Kriminelle Internetkarriere: Alles beginnt mit § 202c StGB?

Bachelorarbeit, 2014, 49 Seiten

Jura - Strafprozessrecht, Kriminologie, Strafvollzug

Leseprobe

Abkürzungsverzeichnis

a.a.O.

angegebenen

Ort

ABl. EU

Amtsblatt der Europäischen Union

Art.

Artikel

BDSG

Bundesdatenschutzgesetz

BGH

Bundesgerichtshof

BKA

Bundeskriminalamt

BTM

Betäubungsmittel

BSI

Bundesamt für Sicherheit in der Informations-

technik

BR-Drucks.

Drucksache[n] des Deutschen Bundesrates

BT-Drucks.

Drucksache[n] des Deutschen Bundestages

BVerfG Bundesverfassungsgericht

BVerfGE

Entscheidungen des Bundesverfassungsgerichts

CCC

Chaos Computer Club

DV-Anlage

Datenverarbeitungsanlage

EDV

elektronische

Datenverarbeitung

etc.

cetera

folgende

ff.

fortfolgende

Fn.

Fußnote

gem.

gemäß

Grundgesetz

h.M.

herrschende

Meinung

i.S.d.

Sinne

des

i.V.m.

Verbindung

mit

IuK

Informations-

und

Kommunikationsdienst

Landgericht

max.

maximal

m.w.N. mit

weiteren

Nachweisen

oben

angegeben

OLG

Oberlandesgericht

PKS

Polizeiliche

Kriminalstatistik

Rn.

Randnummer

Seite

siehe

sog.

genannt

StA

Staatsanwaltschaft

StGB

Strafgesetzbuch

StPO

Strafprozessordnung

StrÄndG

Strafrechtsänderungsgesetz

TKG

Telekommunikationsgesetz

TKÜ

Telekommunikationsüberwachung

und

andere

vgl.

vergleiche

WiKG

Gesetz zur Bekämpfung der Wirtschaftskrimi-

nalität

zum

Beispiel

A. Einleitung

I. Überblick

Der Tatort Internet wird in der heutigen, multimedialen Welt immer beliebter. Über

53 Millionen Deutsche sollen bereits das Internet nutzen, die Hälfte von ihnen sogar

mobil über ihr Handy.

Soziale Netzwerke werden ebenfalls immer beliebter. Welt-

weit nutzen täglich knapp 730 Millionen Menschen Facebook.

Doch überall im In-

ternet lauern Gefahren. Viren, Trojaner und diverse Methoden, wie Phishing, Identi-

tätsdiebstahl oder Abofallen werden immer raffinierter und lassen hunderte ahnungs-

lose Internetnutzer in die Falle tappen. Im Jahr 2010 veröffentlichte ein Hersteller von

Anti-Virensoftware, dass 473.480 Computer mit Trojanern in Deutschland infiziert

und knapp 22 % mit Viren befallen waren, womit Deutschland den ersten Platz in

Europa einnimmt.

Immer öfter sind folgende Artikel in den Medien zu lesen:

,,Hacker-Bande ergaunert 1,65 Millionen Euro

Polizei zerschlägt Kinderpornoring

23-Jährige erstochen Mörder im Netz kennengelernt"

Fast 230.000 Straftaten stellte das BKA im Zusammenhang mit dem Internet im Jahr

2012 laut PKS fest.

13.739 Straftaten waren dabei im Zusammenhang mit Ausspä-

hen oder Abfangen von Daten zu sehen (PKS-Schlüssel 678000).

Seit 2007 steigen

die Zahlen in diesem Bereich konsequent an (2007: 4.829 Fälle; 2008: 7.727 Fälle).

Die Dunkelziffer dürfte wesentlich höher liegen, weshalb die tatsächlich entstehenden

Kosten nicht einzuschätzen sind. Viele Opfer von Kreditkartenbetrügen bekommen

den Schaden von ihrer Bank ersetzt und sehen anschließend keinen Grund für eine

Anzeige. Ebenfalls fällt vielen Computernutzern nicht auf, wenn ihre

http://www.derwesten.de/agenturmeldungen/drei-von-vier-deutschen-sind-im-internet-

http://www.eurodate.de/wieviele-menschen-nutzen-das-internet.html (29.04.2014).

Vgl. Sieber: 69. Deutscher Juristentag, C25 m.w.N.

Wernert: Internetkriminalität, S. 9.

