Vergangene Woche verabschiedete der Bundesrat einen Bericht zu Ethical Hacking. Die Regierung findet das grundsätzlich eine gute Sache. Es liefere einen wertvollen Beitrag zur Cybersicherheit in der Schweiz, heisst es darin etwa.

Im Bericht (PDF) heisst es aber auch, dass "unbefugtes Eindringen in fremde Systeme auch dann widerrechtlich ist, wenn ihm eine ethische Absicht zugrunde liegt". In diesem Punkt ist der Bundesrat, beziehungsweise sind die Verfasser aus dem NCSC, offenkundig anderer Meinung als das Nationale Testinstitut für Cybersicherheit (NTC).

Dieses hatte die Legalität von ethischem Hacking zuletzt in einem Rechtsgutachten abklären lassen. Darin heisst es sinngemäss, dass ethische Hacker auch ohne Auftrag in fremde Systeme eindringen dürfen, wenn sie sich dabei auf den "strafrechtlichen Rechtfertigungsgrund des Notstands" berufen. Ein Konflikt?

Antoine Neuenschwander, technischer Leiter Bug Bounty bei Swiss­com, sieht das nicht so eng. "Der NCSC-Bericht und das Rechts­gut­achten kon­vergieren zum Glück bei der Definition von Ethical Hacking." Das Rechts­gut­achten beschreibe dabei sehr genau, wo die Grenzen des Erlaubten und der Straf­barkeit verlaufen, so Neuen­schwander.

Er sagt aber auch, dass "wenn das NTC bei seinen Projekten keine Einwilligung für das Aufspüren von Schwachstellen einholt", dies je nach Eingriff eine Verletzung des Hackerparagrafen darstelle. Allerdings würde der Bericht des Bundesrats "das Strafbarkeitsrisiko der NTC-Vorgehensweise nicht hervorheben, also betonen".

Grundsätzlich findet Neuenschwander, dass die Rechtslage in Sachen Ethical Hacking noch "sehr grau" sei. Obwohl im Pentesting das Vorgehen in einem Vertrag geregelt sei, gebe es auch hier keine absolute Sicherheit. "Beim NTC wird sich vielleicht in Zukunft zeigen, ob der rechtfertigende Notstand gemäss Gutachten von Walder Wyss anwendbar ist." Schliesslich sei ein sicherer Rahmen für private IT-Sicherheitsforscherinnen und -Forscher kaum gegeben.

Tobias Castagna, Leiter Testexperten beim NTC, sagt, dass "das NTC dem Bericht des Bundesrats grundsätzlich positiv gegenübersteht". Weiter dazu äussern wolle man sich allerdings nicht.