MKB Juristen entwirft individuelle Rechtsdokumente
Es empfiehlt sich, wichtige Verträge, Geschäftsbedingungen und andere juristische Dokumente nicht selbst zusammenzustellen oder zu kopieren. Wir unterstützen Unternehmer mit begrenztem Budget mit maßgeschneiderten Rechtslösungen, transparenten Kosten im Voraus und verständlichen Erklärungen.
- Kundenspezifische Verträge, Geschäftsbedingungen und Rechtsdokumente
- Budgetfreundlich und transparent hinsichtlich der Kosten im Voraus
- Fordern Sie eine kostenlose Beratung oder ein unverbindliches Angebot an
Was ist eine Pentest-Verzichtserklärung? Es handelt sich um eine schriftliche Einwilligungs- und Haftungsfreistellungserklärung, mit der eine Organisation einem ethischen Hacker die Erlaubnis erteilt, innerhalb eines vereinbarten Rahmens in ihre Systeme einzudringen. Der Pentester wird dadurch von der Haftung für Computereindringversuche freigestellt, solange er sich innerhalb dieses Rahmens bewegt. Ohne eine solche Verzichtserklärung ist das Eindringen in ein Computersystem gemäß Artikel 138ab des niederländischen Strafgesetzbuches strafbar, selbst bei guter Absicht. Die Pentest-Verzichtserklärung beseitigt die Rechtswidrigkeit, indem sie die vorherige Zustimmung des Rechteinhabers dokumentiert.
Die kurze Antwort
- Was: Einwilligung plus Haftungsfreistellung für einen Penetrationstest oder einen kontrollierten Eindringversuch.
- Grund: Einbruch ohne Erlaubnis ist strafbar, Artikel 138ab des niederländischen Strafgesetzbuches.
- Kernpunkte: Geltungsbereich, Genehmigung, Haftung, Vertraulichkeit und eine Vereinbarung zur verantwortungsvollen Offenlegung.
- Wer: Der Rechteinhaber des Systems unterzeichnet zusammen mit dem Penetrationstester.
- Ziel: Schwachstellen legal und sicher aufspüren, bevor ein Angreifer sie findet.
Was ist eine Pentest-Verzichtserklärung und warum benötigt man eine?
Ein Penetrationstest, kurz Pentest, ist ein kontrollierter Versuch, in ein IT-System einzudringen, um Schwachstellen aufzudecken. Genau das tut auch ein Hacker, allerdings nur mit Erlaubnis und mit dem Ziel, dem Unternehmen zu helfen. Rechtlich gesehen ist der Unterschied gering. Ohne die Erlaubnis des Rechteinhabers stellt das vorsätzliche Eindringen in ein Computersystem einen Computer-Hausfriedensbruch dar, der gemäß Artikel 138ab des niederländischen Strafgesetzbuches strafbar ist. Auch die Unbrauchbarmachung von Daten (Artikel 350a des Strafgesetzbuches) oder die Störung eines Dienstes (Artikel 138b des Strafgesetzbuches) können strafbar sein.
Die Verzichtserklärung für den Penetrationstest löst dieses Problem. Da der Rechteinhaber im Voraus seine schriftliche Zustimmung erteilt, ist das Element der Rechtswidrigkeit ausgeschlossen. Der Hacker handelt somit nicht gegen den Willen des Rechteinhabers, sondern gemäß dessen Anweisungen. Folglich ist der Test rechtmäßig, sofern der Penetrationstester die vereinbarten Grenzen einhält.
Einwilligung beseitigt strafrechtliche Verantwortlichkeit
Kern der Verzichtserklärung ist die Zustimmung der Person, die die Kontrolle über das System hat. Wichtig in diesem Zusammenhang:
- Nur der Rechteinhaber kann die Genehmigung erteilen. Wenn Sie Systeme testen, die bei einem Hosting-Anbieter oder in einer Cloud laufen, reicht die Genehmigung Ihrer eigenen Organisation nicht aus. Der Eigentümer der zugrunde liegenden Infrastruktur muss ebenfalls zustimmen; andernfalls testen Sie Systeme Dritter ohne deren Erlaubnis.
