Cybercrime

Die Datenhehlerei nach § 202d StGB stellt den Umgang mit rechtswidrig erlangten, nicht allgemein zugänglichen Daten unter bestimmten Voraussetzungen unter Strafe. Erfasst werden insbesondere das Sich-Verschaffen, Überlassen, Verbreiten oder sonstige Zugänglichmachen solcher Daten, wenn der Täter dabei mit Bereicherungs- oder Schädigungsabsicht handelt.

Der Straftatbestand ergänzt die §§ 202a ff. StGB und soll verhindern, dass eine durch eine Vortat bereits eingetretene Verletzung des Datengeheimnisses durch die Weitergabe der Daten aufrechterhalten oder vertieft wird.

A. Was regelt § 202d StGB? – Gesetzeswortlaut

Der Straftatbestand der Datenhehlerei ist in § 202d StGB geregelt. Die Vorschrift lautet:

(1) Wer Daten (§ 202a Absatz 2 StGB), die nicht allgemein zugänglich sind und die ein anderer durch eine rechtswidrige Tat erlangt hat, sich oder einem anderen verschafft, einem anderen überlässt, verbreitet oder sonst zugänglich macht, um sich oder einen Dritten zu bereichern oder einen anderen zu schädigen, wird mit Freiheitsstrafe bis zu drei Jahren oder mit Geldstrafe bestraft.

(2) Die Strafe darf nicht schwerer sein als die für die Vortat angedrohte Strafe.

(3) Absatz 1 gilt nicht für Handlungen, die ausschließlich der Erfüllung rechtmäßiger dienstlicher oder beruflicher Pflichten dienen. Dazu gehören insbesondere

1. solche Handlungen von Amtsträgern oder deren Beauftragten, mit denen Daten ausschließlich der Verwertung in einem Besteuerungsverfahren, einem Strafverfahren oder einem Ordnungswidrigkeitenverfahren zugeführt werden sollen, sowie

2. solche beruflichen Handlungen der in § 53 Absatz 1 Satz 1 Nummer 5 der Strafprozessordnung genannten Personen, mit denen Daten entgegengenommen, ausgewertet oder veröffentlicht werden.

B. Welches Rechtsgut schützt § 202d StGB?

Die Datenhehlerei schützt das formelle Datengeheimnis, welches durch eine entsprechende Vortat – zum Beispiel das Ausspähen von Daten­ – verletzt worden ist, vor einer Aufrechterhaltung und Vertiefung dieser Verletzung.[1]

Der Berechtigte verliert mit der Vortat die Möglichkeit, zu entscheiden, wem seine Daten zugänglich sein sollen. Diese Rechtsgutsverletzung wird aufrechterhalten und vertieft, wenn sich im Anschluss daran ein Dritter die gestohlenen Daten verschafft und damit die Daten weiterverbreitet werden. Durch diese Perpetuierung der dolosen Verfügungsmacht erhält ein Dritter die Möglichkeit, über die Zugänglichmachung der Daten zu entscheiden, wodurch es für diesen schwieriger wird, seine Daten nachzuverfolgen und die alleinige Verfügungsbefugnis wiederzuerlangen.[2]

In der Gegenüberstellung mit der (Sach-) Hehlerei (§ 259 StGB) lassen sich einige Aspekte diskutieren. So kann die Frage aufgeworfen werden, ob das Sich-Verschaffen von Daten und die Wegnahme von Objekten hinsichtlich der Überwindung eines fremden Herrschaftsbereichs miteinander vergleichbar sind; ergo denselben Unrechtscharakter besitzen.[3]

Während das „Opfer“ beim Diebstahl zumindest die Sachherrschaft über das Diebesgut verliert, bleibt bei der Datenhehlerei oftmals eine Kopie der Daten vorhanden. Jedenfalls scheint bei der Datenhehlerei neben der Verfügungsberechtigung auch das „allgemeine Sicherheitsinteresse“ erfasst zu sein.[4]

