Cyberangriff: Was tun? Erste Schritte und IT-Strafrecht

Erste Schritte nach den Empfehlungen des BSI

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt in seinem Arbeitspapier „Erste Hilfe bei einem schweren IT-Sicherheitsvorfall“ (Version 1.2) unter anderem:

1. Ruhe bewahren, einen Krisenstab einrichten und Zuständigkeiten festlegen.
2. Potenziell infizierte Systeme sofort vom Netzwerk trennen, etwa durch Ziehen des Netzwerkkabels, sie aber nicht herunterfahren oder ausschalten.
3. Sich auf solchen Systemen nicht mit Administratorkonten anmelden, solange sie mit dem Netz oder dem Internet verbunden sind.
4. Auf betroffenen Systemen gespeicherte oder danach eingegebene Zugangsdaten als kompromittiert behandeln und Passwörter ändern.
5. Prüfen, ob saubere Datensicherungen vorhanden sind.
6. Früh entscheiden, ob Spuren für eine Strafanzeige gesichert werden; dann sind Beweise gerichtsfest zu erheben und zu dokumentieren.

Meldepflichten mit kurzen Fristen

Sind personenbezogene Daten betroffen, meldet der Verantwortliche die Verletzung nach der Datenschutz-Grundverordnung (DSGVO) unverzüglich und möglichst binnen 72 Stunden der zuständigen Aufsichtsbehörde, außer sie führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen (Art. 33 Abs. 1 DSGVO). Mehr dazu auf der Seite zur Datenpanne nach der DSGVO.

Besonders wichtige und wichtige Einrichtungen im Sinne des BSI-Gesetzes (BSIG) melden einen erheblichen Sicherheitsvorfall zusätzlich an die gemeinsame Meldestelle von BSI und Bundesamt für Bevölkerungsschutz und Katastrophenhilfe: unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, eine frühe Erstmeldung, unverzüglich, spätestens innerhalb von 72 Stunden, eine Meldung mit erster Bewertung und spätestens einen Monat nach dieser Meldung eine Abschlussmeldung oder, wenn der Vorfall dann noch andauert, eine Fortschrittsmeldung. Die Pflicht gilt frühestens ab Einrichtung des Meldewegs (§ 32 Abs. 1 und 2 BSIG). Wer dazu gehört, regelt § 28 BSIG; mehr dazu auf der Seite zur Umsetzung der NIS-2-Richtlinie (Richtlinie (EU) 2022/2555). Auch Verträge können Informationspflichten enthalten (BSI, Checkliste Organisatorisches); Vertragsfragen gegenüber IT-Dienstleistern behandelt das Rechtsgebiet IT-Verträge.

Welche Straftaten in Betracht kommen

Das Strafgesetzbuch (StGB) bestraft, wer sich unbefugt unter Überwindung einer Zugangssicherung Zugang zu besonders gesicherten Daten verschafft (§ 202a StGB) oder sich unter Anwendung technischer Mittel nicht für ihn bestimmte Daten aus einer nichtöffentlichen Datenübermittlung verschafft (§ 202b StGB). Strafbar ist schon, zur Vorbereitung Passwörter oder Sicherungscodes, die den Zugang zu Daten ermöglichen, oder Programme, deren Zweck eine solche Tat ist, herzustellen, sich zu verschaffen oder zu verbreiten (§ 202c StGB). Ebenso macht sich strafbar, wer nicht allgemein zugängliche Daten, die ein anderer rechtswidrig erlangt hat, sich verschafft oder weitergibt, um sich zu bereichern oder einen anderen zu schädigen (§ 202d StGB).

Wer Daten rechtswidrig löscht, unterdrückt, unbrauchbar macht oder verändert, begeht eine Datenveränderung (§ 303a StGB). Stört die Tat erheblich eine Datenverarbeitung von wesentlicher Bedeutung für ein fremdes Unternehmen, ist sie Computersabotage, bedroht mit Freiheitsstrafe bis zu fünf Jahren oder Geldstrafe (§ 303b Abs. 1 Nr. 1 und Abs. 2 StGB). Beeinflusst der Täter mit erbeuteten Daten einen Datenverarbeitungsvorgang zum Schaden fremden Vermögens, kommt Computerbetrug in Betracht (§ 263a StGB). Zum Betrug beim Online-Kauf informiert die Seite zu Fake-Shops.

Strafanzeige und Strafantrag

Anzeigen und Strafanträge nehmen nach der Strafprozessordnung (StPO) Staatsanwaltschaft, Polizei und Amtsgerichte entgegen (§ 158 Abs. 1 StPO). Die §§ 202a, 202b und 202d StGB, § 303a Abs. 1 und 2 sowie § 303b Abs. 1 bis 3 StGB sind Antragsdelikte, soweit die Strafverfolgungsbehörde nicht wegen des besonderen öffentlichen Interesses von Amts wegen einschreitet (§ 205 Abs. 1 Satz 2, § 303c StGB). Die Antragsfrist beträgt drei Monate ab Kenntnis von Tat und Person des Täters (§ 77b Abs. 1 und 2 StGB).