- Die Einwilligung muss nachweisbar sein. Eine mündliche Anweisung ist rechtlich nicht ausreichend. Eine unterzeichnete Verzichtserklärung mit Datum, Geltungsbereich und Unterschrift eines Bevollmächtigten belegt, dass der Zugang gestattet wurde.
- Die Genehmigung ist beschränkt. Sie gilt nur für die im Verzichtserklärung genannten Systeme, Methoden und den darin genannten Zeitraum. Überschreitet der Penetrationstester diese Vorgaben, fällt dieser Teil nicht unter die Genehmigung und kann weiterhin strafrechtlich verfolgt werden.
Was eine Pentest-Verzichtserklärung regelt
Im Kern enthält eine gute Pentest-Verzichtserklärung Folgendes:
- Geltungsbereich und Autorisierung: Welche Systeme, IP-Bereiche, Anwendungen und Methoden getestet werden dürfen und was ausdrücklich außerhalb des Geltungsbereichs liegt.
- Zeitfenster: der Zeitpunkt, an dem der Test stattfindet, damit die Organisation ihn von einem echten Angriff unterscheiden kann.
- Haftungsfreistellung: Der Rechteinhaber stellt den Pentester von jeglicher Haftung für den Zugriff und die Handlungen im Rahmen des Penetrationstests frei.
- Haftung und Schaden: Was passiert, wenn während des Tests unbeabsichtigte Schäden oder ein Ausfall auftreten?
- Vertraulichkeit: Der Penetrationstester behandelt entdeckte Schwachstellen und Daten vertraulich.
- Verantwortungsvolle Offenlegung: wie und wem die Ergebnisse mitgeteilt werden und dass sie nicht veröffentlicht werden.
- Personenbezogene Daten: Wenn der Test personenbezogene Daten beinhaltet, gelten die Anforderungen der DSGVO und in der Regel ist eine Datenverarbeitungsvereinbarung erforderlich.
Ein kurzes Beispiel: Ein Online-Shop lässt sein Bestellsystem testen. Die Verzichtserklärung legt fest, welche Domains und IP-Bereiche im Testumfang enthalten sind, dass der Zahlungsanbieter ausdrücklich ausgeschlossen ist, dass der Test nachts stattfindet und dass der Penetrationstester keine gefundenen Kundendaten speichern darf. Als der Test versehentlich eine Fehlfunktion verursachte, war bereits im Vorfeld geklärt, wer welches Risiko trägt.
Grenzen des Verzichts
Eine Verzichtserklärung deckt nicht alles ab. Die Zustimmung Ihrer eigenen Organisation gilt nicht für Systeme Dritter; für gemeinsam genutzte Infrastruktur ist daher eine separate Zustimmung erforderlich. Eine Haftungsfreistellung gilt nur zwischen den Unterzeichnern; sie bindet keine Dritten, denen ein Schaden entsteht. Die DSGVO bleibt weiterhin in Kraft: Wenn Sie während des Tests personenbezogene Daten verarbeiten, muss dies rechtmäßig und sicher, mit einer Rechtsgrundlage und unter Einhaltung der in Artikel 32 DSGVO festgelegten Maßnahmen erfolgen. Vorsätzliche oder grob fahrlässige Schäden fallen in der Regel ebenfalls nicht unter den Schutzbereich einer Haftungsfreistellung. Die Verzichtserklärung legalisiert den Test im vereinbarten Rahmen, bietet aber keine uneingeschränkte Haftungsfreistellung.
