Source: http://docplayer.org/812860-Zur-strafrechtlichen-beurteilung-von-it-sicherheitsluecken.html
Timestamp: 2016-10-27 05:09:01
Document Index: 92830609

Matched Legal Cases: ['Art 6', 'Art 6', 'Art 6', 'Art 6', 'Art 4', 'e contrario', 'Art 6', 'Art 6', 'Art 6', 'e contrario', 'Art 6', 'Art 42', 'Art 2', 'Art 12', 'Art 1', 'Art 1', 'Art 1', 'Art 2', 'Art 2', 'Art 4', 'Art 4', 'Art 4', 'Art 3']

⭐Zur strafrechtlichen Beurteilung von IT-Sicherheitslücken
Zur strafrechtlichen Beurteilung von IT-Sicherheitslücken
Download "Zur strafrechtlichen Beurteilung von IT-Sicherheitslücken"
1 Zur strafrechtlichen Beurteilung von IT-Sicherheitslücken Seminar aus Internetrecht ao. Univ. Prof. Dr. Zankl WS 2005/2006 Lukas Feiler Matrikelnummer:2 Inhaltsverzeichnis 1. Einleitung Begriffsbestimmungen Relevante Delikte nach typisiertem Tathergang Prepare c StGB Probe Penetrate a StGB Persist a StGB c StGB Propagate Paralyze StGB a StGB StGB a StGB b StGB a StGB Post-Attack DSG Sicherheitslücken nach der Art ihrer Auswirkung Ausführung beliebiger Befehle bzw. beliebigen Codes Kompromittierung des gesamten Systems Informationspreisgabe Denial of Service Sicherheitslücken nach der Art ihrer Beschaffenheit Manipulation des Hauptspeichers Klassische Buffer Overflows Stack Overflow Stack Smash Stack Off-by-one Bug Heap Overflow Heap off-by-one und off-by-five Bugs Integer Overflow Format String Bug Double-free bugs Command-Injection SQL-Injection Informationspreisgabe Unmittelbare Überwindung eines Authentifizierungsmechanismus Erstellen neuer Datensätze Datenmodifikation Ausführung beliebiger Befehle Cross Site Scripting (XSS) Konfigurationsfehler Schwache Passwörter & Default-Passwörter Schwache Passwörter /713 Default-Passwörter Weak File Permissions Race Conditions Logische Fehler Die SANS Top 20 Internet Security Vulnerabilities Top Vulnerabilities in Windows Systems Windows Services Zugangsverschaffung durch Speichermanipulationen Denial of Service Internet Explorer Zugangsverschaffung durch Speichermanipulationen Zugangsverschaffung durch Ausnützung einer Race Condition Überwindung von Sicherheitszonen Windows Libraries Zugangsverschaffung durch Speichermanipulationen Umgehung von Zugriffsbeschränkungen Umgehung von dateitypenbasierten Sicherheitsvorkehrungen Überwindung von Sicherheitszonen Script Injection Microsoft Office and Outlook Express Zugangsverschaffung durch Speichermanipulationen Windows Configuration Weaknesses Schwache Verschlüsselung von Passwörtern Default-Server-Konfigurationen Schwache Passwörter und Default-Passwörter Top Vulnerabilities in Cross-Platform Applications Backup Software Zugangsverschaffung durch Speichermanipulationen Backdoor Accounts und statische Passwörter Umgehung der Authentifizierung Überwindung von Autorisationsmechanismen Umgehung von Zugriffsbeschränkungen Zugang ohne Authentifizierung Denial of Service Anti-Virus Software Zugangsverschaffung durch Speichermanipulationen Umgehung von Zugriffsbeschränkungen Eskalation bestehender Privilegien Exkurs: Malware Verletzung einer Sicherheitsvorkehrung durch Social Engineering? PHP-based Applications Race Conditions Überschreiben Globaler Variablen Database Software Zugangsverschaffung durch Speichermanipulationen Eskalation von Privilegien Umgehung von Zugriffsbeschränkungen Umgehung der Authentifizierung Umgehung der Autorisierung Informationspreisgabe Denial of Service SQL-Injection Deaktivierung von Audit-Funktionen File Sharing Applications /714 Zugangsverschaffung durch Speichermanipulationen DNS Software Cache Poisoning Media Players Zugangsverschaffung durch Speichermanipulationen Fehlende Zugriffsbeschränkungen Unzureichende Überprüfung von Eingabedaten Umgehung von Sicherheitsvorkehrungen Sicherheitslücken unbekannter Beschaffenheit Instant Messaging Applications Zugangsverschaffung durch Speichermanipulationen Zugangsverschaffung durch Täuschung des Benutzers Mozilla and Firefox Browsers Zugangsverschaffung durch Speichermanipulationen Command-Injection Ausführen von Chrome JavaScript Webpage Spoofing Other Cross-platform Applications Zugangsverschaffung durch Speichermanipulationen Argument-Injection Umgehung von Zugriffsbeschränkungen Top Vulnerabilities in UNIX Systems UNIX Configuration Weaknesses SSH-Authentifizierung Mac OS X Zugangsverschaffung durch Speichermanipulationen Command-Injection Safari Browser Erstellung von Programmen mit SUID bzw. SGID Zugangsverschaffung durch Täuschung des Benutzers Umgehung sonstiger Zugriffsbeschränkungen Top Vulnerabilities in Networking Products Cisco IOS and non-ios Products Zugangsverschaffung durch Speichermanipulationen Backdoor Accounts und Default-Passwörter Fehlende Zugriffsbeschränkungen Denial of Service Juniper, CheckPoint and Symantec Products Zugangsverschaffung durch Speichermanipulationen Denial of Service public als Default SNMP Community String Cisco Devices Configuration Weaknesses Default SNMP Community Strings Nonexistent Default Passwords IP Source Routing Enabled IP Directed Broadcast Enabled Statistische Auswertung Zusammenfassung Abkürzungsverzeichnis Literaturverzeichnis /715 1. Einleitung Durch den zunehmenden Einsatz von Informationstechnologie in geschäftskritischen Bereichen, hat auch das Thema IT-Sicherheit in den letzten Jahren stetig an Bedeutung gewonnen. Täglich neu auftretende Sicherheitslücken machen nicht nur eine technische sondern auch eine strafrechtliche Auseinandersetzung mit dem Thema erforderlich. Auf Grund der Neuartigkeit des Themas liegt insbesondere zu 118a und 126c StGB noch keine höchstgerichtliche Judikatur vor. Im Rahmen dieser Arbeit soll eine eingehende dogmatische Auseinandersetzung mit den einschlägigen Bestimmungen des österreichischen Computerstrafrechts und deren europäischen bzw. internationalen Grundlagen erfolgen. Hierbei wird insbesondere auf die Cyber-Crime Konvention des Europarates eingegangen. Ebenso Gegenstand der Erörterung ist der, für den österreichischen Gesetzgeber durch den Rahmenbeschluss 2005/222/JI des Rates vom 24. Februar 2005 über Angriffe auf Informationssysteme entstandene Handlungsbedarf. Die relevanten Delikte des österreichischen Computerstrafrechts werden anhand eines typisierten Tathergangs systematisch dargestellt. Diesem folgend werden häufige Arten von Sicherheitslücken sowohl nach ihrer Auswirkung als auch nach ihrer technischen Beschaffenheit untersucht und mit den entsprechenden Delikten in Zusammenhang gesetzt. In einem weiteren Teil erfolgt eine strafrechtliche Beurteilung von Angriffen unter Verwendung konkreter Sicherheitslücken wie sie bei bestimmten Programmen in der Vergangenheit entdeckt wurden. Auf Grund der überaus großen praktischen Bedeutung werden zu diesem Zweck die SANS Top 20 Internet Security Vulnerabilities herangezogen. Da Englisch im Bereich der Informatik und insbesondere im Bereich der IT-Sicherheit als Fachsprache vorherrschend ist, werden regelmäßig englische Termini technici verwendet. 2. Begriffsbestimmungen Vorab gilt es den Begriff Sicherheit im Zusammenhang mit Informationstechnologie zu bestimmen. Anerkannter Weise setzt sich dieser aus den Aspekten der Vertraulichkeit, Integrität und Verfügbarkeit von Daten und Systemen zusammen. So definiert das National Institute of Standards and Technology (NIST) des U.S. Department of Commerce Computer Security als The protection afforded to an automated information system in order to attain the applicable objectives of preserving the integrity, availability and confidentiality of information system resources (includes hardware, software, firmware, information/data, and telecommunications). 1 Die Generally Accepted Information Security Principles (GAISP) 2 enthalten keine explizite Definition des Begriffes der IT-Sicherheit, definieren jedoch ebenso wie der Vorgänger GASSP 3 Vertraulichkeit, Integrität und Verfügbarkeit als primären Prinzipien ( pervasive principles ) der IT-Sicherheit. 4 Diesem Begriffsverständnis folgt auch die Cyber-Crime Konvention des Europarates vom (ETS 185; im Folgenden: CyCC). 6 1 NIST SP , An Introduction to Computer Security: The NIST Handbook, S. 5; NIST SP , Generally Accepted Principles and Practices for Securing Information Technology Systems, S. 3 2 GAISP wird von der Information Systems Security Association (ISSA) entwickelt. Version 3.0 ist unter online verfügbar. 3 GASSP Generally Accepted System Security Principles; Version 2.0 ist unter online verfügbar. 4 ebenso die Common Criteria for Information Technology Security Evaluation (auch Common Criteria od CC); vgl. CC, Part 1: Introduction and general model, S. 9; online verfügbar unter 5 zugänglich unter 5/716 Begriffswesentlich ist jedoch, dass IT-Sicherheit niemals zu 100% gegeben sein kann. Weder die Vertraulichkeit noch die Integrität oder die Verfügbarkeit von Daten und Systemen kann jemals dauerhaft mit einer Wahrscheinlichkeit von 1 gegeben sein. Das Ziel sicherheitstechnischer Bestregungen kann es daher nur sein, das notwendigerweise bestehende Restrisiko zu minimieren. 