ATHENE startet simulierte Gerichtsverhandlungen zu Aktivitäten in der Cyber­sicher­heits­forschung

19.09.2024. Cyber­sicher­heits­forschende stehen mitunter gefühlt mit einem Bein im Gefängnis – es herrscht viel Unsicherheit darüber, was rechtlich im Rahmen von Wissenschaft erlaubt ist und was nicht. Rechtswissenschaftlerinnen des Nationalen Forschungszentrums für angewandte Cybersicherheit ATHENE haben deshalb eine Reihe von simulierten Gerichtsprozessen gestartet, um fiktive, aber realistische Fälle aus der Cyber­sicher­heits­forschung verhandeln zu lassen. Die Urteile der Gerichtssimulation sollen als Wegweiser für die IT-Sicher­heits­forschung dienen. Der erste simulierte Prozess hat am Dienstag in Darmstadt stattgefunden.

Allein in den vergangenen 12 Monaten lag der wirtschaftliche Schaden von Cybercrime in Deutschland laut IT-Verband Bitkom bei 178,6 Milliarden Euro. IT-Sicherheitsforschende entwickeln im Rahmen ihrer Arbeit wirksame Schutzmechanismen vor solchen Angriffen. Dabei nutzen sie teilweise Methoden und Werkzeuge, die auch von Cyberkriminellen genutzt werden. Und hier liegt ein großes Problem: Obwohl sie die Methoden nutzen, um Maßnahmen gegen mögliche Cyberbedrohungen abzuleiten, ist Cyber­sicher­heits­forschenden oft nicht klar, wie sie sich im Rahmen ihrer For­schungs­arbeiten verhalten sollen, um keine rechtlichen Schwierigkeiten zu bekommen. So besteht zunehmend die Gefahr, dass IT-Sicherheitsforschende aus Unsicherheit ihre Arbeit nicht mehr umfassend ausführen – was sich nachteilig auf den Kampf gegen Cyberkriminalität auswirkt.

Erster Fall: Sensible Daten aus dem Darknet

Rechtswissenschaftlerinnen des Cybersicherheits-Forschungszentrums ATHENE haben deshalb jetzt eine Reihe von simulierten Gerichtsprozessen mit echten Richterinnen und Richtern, Staatsanwaltschaft, Strafverteidigung sowie Sachverständigen begonnen. Diese Si­mu­la­tionsstudie soll für mehr Rechtssicherheit in der Cyber­sicher­heits­forschung sorgen.

Der erste fiktive Fall, der gestern in Darmstadt verhandelt wurde, handelt von den Cyber­sicher­heits­forschenden A und B, die regelmäßig im Darknet nach den neuesten Angriffsmethoden und -werkzeugen recherchieren. Dort stoßen sie auf eine Datei „Angebot-zur-Übernahme-von-Cyberangriffen-im-Auftrag.pdf“. A und B entscheiden sich, die Datei herunterzuladen, um sich darüber zu informieren, welche Cyberangriffe im Auftrag angeboten werden. Doch die Datei enthält – als „Arbeitsprobe“ der kriminellen Anbieter –überraschenderweise auch eine Liste mit tausenden gestohlenen Zugangsdaten zweier großer Unternehmen. Person A und Person B gehen mit dem zufälligen Fund unterschiedlich um. So dokumentiert A etwa jeden zentralen Schritt seines Umgangs mit den gefundenen Daten und loggt sich probeweise auch in einen Account ein, um zu testen, ob der Fund echt und aktuell ist, unterlässt jedoch eine Benachrichtigung der geschädigten Unternehmen, während B zwar die geschädigten Unternehmen benachrichtigt, jedoch keine Dokumentation über den Umgang mit den gefundenen Daten anfertigt und die Logins auch nicht austestet. 

Diese und andere Vorgehensweisen wurden jetzt vor dem simulierten Gericht verhandelt. „Durch den unterschiedlichen Umgang der Cyber­sicher­heits­forschenden mit dem ungeplanten Datenfund im Darknet wollen wir die rechtlichen Leitplanken links und rechts in einem solchen Fall besser kennenlernen“, erklärt Dr. Annika Selzer, Organisatorin der Studie und Koordinatorin des Forschungsbereichs „Legal Aspects of Privacy & IT Security“ in ATHENE. Von dem Si­mu­la­tionsurteil erhofft sie sich eine möglichst große Orientierungshilfe für die Cyber­sicher­heits­forschenden, deshalb agieren die Forscher im fiktiven Fall z.T. auch anders, als es verantwortungsvolle Cyber­sicher­heits­forschende tun würden.

Die Entscheidung der simulierten Gerichtsverhandlung

Das Gericht hat Person A aufgrund des probeweisen Logins in einen Account schuldig gesprochen, sie verwarnt und die Verurteilung zu einer Strafe von 20 Tagessätzen in Höhe von je 100 EUR vorbehalten. Zudem erteilte das Gericht der Person A die Auflage, 4000 Euro an eine gemeinnützige Organisation zu zahlen. Zur Begründung erklärt der an der Studie teilnehmende Richter, dass Person A durch das Einloggen in einen fremden Account die Interessen der Dateninhaber verletzt habe, auch wenn es nur kurz und zu Testzwecken war. „Der Zweck heiligt in diesem Fall eben nicht die Mittel“, begründet der Richter. In allen weiteren Anklagepunkten wurde Person A freigesprochen, Person B wurde vollständig freigesprochen.

Auch wenn die Entscheidung nur auf einem fiktiven Fall basiert und endgültige Beurteilungen grundsätzlich einzelfallabhängig sind und nur durch die zuständigen Gerichte erfolgen können, liefert das Si­mu­la­tionsgericht wichtige Anhaltspunkte für die Praxis rund um die Strafbarkeit von Handlungen Cyber­sicher­heits­forschender, etwa in Bezug auf die Überwindung von Zugangssicherungen, den Voraus­setzungen für ein vorsätzliches Handeln und den Möglich­keiten der Rechtfertigung von strafrechtsrelevanten Handlungen.

Die genaue Beschreibung des fiktiven Falls sowie das Gerichtsurteil werden in der Dezemberausgabe der Fachzeitschrift Datenschutz und Datensicherheit (DuD) veröffentlicht und im Nachgang auch auf folgender Internetseite zu finden sein: https://www.athene-center.de/leap-simulationsstudien

Weitere Fälle gesucht

Die Si­mu­la­tionsstudie wird über mehrere Jahre weitergeführt. Für die nächsten simulierten Gerichtsprozesse können Cyber­sicher­heits­forschende Vorschläge zu Fällen einreichen, die sie gern verhandeln lassen würden. Mehr Informationen dazu finden sich hier: https://www.athene-center.de/leap-simulationsstudien