Ausspähen von Daten – Schutz vor Hackerangriffen
Ein fremdes E-Mail-Konto öffnen, auf geschützte Unternehmensdaten zugreifen oder sich Zugang zu einer Krypto-Wallet verschaffen: Der Vorwurf Ausspähen von Daten betrifft längst nicht mehr nur klassische Hackerangriffe. Auch Mitarbeiter, Administratoren oder externe IT-Dienstleister können in den Fokus eines Ermittlungsverfahrens geraten.
Doch nicht jeder unbefugte Zugriff erfüllt § 202a StGB. Entscheidend ist insbesondere, ob die Daten besonders gesichert waren und der Beschuldigte diese Zugangssicherung tatsächlich überwunden hat.
Was bedeutet Ausspähen von Daten?
Nach § 202a StGB macht sich strafbar, wer sich oder einem anderen unbefugt Zugang zu Daten verschafft,
- die nicht für ihn bestimmt sind,
- die gegen unberechtigten Zugang besonders gesichert sind und
- deren Zugangssicherung überwunden wird.
Erfasst werden elektronische, magnetische oder sonst nicht unmittelbar wahrnehmbare Daten. Dazu gehören beispielsweise E-Mails, Unternehmensdatenbanken, Dateien auf Servern, Cloud-Daten oder Informationen in geschützten Benutzerkonten.
Die Strafandrohung beträgt Freiheitsstrafe bis zu drei Jahren oder Geldstrafe.
Wann sind Daten „besonders gesichert“?
Nicht jede Datei auf einem fremden Computer ist automatisch durch § 202a StGB geschützt. Der Berechtigte muss durch eine besondere Sicherung erkennen lassen, dass Unbefugte auf die Daten nicht zugreifen sollen.
Typische Zugangssicherungen sind:
- Passwörter,
- PIN-Codes,
- Zwei-Faktor-Authentifizierung,
- technische Zugriffsrechte,
- Verschlüsselungen,
- sonstige elektronische Zugangssperren.
Der Bundesgerichtshof hat entschieden, dass bereits eine Passwortsicherung grundsätzlich ausreichen kann. Dabei kommt es nicht darauf an, ob ein IT-Experte die Sicherung relativ leicht umgehen könnte. Maßgeblich ist vielmehr, ob die Daten allgemein gegen unbefugten Zugriff geschützt sind. BGH, Beschluss vom 13. Mai 2020 (5 StR 614/19).
Muss die Sicherung tatsächlich überwunden werden?
Ja. Genau hier liegt häufig ein entscheidender Verteidigungsansatz.
Das OLG Braunschweig, Beschluss vom 18. September 2024 (1 Ws 185/24), hatte über den Zugriff auf eine Krypto-Wallet zu entscheiden. Der Beschuldigte kannte die richtigen Passwörter, weil er die Wallet zuvor selbst eingerichtet hatte. Nach Auffassung des Gerichts genügte die bloße Verwendung dieser weiterhin gültigen Passwörter nicht für ein „Überwinden“ der Zugangssicherung. Ein Anfangsverdacht wegen § 202a StGB bestand deshalb nicht.
Das zeigt: Unbefugter Zugriff und Überwindung einer Zugangssicherung sind nicht dasselbe.
Auch Administratoren können sich strafbar machen
Umgekehrt schützt eine technische Zugriffsberechtigung nicht automatisch vor Strafbarkeit.
Der BGH, Beschluss vom 13. Mai 2020 (5 StR 614/19), beschäftigte sich mit einem Administrator, der auf geschützte dienstliche E-Mail-Konten zugriff. Obwohl er aufgrund seiner Tätigkeit weitreichende technische Möglichkeiten hatte, durfte er diese nicht beliebig nutzen.
Entscheidend ist deshalb stets:
- Was durfte der Mitarbeiter oder Administrator tatsächlich – und was konnte er lediglich technisch?
