Active Defense Notwehr oder rechtswidriger Angriff? Berlin, 1. Dezember 2014

Transkript

1 Active Defense Notwehr oder rechtswidriger Angriff? Berlin, 1. Dezember 2014 LS für Strafrecht, Strafprozessrecht und Wirtschaftsstrafrecht

2 Hacker hacken Hacker: Active Defense - Notwehr? Prof. Dr.Carsten Momsen Seite 2

3 Die pragmatische Sicht der Dinge ( Sollten oder könnten wir das angreifende System zurückhacken? Folgende Konstellationen können auftreten: a. Das Remote-System ist im Besitz der Angreifer und führt einen aktiven Angriff auf unser System durch. b. Das Remote-System befindet sich nicht im Besitz der Angreifer, diese sind aber aktive "Nutzer" auf dem Remote- System. c. Das Remote-System hat eine Schwäche, die der Angreifer ausnutzt und es aus der Ferne kontrolliert. d. Das Remote-System wird für Durchführung des Angriffs ausgenutzt, aber der Angriff erfolgt automatisiert. Seite 3

4 Die pragmatische Sicht der Dinge ( Das ethische Problem, mit dem wir uns befassen müssen, ist die Kunst des Gegenangriffs ( ) Sie sollten ein paar Optionen im Arsenal haben. Ich spreche hier von einem Arsenal, da ein Hacking-Angriff eine Erscheinungsform des Cyber-Terrorismus ist und Sie deshalb das Recht haben, sich gegen den terroristischen Angriff zu schützen. Und zwar grundsätzlich mit der gleichen Intensität und Kraft, mit welcher der Angreifer Sie attackiert. Seite 4

5 Die pragmatische Sicht der Dinge ( Sie haben nun folgende Möglichkeiten des Gegenangriffs: a. Verwenden Sie die gleiche Kraft wie der Angreifer und versuchen, sein System zu kompromittieren. b. Führen Sie eine Fingerabdruck-(Footprint-)Analyse durch, um mögliche forensische Beweise zu identifizieren. c. Analysieren Sie die Bedrohung und verbessern Sie Ihre Abwehrkräfte gegen künftige Angriffe. d. Oder Sie können eine Kombination aus verschiedenen dieser Optionen nutzen und Ihre Abwehrkräfte an den Angriff anpassen. Der Trick ist, Ihre Rechte zu verstehen. Da Sie mit dem Internet häufig Ihre nationalen gesetzlichen Grenzen überqueren, wird es sogar noch problematischer die Rechtslage abzuschätzen. Seite 5

6 1. Einführung in die Problematik Bsp. Problem Sicherheitsforscher Raashid Blat untersuchte einen sogenannten Zeus Trojaner und nutzte die daraus gewonnen Informationen um gezielt gegen Internet Hacking vorgehen zu können; er kaperte den Kontrollserver des Bot-Netzes und präsentierte anschließend in seiner Analyse ein Foto das durchaus den Bot-Master vor seinem Rechner zeigen könnte; durch ein gezieltes Counterhacking könnten so zukünftig nicht nur Bilder eines Bot-Masters bei einem nächsten Login auf dem PC eines zukünftigen Opfers landen (Quelle: Heise-online). Wer Zugriff auf die IT-Infrastruktur des Hackers nehmen kann, kann so natürlich nicht nur Bilder gezielt platzieren sondern auch die für den Angriff genutzte Infrastruktur beschädigen. Rechtliche Bedeutung: Hier würde ein gegenseitiges Hacking vorliegen, und demnach müssten beide, wenn Hacking eine Straftat ist, gleichermaßen bestraft werden. Frage: Wie ist der erste Angriff eines Hackers zu bewerten; handelt es sich um einen rechtswidrigen Angriff? Folge: Aggressive Reaktion darauf als legitime Verteidigung? Seite 6

7 2. Active Defense - Notwehr oder strafbarer Angriff auf den Angreifer Ausgangslage a. Die Inanspruchnahme staatlicher Hilfe ist in der Regel nicht effektiv, da sie nicht schnell genug erfolgt. b. Zusätzliche Probleme ergeben sich dadurch, dass Angriffe häufig mit Auslandsbezug erfolgen. Für eine staatliche Verfolgung wäre häufig sog. Rechtshilfe notwendig. c. Für Opfer eines Angriffs auf Datenbestände oder Hardware stellt sich die Frage, welche Reaktion schnell und effektiv ist. d. Faktisch wird eine nachhaltige Verteidigung am besten durch Selbsthilfe, ggf. Active Defense, sichergestellt e. Active Defense ist aber zugleich eine eigene (strafrechtlich relevante?) Angriffshandlung f. Die Frage ist, unter welchen Voraussetzungen ein solches Vorgehen der Angegriffenen gerechtfertigt sein kann, ohne dass diese sich hierbei ihrerseits der Gefahr der Bestrafung aussetzen. Seite 7