Vgl. Bundeskriminalamt SO51: Cybercrime Bundeslagebild 2012, S. 5.

Vgl. Bundeskriminalamt: PKS 2012, S. 10.

Vgl. Bundeskriminalamt: PKS 2008, S. 43.

Daten ausgespäht wurden.

Auch die jährlich sinkende Aufklärungsquote spricht für

ein hohes Dunkelfeld und einen nicht zu beziffernden Schaden (2012: 15,7%; 2011:

25%).

Inzwischen stehen die meisten Straftaten der IuK-Kriminalität im Zusammenhang mit

dem Internet. In keinem anderen Deliktsbereich ist solch ein stetiger Anstieg zu er-

kennen wie in diesem. Dabei muss man im Auge behalten, dass es eine Vielzahl von

möglichen Straftaten, wie z. B. Volksverhetzung, Verbreitung von Propagandamit-

teln, Verletzung der Vertraulichkeit des Wortes, Nachstellung, Betrug, Angriffen auf

Soft- und Hardware, Urkundenfälschung, Glücksspiele, Urheberrechtsverletzungen

etc. im Internet gibt.

Diese Arbeit beschäftigt sich ausschließlich mit dem Thema ,,Angriffe auf Soft- und

Hardware (Strafbarkeit gem. §§ 202a ff. StGB)" und zeigt dabei deren (historische)

Entwicklung auf sowie verschiedene Straftatbestände mit kleinen Fallbeispielen.

Auch auf die Ermittlungsarbeit wird näher eingegangen. Abschließend wird ein Fazit

zu der gesamten Thematik gezogen.

II. Definition von Internetkriminalität

Heutzutage wird die Internetkriminalität (auch genannt Cybercrime oder IuK-

Kriminalität) durch das BKA in drei wesentliche Bereiche unterteilt:

· ,,Alle Straftaten, bei denen Elemente der EDV in den Tatbestandsmerkmalen

enthalten sind (Computerkriminalität) oder bei denen die IuK zur Planung,

Vorbereitung oder Ausführung einer Tat eingesetzt wird/wurde

· Straftaten im Zusammenhang mit Datennetzen, wie z. B. dem Internet

· Fälle der Bedrohung von Informationstechnik. Dies schließt alle widerrechtli-

chen Handlungen gegen die Integrität, Verfügbarkeit und Authentizität von

elektronisch, magnetisch oder sonst nicht unmittelbar wahrnehmbar gespei-

Vgl. BR-Drucks. 284/13, S. 7 f.

S. Fn. 3.

Vgl. Hilgendorf/Valerius: Computer- und Internetstrafrecht, S. X ff.

cherten oder übermittelten Daten (Hacking, Computersabotage, Datenverän-

derung, Missbrauch von Telekommunikationsmitteln etc.) ein.

Außerdem gibt es eine Vielzahl von Motiven, welche für die Ausübung von Angrif-

fen gegen Computersysteme erkennbar sind. Häufig werden internationale Gruppie-

rungen erkennbar, welche öffentlich eine große Auswahl an illegalen ,,Diensten" an-

bieten und damit hohe Gewinne erzielen. Laut einer Studie der Universität Münster

sind 51 % der Fälle für solche Taten wirtschaftliche Gründe. Knapp 30 % basieren

auf sozialen Gründen, wie Mutproben oder der Suche nach Anerkennung.

Doch

auch Angriffe politisch motivierter Täter (sog. Hacktivismus), terroristische oder

kriegerische Motive sind denkbar.

Ein Beispiel dafür ist der Wurm Stuxnet, welcher

im Jahr 2010 gezielt iranische Atomanlagen schädigte.

III. Historische Entwicklung in Deutschland

Bereits in den 1960er Jahren wurde die Bedeutung von digitalen Informationen im-

mer wichtiger. Es häuften sich zur damaligen Zeit schon Meldungen über das uner-

laubte Eindringen in Computersysteme.

Es entfachten sich immer wieder politische Diskussionen, dass die deutschen Gesetze

Defizite in der Strafverfolgung von datenbezogenen Handlungen aufwiesen.

1986 kam es zum ersten Durchbruch mit dem 2. Gesetz zur Bekämpfung der Wirt-

schaftskriminalität (2. WiKG), welches das Ausspähen von Daten (§ 202a StGB) so-

wie die Datenveränderung und Computersabotage (§ 303a und § 303b StGB) unter

Strafe gestellt hat.

