IT Sicherheitsanalyse soll nun strafbar werden!?

[niels]

Liebe Foren-Leser,

heute zum Thema:
"Gesetzentwurf gefährdet die Computersicherheit"

zuweilen raffe ich mich ja mal auf, auch selbst in diesem Brett Artikel über politische Geschehnisse oder Vorhaben zu schreiben, zu denen nach Meiner Meinung bisher zuwenig öffentliches Interesse - oft mangels öffentlicher Information und Diskussion - besteht, gerade aber eine offene Diskussion für einen richtigen Weg grundlegend wichtig wäre.

So auch nun mal wieder, hat bzw. möchte der "Gesetzeswüter" zuschlagen:

Per Gesetz soll bald Software verboten werden, die u.a. zur klaren Auseinandersetzung wie auch Analyse von Sicherheitsproblemen in Computersystemen unter Strafe gestellt werden.

Was geht mich das an? Ich bin doch kein Computerfuzzi...!...:

...kann nun jeder sagen, der nicht täl. selbst mit der Sicherung und Betrieb von IT Diensten beschäftigt ist. Aber auch das stimmt nicht ganz, weil sich JEDER in zig verschiedenen Datenbanken und -beständen wiederfiden kann - oft gar mit persönlichen o. sehr vertraulichen Daten, die man gern sicher wähnen möchte. Selbst Antivirensoftware kann nicht effizient geschrieben werden, wenn die Werkzeuge der "Bösen" (Trojaner-Fertikits wie Virenbastelkästen, die schon Kinder bedienen können) bezoen, gesammelt und ausgetestet werden können. Eigentlich jeder andere Sicherheitsdienstleiser ist ebenso auf Infos über die Bösen angewiesen.

Der Entwurf sieht etwas so vor wie in etwa:
Jemand macht einen Bankeinbruch oder einen Autodiebstahl mit einem neuen Einbruchwerkzeug. Nun darf aber niemand (usser ggf. Polizei) darüber informiert werden, wie im Detail der dies erfolgreich getan hat. Wie sollen dann Hersteller von Alarmsystemen, Auto-Schlössern, Sicherheitssystemen oder Sicherheitsdienste usw. erfolgreich vor weiteren Angriffen in der selben Art schützen?

Ist es nicht sinnvoller gerade DIE Straftat selbst härter zu bestrafen, statt nur den Besitz von Werkzeugen oder Informationen zu verbieten, ohne das dies verboten benutzt wurde?

oder besser:
Jemand stiehlt und missbraucht erfolgreich EC- oder Kreditkarten. Statt den besitzern von EC Karten zu erklären, wo und wie der Trick der Diebe ist (z.B. PIN ausspähen, Karte aus Handtasche entwenden) darf gerade hierfüber NICHT gegsprochen / informiert werden. Schöne Welt für alle Tunichtgute...

Verboten werden sollen sogenannte 'Hackertools' und damit zugleich die öffentliche Diskussion von Sicherheitslücken. Der allgemein akzeptierte Standard zur Überprüfung der Sicherheit eines Systems ist es aber, dieses mit Angriffswerkzeugen zu testen (sog. penetration testing), um die dabei gefundenen Lücken schließen zu können.

Auch ich bin im Rahmen meiner tägl. Arbeit - bei der Sicherung von IT und Internetdiensten - mit umfangreichen Sammlungen solcher Werkzeuge konfrontiert und benötige diese auch zur Analyse von Sicherheitsschwachstellen sowie zur Absicherung / Prüfung von Sicherheitsmechanismen. Werden diese Werzeuge "illegal", werden nur die "Bösen" weiter diese Werkzeuge haben, um damit Schaden anzurichten. Die "Guten" (Sicherheitsexperten, Netzwerkadmins u.a.) dürfen sich nicht mehr über die Funktionsweise der Werzeuge und Schadsoftware frei informieren (oder eben "illegal").

