Industrie zieht sich zurück

[end4win]

Original von Malo

Nehmen wir mal an, ich hätte ein Programm, das die Verschlüsselung knackt und ich probiere es aus, um die Sicherheit meines Systems zu testen.
Ist das dann illegal? Darf ich nicht ausprobieren, wie sicher mein eigenes System ist?
Das Gesetz ist absolut schwammig, unpräzise und könnte rechtsschaffende Sicherheitsexperten kriminalisieren.

Solang dein Programm sich auf ein Netzwerk beschränkt und nicht sämtliche
Wlan's in deiner Umgebung knackt ist es legal. Hier reicht vollkommen aus, wenn
der Anwender sagen muss" knacke" explizit diese Verschlüsselung.

Man kann allgemein gültige Gesetze nicht präzise vormulieren, sonst müsste jemand
nur einen Tathergang geringfügig ändern und es wäre keine Straftat mehr.

Bei deiner Auslegung wäre schon der Wlan-Treiber illegal, vom Betriebssystem ganz
zu schweigen.

Gruss

 

[Malo]

Original von end4win

Original von Malo

Nehmen wir mal an, ich hätte ein Programm, das die Verschlüsselung knackt und ich probiere es aus, um die Sicherheit meines Systems zu testen.
Ist das dann illegal? Darf ich nicht ausprobieren, wie sicher mein eigenes System ist?
Das Gesetz ist absolut schwammig, unpräzise und könnte rechtsschaffende Sicherheitsexperten kriminalisieren.

Solang dein Programm sich auf ein Netzwerk beschränkt und nicht sämtliche
Wlan's in deiner Umgebung knackt ist es legal. Hier reicht vollkommen aus, wenn
der Anwender sagen muss" knacke" explizit diese Verschlüsselung.

Das behauptest du!
Es steht aber eben NICHT so im Gesetz. Im Gesetz steht, dass die ABSICHT des Programms im Vordergrund steht. Du interpretierst das Gesetz so, wie es dir gerade passt. Und ein Richter wird es auch so drehen, wie es ihm gerade passt. Und allein das ist der Mist an dem Gesetz.

Man kann allgemein gültige Gesetze nicht präzise vormulieren, sonst müsste jemand
nur einen Tathergang geringfügig ändern und es wäre keine Straftat mehr.

Lösung: 202c weglassen.

Bei deiner Auslegung wäre schon der Wlan-Treiber illegal, vom Betriebssystem ganz
zu schweigen.

Das ist der Punkt!
Man kann nirgendwo eine klare Grenze ziehen. Dieser Gummiparagraph kann so auslegt werden wie es dem jeweiligen Richter gerade passt.

Original von ftx
Zum abermillionstenmal:
Du darfst mit Programmen die Sicherheit deines PCs/Servers testen!
Der Besitz/Die Nutzung eines solchen Programms ist nicht strafbar, bis du damit etwas illegales/verbotenes machst. Und da Sicherheitstest wichtig sind und diese nur auf eigenen Servern/PCs (bzw. auf Servern/PCs eines Kunden) ausgeführt werden, machst du dich damit nicht strafbar.

Das steht in §202, §202a und §202b. Aber in §202c steht etwas völlig anderes.

Die illegale Tat ist verboten. Aber §202c richtet sich an diejenigen, die die entspr. Software herstellen oder verbreiten. Und das hat NICHTS mit der Tat zu tun!
Es ist von der Absicht des Programms der Rede, nicht von der Nutzung des Programms. Ein großer Unterschied!

 

[end4win]

Der Zweck der Software ist ausschlaggebend, so steht es im Gesetz.
Da braucht man und kann nicht viel interpretieren, wenn die Software nicht
für die Begehung einer Straftat (zB. Viren, Troyaner, Exploits die mir Rechte
auf einem anderen Computer verschaffen,...) programmiert wurde.

Sobald du also nachweisen kannst, dass es sinnvolle Anwendungsbereiche für
dein Programm gibt kann es nicht strafbar sein, es sei den es wird dir nachgewiesen,
dass du über die Absichten des Täters informiert warst.