C. Voraussetzungen der Datenhehlerei nach § 202d StGB

I. Tatbestand des § 202d Abs. 1 StGB

1. Objektiver Tatbestand

a. Daten als Tatobjekt

Angriffsobjekt des Tatbestands sind in Übereinstimmung mit § 202a Abs. 2 StGB „Daten“. Der Begriff wird nicht legaldefiniert, sondern lediglich durch bestimmte Merkmale eingegrenzt. Hierdurch hat der Gesetzgeber dem Anwender des Gesetzes die Möglichkeit offengehalten, auf neue Entwicklungen innerhalb der Informationstechnologie schnell und flexibel reagieren zu können.[5] Daten sind nach dem technischen Datenbegriff der Norm DIN 44300 „Zeichen oder kontinuierliche Funktionen aufgrund bekannter oder unterstellter Abmachungen zum Zwecke der Verarbeitung dargestellte Informationen“; kurzum die Darstellung einer Information mithilfe bestimmter Codes.[6] Hierunter fallen auch Musik-, Video- und Filmdateien sowie andere Mediendaten.

Vom Tatbestand erfasst werden nur Daten, die nicht allgemein zugänglich sind. Entscheidend ist, ob die Informationsquelle technisch geeignet und dazu bestimmt ist, einem individuell nicht bestimmbaren Personenkreis Informationen zu verschaffen.[7]

Veröffentlichte Inhalte können daher auch dann allgemein zugänglich sein, wenn ihre Nutzung eine vorherige Anmeldung, Zulassung oder die Zahlung eines Entgelts voraussetzt.[8]

Als allgemein zugängliche Informationsquellen kommen beispielsweise Internetangebote, Datenbanken, Rundfunk, Fernsehen oder Printmedien in Betracht. Entscheidend bleibt stets die konkrete Zugänglichkeit der jeweiligen Daten.

b. Rechtswidrige Vortat

Die Daten müssen durch eine rechtswidrige (Vor-) Tat (§ 11 Abs. 1 Nr. 5 StGB) erlangt worden sein. Als Vortat der Datenhehlerei kommen ­– wie auch bei der Sachhehlerei – demzufolge alle Straftaten in Betracht, die ein Strafgesetz verwirklichen, unabhängig von der Schuld des Täters oder dem Vorliegen eines Strafantrages.[9] Eine taugliche Vortat liegt damit nicht nur in dem Abfangen und Ausspähen von Daten (§§ 202a, 202b StGB) vor, sondern auch in einem Diebstahl (§ 242 StGB), (Computer-) Betrug (§§ 263, 263a StGB) oder einer Nötigung (§ 240 StGB). Voraussetzung bleibt, dass sich die Tat im Einzelfall auch gegen die formelle Verfügungsbefugnis des Berechtigten richtet und der Täter kausal Daten erlangt hat. Die Vortat muss zum Zeitpunkt des abgeleiteten Erwerbs abgeschlossen sein.[10] Nicht erfasst sind mithin Vertragsverletzungen, Disziplinarvergehen oder Ordnungswidrigkeiten. Ebenfalls vermag eine Urheberrechtsverletzung keine Vortat zu begründen.

Berechtigter im Sinne der Vorschrift ist, wer über die Daten verfügen darf, im Regelfall derjenige, der die Daten gesammelt und abgespeichert hat oder auf dessen Veranlassung die Speicherung erfolgt ist. Eigentum oder Besitz spielen dabei keine Rolle. Datenschutzrechtlich Betroffener kann auch eine andere Person sein, wenn die Daten Einzelangaben über seine persönlichen oder sachlichen Verhältnisse enthalten.[11]

c. Tathandlungen: Verschaffen, Überlassen, Verbreiten und Zugänglichmachen

§ 202d Abs. 1 StGB nennt vier zentrale Formen des Umgangs mit rechtswidrig erlangten Daten:

• Sich oder einem anderen Verschaffen,
• Überlassen,
• Verbreiten sowie
• sonstiges Zugänglichmachen.

