MKB Juristen entwirft individuelle Rechtsdokumente
Es empfiehlt sich, wichtige Verträge, Geschäftsbedingungen und andere juristische Dokumente nicht selbst zusammenzustellen oder zu kopieren. Wir unterstützen Unternehmer mit begrenztem Budget mit maßgeschneiderten Rechtslösungen, transparenten Kosten im Voraus und verständlichen Erklärungen.
- Kundenspezifische Verträge, Geschäftsbedingungen und Rechtsdokumente
- Budgetfreundlich und transparent hinsichtlich der Kosten im Voraus
- Fordern Sie eine kostenlose Beratung oder ein unverbindliches Angebot an
Die Erstellung einer Verzichtserklärung für Penetrationstests beinhaltet die Dokumentation der Zustimmung des Rechteinhabers, des Testumfangs, der Haftungsfreistellung des Penetrationstesters sowie von Vereinbarungen zu Haftung, Vertraulichkeit und personenbezogenen Daten in einem einzigen unterzeichneten Dokument. Durch die vorherige Zustimmung und die klare Definition der Testgrenzen wird die strafrechtliche Haftung für Computerverletzungen (Artikel 138ab des niederländischen Strafgesetzbuches) ausgeschlossen. Wer alle erforderlichen Unterlagen beisammen hat, stellt sicher, dass der Test rechtmäßig durchgeführt wird und die Risikoverteilung im Voraus klar ist. Nachfolgend finden Sie eine Liste der erforderlichen Bestandteile.
Die kurze Antwort
- Beteiligte und Rechteinhaber: Wer erteilt die Zustimmung und wer testet?
- Geltungsbereich und Autorisierung: welche Systeme, Methoden und welcher Zeitraum.
- Haftungsfreistellung: Der Penetrationstester wird für Handlungen im Rahmen des Auftrags freigestellt.
- Haftung und Schadensersatz im Falle eines unbeabsichtigten Ausfalls.
- von Vertraulichkeit, Offenlegung und DSGVO .
Entwurf einer Verzichtserklärung für Penetrationstests: der Kern
Grundlage jeder Verzichtserklärung für Penetrationstests ist die Zustimmung des Systembetreibers. Ohne diese Zustimmung stellt das Eindringen einen Computer-Hausfriedensbruch gemäß Artikel 138ab des niederländischen Strafgesetzbuches dar. Klären Sie daher zunächst, wer der Rechteinhaber ist und wer berechtigt ist, im Namen der Organisation zu unterzeichnen. Werden die Systeme von einem Hosting-Anbieter oder Cloud-Dienst gehostet, benötigen Sie auch dessen Zustimmung, da Ihre Organisation nicht Inhaber der Rechte an der zugrunde liegenden Infrastruktur ist. Nur wenn diese Zustimmungskette vollständig ist, lässt sich die Verzichtserklärung sinnvoll formulieren.
Geltungsbereich und Genehmigung
Der Geltungsbereich ist der wichtigste Aspekt, da die Einwilligung nur innerhalb dieser Grenzen gilt. Konkret definieren:
- Geltungsbereich: Welche Domänen, IP-Bereiche, Anwendungen und Netzwerke können getestet werden?
- Ausdrücklich vom Geltungsbereich ausgeschlossen sind: Drittsysteme, Zahlungsanbieter oder Produktionskomponenten, die nicht beeinträchtigt werden dürfen.
- Zulässige Methoden: Beispielsweise sind Netzwerk- und Anwendungstests erlaubt, Social Engineering oder Denial-of-Service-Angriffe jedoch nicht, es sei denn, dies wurde gesondert vereinbart.
- Zeitfenster: der Zeitpunkt, an dem der Test stattfindet, damit die Organisation ihn von einem echten Angriff unterscheiden kann.
- Ansprechpartner: Personen, die erreichbar sind, falls etwas schiefgeht und der Test abgebrochen werden muss.
Ein klar definierter Projektumfang schützt beide Seiten. Der Penetrationstester weiß, was erlaubt ist, und der Kunde weiß, dass die Tests nicht außerhalb der Vereinbarungen durchgeführt werden.
Entschädigung, Haftung und Schadensersatz
Dieser Block verteilt die Risiken:
- Haftungsfreistellung: Der Rechteinhaber erklärt, dass der Penetrationstester mit Genehmigung handelt und stellt ihn von jeglicher Haftung für den Zugriff und die Handlungen im Rahmen dieser Genehmigung frei. Dadurch wird der Test rechtlich abgesichert.
- Unbeabsichtigte Schäden: Ein Penetrationstest kann zu Fehlfunktionen oder Ausfallzeiten führen. Legen Sie fest, wer dieses Risiko trägt, in der Regel der Auftraggeber, und ob ein Backup- oder Wiederherstellungsplan vorhanden ist.
- Grenzen der Entschädigung: Vorsätzliche oder grob fahrlässige Schäden sowie Handlungen außerhalb des Geltungsbereichs sind von der Entschädigung ausgeschlossen. Dies muss ausdrücklich festgehalten werden.
- Haftung des Pentesters: eine angemessene Haftungsbeschränkung in Verbindung mit der gebotenen Sorgfalt und gegebenenfalls einer Berufshaftpflichtversicherung.
