Wirtschaftsspionage bezeichnet den Prozess, bei dem vertrauliche Informationen, Technologien oder Geschäftsgeheimnisse eines Unternehmens oder einer Organisation illegal erlangt werden. Dies kann durch Hacking, Bestechung von Mitarbeitern, Unterwanderung oder andere unethische Methoden geschehen.
Die Wirtschaftsspionage zielt darauf ab, einem Konkurrenten oder einem fremden Staat wirtschaftliche Vorteile zu verschaffen. Doch was bedeutet das in der Praxis für Unternehmen?
Rechtliches zur Wirtschaftsspionage
Die rechtliche Definition von Wirtschaftsspionage kann von Land zu Land variieren, und es kann schwierig sein, spezifische Handlungen als illegal zu identifizieren. In vielen Rechtsordnungen ist Wirtschaftsspionage strafbar, aber die Durchsetzung kann komplex sein, besonders wenn sie über internationale Grenzen hinweg stattfindet.
In Deutschland sind gleich mehrere Bereiche betroffen: Wenn Cyber-Wirtschaftsspionage betrieben wird, sind grundsätzlich Datendelikte verwirklicht; darüber hinaus werden die üblichen Delikte rund um Schutzrechte betroffen sein, speziell das Geschäftsgeheimnisschutzgesetz und Urheberrechte. Die Angreifer können sich dabei sogar im Rahmen einer geheimdienstlichen Tätigkeit (§99 StGB) strafbar machen, wenn eine fremde Regierung betroffen ist. Doch auch die Geschäftsleitung des angegriffenen Unternehmens muss vorsichtig sein, Stichwort: Compliance.
Das BKA befasst sich in einem Kurzpapier mit dem Thema Wirtschaftsspionage und Konkurrenzausspähung, insbesondere im Hinblick auf deutsche Unternehmen. Nachfolgend einige wesentliche Punkte, die in dem Dokument hervorgehoben werden:
- Täter und Herkunft: Die Täter kommen häufig aus Ländern wie China, anderen asiatischen Staaten, den USA und Russland. Einige Studien haben jedoch gezeigt, dass die Täter auch aus Deutschland stammen können.
- Gründe für die Weitergabe von Know-how: Zu den Gründen, die die Weitergabe von unternehmensinternem Know-how begünstigen, zählen finanzielle Anreize, unzureichende Kontrollen, berufliche Enttäuschung, Erpressung oder Bestechung.
- Sicherheitsvorkehrungen der Unternehmen: Viele deutsche Unternehmen müssen ihre Schutzvorkehrungen gegen Ausforschung verbessern. Es empfiehlt sich ein ganzheitlicher Ansatz, der prozessualen, personellen und technischen Schutz vorsieht.
- Zusammenarbeit mit Sicherheitsbehörden: Die meisten Unternehmen ziehen private Sicherheitsunternehmen der Polizei vor. Die Meldebereitschaft der Unternehmen bei Ausforschung ist sehr gering, oft aus Angst vor Reputationsschäden oder aus Unkenntnis über die Zuständigkeiten der Behörden.
- Empfehlungen: Das BKA-Papier schließt mit einer Reihe von Empfehlungen an die Sicherheitsbehörden. Dazu gehören die Schaffung von Plattformen für einen vertrauensvollen Austausch, die Verbesserung der Handlungsfähigkeit und Reaktionsgeschwindigkeit der Strafverfolgungsbehörden sowie die Erhöhung des Bekanntheitsgrades der Arbeit der Sicherheitsbehörden durch direkten Kontakt mit der Wirtschaft.
Beweissicherung & Schutz vor Wirtschaftsspionage
Die Sammlung von Beweisen für Wirtschaftsspionage kann äußerst schwierig sein. Digitale Spuren können leicht verwischt werden, und die Beteiligung von Insidern kann schwer nachzuweisen sein. Betroffene Unternehmen können daher zwar versuchen, zivilrechtliche Klagen gegen die Täter einzureichen, aber dies erfordert oft umfangreiche Beweise und kann teuer und zeitaufwendig sein. Die Problematik digitaler Beweismittel wird hier bei uns näher beschrieben.
