Source: https://www.umwelt-online.de/cgi-bin/parser/Drucksachen/drucknews.cgi?texte=0338_2D16B
Timestamp: 2019-11-22 20:39:25
Document Index: 243885235

Matched Legal Cases: ['§ 202', '§ 202', '§ 25', '§ 26', '§ 202', '§ 202', '§ 303', '§ 202', '§ 123', '§ 248', '§ 202', '§ 202', '§ 205', '§ 374', '§ 303', '§ 303', '§ 248', '§ 202', 'BGH', '§ 202', 'BGH', '§ 202', 'BGH', '§ 202', 'BGH', '§ 202', '§ 202', '§ 202', '§ 353', '§ 202', '§ 202', '§ 202', '§ 202', '§ 202', '§ 202', '§ 202', '§ 201', '§ 202', '§ 201', '§ 202', '§ 823', '§ 201', '§ 201', '§ 202', '§ 201', '§ 263', '§ 2', '§ 202', '§ 205', '§ 202', '§ 205', '§ 374', '§ 374', '§ 202', '§ 374', '§ 263']

umwelt-online: Bundesrat 338/16 (Beschluss): Entwurf eines ... Strafrechtsänderungsgesetzes - Strafbarkeit der unbefugten Benutzung informationstechnischer Systeme - Digitaler Hausfriedensbruch
| Info | Jahr 2019 2018 2017 2016 2015 2014 2013 2012 2011 2010 2009 2008 2007 2006 2005 2004 2003 2002 | Inhalt Vorgang | | 338/16(B) vom 23.09.16
Das massenhafte Auftreten von sogenannten "Erpressungs-Trojanern" oder "Krypto-Trojanern" - allein bei einer Variante wurden über 5 000 Neuinfektionen in Deutschland pro Stunde festgestellt2 - verursacht große Schäden, auch die öffentliche Verwaltung und Kritische Infrastrukturen sind betroffen.3
Die Infiltration der Opfersysteme geschieht auf unterschiedliche Weise. Neben dem Anklicken von Links in Spam-E-Mails oder dem Öffnen infizierter Dateianhänge kann eine Infektion etwa auch dadurch erfolgen, dass der rechtmäßige Nutzer mit seinem informationstechnischen System eine legitime Internetseite aufsucht, die zuvor von den Tätern unerkannt präpariert wurde (sogenannte "driveby infection"). Die Täter schleusen dabei einen Schadcode in die Webseite ein, der dazu führt, dass auf dem Opfersystem im Hintergrund heimlich Schadprogramme aufgespielt werden und er so zum "Bot" (von englischen "robot") wird, also zu einem durch Dritte unerkannt fernsteuerbaren Zombie-Computer, dessen sämtliche Funktionen und Daten nunmehr eben jenem Dritten, der ihn infiziert hat, offenstehen.
Gegen diese Art der Infektion kann sich auch der aufmerksame Computernutzer kaum zur Wehr setzen. Zurzeit geht man davon aus, dass bis zu 40 Prozent aller internetfähigen informationstechnischen Systeme in Deutschland mit Schadsoftware verseucht sind und damit potentielle Bots darstellen.
Darüber hinaus ist die Kontrolle über die Bots durch den Täter, also die infizierten Opfersysteme, vollständig, d.h. sämtliche auf der Festplatte gespeicherten oder im Arbeitsspeicher befindlichen Daten des legitimen Benutzers stehen den Tätern offen; sie können diese beliebig ausspähen oder kopieren. Gleiches gilt für Daten, die der Nutzer extern, etwa bei Clouddiensten, gespeichert hat, denn die Täter können ihren Zugriff auch auf alle mit dem infiltrierten System verbundenen Systeme ausdehnen.
Hierdurch ist die Integrität und Vertraulichkeit des infiltrierten informationstechnischen Systems vollständig aufgehoben, ohne dass der legitime Benutzer es bemerkt. Weitreichende Rückschlüsse auf seine Persönlichkeit bis in den Kernbereich höchstpersönlicher Lebensgestaltung sind möglich. Heutige Smartphones spiegeln häufig nahezu die gesamten privaten und z.T. auch die geschäftlichen oder beruflichen Aktivitäten ihrer Benutzer wider. Die Bedeutung mobiler IT-Systeme wird weiter wachsen, sie dienen zunehmend als Mittel zur Bezahlung von Waren und Dienstleistungen. Schon jetzt wird prognostiziert, dass mobile IT-Systeme Zahlungskarten in diesem Bereich in ihrer Bedeutung überholen werden.
