Hausdurchsuchung im IT-Unternehmen: Server, Cloud, Smartphones
Kurz und klar
Die Durchsuchung eines IT-Unternehmens folgt denselben rechtlichen Grundlagen wie jede andere Durchsuchung (§§ 102, 103 StPO), stellt aber grundlegend andere praktische Herausforderungen. § 110 StPO regelt die Sichtung digitaler Datenträger – und in § 110 Abs. 3 StPO erlaubt der Gesetzgeber den Zugriff auf räumlich getrennte Speichermedien, insbesondere Cloud-Systeme, sofern diese vom durchsuchten Endgerät aus erreichbar sind. Für IT-Unternehmen bedeutet das: Ein einziger durchsuchter Laptop kann rechtlich Zugriff auf Server im Rechenzentrum, auf Cloud-Verzeichnisse mehrerer Provider und auf synchronisierte mobile Endgeräte eröffnen. Die Verteidigung setzt auf drei Ebenen an: der Rechtmäßigkeit der Sichtung, der Reichweite des § 110 Abs. 3 StPO, und der forensischen Beweiskette. Wer im Ernstfall keine dokumentierten Zugriffsstrukturen und keinen Incident-Response-Plan hat, verliert häufig sowohl juristisch als auch operativ.
Inhaltsverzeichnis
1. Rechtsgrundlagen der IT-Durchsuchung
2. § 110 StPO – Sichtung digitaler Datenträger
3. § 110 Abs. 3 StPO – der Cloud-Zugriff
4. Beschlagnahme vs. Sichtung – der zentrale Unterschied
5. Server im Rechenzentrum und Colocation
6. Smartphones und mobile Endgeräte
7. Auslandsdaten und internationale Aspekte
8. Forensische Beweisführung – Chain of Custody
9. Präventive IT-Notfallplanung für Unternehmen
10. Verteidigungsansätze bei IT-Beschlagnahme
11. Praxis-Insight aus der Cybersecurity-Perspektive
12. Häufige Fragen
1. Rechtsgrundlagen der IT-Durchsuchung
Die Durchsuchung von IT-Systemen erfolgt auf denselben Rechtsgrundlagen wie jede andere Durchsuchung:
§ 102 StPO – Durchsuchung beim Beschuldigten. Erfordert Anfangsverdacht und richterlichen Beschluss (§ 105 StPO). Bei Gefahr im Verzug ausnahmsweise Anordnung durch Staatsanwaltschaft, mit späterer richterlicher Bestätigung.
§ 103 StPO – Durchsuchung bei Dritten. Setzt konkrete Tatsachen voraus, die die Annahme begründen, dass sich Beweismittel oder die gesuchte Person genau dort befinden. Strengere Anforderungen.
§ 110 StPO – die eigentliche Norm für die Prüfung der aufgefundenen Datenträger. Regelt Sichtung und – seit 2008 – den Zugriff auf räumlich getrennte Speichermedien.
§ 100b StPO – Online-Durchsuchung im engeren Sinne. Zugriff auf informationstechnische Systeme des Beschuldigten aus der Ferne. Deutlich höhere Anforderungen; nur bei schwersten Straftaten.
Für die IT-Durchsuchung eines Unternehmens ist die Kombination §§ 102/103 StPO plus § 110 StPO die zentrale Norm. § 100b StPO spielt praktisch nur bei bestimmten Ermittlungsverfahren gegen Einzelpersonen eine Rolle.
Wichtig für Unternehmen: Der Durchsuchungsbeschluss muss klar bezeichnen, was gesucht wird. Ein pauschaler Beschluss („sämtliche geschäftliche Unterlagen und Datenträger") ist verfassungsrechtlich problematisch und häufig ein Angriffspunkt der Verteidigung.
2. § 110 StPO – Sichtung digitaler Datenträger
§ 110 StPO regelt, was mit gefundenen Datenträgern und digitalen Daten geschieht.
2.1 Sichtungsverfahren
Beschlagnahmte oder vorläufig sichergestellte Datenträger werden im Sichtungsverfahren nach § 110 StPO durch Staatsanwaltschaft oder Ermittlungspersonen inhaltlich geprüft. Ziel: Entscheidung, welche Daten für das Verfahren relevant sind und beschlagnahmt werden.
Praktisch bedeutet das:
Der Datenträger selbst wird häufig zunächst als Ganzes mitgenommen.