Zum Thema Hacking bei uns:
- Hackangriff bzw. Cyberangriff – Was tun?
- Wie schütze ich mich vor einem Hackangriff?
- Phishing-Seiten-Installation am Beispiel ZPhisher
- Bin ich von einem Hackangriff betroffen?
- Online-Betrug & Fake-Shops: Was tun?
- Glossar zum Cybercrime mit klassischen Angriffsszenarien
- Intime Fotos veröffentlicht – was kann ich tun?
- Übersicht: IT-Sicherheit
- Strafbarkeit der Suche nach Sicherheitslücken
Die Bekämpfung von Wirtschaftsspionage umfasst den Einsatz geeigneter technologischer Werkzeuge und Mechanismen, um die Wahrscheinlichkeit eines Cyber-Angriffs zu verringern und die Möglichkeit zu erhöhen, Spuren eines Angriffs im System zu sammeln. Dazu gehört auch der Einsatz von Intrusion Detection Tools, die als erste Priorität und grundlegender Schritt in der Präventionsstrategie gegen Cyberdiebstahl von Geschäftsgeheimnissen für Unternehmen empfohlen werden.
Fortgeschrittene technologische Lösungen ermöglichen es der Unternehmensinfrastruktur, Angriffen besser standzuhalten. Zu den vorgeschlagenen Lösungen gehören der Einsatz von „Security by Design“ und „Privacy by Default“, regelmäßige Penetrationstests, Intrusion Detection Systeme und auf Anomalien basierende Erkennungssysteme, die Einrichtung von Sicherheitsbetriebszentren und Cybersicherheits-Wissens-/Prozess-/Schulungsprogramme. Es wird auch empfohlen, dass Unternehmen ihre Mitarbeiter kontinuierlich schulen, um das Risikobewusstsein zu erhöhen und das Wissen über das richtige Verhalten im Umgang mit Informationen und Daten, die für Cyberdiebstahl anfällig sind, zu verbessern. Diese technischen Aspekte haben einen weiteren Vorteil: Sie entsprechen weitgehend den Anforderungen, die im Zuge der Umsetzung der NIS2-Richtlinie in Deutschland zu erwarten sind!
Internationale Jurisdiktion
Wenn die Spionage von einem fremden Staat oder einer ausländischen Organisation ausgeht, können sich juristische Probleme in Bezug auf die Zuständigkeit ergeben. Internationale Abkommen und Gesetze können in diesen Fällen eine Rolle spielen, aber ihre Anwendung kann kompliziert sein. Insbesondere, wenn man versucht international agierende Täter aufzudecken, ergeben sich erhebliche Probleme. Dabei wird die Situation in der EU allerdings schrittweise verbessert.
Datenschutz und Compliance
Unternehmen, die Opfer von Wirtschaftsspionage werden, können auch mit Datenschutzproblemen konfrontiert werden, insbesondere wenn personenbezogene Daten von Kunden oder Mitarbeitern kompromittiert wurden. Dies kann zu Verstößen gegen Datenschutzgesetze führen und zusätzliche rechtliche Herausforderungen mit sich bringen. Gerade hier zeigt sich auch, dass neben den rechtlichen Problemen Unternehmen, die Opfer von Wirtschaftsspionage werden, erhebliche Reputationsschäden erleiden können. Dies kann wiederum zu rechtlichen Problemen wegen Verleumdung oder Rufschädigung führen, wenn versucht wird, den Schaden zu beheben oder zu kontrollieren.
