Nach der Schule fahren Jenny und Britta mit dem Bus nach Hause. Obwohl in den Beförderungsbedingungen steht, dass man die Haltewunschtaste nur drücken darf, wenn man auch wirklich aussteigen will, drücken Jenny und Britta auf jedem Dorf den Knopf. Der Bus hält an, niemand steigt aus, die restlichen Fahrgäste sind genervt. Klar nervt das – aber ist es auch ein Fall für den Staatsanwalt?
Offenbar schon, geht es nach dem Land Hessen: Das und vieles andere könnte bald als digitaler Hausfriedensbruch strafbar sein. Hessen hat eine Initiative zur Einführung der Strafbarkeit der unbefugten Benutzung informationstechnischer Systeme in den Bundesrat eingebracht. Im Juli wurde über den Vorschlag zum ersten Mal in der Plenarsitzung beraten, von wo aus er in den Innenausschuss des Bundesrates überwiesen wurde. Dort wird nach der Sommerpause weiter debattiert. Wir erklären, warum der Vorschlag am besten einfach gestrichen werden sollte, warum wir ihn nicht brauchen und er am Ende sogar schädlich ist.
Die Argumentation: Botnetze unter Strafe stellen
Das schwarz-grün regierte Hessen will mit dem Straftatbestand digitaler Hausfriedensbruch vor allem gegen Botnetze vorgehen. Von diesen gingen allerlei kriminelle Aktivitäten aus: Distributed-Denial-of-Service-Angriffe, sogenannte Cyberangriffe auf kritische Infrastrukturen, das Versenden von Spam, Betrug und Ransomware zum Beispiel.
Die Infektion geschehe über Spam-Mails und infizierte Webseiten:
Die Täter schleusen dabei Schadcode in die Webseite ein, der dazu führt, dass auf dem Opfersystem im Hintergrund heimlich Schadprogramme aufgespielt werden und er so zum „Bot“ (von engl. „robot“) wird, also zu einem durch Dritte unerkannt fernsteuerbaren Zombie-Computer, dessen sämtliche Funktionen und Daten nunmehr eben jenem Dritten, der ihn infiziert hat, offenstehen.
Die Täter verwendeten Bots auch als Anonymisierungswerkzeuge und hätten volle Kontrolle über die Systeme, könnten also auch Daten auslesen und kopieren. Es klingt dramatisch:
Damit wird der heimische Laptop oder das Mobiltelefon zu einem machtvollen Ausspähwerkzeug in den Händen international agierender Cyberkrimineller.
Davor will man nun die Bürger schützen. Doch tut der Gesetzesentwurf das wirklich? Und was tut er sonst noch? Dafür müssen wir in den Wortlaut schauen. Strafbar soll sich nun machen,…
Wer unbefugt
- sich oder einem Dritten den Zugang zu einem informationstechnischen System verschafft,
- ein informationstechnisches System in Gebrauch nimmt oder
- einen Datenverarbeitungsvorgang oder einen informationstechnischen Ablauf auf einem informationstechnischen System beeinflusst oder in Gang setzt […]
Bei Nummer 1 ist eine Einschränkung vorgesehen, es müssen zusätzlich auch „berechtigte Interessen“ des Gegenübers beeinträchtigt werden können. Begeht man solch eine Tat, sollen in der Regel bis zu einem Jahr Freiheitsstrafe drohen. In besonders schweren Fällen, etwa bei einer großen Anzahl Systeme oder gewerbsmäßigem Begehen, kann diese Strafe bis auf zehn Jahre anwachsen.
Zu viel des Guten
Das Hauptproblem ist, dass sich der Entwurf keineswegs auf Probleme wie Botnetze beschränkt, sondern – so steht es in der Begründung – „einen weiten Anwendungsbereich hat“. Dem soll die Einschränkung abhelfen, dass eine Tat „geeignet“ sein muss, berechtigte Interessen eines anderen zu beeinträchtigten. Doch reicht das? Was wird plötzlich alles strafbar, wenn der geplante Paragraph ins Strafgesetzbuch aufgenommen wird?
Das Einführungsbeispiel illustriert das: Jenny und Britta haben unbefugt – sogar mehrmals – den Haltewunsch-Knopf betätigt. Das wäre geeignet, die berechtigten Interessen der weiteren Fahrgäste und des Busfahrers zu beeinträchtigen, pünktlich und zügig ans Ziel zu kommen. Die Haltewunschtaste ist auch Teil eines „informationstechnischen Systems“, da die moderne Steuerung im Bus das Drücken über den Buscomputer an den Fahrer und die Halteanzeige überträgt und es sich um eine Anlage handelt, die „den Bereichen … Transport und Verkehr … angehört“. Die Voraussetzungen für die Strafbarkeit sind gegeben.
