Im Oktober 2024 wurde in Deutschland ein Gesetzentwurf zur Modernisierung des Computerstrafrechts vorgestellt, der insbesondere den sogenannten “Hackerparagrafen” (§ 202c StGB) betrifft. Ziel des Entwurfs ist es, IT-Sicherheitsforschern, die in guter Absicht handeln, Straffreiheit zu gewähren und gleichzeitig die Strafverfolgung bei kriminellen Cyberangriffen zu verschärfen.

Wesentliche Neuerungen des Gesetzentwurfs:

1.  Straffreiheit für IT-Sicherheitsforscher:

Personen, die Sicherheitslücken in IT-Systemen aufspüren, sollen unter bestimmten Bedingungen nicht mehr strafrechtlich verfolgt werden. Dazu müssen folgende Voraussetzungen erfüllt sein:

•   Die Handlung erfolgt mit der Absicht, eine Sicherheitslücke festzustellen.
•   Es besteht die Absicht, die entdeckte Lücke dem Betreiber des betroffenen Systems, dem Hersteller der IT-Anwendung oder dem Bundesamt für Sicherheit in der Informationstechnik (BSI) zu melden.
•   Die angewandte Methode ist erforderlich, um die Sicherheitslücke zu identifizieren.

Diese Regelung soll sicherstellen, dass gutwillige Hacker, die zur Verbesserung der IT-Sicherheit beitragen, nicht strafrechtlich belangt werden.

2.  Verschärfung der Strafen für kriminelle Cyberangriffe:

Für besonders schwere Fälle von Computerstraftaten sieht der Entwurf eine Erhöhung des Strafrahmens vor. Künftig sollen solche Taten mit Freiheitsstrafen von drei Monaten bis zu fünf Jahren geahndet werden. Als besonders schwere Fälle gelten unter anderem:

•   Handeln aus Gewinnsucht oder gewerbsmäßiges Vorgehen.
•   Taten, die einen erheblichen Vermögensverlust verursachen.
•   Angriffe, die die Funktionsfähigkeit kritischer Infrastrukturen beeinträchtigen oder die Sicherheit der Bundesrepublik Deutschland gefährden.

Diese Verschärfungen sollen der gestiegenen Bedrohungslage im Cyberraum Rechnung tragen und die Resilienz von Wirtschaft und Staat gegenüber Cyberangriffen stärken.

Der Gesetzentwurf befindet sich derzeit im parlamentarischen Verfahren. Mit einem Inkrafttreten wird im ersten Quartal 2025 gerechnet.

Trotz des neuen Anti-Hacker-Gesetzes bleibt es für Unternehmen essenziell, gar nicht erst zum Ziel eines Angriffs zu werden, da die möglichen Schäden eines Cyberangriffs erheblich sein können – und oft weit über die Konsequenzen hinausgehen, die die Täter durch strafrechtliche Verfolgung erwarten. Eine Verhaftung oder Verurteilung der Angreifer kann Unternehmen nicht die Verluste, den Reputationsschaden oder den möglichen Ausfall von Systemen und Daten wiederbringen.

Weshalb Prävention der beste Schutz ist:

1.  Vermeidung enormer Schäden: Ein erfolgreicher Cyberangriff kann hohe finanzielle Verluste verursachen, besonders bei gestohlenen oder beschädigten Daten, Produktionsausfällen und anschließenden Wiederherstellungskosten.

2.  Schutz der Reputation und des Kundenvertrauens: Ein Datenleck oder Systemausfall kann das Vertrauen der Kunden, Partner und Investoren nachhaltig erschüttern. Präventive Sicherheitsmaßnahmen stärken hingegen das Ansehen und zeigen, dass das Unternehmen verantwortungsvoll mit IT-Risiken umgeht.

3.  Minimierung von Ausfallzeiten: Angriffe auf Systeme, speziell bei kritischer Infrastruktur, können den gesamten Geschäftsbetrieb stören und zu längeren Ausfällen führen. Eine solide IT-Sicherheitsstrategie kann solche Ausfälle oft verhindern.

4.  Kontinuierliche Verbesserung durch Prävention: Indem Unternehmen regelmäßig Schwachstellenanalysen und Penetrationstests durchführen, erhöhen sie die Sicherheitsstandards fortlaufend und passen ihre Maßnahmen den neuesten Bedrohungen an.

Empfohlene präventive Maßnahmen:

•   Regelmäßige Sicherheitsüberprüfungen: Dazu gehören Schwachstellenanalysen, Penetrationstests und Sicherheitsaudits, um frühzeitig auf Gefahren zu reagieren.
•   Schulung der Mitarbeitenden: Da viele Cyberangriffe durch Phishing oder Social Engineering ermöglicht werden, ist es wichtig, dass Mitarbeitende im sicheren Umgang mit IT geschult sind.
•   Aktuelle Software und Sicherheitspatches: Systeme und Software sollten stets auf dem neuesten Stand gehalten werden, um bekannte Sicherheitslücken zu schließen.
•   Sicherheitsprotokolle und Incident-Response-Pläne: Im Fall eines Angriffs ist es entscheidend, dass alle Mitarbeitenden wissen, wie sie schnell und effektiv reagieren.

Insgesamt gilt: Prävention ist der Schlüssel, um die verheerenden Folgen eines Cyberangriffs zu vermeiden.