8 3. Notwehr als Rechtfertigungsgrund? Grundlagen und Grundzüge des Notwehrrechts Reichweite des Notwehrrechts a. Wie bereits oben erörtert stellt sich im Bereich des Hacking die Frage, inwieweit ein möglicher Gegenangriff der Opfer eine eigene strafbare Handlung darstellt oder ob dieser letztlich nur dazu dient, den eigentlich gesetzlich gewollten Rechtszustand wiederherzustellen. b. Notwehr kann begründet werden mit dem Schutz konkreter (individueller) Interessen oder dem Prinzip der Bewährung der Rechtsordnung c. Traditionell: Das Recht braucht dem Unrecht nicht zu weichen (Tötung des Obstdiebs). d. Problem: Interessenschutz reicht idr weniger weit als Rechtsbewährung. e. Hobbes Leviathan : Bürger eines Staates treten ihr Selbstverteidigungsrecht an den Staat ab; Ratio dieser Art des Gesellschaftsvertrages ist, dass es keine Selbstjustiz der Bürger geben darf. f. Verteidigung isd Active Defense kann nur in Ausnahmefällen gerechtfertigt sein, weiter muss es einen berechtigten Grund für die ausnahmsweise Gestattung dieser Form von Selbstjustiz geben; dieser Grund kann nur darin liegen, dass der Staat seiner Schutzverpflichtung nicht nachkommt. Seite 8

9 32 StGB Notwehr (1) Wer eine Tat begeht, die durch Notwehr geboten ist, handelt nicht rechtswidrig. (2) Notwehr ist die Verteidigung, die erforderlich ist, um einen gegenwärtigen rechtswidrigen Angriff von sich oder einem anderen abzuwenden. Seite 9

10 4. Voraussetzungen der Notwehr ( 32 StGB) Notwehrlage und Verteidigungshandlung a. Gegenwärtiger rechtswidriger Angriff = jede Bedrohung rechtlich geschützter Interessen durch menschliches Verhalten. b. Gegenwärtig ist der Angriff, wenn eine objektiv bedrohliche Lage unmittelbar bevorsteht, gerade stattfindet oder noch fortdauert. c. Rechtswidrig ist ein Angriff wenn keine Duldungspflicht vorliegt. d. Die Verteidigungshandlung muss (objektiv) geeignet, erforderlich und geboten sein und (subjektiv) die Abwehr des Angriffs bezwecken. e. Das Maß der erforderlichen Verteidigung richtet sich nach der Bedeutung des gefährdeten Interessen und der Intensität des Eingriffs. f. Grundsätzlich ist unter mehreren gleichermaßen geeigneten Mitteln das mildeste zu wählen. g. Weitere Beschränkung des Notwehrrechts nach dem Kriterium der Angemessenheit ~ sog. sozial- ethische Einschränkungen (s. Obstdiebstahl). Seite 10

11 5. Erscheinungsformen des Hacking Einige hier relevante Varianten des Hacking Angriffe durch Hacking richten sich grundsätzlich gegen Lücken im System des Angegriffenen. Frage: (Mit-) Verantwortung des Opfers bei ungenügender Sicherung zu berücksichtigen? a. DNS(Domain-Name- System)-Angriffe (DDoS- Angriff, DNS-Amplification-Angriff, DNS- Spoofing, Cache-Poisoning, Missbrauch offener DNS-Server) b. Drive-by-Downloads c. Übertragung über Backups oder (USB-) Sticks d. Spezifische Angriffe überwiegend zur Industriespionage (ggf. andere rechtliche Einordnung und weitergehende Reaktionsmöglichkeiten, bspw. bei Geschäftsoder Staatsgeheimnissen). Seite 11