Ein Beispiel: Ein KMU lässt sein Kundenportal testen. Die Verzichtserklärung sieht vor, dass der Kunde im Vorfeld eine Datensicherung erstellt, der Test außerhalb der Geschäftszeiten stattfindet und unbeabsichtigte Ausfälle im Rahmen des Tests vom Kunden zu tragen sind. Als ein Test eine vorübergehende Störung verursachte, gab es keine Einwände bezüglich der Rechnung.
Vertraulichkeit, Offenlegung und personenbezogene Daten
Die letzten Bausteine schützen die Informationen und die Beteiligten:
- Vertraulichkeit: Der Penetrationstester behandelt gefundene Schwachstellen und entdeckte Daten vertraulich, und zwar für einen Zeitraum, der auch nach dem Test andauert.
- Verantwortungsvolle Offenlegung: Die Ergebnisse werden nur dem Kunden mitgeteilt, nicht veröffentlicht, und es gibt eine Frist für die Behebung.
- Personenbezogene Daten und DSGVO: Sofern der Test personenbezogene Daten umfasst, gelten die Bestimmungen der DSGVO. Dazu gehören eine Rechtsgrundlage, geeignete Garantien gemäß Artikel 32 DSGVO und in der Regel eine Vereinbarung zur Auftragsverarbeitung. Vereinbaren Sie, dass gefundene personenbezogene Daten nicht gespeichert werden.
- Rückgabe und Vernichtung: Was geschieht nach dem Test mit den gesammelten Daten und dem Testbericht?
Ehrliche Empfehlung
Für einen einfachen, internen Test von Systemen, die Sie vollständig selbst verwalten – ohne personenbezogene Daten und ohne Systeme von Drittanbietern –, können Sie ein kurzes, unterschriebenes Einwilligungsformular erstellen. Stellen Sie sicher, dass Geltungsbereich, Zeitraum und Unterschriftsberechtigung klar definiert sind. Dies deckt das Minimum ab.
Sobald Drittsysteme, Kundendaten, Produktionsumgebungen oder ein externer Penetrationstester involviert sind, ist die Erstellung einer Verzichtserklärung für Penetrationstests kein einfacher Vorgang mehr. Die Definition des Testumfangs, die Haftungsfreistellung und die Bestimmungen der DSGVO entscheiden darüber, ob der Test rechtmäßig ist und wer im Schadensfall das Risiko trägt. Ein zu weit gefasster Testumfang oder fehlende Zustimmung des Hosting-Anbieters können sowohl den Penetrationstester als auch den Kunden strafrechtlich haftbar machen. Lassen Sie die Verzichtserklärung vor Testbeginn von einem Anwalt erstellen oder prüfen.
Mehr zu Erklärung und Kosten: Pentest-Verzichtserklärung, was eine Pentest-Verzichtserklärung ist und wie man eine Pentest-Verzichtserklärung aufsetzen lässt.
Häufig gestellte Fragen
Mindestens: die beteiligten Parteien und der Rechteinhaber, der Umfang und die Genehmigung, der Zeitraum, die Freistellung, Bestimmungen zur Haftung und zu Schadensersatz, die Vertraulichkeit, die verantwortungsvolle Offenlegung und der Aspekt der DSGVO, falls personenbezogene Daten betroffen sind.
Da die Einwilligung nur innerhalb des vereinbarten Rahmens gilt, fällt jede Penetrationsprüfung außerhalb der vereinbarten Systeme oder Methoden nicht unter die Einwilligung und kann dennoch einen Computerbetrug darstellen, der gemäß Artikel 138ab des niederländischen Strafgesetzbuches strafbar ist.
Wenn die zu testenden Systeme bei einem Hosting-Anbieter oder in einer Cloud laufen, dann ja. In diesem Fall ist Ihre Organisation nicht Inhaber der Rechte an der zugrunde liegenden Infrastruktur, daher testen Sie auf Systemen Dritter ohne deren Erlaubnis oder Zustimmung.
Legen Sie fest, wer das Risiko unbeabsichtigter Ausfälle innerhalb des vereinbarten Umfangs trägt, in der Regel der Kunde, und stellen Sie sicher, dass ein Backup- oder Wiederherstellungsplan vorhanden ist. Vorsätzliche oder grob fahrlässige Schäden sowie Handlungen außerhalb des vereinbarten Umfangs sind von der Haftungsfreistellung ausgeschlossen.
Wenn der Test personenbezogene Daten umfasst, gelten die Anforderungen der DSGVO: eine Rechtsgrundlage, geeignete Garantien gemäß Artikel 32 DSGVO und in der Regel eine Vereinbarung zur Auftragsverarbeitung mit dem Penetrationstester. Es muss vereinbart werden, dass gefundene personenbezogene Daten nicht gespeichert werden.
Vertraulichkeit und verantwortungsvolle Offenlegung: Der Penetrationstester meldet Schwachstellen ausschließlich dem Kunden, veröffentlicht sie nicht und behandelt die gefundenen Daten vertraulich. Es wird ein Zeitraum für die Behebung der Schwachstellen vereinbart und die Rückgabe oder Vernichtung der Daten sowie des Berichts geregelt.
Für einen einfachen internen Test Ihrer eigenen Systeme kann eine kurze Erklärung genügen. Sobald jedoch Systeme von Drittanbietern, Kundendaten oder ein externer Penetrationstester involviert sind, ist ein maßgeschneiderter Ansatz ratsam, da erst der Umfang, die Haftungsfreistellung und die DSGVO-Aspekte die Risiken bestimmen.
