Rechtsanwalt & Strafverteidiger für Datenveränderung (§303a StGB): Eine strafrechtlich relevante Datenveränderung ist die Manipulation, Veränderung oder Löschung von Daten ohne die erforderliche Zustimmung des Berechtigten oder in betrügerischer Absicht.
Rechtsanwalt Jens Ferner ist als Fachanwalt für Strafrecht & IT-Recht auf die Strafverteidigung bei Cybercrime spezialisiert und Ihr Strafverteidiger für Datenveränderung!
Im Strafrecht ist eine Datenveränderung als Delikt des unbefugten Zugriffs auf ein Computer- oder Datenverarbeitungssystem strafbar, wenn dadurch ein Datenverlust, eine Datenverfälschung oder eine Störung des Datenverarbeitungssystems verursacht wird.
Dabei können verschiedene Straftatbestände einschlägig sein, wie z.B. der Computerbetrug (§ 263a StGB), die Datenveränderung (§ 303a StGB) oder das Ausspähen von Daten (§ 202a StGB). Die Strafbarkeit hängt im Einzelfall von den Umständen der Tat ab.
Anwaltskanzlei Ferner Alsdorf: Kontakt zu Rechtsanwalt Ferner im Raum Aachen
Achtung: Bis zum 01.09.26 übernehmen wir nur noch ausgewählte Strafverteidigungen!
Fachlich hochqualifiziert: Alle unsere Strafverteidiger sind Fachanwälte für Strafrecht; RA JF ist zudem Fachanwalt für IT-Recht mit fortlaufenden Publikationen und Lehrbeauftragter für IT-Compliance und Wirtschaftsstrafrecht (FH Aachen)
Was ist Cybercrime: Cybercrime ist heute ein Schlagwort, unter welches das digitale Strafrecht gefasst wird. Ich nutze selber lieber den Begriff des „Daten-Strafrechts“. Eine veraltete Bezeichnung für Cybercrime ist das Computerstrafrecht. Allgemeine Verbindlichkeiten, welchen Begriff man nutzt, welche Delikte man darunter fasst und wie genau man die Deliktsbereiche abgrenzt gibt es dabei bis heute nicht.
Jedenfalls ich verstehe unter dem Begriff „Daten-Strafrecht“ ein weites Feld, das sich durch die Begriffe „Daten“ und „Strafrecht“ erschließt, anders als bei „Cybercrime“ das auf den altbackenen und engen Begriff des „Cyberraums“ zurückgreifen müsste:
„Daten“: Ich greife auf die weiteste Definition von „Daten“ zurück. Daten sind alle codierbaren Informationen ausgenommen reine Gedanken. Es spielt also keine Rolle, ob die Informationen verkörpert sind oder nicht, womit nicht nur Computerprogramme sondern auch Urkunden erfasst werden. Das führt dann dazu, dass nach meinem weiten Verständnis von der Datensabotage bis zur Urkundenfälschung Delikte erfasst sind.
„Strafrecht“: Auch den Begriff „Strafrecht“ fasse ich weit. Dabei greife ich auf den Art. 6 EMRK zurück, der in ständiger Rechtsprechung des EGMR so ausgelegt wird, dass jede staatliche Sanktion als „Strafe“ anzusehen ist. Somit werden auch Ordnungswidrigkeiten vom „Daten-Strafrecht“ erfasst, mit der Folge, dass auch nur bußgeldbewährte Verstöße gegen DSGVO/BDSG von diesem Rechtsgebiet erfasst sind. Was aber rausfällt sind zivilrechtliche Ausgleichsansprüche, also etwa die Störerhaftung.
Cybercrime im eigentlichen Sinne
Für die Strafverfolgungbehörden stellt sich Cybercrime im engeren Sinne in der polizeilichen Kriminalitätsstatistik wie Folgt dar:
Fälschung beweiserheblicher Daten, Täuschung im Rechtsverkehr bei Datenverarbeitung §§ 269, 270 StGB
Kann eine Fotokopie eine Urkundenfälschung sein: Die in §267 StGB normierte Urkundenfälschung ist auf den ersten Blick sicherlich nicht der erste Tatbestand, der einem in den Blick kommt, wenn man über das Daten-Strafrecht nachdenkt. Dennoch ist es eine Norm, die ich hier in diesem Rahmen noch einmal hervor heben möchte, vor allem aus drei Gründen:
Bei vielen, gerade jungen Menschen, gilt die Urkundenfälschung immer noch als „Kavaliersdelikt“
Insbesondere heute ist es durch herausragende günstige Software und Scanner sehr leicht möglich, Urkundenfälschungen zu begehen
Viele Laien haben etwas von dem Unterschied „Kopie ./. Urkunde“ gehört und glauben fälschlicherweise, durch das Hantieren mit Kopien garnicht erst in den Bereich strafbarer Handlungen zu geraten
Dieser Beitrag soll auf das Problem aufmerksam machen, nicht zuletzt auch Eltern, die mit Ihren Sprösslingen das Gespräch suchen sollten bevor etwas geschieht.
Das Oberlandesgericht Hamm, 4 RVs 12/20, hat sich in der mir ersten bekannten Entscheidung zur Frage des Betruges bei kontaktloser Zahlung mit einer EC-Karte geäußert und – durchaus überraschend – festgestellt, dass im Regelfall kein Betrug vorliegen wird, wenn jemand (unberechtigt) die EC-Karte eines Dritten zur kontaktlosen Zahlung einsetzt:
Löst ein Nichtberechtigter mit einer ec-Karte kontaktlos einen elektronischen Zahlungsvorgang aus und fragt das kartenemittierende Kreditinstitut im Zuge der Abwicklung des Zahlungsvorgangs im „Point-of-sale-Verfahren“ die zu der Karte gehörende Geheimnummer (PIN) nicht ab, verwirklicht dieses Verhalten mangels Täuschung nicht den Betrugstatbestand gemäß § 263 Abs. 1 StGB.
Ein solches Verhalten verwirklicht auch nicht – mangels Betrugsähnlichkeit – die Tatbestände des Computerbetruges gemäß § 263a Abs. 1 StGB und – mangels Vorliegens einer „Datenurkunde“ – der Fälschung beweiserheblicher Daten gemäß §§ 269 Abs. 1, 270 StGB.