7 Unter IT-Sicherheitslücken ies werden nur jene technischen Schwachstellen verstanden, die ein Eindringen in ein Computersystem oder die Störung der Funktionsfähigkeit eines solchen ermöglichen. IT-Sicherheitslücken iws sind all jene technischen Gegebenheiten, die die Beeinträchtigung der Vertraulichkeit, Integrität oder Verfügbarkeit von Daten oder Systemen ermöglichen 8. Im Folgenden wird der Begriff der IT-Sicherheitslücken iws gebraucht. Auf Grund von technischen und psychologischen Faktoren ist es zwar nicht unmöglich jedoch äußerst unwahrscheinlich, dass ein Programm größeren Umfangs keine Sicherheitslücken enthält. 9 Empirische Studien 10 zeigen, dass nahezu jedes Programm Sicherheitslücken aufweist. 11 In der Praxis besteht die Notwendigkeit bekannte Sicherheitslücken zu erfassen und zu dokumentieren. Common Vulnerabilities and Exposures (CVE) Nummern der MITRE Corporation 12 haben sich hierbei als Defacto-Standard etabliert. Alle hier in weiterer Folge angegebenen CVE-Nummern sind über abrufbar Relevante Delikte nach typisiertem Tathergang Die durch Ausnützung von Sicherheitslücken entstehenden Sachverhalte sind mannigfaltig. Es soll hier der Versuch unternommen werden, ein Modell derartiger Sachverhalte zu zeichnen und eine Systematisierung der relevanten Delikte vorzunehmen. Im Bereich der IT- Sicherheit gibt es verschiedenste Ansätze diese als Angriffe bezeichneten Vorgänge abstrakt zu erfassen. Hierbei hat sich insbesondere ein Modell namens The 5 Ps 14 als zweckmäßig erwiesen. Dieses gliedert einen Angriff in die Phasen Probe, Penetrate, Persist, Propagate und Paralyze. Da Gegenstand des hier zu entwickelnden Modells jedoch nicht bloß der Angriff im technischen Sinne, sondern der gesamte Tathergang ist, besteht die Notwendigkeit das Modell um die Phasen Prepare und Post-Attack zu erweitern. 6 vgl. die Überschrift zu CyCC Chapter II, Title 1: Offences against the confidentiality, integrity and availability of computer data and systems bzw. den erläuternden Bericht zur CyCC vom Rz vgl. NIST SP : Risk Management Guide for Information Technology Systems, 39ff 8 vgl. die Differenzierungen in der englischen Fachsprache zwischen Vulnerability und Exposure : 9 Graff/Van Wyk, S. 18ff 10 vgl. Miller/Fredriksen/So und Miller/Koski/Lee/Maganty/Murthy/Natarajan/Steidl 11 So meinte der weltweite anerkannte Programmierer eines der sichersten Mail-Server Wietse Venema in einem Interview: Defect-free software does not exist. With great effort I can reduce my own error rate to one bug in 1000 lines of code ; vgl Weitere Datenbanken von Sicherheitslücken sind: National Vulnerability Database - US- CERT Vulnerability Notes - BugTraq - ISS X- Force - OSVDB Cox/Gerg, S. 53 ff 6/717 3.1. Prepare Prepare beschreibt jene Phase, in der der Angriff selbst noch nicht initiiert ist, entsprechende Vorbereitungshandlungen jedoch schon ausgeführt werden. Hierzu gehört insbesondere das Sammeln von sog. Exploits, das sind Programme, die die Ausnützung einer Sicherheitslücke automatisieren c StGB Bei 126c Abs 1 handelt es sich um ein Vorbereitungsdelikt der 118a, 119, 119a, 126a, 126b und 148a. Es wurde durch das StRÄG 2002 (BGBl I 134/2002) zur Umsetzung des Art 6 ( Misuse of devices ) der CyCC eingeführt. Der objektive Tatbestand erfordert das Herstellen, Einführen, Vertreiben, Veräußern, sonst Zugänglichmachen, Sichverschaffen oder Besitzen von Hacker-Tools 15 (Fall 1) oder Authentifizierungsdaten (Fall 2). 16 Abs. 1 Z 1 leg cit (Fall 1) spricht von einem Computerprogramm, das nach seiner besonderen Beschaffenheit ersichtlich zur Begehung der 118a, 119, 119a, 126a, 126b oder 148a geschaffen oder adaptiert worden ist, oder einer vergleichbaren solchen Vorrichtung. Durch das Erfordernis, dass das Computerprogramm oder die vergleichbare Vorrichtung nach seiner besonderen Beschaffenheit ersichtlich zur Begehung genannter Delikte geschaffen oder adaptiert worden ist, soll die Strafbarkeit bezüglich Vorrichtungen, die nur eine Doppelfunktionalität aufweisen, ausgeschlossen werden. Es ist daher erforderlich, dass das Programm bzw. die Vorrichtung nach objektiver Beurteilung primär zum Zweck der Begehung genannter Delikte geschaffen oder adaptiert wurde 17. Daher sind Exploits, obgleich sie auch der Überprüfung der Sicherheit des eigenen Computersystems dienen können, hierunter zu subsumieren. Die weit verbreiteten Sniffer tcpdump und ethereal sind me jedoch als klassische Computerprogramme mit Doppelfunktionalität anzusehen. Sie werden zwar von Angreifern gerne zum Mitlesen fremder Datenströme verwendet, zählen aber auch zu den essentiellen Werkzeugen der Netzwerkanalyse eines jeden Netzwerkadministrators und werden auch von Entwicklern von Netzwerkapplikationen und Protokollen bevorzugt verwendet. Als Indiz kann hierfür dienen, dass alle größeren Linux-Distributoren wie Novell/SUSE oder RedHat/Fedora beide Pakete enthalten. Der Sniffer dsniff ist hingegen nach objektiven Kriterien beurteilt, primär zur Begehung der genannten Delikte geschaffen worden, da er insbesondere in der Lage ist, die schwache Verschlüsselung mancher Protokolle zu knacken. Wiederum als Indiz kann herangezogen werden, dass weder Novell/SUSE noch RedHat/Fedora dieses Paket ausliefern. 126c Abs 1 Fall 2 erfasst durch Z 2 im Gegensatz zu Fall 1, keine Computerprogramme sondern ein Computerpasswort, einen Zugangscode oder vergleichbare Daten, die den Zugriff auf ein Computersystem oder einen Teil davon ermöglichen. 18 Da letztgenannte Daten, mit Computerpasswörtern und Zugangscodes vergleichbar sein müssen, ergibt sich, dass nur Authentifizierungsdaten 19 unter Z 2 zu subsumieren sind. Bei Computerprogrammen isd Z 1 handelt es sich zwar auch um Daten, die einen Zugriff ermöglichen, diese sind jedoch keine Authentifizierungsdaten (nicht mit Passwörtern und Zugangscodes vergleichbar). 15 vgl. den erläuternden Bericht zur CyCC vom Rz Reindl in WK, 126c Rz 6 ff 17 vgl. den erläuternden Bericht zur CyCC vom Rz 73: objectively designed, or adapted, primarily for the purpose of committing an offence 18 vgl. Art 6 Abs 1 lit a, ii: a computer password, access code, or similar data by which the whole or any part of a computer system is capable of being accessed 19 Als Authentifizierung bezeichnet man den Prozess der Identitätsfeststellung eines Benutzers; vgl. Garfinkel/Spafford/Schwartz, S. 70 7/718 Aus dem Kriterium der Vergleichbarkeit lässt sich jedoch auch für Computerpasswörter und Zugangscodes isd Z 2 ableiten, dass diese ebenso wie die vergleichbaren Daten, einen Zugang zu einem System(teil) ermöglichen müssen. Ein Passwort genügt dieser Anforderung jedoch nur, wenn die Eingabe eines Benutzernamens nicht erforderlich ist. Ist sie was typischer Weise der Fall ist jedoch erforderlich, so handelt es sich erst bei der Kombination von Benutzernamen und Passwort um Daten isd 126c Abs 1 Z 2. Ein Passwort für einen nicht genannten -Account ist daher ebenso wenig wie die ersten 6 Zeichen eines 8- stelligen Passwortes unter Z 2 zu subsumieren, da in beiden Fällen noch kein Zugang ermöglicht wird. Fraglich ist jedoch ob es sich um Daten handeln muss, die den Zugriff auf ein konkretes System ermöglichen oder ob eine abstrakte Eignung für einen Zugriff auf irgendein System ausreichend sein soll. 20 Da der Wortlaut der Z 2 nicht die Ermöglichung des Zugriffs auf ein bestimmtes bzw. bestimmbares oder konkretes System, sondern lediglich auf ein Computersystem erfordert, erfasst er auch Authentifizierungsdaten, die den Zugriff auf irgend ein System ermöglichen. Die Daten Benutzername: admin, Passwort: 1234 sind daher dem Wortlaut nach unter Z 2 zu subsumieren, obgleich sie keine Bezeichnung 21 eines konkreten Computersystems enthalten. Dies ist vergleichbar mit einem Schlüssel, der ungeachtet der Tatsache, dass nicht bekannt ist welches Schloss er sperrt, noch immer unter den Begriff des Schlüssels zu subsumieren ist. Weder die Gesetzesmaterialien, Art 6 CyCC noch der erläuternden Bericht zur CyCC enthalten diesbezüglich weitere Ausführungen. Dem, aus Rz 71 des erläuternden Berichts zur CyCC gewonnenen Argument, dass Art 6 CyCC nur bestimmten potentiell gefährlichen Handlungen ( specific potentially dangerous acts ) entgegenwirken soll, kann entgegnet werden, dass Authentifizierungsdaten ohne Angabe eines konkreten Systems in bestimmten Fällen sehr wohl ein erhebliches Gefahrenpotential aufweisen (vgl Default- Passwörter). Dass die Authentifizierungsdaten unbefugten Dritten bereits bekannt sind oder im Internet veröffentlicht wurden, steht einer Subsumtion unter Z 2 nicht entgegen. 