Rechtslage

White-Hat-Hacking ist explizit erlaubt. Das neue Hinweisgeber-Gesetz (Klokkenluiderswet) erlaubt explizit „ethical hacking“. 

Strafbarkeit von Hacking

Die Legalisierung von Ethical Hacking erfolgte ohne Änderung des bestehenden Rechtsrahmens, sondern durch ergänzende Regelungen. Hacking ist aber grds. immer noch strafbar (vgl. Art. 550bis des belgischen Strafgesetzbuches).  

CVD

Das Belgische Zentrum für Cybersicherheit (CCB) arbeitet seit 2018 zusammen mit der Staatsanwaltschaft, den White-Hat-Hackern, mit privaten Unternehmen und öffentlichen Stellen an der Entwicklung eines nationalen Ansatzes bzgl. CVD-Maßnahmen.

Kommentar

Ziel darf nicht die Zufügung eines Schadens sein. Hacking darf nur unentgeltlich erfolgen, es sei denn, ein Entgelt wurde im Voraus vereinbart. Jede Schwachstelle muss an das Unternehmen und das Centre for Cyber Security Belgium gemeldet werden. Es gelten die Grundsätze der Notwendigkeit und Proportionalität. Keine Veröffentlichung von Schwachstellen, außer mit CCB-Einwilligung.

Rechtslage

White-Hat-Hacking ist explizit erlaubt.

Strafbarkeit von Hacking

Hacking gem. Art. 323-1 bis Art. 323-7 des französischen Strafgesetzbuches strafbar.

CVD

CVD-Policy 2016 implementiert.

Kommentar

Art. 47 (Art. L 2321-4 Code de la défense) schafft Rechtssicherheit für White-Hat-Hacker, wenn zwei rechtliche Kriterien strikt eingehalten werden (eine gesetzliche Ausnahmeregelung zum Art. 40 Code de procédure pénale):

1. Handeln im guten Glauben;
2. Schwachstelle ausschließlich an ANSSI gemeldet.

Wenn diese Voraussetzungen gegeben sind, wird kein Strafverfahren eingeleitet, obwohl Hacking grds. strafbar ist. ANSSI (Nationale Agentur für Sicherheit von Informationssystemen) kann in solchen Fällen die Identität des Hackers geheim halten und anonymisierten Bericht zur Schwachstelle erstellen.

Rechtslage

White-Hat-Hacking ist explizit erlaubt.

Strafbarkeit von Hacking

Insb. § 243 des lettischen Strafgesetzbuches im Kontext von Hacking relevant. Die Voraussetzung für Strafbarkeit ist aber, dass ein substanzieller Schaden entstanden ist (ab 2500 Euro, wenn Interessen Dritter betroffen, ansonsten ab 5000 Euro).

CVD

Zwar gibt es in Lettland keine einheitliche CVD-Policy. Im Dezember 2022 hat aber das Ministerkabinett beschlossen, dass öffentliche Stellen eigene CVD-Policies einführen können. Mehrere Organisationen im nichtöffentlichen Sektor haben eigene CVD-Policies.

Kommentar

Es gibt eine Plattform für die Meldung von Schwachstellen (cvd.cert.lv). Laut dem Tätigkeitsbericht (Q4 2023) der Behörde wird diese auch aktiv genutzt.

Rechtslage

White-Hat-Hacking ist grundsätzlich erlaubt.

Strafbarkeit von Hacking

§§ 138ab, 139c, 139d, 350a, 350b des niederländischen Strafgesetzbuches stellen Hacking unter Strafe.

CVD

CVD-Policy 2013 implementiert. Es gibt aber keine Verweise auf diese Policy im niederländischen Recht.

Kommentar

Das niederländische Recht unterscheidet nicht nach den Absichten eines Hackers. Verschiedene strafrechtliche Bestimmungen gelten im Prinzip auch für ethisches Hacking.

Die Staatsanwaltschaft kann aber von der Verfolgung absehen. Es gibt auch umfangreiche Rechtsprechung zum Thema. Dies hat dazu geführt, dass die Grenzen des Erlaubten mehr oder weniger feststehen (z. B. dürfen die Schwachstellen unter keinen Umständen ausgenutzt werden). Relevant sind vor allem folgende Aspekte:

1. Handelt der Hacker im Interesse der Gesellschaft?
2. Sind die eingesetzten Mittel verhältnismäßig?
3. Gab es mildere Mittel?

Insbesondere Brute-Force-Angriffe und unterlassene Meldung (oder zu langes Warten vor der Meldung) der Schwachstelle kann zur Strafbarkeit führen.

Rechtslage

White-Hat-Hacking ist grds. erlaubt.

Strafbarkeit von Hacking

Hacking gem. Art. 197bis des spanischen Strafgesetzbuches strafbar.

CVD

Keine formelle nationale CVD-Policy, aber es gibt Vorgaben von dem Spanischen Nationalen Institut für Cybersicherheit (INCIBE).

Kommentar

White-Hat-Hacking erlaubt, wenn die Meldung über INCIBE im Einklang mit INCIBE Vorgaben erfolgt. Es gibt auch verbotene Hacking-Methoden, darunter: Social Engineering, Malware, Brute Force, DoS/DDoS usw.

