Lücken vorschriftsgemäß melden; vor der Behebung keine Details veröffentlichen, keine Angriffswerkzeuge verbreiten und nichts ins Ausland geben

Kosten

Kostet nichts. Melden Sie die Lücke dem Produktanbieter oder einer offiziellen Plattform. Bis der Anbieter sie behoben hat, geben Sie keine Details und keinen Prüfcode weiter.

Was es bringt

Die Vorschriften betreffen drei Gruppen: inländische Anbieter von Netzwerkprodukten, Netzbetreiber sowie Organisationen oder Personen, die Lücken finden, sammeln und veröffentlichen. Niemand darf Lücken nutzen, um die Netzwerksicherheit zu gefährden, oder Lückeninformationen unrechtmäßig sammeln, verkaufen oder veröffentlichen. Wer Lückeninformationen öffentlich macht, muss fünf Regeln beachten. Erstens: nicht vor der Behebungsmaßnahme des Produktanbieters veröffentlichen. Zweitens: keine Details zu Lücken in Netzen oder Systemen veröffentlichen, die Netzbetreiber gerade benutzen. Drittens: Schäden und Risiken nicht übertreiben und Lückeninformationen nicht für böswilligen Hype oder Betrug nutzen. Viertens: keine Programme oder Werkzeuge veröffentlichen oder bereitstellen, die speziell für Angriffe auf die Netzwerksicherheit bestimmt sind. Fünftens: zusammen mit der Veröffentlichung auch Behebungs- oder Schutzmaßnahmen veröffentlichen. Außerdem dürfen nicht öffentlich bekannte Lückeninformationen nicht an ausländische Organisationen oder Personen außer dem Produktanbieter gegeben werden. Die Vorschriften empfehlen, Lücken an vier offizielle Plattformen zu melden: erstens die Plattform für Austausch von Bedrohungs- und Lückeninformationen des Ministeriums für Industrie und Informationstechnologie (工信部); zweitens die Lückenplattform des Nationalen Zentrums für Netzwerk- und Informationssicherheit-Mitteilungen (国家网络与信息安全信息通报中心); drittens die Lückenplattform der Nationalen Koordinierungsstelle für Computer-Netzwerk-Notfälle (国家计算机网络应急技术处理协调中心); viertens die Lückendatenbank des Chinesischen Zentrums für Informationssicherheitsbewertung (中国信息安全测评中心). Wer Lückeninformationen entgegen den Vorschriften sammelt oder veröffentlicht, wird vom Ministerium für Industrie und Informationstechnologie und vom Ministerium für öffentliche Sicherheit (公安部) im Rahmen ihrer Zuständigkeiten behandelt. Erfüllt der Fall Tatbestände des Cybersicherheitsgesetzes (网络安全法), wird nach diesem Gesetz bestraft. Wer Sicherheitsinformationen wie Systemlücken veröffentlicht, muss die einschlägigen staatlichen Vorschriften einhalten. Bei Verstößen ordnet die zuständige Behörde Korrekturen an und verwarnt, es kann eine Geldstrafe von 10.000 bis 100.000 Yuan (1 万到 10 万元) verhängt werden. Wer sich der Korrektur verweigert oder schwere Fälle verursacht, zahlt 100.000 bis 1.000.000 Yuan (10 万到 100 万元). Außerdem kann die Behörde den Geschäftsbetrieb vorübergehend aussetzen, eine Betriebsschließung anordnen oder die Website beziehungsweise App abschalten lassen. Betriebsgenehmigungen können entzogen und die Gewerbeerlaubnis widerrufen werden. Für die unmittelbar verantwortlichen leitenden Personen und andere unmittelbar Verantwortliche gelten Geldstrafen von 10.000 bis 100.000 Yuan (1 万到 10 万元).

Hinweise

Die Vorschriften nennen Einzelpersonen ausdrücklich als Verpflichtete; „ich bin nur Hobbyist“ ist keine Ausnahme. Eine in China gefundene Lücke an eine ausländische Bug-Bounty-Plattform zu melden, fällt genau unter das Verbot, nicht veröffentlichte Lücken ins Ausland zu geben. Ob man testen darf, ist eine andere Frage als die, was man danach mit der Lücke macht; siehe §11.9 (ohne schriftliche Erlaubnis keine fremden Systeme testen). Eine rechtmäßig gefundene Lücke kann trotzdem bestraft werden, wenn die Veröffentlichung gegen die Regeln verstößt; eine ohne Erlaubnis gefundene Lücke bringt beim Testen und beim Veröffentlichen Probleme. Die Vorschriften unterscheiden nicht ausdrücklich den Fall „Hersteller informiert, Hersteller behebt nicht“. Der Autor empfiehlt, Verhandlungen und Meldungen zu dokumentieren und zugleich an die vier oben genannten offiziellen Plattformen zu melden.

Evidenzgrad

A : Konkrete Zahlen aus Metaanalysen, großen Kohorten oder randomisierten Studien; bei Recht und Politik der Gesetzes- oder Originaltext.

Quellen

1. Ministry of Industry and Information Technology, Cyberspace Administration of China, Ministry of Public Security (2021). Provisions on the Management of Network Product Security Vulnerabilities [in Chinese] (MIIT Lian Wang An [2021] No. 66, Articles 2, 4, 9, 10 and 14; in force September 1, 2021). https://www.gov.cn/gongbao/content/2021/content_5641351.htm
2. National People's Congress Standing Committee (2025). Cybersecurity Law [in Chinese] (2025 amendment, in force January 1, 2026, Articles 28 and 65; in the 2016 text these are Articles 26 and 62, and Article 14 of the Provisions cites the article numbers of the 2016 text). https://www.cac.gov.cn/2025-12/29/c_1768735112911946.htm

Aus dem chinesischen Original übersetzt. Originalbuch, Abschnitt 11, Tipp 10. Dieser Abschnitt beschreibt Rechtsregeln, vor allem in Festlandchina. Das sind allgemeine Informationen, keine Rechtsberatung. Inhalte können veraltet sein, und Regeln unterscheiden sich je nach Ort. Wenn Sie tatsächlich zu einer Behörde, zum Arzt oder vor Gericht gehen, gilt, was Behörde, Ärztin oder Anwalt sagen. Haftungsausschluss