Ethisches Hacken: Raus aus der Grauzone

Wer in Deutschland IT-Sicherheitslücken meldet, läuft Gefahr, Probleme zu bekommen. So musste sich etwa die Sicherheitsforscherin Lilith Wittmann mit einer Anzeige herumschlagen, nachdem sie eine gravierende Sicherheitslücke in einer App der CDU gefunden hatte. Dabei half es ihr zumindest anfangs nicht, sich vorbildlich verhalten zu haben: Ausgenutzt hatte sie den unautorisierten Zugang zu zehntausenden Datensätzen nicht, sondern stattdessen der Partei Zeit genug gegeben, die Lücke zu schließen, bevor die Öffentlichkeit davon erfuhr.

Obwohl die Sache letztlich glimpflich für Wittmann ausging, bewegen sich IT-Sicherheitsforscher:innen oft in einer rechtlichen Grauzone. Vor allem das seit dem Jahr 2007 geltende Computerstrafrecht kriminalisiert eine Reihe an Techniken und Werkzeugen, die zur Grundausstattung vieler IT-Sicherheitsexpert:innen zählen.

Eines der Probleme dabei: Wenn Lücken nicht gefahrlos und verantwortungsbewusst („Responsible Disclosure“) gemeldet und anschließend vom Hersteller geschlossen werden können, bleiben sie offen. Ein gefundenes Fressen für tatsächliche Cyberkriminelle, Geheimdienste beliebiger Länder oder sonstige Akteure, die keine guten Absichten haben.

Anläufe für Reform

Inzwischen ist in der deutschen Politik über Parteigrenzen hinweg durchgedrungen, dass dieser Ansatz mehr Probleme schafft, als er löst. Die überfällige Reform lässt jedoch weiterhin auf sich warten. Zuletzt ist die Ampelregierung nicht über einen Referentenentwurf hinausgekommen, der die umstrittenen Hacker-Paragrafen entschärft hätte. Und das Versprechen der schwarz-roten Regierung, im „Computerstrafrecht Rechtssicherheit für IT-Sicherheitsforschung“ zu schaffen, steht bislang nur als nebulöse Absichtserklärung im Raum.

In diese Lücke stößt ein aktuelles Papier der Gesellschaft für Informatik (GI). Diese hatte sich mit Industrie, Sicherheitsforschenden und digitalpolitischen NGOs zusammengesetzt und Lösungsansätze entwickelt, um eine rechtssichere IT-Sicherheitsforschung zu erlauben. Dabei sei Eile geboten, so GI-Präsident Martin Wolf. Das große Missbrauchspotenzial von KI-Systemen mache das frühzeitige Finden und Melden von Schwachstellen wichtiger denn je, sagt der in Aachen lehrende IT-Experte. „Ehrenamtliche Hacker:innen dürfen dafür nicht länger mit Strafanzeigen statt Anerkennung belohnt werden“, fordert Wolf.

Als Ausweg bietet das GI-Papier zum einen konkrete Gesetzesänderungen an. So müsse etwa die Absicht der meldenden Person ein „zentrales Kriterium“ einer gesetzlichen Anpassung sein. Schließlich stelle die gemeinwohlorientierte Meldung einer Sicherheitslücke einen „wesentlichen Unterschied zu böswilligem Hacking dar“, führt das Papier aus.

Entsprechend sollten unter anderem Hacking-Tools, die beispielsweise das Dekompilieren von Software möglich machen, legalisiert werden: „Nicht die Herstellung oder das Zugänglichmachen von ‚Hacker*innentools’ sollte kriminalisiert werden, da diese zur Aufdeckung solcher Schwachstellen verwendet werden, sondern die Verwendung für eine verbotene Handlung.“

Polen als Vorbild

Zum anderen müsse die Regierung neben dem Strafrecht weitere Gesetze anfassen, darunter das Datenschutzgesetz (TDDDG). Dieses kriminalisiere in seiner aktuellen Form das Melden einer Schwachstelle, selbst wenn diese auf eine schlechte oder fehlende Sicherung auf Herstellerseite zurückzuführen ist.

Über die Gesetzesänderungen hinaus brauche es jedoch einen ganzheitlichen Ansatz, fordert die GI. Dazu würden ein „wirkungsvolles Meldeverfahren und eine aktive Meldekultur“ zählen. Zudem sei eine stärkere gesellschaftliche Anerkennung ethischen Hackens ein wichtiger Beitrag, um insgesamt die IT-Sicherheit zu erhöhen, so das Papier.

Für einen neuen Anlauf zur Reform des Bereichs könnte sich die Regierung auch von anderen Ländern inspirieren lassen. Polen habe laut GI den in Europa liberalsten Ansatz. Dort seien etwa Personen, die ausschließlich zum Zweck der Sicherung von Systemen handeln, ausdrücklich von der Strafbarkeit ausgenommen.

Zugleich sollte die Regierung den „Windschatten des Cyber Resilience Act“ nutzen, empfiehlt die GI. Die vor rund zwei Jahren verabschiedete EU-Verordnung enthält unter anderem Meldepflichten für Hersteller und Betreiber, wenn sie über Schwachstellen stolpern. Dies ließe sich ausweiten, indem darüber hinaus auch eine geregelte Meldemöglichkeit für externe und/oder ehrenamtlich agierende IT-Sicherheitsforschende eingeführt wird. Damit würde der Charakter des Cyber Resilience Acts gestärkt und die Cybersicherheit im Land gefördert werden, argumentiert die GI.

Sicherheitslage verbessert sich kaum

Insgesamt dürfte noch einiges zu holen sein, zumal sich die Lage zuletzt keineswegs verbessert hat. So stieg im ersten Quartal 2026 die Zahl gemeldeter Schwachstellen weltweit um 25 Prozent im Vergleich zum Vorjahr an. Jährlich entsteht für deutsche Unternehmen laut eigenen Angaben ein hunderte Milliarden Euro hoher Schaden, Tendenz steigend.

Diese Dynamik dürfte vorerst bestehen bleiben. Denn auf der einen Seite gelingt es KI-Modellen immer besser, bislang unbekannte Sicherheitslücken in Anwendungen zu entdecken. BSI-Präsidentin Claudia Plattner spricht gar von einer neuen „Zeitrechnung der Cybersicherheit“. Auf der anderen Seite berge sogenanntes Vibe-Coding die Gefahr, selbst Schwachstellen in Code zu erzeugen, warnt die GI. Bei Vibe-Coding richten Nutzer:innen, die mit Software-Entwicklung sonst nichts zu tun haben, in einfacher Sprache ihre Wünsche an ein KI-System. Dieses übernimmt dann den Rest – mal besser, mal schlechter.

Nun müsse die Bundesregierung zügig eine Reform unter Beteiligung aller Betroffenengruppen einleiten, fordert die GI. „Eine Legalisierung von ethischem Hacking wäre ein konsequenter Schritt, die Cybersicherheitslandschaft in Deutschland besser zu gestalten und das Potenzial zu nutzen, das Expert*innen aus der Sicherheitsforschung, Hobbytüftler*innen und gewissenhafte Nerds mitbringen.“