meldesystem oder eine veröffentlichte Richtlinie zur Schwachstellenmeldung gibt, halte dich daran.

Möchtest du Sicherheitstests methodisch, rechtssicher und technisch fundiert durchführen, brauchst du neben technischem Wissen auch ein Verständnis für Scope, Dokumentation und Kommunikation. Passende IT Security Seminare und Termine findest du bei uns auf cmt.de.

Fazit: Autorisierung vor Aktion

Ethisches Hacken beginnt nicht mit einem Tool, sondern mit einer eindeutigen Beauftragung. § 202a StGB und weitere Vorschriften zeigen, dass unbefugter Zugriff auf Daten und Systeme rechtliche Folgen haben kann. Die wichtigste professionelle Schutzmaßnahme ist deshalb einfach: Hole eine schriftliche Erlaubnis ein, prüfe den Scope sorgfältig und halte dich konsequent an die vereinbarten Regeln.