Was versteht man unter Hacking?
Der Begriff Hacking ist kein gesetzlich definierter Rechtsbegriff. Allgemein versteht man darunter das unbefugte Eindringen in fremde Computersysteme oder Netzwerke, um auf Daten oder Funktionen zuzugreifen, Sicherheitsmaßnahmen zu umgehen oder IT-Systeme zu manipulieren. Die Beweggründe können sehr unterschiedlich sein. Manche Angriffe dienen ausschließlich dazu, Sicherheitslücken aufzudecken. Andere verfolgen wirtschaftliche Interessen bis hin zur unrechtmäßigen Bereicherung oder sollen Daten entwenden, Systeme verschlüsseln oder Unternehmen gezielt schädigen. Aus strafrechtlicher Sicht ist daher stets zu prüfen, welche konkrete Handlung vorgenommen wurde.
Welche Straftatbestände kommen bei Hacking in Betracht?
Das österreichische Strafrecht enthält mehrere Bestimmungen zum Schutz von Computersystemen, Daten und informationstechnischen Infrastrukturen. In der Praxis überschneiden sich diese Delikte häufig. Welcher Tatbestand erfüllt ist, hängt vom konkreten Angriff und dessen Zielsetzung ab.
Hier sollen nur einige der wichtigsten Computerstraftaten gesondert behandelt werden:
- Widerrechtlicher Zugriff auf ein Computersystem (§ 118a StGB),
- Missbräuchliches Abfangen von Daten (§ 119a StGB) ,
- Störung der Funktionsfähigkeit eines Computersystems (§ 126b StGB),
- Missbrauch von Computerprogrammen oder Zugangsdaten (§ 126c StGB).
Widerrechtlicher Zugriff auf ein Computersystem (§ 118a StGB)
Der zentrale Straftatbestand im Zusammenhang mit Hacking ist der widerrechtliche Zugriff auf ein Computersystem nach § 118a StGB. Strafbar macht sich grundsätzlich, wer sich durch Überwindung einer spezifischen Sicherheitsvorkehrung (zB. Passwort, Zwei-Faktor-Authentifizierung, Firewall) unbefugt Zugang zu einem Computersystem oder zu einem Teil davon verschafft. Wichtige Voraussetzung ist der erweiterte Vorsatz: Dem Täter muss es auf die Kenntnisverschaffung von personenbezogenen Daten mit Geheimhaltungsinteresse (§ 118a Abs 1 Z 1 StGB) oder die Zufügung eines Nachteils durch die im System gespeicherten und nicht für ihn bestimmte Daten (§ 118a Abs 1 Z 2 StGB) ankommen.
Geschützt wird dabei die Vertraulichkeit informationstechnischer Systeme. Entscheidend ist daher nicht, ob der Täter Daten verändert oder einen Vermögensschaden verursacht. Bereits das unbefugte Eindringen kann bei entsprechendem Vorsatz strafbar sein.
Typische Beispiele sind:
- das Knacken eines Passworts,
- das Umgehen einer Zwei-Faktor-Authentifizierung,
- das Ausnutzen einer Sicherheitslücke,
- das Erlangen administrativer Zugriffsrechte,
- das Eindringen in Unternehmensnetzwerke.
Missbräuchliches Abfangen von Daten (§ 119a StGB)
§ 119a StGB erfasst das unbefugte Abfangen von Daten, die über ein Computersystem übermittelt werden und nicht für den Täter bestimmt sind. Strafbar macht sich insbesondere, wer eine technische Vorrichtung verwendet, die an einem Computersystem angebracht oder sonst empfangsbereit gemacht wurde, oder die elektromagnetische Abstrahlung eines Computersystems auffängt.
Der Täter muss dabei in der Absicht handeln, sich oder einem anderen Unbefugten Kenntnis von den Daten zu verschaffen. Zusätzlich muss sein Verhalten darauf gerichtet sein, die Daten selbst zu benützen, sie einem weiteren Unbefugten zugänglich zu machen oder zu veröffentlichen und dadurch sich oder einem anderen einen Vermögensvorteil zuzuwenden oder einem anderen einen Nachteil zuzufügen. Die Absicht ist eine verstärkte Vorsatzform: Es muss dem Täter gerade darauf ankommen, dass er die eben beschriebenen Umstände verwirklicht (§ 5 Abs 2 StGB).
