Hacking

Begriff und Bedeutung von Hacking

Der Begriff Hacking beschreibt im rechtlichen Kontext das unbefugte Eindringen in informationstechnische Systeme oder das Umgehen von Sicherheitsmaßnahmen, um Zugriff auf Daten, Netzwerke oder Systeme zu erlangen. Im populären Sprachgebrauch umfasst Hacking sowohl unerlaubte als auch erlaubte Aktivitäten im Zusammenhang mit Computern und digitalen Netzwerken. Rechtlich ist jedoch insbesondere die unautorisierte Datenbeschaffung und Datenveränderung von Bedeutung, die je nach Ausgestaltung gesetzlich unter Strafe gestellt ist.

Definition und Abgrenzung

Hacking ist nicht eindeutig gesetzlich definiert, wird aber überwiegend mit dem sogenannten „Computer-Hacking“ gleichgesetzt. Dabei handelt es sich überwiegend um den Versuch oder die tatsächliche Durchführung des Zugriffs auf ein Computersystem, ohne dass dafür eine Berechtigung vorliegt. Wesentliches Merkmal ist das Ausnutzen von Sicherheitslücken oder Schwachstellen in Hard- oder Software.

Abgrenzung zu verwandten Begriffen

• Cracking: Bewusste Überwindung von Kopierschutzmechanismen oder Verschlüsselungen.
• Phishing, Social Engineering: Hacking umfasst regelmäßig auch diese Methoden, die auf Manipulation von Personen oder Systemen abzielen.

Im rechtlichen Sinn grenzen sich die Begriffe je nach Sachverhalt und Tatbestand voneinander ab.

Rechtlicher Rahmen des Hacking

Strafrechtliche Bewertung

Das Hacking findet in zahlreichen Vorschriften des Strafgesetzbuches (StGB) sowie in speziellen Gesetzen zum Schutz der IT-Sicherheit Berücksichtigung.

§ 202a StGB – Ausspähen von Daten

Diese Vorschrift stellt das Ausspähen von insbesondere nicht allgemein zugänglichen Daten durch unbefugten Zugang unter Strafe. Geschützt werden sowohl gespeicherte als auch übermittelte Daten, deren Schutz durch besondere Sicherheitsvorkehrungen erkennbar ist.

§ 202b StGB – Abfangen von Daten

Das Abfangen von Daten, etwa durch das Auslesen über eine ungesicherte Netzwerkverbindung (sog. „Sniffen“), ist ebenfalls strafbar. Hierbei werden Daten während der Übertragung zwischen Sender und Empfänger abgegriffen.

§ 202c StGB – Vorbereiten des Ausspähens und Abfangens von Daten

Sogar die Vorbereitungshandlungen, wie das Verschaffen oder Herstellen spezieller Hacking-Software oder Hardware, werden strafrechtlich verfolgt.

§ 303a StGB – Datenveränderung

Die Vorschrift verbietet jede unbefugte Veränderung, Löschung oder Unterdrückung von Daten.

§ 303b StGB – Computersabotage

Hierunter fallen Schäden an Datenverarbeitungsvorgängen, insbesondere die gezielte Störung durch Viren, Trojaner oder andere Schadsoftware.

Weitere einschlägige Gesetze

• Telekommunikationsgesetz (TKG): Hier bestehen Schutzvorschriften gegen das unbefugte Eindringen in Telekommunikationsnetze.
• Bundesdatenschutzgesetz (BDSG) und Datenschutzgrundverordnung (DSGVO): Hacking führt regelmäßig zu unzulässiger Verarbeitung personenbezogener Daten, was zu Schadensersatzpflichten führen kann.

Rechtsfolgen von Hacking

Strafrechtliche Sanktionen

Über die genannten Straftatbestände können Geld- oder Freiheitsstrafen verhängt werden. Das Strafmaß richtet sich nach der Schwere der Tat, dem erlangten Nutzen und der verursachten Schäden.

Zivilrechtliche Folgen

Anspruchsgrundlagen für die Geschädigten sind insbesondere Unterlassungs- und Schadensersatzansprüche. Die Haftung kann sich aus Deliktsrecht (§§ 823 ff. BGB) ergeben, aber auch aus Spezialgesetzen wie dem Urheberrechtsgesetz bei Software-Hacking.

Arbeitsrechtliche Konsequenzen

Ein Hacking durch einen Mitarbeiter kann zu einer fristlosen Kündigung führen und Schadensersatzansprüche gegenüber dem Arbeitgeber begründen.