Und jetzt wurde es wirklich oft genug erklärt.

Gruss


Richter drehen sich die Gesetze nicht zurecht, das sind Anwälte.
Es gibt dann immer noch die nächste Instanz.

 

[ghostdog]

Da ich nicht in Deutschland lebe ist das Thema an mir vorbeigegangen und hier im Thread schreibt jeder etwas anderes. Kann jemand konkret sagen, was sich verändert hat? Steht jetzt WEP knacken unter festgelegter Strafe oder was hat sich konkret getan?! War das nicht vorher schon so?

 

[Malo]

Original von end4win

Sobald du also nachweisen kannst, dass es sinnvolle Anwendungsbereiche für
dein Programm gibt kann es nicht strafbar sein, es sei den es wird dir nachgewiesen,
dass du über die Absichten des Täters informiert warst.

Also wenn ich ein Programm schreibe, mit dem man eine W-LAN-Verschlüsselung knacken kann und jemand schreibt mir per Email, dass er das Programm für illegale Zwecke nutzt - dann mach ich mich damit strafbar?

Und jetzt wurde es wirklich oft genug erklärt.

Genau. Ich hoffe, du hast es jetzt endlich verstanden.

Richter drehen sich die Gesetze nicht zurecht, das sind Anwälte.
Es gibt dann immer noch die nächste Instanz.

Vor allem, weil das alles so günstig ist und man nichts anderes zu tun hat, als sich gegen ein Gerichtsurteil zu wehren. Daumen hoch!


@ghostdog: Es macht sich demnächst (Gesetz ist AFAIK noch nicht in Kraft getreten) jeder strafbar, der ein Programm herstellt, verbreitet oder zugänglich macht, welches die Absicht hat, illegal fremde Daten zugänglich zu machen. Den Gesetzesentwurf findest du hier:
http://www.bmj.bund.de/media/archive/1317.pdf

 

[end4win]

Also wenn ich ein Programm schreibe, mit dem man eine W-LAN-Verschlüsselung knacken kann und jemand schreibt mir per Email, dass er das Programm für illegale Zwecke nutzt - dann mach ich mich damit strafbar?

Genau, wenn du ihm dann dein Programm per Mail schickst beteiligst du dich an der
Straftat, ebenso wenn du ihn nicht anzeigst, aber dies ist ein anderer Paragraph.
Was ist daran so schwer den Unterschied zwischen Schad- und Prüf- bzw. Sicherheitssoftware zu kapieren?
Ich bin überzeugt das Richter und Staatsanwälte dies können.

Vor allem, weil das alles so günstig ist und man nichts anderes zu tun hat, als sich gegen ein Gerichtsurteil zu wehren. Daumen hoch!

Mit Sicherheit würde ich mich gegen ein Fehlurteil wehren, was gäbe es wichtigeres?

Aber lassen wir es Herrn Köhler erst mal unterschreiben und wenn es dann zu einer
Verhaftungswelle kommt werde ich mich selbst anzeigen.

Gruss

 

[Malo]

Original von end4win

Also wenn ich ein Programm schreibe, mit dem man eine W-LAN-Verschlüsselung knacken kann und jemand schreibt mir per Email, dass er das Programm für illegale Zwecke nutzt - dann mach ich mich damit strafbar?

Genau, wenn du ihm dann dein Programm per Mail schickst beteiligst du dich an der
Straftat, ebenso wenn du ihn nicht anzeigst, aber dies ist ein anderer Paragraph.

Und wenn ich das Programm öffentlich zum Download anbiete?
Da haben wir einen Fall, wo man ganz leicht Probleme kriegen kann, obwohl man sich nichts zu Schulden hat kommen lassen.

Was ist daran so schwer den Unterschied zwischen Schad- und Prüf- bzw. Sicherheitssoftware zu kapieren?

Das schwierige ist, dass es diese Unterschiede oft nicht gibt: Sicherheitssoftware kann auch als kriminelle Software genutzt werden.

