Abstract
Das Landgericht Aachen hat mit Beschluss vom 4. November 2024 (74 NBs 34/24) erneut klargestellt, dass § 202a StGB keine „technische Mindestqualität“ der Zugangssicherung voraussetzt. Selbst ein im Quellcode offen einsehbares Passwort kann eine tatbestandsrelevante Zugangsschranke darstellen. Für Sicherheitsforscher und sog. Grey-Hat-Hacker bedeutet dies ein erhebliches Strafbarkeitsrisiko. Der Fall zeigt exemplarisch die bestehende Diskrepanz zwischen dem Schutzzweck des Computerstrafrechts und dem praktischen Bedarf verantwortungsvoller IT-Sicherheitsforschung.
Sachverhalt und Einordnung
Der zugrunde liegende Fall weist die klassische Struktur einer – in der internationalen IT-Community alltäglichen – Responsible-Disclosure-Situation auf, die in Deutschland jedoch strafrechtlich in eine gänzlich andere Richtung eskalierte. Ein freiberuflicher Entwickler stellte im Rahmen eines Kundenmandats fest, dass eine kommerzielle Software ein Passwort im Klartext enthielt, über das sich eine ungesicherte Verbindung zu einer Datenbank herstellen ließ, in der sich mehrere Hunderttausend sensible Datensätze befanden. Der Entwickler meldete die Schwachstelle, setzte Fristen und forderte datenschutzkonformes Vorgehen. Als der Anbieter nicht reagierte, wandte er sich an ein Fachmedium, um die Schließung der Lücke zu erzwingen. Die Folge war nicht die Behebung des Problems, sondern ein Strafverfahren wegen Ausspähens von Daten gem. § 202a StGB.
AG Jülich: Zugangssicherung als tatbestandliche Hürde
Das zunächst befasste Amtsgericht Jülich (vgl. AG Jülich, 10.05.2023 – 17 Cs 55/23) lehnte den Erlass eines Strafbefehls ab, da es die zentrale tatbestandliche Voraussetzung des § 202a StGB – die „besondere Sicherung gegen unberechtigten Zugang“ – für nicht erfüllt hielt. Ein im Klartext einsehbares Passwort könne die Daten nicht erkennbar schützen. Das Erfordernis einer besonderen Sicherung lege nach Auffassung des Gerichts einen gewissen Mindeststandard nahe, der durch eine derart rudimentäre Maßnahme nicht erfüllt sei. Zugleich wies das Gericht darauf hin, dass das bloße Auffinden eines offen eingebetteten Passworts keine „Überwindung“ einer Zugangsschranke darstelle.
Diese formale Perspektive – Schutz durch tatsächliche technische Barrieren – entsprach lange Zeit der klassischen Auslegung des § 202a StGB, die auf die objektive Wirksamkeit der Sicherung abstellte.
LG Aachen: Abkehr von qualitativen Anforderungen
Das Landgericht Aachen (vgl. LG Aachen, 27.07.2023 – 60 Qs 16/23) hat diese Sichtweise jedoch ausdrücklich verworfen. Nach Auffassung des Landgerichts setzt § 202a StGB nicht voraus, dass die Zugangssicherung tatsächlich wirksam oder professionell ausgestaltet ist. Entscheidend sei allein, dass eine Schutzmaßnahme existiere und dass deren Umgehung ein Mindestmaß an technischem Wissen erfordere. Das Passwort sei, unabhängig von seiner fehlenden Verschlüsselung oder schlechten Implementierung, eine Zugangsschranke. Das Auslesen über die Analyse einer ausführbaren Datei stelle eine Überwindung im Sinne der Norm dar, weil nicht jeder Nutzer ohne spezifische Kenntnisse dazu in der Lage sei.
