IT-Sicherheit raus aus der Grauzone – Zeit für klare Gesetze!
Die Bundestagswahl ist vorbei, Koalitionen werden gebildet – und eines bleibt für uns von größter Bedeutung: IT-Sicherheit braucht Rechtssicherheit!
Bereits in der letzten Legislaturperiode war dieses Thema Teil des Koalitionsvertrags und hat einen Gesetzesentwurf hervorgebracht. Allerdings wurde das Gesetz vor dem Regierungswechsel nicht mehr verabschiedet. Angesichts der wachsenden Bedrohungslage und aktueller geopolitischer Entwicklungen fordern wir den Gesetzgeber auf, dieses Thema erneut aufzugreifen.
Deshalb haben wir einen offenen Brief verfasst, den wir Anfang März an die zuständigen Stellen der Parteien verschicken werden.
Lasst uns gemeinsam der kommenden Regierung zeigen, wie wichtig das Thema ist. Es ist höchste Zeit, die rechtlichen Risiken für ethische Hacker abzubauen!
Die zukünftige Bundesregierung Platz der Republik 1 11011 Berlin
IT-Sicherheit braucht Rechtssicherheit – jetzt im Koalitionsvertrag festschreiben!
Sehr geehrte Damen und Herren von CDU, CSU und SPD,
2024 waren 81% der deutschen Unternehmen von Datendiebstahl, Industriespionage und -sabotage betroffen — mit einem Rekordschaden von 266,6 Milliarden Euro.[1] Die Bedrohung im Cyberraum ist so hoch wie nie zuvor, auch mit Blick auf die angespannte geopolitische Situation.[2]IT-Sicherheit ist wichtiger denn je geworden.
Wir kümmern uns um die IT-Sicherheit in Deutschland. Wir sind Forscherinnen und Forscher, die ihr Lebenswerk der IT-Sicherheit verschrieben haben, jedoch aus Angst vor rechtlichen Konsequenzen ihre Forschung nicht frei verfolgen können.[3][4] Wir sind Berufstätige, die tagtäglich Cyberangriffe verhindern und dennoch Klagen befürchten müssen. Wir sind technikbegeisterte Menschen, die ihre Freizeit der IT-Sicherheit widmen, und als Dank angezeigt werden.[5] Wir schaffen sichere IT-Infrastruktur, aber die Gesetzeslage macht unsere Arbeit zu einem Spiel mit dem Feuer. Denn die Gesetzeslage macht keine Ausnahmen für die legitime und notwendige Forschung und Arbeit, die Fehler aufdeckt und behebt.
Für eine wirksame und zeitgemäße IT-Sicherheitslandschaft in Deutschland muss das verantwortungsvolle Finden und Melden von Sicherheitslücken legal möglich sein. Derzeit jedoch findet in vielen Fällen eine solche Meldung oder überhaupt die Suche nach Schwachstellen nie statt, aus Angst vor rechtlichen Konsequenzen. Das Problem: Zwar sind anonyme Meldungen an das BSI möglich, doch betrifft diese Anonymisierung lediglich die Meldung selbst, nicht das Auffinden an sich, und bietet daher keine Rechtssicherheit. Diese muss dringend gewährleistet werden, um eine proaktive Sicherheitskultur zu fördern.
Lassen Sie uns das Potenzial derer freisetzen, die helfen können. Die Notwendigkeit für Rechtssicherheit in der IT-Sicherheitsforschung wurde bereits von Rechtswissenschaftlern[6], sowie von der Industrie, unter anderem dem Verband der Automobilindustrie, erkannt[7]. Zudem hat sich im vergangenen Jahr auch der wissenschaftliche Dienst des Deutschen Bundestages mit der Rechtslage im internationalen Vergleich befasst, denn in mehreren Ländern wurden bereits ähnliche Reformschritte unternommen.[8]
Wir bitten Sie daher:
Rechtssicherheit für verantwortungsvolles Suchen und Melden von Sicherheitslücken muss Teil des Koalitionsvertrages werden!
Der Reformprozess muss zeitnah eingeleitet werden!
Die IT-Sicherheitsgemeinschaft muss am Prozess beteiligt werden um eine praxistaugliche Lösung zu finden und zu gewährleisten!
Florian Hantke, Forscher am CISPA Helmholtz-Zentrum für Informationssicherheit Bayern,
Florian ist Doktorand am CISPA und beschäftigt sich in seiner Forschung mit den rechtlichen und ethischen Challenges der Sicherheitsforschung sowie der Sicherheit im Web. Neben seiner wissenschaftlichen Arbeit ist Florian bei Hacker-Wettbewerben aktiv, als Security Consultant tätig und schaut sich gerne von ihm private genutzte Anwendungen im Detail an.