Am 23.11.2001 beschloss der Europarat ein Übereinkommen zur Computerkriminali-

tät, in welchem sich die Mitgliedsstaaten dazu verpflichteten, das unbefugte Abfan-

gen von Computerdaten unter Strafe zu stellen.

http://www.bka.de/nn_233148/DE/ThemenABisZ/Deliktsbereiche/InternetKriminalitaet/internetKri

minalitaet__node.html?__nnn=true (10.04.2014).

Vgl. Geschonneck: Computer Forensik, S. 20.

Vgl. BR-Drucks. 284/13, S. 4 f.

Vgl. Sieber: 69. Deutscher Juristentag, C21.

Vgl. Gercke/Brunst: Praxishandbuch Internetstrafrecht, S. 47.

Mit dem 41. StRÄndG zur Bekämpfung der Computerkriminalität vom 07.08.2007

ergänzte der Bundestag das Gesetz um die §§ 202b und 202c StGB, welche nun auch

das Abfangen von Daten und die Vorbereitungshandlungen unter Strafe stellen.

Zudem wurde von nun an eindeutig geklärt, dass es genügt, sich durch Umgehen von

Sicherheitsmaßnahmen den Zugriff auf Daten zu verschaffen, um sich somit gem. §

202a StGB strafbar zu machen. Im Vorfeld wurde diskutiert, ob es nicht zusätzlich

notwendig sei, dass Daten manipuliert werden müssten.

Die Art. 3-6 (vgl. im Anhang) des Übereinkommens des Europarates zur Bekämp-

fung von Computerkriminalität vom 23.11.2001 wurden somit gänzlich umgesetzt.

B. Angriffe auf Soft- und Hardware

I. Grundlagen

Wie sich inzwischen gezeigt hat, können Computer und deren Netzwerke nicht nur

zur Begehung von Straftaten verwendet werden, sondern dienen oft als Angriffsziel.

Diese Angriffsziele müssen nicht primär andere Computer sein, sondern es können

deren Peripheriegeräte, einzelne Komponenten oder Netzwerkgeräte betroffen sein

(wie z. B. Festplatten, Monitor, Drucker, Router, Access Point etc.). Diese Angriffe

auf Hardware werden hauptsächlich durch die §§ 303a ff. StGB geschützt.

Ein anderes denkbares Ziel ist der Angriff auf Software, d. h. gegen einzelne Daten

oder Programme, die auf Computersystemen gespeichert sind. Zu deren Schutz erließ

der Gesetzgeber die §§ 202a ff. StGB.

Vgl. ebd., Praxishandbuch Internetstrafrecht, S. 64.

Vgl. ebd., Praxishandbuch Internetstrafrecht, Rn. 97.

Vgl. ABl. EU Nr. 69/67 v. 16.03.2005.

Vgl. Hilgendorf/Valerius: Computer- und Internetstrafrecht, Rn. 534.

II. Ausspähen von Daten - § 202a StGB

1. Rechtsgut

Der § 202a StGB umfasst den Schutz aller Daten, welche gespeichert, nicht für den

Täter bestimmt und gegen unberechtigten Zugang besonders gesichert sind.

In der

IT-Branche wird dieser Vorgang oft als ,,Datendiebstahl" bezeichnet. Dabei spielt der

Inhalt der Daten keine Rolle, es kann sich also sowohl um banale als auch um geheim

zu haltende Daten handeln.

Doch schon hier gab es, wie in der Einleitung beschrieben, Diskussionsbedarf, denn

der Gesetzgeber hat mit der Einführung der Norm durch das 2. WiKG darauf hinge-

wiesen, dass das bloße Eindringen in ein Computersystem (oft als Hacking bezeich-

net) nicht unter Strafe gestellt ist. Der Wortlaut des Gesetzestextes spricht nur von

einem Überwinden der Zugangssicherung und somit einem bloßen Eindringen in ein

entferntes Computersystem. Doch schon bei diesem Vorgang ist ein Fluss von Daten

(z. B.

von

IP-Adressen) gegeben.

Letztlich ist aber erst seit der

41. Strafrechtsreform das bloße Eindringen eindeutig unter Strafe gestellt, da die

Norm um den Wortlaut ,,Zugang" ergänzt wurde.

