Anwaltskanzlei Ferner Alsdorf (Rechtsanwalt für Strafrecht & IT-Recht im Raum Aachen, Heinsberg, Düren)

Anwaltskanzlei Ferner Alsdorf (Rechtsanwalt für Strafrecht & IT-Recht im Raum Aachen)

Kategorie: Cybercrime Blog

Cybercrime Blog mit Beiträgen zu Cybercrime, Technologiestrafrecht und Computerstrafrecht von Rechtsanwalt Jens Ferner, der Fachanwalt für IT-Recht und Fachanwalt für Strafrecht ist. Kurze Beiträge, die für den Blog zu kurz sind, erscheinen zudem im Linked-In-Profil von RA JF. 

Gebloggt wird hier speziell in den typischen Cybercrime-Bereichen, vom Ausspähen von Daten, Urheberstrafrecht, Datensabotage über Computerbetrug bis hin zur Wirtschaftsspionage und Wettbewerbsstrafrecht. Im Folgenden finden Sie ausgewählte Beiträge und Urteile zum Thema Cybercrime in unserem Cybercrime Blog.

Anwaltskanzlei Ferner Alsdorf: Kontakt zu Rechtsanwalt Ferner im Raum Aachen

Kontakt
Rückruf Buchen
Rechtsanwalt Ferner in Alsdorf, Aachen; Fachanwalt für Strafrecht und Fachanwalt für IT-Recht in der Städteregion Aachen, leicht verfügbar für Betroffene in Alsdorf, Aachen, Würselen, Baesweiler, Herzogenrath, Eschweiler, Übach-Palenberg, Geilenkirchen und Aldenhoven
  • Wirtschaftsspionage und die Wirtschaft: Aufgaben für das Management

    Wirtschaftsspionage und die Wirtschaft: Aufgaben für das Management

    Die Wirtschaft steckt mitten in einer digitalen Umbruchphase. Wertvolle Informationen liegen heute nicht mehr in verschlossenen Archiven, sondern in vernetzten Systemen, auf mobilen Endgeräten und in der Cloud. Wer hier Daten verliert, verliert nicht nur Know-how, sondern oft auch Marktposition und Verhandlungsmacht. Wirtschaftsspionage – ob man sie klassisch oder als „eSpionage“ bezeichnet – ist damit kein fernes Szenario mehr, sondern ein sehr konkretes Risiko für jedes Unternehmen, das mit sensiblen Informationen arbeitet.​

    Die moderne Wirtschaftsspionage ist dabei längst nicht mehr ausschließlich das Werk konkurrierender Unternehmen. Immer häufiger sind staatliche Akteure involviert, die gezielt Informationen aus Unternehmen abziehen – sei es, um die eigene Wirtschaft zu stärken oder geopolitische Ziele zu verfolgen. In diesem Kontext verschwimmen die Grenzen zwischen Wirtschaftsspionage, Cyberwar und staatlich gesteuerten Hackerangriffen.

    (mehr …)
  • Computerbetrug, § 263a StGB – Strafbarkeit wegen Computerbetrug

    Computerbetrug, § 263a StGB – Strafbarkeit wegen Computerbetrug

    Computerbetrug (§ 263a StGB): Der Computerbetrug nach § 263a StGB ist bis heute eine der im Alltag am meisten missverstandenen Normen des StGB – gerade im Umfeld von Online‑Banking, Phishing‑Angriffen, manipulierten Zahlungsprozessen und KI‑gestützten Social‑Engineering‑Angriffen.

    Dies nicht nur von Laien, auch und gerade bei der Polizei werden nach meiner Erfahrung gerne Ermittlungen wegen Computerbetruges geführt, die bestenfalls ein „normaler“ Betrug sind, denn: Häufig wird vorschnell „Computerbetrug“ angenommen, sobald irgendwie IT‑Hardware oder das Internet beteiligt ist; tatsächlich greift § 263a StGB aber nur, wenn der Datenverarbeitungsvorgang selbst und nicht das Vorstellungsbild einer natürlichen Person im Zentrum der Tat steht.

