Widerrechtlicher Zugriff auf ein Computersystem nach § 118a StGB

§ 118a StGB setzt zunächst ein Computersystem voraus, über das die zugreifende Person nicht oder nicht allein verfügen darf. Erfasst ist auch ein Teil eines solchen Systems. Entscheidend ist deshalb, wem die Verfügungsmacht zusteht und welche Nutzung im konkreten Zeitpunkt erlaubt war.

Der Zugang muss durch das Überwinden einer spezifischen Sicherheitsvorkehrung erfolgen. Eine solche Prüfung fragt etwa, welche technische oder organisatorische Zugangssperre eingerichtet war, wie sie geschützt wurde und wodurch der Zugriff trotz dieser Sperre möglich wurde. Die bloße Verwendung eines fremden Benutzernamens oder Passworts beantwortet diese Frage für sich allein noch nicht.

Zusätzlich verlangt die Bestimmung eine besondere Absicht. Die Person muss sich selbst oder einem anderen Unbefugten Zugang verschaffen wollen. Die Absicht muss sich auf den Zugang beziehen und mit einem der gesetzlich beschriebenen Zwecke verbunden sein. Eine bloße technische Neugier genügt nach dem Gesetzeswortlaut nicht automatisch.

Die erste gesetzliche Variante betrifft personenbezogene Daten. Die zugreifende Person muss sich oder einem anderen Unbefugten Kenntnis von Daten verschaffen wollen, deren Kenntnis schutzwürdige Geheimhaltungsinteressen der betroffenen Person verletzt. Für die Beurteilung zählen daher Inhalt, Zuordnung und Schutzbedürftigkeit der Daten.

Die zweite Variante knüpft an einen Nachteil an. Strafbar kann der Zugang sein, wenn die Person einem anderen durch die Verwendung von im System gespeicherten und nicht für sie bestimmten Daten oder durch die Verwendung des Computersystems einen Nachteil zufügen will. Hier sind die Daten, die vorgesehene Nutzung und der beabsichtigte Nachteil voneinander zu unterscheiden.

Die Absicht wird aus den Umständen des Zugangs und der weiteren Nutzung abgeleitet. Technische Spuren können dabei eine Rolle spielen. Eine automatische Schlussfolgerung aus einem Login, einer IP-Adresse oder einem einzelnen Protokolleintrag ersetzt die Prüfung der gesamten Berechtigung und des Vorsatzes nicht.

§ 118a StGB beschreibt den widerrechtlichen Zugriff als eigenen Tatbestand. Im Mittelpunkt steht der Zugang zu einem fremden Computersystem durch das Überwinden einer spezifischen Sicherheitsvorkehrung. Der Beitrag Cybercrime in Österreich gibt einen breiteren Überblick über weitere Computerstraftaten.

Bei der Datenbeschädigung nach § 126a StGB geht es um das Verändern, Löschen oder Unbrauchbarmachen fremder Daten. § 126b StGB betrifft die schwere Störung der Funktionsfähigkeit eines Computersystems. Diese Tatbestände können mit einem Zugriff zusammentreffen, setzen aber einen anderen Schwerpunkt.

Der Computerbetrug nach § 148a StGB verlangt einen manipulierten Datenverarbeitungsvorgang und einen Vermögensschaden mit Bereicherungsvorsatz. Bei der Datenfälschung nach § 225a StGB steht die Herstellung falscher Daten mit dem Vorsatz der Verwendung im Rechtsverkehr im Vordergrund. Dazu finden Sie weitere Informationen im Beitrag Datenfälschung nach § 225a StGB.

Für die Grundform nach § 118a Abs. 1 StGB sieht das Gesetz eine Freiheitsstrafe bis zu zwei Jahren vor. Die konkrete Rechtsfolge hängt von den Umständen der Tat, der Schuld und den weiteren gesetzlichen Vorgaben ab. Aus dem gesetzlichen Höchstmaß folgt daher keine Aussage über die Strafe im Einzelfall.

Bezieht sich die Tat auf ein Computersystem, das ein wesentlicher Bestandteil der kritischen Infrastruktur nach § 74 Abs. 1 Z 11 StGB ist, reicht die Strafdrohung nach § 118a Abs. 2 StGB bis zu drei Jahren Freiheitsstrafe. Dafür muss die besondere Eigenschaft des Systems festgestellt werden.

Eine weitere Verschärfung sieht § 118a Abs. 4 StGB für die Begehung im Rahmen einer kriminellen Vereinigung vor. Die Einordnung hängt dann zusätzlich davon ab, welche Grundform und welche Infrastruktur betroffen sind. Dieser Umstand darf nicht aus einer bloßen Zusammenarbeit mehrerer Personen abgeleitet werden, sondern braucht eine eigenständige Prüfung.

Nach § 118a Abs. 3 StGB wird die Tat nur mit Ermächtigung des Verletzten verfolgt. Die Rolle der verletzten Person und die Frage, wer über das geschützte System oder die betroffenen Daten verfügt, müssen daher früh geklärt werden. Bei einem Unternehmen können dafür interne Zuständigkeiten und die konkrete Systemverantwortung relevant sein.

Die Ermächtigung ersetzt die Prüfung des Tatbestands nicht. Auch bei einer Erklärung des Verletzten bleiben der widerrechtliche Zugang, die spezifische Sicherheitsvorkehrung, die fehlende Berechtigung und die gesetzlich verlangte Absicht nachzuweisen. Umgekehrt ist ein technischer Zugriff allein keine ausreichende Grundlage, wenn die erforderliche Ermächtigung nicht vorliegt.

Wer von einem möglichen Zugriff betroffen ist, sollte den Ablauf der Entdeckung, die betroffenen Systeme und vorhandene Protokolle sichern. Beschuldigte sollten vor einer Einlassung prüfen lassen, welche Daten und technischen Auswertungen in der Akte tatsächlich enthalten sind.

Die Beweisfrage besteht aus mehreren Teilen. Zu klären sind die Architektur des Systems, die vorhandenen Zugangssicherungen, die Berechtigungen der betroffenen Person, der konkrete Zugriffsvorgang und die Nutzung danach. Erst aus dieser Verbindung ergibt sich, ob die gesetzlichen Merkmale erfüllt sein können.

Für die technische Rekonstruktion kommen etwa Authentifizierungsprotokolle, Zeitstempel, Zugriffslogs, Konfigurationsstände, Berechtigungslisten und Hinweise auf verwendete Geräte in Betracht. Die Aussagekraft hängt davon ab, wie die Daten erzeugt, gespeichert und ausgewertet wurden. Zeitstempel oder IP-Adressen ordnen einen Vorgang nicht ohne weitere Prüfung einer bestimmten Person zu.

Bei der rechtlichen Bewertung ist außerdem die Erklärung zur Berechtigung wichtig. Eine frühere Zugriffsberechtigung, ein administrativer Auftrag, ein Testbetrieb oder eine gemeinsame Nutzung können die entscheidende Frage verändern. Maßgeblich bleibt die konkrete Befugnis im Zeitpunkt des Zugangs und der Zweck der Handlung.