Tatbestandshandlung ist das „Sich- (oder einem anderen) Verschaffen“, „Überlassen“, „Verbreiten“ oder „sonst zugänglich machen“. Die Regelung folgt damit dem § 202c Abs. 1 StGB. Auf die dort zu findende Variante des „Verkaufens“ ist bewusst verzichtet worden. Der Gesetzgeber hat sich in dem Gesetzesentwurf somit darauf festgelegt, dass der Täter durch die Tathandlung die tatsächliche Verfügungsgewalt erlangen muss; unabhängig von dem Abschluss eines Kaufvertrags.[12]

Es ist ein einverständliches Zusammenwirken zwischen Täter und Vortäter erforderlich. Die vom Vortäter geschaffene Möglichkeit, Zugriff auf die Daten nehmen zu können, muss vom Täter im Einvernehmen mit dem Vortäter genutzt werden.[13]

Hat der Täter zwar Kenntnis von der Vortat, nutzt aber den Vortäter nicht als Quelle, scheidet eine Strafbarkeit wegen Datenhehlerei aus. Damit ist nicht ausreichend, dass der Täter nur mit einem anderen zusammenwirkt, der die Daten nicht durch eine eigene rechtswidrige Tat, sondern nur infolge der rechtswidrigen Tat eines Dritten erlangt hat.[14] Täter und Vortäter müssen keinen unmittelbaren Kontakt haben. Die Strafbarkeit scheitert nicht schon wegen des Einsatzes von Mittelmännern.[15]

2. Subjektiver Tatbestand: Vorsatz sowie Bereicherungs- oder Schädigungsabsicht

Im Hinblick auf das Tatobjekt und die rechtswidrige Vortat ist gem. § 15 StGB Vorsatz erforderlich. Hierbei genügt Eventualvorsatz.

Der Täter muss den Umstand in seinen Vorsatz aufnehmen, dass die Daten nicht öffentlich zugänglich sind und aus einer rechtswidrigen Vortat stammen. Die konkrete Umsetzung der Vortat muss er nicht im Einzelnen kennen. Nicht ausreichend ist jedoch die bloße Möglichkeit oder das bloße Nichtausschließenkönnen einer rechtswidrigen Beschaffung. Eine nähere Kenntnis von Ort und Zeit der Tatbegehung, der Person des Vortäters oder der konkreten Art und Weise des Vorgehens ist dagegen nicht erforderlich. Bei nachträglich erlangter Kenntnis des Datenhehlers von der illegalen Herkunft der Daten kommt es auf seine Reaktion an: Eine Strafbarkeit besteht nur dann, wenn nach Erlangung der Kenntnis tatbestandliche Handlungen vorgenommen werden.[16]

Weiterhin muss der Täter in der Absicht handeln, sich oder einen Dritten zu bereichern oder einen anderen zu schädigen. Bereicherungsabsicht ist gegeben, wenn es dem Täter darauf ankommt durch die Tat einen Vermögensvorteil zu erlangen. Schädigungsabsicht liegt vor, sofern das Handeln des Täters darauf gerichtet ist, einer anderen Person einen Nachteil zuzufügen. Dieser kann auch immaterieller Natur sein, wie etwa Datenhandel im Internet zum Zweck öffentlicher Bloßstellung oder politischer Agitation.[17]

II. Strafrahmen nach § 202d Abs. 2 StGB

Gemäß § 202d Abs. 2 StGB wird der Strafrahmen der Datenhehlerei durch denjenigen der Vortat begrenzt. Der Gesetzesentwurf der Bundesregierung begründet das damit, dass die Rechtsgutsverletzung der Hehlerei nicht schwerer wiegen als die der Vortat und infolgedessen auch nicht schwerer bestraft werden sollte.[18]

III. Ausnahmen nach § 202d Abs. 3 StGB

§ 202d Abs. 3 StGB sieht für Handlungen, die ausschließlich der Erfüllung rechtmäßiger dienstlicher oder beruflicher Pflichten dienen, einen Tatbestandsausschluss vor. Privilegiert werden insbesondere Handlungen von Amtsträgern (§ 11 Abs. 1 Nr. 2 StGB). Aber auch behördenexterne Personen können aufgrund eines privatrechtlichen Auftrages von einem Amtsträger beauftragt werden. Zu einer dienstlichen Pflicht gehört etwa die Verpflichtung zu Einleitung eines Ermittlungsverfahrens im Falle des Anfangsverdachts einer Straftat durch die Staatsanwaltschaft (§ 152 Abs. 2 StPO) und Polizeibehörden (§ 163 Abs. 1 StPO).[19] Die Handlung darf nur ausschließlich der rechtmäßigen Pflichterfüllung dienen.[20]

