News Strafverfahren: IT-Experte für das Melden einer Sicherheitslücke verklagt

[PrometPheus]

Wie und wo kann man diesen Mann unterstützen, der den Fehler fand?

 

[Dr. McCoy]

Nun ja, man muss auch mal sehen, von wem dieses Gesetz auf den Weg gebracht wurde. Das waren die gleichen, die einige Jahre später Lilith Wittmann wegen des Aufdeckens einer schwerwiegenden Sucherheitslücke in ihrer Wahlkampf-App angezeigt hatten. In diesem Fall muss man halt sagen, dass das Unheil auch schon beim Gesetzgeber angefangen hat.

Zumal dieser Hackerparagraph eben auch sehr vage gehalten wurde.

https://www.sueddeutsche.de/politik/cdu-connect-anzeige-wittmann-1.5373488

 

[xxMuahdibxx]

Also müssen wir die aufwachsende Jugend nur blöd genug halten das die den Paragraphen nicht gefährden...

Tiefes Verständnis von programmieren haben so einige mit 14 schon ...

Vielleicht stöbern mal so einige bei denen Rum ob sie nicht noch andere kleine Probleme haben mit ihrer Website...

Würde mich auch mal interessieren wie der Hacker Paragraph gegenüber der DSVGO abschneidet .. was ist aktuell ein zumutbarer Stand der Technik um Kundendaten zu schützen...

 

[DJMadMax]

@Andy
Aus deiner Newsmeldung geht leider nicht genau hervor, wie der Tathergang des Programmierers verlaufen ist.

Hat der Programmierer die gefundene Sicherheitslücke zuerst an das beauftragte Unternehmen gemeldet oder zuerstan den Blogger?

Falls zweites zutrifft, halte ich die Klage leider für gerechtfertigt.

Vielleicht sollt mal jemand nachforschen ob die Firma die Sicherheitslücke, und damit die mögliche Gefährdung von Kundendaten, auch ordnungsgemäß an den Datenschutzbeauftragten des zuständigen Landes gemeldet hat.

Dir und allen anderen sei an dieser Stelle gesagt, dass der hier beschriebene Fall NICHT dazu verpflichtet, an den Datenschutzbeauftragten des jeweiligen Landes zu melden. Selbstverständlich sollte man die eigene bzw. bauftragte IT sowie den dort zuständigen Datenschutzbeauftragten über den Fund in Kenntnis setzen, die DSGVO greift jedoch ERST, wenn ein tatsächliches Datenleck auch aufgetreten (und bekanntgeworden) ist.

Im Zweifel schadet es aber dennoch nicht, den Vorfall zumindest schriftlich und rein informativ an den jeweiligen Landesdatenschutzbeauftragten weiterzuleiten, getreu dem Motto: wer schreibt, bleibt.

 

[T3Kila]

Meiner Meinung nach ist das eine weitere der zahllosen Hirnrissigkeiten der deutschen Gesetzgebung. Allein die Tatsache das das überhaupt möglich ist, ist schon ein Armutszeugnis
Man kann nur hoffen, dass das glimpflich endet und vielleicht sogar eine Gesetzesänderung dabei rausspringt

 

[NameHere]

@DJMadMax

Dieser meldete die Sicherheitslücke an Modern Solution und veröffentlichte seinen Fund, nachdem die Sicherheitslücke geschlossen wurde.

 

[FR3DI]

@NameHere

Details zum Sicherheitsleck hat der Journalist Mark Steier bereits 2021 im einem Blog-Beitrag veröffentlicht. Er wurde als einer der ersten von dem Programmierer kontaktiert.

Gruß Fred.

 

[ZeT]

Okay, dann bleiben also im Zweifel schwerwiegende Sicherheitslücken offen, und Schäden können angerichtet werden.

Im Zweifel is gut. Melden und ne Anzeige kassieren oder nicht melden und auf dem Schwarzmarkt verkaufen.

Die Wahl sollte eher leicht ausfallen. ^^

 

[Boa-P]

was ist da denn los? Da geht einer gewissenhaft mit so einer Lücke um und was ist der Dank…eine Klage!?

 

[Bl4cke4gle]

Also was mich hier ja mal interessieren würde, warum hat er überhaupt dekompiliert? Mal abgesehen davon, dass das Dekompilieren so gut funktioniert hat, dass das Passwort herauspurzelte, muss ja ein Grund bestanden haben. Dekompilierung ist anscheinend auch nur unter bestimmten Bedingungen erlaubt (sagt Wikipedia).
Sollte er nur Dekompiliert haben "um mal ein wenig zu gucken", dann kann wird die Klage ja schon fast ein wenig verständlicher.

 

[Dr. McCoy]

Da geht einer gewissenhaft mit so einer Lücke um

Absolut, aus meiner Sicht war, nach allem, was man den im Web zur Verfügung stehenden Berichten entnehmen kann, das Verhalten des Entwicklers, der den Fehler entdeckte und meldete, sehr vorbildlich.

