White-Hat-Hacking im Unternehmenskontext

• Alexander Weiss
• Johannes Zwerschke

Während White-Hat-Hacking fester Bestandteil der Sicherheitsforschung und Sicherheitsstrategie vieler Unternehmen ist, ist der rechtliche Umgang mit dem Thema nach wie vor mit vielfältigen rechtlichen Unsicherheiten belastet. Insbesondere White-Hat-Hacker schrecken aus Angst vor strafrechtlichen Repressalien vor der Meldung von IT-Sicherheitslücken zurück, was auch für Unternehmen ein Problem darstellen kann. Denn melden White-Hat-Hacker Sicherheitslücken nicht, leidet die IT-Sicherheit des Produkts, was zu Haftungsrisiken im Verhältnis zu Kunden und einer Überprüfung durch Behörden führen kann. Angesichts wachsender Cyberbedrohungen ist dies ein Zustand, der Unternehmen vor große Herausforderungen stellt. Der vorliegende Beitrag untersucht, inwieweit das White-Hat-Hacking nach § 202a StGB strafbar ist und welche alternativen strafrechtlichen Konzepte andere Mitgliedstaaten der EU gewählt haben. Dabei wird auch auf die jüngste Entscheidung des LG Aachen im Fall „Modern Solution“ eingegangen. Zudem werden Unternehmen Handlungsempfehlungen im Umgang mit White-Hat-Hacking bei der Aufdeckung von Sicherheitslücken in IT-Systemen aufgezeigt.