Sonderfall: „Ethical Hacking“ und Penetrationstests

Begriff und Abgrenzung

Ethical Hacking oder Penetrationstests sind gezielte, im Auftrag und mit Einwilligung des Rechteinhabers durchgeführte Sicherheitsüberprüfungen eines Systems. Rechtlich handelt es sich hierbei nicht um eine unerlaubte Handlung, da eine entsprechende Befugnis zur Durchführung besteht.

Risiko und Haftung

Unternehmen, die Penetrationstests beauftragen, müssen den Umfang der Erlaubnis klar regeln, um Missverständnisse und rechtliche Risiken für alle Beteiligten zu vermeiden. Ohne eindeutige Zustimmung und vertragliche Fixierung sind diese Handlungen rechtlich riskant.

Hacking im internationalen Kontext

Internationales Strafrecht

Viele Staaten haben eigene Vorschriften zum Schutz vor Hacking entwickelt. Die Budapester Konvention (Übereinkommen über Computerkriminalität) vereinheitlicht die strafrechtliche Verfolgung, Kooperation und Strafandrohungen im europäischen Geltungsbereich.

grenzüberschreitende Ermittlungen

Internationale Zusammenarbeit ist bei der Strafverfolgung von Hacking-Fällen oft unverzichtbar. Die Zuständigkeitsfrage richtet sich primär danach, wo der Schaden eintritt oder von wo aus die Tat begangen wird.

Schutzmaßnahmen und Prävention

Technische und organisatorische Maßnahmen

Das IT-Sicherheitsgesetz und die DSGVO verpflichten Unternehmen zum Schutz von IT-Systemen. Verstöße gegen die erforderlichen Maßnahmen können zudem eine Mithaftung im Falle von erfolgreichen Angriffen nach sich ziehen.

Bedeutung der Aufklärung und Sensibilisierung

Auch die Schulung von Mitarbeitern sowie die Einhaltung von IT-Sicherheitsrichtlinien stellen wichtige Präventionsmaßnahmen gegen Hacking dar.

Zusammenfassung

Der rechtliche Rahmen von Hacking ist umfangreich und komplex. Das unbefugte Eindringen oder Manipulieren von Daten und IT-Systemen ist vielfach strafbar und kann weitreichende zivilrechtliche wie arbeitsrechtliche Konsequenzen nach sich ziehen. Zugleich existieren Bereiche, in denen Hacking im Rahmen klarer Vorgaben (z. B. Penetrationstests mit Einwilligung) rechtlich zulässig ist. Unternehmen und Privatpersonen sind gehalten, sich mit technischen, organisatorischen und rechtlichen Schutzmaßnahmen gegen Attacken abzusichern und präventiv vorzugehen. Internationale Abkommen und Gesetze sorgen dafür, dass Hacking auch grenzüberschreitend effektiv verfolgt werden kann.

Häufig gestellte Fragen

Welche rechtlichen Konsequenzen drohen bei unautorisiertem Hacking?

Unerlaubtes Eindringen in fremde IT-Systeme, wie es beim Hacking ohne Erlaubnis des Berechtigten häufig der Fall ist, stellt in Deutschland gemäß § 202a StGB (Ausspähen von Daten) sowie § 202b StGB (Abfangen von Daten) eine Straftat dar. Wird dabei insbesondere gegen Sicherheitsmaßnahmen verstoßen, drohen Freiheitsstrafen von bis zu drei Jahren oder Geldstrafen. Zusätzlich sind ergänzende Strafbestände wie Datenveränderung (§ 303a StGB) oder Computersabotage (§ 303b StGB) einschlägig, mit nochmals höheren Strafandrohungen von bis zu zehn Jahren bei schweren Fällen. Neben strafrechtlichen Sanktionen drohen auch zivilrechtliche Folgen, etwa Schadensersatzforderungen oder Unterlassungsansprüche des Geschädigten. Die Einleitung eines Ermittlungsverfahrens kann eine vorübergehende Beschlagnahmung von IT-Geräten, Hausdurchsuchungen sowie die Aufnahme in polizeiliche Register nach sich ziehen.

Ist sogenanntes „Ethical Hacking“ ohne ausdrückliche Genehmigung zulässig?

Ethical Hacking ist rechtlich nur dann zulässig, wenn eine ausdrückliche und möglichst schriftliche Erlaubnis des Systeminhabers vorliegt, etwa im Rahmen eines Auftrages oder eines Bug-Bounty-Programms. Ohne nachweisbare Legitimation erfüllt das Durchführen von Penetrationstests oder Schwachstellenanalysen den Tatbestand des unbefugten Zugriffs und ist somit strafbar, unabhängig von der Absicht, Schaden zu verursachen oder nicht. Auch gut gemeinte Hinweise auf Schwachstellen aus eigenständiger Recherche können juristisch als Angriff gewertet werden. Die rechtssichere Durchführung erfordert stets eine klare Abgrenzung von Zuständigkeiten und Verantwortlichkeiten im Vorfeld.