Diese Wertung, welche das AG Jülich in der zweiten Entscheidung des Falls (vgl. AG Jülich, 17.01.2024 – 17 Cs-230 Js 99/21-55/23) hat erhebliche praktische Konsequenzen. Sie verlagert den Fokus von der Qualität des Schutzes hin zur bloßen Existenz einer – auch noch so unzureichenden – Schutzmaßnahme. Dadurch wird die Strafbarkeitsschwelle empfindlich abgesenkt. Systeme, die elementare technische Standards nicht erfüllen, genießen denselben strafrechtlichen Schutz wie solche, die komplex und professionell gesichert sind.
Keine Rechtfertigung durch Notstand oder Gemeinwohl
Besonders bemerkenswert ist die deutliche Absage des Landgerichts an eine Relevanz guter Absichten. Der Entwickler argumentierte, er habe im Interesse der Datensicherheit gehandelt und Schaden abwenden wollen. Dies ließ das Gericht nicht gelten. Ein rechtfertigender Notstand scheide schon deshalb aus, weil die Gefahr nicht ohne das eigene Vordringen in das System erkennbar gewesen sei. Der Zweck der Handlung könne – so die Kammer – keine Rolle spielen. Das Strafrecht kenne kein ungeschriebenes Privileg für Grey-Hat- oder Ethical Hacking.
Damit grenzt sich das LG Aachen bewusst von internationalen Standards wie „Safe Harbor Policies“ oder Bug-Bounty-Praktiken ab, die genau auf eine Differenzierung zwischen krimineller und verantwortungsvoller Forschung abzielen. Die Entscheidung folgt damit einer streng formalen Linie, die im deutschen Computerstrafrecht tief verankert ist: Das Schutzgut ist der Zugang, nicht die Daten selbst.
Dogmatische Konsequenzen: Das Spannungsfeld von Schutzgut und technischer Realität
Die Entscheidung fügt sich in die nach der Reform 2007 etablierte Rechtsprechung ein, nach der bereits die Verschaffung der Zugriffsmöglichkeit – und nicht erst der tatsächliche Erhalt von Daten – tatbestandsrelevant ist. Durch die jetzige Klarstellung, dass die Zugangssicherung keiner Mindestqualität bedarf, wird § 202a StGB in ein noch weiterreichendes Instrument verwandelt.
Die dogmatische Konsequenz ist, dass das Strafrecht selbst bei erheblichen technischen Mängeln der Betreiber tätig wird, während Forscher, die Lücken transparent machen wollen, erheblichen Risiken ausgesetzt sind. Der präventive Schutzgedanke rückt so weit in den Mittelpunkt, dass die normative Bewertung der Handlungsmotivation vollständig zurücktritt. Der Schutzumfang des § 202a StGB orientiert sich damit ausschließlich an dem Willen des Berechtigten, den Zugang – auf welche Weise auch immer – zu beschränken. Dies führt zu einer Schutzasymmetrie: Die technisch unzureichende Sicherung wird durch das Strafrecht überhöht, die Meldung der Schwachstelle dagegen kriminalisiert.
Das Bundesverfassungsgericht: Keine Annahme der Verfassungsbeschwerde
Besondere Aufmerksamkeit verdient schließlich der Umstand, dass das Verfahren auch das Bundesverfassungsgericht erreichte, ohne jedoch zu einer inhaltlichen Klärung zu führen. Die gegen die strafgerichtlichen Entscheidungen eingelegte Verfassungsbeschwerde wurde gemäß § 93d Abs. 1 Satz 2 BVerfGG nicht zur Entscheidung angenommen. Das Bundesverfassungsgericht sah weder die grundsätzliche verfassungsrechtliche Bedeutung noch eine offensichtliche Grundrechtsverletzung hinreichend dargelegt. Damit vermied das Gericht eine materielle Auseinandersetzung mit der zentralen Frage, ob § 202a StGB im Lichte der Berufsfreiheit aus Art. 12 GG und der fortschreitenden Bedeutung von Sicherheitsforschung verfassungskonform einschränkend auszulegen ist.
