IT-Sicherheitswerkzeuge wurden verboten

[LX]

Original von menace
auch DoS-Tools können PoC sein. wie will man sonst überprüfen, ob die behauptung stimmt.

Wo kein Kläger, da gibt's auch keinen Prozess. Wenn du deinen eigenen Server mit einem DoS-Tool zuhämmerst um zu schauen, wie lastfest er ist, wird kein Staatsanwalt ankommen und meckern. Wenn du allerdings meinst, den Server von Firma XY damit belästigen zu müssen, weil die vollmundig versprechen, dass sie ausfallsicher sind, dann wirst du ein Problem bekommen.

Finde ich aber auch nur fair

Meinetwegen können auch Portscans auf fremde Server verfolgt werden, die sind auch nervig genug und dienen wohl kaum den Zweck, sich nur mal die Fassade anzuschauen, sondern eher dem, zu schauen wo das Fenster angeklappt oder die Tür offen ist.

 

[bitmuncher]

Original von menace
auch DoS-Tools können PoC sein. wie will man sonst überprüfen, ob die behauptung stimmt.
Oft genug wird gerade in der IT behauptet, dass etwas der Fall ist, was eigentlich gar nicht der Wahrheit entspricht.

Ein Admin, der nicht in der Lage ist ein DoS-Tool zu schreiben, hat seinen Job verfehlt und ich bin bis heute der Meinung, dass sich ein User, der sich nicht mit seinem Rechner auseinandersetzen will, sondern diesen lediglich zum Arbeiten nutzt, professionelle Hilfe bei der Einrichtung in Anspruch nehmen sollte. Alles andere ist grob fahrlässig. Ich sehe also keinen Grund solche Tools zu verbreiten, außer man will Kiddies Werkzeuge für Straftaten in die Hand geben. In der Forschung werden solche Sachen halt in Zukunft nur an Befugte (wie man so schön sagt), also am Projekt beteiligte oder Studierende entsprechender Fächer, weitergegeben und schon steht der weiteren Forschung nichts mehr im Weg. Ich sehe also dein Problem nicht, denn die Doku zu solchen Projekten kannst du veröffentlichen und die Weitergabe der Programme mußt du halt etwas besser im Auge behalten, was ich durchaus berechtigt finde.

@fetzer: Es sind nicht die Polizisten, die verurteilen. Diese können nur Anzeige erstatten, die dann zum Staatsanwalt kommt, der evtl. sogar Anklage erhebt. Spätestens aber, wenn Gutachter in's Spiel kommen, sieht die Sache dann meist ganz anders aus, denn diese müssen vom Fach sein. Natürlich ist da ein guter Anwalt gefragt, der sich mit dem Bereich auskennt, aber wer den nicht hat und solche Programme veröffentlich, der macht definitiv einen riesen Fehler. Ich habe seit Jahren einen Anwalt, der genau auf solche Sachen spezialisiert ist.

 

[fetzer]

Original von bitmuncher
aber wer den nicht hat und solche Programme veröffentlich, der macht definitiv einen riesen Fehler. Ich habe seit Jahren einen Anwalt, der genau auf solche Sachen spezialisiert ist.

Ich nicht, darf ich deswegen meine Programmcodes nicht offen legen, nur weil sie gefährlich sein könnten und weil es Idioten gibt, die den Code für falsche Dinge benutzen? Unverständlich... sry.

LX
Meinetwegen können auch Portscans auf fremde Server verfolgt werden, die sind auch nervig genug und dienen wohl kaum den Zweck, sich nur mal die Fassade anzuschauen, sondern eher dem, zu schauen wo das Fenster angeklappt oder die Tür offen ist.

Also mich würde schon mal interessieren, was so alles auf den HaBo-Serven läuft...
Spaß am Rande muss auch mal sein Ich weiss natürlich, wie dein Post gemeint war.

 

[bitmuncher]

Original von fetzer
Ich nicht, darf ich deswegen meine Programmcodes nicht offen legen, nur weil sie gefährlich sein könnten und weil es Idioten gibt, die den Code für falsche Dinge benutzen? Unverständlich... sry.

Natürlich darfst du, ist doch deine Sache. Ich persönlich würde das Risiko aber nicht eingehen ohne rechtlichen Schutz gerade solche Programme, von denen wir hier reden, zu veröffentlichen. Das wäre mir einfach zu heikel.

