Merkblatt White Hat Hacker/innen (WHH): Ihre rechtliche Situation, ihre Risiken und die Rolle des EDÖB

Ihre rechtliche Situation, ihre Risiken und die Rolle des EDÖB

I Zweck

1 Dieses Merkblatt richtet sich in erster Linie an White Hat Hacker/innen. Es soll sie für den rechtlichen

und insbesondere datenschutzrechtlichen Rahmen sensibilisieren, in dem sie sich mit ihren Aktivitäten bewegen. Ihre Aktivitäten werden in diesem Merkblatt nicht gewertet. Es wird lediglich festgestellt, dass es diese Akteure gibt und dass es somit wichtig ist, sie über ihre Aktivitäten aufzuklären.

II Kontext und Definitionen

1 White Hat Hacker/innen (WHH)

2 Immer öfter werden dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) oder

auch den Medien Sicherheitslücken in Informatiksystemen gemeldet. Diese Meldungen kommen häufig von Personen, die sich als ethische Hacker/innen (White Hat Hacker/innen, im Folgenden «WHH») bezeichnen. Im Idealfall bemühen sich WHH wohlgesinnt um das Aufspüren von Sicherheitslücken. Sie werden nicht versuchen, sie zu ihrem Vorteil zu nutzen oder sie für eine bestimmte Sache einzusetzen (Hacker-Aktivist/innen oder Hacktivist/innen). Stattdessen ermöglichen sie dem Systembetreiber, die Schwachstellen zu beheben und so seine IT-Sicherheit zu verbessern. WHH können auch im Auftrag des Systembetreibers ein System testen: Sie handeln in diesem Fall im Einverständnis mit der Zielgruppe, was sich grundsätzlich als problemlos erweist und deshalb nicht Gegenstand dieses Dokuments ist.

3 Die folgenden Ausführungen betreffen somit WHH, die ohne jegliche Grundlage und ohne Wissen des

Systembetreibers handeln, welcher nur dann informiert wird, wenn tatsächlich eine Schwachstelle gefunden wird. Durch ihr Handeln können WHH rasch in die Rechtswidrigkeit abgleiten. Ohne Anspruch auf Vollständigkeit soll dieses Dokument einige Denkanstösse geben, damit WHH die Auswirkungen

ihrer Aktivitäten besser einschätzen können. Dieses Merkblatt richtet sich an das Idealbild der WHH, die «das Richtige tun wollen». Aktivitäten von Hacker/innen, die auf einen direkten Vorteil abzielen (z. B. Nutzung von Daten für eigene Zwecke), oder Tätigkeiten von Aktivist/inn/en, die Sicherheitslücken für Protestzwecke nutzen (z. B. Blockierung einer Unternehmenswebsite), sind a priori mit den folgenden Vorschriften unvereinbar (vgl. insbesondere den weiter und unabhängig von guter oder böser Absicht gefassten Begriff der Hacktivist/innen, der im Fachbericht des Nationalen Zentrums für Cybersicherheit (NCSC) «Allgemeine Bedrohungsformen, Täter und Werkzeuge» vom 16, Februar 2021, Ziff. 3.4. verwendet wird).

2 Coordinated Vulnerability Disclosure (CVD)

4 Coordinated Vulnerability Disclosure (CVD) bezeichnet die Koordination und den Informationsaustausch

über Sicherheitslücken zwischen allen betroffenen Stakeholdern (Personen, die Sicherheitslücken feststellen, betroffene Unternehmen, Computer Emergency Response Teams [CERT] der Regierung) mit dem Ziel, die negativen Auswirkungen von Sicherheitslücken zu verringern und die Öffentlichkeit zu informieren; im Rahmen von CVD müssen Plattformen eingerichtet werden, auf denen WHH Sicherheitslücken ohne strafrechtliche Verfolgung melden können; ausserdem sind die Betreiber in der Regel verpflichtet, die auf der Plattform gemeldeten Sicherheitsmängel nach einer festgelegten Frist zu beheben. 1

