Abfangen von Daten
E-Mails mitlesen, Datenverkehr in einem Netzwerk mitschneiden oder fremde Kommunikation technisch überwachen: Der Vorwurf Abfangen von Daten betrifft häufig Sachverhalte, bei denen zunächst geklärt werden muss, was technisch überhaupt geschehen ist. Denn nicht jeder Zugriff auf fremde Daten erfüllt § 202b StGB.
Entscheidend ist, ob sich jemand unbefugt und mit technischen Mitteln nicht für ihn bestimmte Daten aus einer nichtöffentlichen Datenübermittlung verschafft. Deshalb müssen technische Abläufe und strafrechtliche Voraussetzungen gemeinsam geprüft werden.
Was bedeutet Abfangen von Daten?
§ 202b StGB schützt die Vertraulichkeit elektronischer Kommunikation. Erfasst werden insbesondere Daten, die sich gerade in einem Übertragungsvorgang befinden. Dazu können beispielsweise Übertragungen per E-Mail, WLAN, Netzwerk, Voice-over-IP oder andere Formen elektronischer Kommunikation gehören.
Wichtig ist jedoch die zeitliche Abgrenzung: § 202b StGB betrifft grundsätzlich Daten während ihrer Übermittlung. Greift jemand dagegen erst später auf bereits gespeicherte Daten zu, kommt eher das Ausspähen von Daten nach § 202a StGB oder ein anderer Straftatbestand in Betracht.
Das Abfangen von Daten ist damit gewissermaßen das elektronische Gegenstück zum unbefugten Mithören einer Kommunikation.
Wann ist das Abfangen von Daten strafbar?
Für eine Strafbarkeit müssen mehrere Voraussetzungen zusammenkommen.
Zunächst müssen die Daten für den Beschuldigten nicht bestimmt sein. Wer rechtmäßiger Empfänger einer Datenübermittlung ist, fängt diese grundsätzlich nicht im Sinne des § 202b StGB ab.
Außerdem muss die Datenübermittlung nichtöffentlich erfolgen. Entscheidend ist dabei weniger der Inhalt der Information als vielmehr, ob die Übertragung nur für einen bestimmten oder bestimmbaren Empfängerkreis vorgesehen war.
Weiterhin verlangt § 202b StGB den Einsatz eines technischen Mittels. Darunter können sowohl technische Geräte als auch Software fallen. In Betracht kommen beispielsweise Programme zur Analyse oder Aufzeichnung von Netzwerkverkehr. Ob ein konkretes Werkzeug tatsächlich zum strafbaren Abfangen eingesetzt wurde, muss jedoch anhand seiner Funktionsweise und des tatsächlichen Einsatzes festgestellt werden.
Schließlich muss sich der Täter die Daten tatsächlich verschaffen. Ein bloßer Verdacht, dass eine technische Möglichkeit bestanden hat, genügt dafür nicht.
Muss die Datenübertragung besonders gesichert sein?
Nein. Genau darin liegt ein wesentlicher Unterschied zum Ausspähen von Daten nach § 202a StGB.
§ 202a StGB setzt voraus, dass die Daten gegen unberechtigten Zugang besonders gesichert waren und diese Sicherung überwunden wurde. § 202b StGB verlangt eine solche besondere Zugangssicherung dagegen nicht.
Deshalb kann grundsätzlich auch das Abfangen einer unverschlüsselten, aber nichtöffentlichen Datenübermittlung tatbestandsmäßig sein.
Typische Fälle in Unternehmen
In Unternehmen entstehen Ermittlungsverfahren wegen Abfangen von Daten häufig in Situationen, die zunächst gar nicht eindeutig erscheinen.
Ein Mitarbeiter analysiert Netzwerkverkehr. Ein Administrator verfügt aufgrund seiner Tätigkeit über weitreichende technische Zugriffsrechte. Unternehmenskommunikation wird überwacht oder protokolliert. Nach einer Kündigung entsteht der Verdacht, dass E-Mails oder andere Kommunikationsdaten mitgelesen wurden. Ebenso können interne Ermittlungen oder IT-Sicherheitsprüfungen Anlass für strafrechtliche Vorwürfe geben.