Rechtslage

White-Hat-Hacking ist grundsätzlich erlaubt.

Strafbarkeit von Hacking

Hacking gem. Vorschriften des Computer Misuse Act 1990 strafbar.

CVD

Schwachstellen in Digitalangeboten öffentlicher Stellen können zentral an NCSC gemeldet werden. Unternehmen des Privatsektors können eigene CVD-Policies entwickeln, eine Pflicht dazu ist aber nicht vorgesehen

Kommentar

NCSC stellt auch ein Vulnerability Disclosure Toolkit und Guidelines für Reporting zur Verfügung.

Rechtslage

White-Hat-Hacking ist verboten.

Strafbarkeit von Hacking

Hacking wird – je nach Form – gem. §§ 193, 263 und 263a des dänischen Strafgesetzbuches bestraft.

CVD

CVD-Policy nicht implementiert, aber geplant.

Kommentar

In der Nationalen Strategie für die Cybersicherheit (2022 - 2024) steht Folgendes:

„Ein Pilotprojekt für eine staatliche CVD-Politik (Coordinated Vulnerability Disclosure) wird eingeleitet. Eine staatliche CVD-Politik wird den Rahmen beschreiben für Regierungsbehörden, die es Privatpersonen („hilfreichen Hackern“) erlauben Schwachstellen in IKT-Systemen zu identifizieren und zu melden.“

Rechtslage

White-Hat-Hacking ist verboten.

Strafbarkeit von Hacking

Mehrere Vorschriften im Strafgesetzbuch zum Hacking, insb. relevant sind §§ 202a und 202b StGB.

CVD

CVD ist nicht explizit gesetzlich geregelt. BSI hat eine CVD-Leitlinie entwickelt.

Kommentar

Auch z. B. die Bundeswehr hat eine eigene Vulnerability Disclosure Policy.

Rechtslage

White-Hat-Hacking ist verboten.

Starfbarkeit von Hacking

§ 217 und § 137 des estnischen Strafgesetzbuches stellen Hacking unter Strafe. Je nach Fall können auch weitere Vorschriften anwendbar sein.

CVD

CVD-Policy nicht implementiert und nicht geplant.

Kommentar

Ggf. kann das Ethical-Hacking-Problem dadurch gelöst werden, dass argumentiert wird, es fehle an der Rechtswidrigkeit.

Rechtslage

White-Hat-Hacking ist verboten.

Strafbarkeit von Hacking

Hacking gem. Art. 370( des griechischen Strafgesetzbuches strafbar.

CVD

Keine CVD-Policy.

Kommentar

Laut Nationaler Cybersicherheitsstrategie für 2020 - 2025 ist die „Einrichtung einer Open-Source-Plattform für die Bewertung von Schwachstellen und Durchführung von Penetrationstests“ geplant. Aktueller Stand des Programms unbekannt.

Rechtslage

White-Hat-Hacking ist verboten.

Strafbarkeit von Hacking

Hacking gem. Criminal Justice (Offences Relating to Information Systems) Act 2017 strafbar.

CVD

CVD-Policy nicht implementiert und nicht geplant.

Kommentar

-

Rechtslage

White-Hat-Hacking ist verboten.

Strafbarkeit von Hacking

Insb. Art. 266 bis 273 des kroatischen Strafgesetzbuches im Kontext von Hacking relevant.

CVD

CVD-Policy nicht implementiert und nicht geplant.

Kommentar

-

Rechtslage

White-Hat-Hacking ist verboten.

Strafbarkeit von Hacking

Buch II, Titel IX, Kap. II, Abschnitt VII (Art. 509-1 ff.) des Strafgesetzbuches stellt Hacking unter Strafe.

CVD

CVD-Policy nicht implementiert, aber geplant. GOVCERT hat eine informelle Responsible Disclosure Policy.

Kommentar

Es gibt eine zentrale Meldestelle für Schwachstellen (circl.lu)

Rechtslage

White-Hat-Hacking ist verboten.

Strafbarkeit von Hacking

Teil II, Titel IX, Untertitel V (Art. 337B ff.) des Strafgesetzbuches stellt diverse Formen von Hacking unter Strafe.  

CVD

Keine CVD-Policy implementiert. Es gibt zwar keine konkreten Pläne, die Möglichkeit der Entwicklung einer CVD-Policy wird aber seit 2016 diskutiert.

Kommentar

-

Rechtslage

White-Hat-Hacking ist verboten.

Strafbarkeit von Hacking

Hacking gem. §§ 118a, 126a, 126b, 126c öStGB strafbar.

CVD

Keine CVD-Policy implementiert. Im privaten Sektor gibt es aber Unternehmen mit Vulnerability Disclosure Policies.

Kommentar

Es gibt auch private Bug-Bounty-Programme.  

Es wird vertreten, dass bei § 118a öStGB auf subjektiver Ebene eine Spionage- oder Verwendungsabsicht erforderlich ist (S. 30). Bei White-Hat-Hacking ist diese Voraussetzung aber nicht erfüllt. Aus diesem Grund scheidet eine Strafbarkeit aus.

