Dadurch, dass er an das Passwort gekommen ist, hat er die Sicherheitslücke bereits entdeckt und hätte die Firma darauf hinweisen können, ohne sich strafbar zu machen.

Hier stellt sich mir die Frage, ob es allein schon strafbar ist, denn Schlüssel ins Schloss zu stecken. Es könnte ja durchaus sein, dass dieses hart gecodete Passwort überhaupt nicht mehr valide ist. Dann müsste man auch nicht die Pferde scheu machen.

Durch das Einloggen in phpMyAdmin hat er dann die Kundendaten gesehen, was einen echten finanziellen Schaden verursacht, wenn man die DSGVO ernst nimmt. Denn jetzt ist das Unternehmen nicht nur gezwungen, die Sicherheitslücke zu schließen, sondern muss auch alle Kunden darüber informieren, dass ihre Daten von einer nicht berechtigten Person eingesehen wurden.

Ich bin mir nicht sicher, ob man die Kosten, die dem Unternehmen dadurch entstehen, dass es über eine Sicherheitslücke informieren muss, als finanzieller Schaden dem Entdecker anlasten kann. Ein direkter Schaden wäre meiner Ansicht nach eher, wenn z.B. der Entdecker zu den Kunden geht und diese mit Verweis auf die mangelnde Sicherheit abwirbt.