- In Deutschland entdeckte ein Entwickler bei der Untersuchung von Software-Logs im Rahmen seiner Arbeit Zugangsdaten zu einer Anbieter-Datenbank und meldete sie, doch das Gericht wertete dies als Hacking
- Die betreffende Software stellte eine MySQL-Verbindung zum Datenbankserver des Anbieters her; dort befanden sich nicht nur die Daten des Kunden des Entwicklers, sondern die Daten aller Kunden des Anbieters
- Die Zugangsdaten waren im Klartext hartcodiert in der Anwendung hinterlegt und so offen sichtbar, dass nicht einmal eine Dekompilierung nötig war
- Das Gericht sah allein durch die Existenz eines Passworts einen Schutzmechanismus als gegeben an und entschied, dass dessen Umgehung Hacking darstelle
- Ein solches Urteil kann legitime Sicherheitsforschung abschrecken und dazu führen, dass Unternehmen mit mangelhafter Sicherheit Verantwortung vermeiden, während Nutzer stärker gefährdet werden
Von der Entdeckung bis zur Strafanzeige
- Der Fall nährt die Sorge, dass deutsches Recht Sicherheitsforschung zu einer riskanten Tätigkeit machen kann
- Ein Entwickler wurde damit beauftragt, Software zu untersuchen, die übermäßig viele Log-Meldungen erzeugte
- Bei der Untersuchung stellte er fest, dass die Software eine MySQL-Verbindung zum Datenbankserver des Anbieters aufbaute
- In der Datenbank befanden sich nicht nur die Daten seines Auftraggebers, sondern die Daten aller Kunden des Anbieters
- Nachdem der Entwickler dies festgestellt hatte, informierte er umgehend den Anbieter; dieser behob die Schwachstelle, erstattete jedoch Strafanzeige gegen den Entwickler
Wie das Gericht den Schutzmechanismus bewertete
- Die zentrale Frage war, ob in der Anwendung hartcodierte Datenbank-Zugangsdaten als Schutzvorkehrung ausreichen, um den Hacking-Vorwurf zu rechtfertigen
- Die Zugangsdaten waren im Klartext offengelegt, eine Dekompilierung war nicht erforderlich
- Das Gericht entschied, dass wegen des vorhandenen Passworts ein Schutzmechanismus existierte und dessen Umgehung Hacking sei
Verbleibende Risiken für Sicherheitsforschung
- Der Grund, warum manche auf eine Aufhebung des Urteils in der höheren Instanz hoffen, ist, dass Sicherheitsforschung nach deutschem Recht schon durch das bloße Vorhandensein einer Schutzvorkehrung zu kriminellem Hacking werden kann, egal wie mangelhaft diese ist
- Wenn legitime Forschung abgeschreckt wird, können Unternehmen unzureichende Sicherheit beibehalten und zugleich Verantwortung vermeiden; am Ende geraten die Nutzer in Gefahr
Originalquelle
- Zugehöriger deutschsprachiger Artikel: Gericht sieht Nutzung von Klartext-Passwörtern als Hacken an
1 Kommentare
Hacker-News-Kommentare
Der Artikeltitel ist etwas irreführend und wirkt fast wie Clickbait. Wenn ich es richtig verstanden habe, bestand seine Schuld darin, die offengelegten Datenbank-Zugangsdaten zu verwenden, um sich bei einem Datenbankserver eines Dritten anzumelden.
Er wurde also nicht, wie der Titel nahelegt, einfach dafür angeklagt, die Zugangsdaten „offengelegt“ zu haben, sondern eher dafür, dass er sie tatsächlich benutzt und sich darin umgesehen hat.
Das ist ähnlich, als bekäme man einen Gebäudeausweis und nähme an, dass die Türen, die sich damit öffnen lassen, zu Räumen führen, die man betreten darf. Wenn mich das Sicherheitsteam dann in einem Raum findet, in den ich nicht hinein sollte, ist unklar, ob das mein Fehler ist oder der Fehler der Person, die mir eine Karte mit falschen Berechtigungen gegeben hat.
Wenn ich die Tür öffne, hineinsehe, sofort merke „Hier sollte ich nicht sein“ und das dann dem Sicherheitsteam melde, ist auch fraglich, ob ich dafür bestraft werden sollte.