Ich bin überzeugt das Richter und Staatsanwälte dies können.

Richter halten Onlineforen auch für redaktionelle Medien (wie z.B. Zeitungen), weshalb Forenbetreiber für fremde Inhalte haften müssen...
Dieser Paragraph kann so ausgelegt werden, wie es dem Richter gerade passt. Das ist das Problem.

Mit Sicherheit würde ich mich gegen ein Fehlurteil wehren, was gäbe es wichtigeres?

Es ist für viele oft nicht _möglich_, weil die finanziellen Mittel fehlen. Nicht jeder hat Rechtsschutzversicherungen. Es gibt durchaus schlecht verdienende Menschen, Arbeitslose und Verschuldete.
Außerdem kostet das sehr viel Zeit und Nerven.
Und was es wichtigeres gibt? Arbeiten z.B., damit das täglich Brot verdient wird. Für die eigenen Kinder sorgen. Das ist wichtiger.


Der Punkt ist: Das Gesetz ist nicht klar definiert. Ein Gericht muss es subjektiv auslegen, da die Absicht des Programmierers nicht objektiv erkennbar ist. Und das ist das große Problem.
Die Tat selbst ist in §202b beschrieben und der ist auch richtig. Ledigleich der Punkt c ist einfach Schwachsinn!
Wieso begreifst du das nicht?

 

[end4win]

Das schwierige ist, dass es diese Unterschiede oft nicht gibt: Sicherheitssoftware kann auch als kriminelle Software genutzt werden.

Den Unterschied gibt es sehr wohl. Die Sicherheitssoftware wird dir eine Meldung
bringen der Key oder das Passwort ist unsicher . Die Schadsoftware wird die Lücke
nützen, um "Schaden" anzurichten. Dies kann ein Programmierer sehr einfach verhindern.
Dies ist übrigens eine Widerholung.

Und was es wichtigeres gibt? Arbeiten z.B., damit das täglich Brot verdient wird. Für die eigenen Kinder sorgen. Das ist wichtiger.

Das kannst du nicht, wenn du in den Knast musst.
Ansonsten gibt es für finanziell schlecht gestellte in Strafrechtssachen entsprechende Unterstützung.

Richter halten Onlineforen auch für redaktionelle Medien (wie z.B. Zeitungen), weshalb Forenbetreiber für fremde Inhalte haften müssen...

Diese Fälle wurden hier auch schon diskutiert und bei genaurer Betrachtung hatten
die Richter durchaus Recht. Was übrigens auch von Heise und dem Admin des
supernature-forums eingeräumt wurde, falls du auf diese anspielen solltest.

gruss

 

[fetzer]

Original von end4win
Den Unterschied gibt es sehr wohl. Die Sicherheitssoftware wird dir eine Meldung
bringen der Key oder das Passwort ist unsicher . Die Schadsoftware wird die Lücke
nützen, um "Schaden" anzurichten. Dies kann ein Programmierer sehr einfach verhindern.
Dies ist übrigens eine Widerholung.

Inwiefern ersteres auch Schaden anrichtet sei dahingestellt. Genauso sei dahingestellt, dass, wenn ein PoC eine Shell öffnet, es gleich als Schadcode zählt. Es soll ja nur zeigen, "dass es möglich ist", und nicht für einen Angriff genutzt werden.
Was letztendlich Sicherheits-, und was Schadsoftware ist, ist abgesehn von Viren, Trojanern und anderer Malware nur sehr schwer zu bestimmen. Und für Leute, die sich NICHT mit dem Thema auseinandersetzen würde ich sagen ist es unmöglich. Selbst ein Portscanner wird von manchen ( so sagen mir es auf jeden Fall manche "Administratoren", die die Portscans inzwischen Leid sind... ) schon als Schadsoftware an die Wand gestellt, da man damit erste Sicherheitslücken am Server entdecken kann.