2. Objektiver Tatbestand

a) Daten

Tatobjekt des § 202a StGB sind Daten. ,,Daten sind demnach Zeichen oder kontinu-

ierliche Funktionen aufgrund bekannter oder unterstellter Abmachungen zum Zwecke

der Verarbeitung dargestellter Informationen."

Durch § 202a Abs. 2 StGB ist der Begriff Daten konkretisiert worden. Demnach wer-

den nur Daten umfasst, welche elektronisch, magnetisch oder sonst nicht unmittelbar

Vgl. Fischer: Strafgesetzbuch mit Nebengesetzen, § 202a, Rn. 2.

Vgl. Hilgendorf/Valerius: Computer- und Internetstrafrecht, Rn. 536.

Vgl. Gercke/Brunst: Praxishandbuch Internetstrafrecht, Rn. 89.

Vgl. Laufhütte: Leipziger Kommentar, § 202a, Rn. 3.

Laufhütte: Leipziger Kommentar, § 202a, Rn. 7.

wahrnehmbar gespeichert sind oder übermittelt werden. Eine Beschränkung auf

Computerdaten gibt es nicht.

Die wahrnehmbaren Daten werden bereits durch die §§ 201 ff. StGB umfasst.

aa) unmittelbar wahrnehmbar

Unmittelbar wahrnehmbar sind Daten, wenn sie ohne weitere Hilfsmittel mit den

menschlichen Sinnen und ohne weitere Instrumente wie Verstärker, Drucker, Monito-

re, Wandler etc. wahrnehmbar sind. Auf eine Dekodierung oder auf den Inhalt kommt

es gem. Abs. 2 nicht an.

Auch ein Mikrofilm gilt als nicht unmittelbar wahrnehm-

bar, da das verkleinerte Abbild nur durch technische Hilfsmittel erkennbar wird und

nicht auf körperliche Defizite im Hinblick auf Sehschwäche zurückzuführen ist.

bb) gespeichert

Gem. § 3 Abs. 4 Nr.1 BDSG sind Daten gespeichert, wenn sie zum Zweck ihrer Wei-

terverwendung erfasst, aufgenommen oder aufbewahrt sind. Somit sind alle nicht

unmittelbar wahrnehmbaren Daten umfasst, welche digital (z. B. auf Festplatten) und

analog (z. B. auf Lochkarten) auf Medien abgelegt wurden.

Auch die Zwischenspeicherung in einem RAM wird hier berücksichtigt.

cc) übermitteln

Das Übermitteln ist die Weitergabe von Daten und erfolgt meist elektronisch in ei-

nem Netzwerk.

Der Übermittlungsvorgang von Daten ist zusätzlich durch den §

202b StGB geschützt, auf welchen im späteren Verlauf näher eingegangen wird.

Vgl. Fischer: Strafgesetzbuch mit Nebengesetzen, § 202a, Rn. 3.

Vgl. ebd, § 202a, Rn. 4.

Vgl. Hilgendorf/Valerius: Computer- und Internetstrafrecht, Rn. 539.

Vgl. Fischer: Strafgesetzbuch mit Nebengesetzen, § 202a, Rn. 5.

Vgl. Hilgendorf/Valerius: Computer- und Internetstrafrecht, Rn. 540.

Vgl. Fischer: Strafgesetzbuch mit Nebengesetzen, § 202a, Rn. 6.

b) nicht für den Täter bestimmt

Des Weiteren setzt der § 202a StGB voraus, dass die Daten nicht für den Täter be-

stimmt sind. Auch unerheblich bleibt, ob sich die Daten inhaltlich auf den Täter be-

ziehen (z. B. eine elektronische Personalakte). Nur die Zustimmung des Berechtigten

stellt ein tatbestandsausschließendes Einverständnis dar.

Außerdem ist es erwähnenswert, dass, wenn es dem Täter zu einem früheren Zeit-

punkt offiziell (z. B. durch einen Vertrag) erlaubt gewesen ist, auf gewisse Daten zu-

zugreifen, ihm aber im Laufe der Zeit dieses Recht entzogen worden ist, er nicht

mehr auf diese Daten zugreifen darf, selbst wenn die Zugangsberechtigung durch

Benutzername und Passwort noch besteht.