Rechtslage

White-Hat-Hacking ist verboten.

Strafbarkeit von Hacking

Hacking gem. Art. 266 bis 299 des polnischen Strafgesetzbuches strafbar.

CVD

CVD-Policy nicht implementiert und nicht geplant.

Kommentar

-

Rechtslage

White-Hat-Hacking ist verboten.

Strafbarkeit von Hacking

Hacking gem. Art. 4 bis 7 des Cyberkriminalität-Gesetzes strafbar.

CVD

CVD-Policy nicht implementiert, aber geplant.

Kommentar

Die Task Force mit Vertretern des Portugiesischen Nationalen Zentrums für Cybersicherheit, der öffentlichen Stellen und Stakeholder aus der Cybersicherheitsbranche hat laut ENISA einen Vorschlag zur Legalisierung von CVD durch Änderung des Strafrechts vorgelegt. Dieser wird nun von Entscheidungsträgern geprüft. Aktuell ist es nicht absehbar, wann (und ob) die Änderungen implementiert werden.

Rechtslage

White-Hat-Hacking ist verboten.

Strafbarkeit von Hacking

Hacking gem. Art. 360 bis 365 des rumänischen Strafgesetzbuches strafbar.

CVD

CVD-Policy nicht implementiert.

Kommentar

Es gab in der Vergangenheit Initiativen zur Entwicklung einer CVD-Policy auf nationalem Niveau. Aktueller Stand des Projekts ist aber unklar.

Rechtslage

White-Hat-Hacking ist verboten.

Strafbarkeit von Hacking

Hacking gem. Kapitel 4, § 9c des schwedischen Strafgesetzbuches strafbar.

CVD

CVD-Policy nicht implementiert und nicht geplant.

Kommentar

Es gibt aber private Bug-Bounty-Programme.

Rechtslage

White-Hat-Hacking ist verboten.

Strafbarkeit von Hacking

Hacking gem. §§ 247, 247a, 247b, 247c des slowakischen Strafgesetzbuches strafbar.

CVD

CVD-Policy nicht implementiert.

Kommentar

Es gibt Vorgaben für Vulnerability Reporting. Problematisch ist aber, dass „Vulnerability“ nicht gesetzlich definiert ist und keine CVD-Policy implementiert ist.

Rechtslage

White-Hat-Hacking ist verboten.

Strafbarkeit von Hacking

Hacking gem. Art. 221 und Art. 237 des slowenischen Strafgesetzbuches strafbar.

CVD

CVD-Policy nicht implementiert, aber geplant.

Kommentar

Nach Aussage von ENISA, wird in der nächsten Cybersicherheit-Strategie die Schaffung des rechtlichen Rahmens für Ethical Hacking erörtert.

Rechtslage

White-Hat-Hacking ist verboten.

Gesetz zu Coordinated Vulnerability Disclosure geplant.

Strafbarkeit von Hacking

Im Kontext von Hacking ist insb. § 230 des tschechischen Strafgesetzbuches relevant.

CVD

CVD-Policy nicht implementiert, aber geplant.

Kommentar

“Draft national policy proposal for the coordinated disclosure of vulnerabilities” ist geplant und wird in der Cybersicherheit Strategie 2021 bis 2025 erwähnt. Es gibt einen Gesetzentwurf, aber auf der Seite der Cybersicherheit-Behörde ist die finale Fassung nicht zu finden.

Rechtslage

White-Hat-Hacking ist verboten.

Strafbarkeit von Hacking

Hacking gem. § 423 des ungarischen Strafgesetzbuches strafbar.

CVD

CVD-Policy nicht implementiert, 2021 gab es laut ENISA aber Diskussionen dazu (Ergebnis unbekannt, jedenfalls keine konkreten Pläne).

Kommentar

-

Rechtslage

White-Hat-Hacking ist verboten.

Strafbarkeit von Hacking

Hacking gem. Gesetz L.22(III)/2004 strafbar.

CVD

CVD-Policy nicht implementiert und nicht geplant.

Kommentar

-

Rechtslage

White-Hat-Hacking ist verboten.

Strafbarkeit von Hacking

Hacking gem. Art. 143, Art. 143bis und 144bis des schweizerischen Strafgesetzbuches strafbar.

CVD

Keine CVD-Policy.

Kommentar

Zum Thema White-Hat-Hacking gibt es ein offizielles Merkblatt, wo die Risiken beschrieben werden.

Rechtslage

White-Hat-Hacking grundsätzlich verboten.

Strafbarkeit von Hacking

Mehrere Normen des Strafgesetzbuches verbieten Hacking. Insbesondere relevant sind die Vorschriften im Kapitel 9 “A” (Computerkriminalität) und 12 (Straftaten mit Bezug auf Staatsgeheimnisse) des bulgarischen Strafgesetzbuches.

CVD

Keine CVD-Policy. Keine Pläne hinsichtlich der Entwicklung von dieser. Gleichzeitig arbeitet CERT Bulgaria an der Entwicklung von CVD-Verfahren.

Kommentar

-