Auf der anderen Seite bin ich selbst für eine härtere Strafverfolgung illegaler und krimineller Datendiebstähle, Manipulationen oder Störern von Diensten - was aber gerade in diesem Entwurf nicht passiert.

Das seit vielen Jahren bewährte Vorgehen bei gefundenen Sicherheitsproblemen war und ist ja gerade, die Sicherheitslücken zu "erklären" - d.h. anhand von konkreten Angriffszenarien werden die Probleme und Ursachen aufedeckt und verständlich. Ebenso werden gefundene Schadproramme ("Hackertools", "Exploits") veröffentlicht damit Systemadmins deren Funktionsweise verstehen können und Abwehrmassnahmen gezielt einrichten / realisieren können.

Der Gesetzgeber hat hier offenbar auf die Hinzuziehung von Experten o. kompetenten IT Leuten verzichtet - sonst käme solch ein Unsinn erst gar nicht auf die Tische... Stattdessen wird hier ein Gesetz geschaffen, was den "Bösen" (also den tatsächlich strafbar / kriminell agierenden Leuten) einen dicken guten Vorsprung verschafft, weil deren Angriffstaktiken und Werkzeuge nun nicht mehr legal bekannt gemacht werden können.

"Kriminelles Hacken" per Gesetz zu verbieten, gab schon bisher allein mäßigen Erfolg. Nun will man schlicht "faulen Sysadmins" helfen, indem es nicht mehr um Ursachenbekämpfung (also das mögl. zeitige Schließen von Sicherheitslücken) sondern die Netznutzer derart "verdummen", das das Bekanntwerden von Sicherheitproblemen nicht mehr umgreifen soll. Dies klingt doch sehr nach Micro$ofts ehem. "Theologie" der "security by obscurity" ("Sicherheit durch Geheimniskrämerei..." sozusagen) aus den 80ern und 90ern, die bekanntermassen nie weit half und selbst MS - mit seinen oft über Monate "überspäten" Reaktionen auf oft schlimme gefährliche Löcher in hauseigener MS-Software hat seit paar Jahren verstanden, das dies die hauseigenen Kunden weitaus negativer traf als eine (wie heute) "offenere" Sicherheits-Informationspolitik.

Ebenso fallen mit solchen Regeln auch viele wichtige Meldungen der bekanntesten Sicherheitsteams und Institutionen weg,

(Bsp. siehe
http://www.syndicat.com/kundenbereich/n ... icherheit/ )

über die sich Sysadmins wichtigste Infos zum Sicherheitsstand benutzter Software tägl. beziehen.

Das Bundeskabinett hat am 20. September einen Regierungsentwurf zur Änderung des Strafrechts in Zusammenhang mit Computersystemen beschlossen. [1] Dabei soll u. a. Software kriminalisiert werden, die zur Analyse von Sicherheitslücken zwingend erforderlich ist. Der Chaos Computer Club warnt davor, dass die Umsetzung des Entwurfes die Sicherheit von Computersystemen gefährdet. Stattdessen fordert der CCC eine drastische Verschärfung der Strafen für Datenverbrechen.

Artikel beim CCC: "Gesetzentwurf gefährdet die Computersicherheit"
http://www.ccc.de/press/releases/2006/20060925/

Vorschläge zur Verbesserung / Änderungen am Entwurf:

Details: Chaos Computer Club: Forderungen zum Regierungsentwurf Strafrechtsänderung im Zusammenhang mit Computersystemen
http://www.ccc.de/press/releases/2006/2 ... rungen.xml

Ich kann mir nicht vorstellen ohne meine Werkzeuge - wie schon nmap, tethereal, wepcrack usw. - sinnvolle, effiziente Arbeit zu leisten, wenn jedes Kiddie bessere Werkzeuge als ich benutzt. Wer hingegen ein "kaputtes" System oder Software mit bekannten Sicherheitsproblemen weiter bereibt, der braucht sich nicht wundern, wenn ihm die "Bösen" einen (bereits ja verbotenen) Besuch o. mehr abstatten. Etwas Sicherheitsbewusstsein der Beteiligten - der Nutzer wie Gesetzgeber - wäre hier allen hilfreich denke ich...

