Lücken vorschriftsgemäß melden; vor der Behebung keine Details veröffentlichen, keine Angriffswerkzeuge verbreiten und nichts ins Ausland geben

Kosten

Kostet nichts. Melden Sie die Lücke dem Produktanbieter oder einer offiziellen Plattform. Bis der Anbieter sie behoben hat, geben Sie keine Details und keinen Prüfcode weiter.

Was es bringt

Die Vorschriften betreffen drei Gruppen: inländische Anbieter von Netzwerkprodukten, Netzbetreiber sowie Organisationen oder Personen, die Lücken finden, sammeln und veröffentlichen. Niemand darf Lücken nutzen, um die Netzwerksicherheit zu gefährden, oder Lückeninformationen unrechtmäßig sammeln, verkaufen oder veröffentlichen. Wer Lückeninformationen öffentlich macht, muss fünf Regeln beachten. Erstens: nicht vor der Behebungsmaßnahme des Produktanbieters veröffentlichen. Zweitens: keine Details zu Lücken in Netzen oder Systemen veröffentlichen, die Netzbetreiber gerade benutzen. Drittens: Schäden und Risiken nicht übertreiben und Lückeninformationen nicht für böswilligen Hype oder Betrug nutzen. Viertens: keine Programme oder Werkzeuge veröffentlichen oder bereitstellen, die speziell für Angriffe auf die Netzwerksicherheit bestimmt sind. Fünftens: zusammen mit der Veröffentlichung auch Behebungs- oder Schutzmaßnahmen veröffentlichen. Außerdem dürfen nicht öffentlich bekannte Lückeninformationen nicht an ausländische Organisationen oder Personen außer dem Produktanbieter gegeben werden. Die Vorschriften empfehlen, Lücken an vier offizielle Plattformen zu melden: erstens die Plattform für Austausch von Bedrohungs- und Lückeninformationen des Ministeriums für Industrie und Informationstechnologie (工信部); zweitens die Lückenplattform des Nationalen Zentrums für Netzwerk- und Informationssicherheit-Mitteilungen (国家网络与信息安全信息通报中心); drittens die Lückenplattform der Nationalen Koordinierungsstelle für Computer-Netzwerk-Notfälle (国家计算机网络应急技术处理协调中心); viertens die Lückendatenbank des Chinesischen Zentrums für Informationssicherheitsbewertung (中国信息安全测评中心). Wer Lückeninformationen entgegen den Vorschriften sammelt oder veröffentlicht, wird vom Ministerium für Industrie und Informationstechnologie und vom Ministerium für öffentliche Sicherheit (公安部) im Rahmen ihrer Zuständigkeiten behandelt. Erfüllt der Fall Tatbestände des Cybersicherheitsgesetzes (网络安全法), wird nach diesem Gesetz bestraft. Wer Sicherheitsinformationen wie Systemlücken veröffentlicht, muss die einschlägigen staatlichen Vorschriften einhalten. Bei Verstößen ordnet die zuständige Behörde Korrekturen an und verwarnt, es kann eine Geldstrafe von 10.000 bis 100.000 Yuan (1 万到 10 万元) verhängt werden. Wer sich der Korrektur verweigert oder schwere Fälle verursacht, zahlt 100.000 bis 1.000.000 Yuan (10 万到 100 万元). Außerdem kann die Behörde den Geschäftsbetrieb vorübergehend aussetzen, eine Betriebsschließung anordnen oder die Website beziehungsweise App abschalten lassen. Betriebsgenehmigungen können entzogen und die Gewerbeerlaubnis widerrufen werden. Für die unmittelbar verantwortlichen leitenden Personen und andere unmittelbar Verantwortliche gelten Geldstrafen von 10.000 bis 100.000 Yuan (1 万到 10 万元).

Hinweise

Die Vorschriften nennen Einzelpersonen ausdrücklich als Verpflichtete; „ich bin nur Hobbyist“ ist keine Ausnahme. Eine in China gefundene Lücke an eine ausländische Bug-Bounty-Plattform zu melden, fällt genau unter das Verbot, nicht veröffentlichte Lücken ins Ausland zu geben. Ob man testen darf, ist eine andere Frage als die, was man danach mit der Lücke macht; siehe §11.9 (ohne schriftliche Erlaubnis keine fremden Systeme testen). Eine rechtmäßig gefundene Lücke kann trotzdem bestraft werden, wenn die Veröffentlichung gegen die Regeln verstößt; eine ohne Erlaubnis gefundene Lücke bringt beim Testen und beim Veröffentlichen Probleme. Unter den Meldewegen werden das Portal des Ministeriums für Industrie und Informationstechnologie und das Nationale Internet-Notfallzentrum (CNCERT, 国家互联网应急中心) am häufigsten genutzt. Die Vorschriften unterscheiden nicht ausdrücklich den Fall „Hersteller informiert, Hersteller behebt nicht“. In der Praxis sollten Sie Verhandlungen und Meldungen dokumentieren und zugleich an die offiziellen Plattformen melden.

Evidenzgrad

A : Konkrete Zahlen aus Metaanalysen, großen Kohorten oder randomisierten Studien; bei Recht und Politik der Gesetzes- oder Originaltext.

Quellen

1. 工业和信息化部、国家互联网信息办公室、公安部 (2021). 网络产品安全漏洞管理规定（工信部联网安〔2021〕66 号，第二、四、九、十、十四条，2021 年 9 月 1 日施行）. https://www.gov.cn/gongbao/content/2021/content_5641351.htm
2. 全国人大常委会 (2025). 网络安全法（2025 年修正，2026 年 1 月 1 日施行，第二十八、六十五条；2016 年文本为第二十六、六十二条，规定第十四条援引的是 2016 年文本的条号）. https://www.cac.gov.cn/2025-12/29/c_1768735112911946.htm

Aus dem chinesischen Original übersetzt. Originalbuch, Abschnitt 11, Tipp 10. Dieser Abschnitt beschreibt Rechtsregeln, vor allem in Festlandchina. Das sind allgemeine Informationen, keine Rechtsberatung. Inhalte können veraltet sein, und Regeln unterscheiden sich je nach Ort. Wenn Sie tatsächlich zu einer Behörde, zum Arzt oder vor Gericht gehen, gilt, was Behörde, Ärztin oder Anwalt sagen. Haftungsausschluss