DFN-Infobrief vom Februar 2007

DFN
11
bereich der Vorschrift ausgeschieden werden, bei denen die Durchbrechung des
Schutzes ohne erheblichen zeitlichen und technischen Aufwand möglich ist.
Bei Anwendung dieser Grundsätze wird eine Strafbarkeit nach § 202a StGB-E bei
einem Angriff über das Internet erst dann anzunehmen sein, wenn der entsprechende
Rechner durch eine Firewall gesichert ist; ein vollkommen ungeschützter
Rechner verfügt hingegen nicht über eine besondere Zugangssicherung.
Nicht erforderlich ist es jedoch, dass sämtliche Ports gesichert sind. Auch bei einer
unzureichenden Sicherung bedarf es eines gewissen zeitlichen Aufwandes, um
den Zugriff auf das System zu erlangen. Bei der so genannten URL-Manipulation,
bei der durch geschickte Veränderung der URL ein Zugriff auf nicht für die Öffentlichkeit
bestimmte Seiten möglicht ist, scheidet eine Strafbarkeit wegen Ausspähens
von Daten hingegen aus. Derartige Manipulationen bedürfen keines
größeren Aufwandes und sind im Ergebnis auf fehlerhafte Programmierung
zurückzuführen. Straflos bleibt auch das Port-Scanning, bei dem der Angreifer die
Ein- und Ausgänge eines Computers abtastet, um offene Zugänge auf dem
Zielrechner aufzuspüren. Gleiches gilt für die so genannten Ping-Scans, bei denen
festgestellt wird, ob der Inhaber einer bestimmten IP-Adresse zu einem
bestimmten Zeitpunkt online ist. Die Daten, die sich der Täter bei den genannten
Tätigkeiten verschafft, sind keine besonders gesicherten Daten. Sie befinden sich
außerhalb des durch die besondere Zugangssicherung geschützten Systems. Die
Systempenetration im Auftrag des Berechtigten bleibt ebenfalls weiterhin straflos.
Nur das unbefugte Zugangverschaffen wird von der Norm erfasst.
Die Neufassung der Vorschrift wird also im Ergebnis kaum zu Änderungen der
Rechtslage führen. Allerdings ist in Zukunft schon das Eindringen in ein fremdes
System ohne Kenntnisnahme der geschützten Daten strafbewehrt. Dies kann
unerwünschte Folgen haben. Von privaten Nutzern aufgedeckte Sicherheitslücken
werden in Zukunft in geringerem Maße in die Öffentlichkeit getragen werden, da
jederzeit mit einer Anzeige des Systeminhabers zu rechnen ist. Ein solches Strafverfolgungsinteresse
der Unternehmen besteht auch in der Regel, da so die für
die Systeminhaber unerwünschte öffentliche Diskussion der Sicherheitslücken