Der entscheidende Punkt ist aber, ob er das vor dem Login überhaupt wissen konnte. Wenn die Zugangsdaten in der App enthalten sind, soll man dann wirklich davon ausgehen, dass die Sicherheit des Unternehmens so schlecht ist, dass dadurch auf sämtliche Kundendaten zugegriffen werden kann? Er durfte die App verwenden, und die App verwendet diese Zugangsdaten, daher ist es kein allzu großer gedanklicher Sprung anzunehmen, dass auch er sie verwenden durfte.
Unabhängig davon wird das Ergebnis dieses Urteils der Computersicherheit eindeutig schaden. Künftig könnten Menschen, die solche Schwachstellen entdecken, aus Angst vor rechtlichen Vergeltungsmaßnahmen davon absehen, sie zu melden.
Aus Entwicklersicht ist es naheliegend, ein Passwort als etwas zu sehen, das den Zugriff durch Nichtnutzer verhindern soll. Die Zugangsdaten waren nicht einmal versteckt oder verschleiert.
Sobald klar wurde, dass Nutzer keinen Zugriff haben sollten, hat er den Anbieter informiert. Habe ich etwas übersehen? Auf der einen Seite steht ein Entwickler, der seine Arbeit gemacht hat, und auf der anderen ein bloßgestelltes Unternehmen, das aus Rache handelt und potenzielle Bug-Melder einschüchtert. Es wirkt ziemlich klar, was hier passiert.
Offenbar deutete auch der Datenbankname darauf hin. Sobald ihm klar wurde, dass dort die Daten aller Kunden lagen, hat er die Verbindung getrennt.
Entscheidend ist, was jemand nach dem Zugriff mit den Daten macht. Wenn er gar nichts damit gemacht hat, sollte das keine Straftat sein; strafbar sollte es erst werden, wenn die Daten tatsächlich böswillig verwendet werden.
Das ist ein ziemlich großes Problem in Deutschland. Wegen des zitierten StGB § 202 ff. ist Sicherheitsforschung im privaten Sektor faktisch unmöglich geworden oder zumindest äußerst unattraktiv.
Dadurch ist eine Lücke von fast 20 Jahren entstanden, in der sich junge Ingenieure kaum für dieses Gebiet interessiert oder darin ausbilden lassen haben. Die größten Konzerne mit dem meisten Geld haben die verfügbaren Fachkräfte abgeschöpft, und die besten Talente sind ins Ausland gegangen. Deshalb werden kleine und mittlere Unternehmen, die den Großteil der deutschen Firmen ausmachen, jeden Tag häufiger gehackt. Niemand führt Audits durch. Alles, was heute mit einem Netzwerk verbunden ist, ist ein Sicherheitsrisiko.
Zu erwarten, dass dies in der Berufung aufgehoben wird, halte ich für sehr naiv. Der Angeklagte könnte jahrelang Zeit vergeuden, vom AG über LG und OLG bis zum BGH. Ich schätze, dass ihn das zudem rund 100.000 Euro kosten wird. Wofür eigentlich? Das Unternehmen war nicht in der Lage, seine Daten angemessen zu schützen, und als man es darauf hinwies, war das „Danke“ eine Vorladung vor Gericht.
Mein Rat lautet: Wenn es kein klares Bug-Bounty-Programm gibt, es nicht dein eigenes Unternehmen ist oder die betreffende Firma dich nicht ausdrücklich schriftlich beauftragt und bezahlt hat, dann mach dieses Problem nicht zu deinem Problem. Unterdrücke den Gutmensch-Impuls, lösche alle Dateien und sprich mit niemandem darüber. Vor allem nicht bei der Arbeit. Wenn die Klage erst einmal läuft, wird die befragte Person sagen: „Ach, Mike aus dem DevOps-Team hat das aus einem Hexdump herausgefunden“, und dann wirst du es bereuen.
Einige alte Größen der Informationssicherheit in Deutschland sind über dieses Problem so wütend, dass sie sich sogar weigern, staatlichen Stellen bei Vorfällen zu helfen. Frei nach dem Motto: durch Leiden lernen.
Dieser Fall zieht sich schon seit Jahren.