126c Abs 1 Fall 2 erfordert auch nicht, dass es sich um Daten handelt, die einen Zugriff auf ein Computersystem ermöglichen, über das der Täter nicht oder nicht alleine verfügen darf. Dies trägt der Tatsache Rechnung, dass auch das eigene Passwort zur Begehung der 118a, 119, 119a, 126a, 126b oder 148a geeignet ist. 22 Die Tathandlungen sind durch Herstellen, Einführen, Vertreiben, Veräußern, sonst Zugänglichmachen, Sichverschaffen oder Besitzen überaus weit gefasst. Die beiden letztgenannten Tathandlungen wurden erst im Zuge der Umsetzung des Rahmenbeschlusses zur Bekämpfung von Betrug und Fälschung im Zusammenhang mit unbaren Zahlungsmitteln vom , ABl 2001 L 149 vom durch das StRÄG 2004 (BGBl I 15/2004) eingefügt. Bemerkenswert ist jedoch, dass Art 4 RB nur die Strafbarkeit des Sichverschaffen oder Besitzen von Computerprogrammen nicht hingegen von Passwörtern verlangt 23. Der österreichische Gesetzgeber hat damit ohne äußeren Anlass, entgegen seiner anlässlich des StRÄG 2002 (EBRV 1166 BlgNR XXI. GP 29) ausgesprochenen Vorbehalte, dass der Besitz nicht die Schwelle erreichen würde, ab der eine 20 Eine Auseinandersetzung mit der Problematik ist in der Literatur bislang nicht erfolgt. 21 Beispielsweise durch eine IP-Adresse, einen Domainnamen oder eine geographische Bezeichnung (zb der zweite Rechner von links ). 22 zb wenn es erst vom Computersystem zu dem das eigene Passwort Zugang gewährt, möglich ist ein drittes Computersystem anzugreifen. 23 Reindl in WK, 126c Rz 12 8/719 Kriminalisierung gerechtfertigt erscheint, auch den Besitz und das Sichverschaffen von Authentifizierungsdaten unter Voraussetzung des erforderlichen Vorsatzes kriminalisiert. Der subjektive Tatbestand des 126c Abs 1 erfordert neben einem Tatbestandsvorsatz in Form des dolus eventualis einen erweiterten Vorsatz. Der erweiterte Vorsatz besteht darin, dass es der Täter ernstlich für möglich halten und sich damit abfinden muss, dass das Tatmittel der Z 1 oder Z 2 zur Begehung der 118a, 119, 119a, 126a, 126b oder 148a verwendet wird. Der erweiterte Vorsatz des Täters des 126c Abs 1 hat daher auch den erweiterten Vorsatz des unmittelbaren Täters genannter Delikte zu umfassen. 24 Nun folgend sollen die Tathandlungen des 126c Abs 1 näher untersucht werden. Hierbei ist das Vertreiben, Veräußern und sonst Zugänglichmachen von den anderen Tathandlungen grundsätzlich zu unterscheiden. Denn die drei genannten Tathandlungen entsprechen den Tathandlungen des Beitragstäters durch sonstigen Beitrag zu einer Begehung der 118a, 119, 119a, 126a, 126b oder 148a. Zu beachten ist, dass der Tatbestand des 126c Abs 1 es nicht erfordert, dass der unmittelbare Täter bereits in das Versuchsstadium getreten ist. Aus materieller Betrachtung pönalisiert 126c Abs 1 daher in bestimmten Fällen den sonst gem 15 Abs 2 e contrario straflosen Versuchs des sonstigen Beitrags. Die anderen Tathandlungen des Herstellen, Einführen, Sichverschaffen und Besitzen sind demgegenüber Handlungen, die typischer Weise der unmittelbare Täter der 118a, 119, 119a, 126a, 126b oder 148a setzt. Problematisch erscheint jedoch das Ausmaß in dem 126c Abs 1 Fall 2 in den Bereich der Vorbereitung hineinreicht. So wäre bereits der Besitz des eigenen Passwortes oder das Anlegen eines neuen Benutzer-Accounts auf dem eigenen System bei entsprechendem Vorsatz strafbar. Die nun folgenden Überlegungen gelten grundsätzlich für alle Tathandlungen des 126c Abs 1, die in Bezug auf Authentifizierungsdaten gesetzt werden. Vorbereitungshandlungen sind grundsätzlich straflos, da sie charakteristischer Weise mehrdeutig sind und daher auch keinen verlässlichen Schluss auf den Vorsatz des Täters zulassen 25. Da ein allgemeiner Zweck des Strafrechts die Einwirkung auf menschliches Verhalten ist, muss grundsätzlich das Verhalten selbst stets Ausgangspunkt der Beurteilung sein. Im vorliegenden Fall handelt es sich um ein Delikt mit einer gesetzlichen Verhaltensbeschreibung, aus der sich die Wertung des Gesetzgebers ergibt, dass die Setzung einer der Tathandlungen in Bezug auf Authentifizierungsdaten mit entsprechendem Vorsatz eine sozial-inadäquat gefährliche Handlung darstellen soll. Wie im Folgenden gezeigt wird, setzen jedoch alle, 126c Abs 1 Fall 2 nahe stehenden Vorbereitungsdelikte eine vom Vorsatz unabhängige, sozial-inadäquate, objektiv bestimmbare Gefahrenlage voraus. So begründet in 126c Abs 1 Fall 1 die objektiv besondere Beschaffenheit des Computerprogramms die spezifische Gefahrenlage. Durch den Ausschluss von Programmen mit Doppelfunktionalität wird der Bereich der Alltagshandlungen nicht vom objektiven Tatbestand erfasst. 224a ist in Bezug auf das Tatbild des 126c Abs 1 Fall 2 sehr ähnlich gelagert. Das in 224a gegenständliche Tatmittel der Urkunde ist ebenso wie das Passwort wesensnotwendig mit einer Doppelfunktionalität ausgestattet. 224a erfasst mit dem Übernehmen, sich oder 24 Reindl in WK, 126c Rz Fuchs 6, S /7110 einem anderen Verschaffen, Befördern, Überlassen oder sonstig Besitzen ebenso eine Fülle von Tathandlungen. Durch das Erfordernis, dass es sich um eine falsche oder verfälschte (besonders geschützte) Urkunde handeln muss, ergibt sich im Unterschied zu 126c Abs 1 Fall 2 jedoch die nicht alltägliche Gefahrenlage 26 bereits aus dem objektiven Tatbestand. Vergleichbar mit 126c Abs 1 Fall 1 stellen die 227, 239 und 241c auf ein Tatmittel ab, dass nach seiner besonderen Beschaffenheit ersichtlich zur Begehung bestimmter Delikte bestimmt ist. Da die spezifische Zweckbestimmung des Tatmittels zur Deliktsbegehung objektiv gegeben sein muss, ohne dass es eines Rückgriffs auf den Vorsatz des Täters bedürfte, ergibt sich auch hier eine nicht alltägliche Gefahrenlage 27 aus dem objektiven Tatbestand selbst. Nun sind die Tathandlungen des 126c Abs 1 Fall 2 in Bezug auf eine spezifische Gefahrenlage zu untersuchen. Die Herstellung von Authentifizierungsdaten erfolgt beispielsweise bei der Anlegung eines neuen Benutzer-Accounts, da hierzu die Angabe eines Benutzernamens und eines Passwortes erforderlich ist. Da sog. Mehrbenutzerbetriebsysteme, zu denen alle modernen Betriebsysteme zu zählen sind, für ihre Verwendbarkeit die Anlegung von Benutzer-Accounts erfordern, handelt es sich bei der Herstellung von Authentifizierungsdaten im Allgemeinen um keine Handlung, die eine spezifische Gefahrenlage erzeugt. Die Tathandlung des Einführens von Authentifizierungsdaten erfolgt regelmäßig durch reisende Geschäftsleute, die auf ihren mobilen Geräten notwendiger Wiese auch Authentifizierungsdaten speichern. Es handelt sich daher auch hier typischer Weise um eine Alltagshandlung, die keine spezifische Gefahrenlage schafft. Ein Sichverschaffen von Authentifizierungsdaten liegt beispielsweise in jenen Fällen vor, in denen einem Benutzer vom Administrator ein neues Passwort zugewiesen wird bzw. für den Benutzer ein neuer Account angelegt wird. Auch hier mangelt es im Allgemeinen an einer spezifischen Gefahrenlage. Den Besitz von Authentifizierungsdaten verwirklicht nahezu jeder Benutzer eines Computersystems, da dessen Betrieb ohne den Besitz von Authentifizierungsdaten meist nicht möglich ist. Es handelt sich hierbei um äußerst alltägliche Handlung, ohne dass diese eine spezifische Gefahrenlage erzeugen würde. Das Vertreiben (distribution isd Art 6 CyCC) von Authentifizierungsdaten besteht in deren aktiver Weitergabe an Dritte. 