Am Ort oder später erfolgt die Auswertung – bei umfangreichen Datenmengen typischerweise durch IT-forensische Erstellung eines Images.
Auf dem Image werden gezielte Suchen nach relevanten Dateien durchgeführt.
Was relevant ist, wird formell beschlagnahmt; der Rest sollte grundsätzlich zurückgegeben oder gelöscht werden.
2.2 Zeitrahmen
§ 110 StPO enthält keine feste Frist für die Sichtung. In der Praxis dauern IT-forensische Auswertungen häufig Monate bis Jahre – ein zentraler Belastungsfaktor für Unternehmen, deren produktive Systeme beschlagnahmt wurden.
Wichtig: Betroffene können nach § 98 Abs. 2 StPO Rückgabe oder Freigabe für weiterhin benötigte Systeme beantragen. Praxis-Weg: forensische Kopie beim Unternehmen zurücklassen, damit der Betrieb weiterläuft.
2.3 Versiegelung nach § 110 Abs. 4 StPO
Bei Berufsgeheimnisträgern (Anwälten, Ärzten, Steuerberatern, Journalisten) oder bei Widerspruch des Betroffenen ist die Versiegelung möglich. Die Datenträger werden versiegelt und die Sichtung erfolgt getrennt – häufig unter Beteiligung eines besonderen Vertreters.
Praxis-Empfehlung für Unternehmen: Bei sensiblen Daten (interne Rechtsberatung, Kommunikation mit externen Anwälten, laufende Compliance-Untersuchungen) sollte aktiv Versiegelung verlangt werden. Ohne aktive Geltendmachung droht Verlust des Schutzes.
3. § 110 Abs. 3 StPO – der Cloud-Zugriff
Die zentrale Norm für die moderne IT-Durchsuchung. § 110 Abs. 3 StPO lautet sinngemäß:
Wenn beim durchsuchten Betroffenen elektronische Speichermedien vorgefunden werden, dürfen diese durchsucht und die darauf zugänglichen Daten auch dann gesichtet werden, wenn sie räumlich getrennt gespeichert sind – sofern von dem gefundenen Speichermedium aus zugegriffen werden kann und der Verlust der zu sichtenden Daten zu besorgen ist.
3.1 Praktische Reichweite
Was das konkret bedeutet:
Der durchsuchte Laptop hat eine offene Session mit dem Cloud-Speicher des Unternehmens. Die Ermittlungsbehörden dürfen auf die Cloud zugreifen und die Daten sichten.
Der durchsuchte Rechner ist mit dem Netzwerkspeicher (NAS, SAN, DFS) verbunden. Zugriff möglich.
Der Firmen-Laptop hat gespeicherte Zugangsdaten zu externen Cloud-Diensten (Dropbox, Google Drive, Microsoft 365, AWS-Konsole). Zugriff möglich.
Ein Smartphone ist mit iCloud oder Google-Konto synchronisiert. Zugriff auf die Cloud möglich.
Für IT-Unternehmen bedeutet das: Ein einziger durchsuchter Endpunkt kann rechtlich die gesamte digitale Infrastruktur öffnen.
3.2 Voraussetzungen
Vom gefundenen Medium aus zugänglich – der Zugang muss aus der auf dem durchsuchten Gerät vorhandenen Konfiguration möglich sein. Passwörter müssen nicht neu erraten werden; wenn sie gespeichert sind, reicht das.
Verlust der Daten zu besorgen – wird in der Praxis weit ausgelegt. Bei Cloud-Diensten mit potenzieller Fernlöschung typischerweise angenommen.
Weiter im Rahmen des Durchsuchungsbeschlusses – der Zugriff darf nicht das Beschlusskorsett sprengen.
3.3 Anwaltliche Grenzen
Nicht erfasst sind:
Systeme, für die keine Zugangsdaten auf dem durchsuchten Gerät verfügbar sind.
Systeme im Ausland, deren Zugriff andere rechtliche Grundlagen erfordert (siehe unten).
Daten anderer Betroffener, deren Rechte nicht durch den Durchsuchungsbeschluss abgedeckt sind.
Die Grenzen sind streitanfällig. In der Praxis nehmen Ermittlungsbehörden häufig weiter, als rechtlich zulässig – und die Verteidigung muss die Zurückweisung aktiv organisieren.
