"Ist Portscanning nicht illegal?" ist eine der häufigsten Fragen bei allen, die mit Netzwerksicherheit anfangen — und die ehrliche Antwort lautet: Es hängt vollständig von einer Sache ab, und das ist nicht das verwendete Werkzeug.
Gleiche Werkzeuge, entgegengesetzte Folgen
Ein Portscanner, ein Schwachstellenscanner, ein Paket-Sniffer — genau dieselbe Software läuft bei einer autorisierten jährlichen Sicherheitsüberprüfung eines Großunternehmens und bei der Aufklärung eines Angreifers vor einem Einbruch. Nmap weiß und interessiert sich nicht, ob Sie berechtigt sind zu scannen, was Sie scannen. Genauso wenig LANsentry oder jedes andere Netzwerktool. Die Software ist neutral; was eine Handlung legal oder illegal macht, ist wer sie autorisiert hat.
Das Einzige, das zählt: Autorisierung
Ein Penetrationstest ist genau dann legal, wenn der Eigentümer des zu testenden Systems oder Netzwerks eine klare, dokumentierte Erlaubnis für genau diese Tests erteilt hat, innerhalb eines vereinbarten Umfangs, für ein vereinbartes Zeitfenster. Das wird meist in einem unterschriebenen "Rules of Engagement"- oder "Testfreigabe"-Dokument festgehalten, bevor auch nur ein einziger Scan läuft, und legt fest:
- Genau welche Systeme, IP-Bereiche oder Anwendungen im Umfang liegen (und explizit welche nicht)
- Welche Testtechniken erlaubt sind (z. B. ob Denial-of-Service-Tests erlaubt oder explizit ausgeschlossen sind)
- Das Zeitfenster, für das die Tests autorisiert sind
- Wen man kontaktiert, falls während des Tests etwas schiefgeht
- Was mit während des Tests erlangten Daten geschieht
Ohne das ist genau derselbe Scan gegen dasselbe Ziel kein "Graubereich" — es ist unbefugter Zugriff, unabhängig von Ihren Absichten.
"Ich war nur neugierig" oder "Ich wollte ihnen die Schwachstelle sowieso melden" ist keine rechtliche Verteidigung. Gute Absichten schaffen nachträglich keine Autorisierung. Holen Sie die Erlaubnis schriftlich ein, bevor Sie scannen, nicht danach.
Was das Gesetz tatsächlich sagt
Die konkreten Gesetze variieren je nach Land, aber das zugrundeliegende Prinzip — unbefugter Zugriff auf ein Computersystem ist eine Straftat — gilt in den meisten Rechtsordnungen übereinstimmend:
| Region | Relevantes Gesetz |
|---|---|
| Deutschland | § 202a–c StGB (Ausspähen von Daten, "Hackerparagraph") — stellt unbefugten Zugriff auf geschützte Daten/Systeme unter Strafe. |
| Europäische Union | Richtlinie 2013/40/EU über Angriffe auf Informationssysteme — legt einen Mindeststandard fest, den EU-Mitgliedstaaten national umsetzen. |
| USA | Computer Fraud and Abuse Act (CFAA) — stellt den Zugriff auf einen Computer "ohne Autorisierung oder über die autorisierte Nutzung hinaus" unter Strafe. |
| Vereinigtes Königreich | Computer Misuse Act 1990 — stellt unbefugten Zugriff auf Computermaterial unter Strafe. |
Das sind allgemeine Informationen, keine Rechtsberatung — wenn Sie professionelle Sicherheitstests planen, ziehen Sie einen mit Ihrer Rechtsordnung vertrauten Anwalt hinzu, um Ihre Vertragswerke zu prüfen.
Das eigene Netzwerk testen
Ein Netzwerk zu scannen, auf Ports zu prüfen und auf Schwachstellen zu bewerten, das vollständig Ihnen gehört — Ihr Heimnetzwerk, die Infrastruktur Ihres eigenen Unternehmens, für die Sie befugt sind — ist völlig unbedenklich und ehrlich gesagt eine der besten Arten zu lernen. Genau für diesen Anwendungsfall sind Tools wie LANsentry gebaut: zu verstehen, was in Ihrem eigenen Netzwerk tatsächlich läuft und exponiert ist.
Eine Nuance, die man kennen sollte: In einem geteilten Netzwerk (eine WG, ein Büro, ein Studentenwohnheim) ist "Ihr Netzwerk" oft nicht vollständig Ihres. Das Netzwerk eines Vermieters oder Arbeitgebers zu scannen, selbst die Teile, auf denen Ihre eigenen Geräte laufen, kann trotzdem deren Zustimmung erfordern — im Zweifel vorher fragen.
Ein fremdes Netzwerk testen — richtig gemacht
Wenn Sie ein Netzwerk, System oder eine Anwendung testen oder bewerten möchten, die jemand anderem gehört — einem Kunden, Arbeitgeber, dem kleinen Unternehmen eines Freundes — ist der Ablauf unkompliziert:
- Schriftlich festhalten, bevor irgendetwas passiert, auch bei einem "kurzen Blick".
- Umfang präzise festlegen. "Testet unser Netzwerk" ist gefährlich vage — IP-Bereiche, Domains und explizit ausgeschlossene Systeme (Produktionsdatenbanken, Drittanbieterdienste ohne eigene Befugnis) genau festlegen.
- Technikgrenzen vereinbaren. Manche Organisationen schließen Denial-of-Service-Tests, Social Engineering oder physischen Zugriff vom Umfang aus.
- Autorisierungsdokumentation aufbewahren, während des gesamten Auftrags und danach — es ist Ihr Nachweis der Rechtmäßigkeit, falls jemals Zweifel aufkommen.
Wo man legal üben kann
Sie brauchen kein fremdes Netzwerk, um echte Fähigkeiten aufzubauen. Speziell dafür gebaute legale Übungsumgebungen existieren genau deshalb, damit Einsteiger ohne jede Autorisierungsunsicherheit lernen können:
- Ein eigenes Heim-Labor — virtuelle Maschinen mit absichtlich verwundbarer Software (z. B. Metasploitable) in einem isolierten virtuellen Netzwerk aufsetzen.
- Dedizierte legale Übungsplattformen — Hack The Box, TryHackMe, PortSwiggers Web Security Academy, OverTheWire — alle explizit dafür konzipiert und autorisiert.
- Capture-the-Flag-Wettbewerbe (CTF) — strukturierte, ausdrücklich autorisierte Umgebungen mit klaren Regeln und Umfang.
Warnsignale, dass eine Grenze überschritten wird
Trifft eines davon zu, stoppen Sie und holen Sie sich eine ausdrückliche schriftliche Autorisierung, bevor Sie fortfahren:
- Sie haben keine schriftliche Erlaubnis und "wollen noch fragen" oder "erklären es später auf Nachfrage"
- Sie testen Systeme außerhalb eines tatsächlich erteilten Umfangs
- Sie greifen auf Daten zu, laden sie herunter oder verändern sie über das für einen Nachweis Nötige hinaus
- Sie zielen auf ein Netzwerk, zu dem Sie überhaupt keine Eigentümer- oder Vertragsbeziehung haben — Neugier ist keine Autorisierung
Üben Sie am Netzwerk, für das Sie autorisiert sind — Ihrem eigenen
LANsentry gibt Ihnen ein vollständiges, legales Bild Ihres eigenen Netzwerks: jedes Gerät, jeden offenen Port, jede bekannte Schwachstelle — ohne Zweifel an der Autorisierung.