Abfangen von Daten: Rechtsanwalt Ferner zum Abfangen von Daten (§202b StGB). Rechtsanwalt Jens Ferner ist Strafverteidiger und Fachanwalt für IT-Recht mit Schwerpunkt Strafverteidigung im Cybercrime.
Anwaltskanzlei Ferner Alsdorf: Kontakt zu Rechtsanwalt Ferner im Raum Aachen
Fachlich hochqualifiziert: Alle unsere Strafverteidiger sind Fachanwälte für Strafrecht; RA JF ist zudem Fachanwalt für IT-Recht mit fortlaufenden Publikationen und Lehrbeauftragter für IT-Compliance und Wirtschaftsstrafrecht (FH Aachen)
Ein Mitarbeiter Ihrer IT-Abteilung bemerkt bei der Nutzung einer eingekauften Softwarelösung, dass die Anwendung Datenbankzugangsdaten im Klartext übermittelt und der Zugriff auf deutlich mehr Datensätze möglich ist, als der eigene Account eigentlich erlaubt. Er dokumentiert den Fund, greift kurz auf eine der fremden Kundendaten zu, um die Lücke zu belegen – und meldet den Vorfall intern.
Was harmlos klingt und gutgläubig gemeint war, kann erhebliche strafrechtliche und zivilrechtliche Konsequenzen haben. Für das Unternehmen selbst, für den Mitarbeiter – und im schlimmsten Fall für beide.
Wirtschaftsspionage bezeichnet den Prozess, bei dem vertrauliche Informationen, Technologien oder Geschäftsgeheimnisse eines Unternehmens oder einer Organisation illegal erlangt werden. Dies kann durch Hacking, Bestechung von Mitarbeitern, Unterwanderung oder andere unethische Methoden geschehen.
Die Wirtschaftsspionage zielt darauf ab, einem Konkurrenten oder einem fremden Staat wirtschaftliche Vorteile zu verschaffen. Doch was bedeutet das in der Praxis für Unternehmen? (Hinweis: Der Beitrag wurde im September 2024 nochmals vollständig überarbeitet)
Im NIS2-Umsetzungsgesetz sind Regelungen vorgesehen, die gewährleisten sollen, dass das BSI in Fällen erheblicher Gefahren für die IT- und Kommunikationssicherheit auf die erforderlichen Daten zugreifen kann, um die Integrität, Verfügbarkeit und Vertraulichkeit der Kommunikationsdienste zu schützen.
Die Zugriffsrechte sind dabei durch strenge Bedingungen und Abstimmungsverfahren geregelt, um den Datenschutz und die Verhältnismäßigkeit der Maßnahmen sicherzustellen. Im Folgenden ein kurzer Überblick zur Orientierung.
In einer älteren Entscheidung hat sich das OLG Stuttgart (2 U 30/18) zu den Voraussetzungen der Datenhehlerei nach § 202d StGB und des Verrats von Geschäftsgeheimnissen (damals noch § 17 UWG) – einschließlich des Verhältnisses der Tatbestände zueinander – geäußert. Die Entscheidung dürfte auch heute noch mit Blick auf das GeschGehG von Bedeutung sein. Zugleich wird deutlich, dass der Bereich der Datendelikte von enormer Komplexität ist, gerade im Zivilprozess, wo einer Verzahnung auf diversen Ebenen möglich ist.
Der Bundesgerichtshof (4 StR 52/22) konnte sich endlich klarstellen zur Frage äußern, ob ein Diebstahl vorliegt, wenn ein Funksignal eines Keyless-Systems „verlängert“ wird und somit genutzt wird, um einen PKW zu entwenden. Die Frage bejaht der BGH nun am Rande und es zeigt sich, dass es juristisch einen Unterschied macht, ob das Signal aktiv verwendet oder nur passiv gestört wird.
Suche nach Sicherheitslücken, Strafbarkeit und Bug-Bounty-Programme: Hierbei handelt es sich um Aufrufe von Anbietern dahin, dass Außenstehende Sicherheitslücken in deren Angeboten aktiv suchen und melden sollen. Es ist also der öffentliche Aufruf, eigene Angebote (wie etwa Webseiten) zu „hacken“. Wer hier eine Sicherheitslücke findet und meldet, wird mit einer Zahlung von Geld „belohnt“.
