Durchsuchung wegen Cybercrime: die ersten Stunden

Wer morgens um sechs Uhr Polizei und Staatsanwaltschaft vor der Tür hat, trifft in den nächsten zwei Stunden mehr Entscheidungen mit Folgen für das Verfahren als in den Monaten danach. Die wichtigsten Regeln lauten: keine Angaben zur Sache, keine Herausgabe von Passwörtern, Verteidiger hinzuziehen, alles protokollieren lassen. Der Rest dieses Beitrags erklärt, warum.

Was eine Durchsuchung rechtlich ist

Die Durchsuchung beim Beschuldigten (§ 102 StPO) dient dazu, Beweismittel zu finden oder den Beschuldigten zu ergreifen. Sie wird grundsätzlich vom Richter angeordnet (§ 105 Absatz 1 StPO); bei Gefahr im Verzug dürfen auch Staatsanwaltschaft und ihre Ermittlungspersonen anordnen. Der Beschluss nennt den Tatvorwurf, die zu durchsuchenden Räume und die gesuchten Beweismittel. Beschuldigte haben Anspruch darauf, ihn zu sehen, und sollten ihn in Ruhe lesen: Was dort nicht steht, darf nur unter engen Voraussetzungen mitgenommen werden (Zufallsfunde, § 108 StPO).

Bei IT-Strafsachen steht im Beschluss typischerweise: Computer, Datenträger, Mobiltelefone, Router, Zugangsdaten, Unterlagen zu Konten und Kryptowährungen. Die Ermittler nehmen in der Regel alles mit, was Daten speichern kann.

Was in dieser Reihenfolge zählt

Ruhe, keine Behinderung. Widerstand ist strafbar und ändert am Ablauf nichts. Beschuldigte dürfen anwesend sein und zusehen (§ 106 StPO).
Personalien, sonst nichts. Beschuldigte müssen sich nicht zur Sache äußern (§ 136 Absatz 1 StPO). Das gilt auch für Nebensätze wie „das war nur ein Test” oder „der Rechner gehört meinem Mitbewohner”. Jede Angabe steht später im Vermerk.
Keine Pflicht zu Passwörtern, PINs oder Entsperrcodes. Niemand ist verpflichtet, an seiner eigenen Überführung mitzuwirken. Die Ermittler dürfen versuchen, Geräte zu entsperren; sie dürfen niemanden zwingen, Wissen preiszugeben. Ob ein Fingerabdruck erzwungen werden darf, ist umstritten — ein Argument dafür, Geräte mit Code statt Biometrie zu sichern.
Recht auf einen Verteidiger. Beschuldigte dürfen jederzeit einen Verteidiger kontaktieren. Die Durchsuchung wartet darauf nicht, aber der Verteidiger kann telefonisch Hinweise geben und die Sicherstellung begleiten.
Zeugen. Ohne Richter oder Staatsanwalt sind ein Gemeindebeamter oder zwei Mitglieder der Gemeinde als Zeugen hinzuzuziehen (§ 105 Absatz 2 StPO); Beschuldigte können darauf bestehen.
Keine freiwillige Herausgabe. Wer Gegenstände „freiwillig” übergibt, verzichtet auf die Beschlagnahme und damit auf den Rechtsschutz dagegen. Ein ausdrücklicher Widerspruch gegen die Mitnahme ist keine Behinderung, sondern ein Recht (§ 94 Absatz 2 StPO) — und gehört ins Protokoll.
Verzeichnis und Bescheinigung. Es besteht Anspruch auf ein Verzeichnis der mitgenommenen Gegenstände und auf eine Bescheinigung über die Durchsuchung mit dem Tatvorwurf (§ 107 StPO). Das Verzeichnis sollte vor einer Unterschrift auf Vollständigkeit geprüft werden; die Unterschrift bestätigt den Empfang, nicht die Richtigkeit.

Was in dieser Phase schadet

Geräte löschen, abschalten oder verstecken, sobald die Durchsuchung begonnen hat. Das kann als Verdunkelung gewertet werden und einen Haftgrund liefern (§ 112 Absatz 2 Nummer 3 StPO).
Eine „Erklärung zur Aufklärung”. Der Impuls, die Sache schnell aus der Welt zu schaffen, ist menschlich und fast immer schädlich. Ermittler sind geschult, Gespräche in Gang zu halten; alles Gesagte wird verwertet.
Kontaktaufnahme mit möglichen Mitbeschuldigten per Telefon oder Chat, solange unklar ist, was ermittelt wird.

Besonderheiten bei IT-Infrastruktur

Werden Server, NAS oder ganze Racks mitgenommen, steht oft der Geschäftsbetrieb still. Hier lohnt es sich, bereits vor Ort auf zwei Dinge hinzuwirken: Spiegelung statt Mitnahme (ein forensisches Abbild sichert die Beweise ebenso) und Trennung nach Zuständigkeit (Daten Dritter, etwa von Kunden oder Mandanten, unterliegen eigenen Schutzregeln). Ob die Ermittler darauf eingehen, hängt vom Einzelfall ab; der Widerspruch und das Verlangen müssen aber im Protokoll stehen, sonst gibt es später nichts, worauf sich eine Beschwerde stützen kann.

Für Unternehmen gilt zusätzlich: Durchsuchungen lösen Prüfpflichten aus — gegenüber Beschäftigten, Kunden und Aufsichtsbehörden. Wer personenbezogene Daten verarbeitet, muss prüfen, ob die Mitnahme ein meldepflichtiges Ereignis nach Artikel 33 DSGVO ist.

Was nach der Durchsuchung passiert

Die Auswertung der Geräte dauert Wochen bis Monate. In dieser Zeit entscheidet sich, ob das Verfahren eingestellt wird oder zur Anklage kommt. Drei Schritte stehen am Anfang:

Akteneinsicht durch den Verteidiger (§ 147 StPO). Erst die Akte zeigt, was die Ermittler tatsächlich wissen und wie der Vorwurf begründet wird. Vorher gibt es keine Stellungnahme.
Antrag auf richterliche Entscheidung gegen die Beschlagnahme (§ 98 Absatz 2 Satz 2 StPO), wenn Geräte unverhältnismäßig lange oder in zu großem Umfang festgehalten werden. Häufig lässt sich zumindest eine Kopie der für den Betrieb nötigen Daten erreichen.
Beschwerde gegen den Durchsuchungsbeschluss (§ 304 StPO), wenn er zu unbestimmt war oder die Voraussetzungen fehlten. Auch nach Abschluss der Maßnahme kann die Rechtswidrigkeit festgestellt werden; das wirkt sich auf die Verwertbarkeit aus.

Was ein Verteidiger mit IT-Hintergrund anders macht

Bei IT-Strafsachen entscheidet die Technik über den Vorwurf: Welche Logdaten gibt es, was beweisen sie, was nicht? Wer die Protokolle selbst lesen kann, erkennt, ob ein IP-Treffer einen Anschluss oder eine Person belegt, ob Zeitstempel zusammenpassen und ob der forensische Bericht sagt, was die Anklage daraus macht. Diese Prüfung gehört an den Anfang der Verteidigung, nicht in die Hauptverhandlung.

Kurzfassung für den Ernstfall

Beschuldigte müssen keine Angaben zur Sache machen und keine Passwörter herausgeben. Sie dürfen jederzeit einen Verteidiger hinzuziehen, der Mitnahme widersprechen und Verzeichnis sowie Bescheinigung verlangen. Danach: Akteneinsicht abwarten, dann entscheiden.

Dieser Beitrag unterrichtet allgemein über die Rechtslage und ersetzt keine Beratung im Einzelfall.