Hackerparagraf: GI fordert Legalisierung von ethischem Hacken

Die Gesellschaft für Informatik (GI) hat im August 2026 ein Whitepaper zur Reform des Computerstrafrechts vorgelegt. Die Kernforderung: Wer Sicherheitslücken findet und meldet, soll sich dafür nicht mehr strafbar machen. Der Zeitpunkt ist kein Zufall. Ab dem 11. September 2026 verpflichtet der Cyber Resilience Act Hersteller zur Meldung aktiv ausgenutzter Schwachstellen. Die Menschen, die solche Schwachstellen überhaupt erst finden, arbeiten in Deutschland aber weiter in einer strafrechtlichen Grauzone.

Was ist der Hackerparagraf?

Hackerparagraf bezeichnet § 202a StGB, das Ausspähen von Daten. Strafbar macht sich, wer sich unter Überwindung einer Zugangssicherung unbefugt Zugang zu Daten verschafft. Auf die Absicht kommt es nicht an: Auch wer eine Lücke nur findet, um sie zu melden, erfüllt den Tatbestand.

Ergänzend stellt § 202c StGB die Herstellung und Verbreitung von Programmen unter Strafe, deren Zweck die Begehung einer solchen Tat ist. Das GI-Whitepaper benennt genau diesen Punkt als Kernproblem: Die Intention des Täters findet keine Beachtung, sodass sich Meldende von Schwachstellen selbst strafbar machen können. Schon die Verschaffung der Zugangsmöglichkeit reicht aus, auch wenn sie nie genutzt wird. Die Paragrafen 202a bis 202c gelten seit 2007, und die GI kritisiert sie seit ihrer Einführung.

Der Fall Modern Solution zeigt das Risiko

Wie real das Risiko ist, zeigt der Fall Modern Solution. Ein freiberuflicher IT-Experte entdeckte 2021 eine gravierende Sicherheitslücke: Ein im Klartext gespeichertes Datenbank-Passwort machte die Daten von rund 700.000 Endkunden zugänglich. Er meldete den Fund verantwortungsvoll. Statt eines Dankes folgten Strafanzeige und Hausdurchsuchung. Das Amtsgericht Jülich verurteilte ihn im Januar 2024 zu einer Geldstrafe, die Folgeinstanzen bestätigten das Urteil. Das Bundesverfassungsgericht wies die Verfassungsbeschwerde im September 2025 ohne Begründung ab.

Das Whitepaper führt den Fall als Beleg dafür an, was die Rechtslage für die Meldekultur bedeutet: Wer meldet, riskiert ein Ermittlungsverfahren. Die Größenordnung des Problems wächst dabei jedes Jahr. 2025 wurden laut GI weltweit fast 50.000 CVEs gemeldet, im ersten Quartal 2026 stieg die Zahl gemeldeter Schwachstellen um 25 Prozent im Vergleich zum Vorjahr. Jede dieser Meldungen setzt voraus, dass jemand die Lücke gefunden hat und einen Weg zum Betroffenen sucht.

Was die GI konkret fordert

Das Whitepaper "Reform des Computerstrafrechts" entstand in einem Konsultationsprozess mit drei Workshops und mehreren Expertengesprächen im Mai und Juni 2026. Die GI fordert darin, gutgläubige Sicherheitsforschung von der Strafverfolgung auszunehmen und die Meldung von Schwachstellen rechtssicher zu machen.

Mit dieser Position steht die GI nicht allein. BSI-Präsidentin Claudia Plattner forderte bereits im November 2025 eine Entkriminalisierung: Personen, die Sicherheitslücken verantwortungsvoll aufdecken und melden, sollten dafür nicht belangt werden.

Ein Reformversuch existierte sogar schon. Der Referentenentwurf des Bundesjustizministeriums zur Änderung des Computerstrafrechts kam jedoch nicht über das Entwurfsstadium hinaus und verfiel mit dem Bruch der Ampelkoalition.

Andere Länder sind weiter. Polen hat laut GI-Whitepaper eine explizite Safe-Harbor-Regelung im Strafgesetzbuch verankert, die gutgläubige Sicherheitsforschung von der Strafbarkeit ausnimmt.

Der Widerspruch zum Cyber Resilience Act

Ab dem 11. September 2026 gilt Artikel 14 der Verordnung (EU) 2024/2847. Hersteller von Produkten mit digitalen Elementen müssen aktiv ausgenutzte Schwachstellen binnen 24 Stunden als Frühwarnung an das koordinierende CSIRT und die ENISA melden, binnen 72 Stunden folgt die vollständige Meldung. Die Meldepflicht trifft allerdings nur die Hersteller. Externe und ehrenamtliche Sicherheitsforscher erfasst der CRA nicht, und er schützt sie auch nicht.

Damit entsteht eine widersprüchliche Lage:

Der Staat hat die Infrastruktur für geordnete Meldungen bereits aufgebaut. Das BSI ist seit Dezember 2025 der nationale Koordinator für Coordinated Vulnerability Disclosure nach § 5 BSIG. Was fehlt, ist die Rechtssicherheit für die Menschen, die diese Meldewege nutzen sollen.

Einordnung

Unternehmen betrifft diese Debatte direkt. Solange Meldende ein Strafverfahren riskieren, bleibt manche Lücke schlicht ungemeldet, und das Risiko trägt der Betreiber. Organisationen können die Hürde auf ihrer Seite senken: Ein dokumentierter security.txt-Meldeweg signalisiert, dass Meldungen erwünscht sind und nicht beim Anwalt landen. Dass diese Kultur funktionieren kann, zeigt die BSI Hall of Fame, in die das BSI Meldende verantwortungsvoll offengelegter Schwachstellen aufnimmt.

Klar bleibt auch: Beauftragte Penetrationstests stehen bei § 202a StGB auf sicherem Boden, denn der Paragraf erfasst nur den unbefugten Zugang. Wer testet, was der Auftraggeber freigegeben hat und worüber dieser tatsächlich verfügen darf, handelt befugt. Beim Umgang mit Dual-Use-Werkzeugen nach § 202c StGB bleibt die Rechtslage dagegen auch bei Beauftragung unscharf, weshalb die GI die Reform des gesamten Computerstrafrechts fordert. Die eigentliche Grauzone beginnt dort, wo niemand beauftragt wurde und trotzdem jemand hinschaut. Genau diese Fälle entscheiden aber darüber, ob Schwachstellen gemeldet werden, bevor Kriminelle sie finden. Die GI-Forderung liegt auf dem Tisch, der CRA-Termin steht im Kalender. Es fehlt der Gesetzgeber.

Quellen

• GI: Whitepaper Reform des Computerstrafrechts (August 2026, PDF)
• § 202a StGB, Ausspähen von Daten
• § 5 BSIG, Aufgaben des Bundesamtes
• Verordnung (EU) 2024/2847 (Cyber Resilience Act)
• netzpolitik.org: Ethisches Hacken, raus aus der Grauzone