Datenveränderung und Computersabotage (§§ 303a, 303b StGB)

Wer rechtswidrig Daten löscht, unterdrückt, unbrauchbar macht oder verändert, begeht Datenveränderung (§ 303a StGB); wer dadurch oder durch Zerstören, Beschädigen oder Eingeben von Daten eine Datenverarbeitung erheblich stört, die für einen anderen von wesentlicher Bedeutung ist, begeht Computersabotage (§ 303b StGB). Datenveränderung wird mit Freiheitsstrafe bis zu zwei Jahren oder Geldstrafe bestraft, Computersabotage mit bis zu drei Jahren, in besonders schweren Fällen mit bis zu zehn Jahren. Beide Tatbestände sind Antragsdelikte, soweit kein besonderes öffentliches Interesse besteht (§ 303c StGB); der Versuch ist strafbar.

§ 303a StGB: die vier Tathandlungen

Löschen — Daten werden unwiederbringlich entfernt. Das bloße Verschieben in einen Papierkorb genügt nicht, das Überschreiben schon.
Unterdrücken — Daten bleiben erhalten, sind für den Berechtigten aber nicht mehr zugänglich; die Verschlüsselung durch Ransomware ist der Hauptfall, ebenso das Sperren eines Kontos oder das Entziehen eines Datenträgers.
Unbrauchbarmachen — Daten sind noch vorhanden, erfüllen ihren Zweck aber nicht mehr, etwa durch Beschädigung der Dateistruktur.
Verändern — der Informationsgehalt wird geändert, auch wenn das Ergebnis „besser” ist. Das ungefragte Korrigieren fremder Datensätze erfüllt den Tatbestand.

Geschützt sind nur fremde Daten: Daten, an denen ein anderer ein Verfügungsrecht hat. Wer eigene Daten löscht, handelt nicht tatbestandsmäßig; wer Daten löscht, die er für den Arbeitgeber oder einen Kunden erstellt hat, greift in fremde Daten ein. Auf Eigentum am Datenträger kommt es nicht an. Die Abgrenzung ist in Streitfällen zwischen Auftraggeber und Dienstleister, zwischen Arbeitgeber und ausscheidendem Beschäftigten oder zwischen Mitgesellschaftern häufig die eigentliche Frage.

Rechtswidrig handelt, wer ohne Einwilligung des Verfügungsberechtigten tätig wird. Ein Administrator, der im Rahmen seines Auftrags Daten bereinigt, Backups rotiert oder ein System neu aufsetzt, handelt gerechtfertigt — solange der Auftrag reicht. Wer nach Kündigung noch „aufräumt”, kann sich nicht mehr auf ihn berufen.

§ 303b StGB: Störung einer Datenverarbeitung

Computersabotage setzt eine Datenverarbeitung voraus, die für einen anderen von wesentlicher Bedeutung ist. Bei Unternehmen und Behörden ist das fast jede betriebliche IT; bei Privatpersonen verlangt die Vorschrift, dass die Datenverarbeitung für die Lebensgestaltung zentral ist — der private Laptop genügt in der Regel, der Spielkonsole fehlt es oft daran.

Drei Tathandlungen führen zur Störung:

eine Datenveränderung nach § 303a StGB,
das Eingeben oder Übermitteln von Daten in Nachteilszufügungsabsicht — der Tatbestand für Denial-of-Service-Angriffe, Mailbomben und das gezielte Fluten von Schnittstellen; hier müssen die Daten selbst nicht verändert werden,
das Zerstören, Beschädigen, Unbrauchbarmachen, Beseitigen oder Verändern einer Datenverarbeitungsanlage oder eines Datenträgers — die physische Variante, vom durchtrennten Kabel bis zum entwendeten Server.

Die Störung muss erheblich sein: ein spürbarer Ausfall, nicht eine Verzögerung von Sekunden. Richtet sich die Tat gegen die Datenverarbeitung eines fremden Betriebs, Unternehmens oder einer Behörde, steigt der Strafrahmen auf fünf Jahre (§ 303b Absatz 2 StGB). Besonders schwere Fälle (Absatz 4) liegen vor bei Vermögensverlust großen Ausmaßes, gewerbsmäßigem oder bandenmäßigem Handeln oder wenn die Versorgung der Bevölkerung mit lebenswichtigen Gütern oder die Sicherheit der Bundesrepublik beeinträchtigt wird; dann droht Freiheitsstrafe von sechs Monaten bis zu zehn Jahren. Angriffe auf Krankenhäuser, Energieversorger oder Verwaltungen fallen regelmäßig darunter.

