Datenhehlerei (§ 202d StGB)

Kurz & klar: Datenhehlerei (§ 202d StGB) bestraft den Handel mit rechtswidrig erlangten Daten – Freiheitsstrafe bis zu drei Jahren oder Geldstrafe. Strafbar ist nur, wer um die rechtswidrige Herkunft weiß und sich oder einen Dritten bereichern will. Journalistische und berufliche Tätigkeiten sind ausgenommen – die Abgrenzung ist der Verteidigungsansatz.

Datenhehlerei (§ 202d StGB) – Handel mit rechtswidrig erlangten Daten

§ 202d StGB wurde 2015 eingeführt und stellt den Handel mit Daten unter Strafe, die durch eine rechtswidrige Tat erlangt wurden. Der Tatbestand schließt eine Lücke zwischen den Ausspähdelikten (§§ 202a-c StGB) und der klassischen Hehlerei (§ 259 StGB), die nur körperliche Gegenstände erfasst. In der Praxis betrifft § 202d StGB vor allem den Handel mit gestohlenen Zugangsdaten, Kreditkarteninformationen, Datenbankdumps und geleakten Dokumenten.

Tatbestand

§ 202d Abs. 1 StGB bestraft, wer Daten, die nicht allgemein zugänglich sind und die ein anderer durch eine rechtswidrige Tat erlangt hat, sich oder einem anderen verschafft, einem anderen überlässt, verbreitet oder sonst zugänglich macht, um sich oder einen Dritten zu bereichern oder einen anderen zu schädigen.

Die Tatbestandsmerkmale im Einzelnen:

• Rechtswidrige Vortat. Die Daten müssen durch eine rechtswidrige Tat erlangt worden sein – typischerweise Ausspähen (§ 202a StGB), Abfangen (§ 202b StGB) oder Computerbetrug (§ 263a StGB). Der Datenehler muss nicht an der Vortat beteiligt gewesen sein.
• Nicht allgemein zugänglich. Bereits veröffentlichte oder frei verfügbare Daten fallen nicht unter den Tatbestand. Damit ist die Verwendung von Informationen aus öffentlich zugänglichen Leaks grundsätzlich nicht strafbar – sofern der Nutzer nicht an der Erlangung beteiligt war.
• Bereicherungs- oder Schädigungsabsicht. Der Täter muss in der Absicht handeln, sich oder einen Dritten zu bereichern oder einen anderen zu schädigen. Rein akademisches oder journalistisches Interesse genügt nicht.

Typische Konstellationen

• Kreditkarten- und Kontodatenhandel. Verkauf gestohlener Zahlungsdaten in Untergrundforen oder über Messenger-Dienste. Die Datenanbieter kaufen Dumps von Hackern und vertreiben sie als Zwischenhändler.
• Credential Marketplaces. Plattformen wie Genesis Market oder Russian Market, auf denen vollständige digitale Identitäten (Cookies, Passwörter, Browserdaten) gehandelt werden.
• Datenbankverkauf. Handel mit kopierten Kundendatenbanken, E-Mail-Listen, Gesundheitsdaten oder Unternehmensinterna.
• Lizenzschlüssel und Accounts. Verkauf rechtswidrig erlangter Software-Lizenzen, Streaming-Accounts oder Gaming-Zugänge.

Privilegierung journalistischer Tätigkeit

§ 202d Abs. 3 StGB enthält eine ausdrückliche Privilegierung: Die Vorschrift findet keine Anwendung, wenn die Handlung ausschließlich der Erfüllung rechtmäßiger dienstlicher oder beruflicher Pflichten dient. Damit sind insbesondere investigative Journalisten und IT-Sicherheitsforscher geschützt – allerdings nur, soweit ihre Tätigkeit nicht über den beruflichen Rahmen hinausgeht.

Strafrahmen

Freiheitsstrafe bis zu drei Jahren oder Geldstrafe. Die Strafe darf nicht schwerer sein als die für die Vortat angedrohte Strafe (§ 202d Abs. 2 StGB).

Verteidigungsansätze

• Allgemeine Zugänglichkeit. Wenn die Daten bereits öffentlich verfügbar waren – etwa durch Veröffentlichung in Medien, auf Leak-Portalen oder durch den Urheber selbst – fehlt es am Tatbestandsmerkmal.
• Fehlende Bereicherungs- oder Schädigungsabsicht. Wer Daten aus Neugier, zu Forschungszwecken oder zur Information der Öffentlichkeit nutzt, ohne Bereicherungs- oder Schädigungsziel, erfüllt den subjektiven Tatbestand nicht.
• Berufliche Privilegierung. IT-Sicherheitsforscher, Penetrationstester und Journalisten können sich auf § 202d Abs. 3 StGB berufen.
• Nachweis der Vortat. Die Staatsanwaltschaft muss nachweisen, dass die Daten durch eine rechtswidrige Tat erlangt wurden. Bei Daten unklarer Herkunft kann dieser Nachweis scheitern.

Notfallkontakt bei Durchsuchung oder Festnahme: 0160 / 121 06 16
Kanzlei: 02151 5698000

→ Kontakt aufnehmen

Zurück zur Übersicht: Cybercrime & IT-Strafrecht

Häufige Fragen