Angesichts der zunehmenden Menge an Informationen, die in Clouds gespeichert werden, und der heutigen extremen Mobilität von Informationen und Straftätern ist die grenzüberschreitende Zusammenarbeit zwischen Strafverfolgungsbehörden für die meisten Ermittlungen im Bereich der Cyberkriminalität unverzichtbar geworden.

Nach der von Europol vorgenommenen Bewertung der Bedrohungslage im Bereich der organisierten Kriminalität im Internet (IOCTA) 2016 wird die Cyberkriminalität immer aggressiver und ist in zunehmendem Maße auf Konfrontation ausgerichtet. Dies ist aus den verschiedenen Formen der Cyberkriminalität, einschließlich der Angriffe auf Informationssysteme ersichtlich. Zu den ernst zu nehmenden Angriffsformen, die von Europol genannt werden, zählt der Einsatz von Schadsoftware und Social-Engineering-Methoden, um in ein Informationssystem einzudringen und die Kontrolle über dieses zu erlangen, um Nachrichten abzufangen und um Netzangriffe großen Ausmaßes, auch gegen kritische Infrastrukturen, zu starten. Solche Angriffe werden als ernsthafte Bedrohung für unsere Gesellschaft betrachtet.

·Rechtswidriger Eingriff in Daten (Artikel 5) meint jeden unrechtmäßigen Eingriff in Computerdaten wie beispielsweise die Beeinträchtigung ihrer Integrität oder ihrer Zugänglichkeit.

·„Informationssystem“ (Artikel 2 Buchstabe a) . Diese Begriffsbestimmung entspricht zum größten Teil der Definition des Begriffs „Computersystem“ in Artikel 1 Buchstabe a des Übereinkommens des Europarats über Computerkriminalität vom 23. November 2001 (im Folgenden „Budapester Übereinkommen“), mit dem Unterschied, dass die Richtlinie ausdrücklich auch Computerdaten an sich einbezieht.

Was den Informationsaustausch betrifft, müssen die Mitgliedstaaten nach Artikel 13 Absatz 1 sicherstellen, dass sie über operative nationale Kontaktstellen verfügen, die an sieben Wochentagen 24 Stunden täglich zur Verfügung stehen, damit sie in der Lage sind, bei dringenden Ersuchen ausländischer Behörden innerhalb von 8 Stunden zu antworten.

In Anbetracht der Tatsache, dass die oben genannten Straftaten an einem Ort begangen (im Sinne von „ausgeführt“) werden können, an dem der Straftäter tatsächlich handelt, die Auswirkungen auf das angegriffene Informationssystem unter Umständen jedoch an einem anderen Ort festgestellt werden, macht Artikel 12 Vorgaben in Bezug auf die Begründung der gerichtlichen Zuständigkeit, wobei unterschieden wird zwischen:

Die in der Richtlinie angeführte Begriffsbestimmung baut auf der Definition des Begriffs „Computersystem“ in Artikel 1 Buchstabe a des Budapester Übereinkommens auf, wobei zusätzlich die Computerdaten selbst als Teil des Informationssystems in die Definition einbezogen werden. CY, EL, IE, FI, HR, MT, PT und UK (Gibraltar) haben Rechtsvorschriften erlassen, die eine Definition des Begriffs Informationssystem umfassen; DE, ES, FR, LU, LV, PL, SE und SK haben keine aufschlussreichen Informationen übermittelt. In den übrigen Mitgliedstaaten – d. h. AT, BE, BG, CZ, EE, HU, IT, LT, NL, RO, SI und UK (außer Gibraltar) – wird der Begriff „Computerdaten“ in den Begriffsbestimmungen nicht ausdrücklich genannt. Dies deutet darauf hin, dass diese Mitgliedstaaten auf Artikel 1 Buchstabe a des Budapester Übereinkommens mit einem der Definition von „Computersystem“ entsprechenden Anwendungsbereich Bezug nehmen.

