Ausspähen von Daten – § 202a StGB

Wer eine Vorladung der Polizei, einen Strafbefehl oder gar einen Durchsuchungsbeschluss mit dem Vorwurf des „Ausspähens von Daten“ (§ 202a StGB) in den Händen hält, fühlt sich oft in die Ecke gedrängt. Der Begriff suggeriert hochkriminelle Energie, Kapuzenpullover und dunkle Kellerräume, also das klassische Hacker-Klischee. Doch die Realität in deutschen Gerichtssälen sieht oft ganz anders aus.

Im digitalen Zeitalter trifft dieser Tatbestand längst auch Menschen ohne Hacker-Hintergrund, etwa den eifersüchtigen Partner, der heimlich Nachrichten liest, den Systemadministrator, der seine Kompetenzen überschreitet, oder den Schüler, der Sicherheitslücken im Schulnetzwerk testet. Die Situation ist für Sie als Beschuldigten ernst, da der Staat den Schutz digitaler Privatsphäre zunehmend strenger verfolgt. Doch Panik ist der falsche Ratgeber. § 202a StGB ist ein technisch und juristisch hochkomplexer Paragraf, der für die Ermittlungsbehörden zahlreiche Stolpersteine bereithält. Oftmals lassen sich Vorwürfe entkräften, weil die strengen Voraussetzungen des Gesetzes (etwa die „besondere Sicherung“ der Daten) bei genauer technischer Prüfung gar nicht erfüllt sind.

Dieser Artikel erklärt Ihnen verständlich und ohne juristisches Kauderwelsch, was genau hinter dem Vorwurf steckt, welche Strafen realistisch drohen und wie wir Sie effektiv verteidigen können.

Was ist das Ausspähen von Daten?

Der Gesetzgeber schützt mit § 202a StGB das formelle Geheimhaltungsinteresse an Daten. Man kann die Vorschrift vereinfacht als „digitalen Hausfriedensbruch“ verstehen. So wie es verboten ist, eine verschlossene Tür aufzubrechen, um in eine Wohnung zu gelangen, ist es verboten, digitale Barrieren zu überwinden, um an Informationen zu kommen. Damit Sie sich strafbar machen, müssen jedoch mehrere Bedingungen gleichzeitig erfüllt sein. Fehlt auch nur ein einziges Merkmal, liegt keine Straftat nach dieser Norm vor.

Was sind „Daten“ und wie müssen sie gesichert sein?

Zunächst müssen überhaupt taugliche Daten betroffen sein. Das Gesetz versteht darunter Informationen, die elektronisch, magnetisch oder sonst nicht unmittelbar wahrnehmbar gespeichert sind. Das umfasst E-Mails, Chatverläufe, Fotos in der Cloud, aber auch PIN-Codes oder Unternehmensbilanzen. Für Ihre Verteidigung geht es jedoch fast immer um die Zugangssicherung. § 202a StGB greift nur, wenn die Daten „gegen unberechtigten Zugang besonders gesichert“ sind.

Der Umkehrschluss für offene Daten

Das Lesen offener Daten ist nicht strafbar. Wenn Sie Daten finden, die frei zugänglich im Netz stehen, oder wenn Sie sich in ein unverschlüsseltes WLAN einloggen („Schwarz-Surfen“), begehen Sie kein Ausspähen von Daten. Der Verfügungsberechtigte muss durch eine technische Vorkehrung erkennbar gemacht haben, dass er niemanden an diese Daten lassen will. Klassische Sicherungen sind Passwörter, Firewalls, Verschlüsselungsprogramme oder biometrische Sperren (Fingerabdruck, Face-ID). Allerdings wertet die Rechtsprechung, etwa das Landgericht Aachen, teilweise schon ein im Programmcode hinterlegtes Passwort, das erst durch Dekompilieren auslesbar wird, oder rudimentäre Schutzmechanismen als Sicherung. Der Schutz muss nicht „perfekt“ sein. Es genügt ein Hindernis, das nicht ohne weiteres überwunden werden kann.