    Ihnen wird Computerbetrug (§ 263a StGB) vorgeworfen oder Sie haben eine Vorladung wegen Computerbetrugs erhalten? In meiner Kanzlei verteidige ich seit vielen Jahren Mandanten bei Vorwürfen rund um Online‑Banking, Phishing, manipulierte Zahlungsprozesse und andere Formen des Computerbetrugs. Ich bin spezialisiert auf strafrechtliche und prozessuale Fragen der Cyberkriminalität samt digitaler Beweismittel – und biete damit ganz besondere Orientierung in solchen Strafverfahren.

    (mehr …)
  • Frist für die NIS‑2‑Registrierung 2026

    Frist für die NIS‑2‑Registrierung 2026

    Die aktuell auslaufende Frist für die NIS‑2‑Registrierung beim BSI bis zum 6. März 2026, auf die etwa Heise hinweist, ist nicht nur ein IT‑Termin, sondern ein sehr handfestes Compliance‑Thema für die Geschäftsleitung. Rund 29.000 Unternehmen und Organisationen in Deutschland müssen bis dahin registriert sein – andernfalls drohen Aufsichtsmassnahmen und Bußgelder.

    (mehr …)
  • Ransomware: Lösegeld an die Erpresser bezahlen?

    Ransomware: Lösegeld an die Erpresser bezahlen?

    Lösegeld bei Ransomware bezahlen – oder nicht? Wenn ein Unternehmen von Ransomware betroffen ist, dreht sich schnell alles um die Frage, ob man der Lösegeldforderung nachkommt. Die Einstellung der Behörden zu dieser Frage ist sehr einfach: Auf keinen Fall. Das ist vom kriminalistischen und generalpräventiven Standpunkt aus auf jeden Fall berechtigt und nachvollziehbar.

    Jedenfalls so lange ist dieser Ansatz berechtigt, wie man nicht selber betroffen ist: Die Verschlüsselten Daten können den Ruin, also die Insolvenz, für das gesamte Unternehmen bedeuten. Und selbst wenn man die straf- und Zivilrechtliche Verantwortung (aka Haftung) als Geschäftsführung ausser Acht lässt, so besteht dennoch die Verantwortung nicht nur für den Bestand des Unternehmens sondern eben auch für die Existenz der Arbeitnehmer, deren Jobs akut bedroht sind. Also: Zahlen?

    Gerade für die Unternehmensleitung ist die Lösegeldfrage dabei keine abstrakte IT‑ oder Strafverfolgungsfrage, sondern eine hochkonkrete Krisenentscheidung unter Unsicherheit: Es geht um die Fortführung des Geschäftsbetriebs, die Sicherung von Arbeitsplätzen, die eigene Organhaftung und zugleich um die Frage, ob man durch eine Zahlung eine kriminelle Angriffsökonomie stützt, von der auch andere – oder später wieder das eigene Unternehmen – getroffen werden. Die Entscheidung wird unter massivem Zeitdruck getroffen, typischerweise auf der Basis unvollständiger Informationen und in einer Situation, in der die technischen und organisatorischen Versäumnisse der Vergangenheit mit voller Wucht sichtbar werden.

    Eine Studie gibt zwar keine pauschale Antwort, aber der Blick auf andere schärft den Fokus, zumal die Zahlung von Ransomware-Lösezahlungen ebenso wieder Haftungsbegründend sein kann für die Geschäftsführung – selbst wenn der Betrieb dann doch fortbesteht. Der Beitrag wurde zuletzt im Februar 2026 aktualisiert.

    (mehr …)
  • NIS2-Umsetzung in Deutschland 2026

    NIS2-Umsetzung in Deutschland 2026

    Die EU‑Richtlinie (EU) 2022/2555 („NIS2-Richtlinie“) ist seit Ende 2022 in Kraft und soll in allen Mitgliedstaaten ein hohes, einheitliches Niveau der Cybersicherheit etablieren. Deutschland hat lange gezögert – nun ist zum Jahreswechsel 2025/2026 mit dem Gesetz zur Umsetzung der NIS‑2‑Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung (NIS2‑RLUG) der große Wurf erfolgt: Das Gesetz wurde am 5. Dezember 2025 im Bundesgesetzblatt verkündet und ist am 6. Dezember 2025 in Kraft getreten.

