Ethisches Hacking ermöglichen: Rechtssicherheit schaffen und Zugangshürden abbauen

KI-gestützte Verfahren ermöglichen die kontinuierliche Erkennung von Sicherheitslücken. Klare Regeln könnten dieses Potenzial erschliessen und unabhängigen Forschenden sowie neuen Anbietern den Zugang erleichtern. Im Bericht vom 29.11.2023 zum Postulat 20.4594 hielt der Bundesrat eine Strafrechtsanpassung für unnötig und verwies auf die Einwilligung Systemberechtigter. Das BACS nimmt Lückenmeldungen entgegen, warnt aber vor straf- und zivilrechtlichen Folgen. Offen bleibt die Reichweite seiner Zusicherung, bei regelkonformer Forschung an Bundessystemen keine rechtlichen Schritte einzuleiten.

1. Welche Straf- und Zivilrechtsrisiken bestehen bei verantwortungsvoller Forschung an öffentlich erreichbaren Systemen ohne individuelle Voreinwilligung, bei auf das Nötige beschränkten Nachweisen und unverzüglicher Lückenmeldung? Dabei sind Quellcodeanalysen ohne Fremdsystemzugriff von Tests laufender Systeme sowie öffentliche von individuellen Einwilligungen zu unterscheiden.
2. Für welche Stellen und Handlungen gilt die BACS-Zusicherung bei regelkonformen Meldungen zu Bundessystemen? Bindet sie andere Verwaltungseinheiten, Strafverfolgungsbehörden und betroffene Dritte? Welche Schutzlücken bleiben und wie könnten sie geschlossen werden?
3. Wie sichert der Bund einen transparenten, diskriminierungsfreien und plattformunabhängigen Forschungszugang? Wer entscheidet bei geschlossenen Programmen nach welchen Kriterien über die Zulassung?
4. Wie können unabhängige Labore Prüf- und Forschungsaufträge erhalten, insbesondere bei einer Fortsetzung des BACS-Piloten zur Open-Source-Sicherheit? Welche Auswahlverfahren sind vorgesehen?
5. Wurden Markteintrittshürden durch Rechtsunsicherheit und private Plattformabhängigkeit untersucht? Welche Piloten ermöglichen unabhängigen Teams, KI-Prüfverfahren in Testumgebungen zu evaluieren? Ist der Bundesrat andernfalls bereit, dies zu prüfen und Wettbewerbshemmnisse abzubauen?
6. Wie verändern KI-Verfahren die Beurteilung von 2023? Ist der Bundesrat bereit, den Rechtsrahmen anhand belgischer Erfahrungen erneut zu prüfen, etwa beim Cybersicherheitsgesetz?
7. Ist er bereit, einen gesetzlichen Safe Harbor ohne individuelle Voreinwilligung zu prüfen, sofern keine Schädigungsabsicht besteht, Eingriffe verhältnismässig sind, fremde Daten geschützt, Lücken unverzüglich gemeldet und Veröffentlichungen koordiniert werden? Falls nein, warum?