Das Bundesverfassungsgericht hat bereits 2007 in seiner wegweisenden Entscheidung zum Grundrecht auf die Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme (Artikel 2 Absatz 1 i.V.m. Artikel 1 Absatz 1 des Grundgesetzes, vgl. 1 BvR 370/07, 1 BvR 595/07) die bestehenden Gefahren für die Bürger dargestellt. Zutreffend hat das Bundesverfassungsgericht zudem festgestellt, dass informationstechnische Systeme allgegenwärtig sind und ihre Nutzung für die Lebensführung vieler Bürger von zentraler Bedeutung ist. Die Relevanz der Informationstechnik für die Lebensgestaltung des Einzelnen erschöpft sich nicht in der größeren Verbreitung und Leistungsfähigkeit von Personalcomputern. Daneben enthalten zahlreiche Gegenstände, mit denen große Teile der Bevölkerung alltäglich umgehen, informationstechnische Komponenten. So liegt es beispielsweise zunehmend bei Telekommunikationsgeräten oder elektronischen Geräten, die in Wohnungen oder Kraftfahrzeugen enthalten sind (BVerfG a. a. O.). Weiter führt das BVerfG aus:
"Der Einzelne kann [...] Zugriffe zum Teil gar nicht wahrnehmen, jedenfalls aber nur begrenzt abwehren. Informationstechnische Systeme haben mittlerweile einen derart hohen Komplexitätsgrad erreicht, dass ein wirkungsvoller sozialer oder technischer Selbstschutz erhebliche Schwierigkeiten aufwerfen und zumindest den durchschnittlichen Nutzer überfordern kann. Ein technischer Selbstschutz kann zudem mit einem hohen Aufwand oder mit Funktionseinbußen des geschützten Systems verbunden sein. Viele Selbstschutzmöglichkeiten - etwa die Verschlüsselung oder die Verschleierung sensibler Daten - werden überdies weitgehend wirkungslos, wenn Dritten die Infiltration des Systems, auf dem die Daten abgelegt worden sind, einmal gelungen ist. Schließlich kann angesichts der Geschwindigkeit der informationstechnischen Entwicklung nicht zuverlässig prognostiziert werden, welche Möglichkeiten dem Nutzer in Zukunft verbleiben, sich technisch selbst zu schützen."
Die mit der Hand eingegebene PIN ist kein taugliches Tatobjekt i.S.v. § 202a Absatz 2 StGB, so dass das Beobachten der Eingabe nicht strafbar ist. Der anschließende Einsatz der beobachteten Zahlenkombination durch den Täter hebt bestimmungsgemäß den entsprechenden Zugangsschutz auf, so dass es am "Überwinden" der Zugangssicherung fehlt. Eine Überwindung i.S.v. § 202a Absatz 1 StGB soll nämlich dann nicht gegeben sein, wenn nur noch ein unerheblicher technischer oder zeitlicher Aufwand erforderlich ist4.
Auch in den Fällen, in denen Täter unabhängig voneinander vorgehen, also ohne dass die Voraussetzungen des § 25 Absatz 2, der §§ 26 oder 27 StGB vorliegen, ist die Straflosigkeit der Datenausspähung nach § 202a StGB gegeben. Dies ist z.B. dann gegeben, wenn ein allein handelnder Täter massenhaft Opfersysteme infiziert, um den Zugriff auf die infiltrierten Systeme anschließend über anonyme Internet-Handelsplattformen an ihm nicht bekannte Personen zu verkaufen. Kauft ein Dritter den Zugriff auf ein infiltriertes informationstechnisches System an und späht sodann die dort gespeicherten Daten aus, handelt er nicht unter Überwindung einer Zugangssicherung und ist nicht gemäß § 202a StGB bestrafbar6.
Die zunehmende Steigerung der Effektivität von Schadprogrammen und das Auftreten von sogenannter "fileless malware", also Schadsoftware, die keine Veränderungen an gespeicherten Daten herbeiführt7, führen dazu, dass auch der Schutz durch § 303a StGB lückenhaft ist. Die Strafbarkeit nach dieser Norm setzt voraus, dass der Täter auf dem betroffenen informationstechnischen System gespeicherte Daten im Sinne von § 202a StGB löscht, verändert etc. Die Infiltration informationstechnischer Systeme ist heutzutage jedoch auch ohne die Veränderung von gespeicherten Daten möglich. Neben dem Einsatz von "fileless malware" kann dies z.B. durch sogenannten Hardwaretrojaner8 geschehen.
Zur Erreichung eines angemessenen Schutzniveaus für die Vertraulichkeit und Integrität informationstechnischer Systeme sollen die Rechtsgedanken des § 123 StGB und des § 248b StGB in die digitale Welt übertragen und ein neuer § 202e StGB geschaffen werden. Mit der neuen Vorschrift soll die unbefugte Benutzung informationstechnischer Systeme unter Strafe gestellt werden. IT-Systeme sind mindestens ebenso schutzwürdig wie das Hausrecht und wie das ausschließliche Benutzungsrecht an Fahrzeugen. Derzeit sind sogar Fahrräder besser geschützt als Computer mit höchstpersönlichen Daten. Die Gefahr für die Allgemeinheit, die von unbefugt genutzten informationstechnischen Systemen ausgeht, ist, wie oben dargelegt, hoch.
