Source: https://www.hrr-strafrecht.de/hrr/bverfg/07/2-bvr-2233-07.php
Timestamp: 2018-12-19 14:05:27
Document Index: 166301151

Matched Legal Cases: ['§ 202', '§ 202', '§ 202', 'Art. 6', '§ 202', '§ 202', '§ 202', '§ 202', 'Art. 2', 'Art. 103', '§ 202', '§ 202', '§ 202', '§ 202', 'Art. 6', '§ 202', '§ 202', '§ 202', '§ 202', '§ 202', '§ 202', '§ 202', '§ 202', '§ 202', '§ 202', '§ 202', 'Art. 6', '§ 202']

BVerfG 2 BvR 2233/07 - 18. Mai 2009 (-) · hrr-strafrecht.de
BVerfG 2 BvR 2233/07 - 18. Mai 2009 (-) [= HRRS 2009 Nr. 560]
BVerfG 2 BvR 2233/07:
HRRS-Nummer: HRRS 2009 Nr. 560
Zitiervorschlag: BVerfG, 2 BvR 2233/07, Beschluss v. 18.05.2009, HRRS 2009 Nr. 560
BVerfG 2 BvR 2233/07 (2. Kammer des Zweiten Senats) - Beschluss vom 18. Mai 2009 (-)
Strafbarkeit des Vorbereitens des Ausspähens und Abfangens von Daten (Computerprogramme; dual use tools; "Hacker-Tools"; Entwicklung oder Modifikation mit der Absicht zur Begehung von Straftaten; Beschaffung oder Weitergabe zum Zweck von Sicherheitsüberprüfungen; Vorsatzfeststellung Vorsatz).; Zulässigkeit der Verfassungsbeschwerde gegen ein Gesetz.
2. § 202c Abs. 1 Nr. 2 StGB erfordert (Eventual-)Vorsatz zur Begehung von Computerstraftaten nach § 202a oder § 202b StGB. Daher dürfen zum Zweck der Sicherheitsüberprüfung von Computersystemen im Einverständnis mit dem jeweiligen Verfügungsberechtigten grundsätzlich auch Schadprogramme, deren objektiver Zweck in der Begehung von Computerstraftaten liegt, beschafft oder weitergegeben werden - und zwar auch dann, wenn aufgrund der Herkunft der Programme, etwa aus zweifelhaften Internetforen, der Verdacht nahe liegt, dass andere Nutzer der gleichen Quelle keine lauteren Absichten verfolgen.
3. Die Zulässigkeit einer Verfassungsbeschwerde gegen ein Gesetz setzt nach der ständigen Rechtsprechung des Bundesverfassungsgerichts voraus, dass der Beschwerdeführer selbst, gegenwärtig und unmittelbar durch die angegriffenen Rechtsnormen in seinen Grundrechten betroffen ist (vgl. nur BVerfGE 1, 97, 101 ff.). Eine unmittelbar aus dem Gesetz folgende Beschwer hat das Bundesverfassungsgericht unter anderem anerkannt, wenn das Gesetz den Betroffenen schon vor Erlass eines Vollzugsaktes zu entscheidenden Dispositionen veranlasst, die er nach dem späteren Gesetzesvollzug nicht mehr nachholen oder korrigieren könnte (vgl. BVerfGE 90, 128, 136; 97, 157, 164), und wenn er erst das Risiko eines Bußgeld- oder Strafverfahrens eingehen müsste, um Rechtsschutz vor den Fachgerichten erwirken zu können (vgl. BVerfGE 20, 283, 290; 46, 246, 256; 81, 70, 82 f.; 97, 157, 165).
Nach dem Erläuternden Bericht ("Explanatory Report") des Europarats bezieht sich die Erwähnung eines "Computerprogramms" in Art. 6 auf Programme, die beispielsweise - wie Virenprogramme - dafür gestaltet worden sind, Daten zu verändern oder gar zu zerstören oder in Datenverarbeitungsvorgänge einzugreifen, oder die dazu gestaltet oder eingerichtet worden sind, Zugang zu Computersystemen zu erhalten ("programs that are for example designed to alter or even destroy data or interfere with the operation of systems, such as virus programs, or programs designed or adapted to gain access to computer systems", Rn. 72 des im Internet unter http://conventions.coe.int/Treaty/en/Reports/Html/185.htm abrufbaren Berichts). Im Wege eines vernünftigen Kompromisses beschränke das Übereinkommen seine Anwendbarkeit auf Fälle, in denen Vorrichtungen objektiv in erster Linie dazu gestaltet oder eingerichtet worden sind, eine Straftat zu begehen. Dies allein werde "dual-use-Vorrichtungen" in der Regel ausschließen ("As a reasonable compromise the Convention restricts its scope to cases where the devices are objectively designed, or adapted, primarily for the purpose of committing an offence. This alone will usually exclude dual-use devices", a.a.O. Rn. 73).
