Source: http://www.law-blog.de/223/denial-of-service-dos-und-deutsches-strafrecht/
Timestamp: 2016-05-31 21:40:43
Document Index: 186753899

Matched Legal Cases: ['BGH', 'BGH', '§ 303', '§ 303', '§ 303', '§ 303', '§ 303', '§ 303', '§ 303', '§ 303', '§ 240', 'Art. 5', '§ 303', '§ 303', '§656', '§626', '§ 303', '§ 303']

Law-Blog » Denial of Service (DoS) und deutsches Strafrecht
« Was kommt vor der Abmahnung?
Abmahnfalle Ebay – Verkauf von Nicht-EU-CDs »
Vielleicht haben Sie in den letzten Tagen auch die Meldung gelesen, dass ein britisches Strafgericht im Fall einer Denial-of-Service-Attacke (DoS) den Verursacher derselben freigesprochen hat. Der Computer-Misuse-Act von 1990 erfasse diesen Fall schlicht nicht, es fehle daher an einem Gesetz, das die Strafbarkeit des Angriffs begründe.
Da ist es vielleicht ganz spannend, sich ein paar Gedanken zu der Frage zu machen, wie das nach deutschem Strafrecht aussähe. Wahrscheinlich bewegt man sich auf halbwegs gesichertem Terrain, wenn man davon ausgeht, dass das Veranstalten von Denial-of-Service-Attacken und Distributed-Denial-of-Service-Attacken (DDoS) bestraft werden sollte. Aber kann es das auch, gibt es eine passende Vorschrift im deutschen Strafgesetzbuch? Unternehmen wir doch eine kleine juristische Rundreise.
Der Beginn der Betrachtung mag vielleicht ein überraschender sein. Bei näherem Hinsehen ist die Sachbeschädigung aber durchaus ein logischer Startpunkt der Betrachtung.
Kann man in einem DoS-Angriff die Beschädigung einer Sache sehen? Man kann, ein Gericht wird dieser Ansicht aber wohl nicht folgen.
Nach gängiger Definition ist die Sachbeschädigung eine nicht ganz unerhebliche Verletzung der Substanz, der äußeren Erscheinung oder der Form einer Sache, durch welche die Brauchbarkeit der Sache zu ihrem bestimmten Zweck beeinträchtigt wird. Bei einer DoS-Attacke sind aber weder Substanz, noch Erscheinung oder Form des angegriffenen Servers oder Computers beeinträchtigt.
Nun steht die Definition, was eine Sachbeschädigung genau ist, nicht im Gesetz und auch der BGH oder das Reichsgericht, von denen die gängigen Definitionen stammen, sind nicht unfehlbar. Also gibt es auch abweichende, weiter gehende Ansichten. Eine ist die sog. Funktionsvereitelungstheorie. Diese behauptet, dass eine Einwirkung auf die Sachsubstanz nicht erforderlich ist, sondern es vollauf genüge, wenn die Gebrauchstauglichkeit der Sache aufgehoben wird. In gewisser Weise folgt dieser Theorie in einer gemäßigten Variante auch die Rechtsprechung, insbesondere der BGH. Er meint, es genügen auch körperliche Einwirkungen, durch welche die technische Brauchbarkeit der Sache nachhaltig beeinträchtigt wird.
Nun beeinträchtigt eine DoS-Attacke zwar die Brauchbarkeit des angegriffenen Servers. Sie tut das aber nicht nachhaltig. Hört die Attacke auf, ist der Server in aller Regel wieder erreichbar.
Viel weiter wird man die Begrifflichkeiten auch kaum dehnen können: zum einen ist jedenfalls die nur vorübergehende Einwirkung auf die Gebrauchstauglichkeit schlicht vom Begriff der „Beschädigung“ bei halbwegs natürlichem Verständnis nicht mehr so recht umfasst. Damit verstößt eine solche weite Auslegung aber gegen das sog. Analogieverbot im Strafrecht: Strafgesetze muss man lesen und verstehen können, die juristische Auslegung darf nicht zu „verspinnert“ sein, sonst weiß der Bürger nicht mehr, was erlaubt und was verboten ist.
Weiterhin verlöre der Begriff der Sachbeschädigung aber auch jede Kontur, er würde unermesslich weit. Schon das Abschalten des Stroms eines Computers könnte im Extremfall als Sachbeschädigung angesehen werden, was natürlich Unsinn ist.