Vorbereitungshandlungen sind über § 303b Absatz 5 in Verbindung mit § 202c StGB strafbar: das Herstellen, Verschaffen oder Verbreiten von Programmen, deren Zweck die Begehung einer Computersabotage ist. Für Sicherheitswerkzeuge mit doppeltem Verwendungszweck gilt dieselbe Einschränkung wie bei § 202c StGB: Sie sind nicht erfasst, wenn sie legitimen Zwecken dienen.

Typische Fallgruppen

Ausscheidende Beschäftigte und Dienstleister, die Zugänge sperren, Daten löschen oder Systeme „zurücksetzen”: Der häufigste Vorwurf in der Praxis, oft verbunden mit Streit um Vergütung oder Herausgabe. Entscheidend ist, ob und wie lange eine Befugnis bestand und ob Daten tatsächlich verloren gingen oder nur ein Backup eingespielt werden musste.
Ransomware: Verschlüsselung ist Unterdrücken (§ 303a), die Störung des Betriebs Computersabotage (§ 303b), die Lösegeldforderung Erpressung (§ 253 StGB); daneben meist Ausspähen von Daten (§ 202a StGB) für den Erstzugang.
Denial-of-Service, auch als „Protest”: § 303b Absatz 1 Nummer 2 StGB, Nachteilszufügungsabsicht genügt, ein Schaden muss nicht eintreten.
Fehlgeschlagene Sicherheitstests, bei denen ein Scanner Dienste zum Absturz bringt: Ohne Auftrag tatbestandsmäßig; mit Auftrag gerechtfertigt, wenn der Test im vereinbarten Rahmen blieb. Der Umfang des Auftrags entscheidet.
Administrationsfehler: Wer versehentlich die falsche Datenbank löscht, handelt ohne Vorsatz; §§ 303a, 303b StGB kennen keine Fahrlässigkeitsstrafbarkeit. Der Vorsatz ist deshalb in vielen Verfahren die Kernfrage.

Abgrenzungen

Werden Daten nur kopiert, nicht verändert, liegt keine Datenveränderung vor; dann kommen § 202a StGB (Ausspähen) oder § 202d StGB (Datenhehlerei) in Betracht. Wird mit veränderten Daten getäuscht, tritt § 269 StGB (Fälschung beweiserheblicher Daten) hinzu. Entsteht durch die Veränderung ein Vermögensschaden durch einen automatisierten Vorgang, ist § 263a StGB zu prüfen. Die Tatbestände stehen oft nebeneinander; für Strafrahmen und Verjährung zählt der schwerste.

Was das Verfahren prägt

Wie bei allen IT-Strafsachen entscheidet die Rekonstruktion: Logdaten, Zeitstempel, Zugriffsrechte zum Tatzeitpunkt, Backups, Änderungshistorien. Drei Fragen tragen die Verteidigung: Waren die Daten fremd — oder bestand ein eigenes Verfügungsrecht? Bestand eine Befugnis — ein Auftrag, eine Rolle, eine Einwilligung? Lag Vorsatz vor — oder war es ein Fehler? Dazu kommt die Schadensfrage: Ob Daten endgültig verloren waren oder aus einem Backup wiederhergestellt wurden, wirkt auf Strafzumessung und Einziehung.

Bei Antragsdelikten ist der Strafantrag zu prüfen (§ 303c StGB, drei Monate ab Kenntnis, § 77b StGB); bei Ersttätern und wiederhergestellten Daten kommen Einstellungen nach §§ 153, 153a StPO in Betracht. Vor jeder Einlassung steht die Akteneinsicht (§ 147 StPO).

Kurzfassung

§ 303a StGB schützt fremde Daten vor Löschen, Unterdrücken, Unbrauchbarmachen und Verändern; § 303b StGB schützt Datenverarbeitungen von wesentlicher Bedeutung vor erheblichen Störungen, auch durch bloßes Fluten mit Daten. Strafrahmen zwei bzw. drei Jahre, gegen Betriebe fünf, in schweren Fällen zehn. Keine Fahrlässigkeit, Antragsdelikt, Versuch strafbar. Verteidigung heißt: Fremdheit, Befugnis, Vorsatz, Schaden.

Dieser Beitrag unterrichtet allgemein über die Rechtslage und ersetzt keine Beratung im Einzelfall.