Die Formulierung des § 202e StGB-E ist technikoffen, was zu einer guten praktischen Handhabbarkeit führen und Beweis- und Abgrenzungsschwierigkeiten vermeiden soll. Technische Zufälle in der Konfiguration der Opfersysteme sollen zukünftig keine Rolle mehr spielen.
Der Bundesrat hat in seiner 948. Sitzung am 23. September 2016 beschlossen, den beigefügten Gesetzentwurf gemäß Artikel 76 Absatz 1 des Grundgesetzes beim Deutschen Bundestag einzubringen.
wird mit Geldstrafe oder Freiheitsstrafe bis zu einem Jahr bestraft, wenn die Tat nicht in anderen Vorschriften mit schwererer Strafe bedroht ist. Die Tat nach Satz 1 ist nur strafbar, wenn sie geeignet ist, berechtigte Interessen eines anderen zu beeinträchtigen.
3. In § 205 Absatz 1 Satz 2 wird die Angabe "202b und 202d" durch die Wörter "202b, 202d und 202e Absatz 1 und 2" ersetzt.
Nach § 374 Absatz 1 Nummer 3 der Strafprozessordnung in der Fassung der Bekanntmachung vom 7. April 1987 (BGBl. I S. 1074, 1319), die zuletzt durch [...] geändert worden ist, wird folgende Nummer 3a eingefügt:
Die immer stärkere Verbreitung und Nutzung von Informations- und Kommunikationstechnologien, insbesondere die Nutzung des Internets, wirken sich unmittelbar auf alle Bereiche der Gesellschaft aus. Die Einbeziehung von Telekommunikationsund Informationssystemen, die eine entfernungsunabhängige Speicherung und Übertragung von Daten aller Art gestatten, bietet ein breites Spektrum neuer Möglichkeiten, aber auch des Missbrauchs.
Mit dem Einundvierzigsten Strafrechtsänderungsgesetz zur Bekämpfung der Computerkriminalität (41. StrÄndG) vom 7. August 2007 (BGBl. I S. 1786), mit welchem der deutsche Gesetzgeber dem aus dem Übereinkommen des Europarates über Computerkriminalität vom 23. November 2001 (Cybercrime Convention) sowie dem aus dem Rahmenbeschluss 2005/222/JI des Rates vom 24. Februar 2005 über Angriffe auf Informationssysteme resultierenden Umsetzungsbedarf nachgekommen ist, und mit der Einführung des Straftatbestandes der Datenhehlerei durch das Gesetz zur Einführung einer Speicherpflicht und einer Höchstspeicherfrist für Verkehrsdaten vom 10. Dezember 2015 wurden zuletzt Regelungen getroffen, um den Missbrauch der Informationstechnologie zu bekämpfen.
Das Bundesverfassungsgericht hat in seinem Urteil zur Online-Durchsuchung vom 27. Februar 2008 als besondere Ausprägung des allgemeinen Persönlichkeitsrechts (Artikel 2 Absatz 1 i.V.m. Artikel 1 Absatz 1 des Grundgesetzes) das "Grundrecht auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme" postuliert. Damit ist dem Regelungsanliegen, IT-Systeme vor dem unbefugten Zugriff Dritter zu schützen, grundrechtliche Relevanz beizumessen (vgl. BVerfGE 120, 274 ff.).
§ 303b StGB bezweckt zwar grundsätzlich den Schutz von Systemen. Für einen wirksamen Rechtsgüterschutz genügt es jedoch nicht, lediglich auf das Interesse des Verfügungsberechtigten an der unversehrten Verwendbarkeit von Daten oder auf das Interesse der Betreiber und Nutzer am störungsfreien Funktionieren ihrer Datenverarbeitung - so der Schutzzweck des § 303b StGB - abzustellen. Schon das Interesse der rechtmäßigen Nutzer von Computern, Laptops und Smartphones an dem ausschließlichen Gebrauchsrecht ihrer Geräte, unabhängig davon, ob ihre Daten beeinträchtigt werden oder sich Störungen im Funktionieren der Geräte zeigen, ist schützenswert. Wie der § 248b StGB zeigt, ist es der Systematik des Strafgesetzbuches nicht fremd, auch das schlichte Gebrauchsrecht an Sachen einem strafrechtlichen Schutz zu unterstellen.
In diesem Zusammenhang kann ein wirksamer Rechtsgüterschutz nicht davon abhängen, dass die Grundrechtsträger gehalten sind, für den Schutz ihrer IT-Systeme selbst zu sorgen. Wie das Bundesverfassungsgericht dargelegt hat, ist dies heutzutage bereits technisch kaum möglich (vgl. BVerfG, a. a. O.).
Ziel des Gesetzentwurfes soll es vor diesem Hintergrund sein, Artikel 2 des Budapester Übereinkommens über Computerkriminalität vom 23. November 2001 (BGBl. 2008 II S. 1242, "Convention on Cybercrime") vollständig umzusetzen.