- Gerade bei Unternehmen sind Dienstanweisungen, Administrationsrechte, Arbeitsverträge und konkrete Zuständigkeiten deshalb für die Verteidigung wichtig.
- Sicherheitslücke entdeckt – trotzdem strafbar?
Besonders problematisch sind Fälle sogenannter Grey-Hat-Hacker. Dabei entdeckt jemand ohne ausdrücklichen Auftrag eine Sicherheitslücke und greift auf geschützte Daten zu, möglicherweise sogar mit dem Ziel, den Betreiber anschließend zu warnen.
Das LG Aachen, Urteil vom 4. November 2024 (74 NBs 34/24), hat deutlich gemacht, dass ein angeblich guter Zweck nicht automatisch zur Straffreiheit führt. Selbst ein im Programmcode hinterlegtes Passwort kann eine besondere Zugangssicherung darstellen, wenn sein Auffinden spezielle technische Kenntnisse erfordert.
Wer Sicherheitslücken untersucht, sollte deshalb nicht davon ausgehen, dass ein Hinweis an den Betreiber einen zuvor unbefugten Zugriff automatisch rechtfertigt.
Ausspähen oder Abfangen von Daten?
Das Ausspähen von Daten nach § 202a StGB muss vom Abfangen von Daten nach § 202b StGB unterschieden werden.
Beim Ausspähen geht es vor allem um den Zugang zu besonders geschützten Daten.
Beim Abfangen von Daten steht dagegen eine nichtöffentliche Datenübermittlung im Mittelpunkt. Dabei können beispielsweise laufende Netzwerkkommunikation oder andere elektronische Übertragungsvorgänge betroffen sein.
Je nach technischem Ablauf können außerdem Datenveränderung, Computersabotage, Computerbetrug oder die Verletzung von Geschäftsgeheimnissen geprüft werden.
Aktuelle Rechtsprechung: Cardsharing
Auch technisch komplexe Geschäftsmodelle können § 202a StGB berühren. Der BGH, Beschluss vom 12. Juni 2025 (6 StR 557/24), beschäftigte sich mit einem professionellen Cardsharing-Netzwerk für verschlüsselte Pay-TV-Angebote. Der Senat bestätigte dabei unter anderem eine Beihilfe zum Ausspähen von Daten.
Gerade solche Verfahren zeigen, dass der strafrechtliche Vorwurf häufig nur verstanden werden kann, wenn zunächst der technische Ablauf exakt rekonstruiert wird.
Wie kann ein Strafverteidiger helfen?
Bei einem Ermittlungsverfahren wegen Ausspähen von Daten sollte zunächst keine Aussage zur Sache erfolgen. Die entscheidenden Fragen lassen sich meist erst nach Akteneinsicht beantworten.
Ich prüfe insbesondere:
- Welche Daten sollen ausgespäht worden sein?
- Für wen waren diese Daten bestimmt?
- Welche Zugangssicherung bestand?
- Wurde diese Sicherung tatsächlich überwunden?
- Welche Berechtigungen hatte der Beschuldigte?
- Was belegen Logdateien und forensische Auswertungen tatsächlich?
- Lassen sich die behaupteten Zugriffe eindeutig einer Person zuordnen?
Bei Bedarf arbeite ich mit ausgewählten IT-Sachverständigen und forensischen Analysten zusammen. Gerade bei digitalen Beweismitteln genügt es nicht, die Schlussfolgerungen der Ermittlungsbehörden ungeprüft zu übernehmen.
Als Fachanwalt für Strafrecht in Berlin verteidige ich Beschuldigte persönlich in Verfahren des IT- und Wirtschaftsstrafrechts. Ziel ist zunächst zu klären, ob die technischen und rechtlichen Voraussetzungen des Ausspähens von Daten überhaupt nachweisbar sind.
Rechtsanwalt Oliver Marson
Fachanwalt für Strafrecht in Berlin