Simulationsgericht für Cybersicherheitsforschung
Wenn sich Cybersicherheitsforschende Sorgen machen müssen, durch ihre Arbeit bereits mit einem Bein im Gefängnis zu stehen, wird die Forschung in diesem Bereich mittel- bis langfristig ausgebremst – mit negativer Konsequenz für IT-Welt und die Gesellschaft. Das Nationale Forschungszentrum für angewandte Cybersicherheitsforschung ATHENE führt simulierte Gerichtsprozesse durch, um hier neue Lösungen zu finden.
Angreifer finden immer wieder neue Wege, um Schwachstellen in IT-basierten Systemen auszunutzen. Um solche Bedrohungen besser zu verstehen, simulieren Cybersicherheitsforschende das Verhalten böswilliger Angreifender. Aus den so gewonnenen Erkenntnissen leiten die Forschenden geeignete Abwehrmaßnahmen ab, die Organisationen helfen, solche Angriffe aktiv abzuwehren. Bei ihrer Arbeit nutzen Forschende oft Werkzeuge und Methoden, die auch für reale Angriffe genutzt werden – allerdings nur mit guten Absichten, also um die IT-Welt durch Erforschung der Werkzeuge und Methoden sicherer zu machen. Obwohl die Cybersicherheitsforschenden mit ihrer Arbeit also einen wichtigen gesellschaftlichen Beitrag leisten, ist ihre Tätigkeit mit großen Rechtsunsicherheiten verbunden (Beitrag in der Informatik 2023: dl.gi.de).
Dies liegt vor allem daran, dass die auf die Handlungen der Cybersicherheitsforschung anwendbaren Rechtsakte nicht darauf abzielen, spezielle Regeln für Cybersicherheitsforschende aufzustellen. Vielmehr schaffen die anwendbaren Rechtsakte allgemeingültige Regeln, die von allen Menschen gleichermaßen beachtet werden müssen. Insbesondere der Umstand, dass Cybersicherheitsforschende im Rahmen ihrer Forschung häufig darauf angewiesen sind, die gleichen Werkzeuge und Methoden wie bösartige Angreifende zu nutzen, führt daher zu großen Rechtsunsicherheiten (Beitrag im Tagesspiegel Background Cybersecurity: tagesspiegel.de). Darf ich als Cybersicherheitsforschender Werkzeug X oder Methode Y einsetzen? Darf ich als Cybersicherheitsforschender Software Z entlang einer konkreten Forschungsfrage dekompilieren? Darf ich mich als Cybersicherheitsforschender im Darknet bewegen, um Hinweise darauf zu finden, ob technische Schwachstellen bereits ausgenutzt wurden? Was ist, wenn ich dabei ungeplant und ungewollt auf Daten stoße, deren Besitz strengen rechtlichen Regelungen unterliegt oder deren Besitz schlichtweg verboten ist? Und: Stehe ich als Cybersicherheitsforschender womöglich schon mit einem Bein im Gefängnis?
Die Gesellschaft profitiert in besonderem Maße von der Cybersicherheitsforschung, denn sie hilft dabei, Gefahren abzuwehren oder abzumildern, Sicherheitslücken rechtzeitig zu schließen und ungewollte Datenverluste zu vermeiden. Angesichts der hohen gesellschaftlichen Vorteile erscheint das hohe Maß an Rechtsunsicherheit problematisch: Denn wenn sich Cybersicherheitsforschende Sorgen machen müssen, durch ihre Arbeit bereits mit einem Bein im Gefängnis zu stehen, wird die Forschung in diesem Bereich mittel- bis langfristig ausgebremst – mit negativer Konsequenz für IT-Welt und die Gesellschaft (Beitrag im Tagesspiegel Background Cybersecurity: tagesspiegel.de).