 

[menace]

Wo kein Kläger, da gibt's auch keinen Prozess. Wenn du deinen eigenen Server mit einem DoS-Tool zuhämmerst um zu schauen, wie lastfest er ist, wird kein Staatsanwalt ankommen und meckern. Wenn du allerdings meinst, den Server von Firma XY damit belästigen zu müssen, weil die vollmundig versprechen, dass sie ausfallsicher sind, dann wirst du ein Problem bekommen.

Wenn ich Kunde bin bei der Firma, und selbst wenn ich da das darf, ist mit dem DoS nicht nur die Firma ausgelastet, auch andere (durch den netzwerkverkehr) benachteiligt.

Meinetwegen können auch Portscans auf fremde Server verfolgt werden, die sind auch nervig genug und dienen wohl kaum den Zweck, sich nur mal die Fassade anzuschauen, sondern eher dem, zu schauen wo das Fenster angeklappt oder die Tür offen ist.

ohja, sollen wir uns wieder ein paar konstellationen ausdenken wo es sinnlos wird oO.

Meinetwegen können auch Portscans auf fremde Server verfolgt werden, die sind auch nervig genug und dienen wohl kaum den Zweck, sich nur mal die Fassade anzuschauen, sondern eher dem, zu schauen wo das Fenster angeklappt oder die Tür offen ist.

s.o.

Natürlich darfst du, ist doch deine Sache. Ich persönlich würde das Risiko aber nicht eingehen ohne rechtlichen Schutz gerade solche Programme, von denen wir hier reden, zu veröffentlichen. Das wäre mir einfach zu heikel.

das erinnert mich an die RSA-Amendment-Geschichte. Ich werd mir das nächste DoS-Tool auf's T-Shirt drucken lassen, und werd deswegen dann verknackt, weil ich ein DoS-Tool veröffentlicht habe... oO

naja, du hast deine meinung, ich meine.

Edit: ohja, und nmap im AggressiveMode kommt auf die Rückseite vom T-Shirt

NACHTRAG: schöner kommentar von fefe: http://blog.fefe.de/?ts=b8a9ca35

 

[bitmuncher]

Original von menace
NACHTRAG: schöner kommentar von fefe: http://blog.fefe.de/?ts=b8a9ca35

Der Betreiber dieses Blogs hat offenbar noch die den Paragraph 303 des StGB gelesen. Er schreibt hier:

fefe.de
Ich verweise darauf, daß §303 auch die Entwicklung von Angriffstools umfaßt, und da gilt per Definition die Annahme, daß es bösartig ist.

Ich vermute mal, daß er sich hier auf 303a und 303b bezieht (Datenveränderung und Computersabotage). Darin heißt es:

§ 303a Datenveränderung

(1) Wer rechtswidrig Daten (§ 202a Abs. 2) löscht, unterdrückt, unbrauchbar macht oder verändert, wird mit Freiheitsstrafe bis zu zwei Jahren oder mit Geldstrafe bestraft.

(2) Der Versuch ist strafbar.

weiterhin:

§ 303b Computersabotage

(1) Wer eine Datenverarbeitung, die für einen fremden Betrieb, ein fremdes Unternehmen oder eine Behörde von wesentlicher Bedeutung ist, dadurch stört, daß er
1.
eine Tat nach § 303a Abs. 1 begeht oder
2.
eine Datenverarbeitungsanlage oder einen Datenträger zerstört, beschädigt, unbrauchbar macht, beseitigt oder verändert,

wird mit Freiheitsstrafe bis zu fünf Jahren oder mit Geldstrafe bestraft.

(2) Der Versuch ist strafbar.

Diese Regelungen werden nun ergänzt, so daß nicht nur diese Taten bei Firmen, sondern auch bei Privatleuten verboten sind. In Zukunft können also nicht nur Firmen die Einschleusung eines Trojaners anzeigen und verfolgen lassen, sondern auch Privatpersonen. Außerdem wird der Paragraph 303c in Zukunft so geändert, daß nicht nur auf Antrag oder bei öffentlichem Interesse eine Strafverfolgung stattfindet. D.h., daß eine wie oben definierte Straftat auch dann verfolgt wird, wenn sie bekannt wird, aber der Geschädigte keinen Strafantrag stellt.