Die Bestimmung betrifft daher nicht jedes technische Abfangen von Daten. Erforderlich ist vielmehr eine gezielte Vorgehensweise mit einer darüber hinausgehenden Schädigungs- oder Bereicherungsabsicht. Typische Anwendungsfälle können etwa das heimliche Mitschneiden fremder Datenübertragungen, das Auslesen drahtlos übermittelter Informationen oder der Einsatz speziell vorbereiteter Abhörvorrichtungen sein. § 119a StGB kommt nur subsidiär zur Anwendung. Ist das Verhalten bereits nach § 119 StGB (Verletzung des Telekommunikationsgeheimnisses) strafbar, tritt § 119a StGB zurück.
Störung der Funktionsfähigkeit eines Computersystems (§ 126b StGB)
Während § 118a StGB bereits den unbefugten Zugriff erfasst, setzt § 126b StGB eine Beeinträchtigung der Funktionsfähigkeit des Systems voraus, wobei die Störung durch die Eingabe oder Übermittlung von Daten verursacht werden muss. Hierzu zählen insbesondere Denial-of-Service-Angriffe (DoS), die gezielte Überlastung von Servern, die Sabotage oder Blockierung von Unternehmensnetzwerken und betrieblicher IT-Infrastruktur und Ransomware. Solche Angriffe haben insbesondere für Unternehmen oftmals erhebliche wirtschaftliche Schäden zur Folge.
Missbrauch von Computerprogrammen oder Zugangsdaten (§ 126c StGB)
Viele Cyberangriffe beginnen lange vor dem eigentlichen Eindringen in ein Computersystem. Passwörter werden ausgespäht, Schadsoftware entwickelt oder spezielle Hackerprogramme eingesetzt. Das österreichische Strafrecht stellt unter bestimmten Voraussetzungen bereits diese Vorbereitungshandlungen unter Strafe. Erfasst werden insbesondere Programme oder Zugangsdaten, die ersichtlich dazu bestimmt sind, Computerstraftaten zu begehen. An diesem Kriterium orientiert sich auch der für eine Strafbarkeit erforderliche Vorsatz.
Die Tathandlungen des § 126c StGB bilden eine breite Palette: Erfasst sind das Herstellen, das Einführen, das Vertreiben, das Veräußern, das sonstige Zugänglichmachen, das Verschaffen und das Besitzen. Dadurch soll verhindert werden, dass Angriffe überhaupt vorbereitet oder erleichtert werden können. Ob im konkreten Fall bereits eine strafbare Vorbereitung oder lediglich eine erlaubte IT-Sicherheitsanalyse vorliegt, hängt von den Umständen des Einzelfalls ab.
Wann ist sogenanntes Ethical-Hacking zulässig?
Nicht jedes Hacking ist rechtswidrig. Im Bereich der IT-Sicherheit werden gezielt Sicherheitsüberprüfungen durchgeführt, um Schwachstellen aufzudecken. Solche Tests erfolgen regelmäßig im Auftrag des Systembetreibers. Entscheidend ist dabei die Zustimmung des Berechtigten. Liegt eine wirksame Beauftragung vor und bewegt sich die Untersuchung innerhalb des vereinbarten Umfangs, fehlt es grundsätzlich an der Unbefugtheit des Zugriffs. Problematisch wird es hingegen, wenn vereinbarte Grenzen überschritten oder fremde Systeme ohne Zustimmung getestet werden. Bereits gut gemeinte Sicherheitsanalysen können dann strafrechtliche Konsequenzen nach sich ziehen.
Wie laufen Ermittlungen wegen Hacking ab?
Ermittlungen wegen Computerstraftaten unterscheiden sich in vielerlei Hinsicht von klassischen Strafverfahren. Digitale Spuren müssen rasch gesichert und ausgewertet werden. Dabei arbeiten Staatsanwaltschaft und Kriminalpolizei regelmäßig mit IT-Sachverständigen zusammen.
Zu den häufigsten Ermittlungsmaßnahmen zählen:
- Hausdurchsuchungen,
- Beschlagnahme von Computern, Smartphones und Datenträgern,
- Auswertung digitaler Speichermedien,
- Sicherung von Logfiles und Serverdaten,
- Einholung von Auskünften bei Internet- und Cloud-Anbietern,
- internationale Rechtshilfe bei grenzüberschreitenden Angriffen.