Simeon Hoffmann, Forscher am CISPA Helmholtz-Zentrum für Informationssicherheit Saarland,
Simeon ist Doktorand am CISPA Helmholtz-Zentrum für Informationssicherheit. In seiner Forschung befasst er sich mit der Sicherheit im Internet der Dinge. Daneben ist er Mitglied in einem Team für Hacker-Wettbewerbe und hilft bei der Ausrichtung. Wenn er gerade beides nicht macht, brennt wahrscheinlich irgendwo ein Lötkolben oder er versucht an Pinsel oder Schere kreativ zu sein.
Niklas berät seine Kunden zu Entwicklung und Betrieb sicherer Software und studiert Cybersecurity an der Uni Saarland. Dort macht er neben seinem Master zusammen mit dem Team der Uni Punkte auf Hacker-Wettbewerben und hilft solche Wettbewerbe auszurichten. Wenn er nicht am Computer ist, erkundet er wahrscheinlich gerade die Natur.
Mit vollster Unterstützung der 176 Unterzeichner*innen⁹
Prof. Dr.-Ing. Sebastian Roth, Leiter des Lehrstuhls für Cybersecurity an der Universität Bayreuth Bayern,
Prof. Dr. Martin Johns, Professor für IT Sicherheit an der TU Braunschweig Niedersachsen,
Prof. Dr. Daniel Tenbrinck, Hochschuldozent und Hobby-Hacker Bayern,
Prof. Dr. Christoph Sorge, Professor für Rechtsinformatik an der Universität des Saarlandes Saarland,
Prof. Dr. Dennis-Kenji Kipker, Research Director - cyberintelligence.institute Hessen,
Prof. Dr. Matteo Große-Kampmann Nordrhein-Westfalen,
Prof. Dr. Achim Brucker, Professor für Cybersecurity, University of Exeter, UK derzeit im Ausland,
Prof. Dr. Cas Cremers, Tenured Faculty at the CISPA Helmholtz Center for Information Security Saarland,
Prof. Dr. Christian Rossow, Tenured Faculty at the CISPA Helmholtz Center for Information Security Nordrhein-Westfalen,
Prof. Dr. Klaas Ole Kürtz, Professor für Wirtschaftsinformatik, insbesondere Cybersicherheit Schleswig-Holstein,
Prof. Dr.-Ing. Meiko Jensen, Associate Professor an der Universität zu Karlstad Schleswig-Holstein,
Prof. Dr. Helmut Neukirchen, Professor für Softwarequalität von Verteilten Systemen an der Universität von Island derzeit im Ausland,
Prof. Ralf C. Staudemeyer, PhD, Professor für Informatik, insb. IT-Sicherheit Thüringen,
Prof. Dr.-Ing. Andreas Kurtz, Professor für Cybersicherheit Baden-Württemberg,
Die unsichere Rechtslage schränkt Forschung und Lehre zur IT-Sicherheit erheblich ein. Praktische Inhalte wie der Umgang mit Sicherheitswerkzeugen können nur begrenzt vermittelt werden, Lehrende bewegen sich dabei stets in einer rechtlichen Grauzone. Langfristig gefährdet dies Deutschlands Resilienz und Wettbewerbsfähigkeit in der Cybersicherheit.
Dr.-Ing. Matthias Fassl, Forscher am CISPA Helmholtz-Zentrum für Informationssicherheit Saarland,
Dr.-Ing. Markus Bauer, Entwickler AIS Security Saarland,
Dr. Marc von Gernler, Informationsspezialist Baden-Württemberg,
Dr.-Ing. Kevin Mayer Bayern,
Dr. Vincent Haupert, Geschäftsführer YAXI GmbH Bayern,
Im Rahmen meiner Promotion habe ich mich intensiv mit der Sicherheit des Mobilebankings beschäftigt, was auch im Jahresbericht des BSI Würdigung fand. Leider war die zugrundeliegende Forschung auch durch rechtliche Schritte eines betroffenen Unternehmens geprägt. Eine Reform war und ist deshalb dringend geboten.
