Was bedeutet Ausspähen von Daten?
Ausspähen von Daten nach § 202a StGB begeht, wer sich oder einem anderen unbefugt Zugang zu Daten verschafft, die nicht für ihn bestimmt und gegen unberechtigten Zugang besonders gesichert sind, und dabei die Zugangssicherung überwindet.
Geschützt wird nicht der Inhalt der Daten, sondern die Befugnis, über diese Daten zu verfügen. Das Delikt wird oft als Hackerparagraph bezeichnet.
Umgangssprachlich ist häufig von Datendiebstahl die Rede. Dieser Begriff ist rechtlich allerdings irreführend, da ein Diebstahl nur hinsichtlich einer (körperlichen) Sache begangen werden kann und nicht an Daten. Strafrechtlich greift deshalb nicht der Tatbestand des Diebstahls nach § 242 StGB, sondern der eigenständige Tatbestand des Ausspähens von Daten nach § 202a StGB.
Voraussetzung für die Strafbarkeit ist Vorsatz. Wer irrtümlich davon ausgeht, zum Zugriff berechtigt zu sein, handelt unter Umständen straflos, da die fahrlässige Begehung nicht strafbar ist.
Wann ist das Ausspähen von Daten strafbar?
Strafbar ist das Ausspähen von Daten dann, wenn die Daten gegen unberechtigten Zugang besonders gesichert waren und der Täter diese Sicherung überwindet.
Eine besondere Zugangssicherung liegt etwa bei einem Passwort, einer Verschlüsselung oder einer sonstigen Zugangssperre (z. B. Chipausweis) vor.
Auch organisatorische Maßnahmen wie ein abgestuftes Berechtigungssystem in einer Software können ausreichen. Entscheidend ist, dass der Berechtigte durch die Sicherung zum Ausdruck gebracht hat, dass die Daten geheimhaltungsbedürftig sind. Nach der Rechtsprechung muss die Sicherung nicht professionell oder besonders wirksam eingerichtet sein. Es genügt, dass sie überhaupt vorhanden ist und überwunden werden muss.
Der Zugriff auf ein offenes, ungesichertes System oder auf frei im Internet zugängliche Daten erfüllt den Tatbestand nicht. Ebenso wenig liegt ein Ausspähen vor, wenn eine Zugangsberechtigung bestand, etwa bei gemeinsam genutzten Geräten oder bekannten und freigegebenen Passwörtern.
Seit der Reform des Tatbestands genügt für die Strafbarkeit bereits das Verschaffen des Zugangs. Es ist also nicht mehr erforderlich, dass der Täter die Daten anschließend tatsächlich liest, auswertet oder verwendet.
{{orange-cta}}
Was sind typische Beispiele für § 202a StGB?
Der Vorwurf des Ausspähens von Daten nach § 202a StGB kommt in der Praxis besonders beim Zugriff auf Konten von Freunden und Bekannten bzw. (Ex-) Partnern und beim unbefugten Zugriff auf Daten von Angestellten am Arbeitsplatz. Ebenfalls ist ein Strafverfahren wegen § 202a StGB regelmäßig das Resultat, wenn eine Person ohne Erlaubnis Sicherheitslücken in Systemen aufdecken will.
Zugriff auf Konten des Partners oder Ex-Partners
Beispiel: Nach einer Trennung meldet sich eine Person mit einem ausgespähten oder erratenen Passwort im E-Mail-Postfach oder in Social-Media-Accounts des Ex-Partners an, um Nachrichten mitzulesen. Das ist ein klassischer Fall des § 202a StGB.
Zugriff am Arbeitsplatz über die eigene Berechtigung hinaus
Beispiel: Ein Angestellter nutzt seine Kenntnisse, um sich Zugang zu einem gesicherten Bereich des Firmennetzwerks zu verschaffen, der für ihn gesperrt ist, z. B. besonders geschützte Kundendaten oder Finanzdaten.
Nutzen von Sicherheitslücken in der IT
Beispiel: Ein Softwareentwickler überwindet eine Zugangssicherung in einem IT-System, um eine Datenschutzlücke zu dokumentieren. Auch bei guter Absicht und anschließender Meldung kann der Tatbestand erfüllt sein.
Wie hoch ist die Geldstrafe beim Ausspähen von Daten?
Die Höhe der Geldstrafe für das Ausspähen von Daten nach § 202a StGB hängt von der Schwere der Tat und der Höhe des Einkommens ab. Auch bei Ersttätern und ohne gravierende Folgen drohen in der Praxis Geldstrafen in der Höhe mehrerer Monatsgehälter.
Bei gravierenderen Fällen kommen auch deutlich höhere Geldstrafen oder Freiheitsstrafen bis zu drei Jahren in Betracht.
Wichtig ist die Schwelle von 90 Tagessätzen: Liegt die Verurteilung nicht darüber und existieren keine Voreintragungen, wird die Verurteilung nicht im polizeilichen Führungszeugnis eingetragen.
Wichtig: Bei Sachverhalten, in denen der Verdacht des Ausspähens von Daten im Raum steht, kommen häufig auch noch andere Delikte in Betracht, die durch dieselbe Tat oder im Nachhinein verwirklicht werden. Hierzu gehören insbesondere:
- Betrug nach § 263 StGB
- Computerbetrug nach § 263a StGB
- Fälschung beweiserheblicher Daten nach § 269 StGB
- Datenveränderung nach § 303a StGB
- Erpressung nach § 253 StGB
In diesen Fällen kann die Strafe deutlich höher als oben genannt ausfallen.
Was tun bei Vorladung als Beschuldigter wegen Ausspähens von Daten?
Erhalten Sie eine Vorladung als Beschuldigter oder Kenntnis von einem Ermittlungsverfahren, machen Sie keine Angaben zur Sache und erscheinen Sie nicht zum Vorladungstermin bei der Polizei. Jede geäußerte Information (z. B. zur Kenntnis eines Passworts) kann den Vorwurf erhärten oder neue Ermittlungsansätze bieten.
Nehmen Sie umgehend Kontakt zu einem Strafverteidiger auf, damit dieser Akteneinsicht beantragen kann. Nur aus der Ermittlungsakte ergibt sich, ob ein Eindringen in die Systeme sicher bewiesen werden kann.
Dies gilt auch, wenn Sie sich selbst für schuldig halten. Gerade bei Ersttätern und geringem Tatgewicht kann auch bei ungünstiger Aktenlage auf eine Einstellung des Verfahrens wegen Geringfügigkeit bzw. gegen eine Auflage hingewirkt werden. Die Chancen für eine solche Einstellung sind deutlich höher, wenn frühzeitig, also noch im Ermittlungsverfahren gehandelt wird.
Der Autor Alexander Schlüter ist Rechtsanwalt bei NEMO Strafverteidiger. Die Kanzlei sitzt in Hamburg und vertritt bundesweit Mandanten auf dem Gebiet des Strafrechts. Alexander Schlüter ist Volljurist, studierter Betriebswirt und unterrichtet Strafrecht als Lehrbeauftragter der Universität Hamburg.
{{cta-alex}}