Letzten Sommer hat ein Gericht den Fall der Staatsanwaltschaft abgewiesen. In diesem System legt die Staatsanwaltschaft den Fall dem Gericht vor, und das Gericht kann ihn nach kurzer Prüfung noch vor der Terminierung einer Verhandlung verwerfen, wenn er offensichtlich mangelhaft ist, was ziemlich selten vorkommt. Die Staatsanwaltschaft ließ diese Entscheidung von einem höheren Gericht aufheben, weshalb es dann doch zu einem Verfahren vor demselben unteren Gericht kam, allerdings vor einem anderen Richter als dem, der den Fall zunächst abgewiesen hatte.
„Nach dem Beschluss des Amtsgerichts Jülich vom 10. Mai 2023 wurde das Strafverfahren gegen den Sicherheitsforscher eingestellt. Das Gericht war der Auffassung, dass keine Straftat vorliegt, weil die Daten, auf die der Sicherheitsforscher zugegriffen hatte, nicht ausreichend geschützt waren. ‚Nur Daten, die gegen unberechtigten Zugang besonders gesichert sind, fallen in den Schutzbereich des Delikts. Dies setzt voraus, dass Maßnahmen getroffen wurden, die objektiv geeignet sind, den Datenzugang zu verhindern‘, heißt es in der Entscheidung. ‚Das Gericht teilt nicht die Ansicht der Staatsanwaltschaft, dass Passwortschutz als solcher stets ausreicht. Beispielsweise bietet ein Passwort nicht immer wirksamen Datenschutz, wenn es zu einfach ist oder in einer bestimmten Anwendung in standardisierter Weise verwendet wird. In solchen Fällen stellt das Ermöglichen des Datenzugangs keine Straftat dar.‘“
„heise online konnte bei einer eigenen Untersuchung der Software von Modern Solution bestätigen, dass diese tatsächlich ein eingebettetes Standardpasswort enthielt. Das bedeutet, dass jeder, der die auf der Unternehmenswebsite frei herunterladbare Software untersucht hat, auf die Daten der Server von Modern Solution zugreifen konnte.“
Nein, er wurde verurteilt, weil er diese Zugangsdaten verwendet hat, um sich mit der Datenbank zu verbinden. Ich kenne das deutsche Recht nicht, aber zumindest in Großbritannien wäre das eindeutig ein Verstoß gegen den Computer Misuse Act, also ist das Ergebnis kaum überraschend.
Ob es einem gefällt oder nicht: Wer in einer Position ist, solche Untersuchungen durchzuführen, sollte zumindest die Grundlagen des Rechts kennen.
Es klingt so, als habe der Entwickler keine Sicherheitsforschung betrieben, sondern einen Bug untersucht. Dass er eine Datenbankverbindung herstellte, erkannte, worum es sich handelte, die Verbindung sofort trennte und den Vorfall verantwortungsvoll meldete, sollte nicht zu einer Bestrafung führen.
Wie jemand anderes schon sagte: So ermutigt man Menschen dazu, dieses Wissen lieber an diejenigen zu verkaufen, die es tatsächlich „missbrauchen“ werden.
Ich sehe nicht, worin der Unterschied bestehen soll. Vielleicht wäre es ein Verstoß gegen die Nutzungsbedingungen, aber von „Hacking“ ist das noch sehr weit entfernt.
Dass ein Passwort vorhanden ist, bedeutet nicht automatisch, dass man Menschen fernhalten wollte. Sie haben das Passwort schließlich mit ausgeliefert.
Das ist, als würde man dir beim Betreten eines Gebäudes eine Keycard geben und sagen: „Gehen Sie nicht dorthin, wo Sie nicht hingehen sollen“, und dann stellt sich heraus, dass es ein Generalschlüssel ist. Woher soll man überhaupt wissen, dass die Karte auch Türen öffnet, die sie gar nicht öffnen dürfte?
Ich habe auch Google-Service-Zugangsdaten, aber mit denen kann ich nur auf meine eigenen Dinge zugreifen.
Er startete den Connector eines anderen Dienstes, von dem diese Daten offenbar kamen, und beobachtete, wie in der Firewall eine unverschlüsselte Verbindung zu einem entfernten MySQL-Server aufgebaut wurde. Beim genaueren Hinsehen stellte sich heraus, dass die verwendeten Zugangsdaten für alle Tenants in der MySQL-DB identisch waren. Dadurch waren nicht nur die Daten des Kunden offengelegt, sondern die Daten aller Tenants.