"Artikel 2 - Rechtswidriger Zugang
Jede Vertragspartei trifft die erforderlichen gesetzgeberischen und anderen Maßnahmen, um den unbefugten Zugang zu einem Computersystem als Ganzem oder zu einem Teil davon, wenn vorsätzlich begangen, nach ihrem innerstaatlichen Recht als Straftat zu umschreiben.
Eine Vertragspartei kann als Voraussetzung vorsehen, dass die Straftat unter Verletzung von Sicherheitsmaßnahmen, in der Absicht, Computerdaten zu erlangen, in anderer unredlicher Absicht oder in Zusammenhang mit einem Computersystem, das mit einem anderen Computersystem verbunden ist, begangen worden sein muss."
Diese Vorschrift ist durch § 202a StGB nur sehr eingeschränkt in das innerstaatliche Recht umgesetzt worden. Der damalige Bundesgesetzgeber hat von der Möglichkeit des Satzes 2 Gebrauch gemacht und als Voraussetzung für eine Strafbarkeit vorgesehen, dass die Straftat subjektiv auf Daten bezogen, objektiv unter Verletzung von Sicherheitsmaßnahmen begangen worden sein muss und nur solche Daten geschützt sind, die besonders gesichert sind. Der Gesetzgeber war damals der Auffassung, vor allem der letztgenannten Einschränkung auf solche Daten, die gegen unberechtigten Zugang besonders gesichert sind, komme eine besondere Bedeutung für die Eingrenzung des Tatbestandes zu, um Bagatellfälle auszufiltern (vgl. BT-Drucksache 016/3656 vom 30. November 2006).
Angesichts der heutigen arbeitsteiligen Vorgehensweise von Internetkriminellen und im Lichte der zitierten Entscheidung des BVerfG, wonach ein wirkungsvoller technischer Selbstschutz der Berechtigten kaum möglich ist, sind diese Einschränkungen indes überholt und stehen einer effektiven Strafverfolgung und dem Schutz der Bürger entgegen.
Hinzu kommt, dass angesichts der wachsenden Bedeutung der IT-Wirtschaft ein lückenhafter strafrechtlicher Schutz ein Nachteil für den Wirtschaftsstandort Deutschland gegenüber den Staaten darstellt, die Artikel 2 der Konvention vollständig und ohne Einschränkungen umgesetzt haben.
Eine jüngst ergangene Entscheidung des BGH (vgl. Beschluss vom 21. Juli 2015, 1 StR 16/15) belegt eindrucksvoll die Lückenhaftigkeit des derzeitigen Rechtsgüterschutzes und das Leerlaufen von § 202a StGB selbst in gravierenden Fällen. Nach den Feststellungen des Landgerichts hatten die Angeklagten ein großes Botnetz aufgebaut und betrieben, das unter anderem der Erzeugung von Bitcoins, einer elektronischen Werteinheit, diente. Dazu nutzten die Angeklagten die Rechenleistung der von ihnen infiltrierten Opfersysteme aus. Das Gericht hatte in der Hauptverhandlung einen Sachverständigen des BKA zu den IT-technischen Fragen gehört und auf Grundlage seines Gutachtens, das auch schriftlich vorlag, die Funktionsweise der Schadsoftware in groben Zügen beschrieben. Der BGH hob die Verurteilungen mit folgender Begründung auf:
"(...) Die Verurteilung wegen Ausspähens von Daten in Tateinheit mit Datenveränderung (...) hält rechtlicher Nachprüfung nicht stand; der Schuldspruch wird von den getroffenen Feststellungen nicht getragen. Die Feststellungen sind teilweise lückenhaft und weisen zudem einen inneren, auch durch den Gesamtzusammenhang der Urteilsgründe nicht auflösbaren Widerspruch auf. Sie belegen nicht hinreichend, dass der Angeklagte jeweils eine Zugangssicherung überwunden hat, die für die Erfüllung des Straftatbestands des § 202a Abs. 1 StGB erforderlich ist. Denn der Schutzbereich dieser Strafvorschrift erstreckt sich nur auf Daten, die gegen unberechtigten Zugang besonders gesichert sind. Dies sind nur solche, bei denen der Verfügungsberechtigte durch seine Sicherung sein Interesse an der Geheimhaltung der Daten dokumentiert hat (vgl. BGH, Beschluss vom 6. Juli 2010 - 4 StR 555/09, NStZ 2011, 154). Die Zugangssicherung im Sinne von § 202a Abs. 1 StGB muss darauf angelegt sein, den Zugriff Dritter auf die Daten auszuschließen oder wenigstens nicht unerheblich zu erschweren (vgl. BGH, Beschluss vom 6. Juli 2010 - 4 StR 555/09, NStZ 2011, 154; LK-StGB/Hilgendorf, StGB, § 202a Rn. 30; MüKoStGB/Graf, StGB, § 202a Rn. 35; Rübenstahl/Debus, NZWiSt 2012, 129, 131). Darunter fallen insbesondere Schutzprogramme, welche geeignet sind, unberechtigten Zugriff auf die auf einem Computer abgelegten Daten zu verhindern, und die nicht ohne fachspezifische Kenntnisse überwunden werden können und den Täter zu einer Zugangsart zwingt, die der Verfügungsberechtigte erkennbar verhindern wollte (vgl. BT-Drucks. 