Die Beschreibungen und Analysen in diesem Bericht basieren auf den Informationen, die von den Mitgliedstaaten bis zum 31. Mai 2017 vorgelegt wurden. Die nach diesem Tag eingegangenen Mitteilungen wurden nicht berücksichtigt. Dagegen wurden alle Maßnahmen berücksichtigt, die zu nationalen Rechtsvorschriften und Gerichtsentscheidungen sowie – gegebenenfalls – zur allgemein anerkannten Rechtstheorie mitgeteilt wurden. Darüber hinaus hat die Kommission die Mitgliedstaaten im Zuge der Analyse direkt kontaktiert, sofern zusätzliche Informationen oder Klarstellungen erforderlich und angemessen schienen. Alle Informationen, die zusammengetragen wurden, wurden in die Analyse einbezogen.

Bis zum Ablauf der Umsetzungsfrist hatten 22 Mitgliedstaaten die Kommission über die vollständige Umsetzung der Richtlinie unterrichtet. Im November 2015 leitete die Kommission gegen die übrigen 5 Mitgliedstaaten Vertragsverletzungsverfahren wegen Nichtmitteilung nationaler Umsetzungsmaßnahmen ein: BE, BG, EL, IE und SI . Am 31. Mai 2017 waren die Vertragsverletzungsverfahren wegen Nichtmitteilung nationaler Umsetzungsmaßnahmen gegen BE, BG und IE noch anhängig.

Im Zuge der Umsetzung der Richtlinie in den Mitgliedstaaten mussten Informationen über die einschlägigen Rechtsvorschriften und Verwaltungsmaßnahmen erhoben und analysiert sowie neue Rechtsvorschriften oder – in den meisten Fällen – Änderungsrechtsakte erarbeitet, bis zu ihrer Verabschiedung weiterverfolgt und schließlich der Kommission mitgeteilt werden.

Der Begriff „Computerdaten“ wurde von AT, BG, CY, CZ, DE, EE, EL IE, FI, HR, LT, MT, NL, PT, RO und UK (Gibraltar) in die Rechtsvorschriften aufgenommen; ES, FR, IT, LU, LV, PL, SE, SK und UK (außer Gibraltar) haben keine aufschlussreichen Informationen übermittelt. Allerdings macht in SE der spezifische Aufbau der bezugnehmenden Artikel diese Begriffsbestimmung überflüssig. Was die übrigen Mitgliedstaaten betrifft, so bezieht HU die Definition des Begriffs „Computerdaten“ lediglich auf die in Artikel 4 und 5 der Richtlinie beschriebenen Straftaten; BE und SI haben versäumt, den Passus „einschließlich eines Programms, das die Ausführung einer Funktion durch ein Informationssystem auslösen kann“ in die Definition des Begriffs „Computerdaten“ einzubeziehen.

c) Juristische Person

Außer in LU (das keine Informationen übermittelt hat, die Aufschluss über die Umsetzung von Artikel 2 Buchstabe c geben) hat die Umsetzung der Definition von „juristische Person“ keine Probleme bereitet. Dies ist allgemein darauf zurückzuführen, dass dieser Begriff bereits in den meisten zivil- oder handelsrechtlichen Bestimmungen der Mitgliedstaaten definiert ist. Nur CY hat eine besondere Bestimmung in die zur Umsetzung der Richtlinie erlassenen Maßnahmen aufgenommen.

d) Unbefugt

Was die Bestimmung des Begriffs „unbefugt“ (Artikel 2 Buchstabe d) betrifft, so haben nur CY, IE, RO und UK (Gibraltar) entsprechende Umsetzungsmaßnahmen mitgeteilt. Das bedeutet, dass 23 Mitgliedstaaten keine Umsetzungsmaßnahmen in Bezug auf diese Definition getroffen haben. Allerdings ist darauf hinzuweisen, dass in allen Mitgliedstaaten der allgemeine Grundsatz gilt, dass niemand für eine Handlung strafrechtlich zur Verantwortung gezogen werden kann, die mit einer entsprechenden Befugnis vorgenommen wurde.