 

[end4win]

Du wirst auch Leute finden die MS- Software als Schadsoftware bezeichnen

Und ein PoC muss keine Shell öffnen um zu beweisen dass eine Lücke
vorhanden ist. Auch kann ich dieses erst den Entwicklern schicken und muss es nicht,
um mein Ego zu befriedigen einfach ins Netz stellen.

Ein Richter oder Staatsanwalt wird sich Rat holen bevor er einen Portscanner zur
Schadsoftware erklärt und bestimmt nicht von genervten Admins

Gruss

 

[fetzer]

Original von end4win
Auch kann ich dieses erst den Entwicklern schicken und muss es nicht,
um mein Ego zu befriedigen einfach ins Netz stellen.

Und wer hält die Entwickler ab, den "potentiellen Kriminellen" anzuzeigen, weil er ein "Programm" geschrieben hat, mit dem er ein anderes angreifen kann, auch wenn der eigentliche Sinn dahinter, nämlich zu zeigen, dass sich ein bestimmtes Codestück ausnutzen lässt, ein anderer ist?
Ich hatte schon fast ne Anzeige am Hals, weil ich einer Website die Sicherheitslücken gesagt habe und dies wurde als dann als Versuch zum Imageverlust abgestempelt, da ich sie ja öffentlich machen könnte. Auf die Moral der Hersteller und Entwickler vertrau ich in dieser Beziehung nicht.

Ein Richter oder Staatsanwalt wird sich Rat holen bevor er einen Portscanner zur
Schadsoftware erklärt

Und ein Politiker wird sich Rat einholen, um keine dummen Entscheidungen zu treffen. Und wie man bei vielen Gesetzen und Entscheidungen sieht, ist dies NICHT der Fall.

 

[Malo]

Original von end4win

Das schwierige ist, dass es diese Unterschiede oft nicht gibt: Sicherheitssoftware kann auch als kriminelle Software genutzt werden.

Den Unterschied gibt es sehr wohl. Die Sicherheitssoftware wird dir eine Meldung
bringen der Key oder das Passwort ist unsicher . Die Schadsoftware wird die Lücke
nützen, um "Schaden" anzurichten. Dies kann ein Programmierer sehr einfach verhindern.

Ein Sicherheitstest beschränkt sich nicht nur auf die Frage "Sicher - Ja/Nein?", sondern geht weitaus tiefer. Um herauszufinden, wie sicher ein System ist, muss man versuchen, Schaden anzurichten. Nur so kann man diesen Schaden hinterher verhindern.

Mit der Sicherheitssoftware kann man auch Schaden anrichten.

Frage nochmal: Ab wann genau wird da die Grenze gezogen?
Und: Wie beweist du das? Es steht jedenfalls nicht im Gesetz. Im Gesetz ist NUR von der ABSICHT der Software die Rede.
Die Tat hat nichts mit §202c zu tun. Die Tat wird in §202b beschrieben. §202c beschreibt ausschließlich die Software!
Davon ab kann man mit Sicherheitssoftware auch Schaden anrichten.

Das kannst du nicht, wenn du in den Knast musst.

Gut erkannt!
Deswegen: Dummes Gesetz abschaffen!

Wieso so weit kommen lassen? Wieso sollte man absichtlich die Gefahr schaffen, dass rechtschaffende Bürger u.U. ins Gefängnis müssen?

Diese Fälle wurden hier auch schon diskutiert und bei genaurer Betrachtung hatten
die Richter durchaus Recht.

Den Link will ich sehen.

Was übrigens auch von Heise und dem Admin des
supernature-forums eingeräumt wurde, falls du auf diese anspielen solltest.

Drauf gekommen bin ich eigentlich aufgrund eines Eintrags im Lawblog, allerdings meine ich auch diesen Fall, ja

 

[end4win]

Den Link will ich sehen.

Strafbarkeit von Äusserungen in Foren

Bitte schön.

on Topic

In Österreich gibt es seit 5 Jahren den § 126c StPO, der genau das selbe unter
Strafe stellt, warum haben die keine Probleme damit?
Oder gibt es dort keine Sicherheitstools mehr?