Beste Grüße,

Euer Niels.

[AH]

Hallo Niels...

Ich sehe das ähnlich. Je mehr öffentlich gemacht wird, um so besser lässt sich ein PC auch schützen. In Ländern, in denen diese Gesetzgebung bereits besteht, ist es quasi unmöglich in Computerforen irgendwelche Infos zu erhalten um als "Privatmann" Antiviren- oder Antistrojanersoftware zu entwickeln. An Infos zu kommen, wie man Trojaner erstellt ist dagegen aber weiterhin extrem einfach, da solche Seiten meist da veröffentlich werden, wo eine diesbezügliche Gesetzgebung nicht besteht. Leidtragende sind dabei wiederum die Leute, die sich an Gesetze halten und andere schützen wollen - nicht aber die, die sie sowieso brechen wollen.

Bei der Entwicklung von Antivirensoftware bin ich über jeden mit Quelltext oder Erklärung downloadbaren Virus extrem dankbar. Was in dieser Art und Weise veröffentlicht wird, ist sofort "verbrannt" und kann unmittelbar bekämpft werden.

Würde es rootkit.com nicht geben, gäbe es wohl kaum einen vernüftigen RootKit Scanner, dafür aber tausende an unauffindbaren und unbekannten Viren.

[niels]

Ja,

soweit doch nun mitbekommen habe, ist das Gestetz im Bundestag einmütig durchgewunken worden, wenngleich selbst Bundesrat u.a. Fachgruppen auf "teils erhebliches Problempotential" bereits heute hinweisen - das Gesetz hier an vielen Stellen viel zu weit über das Ziel hinaus geschossen ist.

Wie ich meiner täglichen Arbeit bzgl. Internet-Sicherheit zukünftig derart nachgehen kann, ohne dabei zum Straftäter zu werden, kann ich mir bisher noch nicht vorstellen. Liest man die Argumente der Gesetzesbastler, erkennt man schnell, das dort Laien Dinge annehmen, die wie häufig mehr als praxisfern sind.

Oxer wird bald der Staat bestimmen wollen, was Sicherheit ist und welche persönliche Sicherheit wir in Anspruch nehmen dürfen - welche nicht?

Aber noch blöder:
Legt man die Änderungen konsequent aus, macht sich z.B. ein Unternehmer, der seiner Sekretärin ein Passwort für sein Postfach am Telefon übermittelt, da er von unterwegs nicht an seine Post kommt - seine Sekretärin dies für ihn tun soll - im Zweifel strafbar.

Ebenso macht sich ein Admin strafbar, der - zu Evaluierungs- oder Prüfungszwecken in sein eigenes Netz einbricht bzw. dies versucht - ein weithion übliches Vorgehen bei Sicherheitstechnikern. Darauf wurde zwar von Branchenverbänden auh hingewiesen, die Beteiligten haben das aber als "irreal" bewertet.

Aber bereits mit dem Gesetz kommen Bedenken: Wie soll man mit Gutachterfirmen umgehen, die im Rahmen von Gerichtsprozessen ebenso mit den Werkzeugen zu hantieren bzw. nach dem neuen Gesetzt ebenso "strafbare Handlungen" begehen würden? Das da klare regeln fehlen, hat man schon heute begriffen - hier soll es "gesonderte Betrachtungen von Fall zu Fall" geben, was die Frickelarbeit, auf der das Gesetz basiert - einmal mehr belegt. So sollen also lediglich IT-Sicherheitsuntersuchungen im Rahmen von gutachterlichen Tätigkeiten für Gerichtsprozesse nicht straffrei sein - noch weltfremder geht es kaum.