2.2 Besondere Straftatbestände (Artikel 3 bis 7 der Richtlinie)

a) Rechtswidriger Zugang zu Informationssystemen

Der Straftatbestand des rechtswidrigen Zugangs zu einem Informationssystem (Artikel 3 der Richtlinie) wurde in den nationalen Rechtsvorschriften von AT, CY, CZ, EL, ES, IE, FI, FR, LT, LU, NL, PL, PT, SE und SK umgesetzt.

In allen übrigen Mitgliedstaaten, d. h. BE, BG, DE, EE, HR, HU, IT, LV, MT, RO, SI und UK, unterscheidet die diesbezügliche Beschreibung in der jeweiligen nationalen Rechtsvorschrift nicht, ob der Zugang zu dem Informationssystem als Ganzem oder nur zu einem Teil des Systems erlangt wurde, obwohl dies von der Richtlinie ausdrücklich vorgegeben wird. Darüber hinaus ist in der Umsetzung von DE nicht der reine Zugang zur Computer-Hardware erfasst; AT und LU haben zusätzliche Anforderungen hinsichtlich einer besonderen Absicht (Erlangung von Kenntnissen, Zufügen von Nachteilen oder betrügerische Absicht) aufgenommen; LV knüpft die Erfüllung des Tatbestands an die Verursachung eines erheblichen Schadens. Der Anwendungsbereich der nationalen Rechtsvorschriften von BE, BG, FR, HR, LU, MT, PT, RO, SI und UK ist weiter gefasst als der der Richtlinie, da keine Verletzung von Sicherheitsmaßnahmen erforderlich ist, um eine strafrechtliche Verantwortung zu begründen. Die übrigen Mitgliedstaaten verweisen entweder wortgetreu darauf, dass die Straftat durch eine Verletzung von Sicherheitsmaßnahmen (CY, EL und SK) begangen worden sein muss, oder sie verwenden eine ähnliche Formulierung, um diesen Aspekt zu beschreiben (AT, CZ, DE, EE, ES, FI, HU, IT, LT, LV, NL, PL und SE).

b) Rechtswidriger Systemeingriff

Artikel 4 der Richtlinie betrifft rechtswidrige Systemeingriffe. Die Richtlinie nennt 8 mögliche Handlungen (Eingeben, Übermitteln, Beschädigen, Löschen, Beeinträchtigen, Verändern, Unterdrücken und Unzugänglichmachen von Computerdaten) und 2 mögliche Folgen dieser Handlungen (schwere Behinderung oder Störung des Betriebs eines Informationssystems). BE, CY, CZ, EL, IE, FR, HR, LU, MT, PT, SE und UK (außer Gibraltar) haben entsprechende legislative Maßnahmen getroffen. BG bezieht sich lediglich auf das Platzieren eines Virus, während die übrigen Mitgliedstaaten (AT, DE, EE, ES, HU, IT, LV, NL, PL, RO, SI, SK und UK) 1 bzw. bis zu 4 der in der Richtlinie genannten möglichen Handlungen nicht ausdrücklich nennen. In diesem Zusammenhang ist festzustellen, dass die meisten Probleme bei den Begriffen „Beeinträchtigen“ (keine Erwähnung in 8 Fällen) und „Unzugänglichmachen“ (fehlt in 9 Fällen) zu beobachten sind.

c) Rechtswidriger Eingriff in Daten

Artikel 5 der Richtlinie befasst sich mit dem rechtswidrigen Eingriff in Daten und führt die folgenden 6 möglichen Handlungen auf: Löschen, Beschädigen, Beeinträchtigen, Verändern, Unterdrücken und Unzugänglichmachen von Computerdaten. CY, EL, IE und MT haben den Wortlaut der Bestimmung übernommen; BE, CZ, LT, PT und SE haben allgemeinere Begriffe verwendet, um alle angeführten möglichen Handlungen zu erfassen. Die Umsetzungsmaßnahmen aller anderen Mitgliedstaaten decken nicht jede mögliche Handlungen ab, sondern beziehen sich nur auf 5 (FI und SK) oder weniger der genannten Alternativen (AT, BG, DE, EE, FR, HR, HU, IT, LU, NL, PL, RO, SI und UK). Die meisten Probleme ergaben sich bei den Handlungen „Beschädigen“ (fehlt in 8 Fällen), „Beeinträchtigen“ (13 Fälle), „Unterdrücken“ (11 Fälle) und „Unzugänglichmachen“ (13 Fälle). Zusätzlich zum Wortlaut der Richtlinie setzt FI für die Begründung der strafrechtlichen Verantwortung das Vorliegen einer „Absicht, Schaden oder finanziellen Verlust herbeizuführen“ voraus, während LT und LV die Anforderung stellen, dass „die Handlung eine ernste Beeinträchtigung oder einen erheblichen Schaden verursacht“.

