Sie entdecken Sicherheitslücken und melden sie – doch statt Anerkennung droht ihnen die Strafverfolgung: In Deutschland machen sich sogenannte „Grey Hat Hacker“ häufig strafbar, wenn sie freiwillig IT-Schwachstellen aufdecken. Der Fall des Softwareentwicklers Hendrik Heinle zeigt, wie groß das rechtliche Risiko selbst bei gutem Willen ist – und wie unklar die gesetzliche Lage bleibt.
Polizei stürmt Wohnung – wegen gemeldeter Sicherheitslücke
Im Jahr 2021 stieß der damals selbstständige Softwareentwickler Hendrik Heinle bei der Arbeit für einen Kunden auf eine gravierende Sicherheitslücke – rund 700.000 sensible Datensätze, darunter Kreditkartendaten, waren ungeschützt zugänglich. Heinle sicherte Beweise, informierte das betroffene Unternehmen und forderte zur Behebung und Anzeige der Lücke auf. Statt Dank erhielt er eine Anzeige wegen „Ausspähens von Daten“.
Die Polizei stürmte seine Wohnung, beschlagnahmte sämtliche IT-Geräte. Später verurteilte das Landgericht Aachen ihn zu einer Geldstrafe – auch wenn das Gericht anerkannte, dass sein Verhalten letztlich zur Verbesserung der Sicherheit beigetragen habe. Das Urteil ist noch nicht rechtskräftig.
Sicherheitsforscher zwischen Zivilcourage und Strafrecht
Solche Fälle sorgen in der IT-Sicherheits-Community für Verunsicherung. „Die grundsätzliche Kriminalisierung verhindert, dass wir viele gefährliche Sicherheitslücken melden“, kritisiert IT-Experte Manuel Atug von der AG KRITIS. Er warnt: Der Staat blockiere damit Zivilcourage – ausgerechnet bei kritischer Infrastruktur wie Krankenhäusern, Energieversorgung oder Behördenkommunikation.
Auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) sieht Handlungsbedarf: Ehrenamtliche oder private Akteure, die Schwachstellen finden und verantwortungsvoll melden, bräuchten endlich echte Rechtssicherheit, so die Behörde.
Unternehmen und Politik uneins
Viele Unternehmen zeigen wenig Verständnis für „Hilfe von außen“. Besonders kleinere Firmen fürchten Datenveränderung, Reputationsschäden oder Kosten, erklärt Patrick Schönowski vom Deutschen Mittelstandsbund. Er begrüßt, dass das unautorisierte Prüfen von IT-Systemen unter Strafe steht – auch wenn es der Sicherheit diene.
Ein Gesetzentwurf des früheren Bundesjustizministers Marco Buschmann (FDP), der gutgemeintes Hacking entkriminalisieren wollte, ist am Ende der Ampelkoalition gescheitert. Im neuen Koalitionsvertrag von Union und SPD ist zwar von „Rechtssicherheit für IT-Sicherheitsforschung“ die Rede – doch die Auslegung ist strittig: Während die SPD auch ehrenamtliche Hacker schützen will, sieht die Union darin ausschließlich staatlich geförderte Forschung.
Fazit: Unsichere Systeme, unsicheres Recht
Solange es keine gesetzliche Klarstellung gibt, bleibt die Lage angespannt: Ehrenamtliche Hacker, die potenziell lebenswichtige Sicherheitslücken aufdecken, laufen Gefahr, strafrechtlich verfolgt zu werden. Auch Heinle selbst zieht Konsequenzen: Einen ähnlichen Fund würde er heute nicht mehr melden.
„Die Angst vor der Justiz ist größer als die Sorge vor der Lücke.“ – Hendrik Heinle
