Source: https://www.telemedicus.info/article/3111-Russen-Hacker-und-Zombie-Rechner-Gesetzesentwurf-zu-digitalem-Hausfriedensbruch.html
Timestamp: 2019-11-18 02:41:12
Document Index: 190010604

Matched Legal Cases: ['§ 202', '§ 202', '§ 202', '§ 202', '§ 202', '§ 202', '§ 202', '§ 202', '§ 202', '§ 202', 'Art. 2', '§ 202']

Russen-Hacker und Zombie-Rechner: Gesetzesentwurf zu digitalem Hausfriedensbruch - Telemedicus
Montag, 18. Juli 2016 , von Sebastian Golla und Nicolas von zur Mühlen
„Hessen will Russen-Hacker per Gesetz stoppen”, lautete im Mai dieses Jahres die Schlagzeile einer großen deutschen Tageszeitung. Hessen hatte die Einführung eines Tatbestandes des „Digitalen Hausfriedensbruchs“ vorgeschlagen – das gleiche Bundesland, das auch die fragwürdige Erweiterung des Strafgesetzbuches um einen Tatbestand der „Datenhehlerei“ (§ 202d StGB) initiiert hatte.
Nun liegt ein entsprechender Gesetzentwurf dem Rechtsausschuss des Bundesrates vor (BR-Drs. 338/16). Das Vorhaben erweist sich als fragwürdig.
Lustiger wird es heute nicht mehr: "Hessen will Russen-Hacker per Gesetz stoppen". Bundestag endlich sicher? pic.twitter.com/abDvH2yWCW
— netzpolitik (@netzpolitik) 20. Mai 2016
§ 202e Abs. 1 StGB-E begründet eine im Ausgangspunkt sehr weite Strafbarkeit. Daraus macht die Begründung des Entwurfes keinen Hehl („Es wird nicht verkannt, dass die Regelung des Absatzes 1 einen weiten Anwendungsbereich hat.“). So kann von der Strafbarkeit beispielsweise folgender Fall umfasst sein:
A fährt mit einem durch ein Computersystem gesteuerten Lift in den 10. Stock einer Unternehmensrepräsentanz. Als er aussteigt, drückt er sämtliche Knöpfe auf der Armatur des Lifts, um die nachfolgenden Fahrgäste zu verärgern. In der Nutzungsordnung des Gebäudes, die A gelesen hat, steht indes, dass ein solches Verhalten untersagt ist.
Es ließen sich zahlreiche weitere Fallbeispiele für Verhaltensweisen Privater bilden, in denen eine Strafbarkeit nach § 202e Abs. 1 StGB-E anzunehmen wäre (man denke nur an einen Klingelstreich bei einem Smart Home). Es lohnt sich jedoch auch ein Blick auf potentielle Strafbarkeitsrisiken im unternehmerischen Bereich. Ein solches Risiko besteht etwa für den Einsatz von Cookies oder Tracking-Tools auf Websites zu Werbezwecken, die Einfluss auf die Computer der Nutzer als IT-Systeme nehmen. Auch dies erkennt die Begründung des Entwurfes implizit, indem sie feststellt, dass die Verwendung von Cookies nicht nach § 202e StGB-E strafbar ist, wenn auf den Einsatz dieser nach den geltenden Anforderungen des Datenschutzrechts hingewiesen wird.
Im Umkehrschluss ergibt sich daraus, dass der Einsatz eines Cookies oder Tracking-Tools bei fehlerhaftem Hinweis als unbefugter Eingriff in ein IT-System strafbar werden könnte. Dies erweist sich auch deswegen als problematisch, weil bei dem Einsatz von modernen Technologien wie bestimmten Web Beacons und Skripten zur Erkennung von AdBlockern die Rechtslage dazu, wie deren Einsatz (datenschutz)rechtskonform zu gestalten ist, relativ unklar ist. Es entbehrt vor diesem Hintergrund nicht einer gewissen Ironie, dass der Gesetzesentwurf unter anderem damit begründet wird, dass durch die neue Strafnorm die Werbeindustrie geschützt werden soll, der durch den Einsatz von Botnetzen erhebliche Schäden entstünden.
Darüber hinaus ist zweifelhaft, warum hinsichtlich der anschließenden Nutzung der in den Beispielsfällen verschafften Zugangsdaten die Einführung eines weitreichenden neuen Delikts erforderlich sein soll. Die im Gesetzesentwurf angeführte pauschale Annahme der Straflosigkeit der Nutzung optisch (durch ein „Über die Schulter schauen“) oder technisch (durch den Einsatz von Spähsoftware) ausgespähter Zugangsdaten ist so nicht nachvollziehbar.
Auch in diesen Fällen wird eine Zugangssicherung i.S.d. § 202a Abs. 1 StGB überwunden, was ohne Kenntnis der entsprechenden Daten in der Regel nicht möglich wäre. Dass der Täter unter technischen Gesichtspunkten „bestimmungsgemäß den entsprechenden Zugangsschutz“ aufhebt, ändert nichts daran, dass der Gebrauch eines nicht freiwillig herausgegebenen Zugangsschlüssels grundsätzlich eine strafbare Überwindung eben dieser – potentiell noch vorhandenen – Zugangssicherung darstellt.