d) Rechtswidriges Abfangen von Daten

Artikel 6 betrifft das rechtswidrige Abfangen von Daten und schützt die nichtöffentliche Übermittlung von Computerdaten und elektromagnetische Abstrahlungen aus einem Informationssystem, das Träger solcher Daten ist. CY, CZ, DE, ES, IE, FI, HR, LV, MT, RO, SE, SK und UK (Gibraltar) haben Rechtsvorschriften erlassen, mit denen Artikel 6 vollständig umsetzt wird. Der allgemeine Anwendungsbereich der Richtlinie, der sich auf das Abfangen von Computerdaten bezieht, wurde auf Mitteilungen (AT und BG), auf die Beobachtung einer Person (EE) oder auf Schriftwechsel (FR und HU) begrenzt. Darüber hinaus decken die Umsetzungsmaßnahmen der folgenden Mitgliedstaaten nicht das Abfangen elektromagnetischer Abstrahlungen ab: BE, BG, EE, FR, HU, IT, LT, LU, NL, PL, PT, SI und UK (außer Gibraltar). Einige Mitgliedstaaten setzen zudem eine besondere Absicht (wie beispielsweise die Erlangung von Kenntnissen oder eines wirtschaftlichen Gewinns oder die Verursachung von Nachteilen – AT, EL, HU) oder besondere zusätzliche Handlungen voraus (wie beispielsweise die Aufzeichnung oder die Zurkenntnisnahme des abgefangenen Inhalts – BG und HU).

e) Tatwerkzeuge

Artikel 7 stellt eine Reihe von Handlungen im Zusammenhang mit Computerprogrammen oder Zugangscodes unter Strafe, wenn diese zur Begehung der in den Artikeln 3 bis 6 genannten Straftaten vorgenommen werden: das Herstellen, Verkaufen, Beschaffen zwecks Gebrauchs, Einführen, Verbreiten und anderweitige Verfügbarmachen dieser Instrumente. AT, BE, CY, DE, EL, IE und SK haben entsprechende nationale Rechtsvorschriften erlassen. Einige Mitgliedstaaten decken nicht alle aufgeführten Straftaten ab (EE, IT, MT, PL und SI). Einige Mitgliedstaaten weisen nicht darauf hin, dass der Täter im Sinne des Artikels 7 eine andere Person sein kann als diejenige, die die in den Artikeln 3 bis 6 genannten Straftaten begeht (CZ und SI). Einige setzen eine besondere Absicht (Zufügen von Schaden oder betrügerisches Handeln – FI, IT und LU), eine besondere Folge wie zum Beispiel Geheimnisverletzung (BG) oder zumindest die Vorbereitung der genannten Straftaten (SE) voraus. Letztlich sind die Unterschiede zwischen Artikel 7 und den nationalen Maßnahmen darin begründet, dass nicht alle der aufgeführten möglichen Handlungen umgesetzt wurden. Dies trifft auf BG, CZ, EE, ES, FR, HR, HU, IT, LT, LU, LV, PL, PT, RO, SI und UK zu. So erwähnt LU in seinen Rechtsvorschriften fünf der sechs in der Richtlinie genannten Handlungen, während die anderen Mitgliedstaaten nur vier oder weniger ausdrücklich erwähnen.

Nur ES hat die Handlung „Beschaffen zwecks Gebrauchs“ umgesetzt.