Die Überwindung der Hürde als Tathandlung

Strafbar ist nur das aktive Überwinden dieser Sicherung. Sie müssen also quasi den digitalen Schlüssel umdrehen oder das Schloss knacken. Wer ein Passwort errät, eine Sicherheitslücke (Exploit) nutzt oder Hacking-Tools wie Keylogger einsetzt, erfüllt dieses Merkmal. Ein wichtiger Sonderfall in der Verteidigungspraxis ist das sogenannte Skimming an Geldautomaten. Werden Kartendaten am Schlitz des Automaten abgegriffen, liegt oft gar kein Verstoß gegen § 202a StGB vor. Der Grund ist juristisch fein, denn die Daten auf dem Magnetstreifen der Karte sind oft gar nicht gegen das Auslesen gesichert, sondern nur gegen die Nutzung ohne PIN. Da beim bloßen Auslesen keine „Zugangssicherung“ im Sinne der Norm überwunden wird, scheidet dieser Vorwurf häufig aus, was den Weg zu milderen Tatbeständen oder einer Einstellung ebnen kann.

Unbefugt und „nicht für Sie bestimmt“

Ein weiteres mächtiges Verteidigungsargument ist die Frage der Berechtigung. Die Daten dürfen „nicht für Sie bestimmt“ sein und Sie müssen „unbefugt“ handeln. Dies klingt banal, ist aber in der Praxis oft der Rettungsanker. Wenn Sie beispielsweise das Passwort von Ihrem Partner oder Arbeitgeber in der Vergangenheit freiwillig erhalten haben, besitzen Sie eine Zugangsberechtigung. Nutzen Sie diese später entgegen einer internen Absprache (z.B. nach der Trennung oder Kündigung), handeln Sie zwar vielleicht moralisch fragwürdig oder zivilrechtlich vertragswidrig, aber nicht zwingend strafbar nach § 202a StGB. Solange die technische Zugangsberechtigung (das Passwort) nicht entzogen oder geändert wurde, fehlt es oft an der Überwindung einer Sicherung.

Methoden, Phishing und weitere Vorwürfe beim Hacking in der Praxis

Daten im Sinne des § 202a StGB sind nur Informationen, die für eine Datenverarbeitungsanlage codiert und nicht unmittelbar wahrnehmbar gespeichert oder übermittelt werden; erfasst sind also auch Daten, die gerade zwischen zwei Systemen übertragen werden, sowie Systemdateien. Geschützt ist allein das formelle Geheimhaltungsinteresse des Verfügungsberechtigten, nicht das Urheberrecht oder ein bestimmter Vermögenswert.

Ob die Sicherung „überwunden“ wurde, ist ein zentraler Prüfungspunkt. Die Strafbarkeit setzt voraus, dass Sie die Sicherung objektiv außer Kraft setzen oder umgehen. Das bloße Ausnutzen von Daten, deren Schutz ohne nennenswerten Aufwand zu durchbrechen ist, etwa weil der Inhaber Freigabedaten fahrlässig in die Systemkonfiguration eingestellt hat, reicht in der Regel nicht aus. Erforderlich ist vielmehr ein gewisser technischer oder zeitlicher Aufwand oder ein Zugang auf einem Weg, den der Verfügungsberechtigte erkennbar verhindern wollte. Klassische Hacking-Methoden wie Keylogger, Trojaner, Backdoor-Programme oder zielgerichtetes Portscanning erfüllen das Merkmal der Überwindung regelmäßig.

Anders liegt es beim Phishing, denn ein durch Täuschung erlangtes Passwort fällt oft aus dem Anwendungsbereich des § 202a StGB heraus, weil es vom Opfer selbst herausgegeben und nicht unter Überwindung einer technischen Sicherung erlangt wurde. Dann stehen allerdings schnell Betrugsdelikte im Raum.