Aber: Es ist durchaus Vorsicht geboten. Insbesondere bei einem „aufgedrängten“ Bug Bounty stehen erhebliche strafrechtliche Risiken im Raum – und auch die erwünschte Suche nach Sicherheitslücken geht mit eigenen Pflichten einher!
Zwei Jahre und 9 Monate hat es gedauert, nun ist eingetreten, was letztlich absehbar war: Die Staatsanwaltschaft Hamburg hat das, auf Grund meiner Strafanzeige vom 01.02.2010 eingeleitete Ermittlungsverfahren gegen Google, nunmehr eingestellt. Nach §170 II StPO wurde eingestellt, das heisst es konnte kein Tatverdacht erkannt werden. Zum Glück, die Entscheidung ist inhaltlich korrekt und rückt manches auch heute noch gerade. (mehr …)
Was ist Cybercrime: Cybercrime ist heute ein Schlagwort, unter welches das digitale Strafrecht gefasst wird. Ich nutze selber lieber den Begriff des „Daten-Strafrechts“. Eine veraltete Bezeichnung für Cybercrime ist das Computerstrafrecht. Allgemeine Verbindlichkeiten, welchen Begriff man nutzt, welche Delikte man darunter fasst und wie genau man die Deliktsbereiche abgrenzt gibt es dabei bis heute nicht.
Jedenfalls ich verstehe unter dem Begriff „Daten-Strafrecht“ ein weites Feld, das sich durch die Begriffe „Daten“ und „Strafrecht“ erschließt, anders als bei „Cybercrime“ das auf den altbackenen und engen Begriff des „Cyberraums“ zurückgreifen müsste:
„Daten“: Ich greife auf die weiteste Definition von „Daten“ zurück. Daten sind alle codierbaren Informationen ausgenommen reine Gedanken. Es spielt also keine Rolle, ob die Informationen verkörpert sind oder nicht, womit nicht nur Computerprogramme sondern auch Urkunden erfasst werden. Das führt dann dazu, dass nach meinem weiten Verständnis von der Datensabotage bis zur Urkundenfälschung Delikte erfasst sind.
„Strafrecht“: Auch den Begriff „Strafrecht“ fasse ich weit. Dabei greife ich auf den Art. 6 EMRK zurück, der in ständiger Rechtsprechung des EGMR so ausgelegt wird, dass jede staatliche Sanktion als „Strafe“ anzusehen ist. Somit werden auch Ordnungswidrigkeiten vom „Daten-Strafrecht“ erfasst, mit der Folge, dass auch nur bußgeldbewährte Verstöße gegen DSGVO/BDSG von diesem Rechtsgebiet erfasst sind. Was aber rausfällt sind zivilrechtliche Ausgleichsansprüche, also etwa die Störerhaftung.
Cybercrime im eigentlichen Sinne
Für die Strafverfolgungbehörden stellt sich Cybercrime im engeren Sinne in der polizeilichen Kriminalitätsstatistik wie Folgt dar:
Fälschung beweiserheblicher Daten, Täuschung im Rechtsverkehr bei Datenverarbeitung §§ 269, 270 StGB
Wann liegt eine Strafbarkeit wegen Abfangen von Daten, §202b StGB, vor? In diesem Beitrag gebe ich einen Überblick über wesentliche Merkmale und Vorraussetzungen zur Strafbarkeit wegen des Abfangen von Daten.
Kann eine Fotokopie eine Urkundenfälschung sein: Die in §267 StGB normierte Urkundenfälschung ist auf den ersten Blick sicherlich nicht der erste Tatbestand, der einem in den Blick kommt, wenn man über das Daten-Strafrecht nachdenkt. Dennoch ist es eine Norm, die ich hier in diesem Rahmen noch einmal hervor heben möchte, vor allem aus drei Gründen:
Bei vielen, gerade jungen Menschen, gilt die Urkundenfälschung immer noch als „Kavaliersdelikt“
Insbesondere heute ist es durch herausragende günstige Software und Scanner sehr leicht möglich, Urkundenfälschungen zu begehen
Viele Laien haben etwas von dem Unterschied „Kopie ./. Urkunde“ gehört und glauben fälschlicherweise, durch das Hantieren mit Kopien garnicht erst in den Bereich strafbarer Handlungen zu geraten
Dieser Beitrag soll auf das Problem aufmerksam machen, nicht zuletzt auch Eltern, die mit Ihren Sprösslingen das Gespräch suchen sollten bevor etwas geschieht.
