Aufdecken von IT-Sicherheitslücken: Der Botin gebührt Dank
Wer Cyber-Sicherheitslücken aufdeckt, darf nicht bestraft werden, das Gegenteil sollte der Fall sein. Daran erinnert der Fall der CDU-App.
D ie Summen, die Unternehmen zahlen, weil kriminelle Angreifer:innen Sicherheitslücken ausnutzen, steigen. Gleichzeitig ermittelt ein Landeskriminalamt gegen eine IT-Expertin, die verantwortungsvoll eine Sicherheitslücke meldete. Wie passt das zusammen? Natürlich gar nicht. Dass es überhaupt zu diesen Ermittlungen kommt, ist ein Abgrund.
Die Expertin hatte die CDU auf eine gravierende Sicherheitslücke in deren Wahlkampf-App hingewiesen, durch die persönliche Daten an Unbefugte geraten konnten. Zu Ermittlungen, über die zuerst das Portal netzpolitik.org berichtet hat, kam es, weil die CDU Anzeige erstattet hatte.
Mittlerweile hat die Partei diese Anzeige zwar zurückgezogen – aber das muss keineswegs das Ende der Ermittlungen bedeuten. Die Strategie, die die CDU hier anwandte, ist bekannt und erprobt. Wenn jemand eine schlechte Nachricht überbringt, unternimmt man nicht etwa etwas gegen die Ursache. Man bestraft lieber die Botin.
Und da muss man sich fragen: Was hätte die CDU denn gewollt? Dass jemand die Sicherheitslücke ausnutzt, die Daten abzieht und die Partei auffordert, eine Million Euro in Bitcoins zu zahlen, bitte bis übermorgen? Kann sie haben. Der Chaos Computer Club hat bereits angekündigt, falls er weitere Sicherheitslücken in Systemen der CDU entdeckt, diese nicht an die Partei zu melden. Damit besteht das Risiko, dass jemand anderes diese Sicherheitsmängel auch entdeckt – und ausnutzt.
Das Problem liegt nicht alleine bei der CDU. Auch die Paragrafen, die derartige Ermittlungen überhaupt ermöglichen, sind problematisch. Die Regierungsparteien sind zudem seit Jahren nicht willens, einen guten Schutz von Whistleblower:innen zu beschließen. Der könnte aber dazu beitragen, dass auf Sicherheitsprobleme in Unternehmen frühzeitig hingewiesen wird.
Ob wir dagegen eines Tages Ermittlungen und dann mindestens mal ein saftiges Bußgeld gegen eine Partei sehen, die aufgrund einer Sicherheitslücke persönliche Daten mehrerer Tausend Menschen schutzlos ließ? Darauf sollte man besser nicht wetten.
40.000 mal Danke!
40.000 Menschen beteiligen sich bei taz zahl ich – weil unabhängiger, kritischer Journalismus in diesen Zeiten gebraucht wird. Weil es die taz braucht. Dafür möchten wir uns herzlich bedanken! Ihre Solidarität sorgt dafür, dass taz.de für alle frei zugänglich bleibt. Denn wir verstehen Journalismus nicht nur als Ware, sondern als öffentliches Gut. Was uns besonders macht? Sie, unsere Leser*innen. Sie wissen: Zahlen muss niemand, aber guter Journalismus hat seinen Preis. Und immer mehr machen mit und entscheiden sich für eine freiwillige Unterstützung der taz! Dieser Schub trägt uns gemeinsam in die Zukunft. Wir suchen auch weiterhin Unterstützung: suchen wir auch weiterhin Ihre Unterstützung. Setzen auch Sie jetzt ein Zeichen für kritischen Journalismus – schon mit 5 Euro im Monat! Jetzt unterstützen
meistkommentiert
Denkwürdige Sicherheitskonferenz
Europa braucht jetzt Alternativen zu den USA
„Edgy sein“ im Wahlkampf
Wenn eine Wahl als Tanz am Abgrund verkauft wird
Überraschung bei U18-Wahl
Die Linke ist stärkste Kraft
Ukraine-Verhandlungen in Saudi-Arabien
Wege und Irrwege aus München
Krisentreffen nach Sicherheitskonferenz
Macron sortiert seine Truppen
Absturz der Kryptowährung $LIBRA
Argentiniens Präsident Milei lässt Kryptowährung crashen