Danach erstellte er meines Wissens Hashes der Nutzerdaten und exportierte diese, um sie den Behörden zu melden und es den Nutzern zu ermöglichen zu prüfen, ob sie in einem System enthalten waren, das sie als kompromittiert betrachten sollten. Die betreffende DB legte Daten von etwa 700.000 Endnutzern offen. Außerdem meldete er das Problem dem Unternehmen, das die DB betrieb.
Der Anbieter des Connectors brachte einen neuen Client heraus, der TLS nutzte, und er umging auch diesen, um zu zeigen, dass das Problem weiterhin bestand.
Ihm wurde auch vorgeworfen, die Client-Software dekompiliert zu haben, um an das Passwort zu gelangen, aber wenn ich mich richtig erinnere, behauptete er, er habe die Datei einfach in Notepad geöffnet.
Als er merkte, dass er auf mehr Daten zugreifen konnte als beabsichtigt, trennte er die Verbindung.
Ich habe in einer ähnlichen Situation genau dasselbe getan. Es gab einen Anbieter von Desktop-Software mit Problemen, ich sah Datenbank-Zugangsdaten im Klartext in einer Konfigurationsdatei und stellte eine Verbindung her. In meinem Fall war diese Datenbank Single-Tenant und exklusiv für unser Unternehmen, sodass ich erledigen konnte, was ich erledigen wollte.
Sollte bei der Anwendung des Rechts in solchen Fällen nicht eindeutig die Absicht berücksichtigt werden? Es scheint nicht, als hätte dieser Entwickler die Absicht gehabt, auf ein beschränktes System zuzugreifen.
Solche Gesetze sollten wohl neu geschrieben werden. Absicht ist wichtig, und es sieht nicht so aus, als hätte dieser „Hacker“ Schaden anrichten wollen.
Das Unternehmen wurde bloßgestellt, weil seine Sicherheitslücke offengelegt wurde, und will nun die Person bestrafen, die das publik gemacht hat.
Allein dieser Fall reicht aus, damit ich als Entwickler nicht in Deutschland arbeiten möchte, und im Sicherheitsbereich schon gar nicht.
Sie wollen, dass die „Bauern“ ihren Platz kennen und nicht in die Fenster des Adels schauen. Solange das Licht der öffentlichen Meinung nicht irgendwie von Anwälten darauf gelenkt wird, steht der Staat fast immer auf der Seite derjenigen mit dem meisten Geld. Deshalb muss man so etwas anonym machen.
Ich habe einmal in den Niederlanden ein Food-Startup betrieben.
Wir arbeiteten mit PostNL, einem großen Anbieter für den Postversand und früheren Staatsbetrieb. Jede Woche luden wir unsere Bestellungen in deren System hoch und konnten unsere Historie einsehen.
Doch eines Tages konnten wir plötzlich auf die Historie aller anderen Kunden zugreifen und Nutzerdaten exportieren. Viele davon waren direkte Wettbewerber, und ihre Mailinglisten wären für uns ziemlich wertvoll gewesen.
Mein Partner exportierte die vollständigen Daten von Marley Spoon, einem Wettbewerber mit deutlich mehr Finanzierung, sowie einige weitere Datensätze nach Excel. Als er es mir sagte, sagte ich ihm sofort, er solle alles löschen. Es mag unterhaltsam sein, aber man sollte sich keine rechtliche Haftung einhandeln. Hätten wir es jedoch genutzt, hätten wir vielleicht innerhalb weniger Wochen um 10–30 % wachsen können.
Obwohl sie nach EU-Recht dazu verpflichtet gewesen wären, haben sie es nie gemeldet.
Letztlich gilt: Wenn man den Schlüssel zum Schloss bekommt, ist es vielleicht besser, ihn nicht zu benutzen. Oder vielleicht doch.
Man hätte es in Preisverhandlungen einsetzen können, vielleicht hätte man es sogar sollen. Sie haben unsere Preise in den folgenden Monaten fast verdoppelt und kannten keine Gnade. Ganz zu schweigen davon, dass sie 3–8 % der Bestellungen falsch bearbeiteten und nichts erstatteten.
Stattdessen sind wir aber zu einigen anderen Zustelldiensten gewechselt, und auch die hatten jeweils ihre eigenen Mängel.
Ein Screenshot mit Belegen für den Abfluss personenbezogener Daten würde sicher helfen, und ich glaube kaum, dass PostNL dieses schreckliche System inzwischen repariert hat.