Für Beschuldigte kann bereits die Beschlagnahme beruflich genutzter Geräte erhebliche Auswirkungen haben. Umso wichtiger ist es, frühzeitig zu prüfen, ob die angeordneten Zwangsmaßnahmen rechtmäßig erfolgt sind, und die Beschuldigtenrechte bereits im Ermittlungsverfahren aktiv wahrzunehmen. Ein erfahrener Strafverteidiger stellt sicher, dass der Rechtsschutz im Ermittlungsverfahren durch die Einbringung von Einsprüchen wegen Rechtsverletzungen sowie Beschwerden gegen gerichtliche Beschlüsse effektiv gewahrt wird.
Welche Strafen drohen bei Hacking?
Die Strafdrohung richtet sich nach dem jeweils verwirklichten Delikt und den konkreten Folgen des Angriffs. Je nach Sachverhalt reichen die Sanktionen von Geldstrafen bis zu mehrjährigen Freiheitsstrafen. Kommen mehrere Computerstraftaten oder Vermögensdelikte zusammen, erhöht sich das strafrechtliche Risiko erheblich. Der Strafrahmen erhöht sich insbesondere bei schwerwiegenden Fälle, bei denen erhebliche Vermögensschäden entstehen, kritische Infrastrukturen (§ 74 Abs 1 Z 11 StGB) betroffen sind oder der Angriff im Rahmen einer kriminellen Vereinigung (§ 278 Abs 2 StGB) erfolgt.
Welche Verteidigungsmöglichkeiten bestehen?
Nicht jeder Vorwurf wegen Hacking führt zwangsläufig zu einer Verurteilung. Gerade Computerstrafverfahren werfen häufig komplexe technische und rechtliche Fragen auf.
Ein Strafverteidiger prüft insbesondere,
- ob tatsächlich ein unbefugter Zugriff vorlag,
- ob eine wirksame Zustimmung des Berechtigten bestand,
- ob überhaupt eine spezifische Sicherheitsvorkehrung überwunden wurde,
- ob digitale Beweise ordnungsgemäß gesichert und ausgewertet wurden,
- ob sich der Tatvorsatz nachweisen lässt oder
- ob dem Beschuldigten die konkrete Handlung überhaupt zugerechnet werden kann.
Gerade in technisch anspruchsvollen Verfahren kommt der Zusammenarbeit zwischen Strafverteidigung und IT-Sachverständigen erhebliche Bedeutung zu. Durch diese enge Zusammenarbeit können entlastende Beweise im Wege von Beweisanträgen in das Strafverfahren eingebracht werden. Dadurch besteht die Möglichkeit, aktiv auf den Verfahrensverlauf und das Verfahrensergebnis Einfluss zu nehmen.
Was sollten Unternehmen nach einem Hackerangriff beachten?
Ein Cyberangriff betrifft häufig nicht nur die IT-Abteilung. Je nach Vorfall können strafrechtliche, datenschutzrechtliche, zivilrechtliche und Compliance-Fragen gleichzeitig entstehen. Unternehmen sollten deshalb rasch handeln und den Vorfall umfassend dokumentieren. Dazu gehören insbesondere die Sicherung digitaler Beweise, die Prüfung gesetzlicher Meldepflichten sowie die Bewertung möglicher strafrechtlicher Schritte gegen die Täter. Ebenso wichtig ist die interne Aufarbeitung des Vorfalls in Form einer internen Untersuchung. Zugleich sollte eine zeitnahe Anzeigeerstattung bei den Strafverfolgungsbehörden mit Sachverhaltsdarstellung an die Staatsanwaltschaft angedacht werden. In diesem Rahmen können auch Schadenersatzansprüche durch Privatbeteiligtenanschluss geltend gemacht werden.
Oft zeigt sich erst nach einer detaillierten Analyse, über welche Sicherheitslücke der Angriff erfolgen konnte und welche organisatorischen Maßnahmen künftig erforderlich sind. Eine frühzeitige rechtliche Begleitung hilft dabei, Fehler im Umgang mit dem Vorfall zu vermeiden und die Interessen des Unternehmens auch nachhaltig umfassend zu wahren. Schließlich ist eine wirksame und fundierte Prävention vor Hackerangriffen Teil eines jeden effizienten Compliance-Management-Systems.