Oder sind die Gestetzgeber hier gar nicht so dumm, wie sie sich zeigen? Vielleicht möchte man gezielt erreichen, das die IT, PCs, Handys & Co der Bundesbürger mit der Zeit nicht mehr sicher gegen Angriffe, Einbrüche und Manipulationen sind, damit - wie es ja der offenbar an einem posttraumatischen Belastungssyndrom leidende Innenminister Schäuble gern hätte - freien Zugriff auf private Computer, Datenspeicher usw. durch den Staat - jederzeit, ohne Kenntniserlangung des Betroffenen (auch später nicht) sowie ggf. ohne richterlichen Beschluß?

Stasi 2.0 halt... Dabei sind wir doch (bei mir war es zumindest so) als "Zonis" auf die Strasse gegangen, weil wir gerade diktatorische, die Freiheit zerstörende Einrichtungenw ie die Stasi loswerden wollten (und nicht nur einen ALDI um die Ecke, wie mach einer unterstellen mag...).

Leider haben auch bei desem Gesetz wieder Leute bestimmt, die nicht nur keine Fachleute sind, sondern auch keine brauchbaren Fachleute einbezogen haben - dort wo doch, hat man nicht auf diese gehört. Leider braucht man ja auch als noch so hoher Politiker keinerlei Kompetenz- o. Ausbildungsnachweis - das kann jeder werden (sogar ohne Schulabschluß o. sonstige Grundbildung). Scheinbar wird hier heute jeder Politiker, bei dem es für einen "richtigen Beruf" nicht gereicht hat... Statt Kompetenz ist Lobbyismus und massen- wie medienwirksame Wirkung mit Kurzsichtigkeit bei immer mehr neuen Gesetzen die Triebfeder - die ist offenbar sogar so kräftig, das selbst grundgesetzlich verbriefte Bürgerrechte - wie auch das Verfassungsgericht - von ignoraten, inkompetenten Politikern schlicht ignoriert und überrant werden. Fehlt wohl nur noch ein neues Ermächtigungsgesetz wie bei AH - arg wundern würde mich das jedenfals nicht mehr.

Anders lassen sich solche Pfuschereien am Gesetzesgut unseres Staates kaum noch erklären.

Bleibt zu hoffen, das die EU zukünftig mehr Einfluß gegenüber nationalen Kräften ausbilden kann. Die deutsche Regierung scheint immer häufiger nicht in der Lage, EU Richtlinien und Vorgaben auch nur halbwegs brauchbar in antionale Gesetze zu gießen.


Beste Grüße,

Niels.

[AH]

Hallo Niels...

Erst einmal vielen Dank für diese Infos. Die Sache betrifft mich direkt auch:
Da ich mich unter anderem auch mit der Erstellung von Sicherheitssoftware beschäftige, habe ich vor einiger Zeit einmal private Forschungen zur Shatter Attack angestellt. Dabei hatte ich herausgefunden, dass die Gefährdung durch Shatter noch weit größer gewesen ist, als damals von Chris Paget in seinem White Paper beschrieben wurde, da es überhaupt gar nicht nötig ist, für Shatter Code über ein Edit zu injizieren. Ich wollte diese Erkenntnisse demnächst auf meiner Homepage veröffentlichen, um vor der Benutzung von Betriebsystemen unter XP SP2 und 2000 SP4 zu warnen (die laufen noch in manchen Internetcafees noch) - werde das natürlich jetzt bleiben lassen.

[AH]

So, ich habe mir die Sache mal selbst angesehe.
Der Paragraph, um den es hier geht, ist scheinbar dieser:

2c StGB - Vorbereiten des Ausspähens und Abfangens von Daten
(1) Wer eine Straftat nach § 202a oder § 202b vorbereitet, indem er
1. Passworte oder sonstige Sicherungscodes, die den Zugang zu Daten (§ 202a Abs. 2) ermöglichen, oder
2. Computerprogramme, deren Zweck die Begehung einer solchen Tat ist, herstellt, sich oder einem anderen verschafft, verkauft, einem anderen überlässt, verbreitet oder sonst zugänglich macht, wird mit Freiheitsstrafe bis zu einem Jahr oder mit Geldstrafe bestraft.