12 6. Übertragung auf das Notwehrrecht Angriff: Die von einem Menschen drohende Verletzung rechtlich geschützter Interessen a. Im Falle des Hacking können Daten betroffen sein, die sowohl dem Eigentum und Vermögen als auch dem Persönlichkeitsrecht unterfallen. b. Träger des Rechtsguts ist der Berechtigte, dh der über die Daten Verfügungsberechtigte; dieser ist allerdings nicht notwendig mit dem Anlagenbetreiber identisch. c. Ebenfalls geschützt ist auch der vom Dateninhalt Betroffene; dies kann ein Kommunikationspartner oder eine abgebildete Person sein, wenn der Betreffende ein Recht auf Wahrung der Privatsphäre / Vertraulichkeit gegenüber dem Berechtigten hat. d. Dieses Rechtsgut kann entweder dem Täter selbst oder auch einem Dritten zustehen ( Notwehr Nothilfe). Schutz im Wege der Nothilfe auch, sofern Ziel des Angriffs solche Daten sind, die bei einem externen Anbieter ( bspw. Cloud Provider) gespeichert sind. Seite 12

13 7. (Wann) Liegt ein Angriff vor? Hacking als Angriff isd 32 StGB a. Um Daten ausspionieren oder sabotieren zu können, muss man idr zunächst Schutzvorrichtungen umgehen; fraglich ist, ob bereits dieses Umgehen einen Angriff darstellen kann, gegen den Notwehr geübt werden darf. b. Da der Begriff des Angriffs im Bereich des Notwehrrechts weiter reicht als der formale Straftatbegriff, ist weniger entscheidend ob die vorbereitenden Maßnahmen noch straflose Vorbereitungen oder schon tatbestandliche Versuchshandlung im rechtlichen Sinne sind. c. Problematisch ist vor allem das zeitliche Moment, die sog. Gegenwärtigkeit des Angriffs. d. Im Ergebnis lässt sich uu bereits das den eigentlichen Zugriff auf die relevanten Daten nur vorbereitende Umgehen von Schutzvorrichtungen als Angriff im Sinne des Notwehrrechts einstufen: Seite 13

14 8. Gegenwärtigkeit des Angriffs Gegenwärtig : Wenn eine Rechtsgutsverletzung unmittelbar bevorsteht, gerade stattfindet oder noch fortdauert a. Ein Angriff durch Hacking ist gegenwärtig, sobald eine Schädigung des Rechtsguts / der Daten ohne weitere Zwischenschritte einzutreten droht, sofern bereits schädigende Einwirkungen vorgenommen werden oder der Schaden noch vertieft werden kann. b. Im Bereich Active Defense stellt sich vor allem die Frage, wann ein Angriff bevorsteht oder anders ausgedrückt, wann er konkret verübt zu werden droht. (-> vgl. bei Selbstschussanlangen kein ggw. Angriff) c. Entscheidend ist hierbei nicht, ob die Handlung das Versuchsstadium erreicht hat; es geht mehr darum, ob durch weiteres Zuwarten die Chancen zur Erhaltung des Rechtsguts / der Datenintegrität verschlechtert werden. Ein Angriff ist nicht erst dann gegenwärtig, wenn der Angreifende die erste Verletzungshandlung ausgeführt hat, sondern ggf. bereits beim Umgehen von Firewalls etc. Seite 14

15 8. Gegenwärtigkeit des Angriffs Gegenwärtig : Wenn eine Rechtsgutsverletzung unmittelbar bevorsteht, gerade stattfindet oder noch fortdauert d. Außerdem muss geklärt werden, ob der Angriff noch fortdauert, da ansonsten das Rechtsgut nicht mehr gerettet, sondern allenfalls wiederhergestellt werden könnte. Dann kommt idr nur Restitution / Schadensersatz in Betracht. ~ Wurden die Daten bereits extrahiert? e. Ein Angriff ist solange nicht beendet, wie sich der Angriffserfolg vergrößert, intensiviert oder eine Wiederholung zu befürchten ist. f. Beendet ist der Angriff erst, wenn er endgültig durchgeführt wurde, oder wenn er fehlgeschlagen ist oder aufgegeben wird. g. In den Fällen der sog. Dauergefahr ist zu beachten, dass die Gegenwärtigkeit im Rahmen des Notwehrrechts isd 32 StGB grundsätzlich nicht abstrakt wird, sondern eine konkrete Gefahrenlage gegeben sein muss. (-> Haustyrannen Fall) Seite 15

16 8. Gegenwärtigkeit des Angriffs Gegenwärtig : Wenn eine Rechtsgutsverletzung unmittelbar bevorsteht, gerade stattfindet oder noch fortdauert h. Anders liegt der Fall jedoch, wenn von einem zugespitzten Dauerzustand gesprochen werden kann, dann ist eine Gegenwärtigkeit des Angriffs ohne weiteres zu bejahen (~ Aktualisierung / Konkretisierung). i. Problematisch wird die Annahme der Gegenwärtigkeit allerdings in den Fällen, in denen das Opfer über eine Art automatisches Rückschlagprogramm verfügt; hierbei wird es schwierig die Gegenwärtigkeit des Angriffs zu bejahen, da dieser zum Zeitpunkt des Gegenschlags /Active Defense möglicherweise schon beendet ist. -> Dem Opfer bleibt dann meist nur der Weg über die staatlichen Verfolgungsbehörden, wenn es keine eigene Strafbarkeit riskieren will. Seite 16