    Damit endet eine lang anhaltende Phase von Entwürfen und politischen Manövern, inklusive des gescheiterten NIS2UmsuCG, und beginnt eine Phase verbindlicher Pflichten mit spürbaren Aufsichts‑ und Sanktionsrisiken. Für das Management bedeutet dies: NIS2 ist kein Zukunftsthema mehr, sondern ein geltender Rechtsrahmen, der unmittelbar in Strategie, Governance und Budgetplanung abgebildet werden muss.

    Hinweis: Der Beitrag stammt ursprünglich aus dem Juni 2025 und wurde zuletzt im Februar 2026 aktualisiert.

    (mehr …)
  • Aufnahmen mit Smarten Brillen kein taugliches Beweismittel

    Aufnahmen mit Smarten Brillen kein taugliches Beweismittel

    Das Oberlandesgericht Köln hat mit Urteil vom 14. März 2025 (6 U 82/24) eine Entscheidung getroffen, die nicht nur für den gewerblichen Rechtsschutz, sondern auch für die allgemeine Beweisführung im Zivilprozess von Bedeutung ist: Im Mittelpunkt stand die Frage, ob heimlich mit einer als Brille getarnten Kamera angefertigte Videoaufnahmen als Beweismittel verwertbar sind – ein Thema, das angesichts der zunehmenden Verbreitung tragbarer Aufzeichnungstechnologien an Relevanz gewinnt. Der Fall betraf die unberechtigte öffentliche Wiedergabe eines Champions-League-Spiels in einer Gaststätte und wirft grundsätzliche Fragen zur Abwägung zwischen Persönlichkeitsrechten und dem Interesse an effektiver Rechtsdurchsetzung auf.

    Ich kommentiere die Strafbarkeit der Verwendung Smarter Brillen im Rahmen von § 8 TDDDG im BeckOK-StPO: Die Norm wird bei sogenannten smarten Brillen noch eine deutliche Rolle zu spielen haben, auch wenn die Norm vorliegend mangels Sendefunktion nicht relevant war. In der Literatur gehöre ich zu den Skeptikern, da ich der Auffassung bin, dass der Einbau einer einfachen, nicht generell wahrnehmbaren LED keinen Schutz vor einer Strafbarkeit bietet.

    (mehr …)
  • Bußgeld gegen juristische Personen: EuGH ändert die Marschrichtung (2026)

    Bußgeld gegen juristische Personen: EuGH ändert die Marschrichtung (2026)

    Der Europäische Gerichtshof hat mit seinem Urteil in der Rechtssache C-291/24 einen weiteren grundlegenden Schritt hin zu einem eigenständigen europäischen Unternehmenssanktionsrecht vollzogen. Ausgangspunkt war ein österreichisches Verfahren zu Geldwäschepflichtverstößen von Kreditinstituten, in dem die nationale Rechtslage eine Sanktionierung juristischer Personen davon abhängig machte, dass zuvor eine natürliche Person als „schuldige“ Verantwortliche festgestellt und im Spruch benannt wird.

    Der EuGH hat dieses Modell klar verworfen – mit Konsequenzen weit über das österreichische Geldwäscherecht hinaus auch auf das europäische Datenschutz- und Sicherheitsrecht. Mit aufgeworfenen Fragen zum Bestand der bisherigen Handhabung des Bußgeldrechts in Deutschland.

    (mehr …)
  • Kann die Polizei Whatsapp-Nachrichten lesen?

    Kann die Polizei Whatsapp-Nachrichten lesen?

    Hat die Polizei Zugriff auf Whatsapp-Nachrichten? In Cybercrime-Verfahren hat die digitale Kommunikation erhebliche Bedeutung für Ermittler – und so stellt sich immer wieder die Frage, wie sicher WhatsApp eigentlich ist. Oder ein anderer Messenger, mit dem man kommuniziert hat. Die Frage ist tatsächlich nicht so leicht zu beantworten.

