Computerspionage (§ 202a StGB)

Kurz & klar: Das Ausspähen von Daten (§ 202a StGB) bestraft, wer sich unbefugt Zugang zu besonders gesicherten Daten verschafft – mit Freiheitsstrafe bis zu drei Jahren oder Geldstrafe. Schon das Überwinden der Zugangssicherung genügt, ein Datenklau muss nicht gelingen. Ob die Daten überhaupt besonders gesichert waren und wie der Zugriff erfolgte, ist der Kern der Verteidigung.

Computerspionage (§ 202a StGB) – Ausspähen von Daten

§ 202a StGB stellt das unbefugte Verschaffen von Zugang zu Daten unter Strafe, die nicht für den Täter bestimmt und gegen unberechtigten Zugang besonders gesichert sind. Der Tatbestand erfasst den klassischen Hacking-Angriff, geht aber weit darüber hinaus: Jede Überwindung einer Zugangssicherung, die den Zugang zu fremden Daten eröffnet, kann den Tatbestand erfüllen.

Tatbestandsmerkmale

Daten. Der Datenbegriff des § 202a StGB ist weit gefasst und umfasst alle elektronisch, magnetisch oder sonst nicht unmittelbar wahrnehmbar gespeicherten oder übermittelten Daten. Ausgenommen sind nur Daten, die für den Täter bestimmt sind.

Besondere Sicherung gegen unberechtigten Zugang. Das zentrale Tatbestandsmerkmal. Die Daten müssen durch eine Zugangssicherung geschützt sein – Passwort, Verschlüsselung, Firewall, Zugangstoken, biometrische Sicherung. Frei zugängliche Daten – auch wenn sie nicht zur Veröffentlichung bestimmt sind – fallen nicht unter § 202a StGB. Die Sicherung muss nicht unknackbar sein, aber den Willen des Berechtigten zum Zugriffsschutz erkennbar dokumentieren.

Überwindung der Zugangssicherung. Seit der Reform von 2007 reicht das Sich-Verschaffen des Zugangs – ein tatsächliches Zur-Kenntnis-Nehmen der Daten ist nicht mehr erforderlich. Die Überwindung muss aktiv erfolgen: Brute-Force, Exploits, SQL-Injection, Credential Stuffing, Ausnutzung bekannter Schwachstellen.

Abgrenzung zur legalen Sicherheitsforschung

Die Abgrenzung zwischen strafbarer Computerspionage und legaler IT-Sicherheitsforschung (Penetration Testing, Bug Bounty, Responsible Disclosure) ist einer der neuralgischen Punkte des IT-Strafrechts. Wer ohne ausdrückliche Einwilligung des Systembetreibers Sicherheitslücken testet, kann sich nach § 202a StGB strafbar machen – auch wenn die Absicht die Verbesserung der Sicherheit war. Ein gesetzlicher Erlaubnistatbestand für Sicherheitsforscher existiert in Deutschland bislang nicht.

Strafrahmen

Freiheitsstrafe bis zu drei Jahren oder Geldstrafe. Die Tat wird nur auf Antrag verfolgt (§ 205 StGB), es sei denn, die Strafverfolgungsbehörde nimmt ein besonderes öffentliches Interesse an der Strafverfolgung an – was bei größeren Datenabflüssen regelmäßig der Fall ist.

Verteidigungsansätze

• Fehlende Zugangssicherung. Wenn die betroffenen Daten nicht oder nicht hinreichend gesichert waren, fehlt es am Tatbestandsmerkmal der besonderen Sicherung. Offene APIs, fehlkonfigurierte Server, Standard-Passwörter.
• Einwilligung. Ausdrückliche oder konkludente Einwilligung des Berechtigten – insbesondere bei beauftragten Penetrationstests oder Bug-Bounty-Programmen.
• Kein Überwindungsakt. Das bloße Auffinden öffentlich zugänglicher Daten, auch wenn diese nicht zur Veröffentlichung bestimmt waren, erfüllt nicht den Tatbestand.
• Zurechnung. Bei mehreren Beteiligten ist herauszuarbeiten, wer die Zugangssicherung tatsächlich überwunden hat und wer lediglich von den Ergebnissen profitiert hat.

Notfallkontakt bei Durchsuchung oder Festnahme: 0160 / 121 06 16
Kanzlei: 02151 5698000

→ Kontakt aufnehmen

Zurück zur Übersicht: Cybercrime & IT-Strafrecht

Häufige Fragen