28 Demgegenüber ist das Zugänglichmachen (making available isd Art 6 CyCC) ein passiver Akt. 29 Beides stellt Handlungen dar, deren Ausführung insbesondere durch einen Systemadministrator keine spezifische Gefahrenlage schafft. Die Veräußerung (sale isd Art 6 CyCC) von Authentifizierungsdaten erfolgt regelmäßig zu dem Zweck Dritten einen Zugriff auf ein Computersystem zu ermöglichen, über das der Veräußerer alleine verfügungsbefugt ist. Aus der Veräußerung selbst ergibt sich daher ebenso keine spezifische Gefahrenlage. Es handelt sich daher bei allen Tathandlungen des 126c Abs 1 Fall 2 um Alltagshandlungen, die unumgänglich sind um die, durch 126c geschützten Rechtsgüter (Computersysteme und Daten) zu gebrauchen. Folgender vergleichbare, fiktive Tatbestand soll dies illustrieren: Wer einen Schlüssel mit dem Vorsatz, dass er zur Begehung des 109 oder 129 verwendet werde, herstellt, einführt, vertreibt, veräußert, sonst zugänglich macht, sich verschafft oder 26 Kienapfel/Schroll in WK, 224a Rz 1; Kienapfel in WK, 226 Rz 3 27 Schroll in WK, 241c Rz 1 28 Eläuternder Bericht vom , Rz 72: the active act of forwarding data to others 29 Eläuternder Bericht vom , Rz 72: the placing online devices for the use of others 10/7111 besitzt. Daraus ist klar ersichtlich in welcher Nähe 126c Abs 1 Fall 2 bei wörtlicher Interpretation tatsächlich zu einem Gedankenverbrechen steht, wie es nur aus totalitären Systemen bekannt ist. 30 Der aus 126c Abs 1 Fall 1, den 227, 239, 241c und 224a bzw. dem allgemeinen Zweck des Strafrechts auf menschliches Verhalten - und nicht auf menschliche Gedanken einzuwirken, gewonnene Zweck des 126c Abs 1 Fall 2, ausschließlichen sozial-inadäquate Verhaltensweisen zu pönalisieren ist gegenüber den Tathandlungen des Vertreiben, Veräußern und sonst Zugänglichmachen zu relativieren. Denn bei diesen handelt es sich wie bereits erwähnt, bei materieller Betrachtung um sonstige Beiträge zur unmittelbaren Täterschaft der 118a, 119, 119a, 126a, 126b oder 148a. Diese wären nach allgemeinen Regeln ( 15 Abs 2 e contrario) straflos solange der unmittelbare Täter nicht in das Versuchsstadium getreten ist. Bezüglich der drei genannten Tathandlungen besteht der Zweck des 126c Abs 1 Fall 2 daher darin, den versuchten sonstigen Beitrag zu pönalisieren. Da nach allgemeinen Regeln die Tathandlung des sonstigen Beitrags an sich nach ha 31 nicht sozial-inadäquat sein muss, ergibt sich auch für die Beitragshandlungen des 126c Abs 1 Fall 2, dass eine Strafbarkeit auch bei sozial-adäquaten Handlungen eintritt. Als Ergebnis dieser teleologischer Erwägungen bezüglich 126c Abs 1 Fall 2 ist daher festzuhalten, dass die Tathandlungen des Vertreiben, Veräußern und sonst Zugänglichmachen ohne Einschränkungen anzuwenden sind, die Tathandlungen des Herstellen, Einführen, Sichverschaffen oder Besitzen jedoch eine sozial-inadäquate Verhaltensweise voraussetzen. Zu einem etwas anderen Ergebnis als die Methode der teleologischen Interpretation gelangt die historische Interpretation. Denn den Gesetztesmaterialien zum StRÄG 2002 (EBRV 1166 BlgNR XXI. GP, 29) und zum StRÄG 2004 (EBRV 309 BlgNR XXII. GP, 8) ist nicht entnehmbar, dass die Strafbarkeit nach 126c Abs 1 Fall 2 bezüglich der Tathandlungen des Herstellen, Einführen, Sichverschaffen oder Besitzen auf sozial-inadäquate Verhaltensweisen beschränkt sein soll. Bezüglich der Tathandlungen des Vertreibens, Veräußern und sonst Zugänglichmachen ist anzumerken, dass diese gem Art 6 Abs 3 CyCC zwingend umzusetzen sind, während bezüglich aller andern Tathandlungen ein Vorbehalt gem Art 42 CyCC erklärt werden kann. Daraus ist der verstärkte Wille des historischen Gesetzgebers abzuleiten, die Tathandlungen des Vertreibens, Veräußerns und sonst Zugänglichmachens jedenfalls ohne Einschränkungen umzusetzen, was auch dem Ergebnis der teleologischen Interpretation entspricht. Da die Grenze jeder Auslegung ies 32 jedoch der äußerst mögliche Wortsinn ist und der abstrakte Wortsinn des 126c Abs 1 Fall 2 zwingend auch alle sozial-inadäquaten Handlungen umfasst, kann dem hier ermittelten Zweck des 126c Abs 1 Fall 2 nur durch eine teleologische Reduktion Rechnung getragen werden. Da grundsätzlich nicht davon auszugehen ist, dass der Gesetzgeber die Normierung von Gedankenverbrechen beabsichtigte, sondern wohl eher die Reichweite des Tatbestandes des 126c Abs 1 Fall 2 auf Grund der technischen Komplexität der Materie unterschätzte, ist bezüglich der Tathandlungen des Herstellen, Einführen, Sichverschaffen und Besitzen eine teleologische Reduktion auf die Strafbarkeit von sozial-inadäquaten Handlungen vorzunehmen. 30 Fuchs 6, S Fuchs Kap Rz 57 ff 32 Fuchs 6 4. Kap Rz 16 ff 11/7112 Hieraus ergibt sich der Wertungswiderspruch, dass die, von 126c Abs 1 Fall 2 erfassten sonstigen Beitragshandlungen zu den 118a, 119, 119a, 126a, 126b oder 148a, sofern diese von einem Vorsatz getragen sind, bereits bei Vorliegen einer sozial-adäquaten Handlung strafbar sind, wohingegen die Vorbereitungshandlungen des unmittelbaren Täters der 118a, 119, 119a, 126a, 126b oder 148a eine sozial-inadäquate Verhaltensweise voraussetzen. Dieser Widerspruch könnte mit dem Argument aufgelöst werden, dass der Beitragstäter durch sonstigen Beitrag die Tat aus der Hand gibt, wohingegen der unmittelbare Täter noch die Möglichkeit hat, auf den weiteren Ablauf des Geschehens Einfluss zu nehmen. 33 Wenn man auch dieses Argument nicht als ausreichend erachtet, um den Wertungswiderspruch aufzulösen, so ist dieser zumindest nicht systemwidrig. Denn auch den Bestimmungstäter trifft eine weitere Strafbarkeit als den unmittelbaren Täter: die versuchte Bestimmungstäterschaft ist bereits strafbar, während der unmittelbare Täter erst mit Eintritt in das Versuchsstadium den Bereich der Strafbarkeit erreicht ( 15 Abs 2). Abschließend ist das Ergebnis der Auslegung iws festzuhalten. Der objektive Tatbestand des 126c Abs 1 Fall 1 erfasst ohne Einschränkungen die Verwirklichung jeder der in Abs 1 leg cit genannten Tathandlungen in Bezug auf Computerprogramme isd 126c Abs 1 Z 1. Im Rahmen des 126c Abs 1 Fall 2 ist das Herstellen, Einführen, Sichverschaffen und Besitzen von Authentifizierungsdaten isd Z 2 leg cit teleologisch derart zu reduzieren, dass die Strafbarkeit eine sozial-inadäquaten Handlung voraussetzt. Das Vertreiben, Veräußern und sonst Zugänglichmachen von Daten isd Z 2 leg cit ist jedoch (wie bei Fall 1) ohne Einschränkungen vom objektiven Tatbestand erfasst. Der subjektive Tatbestand erfasst sowohl in Fall 1 als auch in Fall 2 neben dem Tatbestandsvorsatz in Form des dolus eventualis einen bereits erörterten, erweiterten Vorsatz. Das Herstellen, Einführen, Sichverschaffen und Besitzen des eigenen Passwortes ist daher, mangels sozial-inadäquater Verhaltensweise ungeachtet des Vorsatzes straflos. Ebenso sozialadäquat (und daher straflos) verhält sich jemand, dem von seinem Arbeitskollegen oder Bekannten dessen Passwort mitgeteilt wurde bzw. jemand der auf Grund seiner administrativen Tätigkeit in einer Organisation Kenntnis von Passwörtern anderer Personen hat bzw. haben muss. Gleichfalls als sozial-adäquat zu beurteilen ist es, zufällig am Arbeitsplatz eines Kollegen vorbeizugehen und von dessen, unübersehbar am Monitor angebrachtem Passwort Kenntnis zu erlangen. Sozial-inadäquat und daher strafbar würde sich jedoch jemand verhalten, der sich in die Räumlichkeiten des Unternehmens einschleicht und so Kenntnis vom, am Monitor angebrachten Passwort erlangt. Selbiges gilt, wenn das Passwort durch Sniffing, Brute Force Attacks od. Dictionary Attacks in Erfahrung gebracht wurde. Wie später gezeigt wird, hat die Auslegung des 126c Abs 1 erhebliche Auswirkungen auf den Umfang der Strafbarkeit nach 118a Abs Probe Im Rahmen des Probing, erfolgt das Sammeln von Informationen über das Angriffsziel 34. Zum einen werden öffentliche Informationsquellen wie Websites, DNS und WHOIS- Datenbanken herangezogen, zum anderen wird häufig ein Portscan 35 oder ein Schwachstellen- Scan 36 durchgeführt. Durch Portscans ist feststellbar welche Dienste der, in weiterer Folge angegriffene Server im Netzwerk anbietet. Mittels Schwachstellen-Scans wird versucht 33 zu diesem Argument bezüglich des Bestimmungstäters vgl. Fuchs Kap Rz Cox/Gerg, S. 54 ff 35 Die weiteste Verbreitung weist der Port-Scanner nmap auf; vgl. 36 Der bekannteste Vulnerability Scanner ist zweifellos nessus; vlg. 12/7113 mögliche Angriffspunkte zu identifizieren. Im Rahmen dieser Phase kann es auch zur Ausnützung von Schwachstellen kommen, die eine Informationspreisgabe ermöglichen. Da es hierdurch jedoch in aller Regel nicht zu einer Vollendung eines der in Betracht kommenden Delikte kommt und der Täter auch noch nicht in das Versuchsstadium tritt, besteht in dieser Phase des Angriffs keine Strafbarkeit Penetrate In der Phase Penetrate dringt der Angreifer tatsächlich in das Computersystem ein a StGB Durch das StRÄG 2002 erfolgte in 118a die Umsetzung des Art 2 CyCC ( Illegal access ). Geringfügige Änderungen der Rechtslage werden sich durch die Umsetzung des Rahmenbeschlusses 2005/222/JI des Rates vom 24. Februar 2005 über Angriffe auf Informationssysteme, ABl 2005 L 69 vom ergeben. Die Umsetzung hat gem Art 12 Abs 1 RB bis zum 16. März 2007 zu erfolgen 38. Den objektiven Tatbestand des 118a StGB erfüllt nur, wer sich zu einem Computersystem, über das er nicht oder nicht allein verfügen darf, oder zu einem Teil eines solchen Zugang verschafft, indem er spezifische Sicherheitsvorkehrungen im Computersystem verletzt. Im Rahmen des objektiven Tatbestandes ist neben der Zugangsverschaffung insbesondere die Verletzung spezifischer Sicherheitsvorkehrungen im Computersystem im Kontext von Sicherheitslücken erklärungsbedürftig. Der objektive Tatbestand erfordert die Zugangsverschaffung zu einem Computersystem oder zu einem Teil eines solchen. Der Begriff des Computersystems hat in 74 Abs 1 Z 8 eine Legaldefinition erfahren. Diese orientiert sich an Art 1 lit a CyCC, wonach unter computer system