Strafrecht in der digitalen Welt

Transkript

1 Dr. Wolfgang Bär Richter am Oberlandesgericht OBERLANDESGERICHT BAMBERG Wilhelmsplatz Bamberg Tel bzw (GSt) Fax Mob wolfgang.baer@olg-ba.bayern.de Herbsttagung Tatort Internet eine globale Herausforderung für die Innere Sicherheit " des Bundeskriminalamtes in Wiesbaden vom Strafrecht in der digitalen Welt

2 1. Einleitung Seit dem Einzug der Personalcomputer in allen Bereichen der Wirtschaft und des Privatlebens sowie der ständig weiter zunehmenden Vernetzung der EDV-Anlagen mit der rasanten Ausbreitung des Internets bestimmen schon heute die Informationstechnologien und das Internet unsere Arbeitsabläufe und Arbeitsweisen. Die mit diesen neuen Techniken verbundene Digitalisierung aller Tätigkeiten birgt aber auch vielfältige neue Gefahren und Risiken in sich und eröffnet Straftätern neuartige Missbrauchsmöglichkeiten, wenn Computerdaten und systeme in qualitativ und quantitativ stark zunehmender Weise zu Tatmittel oder Tatobjekt werden. Es ist deshalb heute möglich, gesamte Bereiche der Wirtschaft lahm zu legen und vor allem auch hohe Schäden anzurichten. Zwei interessante Anmerkungen am Rande: So gibt es zum einen unter im Internet inzwischen einen Online-Dienst, um peinliche Spuren im Internet zu verwischen, 1 zum anderen wird über die Zeitschrift PC-Magazin inzwischen schon eine Anti-Bundestrojaner-Software 2 angeboten. Im folgenden sollen wichtige neue strafrechtliche Problemstellungen dieser neuen digitalen Welt aufgegriffen werden, um aufzuzeigen, ob zum einen neue Begehungsformen durch das materielle Strafrecht erfasst werden und ob zum anderen die Strafverfolgungsbehörden mit ausreichenden Mitteln ausgestattet sind, um Straftaten mit den neuen Technologien aufzudecken und angemessen zu verfolgen. 2. Materielles Strafrecht Die rasante technische Entwicklung bei modernen IT-Systemen eröffnet den Straftätern immer neue Möglichkeiten für Straftaten. So haben sich in letzter Zeit etwa mit den Schlagwörtern Phishing, Pharming, Spamming, Portscanning, Wardriving oder DoS-Attacken zahlreiche neue Begehungsformen herausgebildet, deren Erfassung durch das geltende Strafrecht es im folgenden näher herauszuarbeiten gilt. Im materiellen Strafrecht hat der Gesetzgeber durch das 41. Strafrechtsänderungsgesetz vom eine Reihe von Straftatbeständen, die seit dem 2. WiKG von 1986 quasi den Kernbereich des Computerstrafrechts bildeten, novelliert und ergänzt. Dazu zählen neben dem elektronischen Hausfriedensbruch in 202a StGB vor allem die neuen Tatbestände des 202b und 202c StGB. Gleichzeitig werden die bisherigen Regelungen zur Datenveränderung ( 303a StGB) und Computersabotage ( 303b StGB) auch verschärft. Nicht gesondert geregelt wurden dagegen die sog. Phishing-Fälle, die inzwischen zu extrem hohen Schäden geführt haben. Zunehmend werden auch WLAN-Netze das Ziel von Angriffen, weshalb hier die Strafbarkeit solcher Vorgehensweisen näher zu untersuchen ist. In den Fokus der Strafverfolgungsbehörden sind in letzter Zeit auch Tauschbörsen geraten, über die mittels Filesharing massenhaft digitale Werke aller Art unter Verstoß gegen 106, 108a UrhG über das Internet heruntergeladen und angeboten werden. 1 2 Vgl. das Webangebot unter Vgl. CD zum Heft 11/2007 der Zeitschrift PC-Magazin. RiOLG Dr. Wolfgang Bär - Seite 2 -

3 a) Änderungen durch das 41. Strafrechtsänderungsgesetz 3 aa) Hacking ( 202a StGB) Nach der bisherigen Fassung des 202a StGB war eine Strafbarkeit durch das bloße Knacken eines Computersystems unter Überwindung von Sicherungseinrichtungen noch nicht eingetreten, weil sich der Täter zur Tatbestandsverwirklichung erst Daten verschafft haben musste. Damit galt bisher das Überwinden des Schlosses als straflos, das Öffnen der Tür aber nicht mehr. Nach der Neufassung genügt aber zur Vollendung bereits das Verschaffen des Zugangs zu den Daten. Damit erfasst der neue - nunmehr richtig als elektronischer Hausfriedensbruch bezeichnete - Tatbestand auch das bisher überwiegend als straflos angesehene reine Hacking. 202a StGB ist bereits bei einer konkreten Gefährdung der Vertraulichkeit von Daten erfüllt, wenn der Täter die Möglichkeit hat, auf Daten zuzugreifen, was durch die Zugangssicherung gerade verhindert werden soll. Damit ist hier eine aus Sicht der Praxis wünschenswerte Klarstellung erreicht, nachdem schon bisher das straflose Knacken des Schlosses und das spätere Öffnen der Tür nur sehr schwer voneinander abzugrenzen waren. Unklar bleibt aber weiterhin, wenn vom Täter verschlüsselte Daten heruntergeladen werden. Hier kann eine Strafbarkeit richtigerweise wohl erst dann ansetzen, wenn der Täter zumindest aktuell zur Entschlüsselung auch tatsächlich in der Lage ist. Mit dem zusätzlich als Klarstellung eingefügten und weit auszulegenden Tatbestandsmerkmal unter Überwindung der Zugangssicherung sollen Handlungen ausgegrenzt werden, bei denen besonders gesicherte Daten auf andere Weise erlangt werden. Damit kann aber eine Umgehung der Zugangssicherung etwa durch Trapdoor, Backdoor usw. gerade nicht ausgeschlossen werden. Erforderlich ist vielmehr, dass ein nicht unerheblicher zeitlicher oder technischer Aufwand nötig ist, um an die erstrebten Daten zu gelangen. Systematisch im Blick auf 202c StGB wenig nachvollziehbar erscheint aber hier die Lücke in der Ahndung durch eine fehlende Versuchsstrafbarkeit. Ein massenhaft vorgenommener virtueller Einbruchsversuch bleibt, gleichgültig ob aus Unfähigkeit des Täters oder im Blick auf die Qualität bzw. Suffizienz der Zugangssicherung begangen, straflos. Über 205 StGB kann die Tat nun nicht mehr nur bei einem Strafantrag, sondern auch dann, wenn die Staatsanwaltschaft ein besonderes öffentliches Interesse bejaht, verfolgt werden. bb) Abfangen von Daten ( 202b StGB) Nach der bisherigen Rechtslage war ein Zugriff auf Daten während der Übermittlungsphase (sog. Sniffing ) nur teilweise gewährleistet. Nur wenn Informationen z.b. s etwa durch Verschlüsselung besonders gesichert waren, bestand ein Schutz bereits über 202a StGB. Durch die schwer zu findende nebenstrafrechtliche Regelung der 148 Abs. 1 Nr. 1 i.v.m. 89 Satz 1 TKG ergab sich darüber hinaus eine Strafbarkeit beim Abhören von Funkanlagen. Davon erfasst waren neben dem herkömmlichen Funkverkehr insbesondere alle modernen Formen der kabellosen Datenübertragung über WLAN, die zwischen Client und Access-Point (Router) stattfinden. Durch den neuen 202b StGB wird nun ergänzend durch die 1. Alt. das unbefugte Sichverschaffen von nicht für den Täter bestimmten Daten aus einer nichtöffentlichen, also nicht für einen größeren Personenkreis gedachten Datenübermittlung oder in der 2. Alt. aus einer elektromagnetischen Abstrahlung einer DV-Anlage unter Anwendung technischer Mittel gleichgültig ob leitungsgebunden oder nicht - sanktioniert. Die Beschränkung der Tatbegehung auf den Einsatz durch technische Mittel hat praktisch keine Bedeutung, da ein Zugriff auf Informationen während der Übermittlungsphase anders nicht vorstellbar ist. Die Regelung ist aber subsidiär gegenüber den Bestimmungen des 202a 3 Vgl. näher zum 41. Strafrechtsänderungsgesetz die Darstellungen von Ernst, NJW 2007, 2661 ff.; Gröseling/Höfinger, MMR 2007, 549 ff und 626 ff; Cornelius, CR 2007, 682 sowie Schultz, MIR-Dok , abrufbar unter RiOLG Dr. Wolfgang Bär - Seite 3 -

