Eine wichtige Rolle in der Cyberabwehr spielen IT-Sicherheitsforschende. Dazu gehören sowohl Forschungseinrichtungen als auch Privatpersonen, die zum Wissensaufbau oder zum Aufbau ihrer fachlichen Reputation Sicherheitslücken suchen und verantwortungsvoll melden. Sie können uns helfen, Schwachstellen in der digitalen Infrastruktur zu entdecken, bevor diese ausgenutzt werden. Doch dafür brauchen sie Rechtssicherheit und den Abbau von Hürden.
Die größte rechtliche Herausforderung für IT-Sicherheitsforschende: Der sogenannte Hackerparagraph (§§ 202a ff. StGB) muss so angepasst werden, dass verantwortungsvolle IT-Sicherheitsforschung nicht strafrechtlich bedroht wird.
Die Notwendigkeit einer solchen Anpassung wird in Koalitionsverträgen auf Bundesebene regelmäßig erwähnt, aber bisher nicht umgesetzt.
Darüber hinaus existieren Handlungsmöglichkeiten auf Landes- und kommunaler Ebene.
Eine ausführliche Problembeschreibung und konkrete Forderungen sind in diesem Papier zusammengefasst: https://sec4research.de/assets/Whitepaper.pdf
Ein konkreter erster Schritt wäre die Einführung und Veröffentlichung von sogenannten Coordinated-Vulnerability-Disclosure-Richtlinien (CVD-Richtlinien) für das Land Nordrhein-Westfalen, seine Kommunen und deren öffentliche Einrichtungen.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) zeigt bereits, wie es gehen kann und liefert eine hervorragende Vorlage. (https://www.bsi.bund.de/DE/IT-Sicherheitsvorfall/IT-Schwachstellen/it-schwachstellen.html)
Damit setzen wir ein klares politisches Signal: Wir wollen Menschen, die unsere digitale Sicherheit verbessern, nicht abschrecken, sondern ihre Fähigkeiten für das Gemeinwohl nutzen.