Ausspähen von Daten (§ 202a StGB): Was strafbar ist und was nicht

Strafbar nach § 202a StGB ist, wer sich oder einem anderen unbefugt Zugang zu Daten verschafft, die nicht für ihn bestimmt und gegen unberechtigten Zugang besonders gesichert sind, und dabei die Zugangssicherung überwindet. Die Strafe: Freiheitsstrafe bis zu drei Jahren oder Geldstrafe. Verfolgt wird die Tat grundsätzlich nur auf Strafantrag (§ 205 Absatz 1 StGB), es sei denn, die Staatsanwaltschaft bejaht ein besonderes öffentliches Interesse. Der Versuch ist nicht strafbar.

Vier Merkmale entscheiden über den Vorwurf. Jedes ist eine Verteidigungslinie.

1. Daten, die nicht für den Täter bestimmt sind

Gemeint sind elektronisch oder sonst nicht unmittelbar wahrnehmbar gespeicherte oder übermittelte Daten (§ 202a Absatz 2 StGB). Entscheidend ist der Wille des Verfügungsberechtigten: Für wen sind die Daten bestimmt? Ein Administrator, dem der Arbeitgeber Zugriff auf ein System eingeräumt hat, greift auf Daten zu, die für ihn bestimmt sind — solange er sich im Rahmen seiner Aufgabe bewegt. Die Grenze verläuft dort, wo der Zugriff dem Zweck der Einräumung widerspricht, etwa beim Lesen privater Postfächer ohne Anlass.

2. Besondere Sicherung gegen unberechtigten Zugang

Nicht jede Datei ist geschützt. Erforderlich ist eine Vorkehrung, die den Zugriff ausschließen oder wenigstens erheblich erschweren soll. Ein Passwort genügt, auch ein schwaches; ebenso Verschlüsselung, eine Firewall-Regel oder eine Zugangskontrolle am Gerät. Nach der Rechtsprechung des Bundesgerichtshofs ändert es nichts, wenn der Täter die Sicherung kraft seiner Stellung leicht überwinden kann: Auch der IT-Administrator, der ein Passwort zurücksetzt, um in ein fremdes Konto zu gelangen, überwindet eine Sicherung.

Umgekehrt gilt: Offen erreichbare Daten sind nicht geschützt. Wer eine URL ändert und dadurch an Dokumente gelangt, die ohne Anmeldung abrufbar waren, überwindet keine Sicherung. Dasselbe gilt für Daten in einem öffentlich freigegebenen Verzeichnis oder in einer API ohne Authentifizierung. Ob eine „Sicherung” vorlag, ist in IT-Strafsachen die häufigste und ergiebigste Streitfrage; sie lässt sich nur anhand der Konfiguration zum Tatzeitpunkt beantworten, nicht anhand der Beschreibung im Ermittlungsvermerk.

3. Überwinden der Zugangssicherung

Das Überwinden setzt eine Handlung voraus, die die Sicherung tatsächlich außer Kraft setzt oder umgeht: Eingabe eines fremden Passworts, Ausnutzen einer Schwachstelle, Entschlüsseln. Umstritten und fallabhängig sind Konstellationen wie das Erraten trivialer Passwörter, die Nutzung eines Standardpassworts, das der Hersteller voreingestellt hat, oder der Zugriff über eine bereits bestehende Sitzung eines anderen Nutzers. Hier kommt es auf den Einzelfall und auf die technische Rekonstruktion an.

4. Unbefugt und vorsätzlich

Wer mit Einwilligung des Berechtigten handelt, handelt befugt. Bei Sicherheitstests ist das der zentrale Punkt: Ein schriftlicher Auftrag, der Systeme, Zeitraum und Methoden benennt, nimmt dem Zugriff die Strafbarkeit. Fehlt der Auftrag oder geht der Test darüber hinaus, hilft auch eine gute Absicht nicht; „ich wollte nur auf die Lücke hinweisen” ist kein Rechtfertigungsgrund. Der Vorsatz muss sich auf alle Merkmale beziehen, auch auf die Sicherung: Wer glaubt, auf öffentliche Daten zuzugreifen, handelt ohne Vorsatz.