Nach niederländischem Recht hätte dein Kollege eine Straftat begangen, wenn ihm klar war, dass er darauf nicht zugreifen durfte, und er Daten über das für die Prüfung eines Leaks notwendige Maß hinaus heruntergeladen hat.
Wenn ihr diese Information in Verhandlungen „eingesetzt“ hättet, wäre das Erpressung, und das sollte man gegenüber einem so großen Unternehmen, das praktisch keinen echten Wettbewerber hat, auf keinen Fall tun. Sie würden die Polizei einschalten, und du wärst erledigt.
Klingt ähnlich wie ein Fall aus meiner Gegend
https://www.techdirt.com/2022/02/25/turns-out-it-was-actuall...
Bei diesem „Hacking“ ging es darum, per Base64 codierte Sozialversicherungsnummern zu decodieren
Stellt euch vor, wie faule Programmierer allen möglichen Kram in Online-Base64-Decoder einfügen. Was da wohl alles in den Payloads steckt
Wenn man eine Seite wie base64decode.org betreiben würde, wäre das ein großartiger Honeypot
Wenn die Daten tatsächlich verschlüsselt gewesen wären, wäre das okay gewesen, aber Base64-Encoding ist keine Verschlüsselung. Base64 lässt sich sehr leicht decodieren: https://developer.mozilla.org/en-US/docs/Glossary/Base64#the...
Vieles, was als „Hacking“ bezeichnet wird, ist eher so, als hätte irgendein Idiot die Haustür sperrangelweit offen gelassen
Wenn jemand seine Haustür offen stehen lässt und dann bestohlen wird, hat die Öffentlichkeit dafür kein Mitleid, aber wenn Unternehmen Geld sparen, indem sie grundlegende Security-Best-Practices nicht aktualisieren, nicht pflegen und nicht durchsetzen, dann schreien die Leute den Hacker an
Wenn du deine Haustür weit offen lässt und ich reingehe und etwas stehle, dann begehe ich eine Straftat. „Die Tür stand offen“ ist keine Entschuldigung
Ich hätte es verdient, kritisiert zu werden, aber die Person, die mich ausgeraubt hat, sollte ebenfalls angemessen bestraft werden
Selbst dann nicht, wenn er behauptet, er habe „nur prüfen wollen, ob alles sicher ist“
Ist das nicht das Gegenteil eines Good-Samaritan-Gesetzes? So nach dem Motto: Wenn du etwas siehst, sag nichts und tu nichts
Wenn es illegal ist, solche Probleme zu finden, frage ich mich, ob es legal wäre, nach dem Bemerken eines möglichen Problems aufzuhören und stattdessen die Aktie des Unternehmens leerzuverkaufen
Das Problem, auf das man in der Praxis stößt, ist, dass Investoren sich fast gar nicht für Sicherheitsprobleme interessieren. Daher ist es gut möglich, dass der Aktienkurs selbst nach Offenlegung einer Schwachstelle nicht fällt. Außerdem scheint dieses Unternehmen nicht einmal börsennotiert zu sein. Ich spreche kein Deutsch, also nagelt mich nicht darauf fest, aber vermutlich ist es dieses hier: https://www.modernsolution.net/
So etwas wie: „Hallo, ich habe zufällig entdeckt, dass sich an Offset X dieser App ein Passwort befindet. Auf diesem Hexdump-Screenshot kann man das Passwort sehen. Daneben stehen auch Benutzername und Host sowie ein klarer Hinweis auf eine SQL-Verbindung, aber ich kann nicht überprüfen, was dieses Passwort ist. Bitte verbindet euch nicht mit dieser IP unter Verwendung dieses Benutzernamens und Passworts. Danke!“
Außerdem gilt zumindest für US-Unternehmen, dass selbst große Datenlecks oder Sicherheitsverletzungen oft keine negativen Auswirkungen auf die Finanzlage eines Unternehmens haben
§ 202a StGB lautet so
https://www.gesetze-im-internet.de/stgb/__202a.html
Grob gesagt geht es um „Daten, die gegen unberechtigten Zugang besonders gesichert sind, sich oder einem anderen zu verschaffen“
Offenbar fällt auch ein im Client eingebettetes hartcodiertes Passwort darunter
Aber so ist nun einmal die Realität, und vielleicht wird es ja bis 2050 geändert