Zuletzt gibt es aber gerade für die Fälle, in denen Computer zwar gestört, aber nicht in ihre Sachsubstanz eingegriffen wird (jedenfalls nicht auf makroskopischer Ebene), Spezialvorschriften. Deren bloße Existenz zeigt im Rückschluss, dass der Gesetzgeber die dort geregelten Sachverhalte nicht als Sachbeschädigung im strengen Sinn sieht.
Vorschriften zur Computerkriminalität
Schauen wir uns diese weiteren Vorschriften einmal an. § 303a – Datenveränderung
Das klingt erst einmal nicht schlecht. Im Detail zeigen sich aber doch einige Probleme, Denial-of-Service-Attacken hier zu subsumieren. Daten werden jedenfalls nicht „gelöscht“ oder „unbrauchbar gemacht“. So richtig „verändert“ eigentlich auch nicht. Zwar werden die bei einer DoS-Attacke eingehenden Schadmails natürlich empfangen bzw. bei Pingattacken die Serveranfragen protokolliert. Das ändert den Zustand von Maildateien, Logfiles und Protokollen natürlich. Dies ist aber schlicht eine Funktion dieser Protokollfunktionen, gleichsam die „natürliche“ Veränderung von Daten, wie sie auch bei regulären Anfragen oder Mails auftritt.
Bleibt als Alternative das „Unterdrücken“ von Daten. Das ist gegeben, wenn die Daten dem Zugriff des Berechtigten auf Dauer oder zeitweilig entzogen werden und er sie daher nicht mehr verwenden kann. Gerade das scheint bei DoS-Attacken stattzufinden. Im Einzeln muss man natürlich sehr genau hinsehen. So müssen die Daten „dem Berechtigten“ vorenthalten werden. Aber wer ist das eigentlich? Im Fall eines Webservers sicher nicht jeder, der die Webseite ansehen möchte. Vielmehr wohl der Betreiber der Webseite. Aber ist der auch an der Nutzung der Daten gehindert? In aller Regel eher nicht: er kann einfach die Seite gegen Zugriffe von außen sperren. Dann kann sie zwar niemand von außen mehr ansehen, er selbst aber schon: und das reicht m.E: die Daten sind nicht mehr unterdrückt, also keine Datenveränderung.
Anders bei Angriffen auf Mailserver. Wird hier der weitere Empfang von Mails abgeschaltet, dann kommen auch „regulär“ an den Empfänger gerichtete Mails zeitweise (und möglicherweise auch endgültig) nicht durch. Die Daten sind also dem Zugriff des Berechtigten entzogen. Hier mag man sich theoretisch noch ein wenig streiten, ob der, der eine Mail noch gar nicht empfangen hat, auch wirklich schon „Berechtigter“ in diesem Sinne ist. Mit folgendem „Totschlagargument“ gehe ich davon aus: niemand sonst kann es sein. Die Mail ist vom Sender bereits abgesendet worden, sie ist aus seinem Herrschaftsbereich „entlassen“. Sie kann aber kaum herrenlos sein.
Interessanterweise wird an einigen Stellen bestritten, dass DoS-Attacken unter § 303a StGB fallen sollen. So geht etwa Rauschenhofer davon aus, dass eine DoS-Attacke in aller Regel bezüglich des „Unterdrückens“ von Daten nicht zielgerichtet sei. Das klingt für mich aber eher nach einem Problem des Vorsatzes als der Subsumtion unter den Tatbestand. In eine ähnliche Richtung geht Siebert. Anders das Bundesamt für Sicherheit in der Informationstechnik (BSI), das die Strafbarkeit recht pauschal bejaht, was wohl auch ein wenig forsch ist. Ich meine, dass DoS-Attacken ein Fall des § 303a StGB sind. Mit Luckhardt und Rabanus bin auch ich der Meinung, dass der Gesetzestext klarer sein könnte. Er erfasst die hier diskutierten Sachverhalte aber durchaus, ohne dass man die Grenze zur (verbotenen) Analogie überschreitet.
Vorsicht ist dennoch geboten: die Vorschrift kommt nur dann in Betracht, wenn die DoS-Attacke ihr Ziel auch tatsächlich erreicht, der Server also lahm gelegt wird. Werden dagegen nur tonnenweise Mails versandt, diese kommen aber alle durch, auch die regulären Mails werden letztlich nicht beeinträchtigt, gibt es keine Strafbarkeit. Die Daten bleiben ja zugänglich, auch wenn viel Spam aussortiert werden muss. Aber natürlich liegt hier zivilrechtlich Schadenersatz nahe.