4 StGB und 148 TKG, die als lex specialis durch die besondere Sicherung bzw. das besondere technische Mittel (Funkanlage) vorgehen. Damit richtet sich die Norm klar gegen jedes Abfangen von durch Sniffing oder auch Man-in-the-middle-Angriffe bei der Online- Kommunikation. Die Regelung bietet aber keinen Strafrechtsschutz gegen Phishing. cc) Strafbare Vorbereitung ( 202c StGB) Durch den völlig neuen Tatbestand des 202c StGB werden in der Form eines abstrakten Gefährdungsdelikts bestimmte besonders gefährliche Vorbereitungshandlungen zu Straftaten nach 202a und 202b StGB kriminalisiert. In erster Linie geht es um die Herstellung und den Verkauf von Hackertools, was aus eigentlichen Tathandlungen der Herstellung, des Verschaffens, des Überlassens, des Verbreitens oder des sonst zugänglich Machens deutlich wird. Dabei sind hier zwei sehr unterschiedliche Tatbestandsalternativen geregelt: Von 202c Nr. 1 StGB erfasst werden Passwörter oder sonstige Zugangscodes, die den Zugang zu Daten ermöglichen. Diese können zwar nicht hergestellt, wohl aber sich oder einem anderen verschafft, verkauft oder sonst zugänglich gemacht werden. Die Regelung gilt damit für das erfolgreiche Offline-Ausspähen von Passwörtern ebenso wie für die Weitergabe von Zugangskennungen an Dritte (z.b. durch Veröffentlichung auf einer Webseite), denn die Vorbereitung setzt - anders wie die eigentliche Haupttat - gerade keinen Einsatz technischer Mittel voraus. Nach dieser Bestimmung nicht strafbar sind aber etwa Hinweise im WWW über Sicherheitslücken in fremden Computersystemen. In 202c Nr. 2 StGB sanktioniert wird die Weitergabe sog. Hackertools, deren eigentliches Ziel die Begehung einer Straftat nach 202a, b oder 303a, b StGB ist. Die Regelung gilt nicht nur für professionelle Täter, die sich für gezielte Attacken gegen bestimmte Rechner eine spezielle eigene Software entwickeln und verbreiten, um diese im Einzelfall einzusetzen. Einbezogen sind vielmehr in erster Linie alle frei erhältlichen Hacker-Tools, die ohne große PC-Kenntnisse eingesetzt, leicht bedient werden können und insbesondere Angriffe auf ungeschützte Rechner ermöglichen sollen. Nach der Gesetzesbegründung gilt dies für offline oder online angebotene Software mit Computerviren, DoS-Tools, Port-Scannern oder sonstige Hacker-Programmen. Am bekanntesten sind hier Angebote wie Hacker s best friend oder Datenschutz-CD. Darunter fallen nach der Gesetzesbegründung auch sog. Skript- Kiddies, 4 die zusammengesetzt aus Skript und Kid einen stereotypischen Jugendlichen beschreiben, der lediglich mit Hilfe von vorgefertigten Skripten über ein Netzwerk in fremde Computer einbricht bzw. diesen Schaden zufügt, ohne die Funktion und Bedienung der einzelnen Programme zu kennen und sich selbst als Hacker ausgibt. Da es nach dem Gesetzeswortlaut allein auf die Zweckbestimmung solcher Programme ankommt, ist eine besondere Eignung nicht erforderlich. Dies führt zu Problemen im Zusammenhang mit Dual-Use-Programmen. Die objektive Zweckbestimmung, die zur Unterscheidung von guter und böser Software bei 202c Nr. 2 StGB führen soll, lässt sich hier nicht durchführen. Vielmehr ist eine Software, die neben dem Einsatz für schädliche Zwecke häufig auch für Sicherheitstests im eigenen Netz eingesetzt wird, um Schwachstellen zu erkennen und so die Abwehr von Angriffen zu verstärken, ebenfalls vom objektiven Tatbestand erfasst. Eine Lösung muss in diesen Fällen auf der Ebene des subjektiven Tatbestandes als Korrektiv gefunden werden. Dies erscheint hier wenig überzeugend, lässt sich aber anders nicht durchführen. 4 Vgl. dazu näher: und RiOLG Dr. Wolfgang Bär - Seite 4 -

5 dd) Datenveränderung und Computersabotage ( 303a, 303b StGB) Während die bisherige Regelung zur Datenveränderung in 303a StGB bis auf die Aufnahme der Vorbereitungshandlungen nach 202c StGB im neuen Absatz 3 unverändert geblieben ist, wurde der Anwendungsbereich der Computersabotage in 303b StGB deutlich erweitert. Geschützt ist vom bisherigen Qualifikationstatbestand des 303b Abs. 1 Nr. 1 StGB nicht mehr nur eine Datenverarbeitung, die für ein Unternehmen, einen Betrieb, sondern nun auch jede Datenverarbeitung, die für einen anderen von wesentlicher Bedeutung ist. Die Bestimmung der wesentlichen Bedeutung für Privatpersonen dürfte in der Praxis noch zu zahlreichen Abgrenzungsfragen führen (z.b. Doktorarbeit auf Notebook Sammlung aller Urlaubsbilder). Maßgeblich muss hier mit der Gesetzesbegründung letztlich die zentrale Funktion des Computers für die Lebensgestaltung sein. Völlig neu wird hier in 303b Abs. 1 Nr. 2 StGB die Störung einer Datenverbarbeitung von wesentlicher Bedeutung durch der Eingabe oder Übermittlung von Daten in der Absicht, einem anderen einen Nachteil zuzufügen, sanktioniert. Damit werden DoS- (Denial of Service) oder DDoS- (Distributed Denial of Service) Attacken 5 mit dem Ziel, einen oder eine Vielzahl von Servern in einem Datennetz arbeitsunfähig zu machen, erfasst, deren Strafbarkeit bisher problematisch war, nachdem das OLG Frankfurt 6 zeitlich befristete DoS-Angriffe hier von ca. 2 Stunden für die Tatbestandsmäßigkeit nicht als ausreichend ansah. 303b Abs. 1 Nr. 3 StGB blieb unverändert. In 303b Abs. 2 und 4 StGB finden sich nun aber zusätzliche Qualifizierungen für die Datenverarbeitung von Unternehmen und in besonders schweren Fällen. b) Phishing Im 41. StafrechtsänderungsG ausdrücklich nicht vorgesehen ist eine besondere Regelung für das Phishing, weil dieses nach Auffassung des BMJ bereits nach geltendem Recht strafbar 7 sein soll. Vor dem Hintergrund der inzwischen sehr unterschiedlichen Vorgehensweisen der Täter, um an Zugangsdaten für Bankkonten oder andere Internet-Angebot zu gelangen, zeigt ein Blick auf die Literatur und Rechtsprechung 8 aber gerade keine einheitliche Lösung. Letztlich müssen hier von den Methoden insgesamt vier Stufen unterschieden werden: Zunächst werden fingierte s zur Erlangung fremder Zugangsdaten verschickt und damit korrespondierende falsche Internetseiten installiert. In einem zweiten Schritt erfolgt soweit erforderlich - die Änderung der Daten mit dem Zugangspasswort bzw. den Konteninformationen ehe im dritten Schritt die erlangten Daten vom Täter zur Durchführung von Transaktionen missbraucht werden. Zur Abwicklung des Geldtransfers werden in einem letzten Schritt sog. Finanzmanager eingesetzt, die das durch die Täter erlangte Geld auf ihrem Konto entgegennehmen und gegen Provision ins Ausland transferieren. Zu deren Strafbarkeit liegen inzwischen einzelne, im Ergebnis sehr unterschiedliche Entscheidungen vor. So wird teilweise eine Beihilfe zum Computerbetrug 9, teilweise eine Geldwäsche gem. 261 StGB 10 oder Vgl. dazu sowie OLG Frankfurt, MMR 2006, 547 mit Anmerkung Gerke. Vgl. Pressemitteilung des BMJ vom und Gegenäußerung zur BR-Stellungnahme BT-Drs. 16/3656, Anlage 2. Vgl. näher zur Strafbarkeit des Phishing nur: Graf, NStZ 2007, 129 ff.; Gercke, CR 2005, 606 ff.; Popp, MMR 2006, 84 ff.; Stuckenberg, ZStW 118 (2006), 878 ff.; Weber, HRRS 2004, 406 ff. So im Ergebnis: AG Hamm, CR 2007, 70 mit Anmerkung Werner/Borges. So im Ergebnis: AG Darmstadt, Urteil vom Ls 360 Js 33848/05 und LG Darmstadt, Urteil vom (Az. 36 B 24/06) sowie AG Wuppertal, Urteil vom (Az. Ds 30 Js 2237/06), AG Tiergarten, Urteil vom (Az. 233 Ds 735/05). RiOLG Dr. Wolfgang Bär - Seite 5 -