4. Beschlagnahme vs. Sichtung – der zentrale Unterschied
Zwei rechtlich unterschiedliche Vorgänge werden häufig verwechselt:
Sichtung (§ 110 StPO): Inhaltliche Prüfung der Daten. Kein förmlicher Beschlagnahmeakt. Rechtsbehelfe während der Sichtung eingeschränkt.
Beschlagnahme (§ 94 Abs. 2 StPO): Förmlicher Akt der Sicherstellung. Ermöglicht Beschwerde nach § 98 Abs. 2 StPO – gerichtliche Bestätigung erforderlich.
Für die Verteidigung wichtig: Nur bei förmlicher Beschlagnahme ist der Rechtsbehelfsweg vollständig geöffnet. Bei bloßer Sichtung ohne nachfolgende Beschlagnahme ist der Rechtsbehelf schwieriger – aber die eigenständige Beschwerde gegen die Durchsuchungsmaßnahme selbst bleibt möglich.
Praxis-Regel für den Ernstfall: Ausdrücklich Widerspruch gegen jeden mitgenommenen Datenträger und alle Cloud-Zugriffe erklären. Dokumentation im eigenen Protokoll.
5. Server im Rechenzentrum und Colocation
Server im eigenen Rechenzentrum oder in Colocation-Häusern stellen besondere Konstellationen.
5.1 Eigenes Rechenzentrum
Bei einem Rechenzentrum, das sich im Herrschaftsbereich des Unternehmens befindet, gelten die üblichen Durchsuchungsregeln. Der Rechenzentrums-Standort kann als weiterer zu durchsuchender Raum im Beschluss bezeichnet werden oder – über § 110 Abs. 3 StPO – vom Firmensitz aus zugreifbar sein.
Praktische Herausforderung: Server enthalten häufig Daten mehrerer Kunden (bei Multi-Tenant-Architekturen). Die Durchsuchung eines einzigen Servers kann Daten unbeteiligter Dritter betreffen – rechtlich problematisch, praxisrelevant bei SaaS-Anbietern und Managed-Service-Providern.
5.2 Colocation und Cloud-Anbieter
Bei Servern, die bei einem Drittanbieter stehen (Colocation, Managed Hosting, Cloud), ist die rechtliche Konstellation komplexer:
Der Colocation-Anbieter ist grundsätzlich Dritter (§ 103 StPO), nicht der eigene Beschuldigte.
Für die Durchsuchung beim Anbieter braucht es einen eigenen Beschluss – oder Zugriff über § 110 Abs. 3 StPO vom Firmensitz aus.
Der Cloud-Anbieter kann sich in Deutschland kooperativ oder abwartend verhalten; bei ausländischen Anbietern (AWS, Google Cloud, Azure) greifen zusätzlich Rechtshilfefragen.
5.3 Multi-Tenant-Systeme und Betroffene Dritte
Wenn Server nur mit Daten des Beschuldigten sondern auch von Dritten befüllt sind, hat die Durchsuchung einen erweiterten Kreis Betroffener. In der Praxis werden dann forensische Auswertungen häufig auf spezifische Tenants beschränkt – aber die Beschränkung muss aktiv beantragt und durchgesetzt werden.
5.4 Auswirkungen auf laufende Geschäftsbetriebe
Wenn ein Produktivserver beschlagnahmt wird, steht der Betrieb des davon abhängigen Geschäfts still. Für den Kläger ist das häufig entscheidend – für das Unternehmen existenzbedrohend. Praxis-Ansatz:
Vor Ort forensische Kopie erstellen lassen, damit Original zurückbleibt.
Rückgabeantrag nach § 98 Abs. 2 StPO für produktive Systeme.
Bei Cloud-Ausfällen möglichst schnelle Wiederherstellung, ggf. mit alternativen Anbietern.
6. Smartphones und mobile Endgeräte
Smartphones enthalten häufig die vollständigste Datenmenge eines Beschuldigten – Kommunikation, Standortdaten, Fotos, Cloud-Synchronisation, Zahlungsdaten.
6.1 Physische Beschlagnahme
Ein Smartphone kann wie jeder andere Datenträger beschlagnahmt und im Rahmen des § 110 StPO gesichtet werden. Die praktische Auswertung erfolgt regelmäßig durch spezialisierte forensische Tools (Cellebrite, Oxygen Forensics, MSAB XRY).