Ein solches Verhalten kann aber als Urkundenunterdrückung gemäß § 274 Abs. 1 Nr. 2 StGB sowie nachrangig als Datenveränderung gemäß § 303a Abs. 1 StGB strafbar sein. Insbesondere für die Verwirklichung des § 274 Abs. 1 Nr. 2 StGB ist allerdings in subjektiver Hinsicht zumindest eine laienhafte Vorstellung von den technischen Abläufen einer kontaktlosen Zahlung im POS-Verfahren erforderlich.
Kürzlich wurde das „Cybercrime Lagebild NRW 2018“ durch das LKA NRW vorgestellt, was regelmässig im Vorlauf des Bundeslagesbildes (durch das BKA) geschieht. Interessant ist, dass nach einiger Zeit wieder ein Rückgang der Straftaten im Zuständigkeitsbereich des LKA NRW vermeldet wird:
Entwicklung der Cybercrime Fallzahlen in NRW – Quelle: Cybercrime Lagebild NRW 2018, LKA NRW(mehr …)
Betreiben krimineller Handelsplattformen im Internet (§127 StGB): Mit dem „Gesetz zur Änderung des Strafgesetzbuches – Strafbarkeit des Betreibens krimineller Handelsplattformen im Internet vom 12.08.2021“ (siehe BGBl. I S. 3544), das am 01.10.2021 in Kraft getreten ist, wurde die Strafbarkeit krimineller Handelsplattformen geschaffen. In diesem Beitrag gibt es einen Überblick über den Gang der Gesetzgebung. Kritische Anmerkungen von mir wurden auch bei Heise aufgegriffen.
Am 21.03.2009 griff der Angeklagte auf die Spielerkonten der Geschädigten T. P., Username: „d…..“, und M. S., Username: „S.“ bei dem Online-Spiel „Metin 2“ der Firma Gamforge 4D GmbH, Karlsruhe zu.
Die Zugangsdaten hat er zuvor von den gutgläubigen Geschädigten erhalten, die ihn als Mitspieler bereits kannten, ihm deshalb vertrauten und hofften, den jeweiligen Spielfiguren durch sein Spiel eine höherwertigere Ausrüstung zu verschaffen.
Nach erfolgtem Zugriff auf die Spieleraccounts veränderte der Angeklagte die Konfiguration der Spielfiguren der Geschädigten, indem er gewisse Spielrechte der Figuren der Geschädigten, die diese zuvor käuflich erworben hatten, entzog und teilweise in einschlägigen Spielerforen, teilweise bei Ebay zum Verkauf anbot.
Bei dem Geschädigten P. handelte es sich dabei im einzelnen um eine Rüstung, Waffen, Schilder und Ketten, die der Geschädigte für ca. 1.000,– € zuvor erworben hatte. Bei dem Geschädigten S. handelte es sich um den Entzug des kompletten Equipments einer Nahkampf-Ninia-Figur (Rüstung, Waffen, Schmuck und Geld) die der Geschädigte zuvor für ca. 1.000,– bis 1.500,– € käuflich erworben hatte.
Die Staatsanwaltschaft hat wegen des besonderen öffentlichen Interesses an der Strafverfolgung ein Einschreiten von Amts wegen für erforderlich erachtet.
III.
Nach dem festgestellten Sachverhalt hat sich der Angeklagte eines Vergehens der Datenveränderung nach §§ 303 a Abs. 1, 303 c Abs. 1 StGB schuldig gemacht.
Der Angeklagte hat rechtswidrig fremde Daten gelöscht bzw. unterdrückt und dadurch das von der Vorschrift des § 303 a StGB geschützte Vermögen der Geschädigten in seiner spezialisierten Ausprägungen in Daten geschädigt. Die Löschung bzw. Veränderung dieser von den Geschädigten käuflich erworbenen Daten war auch nicht von der Genehmigung gegenüber dem Angeklagten umfaßt, mit deren Figuren für die Geschädigten spielen zu dürfen. Dies wußte der Angeklagte.
Ein Vergehen des Diebstahls nach § 242 StGB liegt hingegen nicht vor, da nur die Entwendung beweglicher, d.h. körperlicher Sachen nach der genannten Vorschrift strafbar ist, nicht jedoch – wie hier – die Entwendung virtueller Ausrüstungsteile.
IV.
Der Angeklagte war zur Tatzeit 15 Jahre alt und damit Jugendlicher.
Wie er selbst einräumt, war ihm in vollem Umfang bewußt, dass er zur Unterdrückung der vorgenannten Daten nicht berechtigt war und durch seine Handlung den Geschädigten einen Vermögensschaden zufügt. Im übrigen hinterließ er vor Gericht einen durchaus altersentsprechend entwickelten Eindruck, so daß kein Zweifel an § 3 JGG erforderlichen Einsichtsfähigkeit besteht. Dies wird übrigens auch von der Jugendgerichtshilfe bestätigt.
Bei der Rechtsfolgenbemessung konnte zugunsten des Angeklagten neben seinem umfassenden Geständnis Berücksichtigung finden, dass er bereit ist, den Schaden wieder gut zu machen. Nachdem die Geschädigten diesen im einzelnen nicht genau beziffern konnten, wird der Schaden bei jedem der beiden Geschädigten auf 500,– € mindestens geschätzt. Diesen Betrag hat der Angeklagte den Geschädigten zu erstatten, sollte es nicht möglich sein, die unterdrückten bzw. veränderten Daten, die derzeit nach Bekundung der Beteiligten vom Hersteller blockiert werden, den Berechtigten wieder zugänglich zu machen.
Daneben war dem nicht vorgeahndeten Angeklagten die Weisung zu erteilen, 80 Sozialstunden binnen 3 Monaten nach näherer Bestimmung durch die Brücke Augsburg abzuleisten.
Hierbei wurde auch berücksichtigt, daß sich der Angeklagte mit der formlosen Einziehung seines als Tatmittel verwendeten Laptops einverstanden erklärt hat.
V.
Die Kostenentscheidung beruht auf § 74 JGG. Der Angeklagte verfügt lediglich über Taschengeld, so daß gerechtfertigt war, ihn von den Verfahrenskosten freizustellen. (Hinweis: Besprechung der Entscheidung hier)
Grundsätzliches zum Thema „Bring your own Device“ (BYOD)
Bring your own device („BYOD“): Grundsätzlich ist dazu zu raten, mit den Mitarbeitern eine ausdrückliche, schriftliche Nutzungsvereinbarung zu treffen, die in jedem Einzelfall – etwa bei Übergabe des konkreten Geräts – von dem Mitarbeiter abgezeichnet wird. Hier ist daran zu denken, klar zu stellen, dass es sich bei der Überlassung des Endgeräts bzw. der Zulassung der Nutzung privater IT im betrieblichen um eine rein freiwillige Leistung handelt, die an den Abschluss einer Nutzungsvereinbarung gebunden ist und jederzeit mit einer angemessenen Frist gekündigt werden kann. Andernfalls besteht das Risiko, dass irgendwann ein Arbeitnehmer sich hier auf eine betriebliche Übung berufen kann.