Gerade deswegen muss man sich als Unternehmen bzw. als Geschäftsleitung klarmachen, dass auch bei einem Angriff durch Dritte die Wirtschaftsspionage eigene Konsequenzen haben kann. So kann die Geschäftsleitung, wenn die notwendigen Schutzmaßnahmen im Rahmen der Compliance nicht erfüllt werden, originär haften – und es steht sogar eine Strafbarkeit wegen Untreue im Raum. Vor dem Hintergrund ist man als Vorstand oder Geschäftsführer gut beraten, dafür Sorge zu tragen, dass zumindest die Mindeststandards im Rahmen der Compliance zum Schutz vor Wirtschaftsspionage gewahrt sind.
Sicherheitsmaßnahmen gegen Wirtschaftsspionage
Die grundsätzlich zu empfehlenden Sicherheitsmaßnahmen gegen Wirtschaftsspionage sind vielfältig und umfassen verschiedene Aspekte: An erster Stelle steht ein ganzheitlicher Ansatz. Unternehmen sollten einen ganzheitlichen Ansatz verfolgen, der prozessuale, personelle und technische Schutzmaßnahmen vorsieht. Das bedeutet, dass nicht nur die IT-Abteilung für die Abwehr von Ausforschung verantwortlich sein sollte.
Auch strukturelle und organisatorische Schutzvorkehrungen müssen berücksichtigt werden: Weniger als ein Drittel der Unternehmen verfügte über ein schriftlich fixiertes Informationsschutzkonzept. Die Autoren empfehlen den Unternehmen, solche Konzepte zu entwickeln, um Verantwortlichkeiten und Handlungsempfehlungen für den Fall eines Ausforschungsvorfalls festzulegen. Darüber hinaus sollten Unternehmen Geheimhaltungsverpflichtungen in Arbeitsverträge aufnehmen und Integritätstests für neue Mitarbeiter durchführen. Die Sensibilisierung der Mitarbeiter für die Gefahren von Wirtschaftsspionage und Maßnahmen zur Stärkung der Loyalität werden ebenfalls hervorgehoben.
Technische Maßnahmen: Empfohlen werden die Verschlüsselung des E-Mail-Verkehrs, ein kontinuierliches Monitoring der Logdaten, aber auch relativ einfache Maßnahmen wie das Verbot der Nutzung von USB-Sticks oder CD-Brennern am Arbeitsplatz. Auch die Zusammenarbeit mit Sicherheitsbehörden wird als wichtig erachtet und immer wieder wird vorgeschlagen, Plattformen für den vertrauensvollen Austausch mit Strafverfolgungs- und Verfassungsschutzbehörden zu schaffen.
Problemfeld: Innentäter
Innentäter sind Personen innerhalb eines Unternehmens oder einer Organisation, die Zugang zu sensiblen Informationen oder Prozessen haben und dieses Wissen oder diese Fähigkeiten missbrauchen können. Dabei kann es sich um fest angestellte Mitarbeiter oder externe Mitarbeiter wie Subunternehmer, Dienstleister, Lieferanten oder Berater handeln.
Was sind Innentäter?
Innentäter sind Personen, die aufgrund eines Beschäftigungsverhältnisses über besondere Kenntnisse und/oder Fähigkeiten verfügen, die ihnen einen direkten oder indirekten Zugang zu unternehmensbezogenen Informationen oder Prozessen ermöglichen. Sie können sowohl im engeren Sinne (z.B. aktuelle Mitarbeiter) als auch im weiteren Sinne (z.B. externe Mitarbeiter) verstanden werden. Die Motive können ideologisch oder egoistisch sein und die Täter können bewusst oder unbewusst handeln.
Grundlegende Sicherheitsprobleme
- Mangelndes Bewusstsein und mangelnde Schulung: Mitarbeiter können aus Unwissenheit oder Nachlässigkeit wichtige Sicherheitsregeln missachten.
- Fehlende interne Kontrollen: Eine günstige Gelegenheit aufgrund fehlender Kontrollen kann zu Innentäterschaft führen.