Wo bittesehr steht da jetzt was davon, daß die Entwicklung von Schadcode strafbar ist?
Der Paragraph 303 in seiner Gesamtheit bezieht sich nämlich auf Sachbeschädigung. Diese beiden Teile behandeln die Beschädigung von Daten und Rechnern als Sache. Von der Entwicklung von Werkzeugen, die zur Sachbeschädigung genutzt werden können, ist im ganzen Paragraph keine Rede und mir ist auch nicht bekannt, daß entsprechendes eingefügt werden soll.

Wer also diesem Blog Glauben schenken will, der soll das tun.

Quelle der Gesetzestexte http://www.gesetze-im-internet.de/stgb/

 

[fetzer]

Wo bittesehr steht da jetzt was davon, daß die Entwicklung von Schadcode strafbar ist?

Der Gesetzentwurf sieht folgendes vor:

Dem § 303a wird folgender Absatz 3 angefügt:

?(3) Für die Vorbereitung einer Straftat nach Absatz 1 gilt § 202c entsprechend.?

§202c:

§ 202c
Vorbereiten des Ausspähens und Abfangens von Daten

(1) Wer eine Straftat nach § 202a oder § 202b vorbereitet, indem er
1. Passworte oder sonstige Sicherungscodes, die den Zugang zu Daten (§ 202a
Abs. 2) ermöglichen, oder
2. Computerprogramme, deren Zweck die Begehung einer solchen Tat ist,
herstellt, sich oder einem anderen verschafft, verkauft, einem anderen überlässt, ver-
breitet oder sonst zugänglich macht, wird mit Freiheitsstrafe bis zu einem Jahr oder mit
Geldstrafe bestraft.

(2) § 149 Abs. 2 und 3 gilt entsprechend.?

Somit ist das schon korrekt, was der Herr Felix dort geschreiben hat.

 

[bitmuncher]

Das gilt aber nur, wenn du es in Vorbereitung einer Straftat programmierst. Programmierst du das, weil du deinen Rechner damit testen willst, ist das keine Vorbereitung einer Straftat.

 

[fetzer]

Original von bitmuncher
Das gilt aber nur, wenn du es in Vorbereitung einer Straftat programmierst. Programmierst du das, weil du deinen Rechner damit testen willst, ist das keine Vorbereitung einer Straftat.

Ja gut, die Frage ist, ob er das Programm auch öffentlich weitergeben will. Ab dann wäre es illegal.

 

[404]

Das gilt aber nur, wenn du es in Vorbereitung einer Straftat programmierst. Programmierst du das, weil du deinen Rechner damit testen willst, ist das keine Vorbereitung einer Straftat.

Hier stellt sich ich mir die Frage, woher will jemand wissen, was ich mit dem Programm vorhabe?
Können die Gedanken lesen? Warum verbietet man den besitz in verbindung mit einer bösen Absicht? Wie will man den die böse Absicht nachweisen? Genügt es wenn ich das Programm habe - aber noch nie benutzt habe oder vllt nur gegen mich selbst? Es mich vllt nur interessiert, wie es funktioniert? Wie will man soetwas nachweisen? Wer ist dann in der Beweispflicht? Muss ich nachweisen das ich das Programm nur zu testzwecken habe? Wie soll ich das bitte nachweisen wenn mein rechner mal beschlagnahmt werden sollte & mir dann irgendwas angehängt? Wie sieht es aus wenn man seine Entwicklungen publiziert? Anderen zugänglich macht? Kann dem Autor der Software dann die böse Absicht unterstellt werden?

Versteh die logik hinter dem gesetz nicht ganz. Finde das ganze gesetz irgendwie nicht richtig durchdacht bzw. viel zu schwammig definiert.

Was versprechen die sich von dem Gesetz eigentl? ich meine das Eindringen in fremde Systeme ist doch ohnehin strafbar - wieso die besitz & die Weitergabe der Software verbieten? Glauben die wirklich das wenn sie den Besitz in Deutschland verbieten- es weniger Cybercriminalität geben wird? Sind die so navi zu glauben, dass sich jemand davon abhalten lässt? Ein Großteil der Software kommt doch ohnehin aus anderen Ländern.

Ich glaub ernsthaft das ist ein weiteres sinnloses bzw. sehr schlecht durchdachtes Gesetz.

 

[bitmuncher]

Das ist wie mit Waffen. Du darfst eine Waffe besitzen (zumindest mit Waffenschein), doch wenn du damit jemand umbringst, wird dir auch der Besitz der Waffe angekreidet. Aus Todschlag, wird dann Mord, da davon ausgegangen wird, daß du dir die Waffe zugelegt hast, weil du jemanden damit umbringen wolltest.