Soweit die Nutzung eines privaten Endgerätes eines Arbeitnehmers im Raum steht ist dann jedenfalls zwingend daran zu denken, dass jeglicher Zugriff oder gar die Benutzung durch Dritte vertraglich untersagt sein muss. Dies aus mehreren Gründen, etwa weil sonst eine möglicherweise unzulässige Übermittlung von personenbezogenen Daten Dritter vorliegt, aber auch weil auszuschließen ist, dass Dritte irgendwie Zugriff oder Kenntnis auf bzw. von unternehmensinternen Daten erhalten.
Wenn eine spezielle Software zum Einsatz kommen soll, die bestimmte Bereiche des Handys absichert, etwa durch eine Verschlüsselung, so muss der Einsatz dieser Software vertraglich als zwingende Voraussetzung vorgesehen sein.
Bring your own device: Kosten bei BYOD
Auf keinen Fall sollte man vergessen, die Kostenregelung beim „Bring your own device“ eindeutig zu klären. Wenn etwa ein privates Endgerät genutzt wird könnte es eine Lösung sein, dass Voraussetzung einer Nutzungsvereinbarung ist, dass der Arbeitnehmer eine Flatrate gebucht hat, so das etwa dienstlich veranlasste Telefonate oder Datenübermittlungen nicht zu Kostenstreitpunkten führen können. An diesen Kosten für eine solche Flatrate könnte sich dann der Arbeitgeber mit einer angemessenen Teilzahlung beteiligen. Durchaus denkbar wäre es natürlich auch, dass sämtliche Kosten im Einzelfall von dem Arbeitnehmer aufgeschlüsselt werden und die dienstlich veranlassten Kosten dann durch den Arbeitgeber erstattet werden, dieser Arbeitsaufwand dürfte aber sehr schnell das Verlassen, was im Alltag praktikabel ist. Nach meiner Einschätzung wird es am sinnvollsten sein, dass das Kostenrisiko durch eine Flatrate bereits begrenzt wird und hieran dann eine angemessene Teilzahlung geleistet wird damit man keine Übervorteilung des Arbeitnehmers vorwerfen kann.
An dieser Stelle möchte ich auch kurz erwähnen, warum ich schon weiter oben angesprochen habe, dass die Möglichkeit der Kündigung vorgesehen ist, nicht aber thematisiert habe, dass ein jederzeitiger Widerruf möglich sein soll: möglicherweise trifft der Arbeitnehmer bereits eigene Dispositionen, etwa bei der Nutzung eines privaten Endgerät dahingehend, dass ein bestimmter Mobilfunk Tarif gewählt wird, der sonst nicht ausgewählt worden wäre. Macht insoweit Sinn, dass man sich zwar einen Widerrufs-oder Änderungsvorbehalt ausbedingt, hierbei dann aber entsprechende Fristen vorsieht, die Übergangszeiten ermöglichen, damit man sich nicht dem Vorwurf ausgesetzt sieht, keine Rücksicht auf die Dispositionen des Arbeitnehmers genommen zu haben. Es ist an dieser Stelle immer daran zu denken, dass ein gewisser Fairnessausgleich auf beiden Seiten stattfinden muss.
„Bring your own device“: Arbeitsrechtliches zu BYOD
Im Hinblick auf arbeitsrechtliche Regelungen ist zuvorderst klarzustellen, dass regelmäßig davon auszugehen sein wird, dass der Betriebsrat bei der gesamten Thematik „Bring your own device“ ein Mitbestimmungsrecht haben dürfte. Ob diesen konkret vorliegt und in welchem Umfang es besteht hängt sehr stark an den konkreten Fragen des Einzelfalls, grundsätzlich ist aber schon jetzt darauf hinzuweisen, dass man immer an ein solches Mitbestimmungsrecht denken wird.
Insbesondere bei folgenden Themen ist an ein solches Mitbestimmungsrecht zu denken: bei der Einrichtung und Ausgestaltung der Überwachung von Endgeräten, Zeitpunkt und Zeitraum der Einführung des BYOD und auch die Regelung der Art und Weise der Nutzung, etwa wenn im Ausland ein bestimmtes Nutzungsverhalten untersagt sein soll oder wenn Vorgaben gemacht werden sollen hinsichtlich der Frequenz des Abrufen von Nachrichten, etwa während Dienstreisen.
Eine schnell aus den Augen verlorene Thematik ist die Regelung der Arbeitszeit: Es liegt in der Natur der Sache, dass das Endgerät über die normale Arbeitszeit hinaus genutzt wird. Der Arbeitnehmer sollte insoweit angehalten werden, von sich aus darauf zu achten dass keine Überschreitung der arbeitszeitkleinsten Eintritt. Es kann auch sinnvoll sein, zu regeln, dass eine Überstundenvergütung nur dann anfällt, wenn über das Endgerät eine dienstbezogene Tätigkeit über die normale Arbeitszeit hinaus stattfindet, soweit dies vom Arbeitgeber auch veranlasst wurde bzw. angeordnet wurde.
Beendigungsszenario bei BYOD regeln
Ausdrücklich geregelt sollte auch sein, unter welchen Umständen die gesamte Regelung zum „Bring your own device“ ihr Ende findet. So könnte ein Kündigungsrecht vorgesehen sein oder direkt die gesamte Regelung von vornherein nur befristet zur Anwendung gelangen. Ein eindeutiger Kündigungsgrund sollte dabei sein, dass sich der Arbeitnehmer nicht an die getroffene Regelung hält, da in einem solchen Fall zur Vermeidung von Datenschutzverstößen dem Arbeitgeber die Möglichkeit der zeitnahen Beendigung der Vereinbarung offen stehen sollte.
Zustimmung zur Speicherung von Daten bei BYOD
Jedenfalls bei privaten Endgeräten ist daran zu denken, dass dieses im Eigentum des Arbeitnehmers steht und dann der Speicherung betrieblicher Daten hier eine eigene Relevanz zukommt. Hintergrund ist, dass jede Speicherung bereits eine Datenveränderung darstellt, die ohne Einwilligung zumindest theoretisch bereits einen Straftatbestand (§303a StGB) darstellen könnte. Vor dem Hintergrund macht es Sinn, nochmals ausdrücklich die Zustimmung zur Speicherung von betrieblichen Daten einzuholen und dabei zugleich verständlich und durchaus detailliert klarzustellen, in welcher Form und gegebenenfalls mit welcher Software die entsprechenden Daten wo in dem Endgerät gespeichert werden.