16/3656 S. 10). Schließlich muss der Zugangsschutz auch gerade im Zeitpunkt der Tathandlung bestehen (vgl. MüKo-StGB/Graf, StGB, § 202a Rn. 20). Ob diese Voraussetzungen in den der Verurteilung zugrunde liegenden Fällen gegeben sind, vermag der Senat anhand der unvollständigen Feststellungen im Urteil nicht abschließend zu beurteilen. Zugleich kann nicht ausgeschlossen werden, dass das Landgericht der vorgenommenen Rechtsanwendung, die nicht näher erläutert wird (UA S. 13), ein fehlerhaftes Verständnis zugrunde gelegt hat. Es fehlt in den Urteilsgründen eine hinreichend genaue Darstellung der Wirkweise der von dem Angeklagten bereitgestellten Schadsoftware, welche die Benennung der im konkreten Einzelfall umgangenen Zugangssicherung erfasst. Der pauschale Verweis auf deren Bestehen reicht dafür ohne nähere Darlegung nicht aus, denn eine revisionsgerichtliche Kontrolle der eingangs genannten Voraussetzungen ist nur auf der Grundlage einer ausreichend deskriptiven Darlegung der konkreten tatsächlichen und technischen Umstände möglich. Die insoweit bestehende Lücke lässt sich durch die Feststellungen auch in ihrer Gesamtheit nicht schließen. Hinzu kommt, dass das Landgericht zwischen den Begrifflichkeiten der Firewall und des Virenschutzprogrammes nicht erkennbar differenziert hat, wodurch unklar bleibt, ob es die technischen Voraussetzungen der Zugangssicherung in tatsächlicher Hinsicht zutreffend bewertet hat. Während es zunächst nämlich darauf abstellt, der Trojaner sei so konzipiert gewesen, die vorinstallierte Firewall bestimmter Betriebssysteme zu umgehen (UA S. 3), findet sich im Widerspruch dazu an späterer Stelle der Urteilsgründe die Feststellung und Wertung, die vom Angeklagten bereitgestellte Schadsoftware sei durch die Virenprogramme der 327.379 Nutzer nicht erkannt worden (UA S. 4). Unter Zugrundelegung der zu der Schadsoftware zuletzt getroffenen Feststellungen käme eine Firewall als tatbestandsmäßige Schutzvorrichtung bereits dem Grunde nach nicht in Betracht. (...) Die dargelegten Rechtsfehler führen insgesamt zur Aufhebung des Urteils. Aufgrund desaufgezeigten Widerspruches und um dem neuen Tatrichter zu ermöglichen, umfassend stimmige eigene Feststellungen treffen zu können, waren auch die Feststellungen aufzuheben ( § 353 Abs. 2 StPO). Das neue Tatgericht wird Gelegenheit haben, sich mit den Handlungsabläufen in technischer und zeitlicher Hinsicht umfassender als bislang auseinanderzusetzen. Erst die hinreichend genaue Feststellung der technischen Gegebenheiten ermöglicht die strafrechtliche Bewertung der in Frage kommenden als solche bereits zutreffend erkannten Straftatbestände."
Die Notwendigkeit für das Tatgericht, im Urteil zumindest exemplarisch detailliert darzulegen, welche technische Funktionsweise die Zugangssicherung der Opfersysteme in tatsächlicher Hinsicht jeweils hatte, bringt für die Besitzer der infiltrierten IT-Systeme erhebliche Belastungen mit sich. Die informationstechnische Funktionsweise der Zugangssicherung kann durch Zeugenbeweis der Berechtigten kaum in die Hauptverhandlung eingeführt werden, da die meisten Opfer Laien sind und häufig selbst nicht wissen, ob und wie ihr System zum Tatzeitpunkt in technischer Hinsicht geschützt war. Dies gilt besonders bei infiltrierten Mobiltelefonen.
Das wiederum bedeutet, dass zukünftig die Opfersysteme im Ermittlungsverfahren durch Sachverständige IT-forensisch zu untersuchen sind, um es dem Gericht später zu ermöglichen, in den Feststellungen deskriptiv die konkreten tatsächlichen und technischen Umstände des Zugangsschutzes darzulegen. Den Opfern der Infiltration entstehen neben dem Verlust von Daten und ihrer Privatheit aufgrund des Täterhandelns zusätzliche zeitliche Einbußen und Unannehmlichkeiten, weil sie den Sachverständigen der Staatsanwaltschaft ( i.d.R. besonders ausgebildete Polizeibeamte) eine Datenspiegelung ermöglichen müssen. Eine derartige Spiegelung des IT-Systems bedeutet zwingend, dass höchstpersönliche Daten, auch aus dem Kernbereich, der Opfer ausgehändigt werden müssen. Auch wenn dies keine datenschutzrechtlichen Bedenken in sich birgt, da es sich um einen staatlichen Zugriff handelt, dürfte es aus Opfersicht gleichwohl zu einem Gefühl des Überwachtseins führen.