5 Der Begriff CVD widerspricht im Kern der anerkannten und kodifizierten Prämisse von Artikel 2 des

Budapester Übereinkommens vom 23. November 2001 über die Cyberkriminalität (SR 0.311.43), wonach die Unterzeichnerstaaten gesetzgeberische Massnahmen ergreifen, um den vorsätzlichen, unberechtigten Zugang zu einem System als Straftat zu bezeichnen. Dies könnte erklären, warum die Niederlande und Frankreich die einzigen Mitgliedsstaaten der Europäischen Union sind, die über eine vollständig etablierte CVD-Politik verfügen. 2

3 Die CVD-Strategie des NCSC

6 In der Schweiz hat das Nationales Zentrum für Cybersicherheit (NCSC) eine CVD-Meldeplattform für die

koordinierte Offenlegung von Schwachstellen eingerichtet, 3 begleitet mit einem Good Practice Merkblatt als Orientierungshilfe für WHH. Diese Ausführungen sind weitgehend auch aus datenschutzrechtlicher Sicht relevant; dieses Merkblatt ist komplementär und beleuchtet spezifischere Aspekte des Datenschutzes.

III Rechtliche Situation der White Hat Hacker/innen unter dem DSG

7 Der Zugang zu einem Computersystem über eine Sicherheitslücke ermöglicht oft den Zugriff auf die

Daten, die in diesem System enthalten sind. Wenn es sich dabei um Personendaten handelt, gilt das Datenschutzgesetz (DSG) 4. Jeder Umgang mit Personendaten durch WHH – Einsichtnahme, Herunterladen, Bekanntgeben, Speichern usw. – stellt ein Bearbeiten im Sinne von Art. 5 lit. d DSG dar. Das DSG stellt mehrere wesentliche Grundsätze auf, die jede Person, die Daten bearbeitet, einschliesslich WHH, einhalten muss.

8 Wenn sich WHH nicht an diese Grundsätze halten, müssen sie sich bewusst sein, dass die Bearbeitung

a priori rechtswidrig ist, selbst wenn sie dem Idealbild eines WHH entsprechen. Im Folgenden werden einige der wichtigsten Grundsätze für WHH erläutert:

Governance von 0-Day-Schwachstellen in der deutschen Cyber-Sicherheitspolitik - Stiftung Wissenschaft und Politik (swpberlin.org), S. 32, abgerufen am 25.5.2023. Governance von 0-Day-Schwachstellen in der deutschen Cyber-Sicherheitspolitik - Stiftung Wissenschaft und Politik (swpberlin.org), S. 33-34, abgerufen am 25.5.2023. Coordinated Vulnerability Disclosure (CVD) (admin.ch), abgerufen am 25.5.2023. Wenn in diesem Dokument das DSG zitiert wird, wird auf das neue Gesetz verwiesen, das am 1. September 2023 in Kraft tritt.

- Der Grundsatz der Rechtmässigkeit (Art. 6 Abs. 1 DSG) erfordert die Einhaltung der Rechtsnormen, einschliesslich der Normen ausserhalb des DSG: Eine Bearbeitung ist unrechtmässig, wenn sie gegen eine Rechtsvorschrift verstösst. Dieser Grundsatz bezieht sich in erster Linie auf das Strafrecht (z. B. Art. 138 ff. oder 179 ff. Strafgesetzbuch [StGB]), aber im weiteren Sinne auch auf die gesamte Rechtsordnung (z. B. Verbot der Täuschung oder Drohung nach Art. 28 ff. Obligationenrecht [OR]).

- Der Grundsatz von Treu und Glauben (Art. 6 Abs. 2 DSG) bezieht sich auf das allgemeine Verhalten der Person, welche die Daten bearbeitet. Für WHH erfordert dies insbesondere, dass sie keine verdeckte Agenda haben dürfen und nicht versuchen, dem Systembetreiber oder den betroffenen Personen (d. h. die Personen, über die Daten bearbeitet werden) zu schaden. Insbesondere dürfen sie mit ihrem Verhalten die Bemühungen des Betreibers, die entdeckten Sicherheitsmängel zu beheben und damit einen datenschutzkonformen Zustand (wieder-) herzustellen, nicht behindern (z. B. Drohungen aussprechen, unrealistische Fristen setzen, Systeme blockieren usw.).