Diese Nichtannahme ist aus zwei Gründen bemerkenswert. Zum einen bleibt die vom Beschwerdeführer aufgeworfene Problematik der fehlenden Rechtssicherheit für Sicherheitsforscher weiterhin ungeklärt. Weder wurde eine verfassungskonforme Reduktion des Tatbestandes erörtert noch eine mögliche Pflicht des Gesetzgebers zur Schaffung eines Safe-Harbor-Regimes. Zum anderen zeigt die Entscheidung, dass die verfassungsgerichtliche Kontrolle des Computerstrafrechts im Bereich des Ethical Hacking bislang zurückhaltend ist und die dogmatische Entwicklung weiterhin primär durch die Fachgerichte geprägt wird. Für die Praxis bedeutet dies, dass die bestehenden Unsicherheiten fortbestehen: Die Grenze zwischen strafbarer Zugangsverschaffung und zulässiger Sicherheitsforschung bleibt eine durch die Strafgerichte definierte Linie, deren Konturen erst der Gesetzgeber klarer ausgestalten könnte.
Praktische Auswirkungen: Chilling Effects für die Sicherheitsforschung
Aus Sicht der Sicherheitsforschung ist diese Linie problematisch. Die Meldung einer Sicherheitslücke wird durch das Risiko strafrechtlicher Verfolgung zu einem rechtlichen Hochrisikoverhalten. Entwickler müssen fürchten, dass selbst minimalinvasive Eingriffe in ein Produktivsystem als strafbar bewertet werden. Es ist absehbar, dass Sicherheitslücken weniger häufig gemeldet und länger ausgenutzt werden können. Damit sinkt die allgemeine Cyberresilienz, während der strafrechtliche Schutz von Schwachstellenbetreibern steigt – unabhängig von der Qualität ihrer Sicherheitsarchitektur.
Die Entscheidung verdeutlicht zugleich, dass andere Rechtsgebiete, insbesondere das Datenschutzrecht, in solchen Fällen häufig nicht parallel mobilisiert werden. Während der Hinweisgeber strafrechtlich verfolgt wird, bleiben mögliche Verstöße des Verantwortlichen gegen Art. 32 DSGVO in der strafrechtlichen Betrachtung außen vor. Der strafrechtliche Fokus verengt sich vollständig auf den Zugriff des Forschers.
Reformüberlegungen und legislativer Handlungsbedarf
Vor diesem Hintergrund verwundert es nicht, dass der Gesetzgeber Reformbedarf erkannt hat. Zwar liegt ein Referentenentwurf zur Modernisierung des Computerstrafrechts vor, dieser wird jedoch von der Praxis als unzureichend kritisiert. Er bleibt in seinen Entlastungstatbeständen für Sicherheitsforscher vage, schafft keine echte Rechtssicherheit und lässt zahlreiche Fallkonstellationen – insbesondere unaufgeforderte Analysen produktiver Systeme – weiterhin im strafrechtlichen Risikobereich.
Der Fall zeigt, dass eine grundlegende Neujustierung des Computerstrafrechts erforderlich wäre, um die berechtigten Interessen der IT-Sicherheitsforschung, des Datenschutzes und des Strafrechtsschutzes in ein kohärentes Verhältnis zu setzen. Solange diese Neuregelung aussteht, bleibt die Tätigkeit von Sicherheitsforschern gefährlich und rechtlich schwer kalkulierbar.
Ausblick
Die Entscheidung des LG Aachen markiert eine deutliche Festigung einer strengen, formalistischen Auslegung des § 202a StGB. Sie verdeutlicht, dass das deutsche Computerstrafrecht derzeit keine Differenzierung zwischen kriminell motiviertem Hacking und verantwortungsvoller Sicherheitsforschung kennt. Die Schwelle zur Strafbarkeit ist niedrig; die dogmatische Orientierung am Bestehen einer Zugangsschranke führt zu einer erheblichen Schutzasymmetrie. Der Gesetzgeber ist gefordert, diesen Zustand zu korrigieren, wenn Sicherheitsforschung in Deutschland nicht dauerhaft kriminalisiert und die digitale Resilienz nachhaltig geschwächt werden soll.