6.2 Verschlüsselung und Passwörter
Moderne Smartphones sind standardmäßig verschlüsselt. Wichtige Rechtsfragen:
Sie sind nicht verpflichtet, das Passwort herauszugeben. Der nemo-tenetur-Grundsatz gilt.
Biometrische Entsperrung (Face ID, Touch ID) ist rechtlich streitig. Nach überwiegender Meinung kann die passive Zulassung – Vorhalten des Gesichts, Auflegen des Fingers – nicht strafrechtlich erzwungen werden, wenn das eine aktive Mitwirkung wäre; sie kann aber im Rahmen eines Zugriffs auf die Person geduldet werden.
Ohne Passwort keine Auswertung in vielen Fällen. Aktuelle iPhones und moderne Android-Geräte mit Vollverschlüsselung können auch mit forensischen Tools häufig nicht durchsucht werden.
6.3 Cloud-Synchronisation
Über § 110 Abs. 3 StPO können Cloud-Backups (iCloud, Google Drive) mitgesichtet werden, sofern das Smartphone entsperrt ist und die Backups gespeichert sind. Auch nach Entsperrung durch den Betroffenen umfasst das häufig die gesamte Kommunikationshistorie, Fotos, Notizen und synchronisierte Passwörter.
6.4 Kommunikationsdienste und Ende-zu-Ende-Verschlüsselung
Signal, WhatsApp, Threema, iMessage – Ende-zu-Ende-verschlüsselte Kommunikation ist typischerweise nur über das Endgerät zugänglich. Wenn das Gerät entsperrt ist, sind alle diese Nachrichten sichtbar. Für die Verteidigung kritisch: Bei sensibler Kommunikation ist die Beschlagnahmefreiheit nach § 97 StPO zu prüfen (Kommunikation mit Verteidiger).
7. Auslandsdaten und internationale Aspekte
Bei Daten, die außerhalb Deutschlands gespeichert sind, greifen zusätzliche rechtliche Rahmen.
7.1 Innerhalb der EU
Über die Europäische Ermittlungsanordnung (EEA) können deutsche Behörden im EU-Ausland Datenzugriffe beantragen. Verfahren beschleunigt, direkter Behörden-zu-Behörden-Weg.
Der eEvidence-Regelung (VO (EU) 2023/1543, seit 2026 anwendbar) ermöglicht direkte Anordnungen an Diensteanbieter in anderen Mitgliedstaaten – ein wichtiger Schritt für Cloud-Beweise.
7.2 USA – Budapest Convention und CLOUD Act
Für US-basierte Cloud-Anbieter existieren mehrere Wege:
Budapest Convention ermöglicht bestimmte Direktanfragen an Anbieter.
US CLOUD Act verpflichtet US-Anbieter zur Herausgabe auch von im Ausland gespeicherten Daten – gilt aber für US-Anordnungen, nicht direkt für deutsche.
MLAT US-Deutschland ist der klassische Weg für formale Beweisführung.
7.3 § 110 Abs. 3 StPO und Auslandsdaten
Die Reichweite des § 110 Abs. 3 StPO bei Zugriff auf Auslandsdaten ist rechtlich streitig. Der Bundesgerichtshof neigt zu einer weiten Auslegung – wenn der Zugriff vom durchsuchten Endgerät aus möglich ist, wird die Sichtung erlaubt, auch wenn die Daten physisch im Ausland liegen. Diese Position ist verfassungsrechtlich nicht unumstritten.
7.4 Datenschutzrechtliche Grenzen
Daten aus dem EU-Ausland an deutsche Ermittlungsbehörden zu übermitteln kann DSGVO-Fragen aufwerfen. Umgekehrt können deutsche Ermittler nicht ohne Weiteres Daten in Drittstaaten übermitteln – hier greift die Datenübermittlungsverordnung 2016/680.
8. Forensische Beweisführung – Chain of Custody
Die IT-forensische Beweisführung ist der Bereich, in dem sich Verfahren regelmäßig entscheiden.
8.1 Forensisches Image
Statt des Originals wird eine bit-genaue Kopie erstellt (typischerweise mit Tools wie EnCase, FTK, X-Ways, dcfldd). Die Analyse erfolgt auf dem Image, das Original bleibt unverändert.
Vorteile:
Das Original als Beweismittel bleibt unversehrt.