Eine zu pauschale Zustimmung dagegen, die ins Blaue hinein erklärt wird ohne dass die technischen Hintergründe zumindest nachvollziehbar dargestellt sind, könnte schnell als unwirksam zu betrachten sein. Diese ausdrückliche Zustimmung ist dann selbst verständlich auch notwendig, wenn zur Installation entsprechender Software eine wenn auch nur kurzzeitige Überlassung des Endgerätes an den Arbeitgeber notwendig sein sollte.
Quelle: NCSC, Contains public sector information licensed under the Open Government Licence v3.0., http://www.nationalarchives.gov.uk/doc/open-government-licence/version/3/
BYOD: Mobile Device Management (MDM)
Es besteht im Bereich des „Bring your own device“ regelmäßig ein Bedarf nach einem sogenannten MDM. Dies ist aus Sicht des Arbeitgebers nicht nur nachzuvollziehen, sondern drängt sich geradezu auf. die Thematik ist allerdings äußerst sensibel und darf auf gar keinen Fall unterschätzt werden.
Sollten sich auf dem Endgerät gar keine privaten Daten befinden oder sollten private Daten und betriebliche Daten stringent getrennt sein und ein Zugriff auf die privaten Daten von vornherein ausgeschlossen sein, wäre dies die aus meiner Sicht sicherste Lösung und auch in jedem Fall anzustreben.
In jedem anderen Fall besteht die zumindest theoretische Möglichkeit des Zugriffs auf private Daten oder es muss sogar auf diese zugegriffen werden, alleine um sodann überhaupt erst die Unterscheidung zwischen privaten und betrieblichen Daten vornehmen zu können. Hier kann zwar durchaus auch mit einer Einwilligung bzw. Zustimmung gearbeitet werden, diese stößt aber sehr schnell an ihre Grenzen, wenn man nur alleine schon daran denkt, dass einem Arbeitnehmer vielleicht die Nutzung privater Mails erlaubt ist und im Zuge dessen dann Zugriff auf die Mails von Dritten auf dem Handy des Arbeitnehmers stattfindet. Aus meiner Sicht wäre ein derart problematisches Szenario im Idealfall immer zu vermeiden. Ich möchte dies an dieser Stelle nicht über Gebühr vertiefen, es sei aber grundsätzlich darauf hingewiesen, dass es für Arbeitgeber generell der einfachste Weg ist, die private Nutzung von E-Mails generell zu untersagen.
Am Rande sei an dieser Stelle darauf hingewiesen, dass in dem Fall, in dem eine SIM-karte nicht durch den Arbeitnehmer erworben wird, sondern durch den Arbeitgeber zur Verfügung gestellt wird, der Arbeitgeber dann als Telekommunikationsanbieter einzustufen wäre, was weitere Pflichten nach sich zieht. Da dies derzeit wohl nicht angedacht ist möchte ich dies an dieser Stelle nicht vertiefen, im konkreten Einzelfall sollte dies allerdings vertieft geklärt werden.
Ebenfalls vertraglich regeln sollte man, wie eine Löschung von Daten zu erfolgen hat. Dies sollte in der Nutzungsvereinbarung von Anfang an klar geregelt sein, wobei aus meiner Sicht in erster Linie immer zwei Wege in Betracht kommen: Entweder das Endgerät muss ausgehändigt werden damit es dann untersucht und entsprechende Daten gelöscht werden oder es ist eine Software mit einem Zugang von außen vorgesehen, über die der Arbeitgeber Löschungen vornehmen kann. Im einfachsten Fall ist auch hier wieder sichergestellt, dass in einem eigenen Bereich die Speicherung der Daten stattfindet, so das von Anfang an vertraglich nur das Löschen dieses Bereichs vorgesehen ist und der Zugangsweg klar in dem Sinne vereinbart ist, dass der Mitarbeiter Sorge zu tragen hat, dass der Zugang zum Endgerät durch den Arbeitgeber sichergestellt ist. Eine mangelnde vertragliche Vereinbarung hat gleich zwei schwerwiegende Konsequenzen: zum einen sind sie schon datenschutzrechtlich dazu verpflichtet, dafür Sorge zu tragen, dass erhobene Daten dann gelöscht werden, wenn sie nicht mehr benötigt werden. Damit ist zugleich auch sichergestellt, dass nicht dritte unberechtigt Kenntnis von diesen Daten erlangen und bei Ihnen möglicherweise irgendwelche Meldepflichten ausgelöst werden. Auf der anderen Seite ist das rechtswidrige Löschen von Daten in fremden Systemen eine eindeutige Straftat, wobei sich bei geeigneter Zustimmung die strafrechtliche Relevanz verhindern lässt. Gleich im mehrfachen Sinn liegt bis dahin ihrem Interesse, diesen Aspekt ausdrücklich und abschließend zu regeln.
Sicherung des eigenen Endgerätes im Rahmen des BYOD
Dem Arbeitnehmer sollten in der vertraglichen Vereinbarung grundsätzliche Pflichten auferlegt werden, wie das Endgerät zu sichern ist. Dies beginnt bei Standardmaßnahmen wie etwa einem Passwortschutz um auf das Gerät zuzugreifen, geht über allgemeine Hinweise zur Aufbewahrung des Gerätes bis hin zu Untersagung bestimmter Dienste, wie etwa international zugänglicher Cloud-Lösungen, bei denen der Ort der Speicherung der Daten nicht hinreichend sicher gestellt ist. Zu denken ist auch daran, dass beispielsweise auf mobilen Endgeräten die Installation bestimmter Apps untersagt wird, dies kann auch in der Form geschehen, dass bestimmte Kategorien von Apps, umschrieben durch eine Funktionsbeschreibung, untersagt werden.
Meldepflichten des Arbeitnehmers regeln
In der Nutzungsvereinbarung sollte in jedem Fall geregelt sein, welche Meldepflichten den Arbeitnehmer treffen. So sollte er in jedem Fall dazu angehalten sein, zwingend und unverzüglich den Verlust des gesamten Endgerätes dem Arbeitgeber melden zu müssen. Auch darüber hinaus könnten Meldepflichten sinnvoll sein, etwa wenn der Arbeitnehmer feststellt, dass bestimmte und in der Nutzungsvereinbarung notwendig vorgesehene Dienste nicht oder nicht zuverlässig arbeiten.
