Ausgangspunkt von Sommers Analyse ist die seit sieben Jahren laufende Kampagne von NCC Group zur Reform des britischen Computer Misuse Act. Das Gesetz ist in Großbritannien die zentrale Regelung gegen unbefugten Zugriff auf Computersysteme, Hacking und allgemeine Cyberkriminalität. Nach Sommers Darstellung ist es jedoch nicht mehr zeitgemäß, weil sich das Berufsbild der Cybersicherheit und die Bedrohungslage seit 1990 grundlegend verändert haben.
Das Grundprinzip des Gesetzes – Zugriff nur mit Zustimmung des Eigentümers – sei zwar nachvollziehbar. In der Praxis werde heute aber viel Sicherheits- und Schwachstellenforschung betrieben, die nicht ausdrücklich autorisiert ist, nach Sommers Worten jedoch in guter Absicht und mit dem Ziel erfolgt, die Cyberresilienz im öffentlichen Interesse zu verbessern. Gerade dadurch entstehe ein Risiko für Forscher, obwohl ihre Arbeit dazu beitragen könne, wachsende Gefahren für Regierungen, Unternehmen und Einzelpersonen zu begrenzen.
Sommer erklärte auf der DEF CON 34 in ihrem Vortrag „Legal gehackt: Wie Staaten entscheiden, wann Sicherheitsforschung erlaubt ist“, dass die Ausgestaltung der Gesetze entscheidend sei. Es komme darauf an, wie eine Regelung strukturiert und formuliert werde – und letztlich auch darauf, wie viel Vertrauen ein Staat in sein Justizsystem habe. Genau darin liege eine wiederkehrende Herausforderung.
Ihre Untersuchung zeigt laut NCC Group, dass Reformen möglich sind, ohne den Schutz der Privatsphäre auszuhöhlen. Ein wichtiger Referenzfall ist für Sommer Portugal. Dort änderten Gesetzgeber im Jahr 2025 das Cybercrime-Gesetz, um einen Schutzraum für Sicherheitsforscher in guter Absicht zu schaffen. In dem Dekret heißt es, diese gesetzgeberische Initiative entspringe dem Bewusstsein sowohl für die drängende Schwere vielfältiger Cyberbedrohungen als auch für das hohe disruptive Potenzial feindlicher Handlungen gegen digitale Werte.
Nachdem Sommer auf die portugiesischen Änderungen gestoßen war, weitete sie ihre Recherche auf weitere Länder aus. Sprachbarrieren erschwerten die Arbeit, daher nutzte sie den Global Cyberlaw Tracker der Handels- und Entwicklungsorganisationen der Vereinten Nationen als Grundlage und ließ ein großes Sprachmodell nach Ländern mit Schutzklauseln oder ähnlichen rechtlichen Absicherungen für Sicherheitsforscher in guter Absicht suchen. Die Ergebnisse dienten ihr als Ausgangsbasis.
Dabei stieß sie auch auf unerwartete Beispiele. Mehrere Länder in Lateinamerika, darunter Argentinien, Chile und Panama, haben laut Sommer bereits Schutzmechanismen eingeführt. Panama hebt sie besonders hervor, weil dort eine Regelung umgesetzt worden sei, die auch Personen schützt, die Hacking-Werkzeuge herstellen.
In Großbritannien könnte nun Bewegung in die Debatte kommen. Während der Rede von König Charles im Mai sagte die britische Regierung zu, ein Gesetz zur nationalen Sicherheit vorzulegen, das auch eine Reform des Computer Misuse Act einschließlich rechtlicher Verteidigungsmöglichkeiten umfassen soll. Diese Ankündigung habe sie ermutigt, ihre Forschung weiter voranzutreiben, sagte Sommer.
Vor ihrer Reise nach Las Vegas informierte sie die britische Regierung über ihren Vortrag und die Ergebnisse. Zugleich entwickelte sie einen konkreten Reformvorschlag auf Basis von fünf Prinzipien, die sie „CICIC“ nennt: conduct, intent, consensus, institution und conditionality. „Conduct“ meint etwa, dass Gesetze die Handlung regulieren sollten, nicht die Person. Schutzklauseln sollten für alle gelten, die mit dem Ziel handeln, die Cybersicherheit zu verbessern.
„Consensus“ beschreibt, was Aktivitäten in guter Absicht konkret ausmacht. Dazu gehört nach Sommers Darstellung, Schwachstellen zügig zu melden und niemanden zu erpressen. „Conditionality“ bezeichnet Bedingungen, die Forscher einhalten müssen, etwa keine verteilten Denial-of-Service-Angriffe einzusetzen und personenbezogene Daten nicht länger als nötig aufzubewahren. Aus Gesprächen mit der Sicherheitsforschungs-Community habe sich gezeigt, dass die Beteiligten bei solchen Grenzen ausgesprochen vorsichtig und verantwortungsvoll argumentierten. Für Sommer ist das ein wichtiges Signal an Strafverfolger, dass eine Reform nicht bedeute, „die Schleusen zu öffnen“.