Die böse Absicht ist also dann erkennbar, wenn du damit eine Straftat begehst.

 

[menace]

Die böse Absicht ist also dann erkennbar, wenn du damit eine Straftat begehst.

Du meinst also, in der Zeit, wo präventiv Geruchsproben genommen werden, Wohnungen präventiv gefilzt werden, Leute von anderen Staaten Leute hier wegen simpler Verdachtsmomente in irgendwelche geheimen Gefängnisse verschleppen, wird an harten fakten die böse absicht fest gemacht? Hast du mal Polizisten erlebt, die bei "Gefahr im Verzug" handeln? Das gibt starke Handlungsfreiheiten.
Es ist ja auch nicht so, daß der Trend sich nicht verstärken würde, alles unter Verbote zu setzen und einzuschränken.

Vor allem, diese Geschichte mit der "Absicht" wird in anderen Teilen des GB ganz anders behandelt und gemacht. Da kommt das ganze schon etwas komisch rüber.

Die Geschichte mit der Pistole ist schon ein ganz guter Vergleich. Hier darf man nämlich keine Pistole haben, wenn man keinen Waffenschein hat, sonst macht man sich strafbar. Nur Programmcode lässt sich doch wesentlich leichter als eine handelsübliche Pistole herstellen. Brauchen Schüler dann für das Programmieren und das Besitzen von Programmcode einen Schein, der sie dazu berechtigt? Am ende noch Clearance für Schufa und keine Vorstrafen? Ich mein, geht's noch?

ganz abgesehen davon, kann man sich mit guten systemen wesentlich besser vor schadcod schützen. Dadurch aber, dass das ganze so in die rechtliche grauzone verschoben wird, wird sich die Sicherheit von Systemen nicht gerade verbessern. Denn es ist ja nicht notwendig sie zu härten, es ist ja verboten sie zu knacken.

Das nennt sich historischer/gesellschaftlicher Zwang (bzw. notwendigkeit) und hat man schon bei linux und Windows gesehen. Unter Linux war es nie hönötig, ausgefeilte Dissassembler zu programmeiren, weil das Zeug im source vorhanden war, bei windowsprogrammen nicht.

Genauso wird dann keine historische notwendigkeit gesehen, systeme zu sichern. denn das ganze ist ja verboten!!elf. So Ein schwachsinn. schon jetzt knacken genug leute aus dem Ausland hier Systeme, und wir erleichtern das auch noch.

 

[bitmuncher]

@menace: Du solltest dem CCC beitreten. Du hast genauso ein Talent zu übertreiben wie die und stellst Zusammenhänge her, die es garnicht gibt. Versuche doch die Sache einfach mal objektiv zu betrachten.

Wenn die Polizei Gefahr im Verzug sieht, hätte sie auch mit den alten Gesetzen Handlungsfreiheit gehabt. Daran ändern die neuen Gesetze auch nichts. Was hat das also mit den Gesetzesänderungen zu tun?

Es wird nicht verboten seine eigenen Systeme zu sichern und wird auch nicht verboten sogenannte Hackertools zur Sicherung der eigenen Systeme einzusetzen. Genausowenig wird es verboten solche Tools zu programmieren um sie an deinen eigenen Rechnern auszuprobieren. Das sind die Fakten und denen solltest du endlich mal in's Auge schauen und nicht krampfhaft versuchen irgendwas schlechtes daran zu suchen. Du wirst dich ja wohl auch kaum selbst anzeigen, wenn du deine Systeme mit solchen Tools traktierst. Und dementsprechend gibt es keinen Kläger. Es wird auch nicht verboten solche Tools zu verbreiten, solange du klar beim Download angibst, daß dieses Tool nicht zum Angreifen fremder Rechner benutzt werden darf. Auf jeder Website ist es heutzutage völlig normal, daß man sich von verlinkten Inhalten distanziert und daß man bei Anleitungen, wie man bestimmte Angriffstechniken nutzt ranschreibt, daß diese Anleitung nur zur Sicherung der eigenen Systeme benutzt werden darf und der Angriff auf fremde Rechner damit rechtswidrig ist. In Zukunft muss man das halt auch an die Tool-Downloads ranschreiben, idealerweise sogar im Tool selbst irgendwo vermerken. Wo ist das Problem dabei?

