Rechtliche Grundlage für Penetration Tests?

[OscarWilde 10]

Hallo zusammen,

 

wir wollen einen Penetration Test für eine Webserver durchführen und uns absichern, dass wir nicht als Hacker einbrechen sondern dazu beauftragt wurden.

 

Wie ist in Deutschland die Rechtslage dazu? Wir haben das bisher nur in UK gemacht, das gibt es ein spezielles Formular, welches unterzeichnet wird und beide Seiten sind zufrieden. Der Provider OVH in Deutschland kennt das aber nicht und will auch nichts unterzeichnen. Was aber wenn unser Angriff auswirkung auf benachbarte Server hat? :suspect:

 

Wer kann mir einen Tipp geben oder sagen wo es evtl. Informationen dazu gibt? Einen Anwalt haben wir schon befragt aber er hatte dazu auch keine verbindliche Antwort.

 

Danke!

 

Frank

[NilsK 2.957]

Moin,

 

wer ist denn der Auftraggeber? Der betreffende Provider oder einer von dessen Kunden?

 

Gruß, Nils

[OscarWilde 10]

Einer von dessen Kunden.

[Dr.Melzer 191]

Wer kann mir einen Tipp geben oder sagen wo es evtl. Informationen dazu gibt? Einen Anwalt haben wir schon befragt aber er hatte dazu auch keine verbindliche Antwort.

Im Zweifelsfall kann dir nur ein Jurist helfen der IT Recht als Fachgebiet hat. Wir können und dürfen hier keine Rechtsberatung machen, da wir keine Juristen sind.

[OscarWilde 10]

Ja, das ist mir im Prinzip schon klar. Ich dachte, jemand hier hätte das Prozedere schon mal durchgespielt und ich hätte daruf aufbauen können.

[Dunkelmann 96]

Moin,

 

als nicht Jurist kann ich Dir nur zu einem guten Anwalt und einer Haftplichtversicherung, die explizit mögliche Nebenwirkungen eines Pen-Tests abdeckt, raten.

[Xanathos 10]

Einer von dessen Kunden.

 

 

Entweder den Provider fragen oder am besten bleiben lassen.

=> AGB des Providers lesen was aber ohne Rechtsberatung auch keine Absicherung (und mit auch nicht s. o.).

 

Wenn der Kunde keine Ausschlußklausel unterzeichnen möchte, dann riecht das schon ein bischen faul.

 

Auch wenn ihr im Falle des Falles, nur einen Angriff auf den gemietet Teil des Kunden macht, ist er nur Besitzer und der Eigentümer (Provider) hat immer noch das "Hoheitsrecht"

 

Aber wie dir schon geraten wurde, suche dir einen Anwalt der Ahnung von I-Net Recht hat :)

[lefg 276]

.....Wenn der Kunde keine Ausschlußklausel unterzeichnen möchte, dann riecht das schon ein bischen faul.

 

Wohl nicht der Kunde, Auftraggeber für den Test will ein Einverständnis nicht unterzeichnen, der Provider oder Hoster des Kunden will es wohl nicht, so habe ich den Thread verstanden.

bearbeitet 28. Juni 2014 von lefg

[Xanathos 10]

@lefg ja, tut mir leid, habe ich wohl überlesen.

 

In dem Fall ist es ein "Vergiß es"  :)

[lefg 276]

@lefg ja, tut mir leid, habe ich wohl überlesen.

 

In dem Fall ist es ein "Vergiß es"  :)

 

Hallo Kamerad Xanathos,

 

Du musst dich nicht entschuldigen. Mein Post sollte nur der Klärung dienen. Auch ich übersehe Dinge. Niemand kann da etwas für.

[friesk 12]

Hallo zusammen,

 

wir wollen einen Penetration Test für eine Webserver durchführen und uns absichern, dass wir nicht als Hacker einbrechen sondern dazu beauftragt wurden.

 

Der Provider OVH in Deutschland kennt das aber nicht und will auch nichts unterzeichnen. Was aber wenn unser Angriff auswirkung auf benachbarte Server hat? :suspect:

 

Wer kann mir einen Tipp geben oder sagen wo es evtl. Informationen dazu gibt? Einen Anwalt haben wir schon befragt aber er hatte dazu auch keine verbindliche Antwort.

Also, für mich als normalen EDVler gibt es zwei Fingerzeige die Finger weg zu lassen:

 

Der Provider will nicht und ob viel oder wenig behindert wird spielt m.E. keine Rolle.

 

Wenn sich schon ein RA nicht festlegen will, von wem willst du sonst eine halbwegs sichere Antwort?

 

Laß es bleiben oder sage deinem Kunden er solle mit seinem Provider reden.

 

mfg Klaus

bearbeitet 7. Juli 2014 von friesk

[jostrn 13]

Für die Zukunft: juristische Fragen stellt man konkret ("ich/wir") an den Anwalt, oder abstrakt ("man") in ein Forum. Die Rechtslage ist vollkommen klar - wie fast immer im Strafrecht!

 

§ 202a StGB Ausspähen von Daten:

(1) Wer unbefugt sich oder einem anderen Zugang zu Daten, die nicht für ihn bestimmt und die gegen unberechtigten Zugang besonders gesichert sind, unter Überwindung der Zugangssicherung verschafft, wird mit Freiheitsstrafe bis zu drei Jahren oder mit Geldstrafe bestraft.

 

Was unbefugt bedeutet, kannst du dir denken, einen RA fragen, in einem Gesetzeskommentar nachschlagen (zB in der öffentlich zugänglichen juristische Bibliothek der nächsten Uni), oder es abstrakt formuliert in ein Forum posten. § 16 Abs. 1 StGB wäre in diesem Fall ebenfalls des Lesens wert.

[Dr.Melzer 191]

Da das jetzt anfängt in Richtung Rechtsberatung zu gehen (was uns untersagt ist da wir keine Juristen sind) ist der Beitrag geschlossen.