(2) § 149 Abs. 2 und 3 gilt entsprechend.

Vorneweg - ich bin kein Anwalt und dies soll keine Rechtsberatung sein; nur ein Ausdruck meiner persönlichen Meinung:
Ich persönlich kann dort nirgendwo lesen, dass Sicherheitstools generell verboten sind - im Gegenteil. Hier steht nur, dass es verboten ist, eine Straftat vorzubereiten - da steht in keiner Weise, dass man generell solche Tools nicht besitzen darf. Es wäre doch auch sogar äu0erst befremdlich, wenn jemand bestraft werden würde, der sich solche Tools beschaft, weil er eine Straftat verhindern will.

Wo ich demk CCC hier rechtgeben muss - das Gesetz ist wirklich sehr schwammig formuliert. Jemadem direkt nachzuweisen, dass er eine Straftat plant, weil er sich ein bestimmtes Tool verschafft hat, dürfte in der Praxis wohl kaum realisierbar sein.

Sicherheitsexperten und deren Testtools betrifft dieses Gesetz meiner Meinung nach deshalb ganz offensichtlich nicht - wohl aber diejenigen, die solche Hackertools zum Download anbieten! Hier kann nie genau gesagt werden, ob diese Tools im Endeffekt von den Leuten, die sie herunterladen, als Testtools für Sicherheitszwecke verwendet werden oder für eine Straftat dienen, und sich der Anbieter somit der Vorbereitung dieser Straftat schuldig macht.

Fazit: Die Reaktion des CCC halte ich hier für toatal überzogen . Auf der Abschussliste stehen hier in keiner Weise die Sicherheitsexperten, sondern die Download-Anbieter solcher Hackertools!

Gruß

Andreas

[niels]

nun,

ganz so einfach ist die Sache dann in der Praxis doch nicht.

Zum einen hat das STGB alles das, was man mit dem "neuen Gesetz" eigentlich zum Ziel hatte, schon vorher geboten.

Nicht zuletzt laufen nicht irgendwelche Nörgeler, sondern im Prinzip alle die, die das Fach etwas kennen - aber eigentlich auch hohes Interesse an Strafverfolgung gegen IT-Kriminelle haben - Sturm gegen das Gesetz (Unis, Datenschutzbeauftragte, Sicherheitsunternehmen uvm.:

Beispiele bei Heise:
http://193.99.144.85/netze/news/meldung/92104
http://www.heise.de/newsticker/meldung/90223

Ebenso scheinen die Gesetzgeber (wie ja auch von versch. Experten der Kommissionen selbst hingewiesen wurde...) die übliche Arbeit von Sicherheitsexperten, Sicherheits-Technikern bis hin zu Produzenten von Sicherheitslösungen überhaupt nicht zu kennen - geschweige denn zu verstehen.

simples Bsp.:
Ein Antiviren-Software-Produzent MUSS sich alle Art von "Original" Viren, Trojanern, Würmern etc. BESCHAFFEN, um diese untersuchen zu können, ggf. deren Wirkmechanismen zu verstehen und um Virensignaturen gewinnen zu können.

Das wäre demnach ebenso strafbar wie die jahrelange, erfolgreiche Arbeit unserer Universitäten (z.B. CERT-Stuttgart) Sicherheitheitslücken wie deren mögl. Angriffswege mögl. umgehend zu veröffentlichen.

Noch sinnloser ist, das wohl IT-Kriminelle sich um das Gesetz den Teufel scheren, während "die Guten" - z.B. IT-Sicherheits-Unternehmen - sich nicht strafbar machen wollen.