Ja, es gibt gewisse Auslegungsmöglichkeiten, aber die gibt es für den Kläger genauso wie für den Beklagten. So ist das nunmal beim Großteil aller Gesetze in Deutschland und da regt sich niemand drüber auf, da diese Spielräume in der Auslegung u.a. dafür sorgen, daß man die Strafe dem individuellen Fall anpassen kann. Und niemand will abstreiten, daß Deutschland sich zum Überwachungsstaat entwickelt, aber dieses Gesetz hat damit rein garnichts zu tun.

Und das disassemblieren von Closed-Source-Programmen war auch vorher schon verboten. Da hättest du dich also schon die ganzen letzten Jahre drüber aufregen müssen. Sowas nennt sich nicht Zwang, sonder Schutz geistigen Eigentums. Jeder Entwickler sollte selbst entscheiden können, ob er den Source zur Verfügung stellt oder nicht und niemand ist gezwungen Closed-Source-Programme zu nutzen. Sowas nennt man wiederum Freiheit zu tun, was man für angemessen/richtig hält. Wenn ein Künstler ein Kunstwerk in der Öffentlichkeit ausstellt, darfst du es auch nicht auseinander nehmen um zu sehen wie es funktioniert, solange du dazu nicht die Einwilligung des Künstlers hast. Das wäre dann nämlich Sachbeschädigung und vielleicht ist dir ja schonmal aufgefallen, daß die Gesetzgebungen über die wir hier diskutieren im Paragraphen für Sachbeschädigung sind.

Also versuche bitte einigermaßen objektiv zu bleiben, sonst erkläre ich die Diskussion hiermit für beendet.

 

[LX]

Original von bitmuncher
Es wird auch nicht verboten solche Tools zu verbreiten, solange du klar beim Download angibst, daß dieses Tool nicht zum Angreifen fremder Rechner benutzt werden darf.

Auch wenn ich dir im großen und ganzen zustimme, bei diesem Punkt muss ich doch widersprechen. Diese Disclaimer-Mentalität, die über den großen Teich nun auch nach Deutschland geschwappt ist, mag beruhigend wirken, hat aber kaum eine rechtliche Grundlage. Eine Seite, die beispielsweise auf irgendwelche Warez-Downloads linkt, sich aber irgendwo im Disclaimer von den Inhalten verlinkter Seiten distanziert und sie sich nicht zu eigen macht, ist deswegen noch lange nicht aus dem Bereich der Illegalität ausgetreten. Im Gegenteil, diese Distanzierung erst lässt nämlich für einen potenziellen Kläger erst den Schluss zu, dass der Seitenersteller sich über die (vielleicht auch nur potenzielle) Illegalität seines Downloadangebotes bewusst ist, hier also mit Vorwand eine Straftat begangen wird.

Mit einer einfachen "ich bin doch net dran Schuld, wenn ihr mit meinem Programm Unfug baut"-Aussage ist also noch lange nicht die Verbreitung von möglicher Schadsoftware legalisiert.

[EDIT]
Zu den Disclaimern gibt es BTW hier eine entsprechende Erläuterung mit rechtlichen Grundlagen.

 

[bitmuncher]

D.h. also: Ist keine Absicht dahinter zu erkennen, daß du die Software zum Download zur Verfügung stellst um andere zu Straftaten anzustiften, wird man dich deswegen nicht verurteilen. Nichts anderes besagt dieses Urteil und diese Absicht muß dir der Kläger erstmal nachweisen.

 

[menace]

Du hast genauso ein Talent zu übertreiben wie die und stellst Zusammenhänge her, die es garnicht gibt. Versuche doch die Sache einfach mal objektiv zu betrachten.

Moment mal, du kannst mir genauso wenig beweisen, daß es nicht einen Zusammenhang gibt. Sicher, ich glaube jetzt auch nicht daran, dass da draussen "sie" an der Weltherrschaft arbeiten, aber gesellschaftliche Trends spielen zusammen. Und dass gerade ein Überwachungs- und Verbotstrend existiert und solche Gesetze Mode sind, sieht man ja gut an der Geschichte um den G8-Gipfel.

Und ich betrachte die Dinge schon objektiv, ich habe nur nicht die Ansicht, "das ja alles in Ordnung ist", so wie du es zu meinen scheinst.