Unter der Geltung des neuen § 202e StGB hingegen stellen sich keine derartigen Probleme mehr. Die Tatsache des unbefugten Benutzens der Opfersysteme wird sich regelmäßig durch die Auswertung der Täterinfrastruktur und unter Einschaltung der Internetzugangsprovider anhand der IP-Adressen der Bots nachweisen lassen. Auf technische Zufälligkeiten kommt es nicht mehr an. Eine detaillierte Darstellung der technischen Einzelheiten der Infiltration im Ermittlungsverfahren, in der Anklageschrift und im Urteil ist nicht mehr notwendig. Dies führt zu einer erheblichen Verfahrensbeschleunigung und zu einer Verkürzung der Auswertezeiten, ohne zu Lasten der Rechtssicherheit zu gehen.
Die Erkenntnisse der nationalen und internationalen Strafverfolgungsorgane und Cybersicherheitszentren sowie diejenigen von IT-Wissenschaftlern belegen aber, dass die Fallzahlen und die daraus resultierenden Schäden deutlich steigen. In der ersten Jahreshälfte 2015 wurden von Sicherheitsforschern täglich bis zu 60 000 Infektionen deutscher Systeme registriert10. Die polizeiliche Kriminalstatistik verzeichnet seit Jahren steigende Fallzahlen im Bereich der Delikte gegen die Integrität, Vertraulichkeit und Verfügbarkeit informationstechnischer Systeme und Daten.
Bereits im Jahr 2011 wurde der jährliche, weltweit von für Botnetze verantwortlicher Schadsoftware verursachte Schaden in einer Studie, die das Fraunhofer-Institut für Kommunikation, Informationsverarbeitung und Ergonomie (FKIE) im Auftrag der Europäischen Agentur für Netz- und Informationssicherheit (ENISA) erstellt hat, auf rund zehn Milliarden US Dollar geschätzt.
Den Medien sind für Deutschland Schadenssummen von 3,4 Milliarden Euro (DIW für 2014), über 54 Milliarden (Wirtschaftsberatungsgesellschaft KPMG für 2013/2014) bis hin zu 102 Milliarden Euro (Bitkom für 2013/2014) zu entnehmen. Aus Kreisen der Telekommunikationsprovider wird die Bandbreitennutzung des Internets durch Bot-Netze mit 80 Prozent beziffert. Auch hier dürfte von sehr hohen Schadenssummen auszugehen sein.
Laut Angaben eines US-amerikanischen IT-Sicherheitsdienstleisters aus dem Jahr 2013 habe das Botnetz "Chameleon" ab 2012 beispielsweise einen Schaden von rund sechs Millionen USD im Monat für die Werbebranche verursacht. Über dieses Botnetz verbreitete Schadsoftware habe automatisiert Klicks auf Werbebanner simuliert, wobei für jeden Klick eine entsprechende Vergütung für den Internetdienstleister festgelegt war. Von 14 Milliarden Klicks auf ausgewählten Webseiten seien neun Milliarden auf dieses Bot-Netz zurückzuführen.
Allein der Schaden, der für Internet-Werbetreibende durch das ZeroAccess-BotNetz verursacht worden sein soll, wurde Ende 2013 auf rund 2,7 Millionen US-Dollar monatlich beziffert.
In den Jahren 2010 bis 2013 ermittelte die hessische Zentralstelle zur Bekämpfung der Internetkriminalität gemeinsam mit dem BKA in einem bundesweiten Verfahrenskomplex wegen einer Vielzahl von Erpressungen von Online-Shops mittels DDos-Attacken. Es konnten nach intensiven Ermittlungen fünf Beschuldigte identifiziert und vor Gericht gestellt werden, die in unterschiedlicher Zusammensetzung für die Erpressungen verantwortlich waren. Insgesamt konnten 40 Fälle aufgeklärt werden, in denen Betreiber von Webshops mit DDoS-Attacken bedroht oder tatsächlich angegriffen wurden. Die von den geschädigten Unternehmen auf die DDoS-Angriffe zurückzuführenden, geschätzten Umsatzeinbußen beliefen sich zusammen auf Beträge im mittleren sechsstelligen Bereich. Ein Unternehmen aus Hessen erlitt ein Schaden in Höhe von ca. 65 000 Euro.
Eine Veränderung oder Anpassung der Regelungen der §§ 202a, 303a, 303b StGB ist zur Lösung des Problems nicht geeignet, da diese Normen andere Rechtsgüter als die Vertraulichkeit, die Integrität und das ausschließliche Gebrauchsrecht an informationstechnischen Systemen schützen. Botnetzaktivitäten wie das Versenden von Spam oder das Generieren von Bitcoins greifen nicht zwingend in das Interesse des Verfügungsberechtigten an der unversehrten Verwendbarkeit von Daten oder in das Interesse der Betreiber und Nutzer am störungsfreien Funktionieren ihrer Datenverarbeitung ein. Auch werden Daten nicht zwingend ausgespäht. Dies rechtfertigt es, die genannten Regelungen des StGB unverändert neben der neuen Strafnorm des § 202e StGB bestehen zu lassen.