    Update: Der Beitrag wurde im Februar 2026 um aktuelle Erkenntnisse zu potenziellen Zugriffen seitens META erweitert. Ich rate inzwischen sowohl aus Sicherheitsgründen aber auch mit Blick auf politische Verflechtungen bei META dringend davon ab, Whatsapp zu nutzen.

    (mehr …)
  • Databroker Files & ADINT: Smartphones als frei verfügbares Spionagewerkzeug

    Databroker Files & ADINT: Smartphones als frei verfügbares Spionagewerkzeug

    Aktuelle Enthüllungen, die französische, deutsche und internationale Journalisten im Dezember 2025 unter dem Titel Databroker Files veröffentlicht haben, zeigen ein Sicherheitsproblem von historischer Dimension: Sie belegen in krasser Form, wie Werbe- und Standortdaten, eigentlich für „personalisiertes Marketing“ erhoben, eingesetzt werden könnten, um Geheimdienstmitarbeiter, Militärangehörige und selbst das unmittelbare Umfeld von Präsident Emmanuel Macron bis an die private Haustür zu verfolgen.

    Es geht nicht mehr nur um die Gefährdung der Privatsphäre Einzelner, sondern um die nationale und europäische Sicherheit insgesamt. Speziell durch ADINT. werden immer mehr Überwachungen möglich. und fernab der Öffentlichkeit hat sich hier ein für Geheimdienste und Ermittler. lohnendes Grenzgebiet Überwachungsmarktplatz gebildet. etabliert. Darin kann man auch ein Musterbeispiel für den Irrtum über die vermeintlich „langweiligen Daten“ des Einzelnen erkennen. Der Beitrag wurde im Februar 2026 nochmals aktualisiert.

    (mehr …)
  • Zulässigkeit behördlicher Warnungen vor Software

    Zulässigkeit behördlicher Warnungen vor Software

    Die Veröffentlichung behördlicher Sicherheitsbewertungen kann für Softwareanbieter existenzbedrohend sein – damit stellt sich die Frage der rechtlichen Zulässigkeit von behördlichen Warnungen vor Softwareprodukten. Doch auch wenn es ein kitisches Gebiet ist: nicht jede Warnung rechtfertigt einen vorbeugenden gerichtlichen Eingriff – das zeigt ein aktueller Beschluss des Verwaltungsgerichts Köln (1 L 3105/25) vom 2. Dezember 2025, den ich auch hier auf LinkedIn thematisiere.

    Das Verwaltungsgericht entschied, dass ein Softwarehersteller nicht ohne Weiteres die Unterlassung einer geplanten behördlichen Produktbewertung verlangen kann, auch wenn diese negative Auswirkungen auf den Markt haben könnte. Der Fall wirft mal wieder grundsätzliche Fragen zum Thema auf: Wann ist vorbeugender Rechtsschutz gegen staatliches Informationshandeln zulässig? Und wo liegen die Grenzen zwischen legitimer Verbraucheraufklärung und unzumutbaren wirtschaftlichen Nachteilen für Unternehmen?

    Bitte beachten Sie: In der hier noch zu berücksichtigenden alten Rechtslage waren behördliche Warnungen dieser Art im Kern in §7 BSIG (aF) – seit Dezember 2025, mit der Umsetzung der NIS2-Richtlinie, hat der Gesetzgeber dies ausdrücklich in § 13 BSIG normiert, wobei neu „Informationen über Verstöße besonders wichtiger Einrichtungen oder wichtiger Einrichtungen“ hinzugekommen sind. Daran ist zukünftig eine behördliche Warnung in dem Kontext zu messen. Der Beitrag wurde im Februar 2026 aktualisiert.

    Beachten Sie auch, dass die Entscheidung – unter Bezug auf meine Besprechung – bei „heise online“ aufgegriffen wurde.