6 ein Handeln ohne Erlaubnis gem. 54 Abs. Nr.2, 32 Abs. 1 S.1, 1 Abs. 1a Nr. 6 Kreditwesengesetz (KWG) 11 angenommen. Wenig geklärt ist vor allem die Strafbarkeit der Täter in der ersten Stufe, der Versendung entsprechender s. Hier liegt zwar in der Zusendung der Mail eine Täuschungshandlung und aus Sicht des Empfängers auch ein dadurch ausgelöster Irrtum, wenn der Kunde der Nachricht glaubt, doch scheitert die Anwendung von 263 StB sowie auch des versuchten Betrugs am Vorliegen einer Vermögensverfügung, da die Bekanntgabe der Kontendaten nicht zu einer unmittelbaren Vermögensminderung führen. Die Kontoabhebung wird gerade vom Täter und nicht vom Kontoinhaber selbst vorgenommen. Die Bejahung einer schadensgleichen Vermögensgefährdung bereits durch die Preisgabe der Daten erscheint als zu extensive Auslegung kaum vertretbar. Auch eine Strafbarkeit zur Vorbereitung eines Computerbetrugs gem. 263a Abs. 3 StGB scheitert, weil die bzw. die falsche Internet-Seite nicht zu den Computerprogrammen zur unmittelbaren Begehung eines Computerbetrugs gehören. Eine Anwendung des 202a StGB kommt auch in der geänderten Fassung - nicht in Betracht, da der Täter sich gerade keine besonders gesicherten Daten verschafft, sondern die Daten aus der Hand des Opfers selbst ohne Überwindung einer fremden Sicherung erhält. Einschlägig könnte hier allenfalls die Neuregelung des 202c Abs. 1 Nr. 1 StGB sein. Der Täter muss hier aber erfolgreich das Passwort erhalten haben und dies muss zur Vorbereitung zu einer Tat nach 202a, b oder 303a, b StGB dienen. Daran wird eine Strafbarkeit meist scheitern, wenn der Täter mit der erlangten PIN nur von fremden Konten Geld abheben und einen Computerbetrug i.s.d. 263a StGB begehen will. In Betracht kommt vielmehr hier allein die Anwendung des 269 StGB, wenn man in der Übersendung der eine Fälschung beweiserheblicher Daten sieht. Auf Grund der Parallelität zur Urkundenfälschung müssen die gespeicherten Daten hypothetisch einer unechten Urkunde entsprechen. Dies ist auch im Fall einer unsignierten , die den Aussteller einer Bank erkennen lässt und damit im Rechtsverkehr Beweis erbringt, zu bejahen. Problematisch ist hier vor allem die Beweiserheblichkeit. So fehlt der eine Unterschrift und eine volle Beweiskraft würde sich allenfalls bei Verwendung einer digitalen Signatur ergeben. Nach h.m. ist aber kein Vollbeweis nötig, da s heute im Rechtsverkehr vielfach wie Schreiben mit Unterschrift behandelt werden und auch vertrauliche Informationen enthalten. Entscheidend muss letztlich im Einzelfall sein, ob die nach dem Verständnis der Beteiligten auch ohne digitale Signatur als verbindlich angesehen werden kann und ein Schreiben mit Unterschrift ersetzen soll. Unter diesen Voraussetzungen kommt regelmäßig eine Strafbarkeit nach 269 StGB in Betracht. 12 Soweit durch die Täter bei der Versendung der bzw. dem Angebot einer gefälschten Internet-Seite auch geschützte Marken i.s.d. 4 MarkenG verwendet werden, ist zudem eine Strafbarkeit nach 143 Abs. 1 Nr. 1 i.v.m. 14 Abs. 2 MarkenG denkbar, da dem Inhaber der Marke das ausschließliche Verwendungsrecht zusteht. In dieser ersten Stufe bilden sich auch immer wieder neue Modifikationen der Vorgehensweise heraus z.t. durch das Pharming oder DNS-Spoofing heraus, indem von den Tätern die Zuordnungstabellen von DNS-Servern zu bestimmten IP-Adressen verändert werden und der Kunde so, wenn er die Webseite seiner Bank in der Adresszeile seines Browsers eingibt, automatisch auf die gefälschte Webseite der Täter. Dort erfolgt durch Eingabe der Zugangsdaten auf dieser falschen Seite das klassische Phishing. Soweit die Täter in einem weiteren Schritt sich mit den erlangten Zugangsdaten als Nutzer bei der Bank bzw. einem anderen Anbieter einloggen und die dort gespeicherten Daten So im Ergebnis: AG Überlingen, Strafbefehl vom (1 Cs 60 Js 26466/05 AK 183/06) So für den Fall eines Identitätsmissbrauchs bei Ebay im Ergebnis auch: AG Euskirchen, Urteil vom (Az. 5 Ds 279/05), bestätigt durch LG Bonn, Urteil vom (Az. 36 B 24/06). RiOLG Dr. Wolfgang Bär - Seite 6 -