BYOD: Haftung bei Verlust des Endgerätes
Abschließend ist daran zu erinnern, dass absehbar gerade bei einer hohen Anzahl von Mitarbeitern hin und wieder der Fall auftreten wird, dass ein Endgerät verloren geht, beschädigt wird oder gar zerstört wird. Diese Thematik wird unliebsam sein, sollte aber in jedem Fall zwingend zwischen Arbeitgeber und Arbeitnehmer mit klaren Kriterien wer unter welchen Umständen für den Schaden einzustehen hat, im Rahmen des „Bring your own device“ geregelt sein.
Ich möchte, unter Rückgriff auf die Rechtsprechung zur Nutzung eines Dienst-PKW bzw. eines vom Arbeitgeber auch für private Zwecke überlassenen PKW, die sich insoweit aus meiner Sicht ergebende Rechtsprechung sehr kurz wie folgt zusammenfassen: wenn der Verlust durch Einwirkung des Arbeitgebers entstanden ist oder im Rahmen betrieblicher Veranlassung auftritt, wird man grundsätzlich von einer Haftung des Arbeitgebers ausgehen können. Wenn dagegen alleine das allgemeine Lebensrisiko des Arbeitnehmers Ursache war dürfte von keiner Haftung des Arbeitgebers auszugehen sein. Bei der Bemessung der Risikosphären sollte man nicht alleine darauf abstellen, ob ein Verlust oder Ähnliches während der Arbeitszeit aufgetreten ist, sondern es ist schon konkret zu prüfen, ob es sich im Rahmen betrieblicher Veranlassung ereignet hat. In jedem Fall sollte die Arbeitgeberhaftung für solche Fälle dann ausgeschlossen sein, wenn Verlust oder Ähnliches durch den Arbeitnehmer durch grobe Fahrlässigkeit oder Vorsatz herbeigeführt wurden.
Eine Klausel zur Haftung in diesen Fällen sollte sich an diesen Grundsätzen orientieren. Wenn man eine pauschale Lösung sucht dürfte es vertraglich wohl ohne Bedenken sein, wenn der Arbeitgeber dem Arbeitnehmer gegenüber erklärt, bei Verlust etc. grundsätzlich für eine Ersatzbeschaffung einzustehen. Hierbei sollte gleichwohl allerdings schon aus Gründen der Fairness zumindest der Vorsatz, wenn nicht auch die grobe Fahrlässigkeit, ausgeschlossen sein. Andersherum ist es eher schwierig bis ausgeschlossen, dem Arbeitnehmer pauschal das gesamte Risiko eines Verlustes etc. aufzubürden. Aus meiner Sicht wäre dies allenfalls dann denkbar, wenn dem Arbeitnehmer hierbei eine Risikozulage oder ähnliches zugewendet wird.
Hinweis: Dies ist das Gesetz, mit dem die §§202a ff., 303a ff. StGB geschaffen wurden, also die Grundlage des heutigen IT-Strafrechts. Status: Verkündet und in Kraft getreten
Gesetz zur Bekämpfung der Computerkriminalität: Abstimmungsverlauf
Ich habe möglichst viel an Unterlagen dazu zusammengetragen, die sich wie gewohnt unten finden. Von einer Darstellung sehe ich im Übrigen ab.
Gesetz zur Bekämpfung der Computerkriminalität: Links & Literatur
Schlagwort bei mir: Keins vergeben, zu allgemein ;)
Kurze Inhaltsangabe gemäß Dokumentationsystem des Bundestages
Umsetzung von Vorgaben europäischen Rechts zur Computerkriminalität in nationales Recht; Änderung bzw. Ergänzung des Strafgesetzbuches, Änderung § 130 Gesetz über Ordnungswidrigkeiten
Mehrkosten durch nicht quantifizierbaren Vollzugsaufwand werden aus dem Epl 07 gegenfinanziert.
Bezug: Rahmenbeschluss 2005/222/JI des Rates vom 24. Februar 2005 über Angriffe auf Informationssysteme (ABl. EG Nr. L 69, 16.03.2005, S. 67) Ratifikation des Übereinkommens des Europarats über Computerkriminalität vom 23. November 2001, s. XC010
Schlagwörter: Computerkriminalität; Gesetz über Ordnungswidrigkeiten; Innerstaatliche Umsetzung von EU-Recht; Strafgesetzbuch; Strafrechtsänderungsgesetz ; Übereinkommen über Computerkriminalität
Nebenschlagwörter: Rechtsangleichung in der EU/… Strafrechtsänderungsgesetz zur Bekämpfung der Computerkriminalität * Computerkriminalität/… Strafrechtsänderungsgesetz zur Bekämpfung der Computerkriminalität * Strafgesetzbuch/Änderung und Ergänzung versch. §§ StGB betr. Computerkriminalität * Ordnungswidrigkeit/Änderung § 130 OWiG betr. Computerkriminalität
Aus dem Entwurf zum Gesetz zur Bekämpfung der Computerkriminalität zu „Problem und Ziel“
Die rasanten Fortschritte im Bereich der Informationstechnologie bieten ein breites Spektrum neuer Möglichkeiten, aber auch des Missbrauchs, der vor den Grenzen der Staaten nicht haltmacht. Deshalb entstanden auf der Ebene des Europarates und der Europäischen Union Rechtsinstrumente, die der strafrecht- lichen Bekämpfung der Computerkriminalität dienen und die zu Umsetzungs- bedarf im deutschen Strafrecht führen:
Das Übereinkommen des Europarates über Computerkriminalität vom 23. November 2001 zielt auf einen Mindeststandard bei den Strafvorschriften über bestimmte schwere Formen der Computerkriminalität ab. Darüber hinaus enthält es Vorgaben für das Strafverfahrensrecht, die internationale Zusammenarbeit und zur Rechtshilfe.
Der Rahmenbeschluss 2005/222/JI des Rates vom 24. Februar 2005 über Angriffe auf Informationssysteme (ABl. EU Nr. L 69 S. 67) verpflichtet die Mitgliedstaaten der Europäischen Union ebenfalls, schwere Formen der Computerkriminalität unter Strafe zu stellen. Durch Angleichung der einzel- staatlichen Strafvorschriften gegen Angriffe auf Informationssysteme soll die Zusammenarbeit zwischen den Justiz- und Strafverfolgungsbehörden ver- bessert werden.