Ist das Nutzen von Hacking-Tools strafbar?

Der Besitz, die Herstellung und die Verbreitung von Software, die ausschließlich zum Ausspähen oder Abfangen von Daten konzipiert ist, ist nach § 202c StGB (Vorbereiten des Ausspähens und Abfangens von Daten) strafbar. Darunter fallen typische Hacking-Tools wie Keylogger, Passwort-Cracker oder Programme, die Firewalls und andere Sicherheitsmaßnahmen umgehen. Strafandrohung reicht bis zu zwei Jahren Freiheitsstrafe oder Geldstrafe. Eine Ausnahme besteht lediglich, wenn die Nutzung eindeutig legitimen, beispielsweise forensischen, Zwecken dient und dies belegbar ist, etwa durch einen Arbeitsauftrag oder Vertrag mit dem Systembetreiber.

Welche Rolle spielt die Einwilligung des Betroffenen?

Die Einwilligung des Berechtigten ist eine zentrale Voraussetzung, um Hacking-Aktivitäten aus dem strafbaren Bereich herauszunehmen. Diese muss im Idealfall vor Beginn der Maßnahmen klar, konkret und nachweisbar erfolgen. Ohne Einwilligung handelt es sich grundsätzlich um „unerlaubtes Handeln“, selbst wenn kein Schaden entsteht oder Schadensabsicht besteht. Die rechtliche Wirksamkeit der Einwilligung bemisst sich insbesondere daran, ob der Einwilligende tatsächlich über die erforderlichen Verfügungsrechte am System verfügt.

Können Unternehmen bei Cyberangriffen gegen die Täter vorgehen?

Unternehmen können sowohl zivil- als auch strafrechtlich gegen Hacker vorgehen. Strafrechtlich initiieren sie meist eine Anzeige bei der zuständigen Ermittlungsbehörde, die dann das Verfahren übernimmt. Zivilrechtlich können Unternehmen Schadensersatz einfordern sowie auf Unterlassung klagen, falls die Gefahr weiterer Angriffe besteht. Darüber hinaus können auch arbeitsrechtliche Konsequenzen für eigene Mitarbeiter folgen, sollten diese an unautorisierten Angriffen beteiligt sein. Die strafprozessuale Sicherstellung von Beweismaterial und internationale Rechtshilfe spielen im Unternehmenskontext eine wichtige Rolle, insbesondere bei grenzüberschreitender Cyberkriminalität.

Gibt es Ausnahmen für Wissenschaft und Lehre beim Umgang mit Hacking-Methoden?

Für Wissenschaft und Forschung gelten grundsätzlich dieselben rechtlichen Beschränkungen wie für andere Bereiche, das heißt auch wissenschaftliche Tätigkeiten unterliegen dem Strafgesetzbuch. Jednak ist die Forschung an und die Entwicklung von Sicherheitstechnologien grundsätzlich erlaubt, wenn dies in klar abgegrenzten, gesicherten Testumgebungen (Labornetzwerken) geschieht und keine fremden Systeme beeinträchtigt werden. Werden Forschungsergebnisse veröffentlicht oder Hacking-Tools weitergegeben, kann dies jedoch zu strafrechtlichen Folgen führen, falls ein Missbrauch durch Dritte möglich erscheint. Die Arbeit sollte immer transparent dokumentiert und idealerweise von juristischer Seite begleitet werden.

Sind Hackerangriffe aus dem Ausland in Deutschland verfolgbar?

Auch Angriffe, die vom Ausland auf in Deutschland befindliche Systeme ausgehen, sind nach deutschem Recht verfolgbar, sofern ein „inländischer Erfolgsort“ vorliegt, das heißt, der Angriff in Deutschland Wirkung entfaltet (§ 3 StGB; sog. Ubiquitätsprinzip). Die tatsächliche Strafverfolgung ist von internationalen Abkommen, bestehender Rechtshilfe und der Bereitschaft ausländischer Behörden abhängig. In der Praxis erweist sich die Strafverfolgung grenzüberschreitender Cyberdelikte jedoch oft als schwierig, da Täter Identitäten verschleiern und sich in „sicheren Drittstaaten“ aufhalten können. Trotzdem werden internationale Kooperationen stetig ausgebaut, um diesen Herausforderungen zu begegnen.