Durch die Einführung eines neuen Straftatbestands kann mehr Aufwand bei den Strafverfolgungsbehörden entstehen, dessen Umfang im gegenwärtigen Zeitpunkt nicht hinreichend genau abschätzbar ist. Im Übrigen wird das Vorhaben Bund, Länder, Gemeinden, die Wirtschaft und die Bürger nicht mit Mehrkosten belasten. Da sich der Gesetzentwurf auf Änderungen und Ergänzungen von Strafvorschriften beschränkt, sind Auswirkungen auf das Preisniveau, insbesondere auf das Verbraucherpreisniveau, die Umwelt oder Auswirkungen von gleichstellungspolitischer Bedeutung nicht zu erwarten.
Zu Nummer 1 (Inhaltsübersicht zu § 202e StGB)
Es handelt sich um eine redaktionelle Folgeänderung im Hinblick auf die Einfügung des § 202e StGB-E (Nummer 2).
Zu Nummer 2 (§ 202e - neu - StGB)
Die vorgeschlagene Regelung soll als neuer § 202e StGB in den Fünfzehnten Abschnitt (Verletzung des persönlichen Lebens- und Geheimbereichs) des Besonderen Teils des Strafgesetzbuchs eingefügt werden. Für eine systematische Regelung an dieser Stelle spricht, dass das geschützte Rechtsgut der Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme dem persönlichen Lebens- und Geheimbereich zuzuordnen ist.
Das Merkmal der Unbefugtheit als allgemeines Rechtfertigungselement entspricht dem in § 201 verwendeten Begriff. Es stellt klar, dass eine Strafbarkeit bei wirksamer ausdrücklicher oder konkludenter Einwilligung ausgeschlossen ist. Dadurch ist es z.B. nicht strafbar, wenn Betreiber von Internetseiten Cookies11 verwenden und darauf, wie es datenschutzrechtlich geboten und üblich ist, hinweisen. Auch das Aufspielen von Softwareupdates o.ä. ist hierdurch von Strafbarkeit ausgenommen, ebenso wie z.B. das Aufspüren von Sicherheitslücken im EDV-System eines Unternehmens, soweit der "Hacker" vom Inhaber des Unternehmens mit dieser Aufgabe betraut wurde. Auch sonst sozialadäquate Handlungen sind nicht "unbefugt" im Sinne von § 202e StGB-E (zur Sozialadäquanz bei anderen Delikten im 15. Abschnitt vgl. Fischer, StGB, 63. Auflage, Erläuterungen zu § 201).
Durchaus erfasst sind hingegen beispielsweise Applikationen (Apps) für Endgeräte, die einen größeren Funktionsumfang haben als in der jeweiligen Beschreibung oder Datenschutzerklärung angegeben, bei deren Installation die Nutzer mithin bewusst über die eingeräumten Zugriffsrechte getäuscht werden.
§ 202e StGB-E hat erfüllt insoweit auch einen bedeutenden Zweck im Zivilrecht, indem die Funktion eines Schutzgesetzes im Sinne von § 823 Absatz 2 BGB eingenommen und damit auch zivilrechtlich ein besserer Verbraucherschutz erreicht wird.
Das informationstechnische System ist in Absatz 6 legaldefiniert. Es sollen nur solche Geräte, Anlagen etc. geschützt sein, die objektiv eine besondere Bedeutung für den Berechtigten haben oder deren Fremdnutzung besonders gefährdungsintensiv ist und die damit in herausgehobener Weise schutzwürdig sind. Damit sind z.B. nicht vernetzte elektronische Unterhaltungsgeräte, Spielzeug oder Taschenrechner aus dem Tatbestand ausgeklammert.
Zugleich stellt die Bagatellklausel des Absatzes 1 Satz 2 eine mit derjenigen des § 201 StGB inhaltsgleiche Tatbestandseinschränkung dar. Nach dieser ist die Tathandlung nur strafbar, wenn sie geeignet ist, berechtigte Interessen eines anderen zu beeinträchtigen. Ob es sich dabei um materielle oder ideelle, private oder öffentliche Interessen handelt, ist gleichgültig, sofern sie nur vom Recht als schutzwürdig anerkannt sind oder diesem jedenfalls nicht zuwiderlaufen. Dass der Betroffene tatsächlich in seinen Interessen beeinträchtigt wird, ist nicht erforderlich; vielmehr genügt es schon, dass die Tat dazu geeignet ist.
Durchgreifende verfassungsrechtliche Bedenken gegen die Bagatellklausel unter dem Aspekt des Bestimmtheitsgrundsatzes ( Artikel 103 Absatz 2 des Grundgesetzes) bestehen nicht. Sie ist in § 201 StGB in derselben Formulierung wie in § 202e StGB-E unverändert in Kraft seit dem 26. August 1990. Obwohl das BVerfG sich bereits im Jahr 2010 mit § 201 StGB befasst hat, wurde die Bagatellklausel nicht beanstandet12.
