Rechtsanwalt & Strafverteidiger für Ausspähen von Daten (§202a StGB): Ein strafrechtlich relevantes Ausspähen von Daten liegt vor, wenn jemand unbefugt in einen fremden Computer oder ein fremdes Netzwerk eindringt, um dort Daten auszuspähen oder zu kopieren. Der Straftatbestand ist in § 202a Strafgesetzbuch (StGB) geregelt.
Rechtsanwalt Jens Ferner ist Strafverteidiger und Fachanwalt für IT-Recht mit Schwerpunkt Strafverteidigung im Cybercrime und ihr Strafverteidiger beim Vorwurf Ausspähen von Daten (§202a StGB)!
Das Ausspähen von Daten kann auf unterschiedliche Weise erfolgen. Dazu gehören beispielsweise das Hacken von Computersystemen, das Knacken von Passwörtern, das Ausnutzen von Sicherheitslücken oder das Eindringen in fremde Netzwerke. Auch das Abfangen von E-Mails oder das Auslesen von personenbezogenen Daten auf Speichermedien wie USB-Sticks kann als Ausspähen von Daten gewertet werden.
Das Strafmaß für das Ausspähen von Daten kann sehr hoch sein und reicht von einer Freiheitsstrafe von drei Monaten bis zu zehn Jahren. Das genaue Strafmaß hängt von verschiedenen Faktoren ab, wie z.B. dem Umfang der ausspionierten Daten, dem durch die Tat verursachten Schaden und der Motivation des Täters.
Anwaltskanzlei Ferner Alsdorf: Kontakt zu Rechtsanwalt Ferner im Raum Aachen
Achtung: Bis zum 01.09.26 übernehmen wir nur noch ausgewählte Strafverteidigungen und sind nur per Mail erreichbar!
Fachlich hochqualifiziert: Alle unsere Strafverteidiger sind Fachanwälte für Strafrecht; RA JF ist zudem Fachanwalt für IT-Recht mit fortlaufenden Publikationen und Lehrbeauftragter für IT-Compliance und Wirtschaftsstrafrecht (FH Aachen)
Zwei Jahre und 9 Monate hat es gedauert, nun ist eingetreten, was letztlich absehbar war: Die Staatsanwaltschaft Hamburg hat das, auf Grund meiner Strafanzeige vom 01.02.2010 eingeleitete Ermittlungsverfahren gegen Google, nunmehr eingestellt. Nach §170 II StPO wurde eingestellt, das heisst es konnte kein Tatverdacht erkannt werden. Zum Glück, die Entscheidung ist inhaltlich korrekt und rückt manches auch heute noch gerade. (mehr …)
Zugriff auf EMails des Arbeitnehmers: Das Landesarbeitsgericht Berlin-Brandenburg (4 Sa 2132/10) hat entschieden, dass unter bestimmten Umständen dem Arbeitgeber zustehen kann, auf das betriebliche E-Mailkonto des Arbeitnehmers zuzugreifen, selbst wenn diesem die private Nutzung erlaubt war und er dem Zugriff nicht zugestimmt hat.
Der Axel Springer Verlag versucht sich an einem Sonderweg: Auf Grund zahlreicher Auskunftsbegehren zu gespeicherten Daten von Betroffenen, versucht man dem nach meiner Lesart nun wohl wie folgt Herr zu werden:
Es wird darauf verwiesen, dass möglicherweise eine strafbare Computersabotage vorliegt
Es stellt sich zwischen den Zeilen die Frage, ob das Auskunftsbegehren rechtsmissbräuchlich ist
Es wird die Kopie des Personalausweises verlangt, um den Anspruchsteller „zu identifizieren“
Im Folgenden die kurze Prüfung, ob das so stimmt – denn losgelöst vom Einzelfall geht es hier um grundsätzliche Fragen, die sich immer wieder stellen und hier auch (mal abgesehen von Frage 1) zum Alltag gehören.
Das Landesarbeitsgericht Köln, 4 Sa 290/21, konnte sich zu der Wirksamkeit einer außerordentlichen Kündigung wegen eines Datenschutzverstoßes sowie der Verletzung des allgemeinen Persönlichkeitsrechts eines Arbeitskollegen äussern.
Hierbei hielt das Gericht fest, dass eine gezielte Durchsuchung eines Dienstcomputers, nach privater Korrespondenz eines Arbeitskollegen, sowie deren Sicherung und Weitergabe an Dritte durchaus ein wichtiger Grund für den Ausspruch einer außerordentlichen fristlosen Kündigung sein kann. Dies gilt mit dem LAG grundsätzlich auch dann, wenn der Arbeitnehmer dabei Beweise für ein staatsanwaltschaftliches Ermittlungsverfahren sichern möchte, ohne von seinem Arbeitgeber mit solchen Ermittlungen betraut worden zu sein.