7 z.b. beim sog. Account-Takeover bezogen auf Ebay-Kundendaten mit vielen positiven Bewertungen - verändern, kommt es zum einen zu einer Strafbarkeit nach 202a StGB. Die beim jeweiligen Anbieter gespeicherten Daten sind gerade durch das Passwort bzw. die PIN gegen unberechtigten Zugriff besonders gesichert. Zum anderen stellt die Vergabe einer neuen PIN bzw. die Veränderung der gespeicherten sonstigen Daten auch eine Datenveränderung i.s.d. 303a StGB dar, die unbefugt erfolgt, da der Inhaber der Daten mit dieser Veränderung nicht einverstanden ist. In diesem speziellen Fall kann dann die Vorbereitung dazu mit der Versendung der über 202c Abs. 1 Nr. 1 StGB geahndet werden. Die spätere Abhebung von Geldbeträgen vom fremden Konto mit den erlangten Zugangsdaten der PIN bzw. TAN des Kunden stellt unzweifelhaft eine unbefugte Verwendung von Daten i.s.d. 263a 3. Alt. StGB dar. Insoweit entspricht die Datenverwendung auch der Identitätstäuschung beim Betrug und es wird unbefugt das Ergebnis eines DV-Vorgangs mit der Auszahlung des Geldes beeinflusst. Die Geldtransaktion ist auch ein Vermögensverfügung, die bei erfolgreicher Abhebung zu einem kausalen Vermögensvorteil beim Täter und zu einem je nach Risikoverteilung Vermögensschaden beim Kunden bzw. bei der Bank führt. Soweit die erlangten Zugangsdaten z.b. beim Account-Takeover - für Versteigerungen ohne die Waren zu liefern eingesetzt werden, handelt es sich meist um einen normalen Eingehungsbetrug i.s.d. 263 StGB. c) Wardriving Nachdem in jüngster Zeit von Tätern zunehmend WLAN-Netze bewusst zur Internet-Nutzung oder gar zur heimlichen Übertragung von Daten meist zur Versendung oder Abfrage von E- Mails oder zum Austausch von strafbaren Inhalten - genutzt wurden, stellt sich die Frage nach einer Strafbarkeit. Dabei muss hier zwischen einem offenen und damit ungesicherten WLAN und solchen, die über Schutzmechanismen in Form von WEP, WPA oder WPA2- Verschlüsselung bzw. einer MAC-Filtertabelle verfügen, differenziert werden. 13 Soweit ein offenes Funknetz vorliegt, bei dem keine Sicherungsmaßnahmen aktiviert sind, scheitert eine Strafbarkeit des Täters nach 202a StGB auch in der Neufassung schon daran, dass kein gegen unberechtigten Zugang gesichertes System vorliegt. Insofern kommt eine Strafbarkeit allenfalls über 263a StGB in Form der 3. Alternative durch unbefugte Verwendung von Daten in Betracht. Auf Grund der Parallelität zum Betrug fehlt es aber regelmäßig bereits an einer täuschungsgleichen Handlung, denn auch wenn der Täter einen Menschen statt einen Computer vor sich gehabt hätte, wäre bei einem offenen WLAN ohne weitere Prüfung die automatische Zuweisung einer IP-Adresse durch den DHCP-Server erfolgt. Im übrigen käme ein Vermögensschaden auch nur dann in Betracht, wenn dem WLAN-Betreiber mit einem Zeit- oder Volumentarifs durch die Nutzung seitens des Täters eine Vermögensschaden entstanden wäre, woran es bei einer Flatrate bereits fehlt. Eine Strafbarkeit wegen Erschleichens von Leistungen i.s.d. 265a StGB scheitert zum einen schon daran, dass es sich beim offenen WLAN regelmäßig abgesehen von speziellen Netzen an Universitäten oder sonstigen Einrichtungen - kaum um eine öffentliche TK-Anlage handeln wird. Zum anderen ist die Entrichtung eines Entgeltes für die Benutzung vom Betreiber gerade nicht vorgesehen. Die Nutzung eines offenen WLAN lässt sich daher durch das geltende Strafrecht nicht erfassen. Soweit der Täter demgegenüber versucht, die beim WLAN vorhandenen entsprechenden softwaremäßigen Sicherungen zu umgehen, ist die Grenze zur Strafbarkeit überschritten. 13 Vgl. dazu näher: Bär, Wardriver und andere Lauscher Strafrechtliche Fragen im Zusammenhang mit WLAN, MMR 2005, 434 ff. RiOLG Dr. Wolfgang Bär - Seite 7 -

8 So kommt einerseits eine Strafbarkeit gem. 202a StGB in Betracht, wenn es dem Täter gelingt, die vorhandene Verschlüsselung aufzuheben und so auf fremde Daten zuzugreifen, ohne dass es auf die Art des verwendeten Verschlüsselungsverfahrens und die Höhe der Sicherheitsstufe ankommt. Bei WLAN-Netzen von Unternehmen kann hier im Einzelfall auch mit 17 UWG die Sondernorm des Wettbewerbsrechts eingreifen, wenn über das WLAN auf Geschäfts- oder Betriebsgeheimnisse zugegriffen werden kann. Soweit der Täter dazu übergeht, selbst neue Zugriffsschranken zu schaffen, Dateien oder Passwörter umzubenennen usw., kommt eine Datenveränderung i.s.d. 303a StGB in Betracht. Das Aufzeichnen und Mitlesen der Übertragung zwischen Client und Access-Point (WLAN-Router) führt meist auch zum Abhören von Nachrichten i.s.d. 148 Abs. 1 Nr. 1 i.v.m. 89 TKG, wenn auf diese Weise mittels Software versucht wird, eine Entschlüsselung zu knacken. Das bloße Verschaffen des Zugangs zum Internet über das fremde WLAN begründet demgegenüber noch kein Abhören von Nachrichten, die nicht für den Täter bestimmt sind. d) Second Life Ganz am Anfang ist derzeit auch die Diskussion, inwieweit sich Nutzer der virtuellen Welt Second Life, die mit Maus und Tastatur Gestalt annimmt, strafbar machen. Dies wird man annehmen können, wenn wie in einem Fernsehbeitrag dokumentiert ein Teilnehmer dieses Online-Spiels mit kinderpornographischen Aufnahmen gehandelt hat. Im übrigen kann hier trotz der rein virtuellen Welt eine Strafbarkeit nach 184 StGB im Einzelfall denkbar, wenn pornographische Schriften darunter fallen auch Abbildungen und andere Darstellungen im Internet und sogar in Online-Spielen Personen unter 18 Jahren zugänglich gemacht werden oder derartiges Material verbreitet wird. Die Anwendung von 184 StGB ist keineswegs nur auf wirkliche sexuelle Betätigungen echter Menschen beschränkt, sondern kann sich auch in Comics oder in einem virtuellen Swingerclub ergeben; entscheidend ist allein die Art der Darstellung in einer grob aufdringlichen Form. 3. Strafverfahrensrecht Selbst wenn damit die jeweilige Handlung durch das geltende materielle Strafrecht erfasst wird, kann eine Verurteilung des Täters nur dann erfolgen, wenn es gelingt, die erforderlichen Beweise zu sichern. Zusätzlich zu den klassischen Ermittlungsmaßnahmen der Durchsuchung, Beschlagnahme und Überwachung der Telekommunikation ergeben sich aus der Nutzung aller moderner Kommunikationsformen wesentliche neue Rechtsfragen, die hier nur in Teilbereichen vertieft werden können. 14 Umstritten ist hier vor allem die Rechtsgrundlage für den Zugriff auf die -Kommunikation. Immer mehr an Bedeutung gewinnt hier die IP- Adresse als maßgebliche Kennung bei der Kommunikation im Netz. Die Personenauskunft zu einer bekannten IP-Adresse über 113 TKG bzw. 100g StPO wird sehr unterschiedlich gelöst. Seit der BGH-Entscheidung vom stellt sich auch die Frage nach einer Zulässigkeit des Einsatzes neuer technischer Mittel, die von Keyloggern über Trojanern bis hin zur Online-Durchsuchung reichen. Besondere Schwierigkeiten entstehen bei grenzüberschreitenden Ermittlungen, wenn es darum geht, den Standort des Rechners zu ermitteln und an beweisrelevante Daten auf irgendeinem Rechner weltweit zu gelangen. Nicht zuletzt ergeben sich auch bei der illegalen Tauschbörsen-Nutzung neue Fragen des praktischen Umgangs mit Massenanzeigen. 14 Vgl. weiterführend: Bär, Handbuch zur EDV-Beweissicherung im Strafverfahren, RiOLG Dr. Wolfgang Bär - Seite 8 -