Es gibt noch weitere Beispiele:
Tom und Mario wollen zur Feier ihres einjährigen Hochzeitstages romantisch Essen gehen. Im ersten Ehejahr lief alles gut, nur dass Tom ständig für die Arbeit erreichbar sein muss, nervt Mario. Und auch diesmal ist es nicht anders: Im Fünf-Minuten-Takt summt Toms Diensthandy und stört die traute Zweisamkeit. Obwohl Mario weiß, dass es eigentlich meist wichtig ist, wird er zunehmend genervter. Als Tom kurz auf Toilette geht und das Handy schon wieder vibriert, schaltet er es kurzerhand aus. „Wenigstens heute Abend“, denkt er sich. Tom bemerkt nichts davon und freut sich über die Ruhe. Bis zum nächsten Morgen, als er heftigen Ärger von seinem Chef bekommt. Der hatte nämlich eine wichtige Frage, die nur Tom beantworten konnte. Mario hat sich damit strafbar gemacht.
Und dann wäre da noch Jack, der in der Wohnung seines Kumpel Holger übernachtet. Holger ist am Abend nicht da und Jack ist ein wenig langweilig. Obwohl Holger schon oft erwähnt hat, dass er es nicht mag, wenn Menschen seinen Laptop benutzen, wenn er nicht da ist, denkt sich Jack: „Wird schon nichts dabei sein, ich will ja nur ein bisschen im Internet surfen…“
Jack besucht ein Seitensprungportal, auf dem er seit Längerem angemeldet ist. Als er schlafen geht, vergisst er, den Tab zu schließen und sich auszuloggen. Holger, der am nächsten Abend mit seiner Freundin Miri einen Film schauen will, klappt nichtsahnend seinen Rechner auf. „Hallo ScharferHengst1987!“ ist auf dem Bildschirm zu lesen, daneben das Foto einer leicht bekleideten, attraktiven jungen Frau. Miri ist außer sich und läuft wutentbrannt aus der Wohnung.
Das sind nur drei Beispiele von vielen, bei denen nach der jetzigen Formulierung der Straftatbestand des digitalen Hausfriedensbruch greifen würde. Das, was offiziell gegen Botnetze helfen soll, würde also vor allem eines schaffen: Ein großer Blumenstrauß alltäglicher Vorgänge würde plötzlich strafrechtlich relevant, obwohl sie alles andere sind als schwerwiegende Cyberkriminalität.
Schutzlücken, die keine sind
Aus dem Bauch heraus stellt sich eine weitere Frage: Ist die Sache mit den Botnetzen und den daraus begangenen Straftaten nicht sowieso schon strafbar? Die einfache Antwort: ja. Die Strafbarkeitslücke, die man hier zu schließen vorgibt, lässt sich nur schwer herbeiargumentieren.
Nach § 202a „Ausspähen von Daten“ des Strafgesetzbuchs macht sich schon heute strafbar, wer unbefugt Zugangssicherungen überwindet und sich so Zugriff auf Daten verschafft, die nicht für ihn bestimmt sind. Beim Installieren der als Beispiel genannten Trojaner ist das gegeben. Das Überwinden der Zugangssicherung ist die Nutzung von Sicherheitslücken, um die Rechner zu infizieren. Und den unberechtigten Datenzugriff über die Trojaner führt der Gesetzesentwurf selbst als Problem ins Feld.
Die Strafbarkeit bei Botnetzen fängt aber schon früher an, nämlich dann, wenn Software hergestellt oder beschafft wird, um den benötigten Zugang zu anderen Systemen zu bekommen. Das regelt § 202c „Vorbereiten des Ausspähens und Abfangens von Daten“ des Strafgesetzbuchs. Also ist bereits das Vorbereiten einer Infizierung mit Schadcode, um einen Computer zu einem Teil des Botnetzes zu machen, strafrechtlich relevant.
Das ist längst nicht alles: Wird ein Trojaner auf einem System gespeichert, fällt ein weiterer Straftatbestand an, die Datenveränderung nach § 303a „Datenveränderung“ des Strafgesetzbuchs. Nicht auf einer Festplatte installierte Trojaner, die sich ausschließlich im Arbeitsspeicher tummeln, sind hier ebenso betroffen: Datenveränderung ist es in beiden Fällen, ob auf der Festplatte oder im Arbeitsspeicher unterscheidet § 303a nicht.