Folgendes zu verstehen ist: any device or a group of inter-connected or related devices, one or more of which, pursuant to a program, performs automatic processing of data. Gemäß 74 Abs 1 Z 8 sind Computersysteme definiert als sowohl einzelne als auch verbundene Vorrichtungen, die der automationsunterstützten Datenverarbeitung dienen. Die Vernetzung mehrerer Computersysteme ist wiederum als ein Computersystem isd 74 Abs 1 Z 8 anzusehen 39. Das größte existierende Computersystem ist daher das Internet. Von 118a erfasst, ist jedoch nicht nur die Zugangsverschaffung zu einem Computersystem sondern auch zu einem Teil eines solchen. Hardware als auch Software ist jedenfalls als Teil des Computersystems anzusehen. Jedoch werden auch andere Daten beliebigen Inhalts (zb Word-Dokumente oder Text-Dateien) durch ihre Speicherung im Computersystem Teil des Computersystems 40. Ähnlich der Definition des Computersystems in Art 1 lit a CyCC bzw. 74 Abs 1 Z 8 definiert der Rahmenbeschluss 2005/222/JI des Rates über Angriffe auf Informationssysteme den Begriff des Informationssystems in Art 1 lit a RB: eine Vorrichtung oder eine Gruppe miteinander verbundener oder zusammenhängender Vorrichtungen, die einzeln oder zu mehreren auf der Grundlage eines Programms die automatische Verarbeitung von Computerdaten durchführen sowie die von ihr oder ihnen zum Zwecke des Betriebs, der Nutzung, des Schutzes und der Pflege gespeicherten, verarbeiteten oder übertragenen Computerdaten. Im Unterschied zur geltenden Definition des Computersystems, umfasst der Begriff des Informationssystems nicht nur im System gespeicherte, sondern auch verarbeitete 37 Cox/Gerg, S. 64 ff 38 vgl. 39 Reindl in WK, 74 Rz Reindl in WK, 118a Rz 7 f 13/7114 und übertragene Daten. ME ist daher eine Novellierung des 74 Abs 1 Z 8 zur Umsetzung des Rahmenbeschlusses erforderlich. Eine Zugangsverschaffung erfordert grundsätzlich, dass der Täter innerhalb des Systems tätig werden kann. 41 Aus dem subjektiven Tatbestand (insbesondere dem Spionagevorsatz) ergibt sich jedoch weiters, dass der verschaffte Zugang zur Kenntnisnahme gespeicherter Daten geeignet sein muss. Besteht lediglich die Möglichkeit im System gespeicherte Daten zu verändern ohne sich von diesen Kenntnis verschaffen zu können, liegt kein Zugang isd 118a vor. Weiters ist es erforderlich, dass der Täter über das Computersystem nicht oder nicht alleine verfügen darf. Es ist hierbei die Verfügungsbefugnis über das kleinste, in Betracht kommende Computersystem zu prüfen 42. Verschafft sich jemand Zugang zu einem Computersystem, das Teil eines größeren Computersystems (zb des Internets) ist, so ist die Verfügungsbefugnis über das kleinere Computersystem maßgeblich. Andernfalls wäre das Tatbestandmerkmal der fehlenden Verfügungsbefugnis nahezu bedeutungslos, da niemand alleine über das Internet als Computersystem isd 74 verfügen darf. Der Inhalt der Verfügungsbefugnis ist die unbegrenzte Nutzung und Veränderung des Computersystems 43. Dem Verfügungsbefugen kommt damit eine Eigentümerähnliche Stellung zu. Dass einem Benutzer administrative Privilegien auf einem Computersystem eingeräumt werden, kann uu ein Indiz für das Bestehen einer Verfügungsbefugnis darstellen. Grundsätzlich kann jedoch nicht aus der Tatsache, dass der Benutzer etwas kann darauf geschlossen werden, dass er es auch darf. So ist bei einer Zugangsverschaffung zu einem, mit dem Internet verbundenen Computersystem nicht die Verfügungsbefugnis über das Internet, das das größte existierende Computersystem isd 74 Abs 1 Z 8 darstellt, sondern die Verfügungsbefugnis über die kleinste Einheit, die noch als Computersystem isd 74 zu beurteilen ist, zu prüfen. Nun ist das Tatbestandsmerkmal der Sicherheitsvorkehrung ( security measure isd CyCC) zu klären. Es handelt sich hierbei um Vorkehrungen durch deren Einsatz, die Wahrscheinlichkeit der Beeinträchtigung der Vertraulichkeit, Integrität oder Verfügbarkeit von Daten oder Systemen gemindert wird. Dass es ausschließlich auf eine Minderung der Wahrscheinlichkeit ankommt, ergibt sich aus dem Verständnis des Begriffes der IT-Sicherheit selbst. Selbiges gilt für die Abstellung auf die Aspekte Vertraulichkeit, Integrität und Verfügbarkeit. Darüber hinaus spricht auch Chapter II, Title 1 CyCC von confidentiality, integrity and availability of computer data and systems. Sicherheitsvorkehrungen umfassen, beschränken sich aber nicht auf Authentifizierungsmechanismen. Zu Sicherheitsvorkehrungen zählen nicht nur solche technische Gegebenheiten, die bestimmten Benutzern einen Zugang zum System od. zum Teil eines Solchen ermöglichen sollen, sondern auch jene, die für jeden (ohne Authentifizierung) eine bestimmte, beschränkte Funktionalität zur Verfügung stellen. Hierbei handelt es sich um die Anwendung des Sicherheitsprinzips Least Privilege 44 als Sicherheitsvorkehrung. Least Privilege bedeutet, dass jeder Prozess bzw. jedes Programm nur mit jenen Rechten ausgestattet sein soll bzw. nur jene Funktionalität implementieren soll, die für die Ausführung der Tätigkeit erforderlich sind. Daher ist jede Implementierung, die nur eine eingeschränkte Funktionalität umsetzt, eine Sicherheitsvorkehrung isd 118a StGB. Praktisch ist daher kaum ein Programm denkbar, das nicht auch als Sicherheitsvorkehrung 41 Reindl in WK, 118a Rz Reindl in WK, 118a Rz 9 ff 43 vgl. Reindl in WK, 118a Rz Garfinkel/Spafford/Schwartz, S /7115 anzusehen ist. Gelingt es einem Angreifer dennoch die nicht implementierte Funktionalität zu erreichen, kann eine Verletzung der Sicherheitsvorkehrung Least Privilege vorliegen (zum Tatbestandsmerkmal der Verletzung s.u.). Die Sicherheitsvorkehrung muss sich im Computersystem befinden. Damit sollen insbesondere physische Sicherheitsvorkehrungen außerhalb des Computersystems wie eine versperrte Türe ausgeschlossen werden (EBRV 1166 BlgNR XXI. GP, 24). 118a erfasst jedoch sehr wohl physische Sicherheitsvorkehrungen, die sich im Computersystem befinden so zb ein Lesegerät für eine, zur Authentifizierung taugliche Smartcard. Probleme bereiten jedoch Fälle in denen sich der Täter Zugang zu einem Computersystem dadurch verschafft, dass er eine Sicherheitsvorkehrung in einem anderen Computersystem verletzt. Derartige Konstellationen können beispielsweise bei Cross Site Scripting 45 auftreten. Sind beide Computersysteme Teil eines größeren Computersystems (idr eines Netzwerkes) so könnte besagtes größeres Computersystem als Tatobjekt betrachtet werden. Dadurch, dass der Täter sich Zugang zu einem Teil des Netzwerkes verschafft indem er eine, in diesem befindliche Sicherheitsvorkehrung verletzt, bestünde unter den sonstigen Voraussetzungen eine Strafbarkeit nach 118a. Die Alternative besteht darin parallel zur Verfügungsbefugnis auf das kleinste Computersystem abzustellen, wodurch in derartigen Fällen keine Strafbarkeit gegeben wäre. Weder der Wortlaut noch die Gesetztesmaterialien stehen erstgenannter Interpretation entgegen. Im Unterschied zur Verfügungsbefugnis erfolgt durch die Abstellung auf das größere Computersystem keine gänzliche Entwertung des Tatbestandsmerkmals. Für erstgenannte Interpretation spricht auch, dass Netzwerke grundsätzlich gem 74 Abs 1 Z 8 auch Schutzobjekt des 118a sind. Daher kann die Zugangsverschaffung zu einem Computersystem durch Ausnützung einer Sicherheitslücke in einem anderen Computersystem dann zu einer Strafbarkeit nach 118a führen, wenn beide Computersysteme in einem Computersystem verbunden sind. Sind die Computersysteme jedoch nicht miteinander verbunden, besteht keine Strafbarkeit nach 118a. Weiters ist das Erfordernis der Spezifität der Sicherheitsvorkehrung erklärungsbedürftig. Nach den Gesetzesmaterialien ist eine Sicherheitsvorkehrung spezifisch, wenn sie im Computersystem angebracht worden ist. Insbesondere als nicht spezifisch werden allgemeine Maßnahmen oder Vorrichtungen im Bereich der physischen Sicherheit angesehen. Nach den Materialien dient die oben erläuterte Wendung Sicherheitsvorkehrung im Computersystem lediglich der Klarstellung. Nach derzeit wohl hm 46 ist unter spezifisch zu verstehen, dass die Sicherheitsvorkehrung individuell gestaltet und geheim sein muss. Dies lässt sich weder den Materialien, der CyCC noch dem Gesetzeswortlaut selbst entnehmen. Diesem me zu engen Verständnis liegt ein zu eng gefasster bzw. falscher Begriff der Sicherheitsvorkehrung zugrunde. Zum einen wird eine Sicherheitsvorkehrung fälschlich nur is eines Authentifizierungsmechanismus verstanden. Dies ist insofern erklärlich, als dass dies die einzigen Sicherheitsvorkehrungen sind, mit denen ein Benutzer bewusst interagiert. Zum Zweck der Authentifizierung wird idr ein Benutzername und ein Passwort verwendet, wobei zweiteres individuell gestaltet und geheim sein sollte. Zum anderen ist anzumerken, dass primär nicht das Passwort, sondern die im Computersystem implementierte Passwortabfrage die Sicherheitsvorkehrung darstellt. Nur das im Computersystem, idr in verschlüsselter Form gespeicherte Passwort kann als untergeordneter Teil der Passwortabfrage verstanden werden. Dem Wort spezifisch kann hier daher neben dem, aus den Materialien hervorgehenden Sinn, dass die Sicherheitsvorkehrung im Computersystem angebracht sein muss, keine weitere Bedeutung beimessen werden. 