9 a) Kontrolle des -Verkehrs Mit der weltweit immer weiter zunehmenden Anzahl von Internet-Nutzern steigt auch die Nutzung der elektronischen Kommunikation. Fast jeder Internet-Nutzer verfügt heute zumindest über eine, vielfach sogar über mehrere -Adressen jeweils für spezielle Zwecke. Dabei lässt sich eine -Adresse ohne irgendeine Prüfung der Identität oder sonstiger Zugangsvoraussetzungen problemlos einrichten. Für eine Kontrolle des -Verkehrs muss der technische Vorgang des Verschickens einer elektronischen Nachricht in vier Phasen untergliedert werden: In einem ersten Schritt wird die jeweiligen Nachricht vom Rechner des Absenders, auf dem die eigentliche Mail erstellt wurde, über den Internet-Provider des Absenders auf den Mail-Server des Internet-Anbieters übertragen, bei dem der Adressat registriert ist und über sein elektronisches "Postfach" verfügt. In der Phase 2 werden die Daten auf der Festplatte des jeweiligen Mail-Servers im dort für den Empfänger eingeräumten Speicherplatz in verkörperter Form so lange gespeichert bis in einer dritten Phase der Adressat die ihn betreffenden Nachrichten abruft und auf seinen Rechner überträgt. Je nach Provider werden die Nachrichten beim Abruf gelöscht oder bleiben auch noch weiterhin gespeichert. 15 In einer vierten und letzten Phase der Kommunikation können die abgerufenen Nachrichten soweit sich vom Empfänger nicht unmittelbar nach Eingang gelöscht wurden noch weiterhin auf dem Rechner gespeichert bleiben. Vor diesem technischen Hintergrund bereitet aus juristischer Sicht die Phase 1 und 3 keine rechtlichen Schwierigkeiten, da es sich bei der im Stadium der Übertragung vom Ausgangsrechner zum Empfänger unzweifelhaft um eine Form der Telekommunikation handelt, die der Legaldefinition des 3 Nr. 22 TKG unterfällt. Ein Zugriff auf eine kann nur auf der Grundlage des 100a StPO zur Überwachung der Kommunikation erfolgen. 16 Die Internet-Provider sind auf Grund der Technischen Richtlinie zur TKÜV auch verpflichtet, eine Standardschnittstelle zur Ausleitung von s an die Strafverfolgungsbehörden bereit zu halten. Soweit die Nachrichten in der Phase 4 vom Empfänger bereits abgerufen und noch auf dem Rechner vorhanden sind, hatte die 3. Kammer des 2. Senats des BVerfG im Beschluss vom noch einen zusätzlichen Beschluss gem. 100g, h StPO verlangt. Im Urteil vom sieht der 2. Senat des BVerfG hier aber keinen Eingriff mehr in das Fernmeldegeheimnis, da dessen Schutz endet, sobald die Informationen im Herrschaftsbereich des Empfängers angekommen sind. Die spezifischen Gefahren der räumlich distanzierten Kommunikation mit einem Übertragungsvorgang, der einer Kontrolle und Einwirkung durch den Teilnehmer entzogen ist, bestehen nicht mehr, weil der Empfänger eigene Schutzvorkehrungen gegen einen ungewollten Datenzugriff treffen kann. Folglich ist mit der Sicherung der Daten beim Empfänger nur ein Eingriff in das Recht auf informationelle Selbstbestimmung i.s.d. Art. 2 GG verbunden, für das die 94 ff und 102 ff StPO eine ausreichende verfassungsrechtliche Grundlage darstellen. Dies gilt nach Auffassung des LG Braunschweig 18 auch für Webmail, wenn Nachrichten nach erfolgtem Abruf durch den Empfänger weiterhin auf dem Mail-Server des Anbieters gespeichert und nicht gelöscht wurden. Sehr umstritten und von großer praktischer Relevanz ist die Rechtsgrundlage für den Zugriff auf die s in der Phase 2 (Zwischenspeicherung) und damit der ruhenden Nachrich Vgl. zu dieser Einteilung im einzelnen auch KK-StPO-Nack, 100a Rn. 7, 8 und Palm/Roy, NJW 1996, Vgl. nur BGH, NStZ 1997, 247, LR-Schäfer, 100a Rn. 58; KK-StPO-Nack, 100a Rn. 7, Meyer- Goßner, 100a Rn. 2, Palm/Roy, NJW 1996, 1791; Jäger, StV 2002, 243. Vgl. BVerfG, NJW 2006, 976. LG Braunschweig, Beschluss vom , 6 Qs 88/06. abrufbar unter Juris-DokNR KO- RE RiOLG Dr. Wolfgang Bär - Seite 9 -

10 ten. In Betracht kommt hier neben einer Anwendung des 100a StPO 19 vor allem ein Rückgriff auf die 94 und 99 StPO. 20 Aus technischer Sicht ist der eigentliche Kommunikationsvorgang unterbrochen, es kommt zur Speicherung von personenbezogenen Daten auf der Grundlage des 107 TKG (Datenerhebung bei Nachrichtenübermittlungssystemen mit Zwischenspeicherung). Dabei wird einerseits darauf abgestellt, dass über 102 und 94 ff StPO letztlich nur ein Eingriff in das Besitz- und Eigentumsrecht des betroffenen Netzbetreibers gestattet wird, die Daten der Telekommunikation selbst aber weiterhin dem Schutz des Art. 10 GG unterfallen, was nur durch eine Überwachungsanordnung gem. 100a StPO ü- berwunden werden könne. Auch wenn sich das BVerfG in seinem Urteil vom nicht endgültig hinsichtlich des Schutzbereichs von Art. 10 GG in diesem Fall festlegt hat, so wird doch hier die Einheitlichkeit des Übertragungsvorgangs betont, was technisch bedingten Abgrenzungen entgegenstehen würde. Damit geht die schon bisher vertretene Homogenitätstheorie beim -Verkehr von einem einheitlichem TK-Vorgang aus. 21 Dem ist andererseits entgegenzuhalten, dass im Zeitpunkt des Zugriffs auf die Daten eine Telekommunikation i.s.d. 100a StPO gerade nicht stattfindet. Sobald dem Schutzbereich des Art. 10 GG unterfallende Gesprächsinhalte durch technische Verfahren wie in Phase 4 - in Form eines Anrufbeantworters bzw. Tonbandes oder wie hier durch eine kurzfristige Zwischenspeicherung auf einem körperlichen Trägermedium fixiert sind, greift dieser Schutz nicht mehr ein. Dies deckt sich insoweit mit der sog. Mailbox-Entscheidung des BGH sowie der Entscheidung zur Online-Durchsuchung, 22 wonach nur der Abruf von gespeicherten Informationen aus einer Mailbox dem Anwendungsbereich des 100a StPO unterstellt wird, nicht aber deren Sicherstellung vor Ort. Hinzu kommt weiter, dass 100a StPO im Gegensatz zu 23a ZFDG bzw. auch 4 Nr. 15c TKÜV gerade nur bzgl. der Überwachung und Aufzeichnung der Telekommunikation anwendbar ist, nicht aber auf in Datenspeichern abgelegte Inhalte 23. Andernfalls würde die Reichweite des Schutzes von Art. 10 GG zu weit auch auf gespeicherte Daten ausgedehnt. 24 Aus Sicht der Strafverfolgungsbehörden wären im übrigen die Möglichkeiten zur Kontrolle von s auf ein nicht akzeptables Minimum reduziert, weil sie jeweils das Vorliegen einer Katalogtat i.s.d. 100a StPO voraussetzen würde. Auch die schwierige Abgrenzung zwischen gelesenen und ungelesenen Nachrichten wird so vermieden. Damit sollte hier eine Anwendung der 94 ff StPO und insbesondere des 99 StPO genügen. Nach dieser Sonderform zur Beschlagnahme kann gegenüber Unternehmen, die geschäftsmäßig Post- oder Telekommunikationsdienste erbringen dazu gehören auch Internetanbieter mit Mail-Server - eine Beschlagnahme der Postsendungen und Telegrammen erfolgen, die sich im Gewahrsam des jeweiligen Unternehmens befinden. Da in der Phase 2 des -Verkehrs die Daten auf dem Mail-Server des entsprechenden Providers auf Seiten des Empfängers gespeichert sind, besteht zu diesem Zeitpunkt ein solcher Gewahrsam, da die Nachricht auf dem jeweiligen Speichermedium des Providers verkörpert ist. Dabei kann die vom sprachlichen Verständnis her unter den Begriff der Postsendung i.s.d. 99 StPO, hier in der modernen Form der elektronischen Post, subsumiert werden, ohne damit die Grenze des möglichen Wortsinns bei der Auslegung zu über So im Ergebnis: LG Hanau, NJW 1999, 3647 = StV mit Anm. Dübbers sowie LG Mannheim, StV 2002, 242 mit Anm. Jäger. Vgl. auch: Seitz, Strafverfolgungsmaßnahmen im Internet, 2004, S. 306; Meininghaus, Der Zugriff auf s im strafrechtlichen Ermittlungsverfahren, 2007, S. 249 ff. So im Ergebnis: LG Ravensburg, NJW 2003, 2112; BGH-Ermittlungsrichter, Beschluss vom , 2 BGs 410/2001 (unveröffentlicht), zustimmend Graf, in: MüKo-StGB, 202a Rn. 57. Vgl. dazu auch Jahn, JuS 2006, 491, 493 sowie Sankol, MMR 12/2006, S. XXX. Vgl. CR 1996, 489 mit Anm. Bär sowie zur Online-Durchsuchung auf der Basis des 102 StPO: BGH- Ermittlungsrichter, Beschluss vom BGs 31/06 (unveröffentlicht) mit ausführlicher Darstellung unten in Rn. 456 ff. So auch KK-StPO-Nack, 100a Rn. 8; Kudlich, JA 2000, 233 Vgl. auch BVerfG, NJW 2000, 55, 56. RiOLG Dr. Wolfgang Bär - Seite 10 -