Dr. Maximilian Leicht, Rechtswissenschaftler Saarland,
Dr.-Ing. Sven Bugiel, CISPA Helmholtz-Zentrum für Informationssicherheit Saarland,
Dr. rer. nat. Dirk Wetter, Berater IT-Sicherheit, Researcher und Analyst Hamburg,
Dr.-Ing. Marius Steffens, Senior Software Engineer at Google derzeit im Ausland,
Dr.-Ing. Fabian Ising, Forscher am Fraunhofer SIT Nordrhein-Westfalen,
Dr. Tanja Nitschke, Mag. rer. publ., Rechtsanwältin / Journalistin Berlin,
Dr.-Ing. Ben Stock, Tenured Faculty am CISPA Helmholtz-Zentrum für Informationssicherheit Saarland,
Dr.-Ing. Aurore Fass, Tenure-Track Faculty am CISPA Helmholtz-Zentrum für Informationssicherheit Saarland,
Dr. Martin C Schwarzer, Systemspezialist IT-Security Bayern,
Dr. Johannes Obermaier, IT-Sicherheitsforscher Bayern,
Dr.-Ing. Davide Bove, IT Security Experte Bayern,
Dr. Daniela Pöhn, PostDoc am FI CODE Bayern,
Dr. Markus Tschersich, Continental Automotive Technologies GmbH Hessen,
Leitung eines internationalen Teams von Automotive Cybersecurity und Privacy Enthusiasten mit dem Schwerpunkt Forschung und Governance.
Dr. Nils Ole Tippenhauer, Tenured Faculty am CISPA Helmholtz-Zentrum für Informationssicherheit Saarland,
Dr. Florian Hauser, Principal Security Researcher Bayern,
Dr. Henning Kopp, Senior Security Expert Baden-Württemberg,
Dr. Matthias Schmidt, Head of Technical Security & Abuse Management Baden-Württemberg,
Dr. Nurullah Demir, UC Davis derzeit im Ausland,
Dr. Jochen Haller, Head of Information Security (CISO) Baden-Württemberg,
Maximilian Golla, CISPA Saarland,
Jean-Christophe Le Toquin, Cybersecurity Advisors Network (CyAN) derzeit im Ausland,
President of CyAN
Wouter Lueks, CISPA Helmholtz-Zentrum für Informationssicherheit Saarland,
Keno Hassler, Forscher am CISPA Helmholtz-Zentrum für Informationssicherheit Saarland,
Keno ist Doktorand am CISPA Helmholtz-Zentrum für Informationssicherheit und forscht zum Thema Softwaresicherheit, insbesondere zu Compilern und automatisierten Schwachstellentests (Fuzz Testing).
Anna Hartig, Security Consultant, Pentesterin Nordrhein-Westfalen,
Eduard Ebert, Student und CTF-Spieler Saarland,
Christoph Bischof, Rechtsanwalt Bayern,
Finn-Ole Carstens Sachsen,
Shubham Agarwal, Forscher am CISPA Helmholtz-Zentrum für Informationssicherheit Saarland,
Felix Kindermann Bayern,
Philip Decker, CyberSecurity Student, Security Analyst Saarland,
Daniel Weber, Forscher am CISPA Helmholtz-Zentrum für Informationssicherheit Saarland,
Daniel arbeitet als Doktorand am CISPA Helmholtz-Zentrum für Informationssicherheit. Seine Forschung fokussiert sich auf die Sicherheit von CPUs sowie das Finden und Schließen von Seiten-Kanal Schwachstellen. Nebenbei ist er Mitglied im Capture-the-Flag Team saarsec und nimmt dort zusammen mit Dozenten und Studenten an Hacker-Wettbewerben teil.
Immanuel Lautner, Information Security Manager Bayern,
Fabian Thomas, Forscher am CISPA Helmholtz-Zentrum für Informationssicherheit Saarland,
Fabian ist Doktorand am CISPA Helmholtz-Zentrum für Informationssicherheit und forscht an Schwachstellen in CPUs.
Carolin Kothe Berlin,
Tim Philipp Schäfers, IT-Sicherheitsforscher & Gründer von Mint Secure Berlin,
Carolyn Guthoff, Forscherin am CISPA Helmholtz-Zentrum für Informationssicherheit Saarland,
K.Andler Saarland,
Jannis Rautenstrauch, Forscher am CISPA Helmholtz-Zentrum für Informationssicherheit Brandenburg,
Alexander Krause, Forscher am CISPA Helmholtz-Zentrum für Informationssicherheit Niedersachsen,
Kilian Hantke Sachsen,
Leon Sander Baden-Württemberg,
Kai Aschenbach, Schulverwaltungsassistent Technik Nordrhein-Westfalen,
Patrick Scherer, CISPA Helmholtz-Zentrum für Informationssicherheit Saarland,
Robert Künnemann, Forscher in Cybersecurity Saarland,
Elisabeth Nickel Bayern,
Daniel Erceg, Forscher am CISPA Helmholtz-Zentrum für Informationssicherheit Saarland,
Viktor Heiduck, Informatik-Student Berlin,
Philipp Görz, Forscher am CISPA Helmholtz-Zentrum für Informationssicherheit Baden-Württemberg,
Nikolai Reger, Freiberuflicher Berater für Informationssicherheit Berlin,
Moritz Bley, Forscher am CISPA Helmholtz-Zentrum für Informationssicherheit Nordrhein-Westfalen,
Marc forscht am Fraunhofer-Institut für Angewandte und Integrierte Sicherheit AISEC, Garching b. München im Bereich „Hardware Security“. Sowohl am Institut als auch im Privaten befasst er sich damit, Schwachstellen in Hard- und Software aufzufinden. Dabei hat er mehrfach Vulnerability-Disclosure-Prozesse mit namhaften und internationalen Herstellern durchgeführt.