Btw: deine Aussage, dass "jemand der kein eigenes DoS-tool schreiben kann nicht in der IT sein sollte" (oder s.o.) ist schwachsinn. Es gibt viele Leute, die sich mit Sicherheit beschäftigen, und *trotzdem* gibts immer mal wieder neue Techniken, an die kein Schwein gedacht hat. Und durch die Tatsache, dass man jetzt solche Software (und damit auch solches Wissen) nicht mehr verbreiten sollte, weil man sonst in der rechtlichen Grauzone ist (wie soll ich beweisen, dass ich die Daten nicht angeboten habe, damit jemand bullshit macht? ich kann viel sagen, dass das "zu forschungszwecken" diene, da steht dann das wort von mir gegen $anwalt)

Es wird nicht verboten seine eigenen Systeme zu sichern und wird auch nicht verboten sogenannte Hackertools zur Sicherung der eigenen Systeme einzusetzen. Genausowenig wird es verboten solche Tools zu programmieren um sie an deinen eigenen Rechnern auszuprobieren.

Nur die Veröffentlichung ist dann nicht mehr rechtlich einwandfrei. Das ignorierst du die ganze Zeit, und es gibt keinen Grund, das zu verbieten, sonst müsste man auch alle Messer verbieten, weil damit Leute abgestochen werden.
Btw Wie war die Geschichte mit dem Kind, dem Comic und der Rohrbombe? Es bringt nichts, die Veröffentlichung zu verbieten.
Und ich rede auch nicht davon, dass man das zeug für sich selbst programmiert, Wenn du nicht zuhörst, dass ich sage, dass es schwachsinn ist, die Veröffentlichung zu verbieten, brauchst du mir auch nicht sagen, dass ich krampfhaft irgendetwas versuche ...

Auf jeder Website ist es heutzutage völlig normal, daß man sich von verlinkten Inhalten distanziert und daß man bei Anleitungen, wie man bestimmte Angriffstechniken nutzt ranschreibt, daß diese Anleitung nur zur Sicherung der eigenen Systeme benutzt werden darf und der Angriff auf fremde Rechner damit rechtswidrig ist. In Zukunft muss man das halt auch an die Tool-Downloads ranschreiben, idealerweise sogar im Tool selbst irgendwo vermerken. Wo ist das Problem dabei?

Diese Distanzierung ist völliger Schwachsinn und im pauschalen rechtlich überhaupt nicht abgesichert.

Und niemand will abstreiten, daß Deutschland sich zum Überwachungsstaat entwickelt, aber dieses Gesetz hat damit rein garnichts zu tun.

Direkt nicht. Aber es beschränkt den allgemeinen Wissensstand und auch die Forschung. Weil Austausch in der Forschung entsteht durch (beiderseitige) Veröffentlichungen (im Internet)

Btw: noch eine Sache, weil du vorher dich über die bösen Skriptkiddies beklagt hast: Dir ist schon klar, dass sich in den letzten Jahren die "Szene" so professionalisiert hat, und Skriptkiddies schon laenger nicht mehr den Grossteil der Angriffe ausmachen? Und Leute traden jetzt schon exploits für mehrere tausend dollar/euro. Also sind skriptkids nicht wirklich schlimm, und können dich und dein netzwerk gar nicht belasten, ausser du bist inkompetent.
Dann muss man aber solche "hackertools" auch nicht verbieten.

D.h. also: Ist keine Absicht dahinter zu erkennen, daß du die Software zum Download zur Verfügung stellst um andere zu Straftaten anzustiften, wird man dich deswegen nicht verurteilen. Nichts anderes besagt dieses Urteil und diese Absicht muß dir der Kläger erstmal nachweisen.

Und woran will man festmachen, dass jemand keine böse Absicht hat, in Zeiten wo Innenminister die Unschuldsvermutung aufheben wollen?

Schön, dass du die Diskussion beenden willst, aber du hast bisher ausser Skriptkiddies-bedrohen-mein-Netz-!!!elf (was aufgrund der Professionalisierung eh hinfällig ist, frag mal Leute, die in dem Bereich arbeiten) kein Argument gebracht, warum dieses Gesetz notwendig sein sollte.