b) Der Bundesrat äußerte in seiner Stellungnahme (BT-Drucks 16/3656, S. 16 f.) Bedenken gegen den Gesetzentwurf. Der Tatbestand des § 202c StGB sei sehr weit geraten. Der Bundesrat bat insbesondere zu prüfen, ob die tatbestandliche Fassung des § 202c StGB den gutwilligen Umgang mit allgemeinen Programmier-Tools, -sprachen oder sonstigen Softwareprogrammen sowie "Hacker-Tools" zur Sicherheitsüberprüfung von IT-Systemen - ausreichend vor Kriminalisierung schütze (a.a.O. S. 17).
d) Im Rahmen der Beratung der Gesetzesvorlage führte der Rechtsausschuss des Deutschen Bundestags am 21. März 2007 eine öffentliche Anhörung von Sachverständigen durch. Die Frage der Reichweite des § 202c StGB insbesondere im Hinblick auf so genannte dual use tools war Gegenstand sowohl der vorbereitenden schriftlichen Äußerungen der Sachverständigen als auch der mündlichen Diskussion (vgl. i. E. die Dokumentation unter http://www.bundestag.de/ausschuesse/a06/anhoerungen/Archiv/15_Computerkriminalitaet/index.html).
1. a) Der Beschwerdeführer F... war Geschäftsführer der Firma V... Deutschland GmbH (im Folgenden: V...). Das Unternehmen bietet Dienstleistungen im Bereich der Sicherheit von Informations- und Kommunikationstechnologien an. Im Rahmen ihres Geschäftsbetriebes führt die Firma V... unter anderem so genannte Penetrationstests durch. Dabei handelt es sich um Sicherheitsüberprüfungen von EDV-Anlagen durch Simulation nicht autorisierter Zugriffsversuche: Die Mitarbeiter der V... versetzen sich in die Situation eines Angreifers und versuchen, Sicherheitslücken zu finden, um auf diese Weise in das zu überprüfende EDV-System - typischerweise ein Netzwerk eines Unternehmens - einzudringen. Gegenstand der unternehmerischen Tätigkeit der V... ist damit unter anderem die Feststellung, wie verletzlich das Zielsystem für "Hacker-Angriffe" ist. Nach Abschluss der Überprüfung wird ein Bericht erstellt, der es dem Inhaber der geprüften EDV-Anlage ermöglicht, im Falle aufgedeckter Sicherheitslücken Gegenmaßnahmen zu ergreifen und so die Systemsicherheit zu verbessern. Die V... wird dabei ausschließlich im Auftrag und mit Einverständnis des Betreibers der EDV-Anlage tätig.
Zur Realisierung der Penetrationstests setzt die Firma V... eine Vielzahl von EDV-Programmen ein, deren mögliche Einsatzbereiche nicht immer eindeutig definiert sind. Teilweise handelt es sich um Analysewerkzeuge, die sowohl vom berechtigten Nutzer / Administrator eines Computersystems zu dessen bestimmungsgemäßer Wartung und Pflege als auch ohne oder gegen den Willen des Berechtigten zum Zwecke des Ausspähens von Schwachstellen verwendet werden können (dual use tools). Teilweise entstammen die Programme auch anonymen "Hacker-Foren" im Internet, die vermuten lassen, dass die Programme von ihren Urhebern zum Zwecke des illegalen Eindringens in EDV-Systeme konzipiert wurden (so genannte malware oder Schadsoftware).
3. Der Beschwerdeführer K... nutzt das Computerbetriebssystem Linux. Dabei setzt er auch Programmkomponenten ein, die im Internet frei erhältlich sind, so genannte Linux-Distributionen. Diese werden weltweit von Linux-Nutzern entwickelt und zur Verfügung gestellt, um das Betriebssystem zu verbessern. Zu den vom Beschwerdeführer genutzten Anwendungen gehört das (auch vom Beschwerdeführer Prof. Dr. W... angesprochene) Tool "nmap". Der Beschwerdeführer geht davon aus, dass dieses sowie andere von ihm genutzte Programme auch dafür genutzt werden könnten, unter Verstoß gegen § 202a StGB in fremde Computersysteme einzudringen. Er rügt mit der Verfassungsbeschwerde eine Verletzung seiner allgemeinen Handlungsfreiheit (Art. 2 Abs. 1 GG) und des strafrechtlichen Bestimmtheitsgebots (Art. 103 Abs. 2 GG). Er befürchtet, sich bereits durch das Installieren von Linux-Distributionen wie "nmap" nach § 202c Abs. 1 Nr. 2 StGB strafbar zu machen.