Weiterhin ansehen sollten wir uns die Vorschrift des § 303b StBG.
§ 303b – Computersabotage
Das ist eine sog. Qualifikation zum eben diskutierten § 303a StGB. Qualifikation klingt toll, meint aber nur, dass alles noch viel schlimmer wird. Und so kommt hier als Erfordernis hinzu, dass durch eine Tat wie in § 303a StGB behandelt eine Datenverarbeitung mit wesentlicher Bedeutung gestört werden muss. „Störung“ meint dabei das nicht nur unerhebliche Beeinträchtigen des Ablaufs. Das wird in aller Regel bei einer erfolgreichen DoS-Attacke gegeben sein. Die Vorschrift wird also dann, wenn § 303a StGB erfüllt ist, in der Regel auch einschlägig sein.
Vielleicht gibt es aber noch mehr strafrechtliche Ansatzpunkte. Was halten Sie denn bitte von Nötigung?
Einige DoS-Attacken mögen ja ungezielt sein, werden so aus einer Laune heraus zum Spaß veranstaltet. Sehr häufig werden aber konkrete Ziele verfolgt: man will etwa Microsoft dazu bringen, bessere Software zu schreiben oder die Lufthansa dazu, keine abgeschobenen Asylanten mehr auszufliegen. Das kann eine Nötigung sein.
Eine DoS-Attacke ist sicher ein „empfindliches Übel“ im Sinne des § 240 StGB. Wenn ich also damit drohe, eine solche zu starten, dass ist das Nötigung. Wie aber, wenn die Attacke schon läuft? Dann liegt keine Drohung, also kein „Inaussichtstellen“ des Übels, mehr vor, sondern schon die Anwendung desselben (wobei es dem Täter natürlich frei steht, damit zu drohen, es noch einmal zu tun, sich außerdem spannende Fragen des Handelns durch Unterlassen stellen).
Bleibt also Gewalt. Ist eine DoS-Attacke „Gewalt“? Dann müsste sie ein physisch vermittelter Zwang zur Überwindung eines geleisteten oder erwarteten Widerstands sein. Das Problem ist hier natürlich die physische Vermittlung. Denn viel Physis gibt es bei DoS-Angriffen ja nicht. Aber ein klein wenig eben doch: den Mausklick des Täters, der das „Go“ gibt.
Ist das Gewalt, kann das sein? Auf den ersten Blick wirkt das fernliegend. Aber ist es das wirklich? Sicher würden wenige zweifeln, dass das Abdrücken des Abzugs eines Revolvers eine Gewaltanwendung ist. Die physische Vermittlung ist dabei kaum größer als beim Mausklick. Leider ist hier nicht der Platz, eine Abhandlung zu den Irrungen und Wirrungen des Gewaltbegriffs zu schreiben, nur soviel: die Frage bereitet Jurastudenten sehr unruhige Stunden in diversen Examina und beglückt unzählige Doktoranten seit Jahrzehnten mit Material. Jedenfalls existiert mindestens eine Entscheidung, die den Mausklick als Gewalt ansieht. Das ist das Urteil des Amtsgerichts Franfurt am Main vom 01.07.2005, AZ Az. 991 Ds 6100. In der Sache ging es um den Aufruf zu besagter Online-Demonstration gegen die Lufhansa (der guten Ordnung halber: der Link dient der Information, der Autor distanziert sich vom Inhalt der verlinkten Seite) gegen die Unterstützung von Abschiebungen durch die Lufthansa. Diese Demonstration war in der Sache nichts weiter, als eine DDoS-Attacke durch ein Netzwerk von Menschen anstelle des sonst üblichen Netzwerks von Bots: die Teilnehmer sollten allesamt die Webseite der Lufthansa von Hand anklicken, um die Seite so zu überlasten. Das reicht nach Ansicht des Amtsgerichts, um den Gewaltbegriff zu erfüllen.
Das Urteil hat viel Kritik erfahren, die vielleicht auch an mancher Stelle gerechtfertigt sein mag, insbesondere scheint mir das Gericht doch etwas leichtfüßig im Umgang mit Art. 5 und 8 des Grundgesetzes (Meinungs- und Versammlungsfreiheit) zu sein. Die Subsumtion des Mausklicks unter den Begriff der „Gewalt“ halte ich aber für richtig.
DoS kann also auch Nötigung sein. Erpressung
Wo Nötigung ist, da ist auch Erpressung nicht weit. Letztere ist eine Nötigung, bei der Vermögen des Geschädigten einen Nachteil erleidet.