45 s Cross Site Scripting (XSS) 46 Reindl in WK, 118a Rz 24 15/7116 Abschließend ist das Erfordernis der Verletzung der Sicherheitsvorkehrung zu klären. Art 2 CyCC ermöglicht es den Nationalstaaten die Strafbarkeit durch das Erfordernis der Verletzung ( infringing ) einzuschränken. Selbige Möglichkeit eröffnet Art 2 Abs 2 des Rahmenbeschluss 2005/222/JI des Rates über Angriffe auf Informationssysteme. Vom Wortlaut der Bestimmung ist jedenfalls die Umgehung nicht erfasst. So ist das Verwenden einer Boot-CD zwecks Umgehung der Passwortabfrage des auf der Festplatte installierten Betriebssystems nicht strafbar. Der äußerst mögliche Wortsinn der Verletzung würde insbesondere aus technischer Sicht auch eine sonstige Überwindung einschließen. Den Gesetzesmaterialien (EBRV 1166 BlgNR XXI. GP 24) ist jedoch entnehmbar, dass eine sonstige Überwindung nicht ausreichend sein soll. Aus der Differenzierung der Begriffe Überwindung und Verletzung ergibt sich, dass eine Beeinträchtigung der Vorkehrung in ihrer Substanz erforderlich ist. Ist die Sicherheitsvorkehrung als Software implementiert, ist daher die Beeinträchtigung der Datensubstanz der Vorkehrung erforderlich. Ein besonderes Problem werfen hierbei unautorisierte Zugriffe auf Computersysteme auf, die durch die Verwendung eines, wie auch immer erlangten Passwortes erfolgen. Denn durch eine Authentifizierung mit dem richtigen Passwort wird ein, dem legitimen Anmeldevorgang identischer, technischer Prozess durchlaufen, der zu keiner Beeinträchtigung der Datensubstanz der Sicherheitsvorkehrung führt. Der Begriff der Verletzung ist jedoch auch im Rahmen einer systematischen Interpretation im Zusammenhang mit 126c StGB zu ermitteln. Gem 126c Abs 1 ist ua grundsätzlich strafbar, wer mit dem Vorsatz, dass ein Passwort isd Z 2 zur Begehung des 118a verwendet wird, ein solches herstellt, einführt, vertreibt, veräußert, sonst zugänglich macht, sich verschafft oder besitzt. 126c Abs 1 ist daher bei materieller Betrachtung als Vorbereitungsdelikt des 118a zu beurteilen. Ist aber die Vorbereitung gem 126c Abs 1 strafbar, so ist davon auszugehen, dass auch eine, der Vorbereitung entsprechende Ausführung strafbar sein soll. Diese Überlegung ist im Rahmen einer systematischen Interpretation des Begriffes der Verletzung isd 118a Abs 1 heranzuziehen. Eine Verletzung isd 118a liegt daher auch in all jenen Fällen vor, in denen bereits eine Strafbarkeit im Vorbereitungsstadium nach 126c Abs 1 zu bejahen ist. Hierfür ist jedoch nur das Herstellen, Einführen, sich Verschaffen und Besitzen als Tathandlungen des 126c Abs 1 relevant, da nur diese als Vorbereitungshandlungen des unmittelbaren Täters des 118a zu beurteilen sind. Die Strafbarkeit der vier genannten Tathandlungen des 126c Abs 1 ist durch eine teleologische Reduktion auf sozial-inadäquate Verhaltensweisen beschränkt (vgl. hierzu c StGB). Daher gilt, dass eine Verletzung einer Sicherheitsvorkehrung isd 118a Abs 1 nicht nur bei Beeinträchtigung der Substanz der Sicherheitsvorkehrung vorliegt, sonder auch wenn der Täter des 118a zur Zugangsverschaffung ein Passwort verwendet, das er vorsätzlich (einschließlich des, auf die Verwendung des Passwortes zur Begehung des 118a gerichteten, erweiterten Vorsatzes des 126c Abs 1) sozial-inadäquat hergestellt, eingeführt, sich verschafft oder besessen hat (und somit bereits im Vorfeld nach 126c Abs 1 strafbar war). Dieses Interpretationsergebnis befindet sich noch innerhalb des äußerst möglichen Wortsinns, da wie bereits ausgeführt, der Begriff der Verletzung auch eine Überwindung umfassen kann. Weiters ist es in der Lage, den Gesetzesmaterialien entsprechend, Bagatellfälle von der Strafbarkeit auszunehmen, gleichzeitig jedoch eine dogmatisch stichhaltige Begründung für die Strafbarkeit des Hackings unter Verwendung von Passwörtern zu liefern. Der subjektive Tatbestand des 118a erfordert neben dem Tatbildvorsatz einen erweiterten Vorsatz. Dieser muss in Form der Absichtlichkeit in dreifacher Hinsicht gegeben sein. 16/7117 Erstens muss der Täter in der Absicht handeln, sich oder einem anderen Unbefugten von in dem Computersystem gespeicherten und nicht für ihn bestimmten Daten Kenntnis zu verschaffen. Zweitens ist ein Verwendungsvorsatz erforderlich. Der Täter muss in der Absicht handeln die Daten selbst zu benützen, einem anderen, für den sie nicht bestimmt sind zugänglich zu machen oder zu veröffentlichen. Drittens ist es erforderlich, dass der Täter mit der Absicht handelt, sich oder einem anderen einen Vermögensvorteil zuzuwenden oder einem anderen einen Nachteil zuzufügen. Die Absicht einem anderen einen Nachteil zuzufügen ist von der Spionage- und von der Verwendungsabsicht zu differenzieren. Der Nachteil muss über die Beeinträchtigung der Geheimnissphäre hinausgehen, da diese bereits von der Spionageabsicht erfasst ist. 47 Ebenso darf der Nachteil, auf den sich die Absicht des Täters richtet, nicht in der Benützung, Zugänglichmachung oder Veröffentlichung der Daten erschöpfen. Denn dies ist bereits von der Verwendungsabsicht erfasst. Durch den subjektiven Tatbestand kommt es zu einer sehr weit gehenden Einschränkung der Strafbarkeit nach 118a. Ein Angreifer, der lediglich seine Fähigkeiten erproben möchte ist mangels Spionageabsicht daher nicht nach 118a strafbar. Ebenso bleibt ein Angreifer, der nur die Privatsphäre Dritter verletzen will, jedoch keine Nachteilszufügungs- bzw. Gewinnabsicht hat, nach 118a straflos. Selbiges gilt mangels Spionageabsicht für einen Angreifer, der nach erfolgter Zugangsverschaffung nur eine Datenlöschung anstrebt oder das Computersystem nur für Angriffe auf Dritte verwenden möchte. Letztere Sachverhaltsvariante ist von besonderer praktischer Bedeutung. Viele Angreifer sind dazu übergegangen Computersysteme zu sammeln, um aus diesen ein sog. Botnet 48 zu bilden. Die durchschnittliche Größe eines Botnets beträgt ca Computersysteme. 49 Diese auch treffend als Zombies 50 bezeichneten Computersysteme können vom Besitzer des Botnets gleichzeitig gesteuert werden. Sie dienen dazu Phishing-Sites zu hosten, Spams zu verschicken oder einen sog. Distributed Denial of Service 51 (DDoS) Attack gegen Dritte auszuführen. Obgleich Botnets eine der gefährlichsten Waffen sind, die dem Angriff auf Computersysteme dienen können, besteht für die Bildung eines Botnets mangels Spionageabsicht keine Strafbarkeit nach 118a. Allenfalls kommt ein Versuch eines anderen Delikts (insbesondere 126b) oder eine Strafbarkeit nach 126c Abs 1 in Betracht. Abschließend ist noch darauf hinzuweisen, dass sowohl die Spionage- als auch die Verwendungs- und die Nachteilszufügung- bzw. Gewinnabsicht bereits zum Zeitpunkt der Zugangsverschaffung vorliegen müssen. Verschafft sich der Angreifer also ohne Spionageabsicht Zugang und entdeckt erst dann für ihn interessante Daten, besteht keine Strafbarkeit nach 118a Persist Persist bezeichnet die Phase, in der der Angreifer entsprechende Modifikationen am System vornimmt um sich einen späteren Zugriff auf das System zu sichern. Hierbei kommt es meist zur Installation einer sog. Backdoor Reindl in WK, 118a Rz vgl. Puri 49 vgl. SANS NewsBites, Volume: 7, Issue: 55, bzw. 50 NIST SP , S vgl. Puppe/Maier 52 NIST SP , S /7118 a StGB Da die Installation der Backdoor eine Veränderung von Daten über die der Angreifer nicht oder nicht allein verfügen darf erfordert, ist 126a StGB einschlägig. 