Die Ampel hatte eine Reform versprochen, die aktuelle Regierung hat sie in den Koalitionsvertrag geschrieben, und trotzdem läuft seit Jahren die Jeopardy-Melodie. Wahlperiode 21, die Kategorie steht fest: „IT-Sicherheit". Da 21 bekanntlich die Hälfte von 42 ist, wird es Zeit für mindestens eine Teilantwort.

Die Gesellschaft für Informatik, LOAD e.V., Anoxinon e.V. u.v.m. haben eine Konsultation gestartet, als Erinnerungshilfe fürs Justizministerium. Wie kann Responsible Disclosure funktionieren, ohne dass Rechtssicherheit zum Premium-Feature wird? Wie werden Lücken strukturiert gemeldet und geschlossen? Und was können wir gemeinsam tun, damit IT-Sicherheitsforschung endlich als Ehrenamt anerkannt wird?

Seit seiner Einführung wird das Computerstrafrecht (aka „Hackerparagraph“) kritisiert. Die aktuelle Gesetzeslage verhindert, dass Sicherheitsforscher*innen Schwachstellen rechtssicher melden können, und kriminalisiert bereits den Besitz von sogenannten „Hackertools“.
Doch während die jetzige Bundesregierung Dinge wie die Gemeinnützigkeit von E-Sports umgesetzt hat, bleibt die Reform des Computerstrafrechts weiter im Wartemodus. Gefühlt läuft im Hintergrund seit zwei Legislaturperioden die Jeopardy-Melodie... Wir wollen nicht länger warten, sondern dem Justizministerium Starthilfe geben. Bisher konnten wir Workshops zu technischen und rechtlichen Fragen umsetzen. Jetzt wollen wir eine breitere Diskussion anstoßen, Beiträge von Trollen, Engeln, Sicherheitsforschenden und anderen Wesen sind herzlich erwünscht.
Uns interessieren dabei insbesondere zwei Punkte:
Wie kann Responsible Disclosure so aussehen, dass Menschen Schwachstellen melden können, ohne sich selbst in Schwierigkeiten zu bringen?
Wie kann Coordinated Vulnerability Disclosure funktionieren, sodass Lücken strukturiert gemeldet, priorisiert und geschlossen werden? Dazu möchten wir mit euch diskutieren und freuen uns auf euren Input!