Solche Fälle gibt es, auch das Law-Blog hat etwa über den Fall der Androhung von DDoS-Attacken gegen Wettbüros berichtet. Wenn DoS-Attacken Gewalt sein können, dann läge in diesem Fall in der Tat eine waschechte Erpressung vor.
Denial-of-Servive-Attacken können nach einer ganzen Reihe von Vorschriften strafbar sein. Wenn vielfach Vorbehalte gegen die Anwendung der §§ 303a f. StGB bestehen, scheinen mir diese nicht gerechtfertigt. Weiterhin können DoS-Attacken auch die Tatbestände von Nötigung und Erpressung erfüllen.
Der hier gegebene Überblick ist sicher nicht vollständig, je nach Fall können weiteren Tatbestände einschlägig sein. Insbesondere bei DDoS-Attacken wird in aller Regel auch das Karpern der Zombi-Rechner bereits Straftatbestände erfüllen. Zu möglichen zivilrechtlichen Ansprüchen darf ich zuletzt noch kurz auf einen ähnlichen Beitrag hier im Law-Blog verweisen. Zwar geht es dort um Referrer-Spam, die Anspruchsgrundlagen dürften aber ähnlich sein.
Edit (13.7.2007): Bitte beachten Sie, dass sich die oben diskutierte Rechtslage auf eine alte Fassung des StGB – eben die zum Zeitpunkt der Erstellung des Artikels relevante – bezieht. Einige der behandelten Fragen stellen sich nicht mehr in der diskutierten Form.
Schlagwörter: DDoS, Erpressung, Strafrecht
Ähnliche Artikel:Mannesmann-Prozess: das EndeOnline Erpressung und Google-GeiselnahmeOnline-Erpressung von Wettbüros
13 Feedbacks Denial-of-Service und deutsches Strafrecht - Webhosting Blog
[…] Dies ist der Artikel nicht ausführlich genug? Dann hätte ich noch diese Alternative im Angebot: Denial-of-Servive-Attacken können nach einer ganzen Reihe von Vorschriften strafbar sein. Wenn vielfach Vorbehalte gegen die Anwendung der §§ 303a f. StGB bestehen, scheinen mir diese nicht gerechtfertigt. Weiterhin können DoS-Attacken auch die Tatbestände von Nötigung und Erpressung erfüllen. […]
28.11.05 um 6:06 pm Schmidt
Sehr interessanter Artikel. Leider bin ich derzeit in einem solchen Fall. Ich hab aus Spaß mal einige male bei einer Seite mehrmals auf Aktualisieren gedrückt bis der Server für ein paar minuten Down ging. Dafür wollen die mich jetzt rechtlich belangen, ist das möglich? Was hab ich zu befürchten…?
19.02.06 um 9:23 pm SELFMADE in Austria » Denial Of Service Attacken
[…] Besonders interessant fand ich dazu die rechtliche Sichtweise, die hier im Law-Blog dargelegt wird. […]
27.02.06 um 7:42 am 37sechsBlog
Wenn ehemalige Mitarbeiter Rache nehmen…
In England ist vieles anders. Doch diese Meldung lässt auch das deutsche Arbeitgeberlager aufhorchen:
Ein Gerichtsurteil hat Serverbetreiber in Großbritannien aufschrecken lassen: Ein ehemaliger Angestellter einer Firma hatte mit Millionen von E-M…
11.08.06 um 11:59 am Hans - Jürgen Förtsch
Presseerklärung der Eden Single & Freizeit GmbH
zu den laufenden DDoS-Angriffen auf http://www.in-ist-drin.de
IN-ist-DRIN eine der führenden Kontaktbörsen für Partnersuche wurde seit Dienstag durch mehrere Wellen mit sogenannten DDoS Atacken „Distributed-Denial-of-Service-Attacken“ unbekannten Ursprungs zeitweise lahm gelegt. Die Eden Single & Freizeit GmbH wird Strafanzeige stellen und setzt zeitgleich eine Belohnung von 10.000 Euro aus, für sachdienliche Hinweise die zur Ergreifung der Täter führen. IN-ist-DRIN.de (Eden Single & Freizeit GmbH) verfügt über Infrastrukturen und IT-Knowhow wie nur wenige andere in Deutschland – und doch kämpft die Online Singlebörse seit Dienstagmorgen einen mühseligen Kampf gegen eine mächtige Welle von Distributed-Denial-of-Service-Attacken. Immun ist gegen diese Form des Angriffes niemand.