Je nach Vorgehen kommen weitere Vorwürfe hinzu:

• Abfangen von Daten (§ 202b StGB), etwa beim Mitlesen fremder E-Mails oder VoIP-Telefonate unter Einsatz technischer Mittel: Freiheitsstrafe bis zu zwei Jahren oder Geldstrafe.
• Datenveränderung (§ 303a StGB), wenn Daten unbrauchbar gemacht, unterdrückt, verändert oder gelöscht wurden.
• Computerbetrug, Nötigung oder Erpressung, etwa beim Einsatz von Ransomware, die Bildschirme sperrt und Lösegeld fordert.

Welche Strafe droht bei § 202a StGB?

Das Gesetz sieht für das Ausspähen von Daten eine Freiheitsstrafe bis zu drei Jahren oder eine Geldstrafe vor. Das klingt bedrohlich, doch ein Blick in die Strafverfolgungsstatistik gibt Grund zur Beruhigung, insbesondere für Ersttäter.

In der Realität vor Gericht zeigen statistische Auswertungen der letzten Jahre, dass die absolute Mehrheit der Verurteilungen (oft über 90 %) mit einer Geldstrafe endet. Diese bewegt sich häufig im Bereich von 30 bis 90 Tagessätzen. Für Ihre Zukunft ist das wichtig, denn bei maximal 90 Tagessätzen (und wenn Sie nicht vorbestraft sind) taucht diese Verurteilung nicht in Ihrem polizeilichen Führungszeugnis auf. Sie gelten offiziell weiterhin als nicht vorbestraft.

Freiheitsstrafen sind die Ausnahme und werden meist nur verhängt, wenn erhebliche kriminelle Energie im Spiel war, etwa bei gewerbsmäßigem Handeln, massivem Identitätsdiebstahl oder wenn das Ausspähen nur die Vorbereitung für schwere Betrugsdelikte oder Erpressungen war. Selbst dann werden Freiheitsstrafen unter zwei Jahren bei einer positiven Sozialprognose fast immer zur Bewährung ausgesetzt.

Unterschätzen Sie jedoch nicht die Nebenfolgen

Einziehung

Die Polizei beschlagnahmt in der Regel die Tatmittel. Ihr teurer Gaming-PC, das Smartphone oder der Laptop werden also eingezogen und vernichtet, auch wenn die darauf befindlichen Daten gar nichts mit der Tat zu tun haben.

Berufliche Folgen

Für Berufsgruppen wie Systemadministratoren, IT-Sicherheitsberater oder Beamte kann schon eine Geldstrafe zum Verlust des Arbeitsplatzes oder Disziplinarverfahren führen.

KI-generiert

Datenhehlerei (§ 202d StGB) und der Umgang mit rechtswidrig erlangten Daten

Die Datenhehlerei ist die Hehlerei mit digitalen Gütern. Sie setzt voraus, dass Daten, die nicht allgemein zugänglich sind, aus der rechtswidrigen Tat eines anderen stammen. Daten, die für jedermann offen im Internet stehen, etwa weil sie in einem öffentlichen Register veröffentlicht oder durch Medienberichte bekannt sind, sind nicht erfasst. Bei Daten aus dem Darknet oder aus Leaks ist die Einordnung juristisch umstritten; ist der Zugriff faktisch für jeden mit einem Tor-Browser möglich, ohne dass Passwörter gehackt oder technische Hürden überwunden werden müssen, lässt sich argumentieren, dass die fehlende allgemeine Zugänglichkeit entfällt. Das hängt vom konkreten Speicherort und den Zugriffsmodalitäten ab.

Vortat kann das Ausspähen oder Abfangen von Daten sein, aber auch ein Betrug, eine Nötigung oder der Diebstahl eines Laptops. Wer die Daten selbst gehackt hat, kann in der Regel nicht Datenhehler sein, denn man kann nicht Hehler der eigenen Beute sein. Wirft Ihnen die Staatsanwaltschaft Datenhehlerei vor, weil ihr das Hacking nicht nachweisbar ist, muss die Beweiskette genau geprüft werden.