 

[bitmuncher]

Ich sehe selbst, was von unserem IDS geloggt wird, da muß ich nicht irgendwelche Leute fragen "die in dem Bereich arbeiten". Das werden im Durchschnitt 3-5 Angriffsversuche pro Tag und Server registriert, die so unprofessionell sind, daß man schon fast drüber lachen könnte. Ich sage auch nicht, daß Skript-Kiddies mein Netzwerk bedrohen, sondern daß sie unnötig Arbeit und Traffic verursachen mit DoS-Versuchen, Bruteforces u.ä. Das wiederum verursacht Kosten. Im Unixboard habe ich schon folgenden Worst-Case beschrieben, bei dem es allerdings um private Server geht, denn auch Privatpersonen können (im Gegensatz zur bisherigen Gesetzgebung) nun auch endlich klagen:

Hier also mal der Worst-Case. Ich fahre 2 Wochen in den Urlaub, irgendwo nach Südamerika in den Dschungel wo es kein Internet gibt. Ich kann also 2 Wochen nicht auf die Server schauen. In diesen 2 Wochen wird 7 Tage lang eine DoS-Attacke gefahren. Jeder Server bietet im Durchschnitt 6MB/s Datentransfer, d.h. daß ca. alle 3 Minuten 1GB verbraucht wird. Das macht pro Stunde 180GB verbrauchter Traffic, 4320 GB Traffic pro Tag. Wenn das RZ den Server also nicht sperrt, entstehen pro Tag fast 1700 Euro Traffic-Kosten (1GB = 0,39 Euro). Das ganze 7 Tage lang sind 11900 Euro Kosten allein durch den Traffic. Die Werte sind natürlich nur überschlagen, da ich ja auch beim Traffic nur einen Rundungswert annehme, meist bieten die Server 8-10MB/s (100MBit-Anbindung). Erzähle bitte nicht, daß du das als Privatperson aus der Portokasse zahlst. Für mich ist das pro Tag mehr als ein halbes Monatseinkommen meines Festeinkommens. Hinzu kommt, daß die meisten meiner Server mir pro Stunde noch 4-5 Euro einspielen. Fallen diese durch einen DoS aus, fällt auch dieser Verdienst weg.

Auch habe ich nicht gesagt, dass "jemand der im IT-Bereich arbeitet" in der Lage sein sollte ein DoS-Tool zu schreiben, sondern ich redete ausschließlich von Systemadministratoren, also Leuten, die Server zu verwalten haben. Genausowenig habe ich behauptet, daß alles ok ist. Ich habe lediglich dargestellt, an welchen Aussagen die CCC-Publikation krankt. Ich denke, daß diverse andere Gesetzesänderungen, die momentan erlassen werden, wesentlich schwerwiegender in unser Privatleben eingreifen, über die nicht annähernd soviel diskutiert wird, wie über die Halbwahrheiten, die der CCC verbreitet (z.B. erweiterte Handlungsfreiheit für die Polizei u.ä.).

Und im übrigen gilt in Deutschland immernoch "Im Zweifel für den Angeklagten". Kann der Staatsanwalt also nicht eindeutig nachweisen, daß du etwas veröffentlicht hast, damit andere Schaden bei fremden Rechnern anrichten, wirst du mit Sicherheit nicht deswegen verurteilt, mit hoher Wahrscheinlichkeit nicht einmal angeklagt. Publikationen zu Forschungszwecken ist das normalerweise anzusehen, denn sie sind entsprechend dokumentiert usw. Wenn du also solche Tools im Rahmen einer Forschungsarbeit veröffentlichst, ist die Chance verschwindend gering bis garnicht vorhanden, daß dich deswegen jemals irgendwer gerichtlich belangen will. Wenn du allerdings an ein solches Tool ranschreibst "Mit diesem Tool ist es total leicht Server zu hacken." beinhaltet diese Aussage eine latente Anstiftung zur Straftat und die Chance, daß du deswegen belangt wirst, steigt. Sicherlich ist es teilweise unsinnig diese Paragraphen zu erweitern, aber eben nur teilweise.

 

[menace]

http://thc.org/releases.php und http://thc.org/download.php?t=r&f=hydra-5.4-src.tar.gz ist wohl dann in Zukunft illegal. Und jede Firma/Administrator darf sich ihr eigenes (fehlerbehaftetes Package) bauen. Denn es ist kein ProofOfConcept, und selbst für Forschung ist es zuviel, denn warum fixt man Bugs?
Wie kann einer glaubhaft machen, dass er nicht will, dass es für illegale Zwecke eingesetzt wird? Ansonsten macht er sich ja sonst der Fahrlässigkeit schuldig. (Ja, ich weiß, ich kann nicht locker lassen ^^).
Wie gesagt, es besteht einfach Rechtunsicherheit.