Der Bundesgerichtshof (1 StR 78/21) konnte sich, in einer umfangreichen Entscheidung, zur Strafbarkeit der Verbreitung eines Erpressungstrojaners über das Internet (Ransomware) äußern. Dabei hat der BGH die aufsehenerregende Entscheidung des LG Stuttgart zum Teil aufgehoben. Die Entscheidung ist ein Lehrstück zu grundsätzlichen Tatbeständen des Cybercrime – und des Strafrecht AT, weil wiedermal eine Kammer einen Klassiker falsch gemacht hat.
Hausdurchsuchung nach Cardsharing: Die Ermittlungen im Bereich Cardsharing gehen weiter, massiv geführt von der Zentralstelle Cybercrime Bayern. Dabei hatte es nach meinem Kenntnisstand zuletzt im Jahr 2016 massive Ermittlungen gegeben, die im November 2017 zu europaweiten Hausdurchsuchungen führten. Nachdem im Mai 2019 die Betreiber der damals betroffenen Cardsharing-Infrastrukturen verurteilt wurden (durch das Landgericht Regensburg, die Entscheidung wurde wohl nie veröffentlicht) folgten Ermittlungen gegen die Kunden. Diese Ermittlungen aus dem damaligen Verfahren ziehen sich bis heute, auch im Jahr 2022 sind mir Beschuldigtenanhörungen und Hausdurchsuchungen nach Cardsharing bekannt geworden. Dann folgte der nächste Schlag.
Was ist Cybercrime: Cybercrime ist heute ein Schlagwort, unter welches das digitale Strafrecht gefasst wird. Ich nutze selber lieber den Begriff des „Daten-Strafrechts“. Eine veraltete Bezeichnung für Cybercrime ist das Computerstrafrecht. Allgemeine Verbindlichkeiten, welchen Begriff man nutzt, welche Delikte man darunter fasst und wie genau man die Deliktsbereiche abgrenzt gibt es dabei bis heute nicht.
Jedenfalls ich verstehe unter dem Begriff „Daten-Strafrecht“ ein weites Feld, das sich durch die Begriffe „Daten“ und „Strafrecht“ erschließt, anders als bei „Cybercrime“ das auf den altbackenen und engen Begriff des „Cyberraums“ zurückgreifen müsste:
„Daten“: Ich greife auf die weiteste Definition von „Daten“ zurück. Daten sind alle codierbaren Informationen ausgenommen reine Gedanken. Es spielt also keine Rolle, ob die Informationen verkörpert sind oder nicht, womit nicht nur Computerprogramme sondern auch Urkunden erfasst werden. Das führt dann dazu, dass nach meinem weiten Verständnis von der Datensabotage bis zur Urkundenfälschung Delikte erfasst sind.
„Strafrecht“: Auch den Begriff „Strafrecht“ fasse ich weit. Dabei greife ich auf den Art. 6 EMRK zurück, der in ständiger Rechtsprechung des EGMR so ausgelegt wird, dass jede staatliche Sanktion als „Strafe“ anzusehen ist. Somit werden auch Ordnungswidrigkeiten vom „Daten-Strafrecht“ erfasst, mit der Folge, dass auch nur bußgeldbewährte Verstöße gegen DSGVO/BDSG von diesem Rechtsgebiet erfasst sind. Was aber rausfällt sind zivilrechtliche Ausgleichsansprüche, also etwa die Störerhaftung.
Cybercrime im eigentlichen Sinne
Für die Strafverfolgungbehörden stellt sich Cybercrime im engeren Sinne in der polizeilichen Kriminalitätsstatistik wie Folgt dar:
Fälschung beweiserheblicher Daten, Täuschung im Rechtsverkehr bei Datenverarbeitung §§ 269, 270 StGB
Was ist eine Zugangssicherung beim Ausspähen von Daten, §202a StGB und wann können sich Systemadministratoren strafbar machen: Der §202a StGB verbietet das „Ausspähen von Daten“ mit dem folgenden Wortlaut:
Wer unbefugt sich oder einem anderen Zugang zu Daten, die nicht für ihn bestimmt und die gegen unberechtigten Zugang besonders gesichert sind, unter Überwindung der Zugangssicherung verschafft, wird mit Freiheitsstrafe bis zu drei Jahren oder mit Geldstrafe bestraft.
Dreh- und Angelpunkt hierbei ist die Zugangssicherung und die Frage, was darunter zu verstehen ist. Im Folgenden gebe ich einen Überblick zur Frage des Vorliegens der Zugangssicherung.
Update: Im Mai 2020 hat Der Bundesgerichtshof diese Frage abschliessend entschieden und dabei klargestellt, dass auch allgemeine Passwort-Sicherungen ausreichend sind und auch die Stellung als IT-Administrator hieran nichts ändert, da ausdrücklich nicht auf die subjektive Eignung der Sicherung abzustellen ist. Damit besteht ein erhebliches strafrechtlich relevantes Risiko für Systemadministratoren.
Wann liegt eine Strafbarkeit wegen Abfangen von Daten, §202b StGB, vor? In diesem Beitrag gebe ich einen Überblick über wesentliche Merkmale und Vorraussetzungen zur Strafbarkeit wegen des Abfangen von Daten.