Und wer hält die Entwickler ab, den "potentiellen Kriminellen" anzuzeigen, weil er ein "Programm" geschrieben hat, ...

Vielleicht der Umstand, dass keine strafbare Handlung vorliegt solang ich es nicht
frei verfügbar mache.

Gruss

 

[fetzer]

Original von end4win

Und wer hält die Entwickler ab, den "potentiellen Kriminellen" anzuzeigen, weil er ein "Programm" geschrieben hat, ...

Vielleicht der Umstand, dass keine strafbare Handlung vorliegt solang ich es nicht
frei verfügbar mache.

Gruss

Eben. Ich würde es aber gerne auch frei verfügbar machen, weil es nichts gebracht hat und die Lücke 2 Versionsnummern später immernoch existiert und um somit andere Administratoren davor zu warnen. Und schon bin ich straffällig geworden, obwohl ich nur helfen wollte. Nachfolgend könnte man fragen, ob FullDisclosure noch legal ist.

 

[end4win]

Hierfür reicht eine Beschreibung der Lücke, ein Exploit mit Shell ist hier nicht
nötig. Sobald der böse Bube den Quellcode ändern/erweitern muss, für seinen Angriff, ist es seine Software.

So und ab jetzt konstruiert eure Fälle alleine weiter.
Ich hab keine Lust mehr mich ständig zu wiederholen.

Gruss

 

[t3rr0r.bYt3]

doch, einmal musst du noch

Den Unterschied gibt es sehr wohl. Die Sicherheitssoftware wird dir eine Meldung bringen der Key oder das Passwort ist unsicher . Die Schadsoftware wird die Lücke nützen, um "Schaden" anzurichten.

ein exploit an sich richtet demnach auch keinen schaden an, dass macht denn der hacker, wenn er z.b. ne shell hat oder ne fiese payload.

der kommentar will jetzt btw auch garnicht deine bisherigen posts hinterfragen, das sollte nur nochmal ein statement sein.

 

[end4win]

OK, einmal noch und nur weil ich gestern zu dem Thema eine Diskussion hatte,
bei der wir ein vielleicht einleuchtendes Beispiel entwickelten.

Ich stelle jemanden eine leere Getränkekiste, ein Kanister Benzin und ein Handtuch
zur Verfügung.
Meine Intention ist: Ihm ist das Benzin ausgegangen.
Er soll seinen Wagen betanken, das Handtuch darunter legen damit das Erdreich
nicht Schaden nimmt wenn er klekert und mir zum Dank eine Kiste Bier holen.
Der Staatsanwalt sieht keinen Grund gegen mich eine Klage zu erheben.

Stelle ich ihm jedoch eine Kiste Molotov-Cocktails vor die Tür, sieht das anderst aus.

Auch wenn er tatsächlich diese Cocktails daraus bastelt und benutzt, wird es für
mich erst gefährlich, wenn mir nachgewiesen wird, dass mir diese Absicht bekannt war oder
ich weiss dass er (evtl.ich auch) zu einer entsprechenden Gruppe gehöre.
Dies wird dann über die Höhe der Schuld geregelt.

Ich hoffe das erklärt die Intention des Gesetzes

Gruss

 

[Watchme]

1. die anstoessigste Formulierung in meinen Augen ist die hier:

Wer eine Straftat nach § 202a oder § 202b vorbereitet

ab WANN bereite ich so etwas VOR?
wenn ich den Gedanken daran habe? dann muessten viele viele Millionen Menschen wegen Mord sitzen...
wenn ich mich an den Rechner setze und versuche eine Verbindung aufzubauen?
noja... wegen nem Ping nen Jahr Knast is nicht schlecht
ab X LOGIN-Versuchen? ... yeah. lasst uns alle einsperren die ihr PW vergessen haben
Wenn ich im System drin bin? dann bereite ich nix mehr vor...