Ehrliche Empfehlung
Für einen einfachen, internen Test Ihrer eigenen, vollständig von Ihnen verwalteten Systeme, der weder personenbezogene Daten noch Systeme Dritter beeinträchtigt, genügt ein kurzes, unterschriebenes Einwilligungsformular. Achten Sie darauf, dass Umfang, Zeitraum und Unterschriftsberechtigung klar definiert sind. So erfüllen Sie die rechtlichen Mindestanforderungen.
Sobald Drittsysteme, Kundendaten, Produktionsumgebungen oder ein externer Penetrationstester involviert sind, ist eine gute Haftungsfreistellungserklärung für Penetrationstests unerlässlich. Die Definition des Testumfangs, die Haftung für Schäden und die Einhaltung der DSGVO bestimmen, wer das Risiko trägt, falls etwas schiefgeht. Eine fehlende Haftungsfreistellung oder ein zu weit gefasster Umfang kann sowohl für den Penetrationstester als auch für den Kunden Probleme verursachen. Lassen Sie die Haftungsfreistellungserklärung vor Beginn des Tests von einem Anwalt entwerfen oder prüfen, insbesondere im Hinblick auf gemeinsam genutzte Infrastruktur und personenbezogene Daten.
Mehr zum Thema Entwurf und Kosten: Pentest-Verzichtserklärung, Entwurf einer Pentest-Verzichtserklärung und Erstellung einer Pentest-Verzichtserklärung.
Häufig gestellte Fragen
Eine schriftliche Einwilligungs- und Haftungsfreistellungserklärung, mit der eine Organisation einem ethischen Hacker die Erlaubnis erteilt, ihre Systeme innerhalb eines vereinbarten Rahmens zu testen, und mit der der Penetrationstester von der Haftung für Computerangriffe freigestellt wird, solange er sich innerhalb dieses Rahmens bewegt.
Ja. Das vorsätzliche Eindringen in ein Computersystem ohne Erlaubnis stellt Computerhausfriedensbruch dar und ist gemäß Artikel 138ab des niederländischen Strafgesetzbuches strafbar. Auch die Störung eines Dienstes oder die Beschädigung von Daten kann strafbar sein. Durch den Verzicht wird diese strafrechtliche Haftung durch die Feststellung einer vorherigen Einwilligung aufgehoben.
Der Rechteinhaber der Systeme, vertreten durch einen Bevollmächtigten, zusammen mit dem Penetrationstester. Läuft das System bei einem Hosting-Anbieter oder in einer Cloud, ist zusätzlich die Zustimmung dieses Anbieters erforderlich, da nur dieser die Rechte an der zugrunde liegenden Infrastruktur besitzt.
Der Testumfang legt fest, welche Systeme, IP-Adressbereiche, Anwendungen und Methoden getestet werden dürfen und was vom Test ausgeschlossen ist. Die Einwilligung gilt nur innerhalb dieses Umfangs. Überschreitet der Penetrationstester diesen Umfang, fällt dieser Teil nicht unter die Einwilligung und kann weiterhin strafrechtlich verfolgt werden.
Dies wird im Voraus in der Verzichtserklärung geregelt. Üblicherweise trägt der Kunde das Risiko unbeabsichtigter Schäden innerhalb des Geltungsbereichs, während vorsätzliche oder grob fahrlässige Schäden nicht unter die Haftungsfreistellung fallen. Definieren Sie klar, wer welches Risiko trägt.
Ja, sobald der Test personenbezogene Daten umfasst. Die Verarbeitung muss rechtmäßig und sicher gemäß DSGVO erfolgen, mit geeigneten Maßnahmen gemäß Artikel 32 DSGVO. Häufig ist eine Vereinbarung zur Auftragsverarbeitung mit dem Penetrationstester erforderlich, und alle gefundenen Daten müssen vertraulich behandelt werden.
Eine Vereinbarung darüber, wie entdeckte Schwachstellen gemeldet werden: ausschließlich an den Kunden, vertraulich und nicht öffentlich. Dies gibt dem Unternehmen die Möglichkeit, die Schwachstellen zu beheben, bevor ein Angreifer sie ausnutzen kann.