Natürlich wird die Corona-Krise ausgenutzt – wenn Sorgen verbreitet sind und das Tagesgeschäft leidet, drängt es sich für Kriminelle, die mit psychologischen Tricks arbeiten, geradezu auf, diese Phase auszunutzen. Auch das BSI warnt nun offiziell:
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) beobachtet aktuell eine Zunahme von Cyber-Angriffen mit Bezug zum Corona-Virus auf Unternehmen und Bürger.
So werden Unternehmen und Betriebe per E-Mail durch die Täter aufgefordert, persönliche oder unternehmensbezogene Daten auf gefälschten Webseiten preiszugeben. Die Cyber-Kriminellen geben sich als vermeintliche Institutionen zur Beantragung von Soforthilfegeldern aus. Die betrügerisch erlangten Daten werden anschließend für kriminelle Aktivitäten missbraucht.
Das OLG Stuttgart (2 U 30/18) konnte sich zur Strafbarkeit wegen Datenhehlerei (§202d StGB) äussern: Der §202d StGB ist erst seit Dezember 2015 in Kraft und schützt ausweislich der Begründung im Gesetzentwurf „das formelle Datengeheimnis vor einer Fortsetzung und Vertiefung seiner durch die Vortat erfolgten Verletzung“. Mit dem Wortlaut des § 202d StGB wird bestraft, wer Daten im Sinne von § 202a Absatz 2 StGB, die nicht allgemein zugänglich sind und die ein anderer durch eine rechtswidrige Tat erlangt hat, sich oder einem anderen verschafft, einem anderen überlässt, verbreitet oder sonst zugänglich macht, um sich oder einen Dritten zu bereichern oder einen anderen zu schädigen. Das OLG hat sich im Rahmen eines zivilrechtlichen Verfahrens zu den einzelnen Tatbestandsvoraussetzungen geäußert.
Betreiben krimineller Handelsplattformen im Internet (§127 StGB): Mit dem „Gesetz zur Änderung des Strafgesetzbuches – Strafbarkeit des Betreibens krimineller Handelsplattformen im Internet vom 12.08.2021“ (siehe BGBl. I S. 3544), das am 01.10.2021 in Kraft getreten ist, wurde die Strafbarkeit krimineller Handelsplattformen geschaffen. In diesem Beitrag gibt es einen Überblick über den Gang der Gesetzgebung. Kritische Anmerkungen von mir wurden auch bei Heise aufgegriffen.
Der Pressesprecher der Generalstaatsanwaltschaft Frankfurt am Main hat eine Pressemitteilung herausgegeben, die den unscheinbaren Titel trägt:
„Europaweite Durchsuchungen gegen Abnehmer der Smartphone Schadsoftware „DroidJack“ wegen des Verdachts des Ausspähens von Daten und des Computerbetruges“
Dahinter steht allerdings viel mehr – wobei hier nicht nur das (wohl umfangreichere) Ermittlungsverfahren zu sehen ist, sondern vielmehr eine allgemeine Entwicklung, die vielleicht Anlass zur Sorge gibt. (mehr …)
Es war der 2013 tragsich viel zu früh verstorbene „Barnaby Jack“, der auf der Black Hat Konferenz 2010 das Jackpotting vorstellte: Man greift einen Geldautomaten dadurch an, dass man einen Steckplatz für Flashspeicher freilegt und ein eigenes Rootkit („Schadsoftware“) installiert, damit der Geldautomat – ohne ein Konto zu belasten – seinen Inhalt schlicht ausgibt.
Nunmehr gibt es erste Fälle dieser Angriffsmethode in Deutschland und man kann sich die Frage stellen, wonach ist das strafbar – welcher Tatbestand wird beim Jackpotting verwirklicht? (mehr …)