Abgrenzung zu den Nachbartatbeständen

§ 202b StGB, Abfangen von Daten: Erfasst das Mitschneiden nichtöffentlicher Datenübermittlungen oder elektromagnetischer Abstrahlung mit technischen Mitteln — etwa das Mitlesen in einem unverschlüsselten WLAN. Freiheitsstrafe bis zu zwei Jahren; subsidiär gegenüber schwereren Delikten.
§ 202c StGB, Vorbereiten des Ausspähens und Abfangens: Herstellen, Verschaffen, Verkaufen oder Verbreiten von Passwörtern, Zugangscodes oder Programmen, deren Zweck die Begehung einer Tat nach §§ 202a, 202b StGB ist. Das Bundesverfassungsgericht hat 2009 klargestellt, dass Werkzeuge mit doppeltem Verwendungszweck nicht erfasst sind, wenn sie zu legitimen Zwecken wie Sicherheitstests eingesetzt werden. Freiheitsstrafe bis zu zwei Jahren.
§ 202d StGB, Datenhehlerei: Sich-Verschaffen oder Weitergeben von Daten, die ein anderer durch eine rechtswidrige Tat erlangt hat, um sich zu bereichern oder einen anderen zu schädigen. Relevant bei Datenlecks und Leak-Sammlungen; ausgenommen sind Handlungen, die ausschließlich der Erfüllung beruflicher Pflichten dienen, etwa im Journalismus.
§ 303a StGB, Datenveränderung, und § 303b StGB, Computersabotage: Wer Daten löscht, unterdrückt, unbrauchbar macht oder verändert, erfüllt nicht § 202a, sondern diese Tatbestände; bei Ransomware kommt § 253 StGB, Erpressung, hinzu.

Typische Fallgruppen aus der Praxis

Ausgeschiedene Beschäftigte, die sich mit noch gültigen Zugangsdaten anmelden: Die Befugnis endete mit dem Arbeitsverhältnis; die Sicherung ist das Passwort. Streitig ist oft der Vorsatz, wenn der Zugang nie gesperrt wurde.
Administratoren, die Postfächer oder Konten von Kolleginnen und Kollegen öffnen: Es kommt darauf an, ob der Zugriff zur Aufgabe gehörte und dokumentiert war.
Sicherheitsforschung ohne Auftrag: Wer eine Lücke findet und sie zur Demonstration ausnutzt, erfüllt den Tatbestand regelmäßig; die Meldung an den Betreiber mindert allenfalls die Strafzumessung.
Zugriff auf Konten des Partners oder Ex-Partners: Die häufigste Konstellation in der Praxis, meist kombiniert mit § 202b oder dem Ausspähen von Standortdaten; die Verfolgung hängt am Strafantrag.

Was das Ermittlungsverfahren prägt

Der Vorwurf steht und fällt mit der technischen Rekonstruktion: Logdaten des Zielsystems, Zuordnung von IP-Adressen zu Anschlüssen und von Anschlüssen zu Personen, Zeitstempel, Konfiguration der Sicherung zum Tatzeitpunkt. Die Verteidigung beginnt deshalb mit der Akteneinsicht (§ 147 StPO) und der eigenen Auswertung dieser Unterlagen, nicht mit einer Einlassung. Häufig zeigt sich erst dort, dass der Zugriff über ein offenes System erfolgte, dass die Sicherung nachträglich eingerichtet wurde oder dass die Zuordnung zur Person auf einer Vermutung beruht.

Zwei Verfahrensfragen kommen fast immer hinzu: der Strafantrag — liegt er fristgerecht vor (§ 77b StGB, drei Monate ab Kenntnis), und von wem? — und die Einstellung: Bei geringer Schuld und fehlendem öffentlichen Interesse kommen §§ 153, 153a StPO in Betracht, gerade bei Ersttätern ohne Schaden.

Kurzfassung

§ 202a StGB verlangt eine überwundene Zugangssicherung und unbefugten, vorsätzlichen Zugriff auf fremde Daten. Offen erreichbare Daten sind nicht erfasst; ein dokumentierter Auftrag schließt die Strafbarkeit aus. Strafrahmen bis drei Jahre, in der Regel Antragsdelikt, Versuch straflos. Die Verteidigung entscheidet sich an der Technik: Konfiguration, Logdaten, Zuordnung.

Dieser Beitrag unterrichtet allgemein über die Rechtslage und ersetzt keine Beratung im Einzelfall.