Der Angeklagte A ist schuldig 614 Vergehen der Fälschung beweiserheblicher Daten je in Tateinheit mit Datenveränderung. Der Angeklagte wird zu der Gesamtfreiheitsstrafe von 11 Monaten verurteilt. Die Vollstreckung der Strafe wird zur Bewährung ausgesetzt. Der Angeklagte trägt die Kosten des Verfahrens und seine eigenen Auslagen.
I. Der Angeklagte A wurde am … 1974 in … geboren, er ist … Staatsbürger. Er lebt seit 1982 in Deutschland. Nach dem Abitur schloss er eine Lehre zum Elektriker ab. Danach begann er ein Studium der Volkswirtschaftslehre in T, das er abbrach, und nahm an der Fachhochschule N ein Studium der Immobilienwirtschaft auf. Er ist seit … 2010 verheiratet, seine aus … stammende Ehefrau studiert in S. Sie hat kein eigenes Einkommen. Der Angeklagte ist neben seinem Studium bei einer Agentur in H beschäftigt. Dort verdient er netto monatlich 1 430 EUR. Für die Miete wendet er einschließlich Nebenkosten 850 EUR auf. Der Angeklagte hat Schulden von rund 15 000 EUR, die im Zusammenhang mit dem Erwerb eines Grundstücks durch seine Mutter in … im Rahmen einer Erbauseinandersetzung entstanden sind. Das bebaute Grundstück wird von der Mutter der Angeklagten, die sich die Hälfte des Jahres dort aufhält, benutzt. Gegen den Angeklagten wurde durch die Entscheidung des Amtsgerichts Heidelberg vom 23.07.2008 wegen vorsätzlicher Gefährdung des Straßenverkehrs eine Geldstrafe von 30 Tagessätzen zu je 10 EUR sowie ein Fahrverbot von 3 Monaten verhängt. Die Geldstrafe ist vollständig bezahlt.
II. Bei einem Besuch in Polen erkannte der Angeklagte, dass die Sperren in Mobilfunktelefonen, die ein Verwendung mit einer anderen SIM-Karte als ursprünglich vorgesehen und zugelassen (sog. Sim-Lock) oder die Verwendung in anderen Mobilfunknetzen als ursprünglich vorgesehen und zugelassen (sog. Net-Lock) verhindern, durch einfache Handgriffe entfernt werden können. Er erkannte, dass durch die Differenz zwischen dem für den Erwerb eines gesperrten Telefons und dem für die Entsperrung entstehenden Aufwand einerseits und dem Erlös für ein entsperrtes Mobiltelefon andererseits Gewinn erwirtschaftet werden kann. Da er zu diesem Zeitpunkt über keine eigenen Einnahmen, auch nicht aus Unterhalt bzw. Bafög, verfügte, entschloss er sich, zur Finanzierung seines Studiums gesperrte Mobiltelefone zu erwerben, diese zu entsperren und über eigene bzw. ihm zur Verfügung stehende eBay-Konten weiter zu veräußern. Ihm war dabei bewußt, dass die gesperrten Mobiltelefone von den Netzbetreibern bezuschusst wurden, um dem Kaufpreis der „gelockten“ Telefone zu subventionieren. Ihm war auch klar, dass die Sperre vom Kunden erst nach Zahlung eines Betrags von i.d.R. 100 EUR in den ersten 24 Monaten nach Erwerb entfernt werden konnte, oder aber erst nach Ablauf der 24 Monate ohne Entgelt. Er nahm zumindest billigend in Kauf, zur Beseitigung des SIM-Lock nicht berechtigt zu sein. Am 18.01.2006 erwarb der Angeklagte einen „Flasher“ für 213,63 EUR von der Firma K GSM. Damit konnten Mobilfunktelefone insbesondere der Marke M, die einen SIM-Lock (Sperre der Subscriber-Identity-Module-Karte) enthielten, innerhalb kurzer Zeit entsperrt werden. Am 08.08.2007 erwarb er noch ein Zusatzgerät zum Preis von 99,96 EUR. Im Zeitraum von 21. Februar 2006 bis 03. Juni 2008 entfernte der Angeklagte in seiner Wohnung bei 614 Mobilfunktelefonen, die durch einen SIM-Lock an den Provider V gebunden waren, mittels des Flashers den SIM-Lock. Dazu verband der Angeklagte jeweils das Mobiltelefon mit dem Flasher und betätigte den „Clean“-Schalter, wodurch die Dateneintragungen des SIM-Lock im Mobiltelefon so manipuliert wurden, dass das Mobiltelefon entsperrt wurde. Während des etwa eine halbe Minute dauernden Vorgangs wurde weder ein vollständiges Betriebssystem noch eine vollständige Firmware – als hardwarenahes Steuerungsprogramm – auf das Mobiltelefon übertragen. Die Mobilfunktelefone hatte er jeweils unmittelbar zuvor neu über ca. 30 verschiedene Fachhändler erworben. Es handelte sich hierbei ausschließlich um Mobilfunktelefone, die aus sogenannten Prepaid-Bundles stammten, d.h. einer Kombination aus einer SIM-Karte und einem damit gekoppelten Mobilfunktelefon. Der Angeklagte hat die Daten, die die Sim-Lock-Sperre bewirken, durch den Anschluss an den Flasher gelöscht bzw. verändert. Die Befugnis, den SIM-Lock zu entfernen, lag, wie er wusste, unabhängig vom Eigentum an den Mobilfunkgeräten, zu den jeweiligen Tatzeitpunkten ausschließlich beim Provider V. Durch die Einwirkung auf das Programm in den Mobilfunkgeräten, das die Einwahl mit anderen SIM-Karten verhindert, wurde dem Programm vorgespiegelt, es habe bereits eine reguläre Entsperrung durch den Provider stattgefunden. Durch die Entfernung der SIM-Lock-Sperre erweckte der Angeklagte zugleich im Rechtsverkehr den Eindruck, die Sperre sei ordnungsgemäß durch den Provider entfernt worden. Im einzelnen handelte es sich um die nachfolgend aufgeführten Mobilfunktelefone, die der Angeklagte nach der Entsperrung als neu und sim-lock-frei zu den dort angegebenen Zeitpunkten an die nachstehenden Personen verkauft hatte. Je Verkauf erzielte der Angeklagte einen Gewinn zwischen 10 und 30 EUR.
[…]
III. Der Angeklagte ist schuldig 614 Vergehen der Datenveränderung jeweils tateinheitlich mit gewerbsmäßiger Fälschung beweiserheblicher Daten gemäß §§ 269, 267 Abs. 3 S. 1 und S. 2 Nr. 1 und 3, 303a, 303c, 52, 53 StGB.