aa) Schon nach dem Wortlaut nicht ausreichend wäre, dass ein Programm - wie das für so genannte dual use tools gilt - für die Begehung der genannten Computerstraftaten lediglich geeignet oder auch besonders geeignet ist. Der allgemeine Sprachgebrauch versteht unter "Zweck" "etwas, was jemand mit einer Handlung beabsichtigt, zu bewirken, zu erreichen sucht; Beweggrund und Ziel einer Handlung" (Duden, Das Große Wörterbuch der deutschen Sprache, 3. Aufl. 1999, S. 4706), also das Ziel, das willentlich durch den Einsatz bestimmter Mittel in Handlungen geplant und verfolgt wird (Brockhaus, Enzyklopädie, Bd. 30, 21. Aufl. 2006, S. 747), oder das, "was man mit einer Handlung will, die Aufgabe um deren Willen sie geschieht, das Ergebnis, das irgendwie hinter der Handlung als Endpunkt steht. Das Wort wird so von der Vernunft aus gesehen; man setzt voraus, dass, was man tut, eine Absicht zum Grunde hat, die man erkennt, die man andern mitteilen kann" (Deutsches Wörterbuch von Jacob und Wilhelm Grimm, Bd. 32, 1954/1984, Sp. 959). Mit dieser finalen Dimension unterscheidet sich der Begriff des Zwecks deutlich von dem der Eignung; systematische und entstehungsgeschichtliche Erwägungen bestätigen diesen Befund.
Die Entstehungsgeschichte des § 202c Abs. 1 Nr. 2 StGB schließlich belegt eindeutig, dass an die Eignung oder auch nur an die besondere Eignung von Programmen nicht angeknüpft werden sollte; durch den Rekurs auf den "Zweck" der Software sollten engere Voraussetzungen im Vergleich zur bloßen "Geeignetheit" aufgestellt werden (vgl. Popp, GA 2008, S. 375 <388>). In ihrer Gegenäußerung zu den Bedenken des Bundesrats erklärte die Bundesregierung, bei Programmen, deren funktionaler Zweck nicht eindeutig kriminell sei und die erst durch ihre Anwendung zu einem Tatwerkzeug eines Kriminellen oder aber zu einem legitimen Werkzeug würden - so genannten dual use tools - sei bereits der objektive Tatbestand des § 202c StGB nicht erfüllt (vgl. BT-Drucks 16/3656, S. 18 f.). Die bloße Eignung von Software zur Begehung von Computerstraftaten sei nicht ausreichend, so dass auch solche Programme aus dem Tatbestand herausfielen, die lediglich zur Begehung von Computerstraftaten missbraucht werden könnten. Der Rechtsausschuss stellte zur Vermeidung von Missverständnissen in seinem Bericht an den Deutschen Bundestag klar, dass die bloße Geeignetheit eines Programms zur Begehung der betreffenden Straftaten keine Strafbarkeit nach § 202c StGB begründe. Die geforderte Zweckbestimmung müsse eine Eigenschaft des Computerprogramms in dem Sinne darstellen, dass es sich um so genannte Schadsoftware handle (vgl. BT-Drucks 16/5449, S. 4).
bb) Schon die Entstehungsgeschichte der Vorschrift spricht hingegen deutlich dafür, die Absichten des Entwicklers des jeweiligen Programms als maßgeblich für dessen Zweckbestimmung zu erachten (so auch Popp, GA 2008, S. 375 <384>). Art. 6 Abs. 1 Buchstabe a Nr. i des Übereinkommens des Europarats, auf den § 202c Abs. 1 Nr. 2 zurückgeht, bezieht sich ausdrücklich auf eine "Vorrichtung einschließlich eines Computerprogramms, die in erster Linie dafür ausgelegt oder hergerichtet worden ist, eine nach den Artikeln 2 bis 5 umschriebene Straftat zu begehen" (im englischen Originaltext: "designed or adapted primarily for the purpose of committing any of the offences established in accordance with Articles 2 through 5"). Hier wird der Entstehungsvorgang des Programms in seiner konkreten Gestalt in den Blick genommen. Entsprechend sind nach der Beschlussempfehlung des Rechtsausschusses nur Computerprogramme gemeint, "die in erster Linie dafür ausgelegt oder hergestellt wurden, um damit Straftaten nach den § 202a, § 202b StGB zu begehen".