Deshalb führt das Nationale Forschungszentrum für angewandte Cybersicherheitsforschung ATHENE seit September 2024 simulierte Gerichtsprozesse zu fiktiven, aber realitätsnahen Fällen der Cybersicherheitsforschung durch. Im Rahmen dieser simulierten Gerichtsprozesse verhandeln echte Richter:innen, Staatsanwält:innen und Strafverteidiger:innen über die fiktiven Fälle. Am Ende eines jeden simulierten Gerichtsprozesses ergeht ein Simulationsurteil, im Rahmen dessen die beteiligten Richter:innen darlegen, wie sie über den Fall entscheiden würden, sofern sie im echten Leben über diesen entscheiden müssten. Ziel der simulierten Gerichtsverhandlungen ist es, praxisrelevante Einblicke in die rechtlichen Risiken verschiedener Forschungsaktivitäten zu gewinnen und wichtige Leitplanken für die Cybersicherheitsforschung zu setzen.
Der erste fiktive Fall, der auf diese Art am Nationalen Forschungszentrum in Darmstadt verhandelt wurde, dreht sich um zwei Cybersicherheitsforschende A und B, die regelmäßig im Darknet nach den neuesten Angriffsmethoden und -werkzeugen recherchieren. Dort stoßen sie auf eine Datei „Angebot-zur-Übernahme-von-Cyberangriffen-im-Auftrag.pdf“. A und B entscheiden sich, die Datei herunterzuladen, um sich darüber zu informieren, welche Cyberangriffe im Auftrag angeboten werden. Doch die Datei enthält – als „Arbeitsprobe“ der kriminellen Anbieter – überraschenderweise auch eine Liste mit tausenden gestohlenen Zugangsdaten zweier großer Unternehmen. Person A und Person B gehen mit dem zufälligen Fund unterschiedlich um. So dokumentiert A etwa jeden zentralen Schritt seines Umgangs mit den gefundenen Daten, loggt sich jedoch probeweise in einen Account ein, um zu testen, ob der Fund echt und aktuell ist, und unterlässt eine Benachrichtigung der geschädigten Unternehmen, während B zwar die geschädigten Unternehmen benachrichtigt und die Logins nicht austestet, jedoch keine Dokumentation über den Umgang mit den gefundenen Daten anfertigt. Durch den unterschiedlichen Umgang der Cybersicherheitsforschenden mit dem ungeplanten Datenfund im Darknet sollten im Verfahren möglichst viele Leitplanken für die rechtskonforme Umsetzung ihrer Forschung ermittelt werden, weshalb die Forscher im fiktiven Fall z.T. auch anders handeln, als es verantwortungsvolle Cybersicherheitsforschende tun würden. Person B wurde vollständig freigesprochen, Person A erhielt eine Geldstrafe. Eindrücke und Urteilsbegründung der Simulationsstudie 2024 sind öffentlich zugänglich (athene-center.de).
Cybersicherheitsforschende sind herzlich dazu eingeladen, Vorschläge für zukünftig zu verhandelnde Fälle zu unterbreiten. Hierfür bitten wir im ersten Schritt um die informelle Einreichung einer maximal 1000 Zeichen umfassenden Skizzierung eines zu verhandelnden Falls sowie der Bestätigung, dass die übergeordnete Forschungseinrichtung als Arbeitgeberin gegebenenfalls mit der Verhandlung des Falls vor einem simulierten Gericht und der Veröffentlichung der Ergebnisse einverstanden wäre. Die Einreichung erfolgt per E-Mail an die Autorin des vorliegenden Beitrags (annika.selzer@sit.fraunhofer.de). Die Einreichung eines Vorschlags führt zu keinerlei Ansprüchen, dass der vorgeschlagene Fall vor dem Simulationsgericht verhandelt wird. Die nächsten Fälle werden in Darmstadt im August verhandelt.
Dieser Beitrag wurde verfasst von Annika Selzer.
Der Text erschien zuerst in unserem Newsletter GI-Radar. Alle Ausgaben gibt es hier zum Nachlesen. Sie haben auch einen Vorschlag für ein Thema? Wir freuen uns über Ihre Nachricht an redaktion@gi-radar.de