IV. Die Strafe war in jedem der Einzelfälle gem. § 52 StGB dem Strafrahmen der §§ 269, 267 III StGB zu entnehmen, der Freiheitsstrafe von 6 Monaten bis zu 10 Jahren vorsieht. Anlass, die Tat nicht als jeweils besonders schweren Fall zu werten, sah das Gericht nicht. Unter Abwägung der relevanten Strafzumessungsgesichtspunkte, insbesondere des Geständnisses des Angeklagten, des Umstands, dass die Schäden in jedem Einzelfall gering waren, erachtete das Gericht jeweils eine Freiheitsstrafe von 7 Monaten für tat- und schuldangemessen. Unter erneuter Abwägung der relevanten Strafzumessungsgesichtspunkte bildete das Gericht deshalb eine Gesamtfreiheitsstrafe von 12 Monaten. Im Hinblick auf die nicht mehr zur Gesamtstrafenbildung heranzuziehende Geldstrafe von 30 Tagessätzen nahm das Gericht einen Härteausgleich dergestalt vor, dass auf eine Gesamtfreiheitsstrafe von 11 Monaten erkannt wurde. Die Vollstreckung der Strafe konnte zur Bewährung ausgesetzt werden. Der Angeklagte hat die Taten eingestanden, er ist nicht vorbestraft und lebt in geordneten persönlichen und wirtschaftlichen Verhältnissen. Das Gericht geht davon aus, dass der Angeklagte gleichartige oder gleichwertige Straftaten nicht mehr begehen wird.
Im Rahmen eines zivilrechtlichen Streits konnte sich das Oberlandesgericht des Landes Sachsen-Anhalt (6 U 3/14) zur Zuordnung von Daten an einen Berechtigten äußern, was insbesondere für die Annahme einer Strafbarkeit wegen Ausspähen von Daten (§202a StGB) von Bedeutung ist.
Es ging – konzentriert – um Messdaten, die durch ein Messsystem zur Geschwindigkeitsmessung erzeugt werden und die Frage, wer hier Zugriffsberechtigt ist. Das OLG führt sehr sauber und Nachvollziehbar aus, dass auch bei einem vollautomatischen Messsystem die Erzeugung der Daten („Skripturakt“) durch die Bedienung zu Stande kommt und nicht durch das System selber. Der Berechtigte an den Daten ist damit in erster Linie derjenige, der das System benutzt, nicht der Hersteller des Systems, auch wenn auf dessen Funktionen letztlich zurückgegriffen wird.
Ransomware ist zumindest seit den Jahren 2015/2016 ein massiv gestiegenes Problemfeld. In diesem Beitrag gibt es Hinweisen zur Vorbereitung auf Ransomware-Befall und zum Umgang mit durch Ransomware erfolgte Verschlüsselung.
Was ist Ransomware
Es gibt zwei Arten von Ransomware:
Ransomware, die keine Verschlüsselung der Festplatte durchführt, sondern durch eine Manipulation lediglich den Zugriff auf das System versperrt.
Krypto-Ransomware, die die Daten auf den infizierten Endsyste- men und aktuell auch mittels Netzwerk verbundenen Systemen (Server, Dateiablagen etc.) tatsächlich verschlüsselt.
Als Ransomware werden heute üblicher Weise diejenigen Schadprogramme bezeichnet, die Daten oder ganze Systeme verschlüsseln und den Zugriff darauf verhindern. Zur Freigabe wird die Zahlung eines Lösegeldes (auf englisch: „ransom“) gefordert. Es geht also im Kern um eine Kombination aus Datenveränderung/Datenunterdrückung und digitaler Erpressung. Eine Variante hiervon ist Ransomware, die zwar nicht verschlüsselt aber durch sonstige Manipulation – etwa des Dateisystems – den Zugriff auf Daten verhindert.
IT-Sicherheitsrecht & Sicherheitsvorfall
Wir bieten für Unternehmen (nicht für Privatpersonen!) juristische Beratung bei einem Sicherheitsvorfall sowie im IT-Sicherheitsrecht: rund um Verträge, Haftung und Compliance wird Hilfe in der Cybersecurity von jemandem geboten, der es kann – IT-Fachanwalt und Strafverteidiger Jens Ferner bringt sein Fachwissen mit dem Hintergrund des Softwareentwicklers und Verteidigers von Hackern in Unternehmen ein!
Ransomware kann sich ideal verbreiten durch kontaminierte Dateianhänge an Mails und sorglose Internetnutzer. Gegen Ransomware hilft aus meiner Sicht am besten eine präventive Tätigkeit: Rotierende Backups, ein durchdachtes IT-Sicherheitskonzept und geschulte Mitarbeiter.
Bewahren Sie immer eine Kopie Ihrer wichtigsten Dateien an einem anderen Ort auf: in der Cloud, auf einem anderen Laufwerk offline, auf einem Memory Stick oder auf einem anderen Computer.
Verwenden Sie zuverlässige und aktuelle Antiviren-Software.
Laden Sie keine Programme von verdächtigen Quellen herunter.
Öffnen Sie keine Anhänge in E-Mails von unbekannten Absendern, auch wenn sie wichtig und glaubwürdig aussehen.
Und wenn Sie ein Opfer sind, zahlen Sie nicht das Lösegeld!
Ransomware ist eine Pest und jeder Mitarbeiter samt eigenem PC ein potentielles Einfallstor. Neben dem Erarbeiten einer effektiven Abwehrstrategie sollte in jedem Fall auch die Vorbereitung des „Falls der Fälle“ zum eigenen Repertoire gehören.
Jens Ferner
Fachanwalt für IT-Recht
Ransomware ist kein kurzlebiger Trend
Ransomware ist Profitorientiert und die Opfer sind geneigt zu zahlen, wie Statistiken immer wieder zeigen – das macht es zu einem äusserst profitablen Geschäft und es ist abzusehen, dass hier nicht kurzlebigkeit sondern vielmehr ein Nachhaltiger Geschäftszweig im Raum steht.
Was rät das BSI zur Ransomware?
Das BSI rät davon ab, auf die Lösegeldforderungen einzugehen, da die Dateien oder Programme auch nach Bezahlen der geforderten Geldsumme in vielen Fällen nicht entschlüsselt werden. Stattdessen sollten Betroffene den Bildschirm mitsamt der Erpressungsnachricht fotografieren und Anzeige erstatten.