11 schreiten, nachdem heute die elektronische Post in den meisten Fällen an die Stelle der bisherigen Kommunikation in Briefform getreten ist. Ein strafprozessuale Kontrolle in dieser Phase der Kommunikation kann somit hier außerhalb der engen Eingriffsvoraussetzungen des 100a StPO und insbesondere ohne Vorliegen einer der dort genannten Katalogtaten erfolgen. Es bleibt abzuwarten, welches Ergebnis sich hier aus der Verfassungsbeschwerde gegen die Entscheidung des LG Braunschweig ergibt. 25 b) Personenauskunft zu dynamischer IP-Adresse Auf Grund des eng begrenzten Adressraums von IP-Adressen ist es heute der Regelfall, dass diese vom Provider dynamisch vergeben werden, d.h. sie gehen nach dem Ende einer Verbindung sofort an weitere Personen und somit im Laufe eines Tages an viele Internet- Nutzer. Folglich ist allein der jeweilige Provider auf Grund seiner Log-Files in der Lage, den eigentlichen Anschlussinhaber zu benennen. Fraglich bleibt aber, auf welcher Rechtsgrundlage diese Auskunft zu erfolgen hat. Dies wird von den Gerichten 26 mit einem Rückgriff auf 113 TKG bzw. 100g StPO sehr unterschiedlich beurteilt. Entscheidend für die rechtliche Beurteilung ist letztlich, inwieweit es sich bei den vom Provider begehrten Informationen um Bestands- oder Verkehrs-/Verbindungsdaten handelt. Begrifflich sind Bestandsdaten ohne Bezug zu einem konkreten TK-Vorgang - in 3 Nr. 3 TKG legal definiert und in 111 Abs. 1 S. 1 TKG näher konkretisiert. Verkehrsdaten werden durch 3 Nr. 30 TKG sowie durch 96 TKG und 100g Abs. 3 StPO demgegenüber mit Bezug zu einem konkreten TK-Vorgang begrifflich umschrieben. Richtigerweise ist bei vorhandener dynamischer IP-Adresse der dem Fernmeldegeheimnis unterliegende Umstand der Kommunikation als Verkehrsdatum bereits bekannt. Die noch notwendige Zuordnung dieser Nummer zu einer bestimmten Person ist folglich ein von der Qualität und von der Intensität her geringerer Eingriff. Es fehlt den Ermittlungsbehörden hier nur die Brücke zwischen den bekannten Verkehrsdaten und den damit im Zusammenhang stehenden Bestandsdaten. Doch ist die Zuordnung eines konkretisierten TK-Vorgangs zu einer Person i.w.s. noch dem Fernmeldegeheimnis unterzuordnen. Auch die Tatsache, welche konkrete Person eine bestimmte TK-Verbindung zu einem bestimmten Zeitpunkt ausgeführt hat, unterliegt dem Schutzbereich des Art. 10 GG. Das Heraussuchen des Namens und der Anschrift einer Person zu einer konkreten dynamischen IP-Adresse zu einer konkreten Zeit ist technisch nicht unmittelbar und ohne größeren Aufwand ausführbar. Eine Verknüpfung zwischen IP-Adresse und Nutzer ist nur dadurch möglich, dass die in den - regelmäßig zu Abrechnungs- und Kontrollzwecken geführten und noch vorhandenen - Log-Files gespeicherten Verbindungsinformationen ausgewertet werden. Insoweit ergibt sich hier im Gegensatz zu einer normalen Auskunft über Bestandsdaten - doch ein Bezug zu Art. 10 GG. Im übrigen spricht die Regelung des 113 TKG unter Verweis auf 111 TKG ausdrücklich nur von Rufnummern und gerade nicht von IP-Adressen oder anderen Kennungen, wie dies bei 100g Abs. 3 StPO der Fall ist. Eine bei der Internet-Kommunikation vom Provider zugewiesene dynamische IP-Adresse ist gerade nicht mit einer fest vergebenen Telefonnummer vergleichbar, weil sie nicht auf Dauer zugewiesen ist und nicht wie 112 TKG zeigt in einem automatisierten Auskunftsverfahren zur Verfügung gestellt werden kann. Auf der anderen Seite ist die begehrte Auskunft nach 100g StPO an sich auch nicht das geeignete rechtliche Instrumentarium. Die dynamische IP-Adresse stellt sehr wohl eine andere Kennung i.s.d. 100b Abs. 2 bzw. 100g Abs. 3 Nr. 1 und 100h Abs. 1 Satz 1 StPO dar. Sowohl 96 Abs. 1 TKG als auch 100g Abs. 3 StPO verwenden die Begriffe Kennung der beteiligten Vgl zum einstweiligen Rechtsschutz insoweit BVerfG, CR 2006, 383 = MMR m. Anm. Sankol. Vgl. zum Meinungsstand näher: Bär, Handbuch zur EDV-Beweissicherung, 2007, S RiOLG Dr. Wolfgang Bär - Seite 11 -