Die kriminellen Aktivitäten, die aus Botnetzen heraus erfolgen, sind ihrerseits in der Regel wiederum strafbar. Von einer Strafbarkeitslücke lässt sich hier also nicht reden.
Alternativen: Keine – Ernsthaft?
Absurd wird es im Gesetzesentwurf unter dem Punkt „Alternativen“. Die Antwort ist knapp: „Keine“. Doch das kann nicht der Ernst der Initiatoren sein. Grund für die erfolgreiche Infektion eines Rechners und seine Nutzung in einem Botnetz ist schließlich, dass eine Sicherheitslücke des Systems ausgenutzt werden konnte (auch wenn die gelegentlich vor dem Rechner sitzt). Die Alternative zu einer Einführung eines neuen Straftatbestandes, der mit enormer Streubreite alles mögliche unter Strafe stellt, wäre daher, die IT-Sicherheit im Allgemeinen zu stärken. Dafür gibt es viele Wege, etwa die Aufklärung der Nutzer, das Auditieren sicherheitskritischer Software, die Einführung von Produkthaftung für Software-Anbieter oder wirksame IT-Sicherheitsrichtlinien.
Die oben genannten Möglichkeiten sind noch längst nicht ausgeschöpft. Nicht nur bei Privatnutzern ist oft wenig Bewusstsein für die Sicherung des eigenen Systems vorhanden. Bei der Polizei Niedersachsen etwa wurden Sicherheitsvorkehrungen, die USB-Ports deaktivierten, einfach umgangen, indem man PCs daneben stellte, die keine dieser Sicherheitsvorkehrungen aufwiesen.
Dazu sorgen veraltete Betriebssysteme oft für inhärente Sicherheitslücken. So wie das nicht mehr aktualisierte Windows XP, von dem auch die Bundeswehr noch nicht vollständig losgekommen ist. Die Kette der Sicherheitsvorfälle in Bundesbehörden und ‑institutionen ließe sich weit fortsetzen. Selbst der Verfassungsschutz Sachsen-Anhalt fand Anfang diesen Jahres Ransomware auf seinen Rechnern.
Es lässt sich nicht leugnen, dass es wesentlich sinnvoller ist, sich präventiv gegen die unbefugte Nutzung eines Systems zu schützen, als zu versuchen, neue Straftatbestände zu schaffen. Denn dann ist im Zweifel bereits irreparabler Schaden entstanden. Und nur die Erweiterung der Strafbarkeit sorgt nicht für eine einfachere und effizientere Ermittlung derjenigen, die für Botnetze verantwortlich sind: In aller Regel sind die Verantwortlichen ohnehin nicht zu finden oder sitzen irgendwo im Ausland – was im deutschen Strafgesetzbuch steht, ist dann ziemlich gleichgültig.
Neben Nutzeraufklärung und verbesserten IT-Sicherheitsrichtlinien wäre es auch wünschenswert, wenn von staatlicher Seite mehr für die Förderung von Software-Sicherheit getan würde. Doch die Bundesregierung vertritt hier einen sehr widersprüchlichen Kurs. Mit dem Mantra „Sicherheit durch Verschlüsselung und Sicherheit trotz Verschlüsselung“ versucht sie, zu rechtfertigen, dass Sicherheitsbehörden Zugriff auf verschlüsselte Kommunikation bekommen sollen.
Bei der Nutzung von Staatstrojanern und der geplanten Zentralen Stelle für Informationstechnik im Sicherheitsbereich (ZITiS) wird die Ausnutzung von Sicherheitslücken zum Ausspähen von Rechnern institutionalisiert. Stattdessen sollte es aber Aufgabe des Staates sein, zur Schließung dieser Sicherheitslücken beizutragen – anstatt sie dankend in Kauf zu nehmen, sie für eigene Überwachungsinteressen zu missbrauchen und über zwielichtige Wege sogar zu kaufen.
„Alternativlos“ ist die Schaffung eines neuen Straftatbestandes für den digitalen Hausfriedensbruch also keineswegs: Für den angeblichen Kampf gegen Botnetze ist sie wirkungslos, stattdessen ist die Formulierung des Entwurfs aus Hessen unscharf, überflüssig und schädlich. Sie will einen Straftatbestand für etwas schaffen, das längst eine Straftat ist. Mit erheblichem Kollateralschaden. Wir werden den weiteren Gesetzgebungsprozess begleiten und hoffen darauf, dass diese Probleme bei der Behandlung im Innenausschuss des Bundesrates erkannt werden.