Mehrere Analysen möglich, ohne Beweismittelverfälschung.
Verifikation über kryptografische Hashes (SHA-256).
8.2 Chain of Custody
Lückenlose Dokumentation:
Wer hat wann das Original in Empfang genommen?
Wo wurde es wie gelagert?
Wer hatte Zugriff?
Wann wurden Kopien erstellt, mit welchen Tools?
Wo befindet sich das Original zum aktuellen Zeitpunkt?
Fehler in der Chain of Custody führen häufig zu Verwertbarkeitsproblemen. Verteidigung setzt hier systematisch an.
8.3 Verwertbarkeitsverbote
Klassische Fälle:
Sichtung ohne wirksame Rechtsgrundlage.
Zugriff auf privat genutzte Bereiche eines Firmengeräts ohne besonderen Anlass.
Verstöße gegen Berufsgeheimnisschutz.
Fehlerhafte Löschung nicht relevanter Daten.
8.4 Sachverständige und eigene Gutachten
Bei komplexen IT-Verfahren ist die Beauftragung eines eigenen Sachverständigen häufig unerlässlich. Ein privates IT-forensisches Gutachten kann die Position der Ermittlungsbehörden angreifen, alternative Erklärungen liefern und bei Verhandlungen mit Staatsanwaltschaft und Gericht Gewicht haben.
9. Präventive IT-Notfallplanung für Unternehmen
Die IT-Durchsuchung ist ein Szenario, auf das sich Unternehmen vorbereiten können. Wer improvisiert, verliert doppelt – juristisch und operativ.
9.1 Der IT-Notfallplan „Durchsuchung"
Kernelemente:
Erreichbarkeit:
24/7-Kontaktliste: IT-Leitung, Rechtsberatung, Kommunikationsverantwortliche, ggf. Vorstand
Externe Anwaltskanzlei auf Kurzwahl, mit Erfahrung in IT-Strafrecht
Externe IT-Forensiker als vertragliches Backup
Systemwissen:
Dokumentierte Topologie: welche Systeme laufen wo, welche Zugriffe bestehen
Klare Berechtigungsmatrix – wer hat Admin-Zugriff auf was
Backup-Struktur (offline / immutable) dokumentiert
Kommunikationsplan:
Interne Kommunikation: wer informiert wen in welcher Reihenfolge
Externe Kommunikation: vorbereitete Statements für Kunden, Presse, Investoren
Ad-hoc-Publizität-Prüfung bei börsennotierten Unternehmen
9.2 Rechtssichere IT-Nutzungsrichtlinien
Trennung dienstlicher und privater Nutzung von Firmengeräten
Klare Regelung zur Speicherung dienstlicher Daten (nur auf Firmensystemen, nicht auf privaten Cloud-Konten)
Passwortmanagement mit dokumentierten Prozessen
9.3 Compliance-Vorbereitung für die Durchsuchung selbst
Mitarbeiter über Verhalten bei Durchsuchung geschult
Rezeption und IT-Support wissen, wie sie bei Erscheinen von Ermittlern reagieren
Rechte auf Anwesenheit eines Anwalts, auf Kopie des Beschlusses, auf Widerspruch bekannt
Diese Vorbereitung wirkt nicht nur im Ernstfall – sie reduziert bereits das Risiko von Fehlern, die überhaupt erst zu Ermittlungen führen.
