Ohne schriftliche Erlaubnis keine fremden Systeme testen; „gut gemeint“ und „nachträgliche Meldung“ sind im Gesetz keine Entlastungsgründe

Kosten

Kostet nichts. Bevor Sie an einem Sicherheitsprogramm des Herstellers (SRC, das vom Hersteller betriebene Notfallzentrum für Sicherheit, das Lücken von außen entgegennimmt) oder an einem Crowdtest teilnehmen, holen Sie eine schriftliche Vorgabe mit Testbereich, Zielliste und Testzeitraum ein. Sobald Sie bestätigt haben, dass die Lücke existiert, hören Sie auf. Schwierig ist, den Impuls „ich schau mal kurz nach“ zu lassen.

Was es bringt

Systeme gewöhnlicher Unternehmen und Privatpersonen gehören nicht zu den Bereichen staatliche Angelegenheiten, Landesverteidigung oder Spitzentechnologie. Wer in solche Systeme eindringt oder andere technische Mittel einsetzt, um darin gespeicherte, verarbeitete oder übertragene Daten zu erlangen. Wer dies in schweren Fällen tut, wird mit bis zu 3 Jahren Freiheitsstrafe oder Haft bestraft, mit oder ohne Geldstrafe. In besonders schweren Fällen gibt es 3 bis 7 Jahre mit Geldstrafe. Ein schwerer Fall liegt unter anderem vor bei: Identifikationsdaten für Online-Finanzdienste wie Zahlungsabwicklung, Wertpapier- oder Terminhandel (Zugangsdaten), 10 Sätze oder mehr; andere Identifikationsdaten, 500 Sätze oder mehr; Kontrolle über 20 oder mehr Computersysteme; rechtswidriger Gewinn von 5.000 Yuan oder mehr oder wirtschaftlicher Schaden von 10.000 Yuan (1 万元) oder mehr. Das 5-Fache dieser Werte gilt als besonders schwerer Fall. Behördlicher Fall: Der Musterfall der Staatsanwaltschaft Nr. 36 (检例第 36 号) hält fest: Wer Konten und Passwörter über den erlaubten Umfang hinaus zum Login in ein Computerinformationssystem nutzt, dringt in dieses System ein. Wer die Zugangsdaten schon hat, aber sie außerhalb der Erlaubnis verwendet, begeht die Tat also selbst. In diesem Fall loggten sich drei Personen mit im Job erhaltenen Konten, Passwörtern und Token von auswärts in ein internes Firmensystem ein. Sie luden Daten herunter, die nicht zu ihrem Aufgabenbereich gehörten, und verkauften sie online für einen Gewinn von 37.000 Yuan. Sie bekamen 4 Jahre, 3 Jahre und 9 Monate bzw. 4 Jahre Haft und mussten je 40.000 Yuan (4 万元) Geldstrafe zahlen (gilt in ganz China).

Hinweise

Der Musterfall Nr. 36 ist selbst ein Fall, in dem Daten verkauft wurden. Er wird nur für den Satz angeführt, dass auch ein Zugriff außerhalb der erlaubten Grenzen Eindringen ist. Er heißt nicht, dass ein gutgemeinter Test ebenso hart bestraft wird. Artikel 285 des Strafgesetzes (刑法) und die Auslegung von 2011 nennen gute Absicht und nachträgliche Meldung nicht als Gründe, die Tat nicht als Straftat zu behandeln. Der Autor schließt daraus: Gut gemeint oder hinterher gemeldet hebt die Tat nicht auf; es kann nur beeinflussen, wie hoch die Strafe ausfällt oder ob es zur Anklage kommt. Dass der Hersteller sich bedankt und später Anzeige erstattet, widerspricht sich nicht; ein Dank ist aber keine Erlaubnis. Im Jahr 2016 reichte ein Sicherheitsforscher, den man als „White Hat“ (白帽子) bezeichnet, eine Lücke der Website Shiji Jiayuan (世纪佳缘, eine chinesische Partnersuche-Website) über eine Drittplattform ein. Später erstattete Shiji Jiayuan Anzeige, und der Forscher wurde festgenommen. Das Unternehmen sagte Journalisten, es habe Anzeige erstattet, weil Daten abgeflossen seien, und habe damals nicht gewusst, dass die Person, die die Lücke gemeldet hatte, die Daten abgezogen hatte. Dieser Fall ist nur durch Medienberichte belegt; es gibt weder ein Urteil noch eine offizielle Mitteilung über den Ausgang. Auf den offiziellen Websites des Obersten Volksgerichts und der Obersten Staatsanwaltschaft fand sich kein Fall gutgemeinter Tests, dessen Wortlaut sich prüfen ließe; deshalb wird dieser Punkt allein nach Gesetzestext und Strafmaß eingestuft. Wer es richtig machen will, nutzt das öffentliche SRC-Programm des Herstellers oder einen schriftlich beauftragten Test und hält Umfang, Ziele und Zeitfenster schriftlich fest. Zum Beweis einer Lücke braucht man möglichst wenig und zieht keine Daten massenhaft ab. Auch Verstöße unterhalb der Strafbarkeitsgrenze werden mit Verwaltungsstrafen geahndet, außerdem mit einem Tätigkeitsverbot; Geldbußen und Fristen entsprechen §11.8 (keine eigenen Programme auf fremden Geräten laufen lassen). Was nach dem Fund einer Lücke zu tun ist, siehe §11.10 (Lücken vorschriftsgemäß melden).

Evidenzgrad

A : Konkrete Zahlen aus Metaanalysen, großen Kohorten oder randomisierten Studien; bei Recht und Politik der Gesetzes- oder Originaltext.

Quellen

1. National People's Congress (2020). Criminal Law [in Chinese] (as amended by Amendment XI, Article 285, paragraphs 1 and 2). https://jtgl.beijing.gov.cn/jgj/jgxx/flfg/fl/11033925/index.html
2. Supreme People's Court, Supreme People's Procuratorate (2011). Interpretation on Several Issues Concerning the Application of Law in Handling Criminal Cases Endangering the Security of Computer Information Systems [in Chinese] (Article 1). https://ga.sz.gov.cn/ZWGK/ZCFG/ZCJD/content/post_1304363.html (republished by the Shenzhen Municipal Public Security Bureau)
3. Supreme People's Procuratorate (2017). 9th Batch of Guiding Cases [in Chinese] (Procuratorial Case No. 36, the case of Wei Menglong, Gong Xu and Xue Dongdong illegally obtaining data from a computer information system). https://www.spp.gov.cn/spp/jczdal/201710/t20171017_202593.shtml
4. China National Radio (2016-06-29). White-Hat Hacker Arrested After Publishing a Vulnerability; Jiayuan Denies Having "Entrapped" Him [in Chinese] (reporter Zhao Ke, intern reporter Liu Xiangxi). https://m.cnr.cn/news/yctt/20160629/t20160629_522531823.html (web archive https://web.archive.org/web/20261005043859/https://m.cnr.cn/news/yctt/20160629/t20160629_522531823.html)

Aus dem chinesischen Original übersetzt. Originalbuch, Abschnitt 11, Tipp 9. Dieser Abschnitt beschreibt Rechtsregeln, vor allem in Festlandchina. Das sind allgemeine Informationen, keine Rechtsberatung. Inhalte können veraltet sein, und Regeln unterscheiden sich je nach Ort. Wenn Sie tatsächlich zu einer Behörde, zum Arzt oder vor Gericht gehen, gilt, was Behörde, Ärztin oder Anwalt sagen. Haftungsausschluss