{"id":307166,"date":"2024-12-18T00:01:23","date_gmt":"2024-12-17T23:01:23","guid":{"rendered":"https:\/\/www.borncity.com\/blog\/?p=307166"},"modified":"2024-12-17T22:29:54","modified_gmt":"2024-12-17T21:29:54","slug":"sachstand-im-modern-solution-verfahren","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2024\/12\/18\/sachstand-im-modern-solution-verfahren\/","title":{"rendered":"Sachstand im \"Modern Solution\"-Verfahren"},"content":{"rendered":"

\"Paragraph\"Kleines Update im Sachstand zum sogenannten \"Modern Solution\"-Verfahren, bei dem der Entdecker einer Schwachstelle zu einer Geldstrafe verurteilt wurde – der sogenannte Hackerparagraph macht es m\u00f6glich. Der Anwalt des Software-Entwicklers, der die Schwachstelle entdeckte, \u00e4u\u00dfert sich zum juristischen Kern des Verfahrens und wirft ein Schlaglicht auf das, was die deutsche Justiz aus einem solchen Fall macht. Und ein kurzer Ausblick in Sachen \"Novelle des Hackerparagraphen\".<\/p>\n

<\/p>\n

Worum geht es beim \"Modern Solution\"-Verfahren?<\/h2>\n

\"\"Einem IT-Spezialisten war bei der Installation einer (H\u00e4ndler-) Software eine Datenbankverbindung zu einem externen Server aufgefallen, wo die Daten aber ungesichert \u00fcbermittelt wurden. Bei einem genauen Blick fiel dem Software-Entwickler auf, dass der Server von Modern Solution GmbH & Co. KG betrieben wurde. Dieser fungiert als E-Commerce-Dienstleister f\u00fcr die Online-Plattformen diverser Anbieter (Check24, Otto, Rakuten oder Kaufland).<\/p>\n

Der schlecht gesicherter Zugang des Dienstleisters Modern Solution f\u00fchrte dazu, dass H\u00e4ndlerdaten (Bestellungen, Adressen und auch Kontodaten) f\u00fcr Dritte \u00fcber das Internet abrufbar bzw. einsehbar waren (siehe Kundendaten von Online-Marktpl\u00e4tzen (Otto, Kaufland, Check24 \u2026) einsehbar<\/a>).<\/p>\n

Da die Schwachstelle nicht zeitnah geschlossen wurde, ging der Entdecker der Sicherheitsl\u00fccke an die \u00d6ffentlichkeit. Das veranlasste Modern Solution eine Anzeige zu stellen, worauf die Staatsanwaltschaft K\u00f6ln ein Strafverfahren einleitete. Es kam zur Hausdurchsuchung samt Beschlagnahme von Arbeitsger\u00e4ten beim betreffenden Software-Entwickler.<\/p>\n

Nach diversen Verhandlungen vor Gerichten wurde der Entdecker der Schwachstelle erstinstanzlich vom Amtsgericht J\u00fclich auf Grund des \"Hackerparagraphen\" zu einer Geldstrafe von 3.000 Euro verurteilt (siehe Amtsgericht J\u00fclich verurteilt Entdecker der Modern Solutions-Schwachstelle zu Geldstrafe (Jan. 2024)<\/a>). Der Richter sah in der Verwendung von phpMyAdmin zum Zugriff auf die Datenbank der Modern Solutionen eine strafbare Handlung nach \u00a7202a ff. StGB. Das Landgericht Aachen best\u00e4tigte in der Berufungsverhandlung des Urteil des Amtsgerichts. Inzwischen geht das Verfahren am Oberlandesgericht K\u00f6ln in eine weitere Berufung.<\/p>\n

Der Anwalt skizziert die Probleme<\/h2>\n

Als normal denkender Mensch geht man davon aus, dass die Richter sich den Fall ansehen, das Ganze an Beweismitteln unter Ber\u00fccksichtigung der Gesamtsicht spiegeln und dann urteilen. In der ersten Verhandlung vor dem Amtsgericht J\u00fclich war dies wom\u00f6glich der Fall – denn der Angeklagte wurde freigesprochen. Die staatsanwaltliche Berufung vor dem Landgericht Aachen f\u00fchrte zur Zur\u00fcckverweisung des Falls am Amtsgericht J\u00fclich und dann zur Verurteilung.<\/p>\n

Der Anwalt des Software-Entwicklers hat den aktuellen Sachstand aus seiner Sicht in einigen Punkten zusammengefasst. Ich bin \u00fcber nachfolgenden Tweet<\/a> auf diese Stellungnahme gesto\u00dfen.<\/p>\n

\"Sachstand<\/a><\/p>\n

Geht man die Erl\u00e4uterungen des Anwalts<\/a> auf LinkedIn durch, fallen einem als juristischem Laien nur die Kinnladen herunter. Als erstes ist die Information, dass die Richter im Strafverfahren Beweisantr\u00e4ge ablehnen k\u00f6nnen, so dass wesentliche Sachfragen juristisch nicht er\u00f6rtert werden konnten.<\/p>\n

Der Entdecker der Sicherheitsl\u00fccke wurde dann verurteilt, weil er \u00fcber phpAdmin mittels Passwort auf die Datenbank von Modern Solutions zugegriffen hatte und dann dies per Screenshot dokumentierte. Dass das Passwort im Klartext durch einen Hexeditor in der Programmdatei gelesen werden konnte, interessierte das Gericht weniger. Hier einige Zitate aus der Zusammenfassung des Anwalts:<\/p>\n