17 9. Geeignetheit von Active Defense zur Abwehr von Hacking-Angriffen? Geeignetheit: Verteidigungsmaßnahme muss den Angriff (wahrscheinlich und endgültig) abwehren können. a. Problematisch ist, dass es häufig nicht möglich ist, genau zu identifizieren, wer Urheber eines Hackerangriffs ist. b. IdR werden die Spuren verwischt, sodass es unter Umständen keine geeigneten Ziele und damit keine Maßnahmen gibt, mit denen man sicher und aktiv gegen einen Angriff vorgehen kann. c. Dann wäre die Einrichtung einer Firewall, als passive Maßnahme, das wohl effektivste Vorgehen den Angriff abzuwehren (~ passive Defense). d. Insofern stellt die Frage der Geeignetheit zunächst eher ein technisches Problem dar. ABER: Lässt es eine realistische Prognose als zweifelhaft oder unwahrscheinlich erscheinen, dass der Angriff (noch) wirksam abgewehrt werden kann, kommt eine Rechtfertigung durch Notwehr nicht in Betracht! Seite 17

18 10. Erforderlichkeit von Active Defense zur Abwehr von Angriffen Erforderlichkeit Die Verteidigung, die für eine sofortige Beendigung des Angriffs geeignet ist und zugleich das mildeste Mittel darstellt. a. Maßgeblich ist nicht die Vorstellung des Täters, sondern vielmehr die tatsächlichen Verhältnisse zur Zeit des Angriffs und die Umstände des Einzelfalls. b. Dafür muss eine objektive Beurteilungsperspektive eingenommen werden: c. Verständige Dritte in der Rolle und Situation des Täters d. Grds. kennt 32 StGB keine Abwägung der betroffenen Rechtsgüter bzw. Interessen. e. Notwehr erfordert kein angemessenes Verhältnis zwischen den Rechtsgütern des Angreifers und denen des Verteidigers. ABER: Wortlaut 32 StGB - durch Notwehr geboten : Bei krassem Missverhältnis erfolgt sozial-ethische Beschränkung des Notwehrrechts. Art und Maß der erforderlichen Abwehr bestimmen sich nach der konkreten Kampflage : Gefährlichkeit des Angriffs, eingesetzte Mittel des Angreifers, Fähigkeiten des Angreifers, Gemütsverfassung des Angreifers Verteidigungsfähigkeiten des Opfers. Seite 18

19 11. Das Attributionsproblem ist rechtlich vor allem ein Attributionsproblem Identifikationsproblem a. IdR wird ein dritter Rechner (ohne Wissen des Berechtigten) zur Übertragung genutzt. b. Der Angegriffene kann lediglich den kompromittierten Rechner als Angreifer identifizieren. -> Notwehr ist nur gegen den Angreifer zulässig c. Automatische Programme, die aktiv abwehren sollen, schlagen ir erst an, wenn der Angriff überhaupt als solcher erkannt wurde; dann aber ist der eigentliche Angriff häufig schon vorüber. d. Durch permanent variierte spezifische Angriffe ist es fast unmöglich, Programme zu schreiben, die auf jede Art von Angriff vorbereitet sind, fast immer werden Schwachstellen im Programm ausgenutzt. e. Herauszufinden, ob Manipulationen des Programms durch einen Angriff oder lediglich durch einen Systemfehler verursacht wurden, benötigt sehr viel Zeit; dies führt u.a. dazu, dass die Angriffe erst viel zu spät bemerkt werden (~ nicht mehr gegenwärtig). Seite 19

20 12. Die sog. Honeypot Methode - Präventive - Active Defense Auf dem eigenen System wird präventiv (ggf. nach Entstehen eines Verdachts bzgl. eines Hackingvorfalls/ -versuchs Software installiert, die verseucht ist, sodass man auf das System des Hackers, der diese kopiert und auf seinem System öffnet, über die remote shell Methode zugreifen und den Hacker so identifizieren kann. -> Ausgangsbsp: Möglichkeit die Kamera und das Mikrophon des Hackerrechners zu nutzen. Probleme: a. Zum einen muss der Angriff überhaupt erst mal bemerkt werden (faktisch). b. Zum andern kennen gerade professionelle Hacker diese Vorgehensweise und können sich wiederum dagegen abschirmen, sind Active Defense Maßnahmen geeignet? c. Angriff bereits gegenwärtig? Seite 20