Selbst zugegeben wird das Bruchwerk doch schon, das man bei Verabschiedung und Veröffentlichung als Handlungsrichtlinie dazu schrieb, das man von Fall zu Fall prüfen müsse inwieweit Ausnahmen zu akzeptieren sind, wenn Sicherheitstechniker als Gerichtsgutachter solche Tools "beschaffen" oder gar den Prozessbeteiligten "zugänglich" macht. Auch müsse man schauen, was man tue, wenn plötzlich doch Antivirenproduzenten und Sicherheitsberater zuhauf in Strafprozessen wiederfinden. Man weiss also schon heute, das das Gesetz - zumindest so - nicht wirklich funktioniert. Und nur ein funktionierendes, besseres sollte ein altes, soweit nicht schlechteres - ablösen, oder?

"Security by Obscurity" ist zwar lange jahre gefahrene Politik von proprietären Softwareschleudern a la Microsoft & Co. Sicherheit hat das ebensowenig gebracht wie weniger IT-Kriminelle. IT-Sicherheit ist ein ständiger Wettlauf zwischen Bösen und Guten / Jägern und Gejagten.

Das neue Gesetz gibt allein den Bösen einen guten Vorsprung. Den Sicherheitsanbietern - damit auch Dir als IT-Kunden (Software. Hardware usw.) - bleibt ein großer, wichtiger Teil an IT-Sicherheit verwehrt.

Auch wenn es die Beteiligtens ichet gut meinten - das Gesetz im Ergebnis ist praktisch schlechter als im STGB zuvor geregelt, bringt mehr Grauzonen als Klärung und hemmt signifikant jedwede ordentliche Arbeit von Sicherheitstechnikern.

Dann gibt es eine ganze Reihe Tools (z.B. Portscanner) die man als leistungsfähige Basis für IT-Angriffe benutzt - aber ebenso als unverzichtbares Werkzeug eines jeden guten Netzwerk-Admins.

In D. gibt es Gerichte, die einen Portscan als "Beweis eines Angriffes" gewertet haben...

Da ist es wie mit einem Hammer.
Weil mal wer in München mit einem Hammer einen Nachbarn erschlagen hat, werden alle Hämmer in Deutschland als Waffe verboten.

Im Umkehrschluß werden Sicherheitsexperten mehr und mehr ihre Unternehmensaktivitäten ins Ausland legen (müssen), weil (nicht zum ersten Mal) in D. unklares o. gar unsinniges IT-Gesetze/Strafrecht besteht.

Vor noch ca. 18 Jahren war das Betreiben eines preiswerten - zudem ordentliuch schnellen 16k baud Modems f. hundert USD (statt eines langsamen zu mehreren tausend Euro sch*** teuren Telekom-Modems 2k baud) eine "Straftat". Privatleute, die Daten wie elektronische Nachrichten über Telefonleitungen austauschten waren Kriminelle (Mailboxer-Szene, die BHP usw.).

Der Telekom (damals Deutsche Post) sicherte das extrem viele teure Minuteneinheiten für ein paar übertragene kilobyte.

Heute glaubt das auch keiner mehr - damals ging's ab in den Knast dafür...

Links:
>> http://www.spiegel.de/netzwelt/web/0,15 ... 69,00.html



Beste Grüße,

Niels.

[AH]

Aber was steht denn im Gesetz überhaupt - bzw. steht dort nicht?
Ich bin kein Rechtsexperte und das ist keine Rechtberatung, für mich sieht das aber so aus (nur mal als Diskussionsanstoß):

Dort im Gesetz steht ja nicht

(1) Wer
2. Computerprogramme, deren Zweck die Begehung einer solchen Tat ist, herstellt, sich oder einem anderen verschafft, verkauft, einem anderen überlässt, verbreitet oder sonst zugänglich macht, wird mit Freiheitsstrafe bis zu einem Jahr oder mit Geldstrafe bestraft.

