Cyberkriminalität und Internetbetrug – Rechtsanwalt zeigt strafrechtliche Aspekte auf

Cyberangriff – Was tun?

Obwohl Unternehmen und staatliche Einrichtungen immer besser auf Cyberangriffe vorbereitet sind und interne Schutzsysteme vermehrt Anwendung finden, ist ein umfassender Schutz vor den oft hochspezialisierten Tätergruppen im Internet nie zu 100% gewährleistet.

Das bedeutet, dass jeder jederzeit von Cyberkriminalität betroffen sein kann. Es gibt einige Prinzipien, die im Falle eines Cyberangriffs jedenfalls beachtet werden sollten:

• Bei Ransomware-Attacken Ruhe bewahren und keine voreiligen Handlungen setzen: Bei Ransomware-Attacken verschlüsseln und/oder löschen die Täter die zugänglichen Unternehmensdaten und fordern für die Rückgabe/Entschlüsselung ein Lösegeld. Betroffenen Unternehmen stehen daher unter großem Druck und sind mit der Frage konfrontiert, ob und unter welchen Bedingungen eine Zahlung der Lösegeldforderung veranlasst werden sollte. Wichtig ist es, derartige Entscheidungen mit einem kühlen Kopf zu treffen und sich jedenfalls von IT-Experten über das Ausmaß des Schadens und von Strafrechtsexperten zur Zulässigkeit einer solchen Zahlung beraten zu lassen (Strafbarkeitsrisiko wegen Untreue).
• Angemessen auf Social-Engineering-Angriffe reagieren:  Bei Social-Engineering-Attacken nutzen die Täter psychologische Manipulationen, um Personen dazu zu bringen, vertrauliche Informationen preiszugeben, Sicherheitsvorkehrungen zu umgehen oder unberechtigte Zahlungen zu veranlassen. Um solchen Angriffen vorzubeugen, ist es entscheidend, das Bewusstsein durch regelmäßige Schulungen zu schärfen und klare Richtlinien für den Umgang mit sensiblen Informationen zu etablieren. Sollte es bereits zu einem Angriff und dem Abfluss von Geldern oder Unternehmensdaten gekommen sein, ist schnelles und besonnenes Handeln gefragt. IT-Sicherheitsexperten sollten hinzugezogen werden, um Sicherheitslücken zu identifizieren und zu schließen. Zudem sollten rechtliche Schritte geprüft und der Vorfall gegebenenfalls den zuständigen Behörden gemeldet werden.
• Umfassendes Lagebild schaffen: Um konkrete Entscheidungen über das weitere Vorgehen zu treffen, sollte sich das betroffene Unternehmen eine grundlegende Basis an Informationen über den Vorfall aneignen. Welche Daten sind gefährdet oder betroffen? Welche Konsequenzen hätte das Verlorengehen der Daten? Gibt es sichere Backups?  In welchem Verhältnis stehen die Risiken und Schäden des Ransomware-Angriffs zur Höhe des geforderten Lösegelds? All diese Fragen erfordern ein profundes Know-How über den konkreten Anlassfall. Erst nachdem diese Umstände geklärt sind, ist eine sinnvolle Entscheidung überhaupt möglich.
• Melde- und Informationspflichten: Es ist zu prüfen, ob Vertragspartner oder Behörden unverzüglich zu informieren sind. Je nach Art des betroffenen Unternehmens und des konkreten Cyberangriffs zählen dazu beispielsweise Meldungen an die Cyberversicherung, die Datenschutzbehörde (DSB), die betroffenen natürlichen Personen, Austrian Energy CERT, Finanzmarktaufsichtsbehörde (FMA), RTR etc.
• Strafanzeige? In Österreich besteht für private Unternehmen grundsätzlich keine allgemeine Verpflichtung für Opfer, strafbare Handlungen bei der Staatsanwaltschaft oder der Kriminalpolizei anzuzeigen. Es besteht jedoch ein Anzeigerecht. Die Geschäftsleitung muss im Rahmen ihrer Sorgfaltspflichten agieren muss, um Haftungsrisiken des Unternehmens und eine Geschäftsführerhaftung zu vermeiden. Es kann, muss aber nicht, eine Anzeigeobliegenheit entstehen, die haftungsrechtlich relevant ist. Zudem sehen viele Versicherungsbedingungen von Cyberversicherungen vor, dass eine möglicherweise strafbarer Angriff auf das IT-System des Unternehmens auch bei den Strafverfolgungsbehörden anzuzeigen ist.