    (mehr …)
  • Desinformation: Gefahr von Fake News für Unternehmen

    Desinformation: Gefahr von Fake News für Unternehmen

    Wer ein Unternehmen führt, muss Desinformation oder Fake News inzwischen als eigenständige Risiko­kategorie begreifen, wie auch das Handelsblatt titelt: Binnen weniger Stunden kann heute ein anonymer Post Milliardenwerte vernichten – verstärkt durch synthetische Inhalte, die selbst Profis kaum noch von echten Aussagen unterscheiden können. Was früher nach Randphänomen aus Wahlkampagnen klang, trifft inzwischen DAX‑Konzerne, Mittelständler und Hidden Champions gleichermaßen: Desinformation ist vom Kommunikationsrisiko zum marktrelevanten Störfaktor geworden.

    Was lange wie ein Randphänomen aus der politischen Sphäre wirkte, entwickelt sich damit – neben dem gesellschaftlichen Sprengstoff insgesamt – zu einem milliardenschweren Geschäftsrisiko; befeuert durch leicht verfügbare KI-Werkzeuge, skalierbare Kampagneninfrastruktur und eine Medienökonomie, die Aufmerksamkeit belohnt, nicht Wahrheit. Parallel verschärft sich der regulatorische Rahmen: Mit dem EU‑KI‑Gesetz und dem Digital Services Act geraten Unternehmen zunehmend in die Pflicht, nicht nur ihre eigenen Systeme, sondern auch die Informationsumgebung rund um Produkte und Geschäftsmodelle im Blick zu behalten – Fehler können schnell einer Frage Frage von Compliance und persönlicher Haftung werden.​​

    Ich beschäftige mich hier im Blog seit Jahren mit dem Thema Desinformation, wobei ich dies in den Kontext von Cyberkriminalität packe. Wichtig ist mir das Herausarbeiten, dass Desinformation nicht irgendein Randbereich ist, der irgendwie die Politik betrifft, sondern dass es um ein konkret eingesetztes Instrument geht, um Gesellschaft und Wirtschaft negativ zu stören. Beachten Sie dazu auch meine bisherigen Publikationen in AnwZert ITR 3/2025 Anm. 2 und AnwZert ITR 22/2025 Anm. 2. Mein Faible für Kommunikationspsychologie ist, neben meiner Arbeit zum strategischen Denken, mit der Grund, warum ich das Thema immer wieder aufgreife. Im Rahmen meiner Lehraufträge vermittle ich Studenten den Umgang mit diesen modernen Themen, die nur scheinbar fernab klassischer Compliance liegen. Der Beitrag wurde im Februar 2026 aktualisiert mit Blick auf eine Veröffentlichung im Harvard Business Manager.

    (mehr …)
  • Stuttgart: GandCrab-Ransomware-Erpresser verurteilt

    Stuttgart: GandCrab-Ransomware-Erpresser verurteilt

    Was in Stuttgart rund um den Angriff auf die dortigen Staatstheater vor dem Landgericht verhandelt wird, ist mehr als eine typische Cybercrime-Geschichte. Der Fall erzählt, wie schwierig Ransomware-Fälle vor Gericht sind … für Staat, Wirtschaft und Verteidiger zugleich. Dabei sieht man hier durchaus aus Sicht der Strafverfolger eine Erfolgsgeschichte, denn es ist einer der ganz wenigen Fälle in denen ein im Ausland lebender Ransomware-Erpresser von der deutschen Justiz verurteilt wurde, zu immerhin sieben Jahren Haft.

    (mehr …)
  • Cost‑Steering‑Attacke

    Cost‑Steering‑Attacke

    Die Cost‑Steering‑Attacke ist ein bislang nicht benanntes, aber technisch ebenso simples wie zunehmend beliebtes Angriffsmodell im Umfeld von Cloud‑Diensten und KI‑Agenten. Die Wortschöpfung stammt in Ermangelung anderer Begrifflichkeiten von mir, um dieses neue und wichtige Phänomen zu erfassen.

    Gemeint sind Konstellationen, in denen Angreifer nicht primär Daten stehlen oder Systeme verschlüsseln, sondern gezielt kostenrelevante Aktionen im Namen des Opfers auslösen – etwa das Hochfahren von GPU‑Instanzen, den Start rechenintensiver Container (Kryptomining, KI‑Training), das Buchen zusätzlicher SaaS‑Lizenzen oder das sinnlose Verfeuern von API‑Kontingenten. Charakteristisch ist, dass ausschließlich „legitime“ Funktionen der betroffenen Dienste genutzt werden: Es werden reguläre Ressourcen über reguläre Schnittstellen beauftragt, die Rechnung läuft vollständig über den Account des Opfers.