- Nach dem Grundsatz der Zweckbindung (Art. 6 Abs. 3 DSG) dürfen die Daten nicht auf eine Art und Weise verwendet werden, die mit den bei der Beschaffung angegebenen Zwecken unvereinbar ist. Wenn Daten von einer Drittperson wie einem/einer Hacker/in – selbst mit guten Absichten – bearbeitet werden, ist dies a priori nicht mit dem ursprünglichen Zweck der Beschaffung vereinbar und macht die Bearbeitung daher grundsätzlich unrechtmässig. WHH müssen somit grundsätzlich davon absehen, Personendaten, zu denen sie Zugang haben, zu bearbeiten.

- Der Grundsatz der Verhältnismässigkeit (Art. 6 Abs. 2 DSG) verlangt, nicht mehr zu tun, als zur Erreichung des angestrebten Ziels – in diesem Fall die Diagnose und Dokumentation der Schwachstelle (proof of concept) – erforderlich ist. Sind die WHH trotz der wahrscheinlichen Rechtswidrigkeit ihres Handelns der Ansicht, dass sie für ihre Ermittlungen auf die Daten selbst zugreifen müssen, müssen sie die Datenbearbeitung sowohl hinsichtlich der Menge der Daten als auch der Art der Bearbeitung auf das notwendige Minimum beschränken. Dies bedeutet auch, dass sie die Daten nicht länger als nötig aufbewahren dürfen. Die Empfehlung des NCSC, Datenbearbeitungen nur auf dem eigenen Profil durchzuführen, ist hier besonders relevant (vgl.

Rz. 6).

- Alle diese Grundsätze verbieten auch die Weitergabe der durch die Sicherheitslücke betroffenen Daten oder die Bekanntgabe der Sicherheitslücke (ausser an die Aufsichtsbehörden), da sonst die betroffenen Personen geschädigt werden könnten. Eine Bekanntgabe an die Medien, bevor die Sicherheitslücke geschlossen wurde, ist daher nicht mit diesen Grundsätzen vereinbar (insbesondere wenn der Betreiber versucht, die Sicherheitsmängel so schnell wie möglich zu beheben). Ebenso müssen die WHH den Betreiber so schnell wie möglich über ihre Feststellungen informieren und ihm ausreichend Zeit zur Behebung der Sicherheitslücken geben.

IV Rechtliche Risiken für White Hat Hacker/innen

1 Zivilrechtliche Risiken (insb. Art. 32 DSG)

9 Mit ihren Aktivitäten verstossen WHH unter Umständen gegen die oben genannten Grundsätze. Der

Systembetreiber oder die betroffenen Personen können in diesen Fällen zivilrechtliche Ansprüche geltend machen. Wenn die WHH nach Treu und Glauben handeln und die Bearbeitung auf ein Minimum beschränken – mit anderen Worten, wenn sie dem Idealbild eines WHH entsprechen und die Einhaltung der datenschutzrechtlichen Grundsätze anstreben – kann davon ausgegangen werden, dass kein eigentliches Interesse an einer Klage besteht: Wenn der Betreiber oder die betroffenen Personen über die Sicherheitslücke informiert werden, haben die WHH die möglicherweise beschafften Daten bereits gelöscht oder sind im Begriff es zu tun; der Betreiber oder die betroffenen Personen werden auch keinen

wirtschaftlichen Schaden oder Reputationsschaden erlitten haben, da die WHH keine Informationen weitergegeben haben; usw.

10 Ein Risiko einer zivilrechtlichen Klage kann jedoch nicht ausgeschlossen werden – diese Entscheidung

liegt beim Betreiber und den betroffenen Personen. Wenn jedoch die Personen dem Idealbild eines WHH entsprechend handeln, wird dieses Risiko minimiert.