Mit so einer Klage schreckt man natürlich zukünftig Menschen ab, solche Fehler zu melden, dann bleiben sie offen, und werden von den wirklichen Kriminellen ausgenutzt.

 

[NameHere]

@FR3DI

Ein Programmierer, der im Auftrag eines Modern-Solution-Kunden arbeitete, hatte 2021 eine Sicherheitslücke entdeckt, die bis zu 700.000 Kundendaten hätte gefährden können. Details zum Sicherheitsleck hat der Journalist Mark Steier bereits 2021 im einem Blog-Beitrag veröffentlicht. Er wurde als einer der ersten von dem Programmierer kontaktiert.

Ohne genaues Datum kannst du dir aussuchen was zuerst geschehen ist. Nach den in letzten Tagen journalistisch qualitativen Beiträgen hier auf CB, müssen wir das selbst ordentlich recherchieren.
Sind wohl nur Copycat Beiträge von anderen Newsseiten...

 

[Ozmog]

Wirklich wichtig ist doch nur:

Dieser meldete die Sicherheitslücke an Modern Solution und veröffentlichte seinen Fund, nachdem die Sicherheitslücke geschlossen wurde.

 

[wern001]

Der Hackerparagraph ist so schwammig geschrieben das man schon das kaufen eines USB-Sticks dafür auslegen kann einen Hackerangriff vorzubereiten

 

[MADman_One]

Aus deiner Newsmeldung geht leider nicht genau hervor, wie der Tathergang des Programmierers verlaufen ist.

Hat der Programmierer die gefundene Sicherheitslücke zuerst an das beauftragte Unternehmen gemeldet oder zuerstan den Blogger?

In anderen Artikeln stand, die Lücke wurde zuerst an die Firma gemeldet und erst als der Bug gefixt war dann veröffentlich und daraufhin erfolgte die Klage.
Als Unternehmen wäre die Folge aus meiner Sicht nun nur noch Software von Unternehmen zu kaufen, die Bugbounty Programme unterhalten wleche anschließende Kommunikation darüber erlauben und den Rest zu meiden, denn oidesere Rest hat eine problematische Fehlerkultur, was immer ein schlechtes Zeichen ist, solche Vertragspartner sollte man meiden.

Also was mich hier ja mal interessieren würde, warum hat er überhaupt dekompiliert?

Er hatte den Auftrag dazu vom UNternehmen selber, denen hat aber wohl nicht gefallen, daß er nachdem sie die Lücke gefixt hatten diese erkenntnisse dann veröffentlicht hat, so wie es eigentlich üblich ist. Das Unternehmen hat wohl Angst vor der schlechten Publicity wenn bekannt wird das die Lücke mal existiert hat und ist sich des Streisand Effekts nicht bewußt. Das geht jetzt hoffentlich schön nach hinten los.

 

[MR2007]

Kann man diese Firma auf eine schwarze Liste setzen und deren Kunden aktiv vermeiden?

Deutschlands IT Verständnis mal wieder in a nutshell.

 

[Akkulaus]

Das ist einfach nur noch Dumm und Dämlich. Da Meldet man eine Sicherheitslücke bevor die Ausgenutzt wird und bedankt wird für die gute Tat. Nö. Erstmal Verklagen. Wie Dumm sind die Menschen die das ganze bitte Entscheiden? Denken die überhaupt noch nach?

Es ist einfach nur so Traurig mittlerweile.

 

[Steini1990]

In Deutschland fahren die ITler also besser wenn sie ihr Wissen über Sicherheitsprobleme an Kriminelle verkaufen als es zu melden. Ganz großes Kino. Wer denkt sich solche Gesetze aus?

 

[Sombatezib]

So neu ist diese Sache ja nicht (bis auf das nun eingeleitete Strafverfahren), davon war schon vor Monden auf heise.de zu lesen - und der Sachverhalt ist vor allem für Deutschland peinlich.

https://www.heise.de/news/Datenleck...ausdurchsuchung-statt-Bug-Bounty-6222165.html

Am 15. September steht ein Durchsuchungskommando des Kriminalkommissariats 22 der Polizei Aachen vor der Tür. Die Beamten gaben sich nach Schilderung des Programmierers als Paketboten aus, verschafften sich Zugang zur Wohnung und drückten ihn an die Wand. Die Polizei beschlagnahmte einen PC, fünf Laptops, ein Mobiltelefon und fünf externe Speichermedien – das gesamte Arbeitsgerät des Programmierers.

 

[IronAngel]

Einfach nur peinlich für Deutschland. So wird keiner mehr dieser Firma irgendwelche Sicherheitslücken melden.

Die Begründung der Richter ist auch mehr als fragwürdig. Die Leute die Sicherheitslücken ausnutzen können, haben sicher auch von IT ein bißchen Ahnung und dann reicht eben kein 123 Passwort mehr.