Ohne schriftliche Erlaubnis keine fremden Systeme testen; „gut gemeint“ und „nachträgliche Meldung“ entlasten nicht

Kosten

Kostet nichts. Bevor Sie an einem Sicherheitsprogramm des Herstellers (SRC, das vom Hersteller betriebene Notfallzentrum für Sicherheit, das Lücken von außen entgegennimmt) oder an einem Crowdtest teilnehmen, holen Sie eine schriftliche Vorgabe mit Testbereich, Zielliste und Testzeitraum ein. Sobald Sie bestätigt haben, dass die Lücke existiert, hören Sie auf. Schwierig ist, den Impuls „ich schau mal kurz nach“ zu lassen.

Was es bringt

Systeme gewöhnlicher Unternehmen und Privatpersonen gehören nicht zu den Bereichen staatliche Angelegenheiten, Landesverteidigung oder Spitzentechnologie. Wer in solche Systeme eindringt oder andere technische Mittel einsetzt, um darin gespeicherte, verarbeitete oder übertragene Daten zu erlangen, wird bei schweren Fällen mit bis zu 3 Jahren Freiheitsstrafe oder Haft bestraft, mit oder ohne Geldstrafe. In besonders schweren Fällen gibt es 3 bis 7 Jahre mit Geldstrafe. Ein schwerer Fall liegt unter anderem vor bei: Identifikationsdaten für Online-Finanzdienste wie Zahlungsabwicklung, Wertpapier- oder Terminhandel (Zugangsdaten), 10 Sätze oder mehr; andere Identifikationsdaten, 500 Sätze oder mehr; Kontrolle über 20 oder mehr Computersysteme; rechtswidriger Gewinn von 5.000 Yuan oder mehr oder wirtschaftlicher Schaden von 10.000 Yuan (1 万元) oder mehr. Das 5-Fache dieser Werte gilt als besonders schwerer Fall. Behördlicher Fall: Der Musterfall der Staatsanwaltschaft Nr. 36 (检例第 36 号) hält fest: Wer Konten und Passwörter über den erlaubten Umfang hinaus zum Login in ein Computerinformationssystem nutzt, dringt in dieses System ein. Wer die Zugangsdaten schon hat, aber sie außerhalb der Erlaubnis verwendet, begeht die Tat also selbst. In diesem Fall loggten sich drei Personen mit im Job erhaltenen Konten, Passwörtern und Token von auswärts in ein internes Firmensystem ein, luden Daten herunter, die nicht zu ihrem Aufgabenbereich gehörten, und verkauften sie online für einen Gewinn von 37.000 Yuan. Sie bekamen 4 Jahre, 3 Jahre und 9 Monate bzw. 4 Jahre Haft und mussten je 40.000 Yuan (4 万元) Geldstrafe zahlen (gilt in ganz China).

Hinweise

Der Musterfall Nr. 36 ist selbst ein Fall, in dem Daten verkauft wurden. Er wird nur für den Satz angeführt, dass auch ein Zugriff außerhalb der erlaubten Grenzen Eindringen ist. Er heißt nicht, dass ein gutgemeinter Test ebenso hart bestraft wird. Gut gemeint oder hinterher gemeldet hebt die Tat nicht auf; es kann nur beeinflussen, wie hoch die Strafe ausfällt oder ob es zur Anklage kommt. Dass der Hersteller sich bedankt und später Anzeige erstattet, widerspricht sich nicht; ein Dank ist aber keine Erlaubnis. Im Jahr 2016 reichte ein Sicherheitsforscher (白帽子) eine Lücke der Website Shiji Jiayuan (世纪佳缘, eine chinesische Partnersuche-Website) über eine Drittplattform ein; später erstattete Shiji Jiayuan Anzeige, und der Forscher wurde festgenommen. Das Unternehmen sagte Journalisten, es habe Anzeige erstattet, weil Daten abgeflossen seien, und habe damals nicht gewusst, dass die Person, die die Lücke gemeldet hatte, die Daten abgezogen hatte. Dieser Fall ist nur durch Medienberichte belegt; es gibt weder ein Urteil noch eine offizielle Mitteilung über den Ausgang. Auf den offiziellen Websites des Obersten Volksgerichts und der Obersten Staatsanwaltschaft fand sich kein Fall gutgemeinter Tests, dessen Wortlaut sich prüfen ließe; deshalb wird dieser Punkt allein nach Gesetzestext und Strafmaß eingestuft. Wer es richtig machen will, nutzt das öffentliche SRC-Programm des Herstellers oder einen schriftlich beauftragten Test und hält Umfang, Ziele und Zeitfenster schriftlich fest. Zum Beweis einer Lücke braucht man möglichst wenig und zieht keine Daten massenhaft ab. Auch Verstöße unterhalb der Strafbarkeitsgrenze werden mit Verwaltungsstrafen geahndet, außerdem mit einem Tätigkeitsverbot; Geldbußen und Fristen entsprechen §11.8 (keine eigenen Programme auf fremden Geräten laufen lassen). Was nach dem Fund einer Lücke zu tun ist, siehe §11.10 (Lücken vorschriftsgemäß melden).

Evidenzgrad

A : Konkrete Zahlen aus Metaanalysen, großen Kohorten oder randomisierten Studien; bei Recht und Politik der Gesetzes- oder Originaltext.

Quellen

1. 全国人大 (2020). 刑法（根据刑法修正案（十一）修正，第二百八十五条第一款、第二款）. https://jtgl.beijing.gov.cn/jgj/jgxx/flfg/fl/11033925/index.html
2. 最高人民法院、最高人民检察院 (2011). 关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释（第一条）. https://ga.sz.gov.cn/ZWGK/ZCFG/ZCJD/content/post_1304363.html（深圳市公安局转载）
3. 最高人民检察院 (2017). 第九批指导性案例（检例第 36 号，卫梦龙、龚旭、薛东东非法获取计算机信息系统数据案）. https://www.spp.gov.cn/spp/jczdal/201710/t20171017_202593.shtml
4. 央广网 (2016-06-29). 白帽子发布漏洞后被抓 世纪佳缘否认“钓鱼”使其上套（记者赵珂，实习记者刘香玺）. https://m.cnr.cn/news/yctt/20160629/t20160629_522531823.html（网页存档 https://web.archive.org/web/20261005043859/https://m.cnr.cn/news/yctt/20160629/t20160629_522531823.html）

Aus dem chinesischen Original übersetzt. Originalbuch, Abschnitt 11, Tipp 9. Dieser Abschnitt beschreibt Rechtsregeln, vor allem in Festlandchina. Das sind allgemeine Informationen, keine Rechtsberatung. Inhalte können veraltet sein, und Regeln unterscheiden sich je nach Ort. Wenn Sie tatsächlich zu einer Behörde, zum Arzt oder vor Gericht gehen, gilt, was Behörde, Ärztin oder Anwalt sagen. Haftungsausschluss