12 Anschlüsse, worunter auch die dynamische IP-Adresse sogar nach dem Willen des Gesetzgebers zu subsumieren ist. Im übrigen wird in 97 Abs. 2 TKG die Anschrift des Teilnehmers gerade auch als zu erhebendes und zu verwendendes Datum bei Verkehrsdaten erwähnt. Damit enthalten weder 113 TKG noch 100g StPO an sich eine passende Befugnisnorm. Der hier mit der Auskunft begehrte Datensatz liegt von der Eingriffsqualität gerade zwischen beiden Befugnissen. Der Gesetzgeber hat nun kurz vor Abschluss der parlamentarischen Beratung im Rechtsausschuss in 113b Satz 1 TKG eine weiteren Halbsatz angefügt, nach dem die Herausgabe der gespeicherten Verkehrsdaten für andere Zwecke mit Ausnahme einer Auskunftserteilung nach 113 TKG nicht verwendet werden darf. Damit soll nach der amtlichen Begründung 27 nun klargestellt werden, dass eine Personenauskunft zu einer dynamischen IP-Adresse zwar auf Verkehrsdaten zugreift, aber auf der Basis des 113 TKG erfolgen kann. Nachdem der Bundestag diesen Gesetzesvorschlag in seiner Sitzung vom verabschiedet hat, wird die Neuregelung zum in Kraft treten und damit diese bisherige Streitfrage lösen. c) Online-Durchsuchung und andere neue technische Mittel: Die Frage, inwieweit ein Abruf bzw. Zugriff auf Daten, die in einem fremden Rechner gespeichert sind, über die vorhandenen Datenleitungen rechtlich zulässig erfolgen kann bzw. weitere technische Mittel eingesetzt werden dürfen, ist in Literatur und Rechtsprechung äußerst umstritten 28 Dies insbesondere auch dann, wenn ein Online-Zugriff auf Daten erst mit Hilfe eines Bundestrojaners durch die Ermittlungsbehörden ermöglicht werden muss. Dabei bildet die Entscheidung des BGH vom die Grundlagen für die Diskussion um die Zulässigkeit verdeckter neuer Ermittlungsmaßnahmen unter Einsatz technischer Mittel. aa) BGH-Entscheidung vom An erster Stelle wird hier die Online-Datenabfrage als eine Form der Durchsuchung gem. 102, 103 StPO geprüft. Dies drängt sich auf, weil unter Nutzung der modernen Kommunikationstechniken ein Zugriff auf Informationen vergleichbar einer Suche in fremden Räumlichkeiten im Schutzbereich des Art. 13 GG erfolgt und sich Polizeibeamte beim Datenabruf virtuell in den Räumen des Betroffenen befinden. So wurde im Beschluss vom und vor allem von Hofmann 30 die Ansicht vertreten, ein Rückgriff auf 102 StPO sei zulässig, da die Offenheit der Maßnahme kein konstitutives Element sei und die Schutzvorschriften nicht entgegenstehen. Dem kann in Übereinstimmung mit der Senatsentscheidung im Ergebnis aber nicht gefolgt werden. Zwar sind gesetzliche Formulierungen in Eingriffsermächtigungen grundsätzlich offen für die Einbeziehung kriminaltechnischer Neuerungen, die der historische Gesetzgeber bei der Schaffung dieser Norm noch nicht abschätzen konnte. Einer Anwendung der 102 ff StPO auf Online-Durchsuchungen widerspricht zunächst jedes heimliche Vorgehen. Bei der Durchsuchung handelt es sich gerade um eine offen gegenüber dem Betroffenen ausgeführte staatliche Zwangsmaßnahme, wie dies aus dem Gesamtzusammenhang der 102, 103 sowie 106 StPO deutlich wird. Die Durchsuchungsbestimmungen gehen von einer körperlichen Anwesenheit des Ermittlungsbeamten vor Ort aus. Im übrigen ist das Ziel einer Durchsuchung das Auffinden und die Beschlagnahme von Gegenständen als Beweismittel. Der Online-Zugriff dient aber gerade keiner Sicherstellung kör BT-Drs.16/6979 vom , S Vgl. dazu weiterführend: Bär, Handbuch zur EDV-Beweissicherung im Strafverfahren, 2007, Rn. 452 ff. BGH, NJW 2007, 930 = MMR 2007, 237. Dem vorausgegangen waren die im Ergebnis z.t. unterschiedlichen Entscheidungen des BGH-Ermittlungsrichters vom (1 BGs 186/06), vom (1 BGs 184/06) und vom (3 BGs 31/06). Hofmann, NStZ 2005, 121. RiOLG Dr. Wolfgang Bär - Seite 12 -

13 perlicher Gegenstände, sondern es werden auf einem EDV-System vorhandene Informationen über Datenleitungen und damit in unverkörperter Form auf die Rechner der Ermittlungsbehörden übertragen. Ein solcher Zugriff auf Daten lässt sich daher mit dem Wortlaut der 102 ff StPO nicht in Einklang bringen. Die bisherige Durchsuchung würde andernfalls über den Gesetzeswortlaut hinaus zu einer Form des Lauschangriffs erweitert, die Grenzen zur Überwachung der Telekommunikation wären verwischt. Nachdem ein Zugriff auf Daten in einem Rechner oder auf einem sonstigen fremden Server eines Internet-Anbieters gar nicht möglich wäre, wenn der am Ende der TK-Leitung stehende Computer nicht über einen Netzanbindung verfügen würde, kommt ein Eingriff in die Telekommunikation über 100a StPO in Betracht. Die Datenübertragung vom fremden Computer zum Rechner der Strafverfolgungsbehörden ist jedenfalls Fernmeldeverkehr i.s.d. Art. 10 GG. Dies wurde vom Ermittlungsrichter noch verneint, weil nur statische Daten gesichert würden, die im Herrschaftsbereich des Betroffenen gespeichert sind. Dabei bliebe aber unberücksichtigt, dass die auf einer Festplatte gespeicherten Informationen online immer nur dann ausgelesen werden können, wenn der Betroffene selbst einen Kommunikationsvorgang ausgeführt hat, er also online ist. Auch wenn damit im herkömmlichen Sinn noch kein durch Art. 10 Abs. 1 GG besonders geschützter TK-Vorgang ohne Wissen des Betroffenen überwacht wird, besteht doch bereits beim Online-Zugriff ein enger Bezug zur TK-Überwachung gem. 100a StPO. Zur herkömmlichen Überwachung der Telekommunikation bestehen aber auch gravierende Unterschiede. Der Regelfall einer Überwachung führt zu einer Aufzeichnung einer zwischen zwei Personen stattfindenden Kommunikation, die nun unter Beteiligung des Staates als Drittem abgehört wird. Beim Online-Zugriff auf den fremden Rechner wird die Verbindung aber durch die Ermittlungsbeamten selbst aufgebaut bzw. eine bereits bestehende Internet-Verbindung nur für andere Zwecke mit benutzt, die eigentliche Kommunikation aber gerade nicht überwacht. Kontrolliert werden soll nur der Inhalt des Festplattenspeichers eines Rechners durch den Zugriff mit Mitteln der Telekommunikation. Damit bleibt festzuhalten, dass der Verbindungsaufbau zum fremden Online-Rechner begrifflich bereits als keine Überwachung angesehen werden kann. Findet sich aber weder in 102 StPO noch in 100a StPO eine spezielle Ermächtigungsgrundlage für den Verbindungsaufbau zum fremden Rechner bzw. den Online-Abruf fremder Daten, kann dieses Vorgehen auch nicht auf die Ermittlungsgeneralklausel der 161, 163 StPO zur Erforschung von Straftaten gestützt werden. Nach der ausdrücklichen Einschränkung des 161 Abs. 1 Satz 1 letzter Halbsatz StPO ist ein Rückgriff auf diese Regelung nur möglich, soweit nicht andere gesetzliche Vorschriften die Befugnisse gesondert regeln. Ein in den Anwendungsbereich einer bestehenden Spezialermächtigung fallender Sachverhalt kann deshalb nicht über die Generalklausel zugelassen werden, sofern es an einzelnen Eingriffsvoraussetzungen fehlt. Nachdem hier ein Eingriff vorgenommen wird, der von seiner Intensität im Bereich zwischen 100a StPO und den Vorschriften zur Durchsuchung anzusiedeln ist, erscheint es kaum vertretbar, diese Maßnahme allein über die Generalklausel zu gestatten. bb) Folgerungen für weitere technische Mittel Damit bleibt zusammenfassend festzuhalten, dass eine speziell auf die modernen technischen Möglichkeiten, online auf fremde Datenbestände zuzugreifen, zugeschnittene Eingriffsermächtigung derzeit nicht zur Verfügung steht. In bestimmten Einzelfällen besteht aber aus Sicht der Praxis ein dringendes Bedürfnis für eine solche Ermittlungsmethode. Hinzu kommt, dass ein Online-Zugriff auf fremde Daten gleichgültig ob es sich um einen fremden zugangsgeschützten Server oder um einen mit dem Internet verbundenen Computer handelt RiOLG Dr. Wolfgang Bär - Seite 13 -