THC ist z.B. der indirekt auf Unsicherheiten im Handybereich hinweist, in dem er einen A5-Cracker baut:
http://wiki.thc.org/cracking_a5
Wenn sowas verboten sein wird, dann werden wieder Sicherheitslücken entstehen auf Dauer, wo gegen sich grosse firmen und Staaten wehren können (und sie selbst werden, wenn möglich diese auch ausnutzen), nur der normale Bürger ist wieder am Arsch. Aber natürlich ist nichts wichtiger als den Kindern den Comic über die Rohrbombe vorzuenthalten, weil du 5 mehr Mails vom IDS lesen musst (lt. deinem Blog
Und äh, man kann auch vorher schon Leute verklagen, wenn sie nen DoS starten, dazu muss man nicht die Programmierer und Distributoren kriminalisieren.

 

[bitmuncher]

Bisher konnten (leider) nur Firmen Leute verklagen, die DoS-Angriffe auf Server gefahren haben. Und ja, du hast, Recht, es ist eine rechtliche Grauzone wie so vieles in unserer Gesetzgebung worüber sich keiner aufregt (und diese eine wird vom CCC einfach völlig überdreht dargestellt). Diese ist aber für den Staatsanwalt genauso schwer auszunutzen, wie für jeden anderen auch. Denn er ist in der Beweispflicht und nicht der Angeklagte. Legst du also dem Tool eine ausführliche Doku der Lücken bei und einen Hinweis, daß dieses Tool gebaut wurde um diese Lücken aufzuzeigen und die Möglichkeit zur Behebung zu bieten, wird es für den Staatsanwalt schwierig böswillige Absichten nachzuweisen, solange er dich nicht dabei erwischt, wenn du diese Tools zum Angriff fremder Systeme oder zum Ausspionieren fremder Daten nutzt.

Im übrigen geht es mir nicht um das Lesen der IDS-Logs, denn das gehört zu meiner täglichen Arbeit. Daß die Daily-Status-Mails in ihrer Anzahl begrenzt sind hat einfach damit zu tun, daß diese für bestimmte Servergruppen zusammengefaßt werden. Ellenlang sind sie trotzdem jeden Tag. Bei kritischen Situationen bekomme ich das eh auf den Pager. Es geht mir um das Prinzip, daß in Zukunft einige Leute evtl. erstmal nachdenken, bevor sie mit solchen Tools auf fremde Rechner losgehen. Es wird nicht verboten diese Tools an eigenen Rechnern oder allgemein an der eigenen Technik auszuprobieren. Es wird und ist verboten diese an fremden Systemen, die einem nicht gehören bzw. auf die man keinen befugten Zugriff hat anzuwenden. Wird man dabei erwischt, sind nunmal selten Beweis auf Täterseite vorhanden außer die Tools selbst und genau deswegen stellt man für solche Situationen schon die Benutzung unter Strafe, aber wie bemerkt, die Benutzung an fremden Systemen. Hat man diese Tools dann selbst programmiert, ist man halt genauso am A... als hätte man sie sich irgendwo runtergeladen.

Im Gesetz heißt es z.B. "Wer eine Straftat nach § 202a oder § 202b vorbereitet, indem er ..." Diese Vorbereitung der Straftat muß dir aber nachgewiesen werden. Glaub mir, ein einigermaßen fähiger Anwalt würgt eine solche Klage ziemlich schnell ab, denn die Grauzone ist für den Verteidiger genauso vorhanden wie für den Kläger. Hast du z.B. eine entsprechende Test-Umgebung zum Testen dieser Tools zur Verfügung, muß der Staatsanwalt nachweisen, daß du diese Tools woanders einsetzen wolltest als in dieser Test-Umgebung.

Aber ich denke, wir drehen uns hier eh nur noch im Kreis. Du hast deine Meinung und ich habe meine. Ich glaube wir haben sie beide zur Genüge dargestellt und glaube kaum, daß wir uns da irgendwie annähern können. Ich bin nunmal nicht (ganz) so paranoid. Wir wiederholen uns doch beide nurnoch ständig, also einigen wir uns darauf, daß die Meinungen durchaus auchmal auseinandergehen können, was sie bei uns in diesem Punkt ganz offensichtlich tut.

 

[Gulliver]

Unabhaengig von den Gesetzestexten sollten WIR, gerade deswegen, den zivilen Ungehorsam unterstuetzen.