126a wurde durch das StRÄG 1987 (BGBl 605/1987) eingeführt, dient jedoch auch der Umsetzung des Art 4 CyCC ( Data interference ). Der Rahmenbeschluss 2005/222/JI des Rates über Angriffe auf Informationssysteme enthält in Art 4 ( Rechtswidriger Eingriff in Daten ) ebenso eine entsprechende Regelung. Zur Umsetzung des Art 4 RB scheint eine Novellierung des 126a jedoch nicht erforderlich. Nach 126a ist strafbar, wer vorsätzlich einen anderen durch Unbrauchbarmachen oder Unterdrücken von Daten über die er nicht allein verfügen darf, am Vermögen schädigt. Abs 1 leg cit nennt zwar auch die Tathandlung des Veränderns, versteht diese jedoch nur als Beispielsfall des Unbrauchbarmachens. Es ist jedoch ausreichend, dass die Daten für den Berechtigten minder brauchbar werden 53. Der Schaden besteht in der Höhe jener Summe, die zur Wiederherstellung der Daten aufgewendet werden muss. Können die Daten ohne nennenswerten Aufwand durch ein Backup wiederhergestellt werden, liegt daher gar kein Schaden vor. 54 Die einfachste Form einer Backdoor besteht darin einen neuen administrativen Account anzulegen. Unter UNIX und UNIX-ähnlichen Betriebssystemen erfordert dies traditionell lediglich das Hinzufügen einer neuen Zeile in der Datei /etc/passwd 55. Eine solche Passwortdatei ist für die Absicherung eines Computersystems und damit für den berechtigten Benutzer nur in einem geringen Maß brauchbar. Problematisch scheint jedoch das Tatbestandsmerkmal der Schädigung. Da eine Wiederherstellung des ursprünglichen Zustandes nur das Löschen einer Zeile erfordert, ist eine solche zu verneinen. Daher bestünde diesfalls keine Strafbarkeit nach 126a. Bei der komplexesten Form einer Backdoor, einem sog. Rootkit 56 werden weit reichende Veränderungen in Systemdateien und dem Betriebsystemkern, dem sog. Kernel selbst vorgenommen um die Existenz der Backdoor zu verschleiern. Hierbei kommt es stets zu einer dauerhaften Veränderung von Daten. Da ein derart verseuchtes und in der Kontrolle eines Angreifers stehende Betriebssystem für nahezu alle Anwendungsbereiche unbrauchbar ist, stellt die Installation eines Rootkits eine Unbrauchbarmachung von Daten isd 126a dar. Der Schaden des Berechtigten besteht darin, das Betriebsystem einschließlich aller Programme neu installieren zu müssen c ist somit nur bedingt geeignet eine Strafbarkeit in dieser Phase des Angriffs zu begründen. Probleme bereiten weiters Fälle in denen die Installation der Backdoor zu Funktionsstörungen des Computersystems führt. Dies tritt in der Praxis häufig auf, da die Angreifer oft geringe Kenntnisse über das betreffende System besitzen. Liegt eine schwere Störung der Funktionsfähigkeit vor, ist der objektive Tatbestand des 126b erfüllt. Bei näherer Betrachtung wird es jedoch meist an dem erforderlichen Tatbildvorsatz in Form des dolus eventualis mangeln. Der Angreifer wird eine schwere Störung der Funktionsfähigkeit idr für möglich halten. Da er jedoch unbemerkt bleiben will, vertraut er meist darauf, dass 53 Bertel in WK, 126a Rz 3 54 Bertel in WK, 126a Rz 5 f 55 Bei der Verwendung von shadow passwords ist auch eine Zeile in /etc/shadow hinzuzufügen. 56 NIST SP , S Dies ist die einzige anerkannte Vorgehensweise nach einem erfolgreichen Hack; vgl. Garfinkel/Spafford/Schwartz, S. 709 f 18/7119 diese nicht eintreten wird. In einem derartigen Fall läge daher nur bewusste Fahrlässigkeit vor, weshalb eine Strafbarkeit nach 126c meist ausscheiden wird c StGB Da außer bei der Verwendung eines netzwerk-basierten Einbruchserkennungssystems in aller Regel weder die Verwendung (und damit der Besitz) bestimmter Tatmittel noch die Verletzung einer Sicherheitsvorkehrung beweisbar sind, wird es oft zu keiner Strafbarkeit nach 118a oder 126c in den bereits erörterten Zusammenhängen kommen. In der Phase Persist hingegen, entstehen idr die einzigen Beweise für einen erfolgreichen Angriff. Daher ist eine allfällige Strafbarkeit nach 126c von großer praktischer Bedeutung. Enthält die installierte Backdoor einen Authentifizierungsmechanismus und besitzt der Angreifer die hierfür erforderlichen Daten (idr ein Passwort), so verwirklicht er das Tatbild des 126c Abs 1 Z 2, da dieser Besitz als sozial-inadäquat zu beurteilen ist. Auch der erforderliche Vorsatz wird, angesichts der Installation der Backdoor idr gegeben sein Propagate In der Phase Propagate wird das, bereits in der Kontrolle des Angreifers befindliche System dazu verwendet weitere Systeme anzugreifen 58. Diese Angriffe erfolgen wiederum in den hier beschriebenen sieben Phasen Prepare, Probe, Penetrate, Persist, Propagate, Paralyze und Post- Attack Paralyze Das Ziel des Angreifers ist von Fall zu Fall unterschiedlich. So kann es sich um das Eindringen in den internen Mail-Server, die Kompromittierung der Kundendatenbank oder einer Lahmlegung des gesamten Netzwerkes der Organisation handeln. Erreicht der Angreifer sein Ziel ist die Phase Paralyze vollendet StGB Bisweilen besteht das Ziel des Angreifers darin, in eine zentrale Komponente der Infrastruktur des Netzwerkes des Opfers einzudringen und von diesem aus den gesamten Datenverkehr abzuhören. Der objektive Tatbestand des 119 erfordert die Benützung einer Abhörvorrichtung, die an einer Telekommunikationsanlage oder an einem Computersystem angebracht oder sonst empfangsbereit gemacht wurde. Dass die Abhörvorrichtung auch in Form von Software gegeben sein kann, ergibt sich aus einer systematischen Interpretation zu 126c Abs 1 Z 1, der als Tatmittel ein Computerprogramm nennt, dass ersichtlich zur Begehung der 119, 119a geeignet ist 60. Daher erfüllt die Benützung eines Sniffers 61 den objektiven Tatbestand des 119. Der subjektive Tatbestand besteht neben dem Tatbildvorsatz in einem erweiterten Vorsatz in Form der Absichtlichkeit, sich oder einem anderen Unbefugten vom Inhalt einer im Wege einer Telekommunikation oder eines Computersystems übermittelten und nicht für ihn bestimmten Nachricht Kenntnis zu verschaffen. 58 Cox/Gerg, S Cox/Gerg, S vgl. Reindl in WK, 119a Rz 4 61 zb tcpdump; 19/7120 Da der Inhalt einer Nachricht Gegenstand der Spionage ist, muss es sich bei den abgehörten Daten um Gedankenerklärungen handeln 62. Bedeutend erscheint jedoch die Tatsache, dass Gedankenerklärungen technisch nicht eindeutig erfassbar sind. So ist bei den Protokollen SMTP 63, POP3 64 und IMAP 65 der Body 66 des übertragenen s nicht notwendiger Weise eine Gedankenerklärung. Denn ein automatisch generiertes , das den Administrator über die Systemauslastung der letzten Tage informiert, wird beispielsweise nicht als Gedankenerklärung zu beurteilen sein. Die Header 67 eines s werden mit Ausnahme des Headers Subject 68, der den Betreff einer Nachricht enthält jedoch jedenfalls eine Gedankenerklärung darstellen. Dem Aufruf einer URL (zb unter Verwendung des Protokolls HTTP wird idr kein Gedankeninhalt beigemessen werden können. Es sind jedoch URLs denkbar, die als Gedankenerklärung zu klassifizieren sind. Dies ist insbesondere beim Abschicken von HTML-Formularen unter der Verwendung der Request-Method GET 69 leicht denkbar (zb: Lukas+Feiler&nachricht= Dies+ist+eine+sehr+gelungene+Website). Aus der Absicht sich Kenntnis von s zu verschaffen kann daher nicht zwingend darauf geschlossen werden, dass sich der Täter Kenntnis vom Inhalt einer Nachricht isd 119 verschaffen wollte. Ebenso wenig kann aus der Absicht URLs zu sniffen auf das Fehlen der Spionageabsicht des isd 119 geschlossen werden. Die technische Beschaffenheit der Daten ist daher nur bedingt zur Feststellung des erweiterten Vorsatzes tauglich. Daraus, dass nur übermittelte Daten vom subjektiven Tatbestand erfasst sind, ergibt sich, dass es sich um, am Übertragungsweg befindliche Daten handeln muss. Bei Datenübertragungen im Wege eines Computersystems kommt es notwendiger Weise häufig zu Zwischenspeicherungen. Da sich zwischengespeicherte Daten aus funktionaler Sicht noch am Übertragungsweg befinden, erstreckt sich der Schutz des 119 bis zum Zeitpunkt der permanenten Speicherung. Verschafft sich der Täter Zugriff zu einem System auf dem die Daten zwischengespeichert werden, kann es daher zu einer echten Konkurrenz mit 118a kommen. 70 Neben dem Mithören des Netzwerkverkehrs, stellen sog. Keylogger eine sehr verbreitete Methode zur Beschaffung vertraulicher Informationen dar. Die Funktionsweise eines Keyloggers besteht darin, für den Benutzer unbemerkt alle Tastaturanschläge zu protokollieren. Die so erstellten Protokolle werden meist in regelmäßigen Zeitabständen an den Täter gesandt. Ein solcher Tathergang unterscheidet sich vom Sniffing dadurch, dass die Daten nicht zwischen zwei Computersystemen sondern nur innerhalb eines einzigen Computersystems übertragen werden. CyCC Art 3 erfasst grundsätzlich auch die Übertragung innerhalb eines Einzelnen Computersystems. Im erläuternden Bericht zur CyCC vom Rz 55 wird den Nationalstaaten jedoch auch die Möglichkeit eröffnet nur die Übertragung zwischen Computersystemen zu erfassen. Ein entsprechender Vorbehalt ist den Gesetzesmaterialien jedoch nicht zu entnehmen. Da der Wortlaut des 119 ( im Wege eines Computersystems übermittelten Daten ) auch innerhalb eines Computersystems übertragene Daten erfasst, ist auch ein Keylogger ein geeignetes Tatmittel des Lewisch in WK, 119 Rz 9a 63 SMTP (Simple Mail Transfer Protocol) ist in RFC 2821 spezifiziert und dient dem Versenden von s. 64 POP3 (Post Office Protocol Version 3) ist in RFC 1939 spezifiziert und dient dem Empfangen von s. 65 IMAP (Internet Message Access Protocol) ist in RFC 3501 spezifiziert und dient sowohl dem Senden als auch dem Empfangen von s. 66 vgl. RFC 2822, S vgl. RFC 2822, S. 6 f 68 vgl. RFC 822, S. 16 f 69 vgl. RFC 2616, S Reindl in WK, 118a Rz 40 20/71 Mehr anzeigen