Ein großer Teil der Literatur sieht selbst die Nutzung von durch Täuschung erlangten Zugangsschlüsseln – wie etwa beim „Phishing“ – noch als von § 202a Abs. 1 StGB erfasst an (Fischer, StGB, 63. Aufl. 2016, § 202a Rn. 9a m. w. Nachw.). Jedenfalls ist es ein Zirkelschluss, einer Zugangssicherung pauschal die Wirksamkeit abzusprechen, da es einem Täter im Einzelfall gelungen ist, diese zu überwinden – unter dieser Annahme käme eine Begehung des § 202a StGB nie in Betracht.
Entgegen dem der hessischen Gesetzesinitiative offensichtlich zugrunde liegenden Gedanken ist der „digitale Hausfriedensbruch“ durch § 202a StGB bereits erfasst. Es kommt nicht von ungefähr, dass die Vorschrift in der Literatur eben als „elektronischer Hausfriedensbruch“ bezeichnet wird. Dies ist anhand der Gesetzgebungsgeschichte nachvollziehbar:
Die ursprüngliche Fassung des Tatbestandes sah vor, dass „unbefugt Daten […] verschafft“ werden mussten, es also zu einem tatsächlichen Zugriff auf Daten kam. Im Rahmen der der Umsetzung der Cybercrime Konvention des Europarates und des EU Rahmenbeschlusses über Angriffe auf Informationssysteme wurde die Regelung 2007 dahingehend geändert, dass das Verschaffen des bloßen Zugangs zu Daten (unter Überwindung einer Zugangssicherung) ausreicht. Dass § 202a StGB als Tatobjekt weiterhin „Daten“ und nicht „Systeme“ zum Gegenstand hat, dürfte dabei in der Praxis wenn überhaupt nur selten zu Strafbarkeitslücken führen. Konstellationen, in denen der Täter nur Zugriff auf ein System, nicht jedoch auf Daten erlangt, sind kaum vorstellbar. Aus diesem Grund sieht auch der Europarat Art. 2 Cybercrime Konvention durch die aktuelle Fassung des § 202a StGB als ausreichend umgesetzt an.
Der Gesetzesentwurf des Landes Hessen erweist sich damit jedenfalls bei seiner jetzigen Weite nicht als sinnvolle Ergänzung des IT-Strafrechts. Er erregt den Verdacht, dass hier einem schwer fassbaren Risiko mit einer gewissen Symbolik begegnet werden soll. Auch wenn das Schicksal des Gesetzesentwurfes noch nicht absehbar ist, erscheint es angebracht, das Vorhaben im Auge zu behalten und bereits jetzt kritisch zu hinterfragen. Der Straftatbestand der Datenhehlerei dient als abschreckendes Beispiel:
Als „Kuckucksei“ in dem Gesetz zur Vorratsdatenspeicherung wurde hier ein überflüssiges Strafgesetz eingeführt, ohne dass es zuvor zu einer fundierten öffentlichen Diskussion gekommen wäre. Nun vorschnell eine Strafbarkeit des rechtswidrigen Zugangs zu Daten und Systemen ohne ein Erfordernis der Überwindung einer Zugangssicherung zu schaffen, wird zu Problemen führen, die sich bislang nur schwer absehen lassen. Dies zeigt unter anderem ein aktueller Fall in den USA, in dem ein Gericht den unbefugten Zugriff auf die Website von Facebook als Straftat nach US-Bundesrecht ansah.
Im Grundsatz ist es angebracht, zu der Ausgestaltung des Schutzes informationstechnischer Systeme auf rechtliche Ebene weitere Überlegungen anzustellen. Mit Blick auf das „Ultima Ratio“-Prinzip sollte hier aber in der Regel nicht das Strafrecht als Ausgangspunkt dienen. Dies ist auch mit Blick auf die limitierte Wirkungsmacht von Strafvorschriften im IT- und Datenschutzbereich zu beachten. Schon bei einem Blick auf die praktische Anwendung der Strafvorschriften zum Schutz von Daten und informationeller Selbstbestimmung wird klar, dass zwischen der theoretischen Reichweite dieser Regelungen und ihrer praktischen Anwendung Welten liegen. Hierfür gibt es viele Gründe, wobei die schwere Fassbarkeit von Tätern, die über das Internet agieren, sicherlich eine besondere Rolle spielt. Angesichts dessen ist Vorsicht geboten, wenn Strafbarkeitslücken im Informationsstrafrecht angeprangert werden.
In vielen Fällen ist „des Pudels Kern“ wohl eher ein Vollzugsdefizit bestehender Vorschriften, das sich insbesondere auch aus den internationalen Bezügen der Straftaten ergibt. Die Bemühungen sollten daher lieber auf eine Verbesserung der Zusammenarbeit im Rahmen der Rechtshilfe und weitere Maßnahmen zur Verbesserung der Durchsetzung bestehender Regelungen gelegt werden. Die Schaffung eines komplizierten Flickenteppichs sich überschneidender, viel zu weit ausgestalteter Strafnormen dürfte die internationale Kooperation langfristig eher erschweren.
Sebastian Golla und Nicolas von zur Mühlen, Telemedicus v. 18.07.2016, http://tlmd.in/a/3111