Es wird nicht verkannt, dass die Regelung des Absatzes 1 einen weiten Anwendungsbereich hat. Die Bagatellklausel sorgt jedoch dafür, dass nicht strafwürdige Fälle von dem Tatbestand zuverlässig ausgeschlossen werden. Ferner sorgt die Begrenzung auf bestimmte IT-Systeme in Absatz 6 dafür, dass nicht schutzwürdige Systeme wie z.B. eine Modelleisenbahn von der Norm nicht erfasst werden.
Die Anwendungspraxis des geltenden Rechts hat gezeigt, dass jede weitergehende Einschränkung des Tatbestandes dazu führt, dass ein hinreichender strafrechtlicher Schutz des Grundrechts auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme nicht erreicht werden kann. Die mangelnde Effektivität der geltenden Normen lässt sich durch die trotz der hohen Zahl betroffener Opfer auffällig niedrigen Verurteilungszahlen14 empirisch belegen.
Die Strafzumessungsvorschriften des Absatzes 3 finden sich in ähnlicher Weise z.B. in § 263 Absatz 3 StGB.
Nummer 3 ist eine deliktsspezifische Regelung, die dem Umstand Rechnung trägt, dass Industrie- oder ähnlich bedeutsame Anlagen heutzutage vielfach über Internet angreifbar sind.
Der Begriff der "Kritischen Infrastruktur" ist mit demjenigen in § 2 Absatz 10 BSIG identisch. Eine kritische Infrastruktur im Sinne des § 202e StGB-E kann daher nur eine solche sein, die die Kriterien der Verordnung zur Bestimmung Kritischer Infrastrukturen nach dem BSI-Gesetz vom 22. April 2016 (BGBl. I 2016, 958) erfüllt, also z.B. eine Anlage, von deren Versorgungsleistung jeweils 500 000 oder mehr Bürger abhängig sind.
Zu Nummer 3 (§ 205 Absatz 1 Satz 2 StGB)
Angesichts des im Einzelfall unter Umständen geringeren Unwertgehalts von Taten nach den Absätzen 1 und 2 ist § 202e StGB-E in den Kreis der relativen Antragsdelikte nach § 205 Absatz 1 Satz 2 StGB aufzunehmen. Ein Einschreiten von Amts wegen bei besonderem öffentlichen Interesse an der Strafverfolgung soll ermöglicht werden.
Zu Artikel 2 (§ 374 Absatz 1 Nummer 3a StPO)
Es handelt sich um eine Folgeänderung der Strafprozessordnung. Aufgrund seiner Nähe zu anderen in § 374 Absatz 1 StPO genannten Delikten, die dem Schutz höchstpersönlicher Rechtsgüter dienen, soll auch § 202e StGB-E in den Kreis der Privatklagedelikte aufgenommen werden. Wie die in § 374 Absatz 1 StPO genannten Vergehen kann eine unbefugte Benutzung eines IT-Systems, ein digitaler Hausfriedensbruch, in den Fällen der Absätze 1 und 2 die Allgemeinheit mitunter so wenig berühren, dass kein öffentliches Interesse an der Strafverfolgung besteht. In Durchbrechung des Offizialprinzips soll in einem solchen Fall ausnahmsweise der Verletzte bzw. dessen gesetzlicher Vertreter oder ein sonstiger Strafantragsberechtigter die Strafverfolgung als Privatkläger selbst betreiben dürfen.
Die Vorschrift regelt das Inkrafttreten. Das Gesetz soll am Tag nach der Verkündung in Kraft treten.
1. Vgl. http://www.spiegel.de/netzwelt/web/grundremmingen-computervirus-im-atomkraftwerk-entdeckt-a-1089248.html
2. Vgl. http://www.heise.de/security/meldung/Krypto-Trojaner-Locky-wuetet-in-Deutschland-Ueber-50001nfektionen-pro-Stunde-3111774.html
3. Vgl. http://www.heise.de/newsticker/meldung/Ransomware-Viruslegt-Krankenhauslahm-3100418.html http://www.t-online.de/computer/sicherheit/id_76362038/teslacrypt-erpresser-trojaner-legt-deutschebehoerden-lahm.html
8. Vgl. http://www.heise.de/newsticker/meldung/32C3-Hardware-Trojaner-als-unterschaetzte-Gefahr-3056452.html
9. Vgl. http://www.heise.de/security/meldung/Rombertik-Der-Virusderverbrannten-Erde-2633009.html
10. Vgl. Bundesamt für Sicherheit in der Informationstechnik, Die Lage der IT-Sicherheit in Deutschland 2015, S. 30
13. Vgl. Lenckner/Winkelbauer CR 1986, 654, 658 f; Fischer, StGB, § 263a Rn 3.
15. Vgl. BVerfG a.a.O.
← Inhalt 338/16B