Durch die Tatbestandsausschlussregelung soll sichergestellt werden, dass Daten zum Zwecke von Ermittlungen und für journalistische Tätigkeiten verwendet werden dürfen.[21]

Die berufliche Pflicht umfasst insbesondere journalistische Tätigkeiten in Vorbereitung einer konkreten Veröffentlichung. Das in § 202d Abs. 3 StGB enthaltene Ausschließlichkeitskriterium darf dabei nicht in dem Sinne verengt werden, dass jegliches Motivbündel den Tatbestandsausschluss entfallen lässt. Entscheidend ist vielmehr ein objektiv-funktionaler Zusammenhang zwischen der Verwendung der Daten und der journalistischen Aufgabenerfüllung.[22] § 202d Abs. 3 S. 2 Nr. 2 StGB erfasst darüber hinaus bestimmte berufliche Handlungen der in § 53 Abs. 1 S. 1 Nr. 5 StPO genannten Personen. Auch die freie Entscheidung eines Journalisten, im Rahmen seiner beruflichen Tätigkeit über eine Sache zu berichten, wird grundsätzlich erfasst.[23] Zu den in § 53 Abs. 1 S. 1 Nr. 5 StPO genannten Personen gehört, wer bei der Vorbereitung, Herstellung oder Verbreitung von Druckwerken, Rundfunksendungen, Filmberichten oder der Unterrichtung oder Meinungsbildung dienenden Informations- und Kommunikationsdiensten berufsmäßig mitwirkt oder mitgewirkt hat.[24]

Dem entgegen merkt Weidemann zutreffend an, dass es „unklar und sehr zweifelhaft“ sei, ob allein durch die Bezugnahme auf § 53 StPO neue Betätigungsfelder zur Meinungsbildung wie beispielsweise Blogger, Podcaster und Whistleblower-Plattformen mit einem etwaigen redaktionellen Bezug vom Tatbestandsausschluss erfasst sind oder an dieser Stelle nicht vielmehr eine nicht unerhebliche Beschränkung der Pressefreiheit zu befürchten ist.[25]

D. Kritik und verfassungsrechtliche Einordnung des § 202d StGB

Der Tatbestand der Datenhehlerei nach § 202d StGB hat seit seinem Inkrafttreten Ende 2015 für viel Wirbel gesorgt. Bereits seit Bekanntwerden des Gesetzesvorhabens musste sich der Gesetzgeber mit erheblicher Kritik an der Vorschrift auseinandersetzen.

Kritiker befürchten durch die neue Regelung eine Bedrohung der grundrechtlich geschützten Presse- und Wissenschaftsfreiheit (Art. 5 Abs. 1 S. 2 GG).[26]

Daneben wird die „geschaffene Rechtsunsicherheit“ bemängelt.[27] Blogger, Nutzer sozialer Netzwerke und Whistleblower sowie Personen, die im IT-Bereich tätig sind, fühlen sich durch den Straftatbestand in ihrer Tätigkeit eingeschränkt.[28] Auch wird die Bezugnahme auf den Ankauf von „Steuer-CDs“ kritisiert. Der Gesetzgeber hat hier möglicherweise nur gehandelt, um eben jenes Verhalten eindeutig straffrei zu stellen. Kargl sieht hierin eine „kaum verhohlenen Absicht, einen Privilegierungstatbestand zu schaffen.“[29]

Gegen die Vorschrift des § 202d StGB, die durch das Gesetz zur Einführung einer Speicherpflicht und einer Höchstspeicherfrist für Verkehrsdaten aus dem Jahr 2015 geschaffen wurde, wurde Verfassungsbeschwerde eingelegt. Beschwerdeführer war ein Verbund aus Journalisten, Freiheitsorganisationen und Juristen.[30] Gerügt wurde insbesondere eine Verletzung der Presse- und Rundfunkfreiheit. Die Beschwerdeführer machten geltend, dass der Umgang mit Daten unbekannter oder unklarer Herkunft Strafbarkeitsrisiken und eine abschreckende Wirkung auf journalistische Recherchen entfalten könne.[31]

