Ein Grey Hat ist jemand, der ohne Auftrag nach Lücken sucht und den Fund trotzdem meldet. Die Absicht ist meist Neugier, manchmal der eigene Ruf, gelegentlich der Wunsch, einen Missstand abzustellen.
- Grey Hat
Jemand, der ohne Auftrag nach Lücken sucht und den Fund trotzdem meldet.
Beispiel: „Der Grey Hat fand die offene Datenbank beim Stöbern und schrieb eine Mail.“Auch: Der typische Fall ist kein Einbruch, sondern ein Blick auf etwas, das offen im Netz stand, etwa ein ungeschützter Datenspeicher oder eine Testumgebung ohne Passwort.
Abgrenzung zum White Hat: Dem fehlt nichts als das Papier, und genau dieses Papier macht den Unterschied vor Gericht.
Warum die Rolle des Grey Hat rechtlich heikel ist
Weil das Strafrecht nicht nach der Absicht fragt. Wer sich Zugang zu besonders gesicherten Daten verschafft, erfüllt den Tatbestand, auch wenn er den Fund anschließend meldet. In der Praxis hängt viel davon ab, wie das betroffene Unternehmen reagiert; Anzeigen gegen Melder hat es wiederholt gegeben, siehe Hacker.
Wie Unternehmen mit einer Meldung umgehen sollten
Erst danken, dann prüfen, dann berichten. Eine Eingangsbestätigung binnen weniger Tage, eine Einschätzung binnen zwei Wochen, eine Frist für die Behebung und eine kurze Rückmeldung, wenn die Lücke geschlossen ist. Wer ohne Prämienprogramm arbeitet, sagt das offen; Geld zu fordern wäre auf der anderen Seite ein eigener Straftatbestand.
Was eine Meldestelle einem Grey Hat anbietet
Einen Weg, der beide Seiten schützt. Eine veröffentlichte Richtlinie legt fest, was erlaubt ist, wohin gemeldet wird und dass bei Einhaltung keine Anzeige folgt. Technisch genügt dafür eine Datei unter /.well-known/security.txt. Aus einem Grey Hat wird damit im Ergebnis ein White Hat, ohne dass ein Vertrag nötig wäre.