Kein Hack - cduconnect

Das  Strafverfahren gegen Lilith Wittmann in der Sache “CDU Connect” wurde durch die  Staatsanwaltschaft eingestellt. Sie vertritt die Auffassung, dass die  Daten der CDU überhaupt nicht technisch geschützt waren. Schreibt sie  auf  https://lilithwittmann.medium.com/die-staatsanwaltschaft-sagt-ich-habe-die-cdu-nicht-gehackt-86c1ebf83f63 "Ich die CDU  also nicht im Sinne des Hackerparagrafen “gehackt” habe. Die  Ermittlungsakte gibt tiefe Einblicke — vor allem in die Digitalkompetenz  der CDU."

Die CDU zeigte Lilith Wittmann an, nachdem sie eine Sicherheitslücke in der CDU-Connect ab fand, nach §202 a/b/c StGB, auch bekannt als “Hackerparagraf” an.

Wie aus ihrer Webseite zu ersehen erstellte die CDU wohl mehrere Anzeigen in dem Zusammenhang. Aus der Korrespondenz wird auch ersichtlich, dass es sich offensichtlich nicht um einen Hack handelt, weil die CDU keine Sicherheitsmassnahmen ergriffen hat und die Daten freizugänglich im Netz standen. Die Verwendung eines Kommandozeilenbrowsers wie Curl ist demzufolgen keine Straftat nach §202 a/b/c StGB.

Die Sicherheitslücke, die Lilith Wittmann aufgedeckt hatte, bestand ebenso in den Apps der ÖVP und der CSU. Die Sicherheitsforscherin ist ordnungsgemäss vorgegangen und hatte sie dem BSI gemeldet. Ebenso ist es in den Fällen üblich auch die Betroffenen zu informieren. Das hatte sie auch gemacht bevor sie damit an die Öffentlichkeit gegangen ist.

Zunächst soll die CDU so reagiert haben, dass die Partei sich das Schweigen erkaufen wollte und in einem Gespräch wohl geäussert haben soll, dass die CDU sonst die Sicherheitsforscherin anzeigen wolle. Nachdem Lilith Wittmann darauf wohl nicht einging, hatte die CDU das dann wohl getan.

Einen Strafanzeige kann dann aber nicht zurückgezogen werden. Nachdem der Fall öffentlich wurde und durch die Medien ging, verkündete die CDU die Strafanzeige zurückgezogen zu haben. Die Rechtsanwaltskosten, die aber durch das Verfahren dennoch entstehen, übernahm die CDU nicht.

Den Ermittlungen zufolge war die Programmierschnittstelle überhaupt nicht technisch geschützt.  Die Staatsanwaltschaft hat daraufhin das Verfahren eingestellt.