, sondern

(1) Wer eine Straftat nach § 202a oder § 202b vorbereitet, indem er
1. Passworte oder sonstige Sicherungscodes, die den Zugang zu Daten (§ 202a Abs. 2) ermöglichen, oder
2. Computerprogramme, deren Zweck die Begehung einer solchen Tat ist, herstellt, sich oder einem anderen verschafft, verkauft, einem anderen überlässt, verbreitet oder sonst zugänglich macht, wird mit Freiheitsstrafe bis zu einem Jahr oder mit Geldstrafe bestraft.

(die Hervorhebungen stammen von mir).

Es müssen also zwei Faktoren zusammenkommen, damit hier eine strafbare Handlung erfolgt (mal vereinfacht):
Es muss zum einen das Stehlen von Daten vorbereitet werden;
das Stehlen der Daten muss aber auch dadurch vorbereitet werden, dass ich mir oder jemand anderem ein dafür geeignetes Programm oder Passwörter verschaffe.

Was fällt also wohl demnach nicht unter dieses Gesetz:
1.) Person A unterhält sich mit Person B über einen detaillierten Plan, wie man genau an Passwörter anderer Benutzer von z.B. E-BAY kommen könnte. Person A hat sich aber noch keinerlei Programme dafür verschafft.

2.) Person A läd sich massenhaft Viren herunter, um einen möglichst effektiven Virenscanner gegen Trojaner zu bauen - will also eine solche Straftat verhindern. Die Arbeit an der Software ist definitiv in Vorbereitung, die Absicht der Verhinderung einer solchen Straftat ist also nachvollziehbar.

3.) Person A läd sich eine Software zum Knacken von Login-Passwörtern herunter, da Person A sein eigenes Passwort für seinen Rechner vergessen hat. Nach der Benutzung wird das Programm umgehend und vollständig gelöscht, damit es kein anderer in die Hände bekommt.

Alleine das "sich Verschaffen" einer solchen Software reicht also meiner Meinung nach nicht aus, um den hier angegebenen Tatbestand überhaupt zu erfüllen.

Wo greift dieses Gesetz meiner Meinung nach?:
1.) Person A möchte das Login-Passwort von Person B knacken, um dessen persönliche Daten lesen zu können. Person A beauftragt dafür Person C mit der Erstellung einer entsprechenden Software und benutzt diese danach für seine Tat.
=> Person A und Person C sind beide dran!

2.) Person A programmiert sich einen Keylogger - Person B läd sich diesen Keylogger herunter und knackt damit die Passwörter von Person C.
=> Person A und Person B sind beide dran!

3.) Persön A läd sich einen Keylogger herunter, den Person B ins Netz gestellt hat. Person A möchte damit sämtliche Mails aufzeichnen und später lesen können, die Person C von seinem Firmenrechner aus verschickt. Person A erzählt Person D von seinem genialen Plan; Person D geht petzen.
=> Person A und Person B sind beide dran!

4.) Person A programmiert sich einen Keylogger der wunderbar dafür geeignet ist, verdeckt Passwörter anderer Personen zu sammeln und stellt diesen zum Download ins Internet.
=> Person A ist dran! Warum? Da sich jeder diesen Keylogger herunterladen und ihn für eine Straftat verwenden kann, ist dies meiner Meinung nach eindeutig eine Vorbereitungstat.

Ich sehe da im Augenblick nicht, dass Sicherheitsexperten zwingend wegen §202c ins Ausland übersiedeln müßten. Deute ich am Gesetz da irgendetwas falsch? Wer kan meine Sicht der Dinge schlüssig widerlegen?

[niels]

Nun,

vielleicht helfen folgende Artikel zum besseren Verständnis meiner "Sorgen":

Entwurfsfassung des § 202c StGB droht Informatiker/innen zu kriminialisieren
http://www.gi-ev.de/aktuelles/meldungsd ... ldung/159/

Bundesrat billigt verschärfte Hackerparagraphen
http://www.heise.de/newsticker/meldung/92334