Die Rolle der Strafverfolgungsbehörden bei Cyberkriminalität und Internetbetrug

Werden die Strafverfolgungsbehörden nach einer Anzeige oder Sachverhaltsdarstellung aktiv, leiten diese ein strafrechtliches Ermittlungsverfahren ein. In diesem Zusammenhang kommen ihnen strafrechtliche Ermittlungsbefugnisse zu. Neben der Sicherstellung (§§ 110 ff StPO) und der Beschlagnahme (§ 115 StPO) von Endgeräten und Datenträgern spielt bei Cyberdelikten insb auch die Befugnis, zur Erforschung der Person des Täters die Auskunft über Stamm- und Zugangsdaten (§ 76a StPO) zu verlangen, eine zentrale Rolle.

Durch eine frühzeitige Einbindung der Strafverfolgungsbehörden kann das betroffene Unternehmen wertvolle Synergien zwischen interner Aufarbeitung und strafrechtlicher Verfolgung schaffen, indem es den Behörden Unterlagen und Dokumente zu den laufenden internen Untersuchungen übermittelt. Auf dieser Grundlage können die Behörden ihre exklusiven Ermittlungsbefugnisse ausüben, deren Ergebnisse wiederum die Aufarbeitung für das Unternehmen erleichtern.

Zudem kann im Zuge eines Privatbeteiligtenanschlusses versucht werden, den entstandenen Schaden im Zuge des Strafverfahrens von den Tätern zurückzuerhalten.

Compliance als Präventivmaßnahme gegen Cyberkriminaltität

Die Implementierung eines wirksamen Compliance-Systems stellt eine zentrale präventive Maßnahme dar, um Unternehmen gegen Cyberangriffe zu schützen. Robuste Compliance umfasst unter anderem klare Sicherheitsrichtlinien, Schulungen und Workshops für Mitarbeiter, den Einsatz moderner Sicherheitssoftware sowie interne Kontrollen und Audits zur Aufdeckung potenzieller Sicherheitslücken. Ein bestehender Plan zur Bewältigung potenzieller Cyberangriffe erhöht die Chancen auf eine erfolgreiche Abwehr. Maßnahmen und notwendige Schritte können schneller eingeleitet werden, wodurch das betroffene Unternehmen wertvolle Zeit spart.

Ein funktionierendes Compliance-Management-System kann nicht nur Cyberangriffe verhindern oder ihre Auswirkungen begrenzen, sondern trägt auch zur Haftungsminimierung bei. Cyberversicherungen setzen heutzutage oftmals ein funktionierendes Präventionskonzept voraus, sodass sich auch unter diesem Gesichtspunkt die Etablierung eines Compliance-Systems lohnen kann.

Strafverteidigung im Kontext von Cybercrime

Wenn Ihnen im Bereich des IT-Strafrechts ein strafrechtlicher Vorwurf wegen Cyberkriminalität gemacht wird, ist die Hinzuziehung eines erfahrenen Strafverteidigers empfehlenswert.

Ein zentraler Aspekt der Strafverteidigung im Bereich Cybercrime ist die proaktive Herangehensweise bereits im strafrechtlichen Ermittlungsverfahren. Dies beinhaltet die sorgfältige Vorbereitung auf Vernehmungen, die Einbringung fundierter Schriftsätze und die strategische Nutzung von Beweisanträgen. Ziel ist es, eine frühzeitige Beendigung des Verfahrens zu erreichen und eine öffentliche Hauptverhandlung zu vermeiden, die oft mit erheblichen Reputationsrisiken verbunden ist.