Kann eine Fotokopie eine Urkundenfälschung sein: Die in §267 StGB normierte Urkundenfälschung ist auf den ersten Blick sicherlich nicht der erste Tatbestand, der einem in den Blick kommt, wenn man über das Daten-Strafrecht nachdenkt. Dennoch ist es eine Norm, die ich hier in diesem Rahmen noch einmal hervor heben möchte, vor allem aus drei Gründen:
Bei vielen, gerade jungen Menschen, gilt die Urkundenfälschung immer noch als „Kavaliersdelikt“
Insbesondere heute ist es durch herausragende günstige Software und Scanner sehr leicht möglich, Urkundenfälschungen zu begehen
Viele Laien haben etwas von dem Unterschied „Kopie ./. Urkunde“ gehört und glauben fälschlicherweise, durch das Hantieren mit Kopien garnicht erst in den Bereich strafbarer Handlungen zu geraten
Dieser Beitrag soll auf das Problem aufmerksam machen, nicht zuletzt auch Eltern, die mit Ihren Sprösslingen das Gespräch suchen sollten bevor etwas geschieht.
Strafbarkeit von Botnetzwerk: In einem Beschluss hat sich der Bundesgerichtshof (1 StR 16/15) zur Frage der Strafbarkeit beim Betrieb eines Botnetzwerks geäußert. Die Entscheidung bietet zum einen nochmals vertieften Einblick in die Voraussetzungen des §202a StGB; zum anderen wird nochmals überdeutlich aufgezeigt, mit welchen Schwächen im Bereich des IT-Strafrechts selbst bei Landgerichten zu rechnen ist.
Das OLG Stuttgart (2 U 30/18) konnte sich zur Strafbarkeit wegen Datenhehlerei (§202d StGB) äussern: Der §202d StGB ist erst seit Dezember 2015 in Kraft und schützt ausweislich der Begründung im Gesetzentwurf „das formelle Datengeheimnis vor einer Fortsetzung und Vertiefung seiner durch die Vortat erfolgten Verletzung“. Mit dem Wortlaut des § 202d StGB wird bestraft, wer Daten im Sinne von § 202a Absatz 2 StGB, die nicht allgemein zugänglich sind und die ein anderer durch eine rechtswidrige Tat erlangt hat, sich oder einem anderen verschafft, einem anderen überlässt, verbreitet oder sonst zugänglich macht, um sich oder einen Dritten zu bereichern oder einen anderen zu schädigen. Das OLG hat sich im Rahmen eines zivilrechtlichen Verfahrens zu den einzelnen Tatbestandsvoraussetzungen geäußert.
Betreiben krimineller Handelsplattformen im Internet (§127 StGB): Mit dem „Gesetz zur Änderung des Strafgesetzbuches – Strafbarkeit des Betreibens krimineller Handelsplattformen im Internet vom 12.08.2021“ (siehe BGBl. I S. 3544), das am 01.10.2021 in Kraft getreten ist, wurde die Strafbarkeit krimineller Handelsplattformen geschaffen. In diesem Beitrag gibt es einen Überblick über den Gang der Gesetzgebung. Kritische Anmerkungen von mir wurden auch bei Heise aufgegriffen.
Nochmals hat der Bundesgerichtshof (5 StR 180/18) klar gestellt, dass bei einem geführten Rechtsgespräch alle notwendigen Informationen an Verfahrensbeteiligte weiter zu geben sind – dazu gehören auch ursprüngliche Haltungen, selbst wenn sie geändert wurden:
Die Mitteilung über das Rechtsgespräch genügt nicht den Informationspflichten nach § 243 Abs. 4 Satz 1 StPO. Denn die Vorsitzende hat lediglich das Ergebnis des Vorgespräches mitgeteilt, nicht aber ihren anfänglichen Vorschlag und den hierzu vertretenen (ablehnenden) Standpunkt der Staatsanwaltschaft (vgl. BVerfGE 133, 168, 217; BGH, Beschluss vom 10. Januar 2017 – 3 StR 216/16, NStZ 2017, 363, 364). Dass an dem Gespräch lediglich die Vorsitzende der Strafkammer teilgenommen hat, nimmt ihm nicht den Charakter einer die Mitteilungspflicht des § 243 Abs. 4 Satz 1 StPO auslösenden Erörterung über die Möglichkeit einer Verständigung nach §§ 202a, 212 StPO (vgl. BGH, Urteil vom 23. Juli 2017 – 3 StR 470/14, NStZ 2016, 221, 222; Beschluss vom 12. Juli 2016 – 1 StR 136/16).
Der BGH weist weiter darauf hin, dass Gerichte, die eine Aufhebung des Urteils allein wegen einer Verletzung der Mitteilungspflichten nach § 243 Abs. 4 Satz 1 StPO vermeiden möchten, den über ein Verständigungsgespräch (alsbald) zu fertigenden, den Erfordernissen des § 243 Abs. 4 Satz 1 StPO genügenden Aktenvermerk (§ 202a Satz 2, § 212 StPO) in der Hauptverhandlung verlesen und als Anlage zum Sitzungsprotokoll nehmen sollen.