Strafbar sind das Verschaffen, Überlassen, Verbreiten oder sonstige Zugänglichmachen der Daten. „Verschaffen“ bedeutet, die tatsächliche Verfügungsgewalt im Einvernehmen mit dem Vortäter zu erlangen. Ein reiner Kaufvertrag ohne tatsächliche Übertragung oder das bloße Betrachten von Daten am Bildschirm eines anderen genügt im Regelfall nicht. Hinzu kommen muss Bereicherungs- oder Schädigungsabsicht. Wer Daten aus reiner Neugier herunterlädt, etwa um zu sehen, was in einem bekannten Leak steht, handelt in der Regel straflos; das betrifft häufig IT-Sicherheitsforscher, Journalisten oder technisch interessierte Nutzer. Die Absicht muss die Staatsanwaltschaft nachweisen.

Der Strafrahmen beträgt Freiheitsstrafe bis zu drei Jahren oder Geldstrafe, die Strafe darf aber nicht schwerer sein als die für die Vortat angedrohte. In der Praxis enden Verfahren gegen Ersttäter meist mit Geldstrafen von etwa 30 bis 90 Tagessätzen; eine Geldstrafe von mehr als 90 Tagessätzen führt zu einem Eintrag im Führungszeugnis. Ziel der Verteidigung ist daher vor allem eine geräuschlose Einstellung des Verfahrens.

KI-generiert

Abfangen von Daten (§ 202b StGB) und der Schutz auf dem Übertragungsweg

Während § 202a StGB gespeicherte Daten schützt, richtet sich § 202b StGB auf den Weg der Daten. Geschützt ist die Kommunikation, während sie fließt, etwa eine E-Mail, WhatsApp-Nachricht oder ein VoIP-Telefonat. Der Vorwurf trifft häufig Menschen, die in einer Beziehungskrise Chatnachrichten mitlesen oder im offenen Café-WLAN den Datenverkehr anderer Gäste verfolgen. Mehrere Voraussetzungen müssen zusammentreffen:

• Technische Mittel: Der Zugriff muss unter Anwendung technischer Mittel erfolgen. Das Mitlesen mit den eigenen Augen, etwa über die Schulter des Partners oder an einem offenen Bildschirm, ist straflos. Strafbar sind dagegen Sniffer-Tools wie Wireshark, Keylogger, Spionage-Apps und Man-in-the-Middle-Verfahren.
• Nicht für Sie bestimmt: Wer Empfänger der Nachricht ist, kann sie nicht abfangen. Der Vorwurf zielt auf Dritte, die eine Kommunikation zwischen anderen anzapfen.
• Nichtöffentliche Übermittlung: Nicht geschützt sind Kanäle, die für die Allgemeinheit bestimmt sind, etwa CB-Funk. Das Einloggen in ein offenes WLAN, um selbst zu surfen, ist kein Abfangen; wer dort aber Software einsetzt, um den Verkehr anderer Nutzer mitzuschneiden, ist erfasst. Es kommt auf den Übertragungsweg an, nicht darauf, ob der Inhalt an sich öffentlich ist.

Das Gesetz sieht Freiheitsstrafe bis zu zwei Jahren oder Geldstrafe vor; erstmalige Täter erhalten in der Regel Geldstrafen. Der Versuch ist dagegen nicht strafbar. Wer eine Sniffer-Software startet, aber keine Daten erfasst, kann deshalb nicht wegen Abfangens von Daten verurteilt werden. Außerdem ist § 202c StGB zu beachten. Wer Passwörter, Zugangscodes oder Hacker-Software (Dual-Use-Tools) beschafft oder verbreitet, um später Daten abzufangen, macht sich bereits wegen Vorbereitungshandlungen strafbar, und Ermittler leiten häufig schon beim Fund solcher Software auf beschlagnahmten Rechnern ein Verfahren ein.

Ein wichtiger Hebel der Verteidigung ist der Strafantrag, denn besonders im privaten Bereich setzt die Verfolgung häufig einen Strafantrag des Verletzten voraus, für den nur drei Monate ab Kenntnis der Tat bleiben. Fehlt der Antrag oder wird er zurückgenommen, etwa im Rahmen einer außergerichtlichen Einigung, kann das Verfahren entfallen.