- Psychologische Faktoren: Auch persönliche oder persönlichkeitsbezogene Motive wie Geltungssucht, politische oder religiöse Überzeugungen oder psychische Ängste können eine Rolle spielen.
Umgang als Unternehmen
Unternehmen können eine Reihe von Maßnahmen ergreifen, um das Risiko von Innentätern zu minimieren:
- Risikoanalyse und Klassifizierung von Informationen: Auf Basis einer Risikoanalyse wesentliche Werte und Informationen identifizieren und klassifizieren.
- Prävention und Erkennung: Etablieren Sie umfassende Präventionsmaßnahmen, Sicherheitsprozesse und Detektionsfähigkeiten.
- Schulung und Sensibilisierung: Kontinuierliches Training der Mitarbeitenden für kritische Situationen und klare Formulierung der Unternehmensrichtlinien.
- Technische Kontrollen: Implementierung von Zugangs- und Zugriffskontrollen und regelmäßige Überprüfung der Systeme auf Schwachstellen.
- Führung und Unternehmenskultur: Fördern Sie eine Kultur der Wertschätzung, des Vertrauens und der ethischen Werte und etablieren Sie ein angemessenes Führungsverhalten.
- Reaktion auf Vorfälle: Stellen Sie sicher, dass wirksame und abschreckende Maßnahmen im Schadensfall ergriffen werden und führen Sie regelmäßige Evaluationen des Schutzkonzepts durch.
Zusammenfassend kann gesagt werden, dass Innentäter ein komplexes und vielschichtiges Problem sind, das einen ganzheitlichen Ansatz erfordert. Durch eine Kombination von technischen, organisatorischen und kulturellen Maßnahmen können Unternehmen das Risiko minimieren und ein sicheres Arbeitsumfeld schaffen.
In einer EU-Studie werden einige gängige Methoden von Cyberkriminellen beim Diebstahl von Geschäftsgeheimnissen genannt. Dazu gehören das Ausführen gemeinsamer Prozesse von einer untypischen Position aus, die Suche nach zufälligen Dateinamen, die Suche nach Websites, die ermöglichen, nach dem Neustart automatisch zu starten, die genaue Überwachung der zulässigen Pfade in das und aus dem Netzwerk, die Analyse von HTTP-Header-Informationen, die sowohl durch das Vorhandensein von Identifizierungsinformationen in den Header-Feldern als auch durch Inkonsistenzen in den Header-Informationen und im Header-Aufbau Kompromittierungen aufdecken können, sowie die Suche nach untypischen Domänen.
Es wird auch darauf hingewiesen, dass viele Unternehmen bisher nicht über standardisierte Verfahren zur konsistenten oder systematischen Identifizierung oder Priorisierung ihres Bestands an Geschäftsgeheimnissen verfügen, ganz zu schweigen von konsistenten Mitteln zur Bewertung der wirtschaftlichen Auswirkungen des Verlusts von Geschäftsgeheimnissen.
Fazit zur Wirtschaftsspionage
Wirtschaftsspionage ist ein komplexes und vielschichtiges Problem, das eine Reihe von rechtlichen Herausforderungen für die Betroffenen mit sich bringt. Die Bekämpfung und Verfolgung von Wirtschaftsspionage erfordert eine sorgfältige Navigation durch verschiedene Rechtsbereiche, sowohl auf nationaler als auch auf internationaler Ebene, und erfordert oft die Zusammenarbeit von Strafverfolgungsbehörden, Rechtsanwälten und IT-Sicherheitsexperten.
Erreichbarkeit: Per Mail, Rückruf, Threema oder Whatsapp
Unsere Kanzlei ist spezialisiert auf Starke Strafverteidigung, seriöses Wirtschaftsstrafrecht und anspruchsvolles IT-Recht / Technologierecht - ergänzt um Arbeitsrecht.