Strafrechtliche Risiken (insb. Art. 143, 143bis und 179novies StGB)

11 Neben zivilrechtlichen Risiken gehen WHH auch strafrechtliche Risiken ein, die sich insbesondere aus

den Artikel 143, 143bis und 179novies StGB ergeben. Einige dieser Straftaten sind definitionsgemäss nicht mit dem Idealbild eines WHH vereinbar (z.B. Art. 143 Abs. 1 StGB, wenn der Hacker eine Bereicherung anstrebt). Auch wenn sich WHH ideal verhalten, können sie Straftaten begehen (insb. Art. 143bis Abs. 1 und 179novies StGB). Da die letztgenannten Straftaten nur auf Antrag verfolgt werden, gelten somit die gleichen Überlegungen zur Risikominimierung wie bei den Zivilklagen.

12 Zudem haben die Angestellten des EDÖB bei begründetem Verdacht auf Offizialdelikte (d. h. auch wenn

keine Anzeige vorliegt) eine Anzeigepflicht (Art. 22a Bundespersonalgesetz [BPG]).

Verwaltungsrechtliche Risiken (EDÖB; Art. 49 ff. DSG)

13 Bei der Datenbearbeitung können WHH selbst zu Verantwortlichen im Sinne des DSG werden. Wenn

ihr Verhalten aus Sicht des DSG problematisch erscheint, insbesondere, wenn Hinweise dafür bestehen, dass die Hacker/innen die Einhaltung der oben erwähnten Grundsätze nicht angestrebt haben, kann der EDÖB eine Untersuchung einleiten und verwaltungsrechtliche Massnahmen gegen die WHH verhängen (Art. 49 ff. DSG).

V Rolle des EDÖB

14 Eine Meldung an den EDÖB durch die WHH ist nicht obligatorisch und im DSG auch nicht speziell

vorgesehen (im Gegensatz zum Verantwortlichen, der zur Meldung verpflichtet ist, wenn eine Sicherheitslücke ein hohes Risiko für die betroffenen Personen mit sich bringt, insbesondere wenn zu befürchten ist, dass die Schwachstelle ausgenutzt wurde; vgl. Art. 24 DSG). Wenn eine Meldung dennoch in Betracht gezogen wird, sind mehrere Aspekte zu berücksichtigen:

- Wie bereits erwähnt (vgl. Rz. 12), haben die Angestellten des EDÖB bei begründetem Verdacht auf Offizialdelikte (d.h. auch wenn keine Anzeige vorliegt: z B. Art. 143 Abs. 1 StGB) eine Anzeigepflicht (Art. 22a BPG).

- Bei genügend Anzeichen auf eine Verletzung von Datenschutzbestimmungen kann der EDÖB eine Untersuchung (Art. 49 ff. DSG) gegen den Verantwortlichen im Sinne von Art. 5 lit. j DSG (z.B. Systembetreiber) einleiten. Werden Datenschutzbestimmungen verletzt, kann er Verwaltungsmassnahmen zur Beseitigung der datenschutzrechtlichen Risiken anordnen (vgl. Art. 51 Abs. 3 DSG). Eine Meldung an den EDÖB ist jedoch nicht immer angebracht. Wenn die Sicherheitslücke nicht auf grobe Fahrlässigkeit zurückzuführen ist, es keine Hinweise auf eine Ausnutzung gibt und der Systembetreiber die Schwachstelle zufriedenstellend behebt, kann sich die Einleitung einer Untersuchung als überflüssig erweisen.

- Schliesslich kann der EDÖB auch eine Untersuchung (Art. 49 ff. DSG) gegen die Hacker/innen selbst einleiten. Auch in diesen Fällen gibt es keine Anonymitätsgarantie – selbst wenn eine Offenlegung des Namens durch den EDÖB immer zweckgebunden und im Rahmen des Gesetzes erfolgt.