Die Vorbereitung kann ab dem Scannen mit einem Portscanner beginnen. Und das ist IMHO Internet-Hintergrund-rauschen...
Desweiteren: wie sieht es denn mit social engineering aus? ist das auch eine "Form der Vorbereitung für eine Straftat nach 202a und b" ?
von der Intention aus, klar, aber wenn mir jemand sein Passwort verraet kann man mich dafür doch nicht strafbar machen.... ansonsten renn ich demnaechst durch die Altstadt rufe mein PW rum und lasse alle verhaften, die das hoeren

2. dein Beispiel ist super! nach der Aktuellen Gesetzeslage könnte ich versuchen dir nachzuweisen, dass du (was dein Posting ja eindeutig belegt) gewusst hast dass das was er von dir bekommen hat zum Bau eines Molotovcocktails reicht.
Das würde bedeuten, dass du dich ab sofort bei der Vergabe von Benzin nem Handtuch un nem Bierkasten dich strafbar machen würdest, wenn derjenige damit tatsaechlich Mist baut. Du hast ja bewiesen, dass du weisst, was man damit machen kann. Deine Intention (--> Helfen) spielt in dem Gesetz keinerlei Rolle und könnte (so du einen netten Richter hast) lediglich beim Strafmaß mit beruecksichtigt werden (muss aber nicht!). schuldig bist du dann aber trotzdem.

 

[BigDevil]

Original von end4win
OK, einmal noch und nur weil ich gestern zu dem Thema eine Diskussion hatte,
bei der wir ein vielleicht einleuchtendes Beispiel entwickelten.

Ich stelle jemanden eine leere Getränkekiste, ein Kanister Benzin und ein Handtuch
zur Verfügung.
Meine Intention ist: Ihm ist das Benzin ausgegangen.
Er soll seinen Wagen betanken, das Handtuch darunter legen damit das Erdreich
nicht Schaden nimmt wenn er klekert und mir zum Dank eine Kiste Bier holen.
Der Staatsanwalt sieht keinen Grund gegen mich eine Klage zu erheben.

Stelle ich ihm jedoch eine Kiste Molotov-Cocktails vor die Tür, sieht das anderst aus.

Auch wenn er tatsächlich diese Cocktails daraus bastelt und benutzt, wird es für
mich erst gefährlich, wenn mir nachgewiesen wird, dass mir diese Absicht bekannt war oder
ich weiss dass er (evtl.ich auch) zu einer entsprechenden Gruppe gehöre.
Dies wird dann über die Höhe der Schuld geregelt.

Ich hoffe das erklärt die Intention des Gesetzes

Gruss

Dein Beispiel ist ziemlich bescheuert.Wenn du jemanden etwas Benzin leist,gibst du ihm doch nicht gleich noch deine Pfandflaschen mit.Ausserdem guckst du dir die Person doch vorher an,der du die Bauteile für einen Brandsatz gibst.Im Internet hast du aber keine Chance dazu.Da kann sich jeder Irre deine Tools holen und damit anstellen was er will.Dazu kommt noch das man mit Benzin normalerweise niemanden angreift.Diese "Hackertools" haben aber nur den Sinn einen Angriff durchzuführen bzw. sie vorzubereiten.

Mal abgesehen davon gereift dieses Gesetz nur,wenn mit diesen Tools ein Angriff vorbereitet wird.Ich bezweifle das dich irgendein Richter verurteilt,wenn du einem dir bekannten Systemadmin dein Tool gibst.

Es geht darum ob du es kontrolliert in Umlauf brinst oder ob du an jeden weitergibst der es sich laden will.

 

[end4win]

Das würde bedeuten, dass du dich ab sofort bei der Vergabe von Benzin nem Handtuch un nem Bierkasten dich strafbar machen würdest, wenn derjenige damit tatsaechlich Mist baut.

Genau, in der Regel wird bei Straftaten ermittelt, woher der Täter die Tatwerkzeuge hat und welche Beziehungen hier bestehen.

Ausserdem guckst du dir die Person doch vorher an,der du die Bauteile für einen Brandsatz gibst

Seit wann gibt es an Tankstellen Gesichtskontrollen?
Und es stimmt ich habe noch nie jemandem ein Handtuch mitgegeben

Gruss