Rechtliche & ethische Aspekte – Wo sind die Grenzen, was ist erlaubt?

Sep. 10, 2025

—

von

in Cyber Security, Passive Reconissance, Red Teaming

Einleitung

Passive Reconnaissance klingt harmlos: Man sammelt Informationen, die ohnehin öffentlich zugänglich sind. Doch die Frage stellt sich: Wo hört legitime Informationsbeschaffung auf und wo beginnen ein rechtliche oder ethische Probleme?
In der Cybersecurity ist es entscheidend, diese Grenzen zu kennen – sowohl für Angreifer als auch für Verteidiger und Pentester.

Rechtliche Aspekte

Öffentlich zugängliche Informationen

In den meisten Ländern ist es legal, öffentlich verfügbare Informationen einzusehen – etwa auf Webseiten, Social Media oder in Unternehmensdatenbanken.
Problematisch wird es, wenn technische Schutzmaßnahmen umgangen werden, um an Daten zu gelangen (z. B. Hacking, Umgehen von Paywalls oder Captchas).

Datenschutz & Persönlichkeitsrechte

In Europa regelt die DSGVO (Datenschutz-Grundverordnung), wie personenbezogene Daten verarbeitet werden dürfen.
Auch wenn ein LinkedIn-Profil öffentlich ist, darf es nicht ohne Weiteres für jeden Zweck gespeichert oder verarbeitet werden.

Computerstrafrecht & Strafgesetzgebung

Schon der Versuch, aktiv mit Systemen zu interagieren, kann in vielen Ländern strafbar sein. Passive Methoden bleiben legal, solange keine technischen Barrieren überwunden werden.
In Deutschland etwa: §202a StGB (Ausspähen von Daten) oder §303b StGB (Computersabotage) greifen, wenn Schutzmaßnahmen überwunden werden.

Grauzonen

Scraping von Webseiten oder Social Media ist oft ein Graubereich: Viele Plattformen verbieten es in ihren Nutzungsbedingungen, auch wenn die Daten öffentlich sind.
Leaks und Datenbanken im Darknet sind rechtlich besonders heikel: Schon das Herunterladen oder Weiterverarbeiten solcher Daten kann strafbar sein.

Ethische Aspekte

Red Teams & Pentester

Arbeiten in einem klar definierten Scope: Auftraggeber müssen schriftlich zustimmen, welche Ziele untersucht werden dürfen.
Alles außerhalb des Scopes ist tabu – selbst wenn die Daten öffentlich sind.

Verantwortungsvoller Umgang mit Informationen

Nur weil Daten verfügbar sind, heißt das nicht, dass sie ohne Bedenken genutzt werden dürfen.
Beispiel: Ein Mitarbeiter postet ein internes Dokument öffentlich – Angreifer könnten das missbrauchen, Verteidiger sollten es verantwortungsvoll melden.

Transparenz & Fairness

Pentester und Security-Teams sollten offenlegen, welche Quellen sie genutzt haben.
Ethische OSINT-Nutzung bedeutet auch: keine unnötige Veröffentlichung von sensiblen Informationen, die Schaden anrichten könnten.

Best Practices für legale & ethische Recon

Nur öffentliche Daten nutzen, ohne technische Barrieren zu überwinden.
Scope klären: Bei Penetrationstests immer schriftliche Vereinbarungen einholen.
Datenschutz respektieren: Besonders bei personenbezogenen Daten vorsichtig sein.
Grauzonen vermeiden: Keine Nutzung von Leaks oder Daten, die klar aus illegalen Quellen stammen.
Responsible Disclosure: Wenn sensible Informationen entdeckt werden, verantwortungsvoll an das betroffene Unternehmen melden.