14 technisch immer nur dann möglich ist, wenn der fremde Rechner mit Hilfe eines Spionageprogramms für einen Zugriff von Außen geöffnet wird. Es erscheint daher nötig entsprechend dem Vorschlag des Bundesrates für einen neuen 100f Abs. 1a 31 - eine spezielle Ermächtigung im Gesetz zu schaffen, mit der ein heimliche Zugriff auf informationstechnische Systeme oder in Datenspeichern abgelegte Inhalte ausdrücklich auch mit Hilfe des Einsatzes technischer Mittel gestattet wird. Auch wenn dies teilweise miteinander vermengt wurde, ist der Einsatz einer Remote Forensic Software (RFS), des Bundestrojaners, zur Ausführung einer Online-Durchsuchung streng von der Umsetzung von Überwachungsmaßnahmen bei Voice-over-IP (VoIP) zu trennen. Hier besteht auf Grund der nur umzusetzenden Überwachungsanordnung seit gem. 110 Abs. 1a TKG eine Verpflichtung für Betreiber von TK-Anlagen die erforderliche automatische Steuerungsmöglichkeit zur Erfassung und Ausleitung der Telekommunikation zu ermöglichen. Dazu kann ggf. auch ein Trojanern eingesetzt werden, um die Gesprächsinhalte aufzeichnen zu können. d) Massenverfahren bei Tauschbörsennutzung Auch wenn die Strafverfolgungsbehörden derzeit mit Massenstrafanzeigen überhäuft werden und in die Gefahr geraten, als Hilfsorgan für die Durchsetzung zivilrechtlicher Ansprüche eingesetzt zu werden, zwingt doch das Legalitätsprinzip zur Aufnahme von Ermittlungen, so dass nicht generell auf eine Einholung entsprechender Auskünfte beim Provider verzichtet werden sollte. Doch stehen mit der Verweisung auf den Privatklageweg und der Einstellung aus Opportunitätsgründen ausreichende Instrumentarien zur Verfügung, um Verfahren mit einer oder wenigen angebotenen Werken wieder zu beenden. Im übrigen ist durch den Entwurf eines Gesetzes zur Verbesserung der Durchsetzung von Rechten des geistigen Eigentums 32 vorgesehen, den Rechteinhabern in den Spezialgesetzen des geistigen Eigentums einen eigenen zivilrechtlichen Auskunftsanspruch gegenüber dem Internet-Provider hinsichtlich von Verkehrsdaten etwa durch einen neuen 101 Abs. 9 UrhG zu schaffen, der als Eingriff in Art. 10 GG ebenfalls dem Richtervorbehalt unterstellt wird, aber nicht als kontradiktorisches Verfahren, sondern nur als gerichtliche Entscheidung, die eine Herausgabe von Verkehrsdaten zulässt. Damit dürfte sich für die Rechteinhaber der Umweg über das strafrechtliche Ermittlungsverfahren erübrigen und folglich die Annahme einer Unverhältnismäßigkeit weiterer Ermittlungen im Ergebnis leichter zu begründen sein, weil dem Rechteinhaber ein einfacherer Weg zur Verfügung steht, um an die begehrten Daten der Personenauskunft zu gelangen und so seine berechtigten zivilrechtlichen Ansprüche auf Unterlassung und Schadenersatz ohne Rückgriff auf das strafprozessuale Ermittlungsverfahrens durchzusetzen. e) Auslandsbezug von Ermittlungen Erhebliche Probleme bei Ermittlungen treten im übrigen dann auf, wenn sich die beweisrelevanten Daten nicht auf einem Computer im Inland befinden. Soweit die benötigten Informationen frei zugänglich sind, kann auch auf ausländischen Daten unproblematisch zugegriffen werden. 33 Besteht dagegen ein besonderer Schutz der Daten am physikalischen Ort der Speicherung im Ausland, finden zunächst die nationalen Eingriffsbefugnisse hier ihre Grenzen. Es muss eine Lösung im Wege der Rechtshilfe gefunden werden, wofür sich in Art. 29 ff der Cyber-Crime-Konvention, die derzeit vom deutschen Parlament ratifiziert werden soll, 34 entsprechende konkrete Regelungen befinden. So sieht Art. 32 Ziffer b) der Cyber-Crime Vgl. BR-Drs 275/1/07, S. 17 Vgl. BT-Drs. 16/5048 vom Vgl. dazu Artikel 32 Ziffer a) der Cyber-Crime-Konvention des Europarates vom Vgl. BR-Drs. 666/07 vom RiOLG Dr. Wolfgang Bär - Seite 14 -

15 Konvention einen rechtmäßigen Zugriff auf Daten in einem anderen Hoheitsgebiet ohne gesondertes Rechtshilfeersuchen vor, wenn eine Zustimmung des Verfügungsberechtigten zum grenzüberschreitenden Zugriff erteilt wurde. Kommt dies nicht in Betracht, hat eine umgehende Sicherung der gespeicherten Computerdaten in einem beschleunigten Verfahren auch der Basis des Art. 29 der Cyber-Crime-Konvention zu erfolgen. Dabei bedarf ein Ersuchen um vorläufige Sicherung zunächst noch keines förmlichen Rechtshilfeersuchens (vgl. auch 67 Abs. 1 IRG). Dies müsste später noch nachgereicht werden. Im übrigen besteht derzeit auch ein Entwurf für eine Reform der Bestimmungen des IRG (u.a. 94 IRG), wonach im Bereich der EU richterliche Anordnungen über die Sicherstellungen von Beweismitteln und der Durchsuchung eines Mitgliedsstaates ohne weitere Anerkennung und inhaltliche Überprüfung in einem anderen Mitgliedsstaat umgesetzt werden können Zusammenfassung Das 41. Strafrechtsänderungsgesetz hat zwar einige in den letzten Jahren auf Grund der rasanten technischen Entwicklung entstandene Lücken im materiellen Strafrecht geschlossen, doch ergeben sich auch weiterhin an den aufgezeigten Stellen neue Fallgestaltungen, die sich nur unzureichend mit dem materiellen Strafrecht lösen lassen. Viel schwieriger ist aber die Frage, mit welchen strafprozessualen Mitteln die aufgezeigten neuen Deliktsformen verfolgt werden sollen. Das derzeit in den parlamentarischen Beratungen befindliche Gesetz zur Reform der Telekommunikationsüberwachung und anderer verdeckter Ermittlungsmaßnahmen, 36 das am vom Rechtssausschuss mit zahlreichen Änderungsvorschlägen abschließend beraten 37 und am vom Bundestag entgültig verabschiedet wurde, sieht ab für die strafprozessualen Rechtsfragen bisher nur in sehr begrenztem Umfang entsprechende Lösungen vor. Weder die -Überwachung noch andere moderne technische Ermittlungsmethoden finden hier eine entsprechende Regelung. Auch wenn mit der künftigen Vorratsdatenspeicherung in den 113a und 113b TKG ein Zugriff auf Verkehrsdaten der Telekommunikation für die Dauer von 6 Monaten erleichtert wird, besteht doch weiterhin ein zusätzlicher Bedarf für die Anpassung der bestehenden Rechtsgrundlagen an die neuen technischen Entwicklungen insbesondere im Zusammenhang mit dem Einsatz technischer Mittel. Dabei darf vor allem auch nicht die Internationalität der Verfahren außer Acht gelassen werden, um zu verhindern, dass beweisrelevante Daten auf Rechner ausgelagert werden, auf die keine Zugriffsmöglichkeiten bestehen Vgl. Regierungsentwurf eines Gesetzes zur Umsetzung des Rahmenbeschlusses des Rates vom 22. Juli 2003 über die Vollstreckung von Entscheidungen über die Sicherstellung von Vermögensgegenständen oder Beweismitteln in der Europäischen Union, abrufbar unter /2337/RegE%20Sicherstellung%20Vermögensgegenstände%20oder%20Beweismittel.pdf sowie Pressemitteilung des BMJ vom Vgl. BT-Drs. 16/5846 mit Stand: Vgl. BT-Drs. 16/6979 vom RiOLG Dr. Wolfgang Bär - Seite 15 -