EDEN – Single & Freizeit GmbH
Heganger 5 – DE- 96103 Hallstadt
Telefon: +49 (0)951 – 51958 -0 • Fax: +49 (0)951 – 51958 -19 •
12.07.07 um 6:37 am www.in-ist-drin.de, DDoS und 10.000 Euro Belohnung | paranoid-chesus
[…] Die Kontakt- und Partnerbörse http://www.in-ist-drin.de wird seit Dienstag von einer Reihe von DDoS-Attacken heimgesucht, die sie jetzt dazu brachten, 10.000 Euro Belohnung (LawBlog) für sachdienstliche Hinweise zur Ergreifung der Täter auszusetzen. […]
12.07.07 um 7:04 am Sven
Ich bin selbst Geschädigter o. g. Internetportals (ca. 500 € Gerichtskosten und ca. 100 Seiten Schriftverkehrs mit o. g. Betreiber) und finde es irgendwie richtig, dass sich Leute die die Ahnung vom Internet haben und die nicht durch die Deutsche Gerichtsbarkeit geschützt wurden, sich damit beschäftigen und diesen Machenschaften dieser Leute zu unterbinden versuchen.
Wenn man unseriös arbeitet (ich hätte da einige Beispiele während meiner Mitgliedschaft o. g. “Betreiber eines Internetportals”), sollte man sich nicht wundern !
Ich bin nur Kommentator in einer Sache auf die ich zufällig gestoßen bin. Wenn hier Anwälte omnipäsent sind; sollte zumindest das BGB §656 und BGB §626 zukünftig bei einer Betrachtung in Bezug gezogen werden.
Ich habe Akten und Dokumente.
Ich halte o. g. Betreiber für sehr unseriös.
31.07.07 um 7:00 pm Vorsicht vor Hopfenschlodel Hacks !!! - Scriptzbase.ORG | Germany's No.1 for Nulled Scriptz
[…] schaden entstanden. vielleicht hat das abartige spenden gebettel dann mal endlich ein ende. Law-Blog � Denial of Service (DoS) und deutsches Strafrecht […]
03.09.08 um 10:16 am Css hacken strafbar? - netzwelt.de Forum
[…] vor privatrechtlicher Belangung auf Schadensersatz nicht. Ausführliche aber veraltete Betrachtung: Denial of Service (DoS) und deutsches Strafrecht. Ich vermute/befürchte also, viel zu befürchten hat man bei geringerem Ausmaß des Angriffs eher […]
17.02.10 um 7:48 am Telemedicus
Wikileaks: Gegenschlag per DDoS – wer zahlt die Zeche?…
Nach den jüngsten Wikileaks-Veröffentlichungen ist ein regelrechter Cyber-Krieg entbrannt. Während Unternehmen Wikileaks die Zusammenarbeit aufkündigen, schlafen auch die Unterstützer nicht. Nach der breit angelegten Spiegelung von Wikileaks, gibt…
10.12.10 um 12:25 pm “Illegalität” von LOIC-Tool in UK, Deutschland & Niederlanden? : netzpolitik.org
[…] 1. Strafgesetzbuch Da man verhindert, dass die Anfragen der normalen Besucher der Internetseite ankommen, bzw. bearbeitet werden, kommt z.B. eine Datenveränderung nach§ 303a StGB in Betracht, für die bis zu zwei Jahre Freiheitsstrafe oder Geldstrafe vorgesehen sind. Hat der Angriff Erfolg, handelt es sich sogar um eine Computersabotage gem. § 303b StGB, womit sich das Strafmaß auf bis zu drei Jahre erhöht. Daneben können im Einzelfall noch weitere Straftatbestände verwirklicht sein, weiterführend dazu ein etwas älterer Beitrag im Law-blog. […]
10.12.10 um 1:30 pm Wikileaks vor dem Aus?
[…] das niemand so genau. Weil nicht klar ist, welche Straftat da eventuell(!) begangen wird: siehe hier und – ganz frisch – hier. Beide Posts beschäftigen sich natürlich nur mit deutschem Recht. […]
13.12.10 um 10:23 am Gerard Licenberger
Ich bin junge 16jahre, ein DDOS angreifer hat meinen Server/homepage und Forum angegriffen. alles Kaputt und ich habe einen vertrag von 9minaten für den server 200€ monatlich
was kann ich tuhen :<
28.01.11 um 10:25 pm Kommentare