21 13. Weitere Probleme der Geeignetheit Active Defense a. Sofern die Active Defense Maßnahme lediglich die Infrastruktur des kompromittierten Systems stört, stellt sich erneut die Frage der Geeignetheit: b. Ist der Angriff im Wesentlichen abgeschlossen und kann er jederzeit über einen anderen kompromittierten Rechner wiederholt werden, feht es deractive Defense Maßnahme an der Geeignetheit zur Angriffsabwehr. c. Folge: Es läge dann keine Verteidigung im rechtlichen Sinne vor und die Maßnahme wäre dann ihrerseits ein rechtswidriger Angriff und könnte bestraft werden. d. Ist der Angriff noch nicht beendet, kann die Störung der kompromittierten Infrastruktur zwar geeignet sein; dann ist jedoch i.r.d. Verpflichtung zur Wahl des mildesten Mittels abzuwägen, ob es weniger einschneidende Eingriffe gibt und ob ggf. eine passive Verteidigung ausreichen kann. e. Grds: Das Problem der Entscheidung unter Zeitdruck geht im Bereich der Rechtfertigung objektiv zu Lasten des Notwehrübenden. Seite 21

22 14. Spezifische Beschränkungen des Notwehrrechts u.a. aufgrund des Attributionsproblems Adressat der Active Defense ist nicht der Angreifer / fehlende Proportionalität Einschränkung des Notwehrrechts bei grobem, geradezu unerträglichen Missverhältnis zwischen Art und Umfang der aus dem Angriff drohenden Verletzung und der aus der Verteidigungshandlung drohenden Beeinträchtigung. Bei Bejahung eines solchen Missverhältnisses ist die beabsichtigte Form der Notwehr, auch wenn sie das einzige Abwehrmittel darstellt, unzulässig. (~ Schlag gegen den bloß übernommenen Rechner?) Es genügt jedoch nicht schon die bloße Disproportionalität zur Bejahung dieser Fallgruppen, nur ein wirklich grobes Missverhältnis kann zum Verlust des Notwehrrechts führen. Bei Schuldunfähigkeit/ fehlender Verantwortlichkeit des Angreifers besteht nur ein begrenztes Notwehrrecht. Probleme mit der Verantwortlichkeit von Maschinen = Frage, wer bei einem technischen Fehler oder Programmversagen strafrechtlich verantwortlich ist; neben dem eigentlichen Angreifer evtl. auch der Betreiber, der Hersteller oder der Entwickler. Seite 22

23 14. Spezifische Beschränkungen des Notwehrrechts u.a. aufgrund des Attributionsproblems Adressat der Active Defense ist nicht der Angreifer / fehlende Proportionalität Eine gewisse Proportionalität ist auch geboten, wenn der Angreifer zwar nicht schuldlos ist, sein Verschulden aber in keinem Verhältnis zu der durch die Verteidigung zu erwartenden Verletzung seiner Interessen steht. In den Fällen, in denen zur Abwehr eines Diebstahls unbedeutender Daten eine komplexe Infrastruktur, ggf. von allgemeiner Bedeutung, zerstört wird, kann auch ein krasses Missverhältnis zum Ausschluss des Notwehrrechts führen. IdR bei Active Defense gegen staatlich legitimierte Ausspähung (diskussionswürdig). In diesen Fällen muss das Notwehrrecht nicht gänzlich ausgeschlossen sein, wohl aber kann der Grundsatz Trutzwehr vor Schutzwehr stark modifiziert werden. Seite 23

24 15. Ergebnis Reformbedarf Nach derzeitiger Rechtslage würde es vielfach an der Geeignetheit und Erforderlichkeit aktiver Gegenmaßnahmen fehlen, da diese nicht zu einer wirksamen Verhinderung bzw. Abwehr des Angriffs führen und / oder nicht den Verursacher selbst treffen würden. Das geplante IT-Sicherheitsgesetz führt vor allem dazu, dass Strafandrohungen erhöht werden und schafft für den hier betroffenen Bereich kaum Abhilfe sondern wird einige Probleme uu eher verschärfen, da Behörden weitergehende Befugnisse zur (verdeckten) Überprüfung von Daten verliehen werden sollen, welche als Angriffe interpretiert werden könnten. Seite 24

25 Danke für Ihr Interesse! Seite 25