10. Verteidigungsansätze bei IT-Beschlagnahme
10.1 Angriff auf den Durchsuchungsbeschluss
Fehlende Konkretisierung – pauschale Beschlüsse sind angreifbar
Fehlende Sechs-Monats-Frist – veraltete Beschlüsse unwirksam
Fehlerhafte Gefahr-im-Verzug-Anordnung ohne rechtzeitige richterliche Bestätigung
10.2 Angriff auf die Sichtung nach § 110 StPO
Verletzung des Sichtungsrahmens (Zugriff über den Beschluss hinaus)
Fehlerhafte Behandlung von Berufsgeheimnisträgern
Sichtung ohne Versiegelung trotz Widerspruch
10.3 Angriff auf § 110 Abs. 3 StPO-Zugriffe
Kein tatsächlicher Zugriff vom durchsuchten Gerät aus möglich (fehlende gespeicherte Zugangsdaten)
Verlust nicht wirklich zu besorgen
Reichweite über den Beschluss hinaus
10.4 Forensische Angriffe
Fehler in der Chain of Custody
Manipulation oder Kontamination des Images
Fehlende Hash-Verifikation
Verwendung nicht anerkannter Tools ohne Validierung
10.5 Datenschutzrechtliche Verteidigung
Zugriff auf privat genutzte Datenbereiche ohne besondere Rechtfertigung
Behandlung von Daten Dritter (Kunden, Kollegen) ohne separate Rechtsgrundlage
Grenzen der Erhebung nach Art. 5 DSGVO und Auftragsverarbeitungspflichten
11. Praxis-Insight aus der Cybersecurity-Perspektive
Als Rechtsanwalt und Gründer eines Cybersecurity-Unternehmens sehe ich IT-Durchsuchungen aus doppelter Perspektive. Drei Beobachtungen:
Erstens: Die Reichweite des § 110 Abs. 3 StPO wird von Unternehmen dramatisch unterschätzt. Viele Geschäftsleitungen glauben, dass eine Durchsuchung am Firmensitz nur die dort vorhandenen Geräte erfasst. Tatsächlich reicht ein einziges entsperrtes Gerät mit gespeicherten Cloud-Zugängen, um den gesamten digitalen Fußabdruck des Unternehmens zu öffnen. Diese Erkenntnis muss vor dem Ernstfall in die Sicherheitsarchitektur einfließen: Zugangsdaten nicht auf allgemein zugänglichen Systemen speichern, Session-Timeout aktiv nutzen, sensible Systeme separat authentifizieren.
Zweitens: Die technische Beweissicherung durch Ermittlungsbehörden ist oft angreifbar. Nicht jede Staatsanwaltschaft verfügt über das forensische Personal, um komplexe IT-Beschlagnahmen sauber zu führen. Ich sehe regelmäßig Fälle, in denen die Chain of Custody unvollständig ist, Images ohne Hash-Verifikation gearbeitet werden, oder mit nicht validierten Tools analysiert wird. Diese Fehler sind Verteidigungsansätze – aber nur, wenn Verteidiger und eigene Sachverständige die technische Ebene wirklich beherrschen.
Drittens: Die Vorbereitung entscheidet über den Betriebsverlauf. Unternehmen mit dokumentiertem IT-Notfallplan überstehen Durchsuchungen mit begrenztem operativen Schaden. Unternehmen ohne solchen Plan verlieren oft Wochen oder Monate an Produktivität – nicht wegen der rechtlichen Auseinandersetzung, sondern wegen des reinen operativen Chaos. Der Plan schafft Klarheit in einer Situation, die ohne ihn kaum steuerbar ist. Er ist deshalb keine juristische Formalität, sondern Betriebskontinuität.
12. Häufige Fragen
Müssen wir das Passwort für unsere Systeme herausgeben?
Der Beschuldigte ist nicht verpflichtet, das Passwort herauszugeben – der nemo-tenetur-Grundsatz schützt vor aktiver Mitwirkung an der eigenen Überführung. Für Mitarbeiter, die nicht selbst Beschuldigte sind, gilt das nur eingeschränkt – aber auch sie können die Herausgabe verweigern, wenn sie sich damit selbst belasten würden (§ 55 StPO).
Darf die Polizei auf unsere Cloud zugreifen?
Ja, wenn vom durchsuchten Endgerät aus Zugriff möglich ist und der Verlust der Daten zu besorgen ist (§ 110 Abs. 3 StPO). Das ist bei den meisten modernen Cloud-Diensten der Fall. Praktisch bedeutet das: Ein einziger durchsuchter Laptop öffnet oft die gesamte Cloud-Infrastruktur.
Wie lange behalten die Ermittlungsbehörden unsere Server?
Häufig Monate bis Jahre. In der Praxis kann eine forensische Kopie erstellt und das Original zurückgegeben werden – aber nur auf Antrag nach § 98 Abs. 2 StPO. Ohne aktiven Antrag bleibt das Original oft für die gesamte Verfahrensdauer beschlagnahmt.
Können auch verschlüsselte Systeme durchsucht werden?
Vollverschlüsselte Systeme (BitLocker, FileVault, LUKS) sind für Ermittlungsbehörden ohne Passwort in der Regel nicht zugänglich. Bei entsperrten Geräten ist die Verschlüsselung praktisch aufgehoben. Für die IT-Sicherheitsarchitektur bedeutet das: konsequente Nutzung von Vollverschlüsselung ist auch ein rechtlicher Schutz.