Die auf dem Desktop-Rechner, Netzlaufwerk oder Mobilgerät gespeicherten Daten sind in der Regel für den Nutzer nicht mehr zugänglich. Zuvor manuell oder mithilfe einer Backup-Software erstellte Sicherungskopien sind meist die einzige Möglichkeit, die Dateien wiederherzustellen. Grundsätzlich sollten verfügbare Sicherheitsupdates für das Betriebssystem und verwendete Programme unmittelbar installiert werden, damit Angreifer bekannte Sicherheitslücken nicht ausnutzen und Ransomware auf den Rechner aufspielen können. Darüber hinaus sollte man E-Mails sowie darin enthaltene Links oder Dateianhänge nicht unbedacht öffnen.
Wie kann man Ransomware entfernen?
Ruhig bleiben, nicht panisch werden, den Rechner nicht ausschalten oder neu starten. Es gibt zwei Dinge die Sie tun können:
Versuchen Sie die Schadsoftware zu identifizieren, am besten mit Hilfe von ID-Ransomware, wo Sie mit Hilfe von Dateien oder der Erpressungsmail den Angreifer identifizieren und eventuell vorhandene Entschlüsselungstools sofort einsetzen können:
Ansicht der Webseite ID-Ransomware
Im Übrigen nehmen Sie sich die Zeit und lesen diesen Beitrag bei Heise – machen Sie langsam, ohne Hektik. Beachten Sie darüber hinaus das Angebot „NoMoreRansom.org„. Hierbei handelt es sich um eine öffentlich-private Partnerschaft, die Opfern von Lösegeldforderungen hilft, ihre verschlüsselten Daten wiederzuerlangen, ohne dass diese den Lösegeldbetrag an Cyberkriminelle zahlen müssen. Die Plattform No More Ransom“, feierte im Juli 2020 sein vierjähriges Jubiläum feiert, und hat nach eigenen Angaben seit seiner Einführung über 4,2 Millionen Besucher aus 188 Ländern registriert und verhindert, dass geschätzte 632 Millionen Dollar an Lösegeldforderungen in die Taschen von Kriminellen gelangten.
Die Veränderung von Daten durch einen Arbeitnehmer kann schnell arbeitsrechtliche Fragen aufwerfen, insbesondere wenn es hierbei um Straftatbestände geht. Das Landesarbeitsgericht Köln (11 Sa 405/15) hatte beispielsweise einen Sachverhalt zu bewerten, der Verschränkungen zum IT-Strafrecht bietet: Frau A und Herr B arbeiten beim gleichen Arbeitgeber und sind liiert, wobei gegen Frau A der Verdacht des Arbeitszeitbetruges besteht. Sie wird freigestellt und händigt die überlassene Hardware aus. Nun plötzlich werden private Einträge in ihrem Kalender von aussen gelöscht, es kommt heraus, dass dies über den Account des Herrn B passierte. Liegt eine strafbare Datenveränderung vor?
Kann einem Arbeitnehmer fristlos gekündigt werden, wenn er eigenmächtig Daten verändert, die der Arbeitgeber benötigt und die auf einem Server des Arbeitgebers gespeichert sind? Beim Landesarbeitsgericht Hamm (15 Sa 451/15) ging es um ebendiese Frage und im Kern wurde es bejaht.
Es ging darum, dass ein Mitarbeiter eines Sozialpsychiatrischen Dienstes aus privaten Gründen „Stammdaten“ einer Patientin verändert hatte und damit die ordnungsgemäße Tätigkeit sabotierte. Das Landesarbeitsgericht hat festgestellt, dass ganz allgemein die Veränderung betriebswichtiger Daten einen Grund für eine fristlose Kündigung darstellt. Dabei ist es ohne Belang, ob eine Straftat vorlag oder die Verarbeitung von Daten zum Kernarbeitsbereich gehört.
Das Landesarbeitsgericht betont damit die Bedeutung von Daten und deren Konsistenz bzw. des Vertrauens von Betrieben in vorhandene Datenbestände. Gleichwohl: Auch wenn es durchaus einen Kündigungsgrund darstellt, so kommt es auf den Einzelfall an. Vorliegend war die fristlose Kündigung nicht gerechtfertigt, weil das Landesarbeitsgericht der Meinung war, dass in diesem Fall (es ging um einen älteren Arbeitnehmer der auch noch weiterbeschäftigt wurde sowie einen einmaligen Vorfall mit privatem Hintergrund) eine Abmahnung und ggfs. ordentliche Kündigung ausreichend gewesen wäre. Dennoch zeigt die Entscheidung deutlich auf, wie Umsichtig Arbeitnehmer handeln müssen und dass Arbeitgeber nicht eigenmächtige Datenmanipulationen hinnehmen müssen. (mehr …)
Bei dem Verhalten handelt es sich um ein offenkundig strafbares Verhalten: Zum einen liegt mindestens eine versuchte Erpressung vor (§253 StGB) aber auch eine strafbare Datenveränderung die bereits im Verschlüsseln der Dateien zu erkennen ist (§303a Abs.1 StGB). Da von einem koordinierten Handeln auszugehen ist, wird jedenfalls das Merkmal der gewerbsmäßigkeit kein Problem darstellen, so dass eine Freiheitsstrafe von mindestens 1 Jahr im Raum steht.
Es gibt angesichts solcher Bedrohungen, die in Zukunft zunehmen dürften, vor allem einen Rat: Sauber getrennte und laufend aktuell gehaltene Backups auf externen Datenträgern. Unternehmen die gehackt wurden finden einen speziellen Beitrag von mir dazu; grundsätzlich sei ohnehin geraten, von Zahlungen Abstand zu nehmen. Es bleibt insbesondere abzuwarten, ob sich nicht nach einer gewissen Wartezeit ein Tool ergibt, dass die Verschlüsselung wieder rückgängig machen kann, dies wäre nicht das erste Mal in einem solchen Fall.
Es war der 2013 tragsich viel zu früh verstorbene „Barnaby Jack“, der auf der Black Hat Konferenz 2010 das Jackpotting vorstellte: Man greift einen Geldautomaten dadurch an, dass man einen Steckplatz für Flashspeicher freilegt und ein eigenes Rootkit („Schadsoftware“) installiert, damit der Geldautomat – ohne ein Konto zu belasten – seinen Inhalt schlicht ausgibt.
Nunmehr gibt es erste Fälle dieser Angriffsmethode in Deutschland und man kann sich die Frage stellen, wonach ist das strafbar – welcher Tatbestand wird beim Jackpotting verwirklicht? (mehr …)