Ein weiterer Aspekt sind Phishing Attacken, welche jedoch gem. § 202a StGB nicht

strafbar sind, da der Geschädigte dem Täter seine Daten gezielt überträgt. Auch eine

Überwindung der Zugangssicherung findet hier nicht statt, da die Daten eigenhändig

und freiwillig vom Geschädigten eingetragen werden. Eine Täuschung, welche vor-

liegt, lässt das Einverständnis nach allgemeiner Auffassung nicht entfallen.

c) gegen unberechtigten Zugang besonders gesichert

,,Gegen unberechtigten Zugang besonders gesichert sind Daten, wenn Vorkehrungen

getroffen sind, die objektiv geeignet und subjektiv dazu bestimmt sind, den Zugriff auf

die Daten auszuschließen oder wenigstens zu erschweren."

Laut h. M. gibt es vier Arten von Zugangssicherungen:

1. Authentifizierung mittels Hardware (z. B. Fingerabdruckscanner, Iris- Scan-

ner, Stimmerkennungsgerät oder sonstige biometrische Vorrichtungen).

2. Schutz durch Passwörter oder Datenverschlüsselungen. Dabei dürfen die

Passwörter nicht zu simpel sein (z. B. Name des Benutzers, standardisierte

Ziffernfolge etc.).

3. Verschluss der Hardware (z. B. in abschließbaren Schränken oder closed

shops).

Vgl. Hilgendorf/Valerius: Computer- und Internetstrafrecht, Rn. 542.

Vgl. Gercke/Brunst: Praxishandbuch Internetstrafrecht, Rd. 93.

http://www.hrr-strafrecht.de/hrr/archiv/10-02/index.php?sz=7 (15.04.2014).

Fahl/Winkler: Definitionen und Schemata Strafrecht, S. 74.

4. Geheimhaltung der Daten durch Abspeichern an systematisch falschen Stellen

oder falschen Dateinamen. Hierbei darf der gewählte Name oder das Versteck

nicht zu trivial sein (z. B. in eine Fremdsprache übersetzt oder in einem klei-

nen übersichtlichen Datenverzeichnis).

Die Zugangsarten müssen objektiv dazu geeignet sein und nach dem Willen des Be-

rechtigten auch dazu bestimmt sein, die Daten zu schützen. Darin nicht involviert

wäre z. B. ein Kopierschutz (dieser soll nur das Vervielfältigen verhindern, nicht aber

den Zugriff auf die Daten) oder ein baulicher Feuerschutz.

Besonders im WLAN werden inzwischen häufig Daten ausgespäht. Oft wird dabei die

Methode des WarDriving oder WarWalking verwendet. Es kann dafür unterschied-

lichste Ausstattung verwendet werden (z. B. ein Laptop, ein PDA, spezielle Software

oder im Internet bereitgestellte Karten).

Ist jedoch ein WLAN nicht passwortgeschützt, so kann der Täter ungehindert eindrin-

gen und Straftaten begehen. Das Eindringen in das offene WLAN stellt jedoch keinen

Verstoß gegen § 202a StGB dar, da die Zugangssicherung fehlt.

Des Weiteren sollte

man im Auge behalten, dass große Firmen oft Sicherheitsdienstleister beauftragen,

um ihre Systeme auf Sicherheitslücken zu überprüfen. Dringt der Sicherheitsdienst-

leister in das System ein, sollte dieser eine Dokumentation der Befugnis vorlegen

können, sonst gilt hier ebenfalls der § 202a StGB, obwohl es sich nur um einen ,,Si-

cherheitstest" gehandelt haben könnte.

aa) Sicherung durch Magnetstreifen

Trotz vieler anderer Meinungen hat der BGH kommentiert, dass das Speichern von

Daten auf Magnetkarten keine ausreichende Sicherung darstellt. Diese können mit

handelsüblichen Geräten ausgelesen werden. Selbst wenn die Daten auf der Magnet-

karte verschlüsselt sind, diese aber nur kopiert und nicht ausgelesen wurden, ist die

Zugriffssicherung nicht umgangen worden. Somit sind das Skimming oder andere

man-in-the-middle Angriffe nicht strafbar gem. § 202a StGB.

Vgl. Laufhütte: Leipziger Kommentar, § 202a, Rn. 35 f.

Vgl. Gercke/Brunst: Praxishandbuch Internetstrafrecht, Rn. 94.

Vgl. Wernert: Internetkriminalität, S. 40 ff.

Vgl. Hilgendorf/Valerius: Computer- und Internetstrafrecht, Rn. 552.

Vgl. Gercke/Brunst: Praxishandbuch Internetstrafrecht, Rn. 100.