Gerade dann ist die Frage entscheidend, welche Berechtigung der betreffende Mitarbeiter tatsächlich hatte. Technische Zugriffsmöglichkeiten und strafrechtliche Befugnisse sind nicht dasselbe. Andererseits bedeutet ein technisch möglicher Zugriff noch nicht automatisch, dass Daten tatsächlich abgefangen wurden.
Abgrenzung zum Ausspähen von Daten
§ 202a und § 202b StGB werden häufig miteinander verwechselt.
Beim Ausspähen von Daten nach § 202a StGB geht es insbesondere um den unbefugten Zugang zu besonders gesicherten Daten. Beim Abfangen von Daten nach § 202b StGB steht dagegen der laufende nichtöffentliche Übertragungsvorgang im Mittelpunkt.
Daneben können je nach Sachverhalt weitere Vorschriften relevant werden. § 202c StGB erfasst bestimmte Vorbereitungshandlungen, etwa im Zusammenhang mit Passwörtern oder Computerprogrammen, deren Zweck die Begehung einer Tat nach §§ 202a oder 202b StGB ist. Auch Datenhehlerei, Verletzungen von Geschäftsgeheimnissen oder weitere Delikte des IT-Strafrechts können hinzukommen.
Welche Strafe droht beim Abfangen von Daten?
§ 202b StGB sieht Geldstrafe oder Freiheitsstrafe bis zu zwei Jahren vor.
Allerdings enthält die Vorschrift eine Subsidiaritätsklausel. Ist dieselbe Tat nach einer anderen Vorschrift mit einer schwereren Strafe bedroht, tritt § 202b StGB zurück.
Außerdem wird das Abfangen von Daten grundsätzlich nur auf Strafantrag verfolgt. Die Staatsanwaltschaft kann jedoch auch ohne Strafantrag einschreiten, wenn sie ein besonderes öffentliches Interesse an der Strafverfolgung annimmt.
IT-Sicherheitsforschung und strafrechtliche Grenzen
Besonders schwierig kann die Abgrenzung bei Sicherheitsforschern, Administratoren und sogenannten Ethical Hackern sein. Der Gesetzgeber diskutiert seit einigen Jahren darüber, rechtmäßige IT-Sicherheitsforschung deutlicher von strafbaren Angriffen abzugrenzen.
Ein Referentenentwurf des Bundesjustizministeriums zur Modernisierung des Computerstrafrechts sah deshalb ausdrücklich einen Strafbarkeitsausschluss für bestimmte Handlungen beim Aufspüren von Sicherheitslücken vor. Nach dem derzeit geltenden Recht kommt es jedoch weiterhin wesentlich darauf an, ob der Zugriff beziehungsweise das Abfangen befugt oder unbefugt erfolgte.
Verteidigung beim Vorwurf des Abfangens von Daten
Bei einem Ermittlungsverfahren wegen Abfangen von Daten sollte zunächst keine Aussage zur Sache erfolgen. Gerade bei IT-Straftaten lässt sich der strafrechtliche Vorwurf häufig erst nach Einsicht in die Ermittlungsakte und Auswertung der technischen Beweismittel beurteilen. Als Strafverteidiger prüfe ich insbesondere, welche Daten betroffen waren, ob überhaupt eine laufende Datenübermittlung vorlag, für wen diese bestimmt war, welche technischen Mittel eingesetzt wurden und welche Zugriffs- oder Administrationsrechte bestanden.
Ebenso wichtig ist die technische Beweisführung. Logdateien, Netzwerkdaten, sichergestellte Computer, Mobiltelefone oder forensische Auswertungen müssen daraufhin untersucht werden, ob sie den behaupteten Datenzugriff tatsächlich belegen. Bei Bedarf arbeite ich dabei mit ausgewählten IT-Sachverständigen und forensischen Analysten zusammen. Denn gerade beim Vorwurf des Abfangens von Daten entscheidet nicht die theoretische technische Möglichkeit über die Strafbarkeit. Entscheidend ist, was sich im konkreten Fall tatsächlich nachweisen lässt.
Rechtsanwalt Oliver Marson
Fachanwalt für Strafrecht in Berlin
Persönliche Strafverteidigung im Wirtschafts- und IT-Strafrecht