    KI-Agenten als Innentäter: Wie OpenClaw & Co. zum Haftungs- & Sicherheitsrisiko werden
    Lokale KI-Agenten wie OpenClaw als Haftungsrisiko begreifen

    Besonders anfällig sind selbstgehostete KI‑Agenten wie Moltbot, die mit weitreichenden Tools (Cloud‑CLI, CI/CD, Billing‑APIs) verdrahtet sind und Eingaben automatisiert in Aktionen übersetzen. Gelingt es einem Angreifer, durch Prompt‑Injection, Fehlkonfiguration oder Account‑Übernahme den Agenten zu steuern, kann er dessen Rechte verwenden, um Rechenleistung, Speicherplatz oder Abos im großen Stil zu buchen – die so erzeugten Infrastruktur‑ und Lizenzkosten verwandeln sich in einen indirekten Gewinn: etwa durch fremdfinanziertes Kryptomining, eigenen Kampagnenbetrieb auf den SaaS‑Konten des Opfers oder als Hebel für nachgelagerte Erpressung („wir stoppen die Kostenlawine, wenn …“).

    Aus strafrechtlicher Sicht bewegt sich die Cost‑Steering‑Attacke im Schnittfeld von Computerbetrug, Datenveränderung und unter Umständen Erpressung; zivilrechtlich stellt sich die Frage, ob der Betreiber durch grob fahrlässige Konfiguration seines Agents an den entstandenen Schäden festgehalten wird.

  • Lokale KI-Agenten wie OpenClaw als Haftungsrisiko begreifen

    Lokale KI-Agenten wie OpenClaw als Haftungsrisiko begreifen

    Haftungsrisiko KI-Agent: Der gerade im Hype stehende Moltbot OpenClaw steht exemplarisch für die nächste Welle „persönlicher KI‑Agenten“, die nicht mehr nur Texte beantworten, sondern unseren digitalen Alltag komfortabel steuern sollen: Sie lesen Mails, bewegen Dateien, führen Shell‑Befehle aus, steuern Browser und automatisieren Arbeitsabläufe quer durch Messaging‑Dienste – bevorzugt auf einem bezahlbaren Rechner wie einem durchlaufenden Mac mini im eigenen Heimnetz.

    Gleichzeitig aber zeigen Sicherheitsforschende bereits binnen weniger Wochen Hunderte offen im Netz stehende Instanzen, unsichere Protokolle und reale Angriffsversuche; die Euphorie über den „24/7‑Mitarbeiter im Wohnzimmer“ sollte daher als konkrete Risiko‑Debatte mit juristischem Einschlag gesehen werden.

    Hinweis: Im Rahmen meines Aufsatzes zum LLM-Hacking (erschienen in KIR 2025, 374ff.) habe ich herausgearbeitet, dass die unten thematisierten Prompt Injections strafbare Handlungen sind. Der Beitrag wurde aktualisiert mit Blick auf neue Entwicklungen in Punkte Sicherheit und natürlich den erneuten Namenswechsel.

    (mehr …)
  • Grenzen der Hausratversicherung bei Phishing

    Grenzen der Hausratversicherung bei Phishing

    Phishing-Angriffe gehören zu den häufigsten Cyberdelikten, bei denen Täter durch gefälschte Kommunikation an sensible Daten gelangen. Doch nicht jeder Schaden, der im Zusammenhang mit digitalen Transaktionen entsteht, ist automatisch durch eine Hausratversicherung abgedeckt. Das Amtsgericht Bernau (10 C 212/25) hat in einem aktuellen Urteil klargestellt, dass der Versicherungsschutz für Phishing-Schäden eng an die Definition vertraulicher Zugangsdaten geknüpft ist – und dass die Preisgabe von IBAN oder Kreditkartennummer allein keinen Anspruch auf Entschädigung begründet.

    (mehr …)