Der Beschwerdeführer Prof. Dr. W... hat hinsichtlich der Programme, die er seinen Studenten zur Verfügung stellt, lediglich dargelegt, dass diese zur Begehung von Computerstraftaten geeignet sind, zu solchen Zwecken also verwendet werden können; konkret hat er das am Beispiel des Tools "nmap" erläutert. Diese Eignung genügt zur Erfüllung des objektiven Tatbestands des § 202c Abs. 1 Nr. 2 StGB jedoch nicht. Der Beschwerdeführer hat keinerlei Angaben gemacht, die - wenn auch nur indiziell - auf eine deliktische Zweckbestimmung der betreffenden Software schließen ließen. Die Bezeichnung dieser Programme als "Sicherheitsanalysewerkzeuge" deutet ganz im Gegenteil darauf hin, dass der - legitime - Zweck der Sicherheitsanalyse bei diesen Instrumenten im Vordergrund steht. Zu deliktischen Absichten der Entwickler der betreffenden Programme hat sich der Beschwerdeführer weder geäußert, noch hat er auf eine Manifestation solcher Absichten hingewiesen. Auch der Beschwerdeführer K... hat die Erfüllung des objektiven Tatbestands des § 202c Abs. 1 Nr. 2 StGB durch die von ihm verwendeten Linux-Distributionen nicht dargelegt. Er geht - wie der Beschwerdeführer Prof. Dr. W... - nur auf die Eignung der von ihm verwendeten Programme für die Begehung von Computerstraftaten ein.
Der Beschwerdeführer F... hat hingegen vorgetragen, dass er im Rahmen seiner beruflichen Tätigkeit nicht nur objektiv (auch) zur Begehung von Computerstraftaten geeignete Software, also dual-use-Software, verwendet, sondern darüber hinaus "Schadsoftware" aus zweifelhaften Quellen im Internet beschafft oder beschaffen lässt, um sie bei Penetrationstests einzusetzen. Während nach dem Gesagten die verwendete (bloße) dual-use-Software nicht unter den objektiven Tatbestand des § 202c Abs. 1 Nr. 2 StGB fällt, kann hinsichtlich der vom Beschwerdeführer so bezeichneten Schadsoftware angesichts deren Herkunft und Vertriebsweise durchaus angenommen werden, dass sie gerade zum Zweck der Begehung rechtswidriger Taten entwickelt wurde und über Eigenschaften verfügt, in denen sich diese Zweckbestimmung manifestiert.
b) Hinsichtlich des Beschwerdeführers F... oder seiner Mitarbeiter ist nach diesen Maßstäben auf der Grundlage des Beschwerdevorbringens nicht zu sehen, dass diese das subjektive Merkmal der Vorbereitung einer Straftat nach § 202a oder § 202b StGB erfüllen, soweit sie objektiv unter den Tatbestand des § 202c Abs. 1 Nr. 2 StGB fallende Programme beschaffen oder diese innerhalb des Unternehmens weitergeben. Denn die bei diesen Tätigkeiten in Aussicht genommene Verwendung der Programme im Rahmen von Penetrationstests erfüllt den Tatbestand des § 202a oder § 202b StGB zweifellos nicht: Da die Unternehmen, für die der Beschwerdeführer tätig wird oder tätig geworden ist, im Auftrag und somit im Einverständnis mit den über die überprüften Computersysteme Verfügungsberechtigten handeln, fehlt es am Tatbestandsmerkmal des "unbefugten" Handelns, wie auch der Generalbundesanwalt betont hat. Zu einem solchen legalen Zweck dürfen nach dem insofern eindeutigen und durch die Äußerungen im Zuge der Entstehungsgeschichte sowie Art. 6 Abs. 2 des Übereinkommens des Europarats bekräftigten Wortlaut des § 202c Abs. 1 Nr. 2 StGB jedoch grundsätzlich auch Schadprogramme, deren objektiver Zweck in der Begehung von Computerstraftaten liegt, beschafft oder weitergegeben werden - und zwar auch dann, wenn aufgrund der Herkunft der Programme, etwa aus zweifelhaften Internetforen, der Verdacht nahe liegt, dass andere Nutzer der gleichen Quelle keine lauteren Absichten verfolgen (vgl. auch Böhlke/Yilmaz, CR 2008, S. 261 <264>; Popp, GA 2008, S. 375 <392 f.>). Sieht der Beschwerdeführer hier Risiken einer strafrechtlichen Verfolgung, kann er diese unter anderem durch eine umfassende Dokumentation der Verfahrensabläufe und der erteilten Bewilligung des Auftraggebers für sein Tätigwerden weiter verringern (vgl. Böhlke/Yilmaz, a.a.O., S. 261 <266>).