Studie Durchführungskonzept für Penetrationstests Exploits Viren Hacker Sicherheit
Studie Durchführungskonzept für Penetrationstests Exploits Viren Hacker Sicherheit Inhaltsverzeichnis 1 Einleitung und Zielsetzung der Studie... 4 1.1 Einführung in die Thematik... 4 1.2 Vorgehen und Aufbau Mehr Diplomarbeit. M ö g l i c h k e i t e n u n d G r e n z e n
Diplomarbeit 3(1(75$7,2167(67 M ö g l i c h k e i t e n u n d G r e n z e n 8 Q L Y H U V L W l W + D P E X U J Ã Ã ) D F K E H U H L F K, Q I R U P D W L N 1LOV 0LFKDHOVHQ %HWUHXWGXUFK 3URI'U.ODXV%UXQQVWHLQ Mehr Cyberkriminalität Computerstrafrecht und die digitale Schattenwirtschaft
Schriftenreihe Forschungsforum Öffentliche Sicherheit Cyberkriminalität Computerstrafrecht und die digitale Schattenwirtschaft D Brodowski Felix C Freiling Cyberkriminalität, Computerstrafrecht und die Mehr Leitfaden Cloud Services Lizenzen im Cloudvertrag
EuroCloud.Austria Leitfaden Cloud Services Lizenzen im Cloudvertrag ÖSTERREICH 03 Leitfaden Cloud Services Der DruckLizenzen dieses Leitfadens wurde im freundlicherweise durch Sponsoren Cloudvertrag der Mehr ENTWICKLUNG EINES WEBBASIERTEN INSTITUTSINFORMATIONSSYSTEMS
ENTWICKLUNG EINES WEBBASIERTEN INSTITUTSINFORMATIONSSYSTEMS unter besonderer Berücksichtigung der Websicherheit eingereicht von: Nenad Jovanovic DIPLOMARBEIT zur Erlangung des akademischen Grades Magister Mehr Privacy am Rechnerarbeitsplatz
UNIVERSITÄTSLEHRGANG FÜR INFORMATIONSRECHT UND RECHTSINFORMATION AN DER RECHTSWISSENSCHAFTLICHEN FAKULTÄT DER UNIVERSITÄT WIEN Privacy am Rechnerarbeitsplatz Datenschutzrechtliche Probleme durch die Protokollierung Mehr Internet und IT-Security im Unternehmen. Juristische Informationen für die Unternehmensleitung
Internet und IT-Security im Unternehmen Juristische Informationen für die Unternehmensleitung D Internet und IT-Security im Unternehmen Juristische Informationen für die Unternehmensleitung Ohne den Einsatz Mehr Am Beispiel eines Debian Servers Mathias Maak
Absicherung von Serversystemen Am Beispiel eines Debian Servers Mathias Maak Praxisarbeit 4 Thema: Absicherung von Serversystemen Vorgelegt am: 01.02.2010 Studienbereich: Studienrichtung: Seminargruppe: Mehr G Data TechPaper #0171. Patchmanagement Praxisleitfaden. G Data Entwicklung. TechPaper_#0171_2013_05_16
G Data TechPaper #0171 Patchmanagement Praxisleitfaden G Data Entwicklung TechPaper_#0171_2013_05_16 Inhaltsverzeichnis 1 Einführung... 2 1.1 Definition... 2 1.2 Bedeutung... 2 1.3 Compliance... 3 2 Patchmanagement... Mehr Leitfaden. Mobile Device Management. Stand: Dezember 2012 www.baymevbm.de/mobiledevice
Leitfaden Mobile Device Management Stand: Dezember 2012 www.baymevbm.de/mobiledevice Vorwort X Vorwort Mobile Device Management rechtliche Anforderungen und betriebliche Umsetzung Mobile-Device-Management Mehr PKI-Unterstützung in Windows 2000 und Windows 2003 Server. Secorvo White Paper
PKI-Unterstützung in Windows 2000 und Windows 2003 Server Secorvo White Paper Version 2.01 Stand 08. Mai 2003 Holger Mack Secorvo Security Consulting GmbH Albert-Nestler-Straße 9 D-76131 Karlsruhe Tel. Mehr Sicherheit von Webanwendungen für Unternehmen am Beispiel von Typo3
Sicherheit von Webanwendungen für Unternehmen am Beispiel von Typo3 Bachelorarbeit Fachhochschule Hannover University of Applied Sciences and Arts Fakultät III Medien, Design und Information Studiengang Mehr Zivilrechtliche Haftung im Online-Bereich
Thomas Hoeren / Rufus Pichler Zivilrechtliche Haftung im Online-Bereich 1. Einleitung... 4 1.1 Arten der Haftung... 4 1.2. Relevante Haftungsnormen... 5 1.2.1 Allgemeines Deliktsrecht... 5 1.2.2 Urheberrecht...6 Mehr INSTITUT FÜR INFORMATIK. Härtungs- und Sicherheitskonzepte für Web- und Applikationsserver
INSTITUT FÜR INFORMATIK DER LUDWIG MAXIMILIANS UNIVERSITÄT MÜNCHEN Masterarbeit Härtungs- und Sicherheitskonzepte für Web- und Applikationsserver Christian Simon INSTITUT FÜR INFORMATIK DER LUDWIG MAXIMILIANS Mehr CloudRaid. Ein sicherer Raid-Manager für freie Cloud Storages Bachelor-Thesis von Klaus Wilhelmi Sommersemester 2012
CloudRaid Ein sicherer Raid-Manager für freie Cloud Storages Bachelor-Thesis von Klaus Wilhelmi Sommersemester 2012 CloudRaid Ein sicherer Raid-Manager für freie Cloud Storages Vorgelegte Bachelor-Thesis Mehr Rechtliche Aspekte der IT-Sicherheit im mittelständischen Unternehmen
Berlin Bonn Frankfurt Leipzig München Rechtliche Aspekte der IT-Sicherheit im mittelständischen Unternehmen Vortrag zur IBM-Veranstaltung IT-Sicherheit im mittelständischen Unternehmen 1. Teil Arbeitsrechtliche Mehr WEB-GEFAHREN -SICHERHEIT. ITWissen.info
1 Inhalt Impressum: Herausgeber: Klaus Lipinski Gefahren, Sicherheit Copyrigt 2009 DATACOM-Buchverlag GmbH 84378 Dietersburg Alle Rechte vorbehalten. Keine Haftung für die angegebenen Informationen. Produziert Mehr Architektur eines Identitätsmanagementsystems an einer Hochschule. Diplomarbeit
Architektur eines Identitätsmanagementsystems an einer Hochschule Diplomarbeit von Steffen Hofmann zur Erlangung des Grades eines Diplom-Informatikers angefertigt an der Fakultät für Mathematik und Informatik, Mehr Zehn Jahre Strafbarkeit wettbewerbsbeschränkender Absprachen bei Ausschreibungen gemäß 298 StGB
Zehn Jahre Strafbarkeit wettbewerbsbeschränkender Absprachen bei Ausschreibungen gemäß 298 StGB Von Wiss. Mitarbeiter David Pasewaldt, Wirtschaftsjurist (Univ. Bayreuth), Hamburg* Jährlich wird durch Wirtschaftskriminalität Mehr Untersuchung von Spam-Eigenschaften kostenfreier Email-Dienste Studie. Fraunhofer-Institut für Sichere Informationstechnologie (SIT)
Untersuchung von Spam-Eigenschaften kostenfreier Email-Dienste Studie Fraunhofer-Institut für Sichere Informationstechnologie (SIT) 25. März 2010 Fraunhofer-Institut für Sichere Informationstechnologie Mehr Jochen Brunnstein. ITIL Security Management realisieren
Jochen Brunnstein ITIL Security Management realisieren Edition Herausgegeben von Peter Hohl Mit der allgegenwärtigen Computertechnik ist auch die Bedeutung der Sicherheit von Informationen und IT-Systemen Mehr MOBILE SECURITY IN IHREM UNTERNEHMEN
1 MOBILE SECURITY IN IHREM UNTERNEHMEN Version 1.2 Stand: 19.12.14 INHALT 1. Mobile Security auch in Ihrem Unternehmen 2 1.1 1.2 1. 1.4 1.5 Das betrifft nur Großunternehmen Wir blockieren die Nutzung von Mehr Terrorismus als Verbrechen gegen die Menschlichkeit Analyse und Konsequenzen der Zuordnung zum Völkerstrafrecht
Terrorismus als Verbrechen gegen die Menschlichkeit Analyse und Konsequenzen der Zuordnung zum Völkerstrafrecht Von cand. jur. Markus Mavany, Mannheim* I. Einleitung Nicht erst seit den Anschlägen vom Mehr Audits & Assessments. IT Security-Risiken erkennen, analysieren und bewerten. www.nttcomsecurity.com
& IT Security-Risiken erkennen, analysieren und bewerten www.nttcomsecurity.com AUDITS Infrastructure > > Externe Überprüfung der Perimeter-Umgebung Audit: External Infrastructure Penetration Test Seite Mehr Computer & Literatur Verlag GmbH
Computer & Literatur Verlag GmbH DIE KUNST DER DIGITALEN VERTEIDIGUNG Thomas Werth Widmung Wenn aus Liebe Leben wird, trägt das Glück einen Namen: Maya Bibliographische Information der Deutschen Nationalbibliothek Mehr Internet Information Server
Schicht Anwendungen B 5.10 B 5.10 Internet Information Server Beschreibung Der Microsoft Internet Information Server (IIS) stellt die Internet Informationsdienste (WWW-Server, FTP-Server, NNTP-Dienst und Mehr Datenschutz und «Bilaterale II» Zu den Auswirkungen der Schengen-Assoziierung auf das schweizerische Datenschutzrecht ausgewählte Aspekte
Datenschutz und «Bilaterale II» Zu den Auswirkungen der Schengen-Assoziierung auf das schweizerische Datenschutzrecht ausgewählte Aspekte Astrid Epiney Dieser Beitrag wurde erstmals wie folgt veröffentlicht: Mehr ARTIKEL-29-DATENSCHUTZGRUPPE
ARTIKEL-29-DATENSCHUTZGRUPPE 0829/14/DE WP216 Stellungnahme 5/2014 zu Anonymisierungstechniken Angenommen am 10. April 2014 Die Datenschutzgruppe wurde durch Artikel 29 der Richtlinie 95/46/EG eingesetzt. Mehr Humanbiobanken für die Forschung
Deutscher Ethikrat Humanbiobanken für die Forschung Stellungnahme Deutscher Ethikrat Humanbiobanken für die Forschung Stellungnahme Herausgegeben vom Deutschen Ethikrat Vorsitzender: Prof. Dr. Edzard Mehr Informationssicherheit. als Qualitätsmerkmal eines IT Service. nach ITIL
Universität Hannover Wirtschaftswissenschaftliche Fakultät Institut für Wirtschaftsinformatik Informationssicherheit als Qualitätsmerkmal eines IT Service nach ITIL Vorlagedatum: 11.06.2007 Verfasser: Mehr 2016 © DocPlayer.org Datenschutzbestimmungen | Nutzungsbedingungen | Feedback