Die Datenhehlerei vor dem Bundesverfassungsgericht

Das Bundesverfassungsgericht hat über diese Verfassungsbeschwerde mit Beschluss vom 30. März 2022 – 1 BvR 2821/16 entschieden und sie nicht zur Entscheidung angenommen.[32]

Für die journalistische Praxis ist die Begründung dennoch bedeutsam. Das Bundesverfassungsgericht stellte unter anderem heraus, dass es bei typischen Whistleblower-Konstellationen bereits an einer tauglichen rechtswidrigen Vortat im Sinne des § 202d Abs. 1 StGB fehlen kann, wenn der Informant zuvor berechtigt auf die betreffenden Daten zugreifen konnte. Außerdem äußerte das Gericht erhebliche Zweifel daran, dass bei journalistischen Tätigkeiten regelmäßig der erforderliche subjektive Tatbestand erfüllt ist.

Besondere Bedeutung misst das Gericht zudem dem Tatbestandsausschluss des § 202d Abs. 3 StGB bei. Dessen Zweck besteht nach der Gesetzesbegründung darin, journalistische Tätigkeiten umfassend zu schützen. Erforderlich ist ein objektiv funktionaler Zusammenhang zwischen dem Umgang mit den Daten und der journalistischen Aufgabenerfüllung.

Ein hinreichendes Risiko, dass sich Journalisten bei typischen investigativen Tätigkeiten nach § 202d StGB strafbar machen, sah das Bundesverfassungsgericht auf Grundlage des damaligen Vorbringens nicht. Dementsprechend konnte es auch eine den Beschwerdeführern zurechenbare abschreckende Wirkung durch drohende Ermittlungsmaßnahmen nicht feststellen.

Die Entscheidung nimmt damit einen wesentlichen Teil der bei Einführung des § 202d StGB geäußerten verfassungsrechtlichen Bedenken auf. Für die Praxis bleiben gleichwohl die Auslegung der einzelnen Tatbestandsmerkmale und insbesondere die Abgrenzung zwischen strafbarem Datenhandel und rechtmäßiger beruflicher oder journalistischer Verwendung von Daten von Bedeutung.

E. Häufige Fragen zur Datenhehlerei nach § 202d StGB

Was ist Datenhehlerei?

Unter Datenhehlerei versteht § 202d StGB insbesondere das Verschaffen, Überlassen, Verbreiten oder sonstige Zugänglichmachen nicht allgemein zugänglicher Daten, die zuvor durch eine rechtswidrige Tat erlangt wurden. Zusätzlich muss der Täter mit Bereicherungs- oder Schädigungsabsicht handeln.

Welche Strafe droht bei Datenhehlerei?

§ 202d Abs. 1 StGB sieht eine Freiheitsstrafe bis zu drei Jahren oder Geldstrafe vor. Nach § 202d Abs. 2 StGB darf die Strafe allerdings nicht schwerer sein als die für die zugrunde liegende Vortat angedrohte Strafe.

Welche Straftaten können Vortaten der Datenhehlerei sein?

Als Vortaten kommen insbesondere das Ausspähen oder Abfangen von Daten nach §§ 202a, 202b StGB in Betracht. Je nach Fallgestaltung können jedoch auch andere rechtswidrige Taten relevant sein, durch die Daten erlangt wurden.

Sind Journalisten wegen Datenhehlerei strafbar?

§ 202d Abs. 3 StGB enthält einen ausdrücklichen Tatbestandsausschluss für bestimmte Handlungen, die ausschließlich der Erfüllung rechtmäßiger dienstlicher oder beruflicher Pflichten dienen. Dazu zählen insbesondere bestimmte journalistische Tätigkeiten. Das Bundesverfassungsgericht hat die Bedeutung dieses Schutzes in seinem Beschluss vom 30. März 2022 hervorgehoben.