Tina Volkersdorfer Bayern,
Harald Böhm, Wissenschaftlicher Mitarbeiter an der FAU Erlangen-Nürnberg Bayern,
Dieter Schuster, Fraunhofer AISEC Bayern,
Dieter arbeitet beim Fraunhofer-Institut für Angewandte und Integrierte Sicherheit AISEC, Garching b. München in der Abteilung „Product Protection and Industrial Security“. Dort koordiniert er den Themenbereich Offensive Security und Penetrationstests. Dabei begleitet er auch Vulnerability Disclosure von gefundenen Sicherheitslücken.
Leo Dessani, Forscher am CISPA Helmholtz-Zentrum für Informationssicherheit/Lehrstuhl für Rechtsinformatik (UdS) Saarland,
Daniel Kilimnik, Security Researcher und Student Nordrhein-Westfalen,
Daniel Vonderau, Rechtswissenschaftler, FZI Forschungszentrum Informatik Baden-Württemberg,
Simon Einzinger, Student, Wissenschaftliche Hilfskraft und Hobby-Hacker Saarland,
Simon studiert Cybersicherheit an der Universität des Saarlandes. In seiner Rolle als Hilfswissenschaftler unterstützt er eine Forschungsgruppe zum Thema CPU-Sicherheit. Zudem nimmt er aktiv an Hacking-Wettbewerben teil und hilft seinem Team, saarsec, bei der Ausrichtung solcher Veranstaltungen. Wenn er nicht am Computer ist, ist Simon zum Ausgleich sportlich aktiv und spielt im Volleyball.
Thomas Preisner, Forscher @ FAU Erlangen-Nürnberg Bayern,
Marjan Erzen Bayern,
Till Schlüter, Forscher am CISPA Helmholtz-Zentrum für Informationssicherheit Saarland,
Felix Auringer, Master-Student Cybersecurity Brandenburg,
Benjamin Walny, Security Researcher, Student Ruhr-Uni Bochum Nordrhein-Westfalen,
Manfred ist unabhängiger Sicherheitsforscher. Er nimmt regelmäßig erfolgreich an renommierten internationalen Wettbewerben teil und hat bereits mehrere kritische Schwachstellen in allen verbreiteten Webbrowsern sowie dem Linux-Kernel gemeldet.
Kurt Jaeger, Geschäftsführer Internet Service Provider Baden-Württemberg,
Rechtliche Unsicherheit verhindert saubere Prozesse beim Schliessen von Sicherheitslücken.
Sebastian Schmitt, Science Coordination@CISPA Helmholtz-Zentrum für Informationssicherheit Saarland,
Frederik Braun, Security Engineer & Manager Berlin,
Jasmin Mair, Product Security Manager Hessen,
Niklas Goerke, Abteilungsleiter und Forscher in der IT-Sicherheit, FZI Forschungszentrum Informatik Rheinland-Pfalz,
Christina Quast, Programmierer Sachsen,
Daniel Thomas Heessel, Gründer von Threat-Informed Cybersecurity Rheinland-Pfalz,
Ich bin Cybersecurity-Startup Gründer und Experte für bedrohungsorientierte Verteidigungskonzepte
Jens Weber Thüringen,
Matthias Schulze, Leiter Forschungsschwerpunkt Internationale Cybersicherheit Hamburg,
Bernhard C. Witt, Principal on Cybersecurity and Critical Entities Protection Baden-Württemberg,
Ich berate seit 1998 zur Cybersicherheit, bin Lehrbeauftragter an der Universität Ulm und seit 2009 Leitungsgremiumsmitglied im Fachbereich Sicherheit der Gesellschaft für Informatik (GI)
Detlef Hühnlein, Gründer und geschäftsführender Gesellschafter der ecsec GmbH Bayern,