Was ist mit iCloud oder Google-Konten?
Über § 110 Abs. 3 StPO erreichbar, sofern die Session auf dem durchsuchten Gerät aktiv ist. iCloud-Backups enthalten häufig die vollständige Kommunikations- und Fotohistorie. Praxis-Empfehlung: Business-Accounts sollten auf Firmengeräten gehalten werden, private Accounts sauber getrennt.
Wer haftet für Ausfälle während der Beschlagnahme?
Das Unternehmen selbst trägt den Schaden. Amtshaftungsansprüche sind theoretisch möglich, aber schwer durchzusetzen – die Rechtmäßigkeit der Durchsuchung reicht in aller Regel als Rechtfertigung. Präventiv: Cyberversicherung mit expliziter Betriebsunterbrechungsdeckung.
Können wir uns gegen die Sichtung von Kundendaten wehren?
Ja. Bei Multi-Tenant-Systemen und SaaS-Anbietern ist die Sichtung auf konkrete Sachverhalte zu beschränken. Über § 110 StPO müssen Ermittlungsbehörden präzise vorgehen und dürfen nicht pauschal alle Kundendaten prüfen. Der aktive Widerspruch und die Beschwerde nach § 304 StPO sind der Verteidigungsweg.
Was passiert mit den Daten unbeteiligter Mitarbeiter?
Grundsätzlich müssen nicht ermittlungsrelevante Daten gelöscht werden – die Praxis ist aber unterschiedlich. Für die Verteidigung wichtig: Nach Abschluss der Auswertung sollte die Löschung nicht relevanter Daten aktiv verlangt werden. Ohne Aufforderung bleiben viele Daten in behördlichen Beständen.
Fazit
Die IT-Durchsuchung ist heute der Standardfall der Wirtschaftsstrafverfolgung – nicht mehr die Ausnahme. Der rechtliche Rahmen aus §§ 102, 103, 110 StPO ist grundsätzlich unverändert, aber die praktische Reichweite durch § 110 Abs. 3 StPO erheblich erweitert. Ein einziger durchsuchter Laptop kann rechtlich die gesamte digitale Infrastruktur eines Unternehmens öffnen.
Die Verteidigung setzt an mehreren Ebenen an: der Rechtmäßigkeit der Durchsuchung selbst, der Reichweite der Sichtung, der Beweiskette in der IT-Forensik. Alle drei Ebenen erfordern präzises technisches und juristisches Verständnis. Wer nur eine Ebene beherrscht, verschenkt Verteidigungsansätze.
Für Unternehmen ist die Präventionsebene mindestens ebenso wichtig wie die Reaktion. Ein dokumentierter IT-Notfallplan, klare Zugriffsstrukturen, dokumentierte Rollen und eine Anwaltskanzlei auf Kurzwahl unterscheiden Unternehmen, die eine Durchsuchung bewältigen, von Unternehmen, die sie existenzbedrohend erleben. Diese Vorbereitung ist keine juristische Formalität – sie ist Grundlagenarbeit für die Betriebskontinuität in der digitalen Ökonomie.
Rechtlicher Hinweis
Dieser Beitrag ersetzt keine anwaltliche Beratung im Einzelfall. Die Ausführungen geben den Stand zum Veröffentlichungsdatum wieder. Für eine individuelle Einschätzung Ihres Falls vereinbaren Sie bitte ein vertrauliches Erstgespräch.
Über den Autor
Rechtsanwalt Niklas Hanitsch ist seit Ende 2016 als Strafverteidiger in wirtschaftsstrafrechtlichen Verfahren tätig, mit Schwerpunkt auf IT- und Cyber-Strafrecht sowie klassischem Wirtschaftsstrafrecht. Er ist Gründer und CEO von SECJUR, einem venture-finanzierten Unternehmen für Compliance- und Cybersicherheits-Automatisierung, das für den Google for Startups Cybersecurity Accelerator ausgewählt wurde. Mitglied der Bundesfachkommission Cybersicherheit im Wirtschaftsrat der CDU. Ausgezeichnet als Capital 40under40 (2023) und Deutscher Startup-Pokal Cybersecurity (2022). Frühere Stationen: Amazon Legal, Taylor Wessing (Deutschland und Silicon Valley), Bird & Bird.