Wenn Mitarbeiter Daten stehlen - strafrechtliche Optionen
Kurz und klar
Wenn ein aktueller oder ehemaliger Mitarbeiter Unternehmensdaten – Kundenlisten, technische Konzepte, Preiskalkulationen, Quellcode – kopiert, mitnimmt oder weitergibt, greifen bis zu fünf Straftatbestände parallel: § 23 Geschäftsgeheimnisgesetz (bis 3 Jahre Freiheitsstrafe, bei schweren Fällen bis 5 Jahre), § 202a StGB (Ausspähen von Daten), § 42 BDSG (bei personenbezogenen Daten, bis 3 Jahre), § 202d StGB (Datenhehlerei bei Weiterverwendung), § 303a StGB (Datenveränderung bei Löschung). Zivilrechtlich kommen Unterlassungs-, Auskunfts- und Schadensersatzansprüche aus GeschGehG, UWG, § 823 BGB und Arbeitsvertrag hinzu. Die entscheidende Weiche stellen Sie in den ersten 48 Stunden: forensische Beweissicherung, dokumentierte interne Untersuchung und die strategische Entscheidung zwischen zivilrechtlicher Eile (einstweilige Verfügung) und strafrechtlicher Anzeige.
Inhaltsverzeichnis
1. Was zählt als Insider Threat
2. Die fünf strafrechtlichen Optionen
3. § 23 GeschGehG – der zentrale Tatbestand
4. Zivilrechtliche Kaskade parallel
5. Die ersten 48 Stunden – Handlungsleitfaden
6. Beweissicherung und interne Untersuchung
7. Strafanzeige, einstweilige Verfügung, arbeitsrechtliche Schritte – was zuerst?
8. Praxis-Insight aus der Cybersecurity-Perspektive
1. Was zählt als Insider Threat
„Insider Threat" ist ein Sammelbegriff für Schäden, die durch aktuelle oder ehemalige Berechtigte des Unternehmens verursacht werden. Rechtlich unterscheiden sich mehrere Konstellationen deutlich:
Der ausscheidende Mitarbeiter mit Kundendaten. Der klassische Fall: Ein Vertriebler kündigt, kopiert vor Austritt die Kundendatei, nimmt sie zum neuen Arbeitgeber mit. Rechtlich meist § 23 GeschGehG, § 42 BDSG und § 202a StGB, flankiert von UWG-Ansprüchen.
Der Ex-Mitarbeiter mit weiter aktiven Zugängen. Kündigung ausgesprochen, aber die IT hat die Zugänge zu Cloud-Systemen, Backup-Servern oder Passwortmanagern noch nicht deaktiviert. Der Ex-Mitarbeiter greift von außen zu. Klassischer § 202a-Fall, häufig ergänzt durch § 42 BDSG und § 23 GeschGehG.
Der aktuelle Mitarbeiter mit privilegiertem Zugriff. Ein Systemadministrator, ein Controller, eine HR-Verantwortliche greift auf Daten zu, die außerhalb der eigenen Rolle liegen. Motive: Neugier, Rache, Verkauf an Wettbewerber, Beweismittel für persönliche Konflikte. Rechtlich § 202a StGB, § 42 BDSG bei personenbezogenen Daten.
Der Whistleblower. Ein Mitarbeiter deckt Missstände auf und übergibt interne Unterlagen an Aufsichtsbehörden, Presse oder Ermittler. Rechtlich besonders komplex, weil das Hinweisgeberschutzgesetz und § 5 GeschGehG Ausnahmen vorsehen – hier ist Zurückhaltung bei der Strafverfolgung geboten. Falscher Umgang eskaliert oft zur Reputationskrise.
Der bewusste Sabotage-Akt. Ein Mitarbeiter löscht, verändert oder zerstört Daten aus Rache oder Erpressungsmotiven. Rechtlich § 303a StGB (Datenveränderung), § 303b StGB (Computersabotage bei erheblicher Störung), ggf. § 253 StGB (Erpressung).
Für jede Konstellation gilt: Die strafrechtlichen Optionen bestehen – aber sie sind nicht immer die klügste Wahl. Die zivilrechtliche und arbeitsrechtliche Ebene wirkt oft schneller.
2. Die fünf strafrechtlichen Optionen
§ 23 GeschGehG – Geschäftsgeheimnisverletzung
Der praktisch wichtigste Tatbestand seit Inkrafttreten des Geschäftsgeheimnisgesetzes 2019. Erfasst das unbefugte Erlangen, Nutzen und Offenlegen von Geschäftsgeheimnissen. Strafrahmen: bis zu drei Jahren Freiheitsstrafe, in besonders schweren Fällen bis zu fünf Jahren.
§ 202a StGB – Ausspähen von Daten
Wenn der Zugriff besonders gesicherte Daten überwindet – bei Ex-Mitarbeitern mit deaktivierten oder umgangenen Zugängen fast immer einschlägig. Strafrahmen: bis zu drei Jahren Freiheitsstrafe.
§ 42 BDSG – Datenschutzstrafrecht
Bei Kundenlisten, HR-Daten und anderen personenbezogenen Daten – häufig parallel zu § 23 GeschGehG. Voraussetzung: gewerbsmäßige Weitergabe einer großen Zahl (Abs. 1) oder Verarbeitung mit Bereicherungs- oder Schädigungsabsicht (Abs. 2). Antragsdelikt.
§ 202d StGB – Datenhehlerei
Für den empfangenden neuen Arbeitgeber, Wettbewerber oder Käufer der Daten. Wer rechtswidrig erlangte Daten verkauft, weitergibt oder verwendet, macht sich strafbar. Bis zu drei Jahre Freiheitsstrafe.
§ 303a / § 303b StGB – Datenveränderung, Computersabotage
Wenn im Zuge der Datenmitnahme auch Daten gelöscht, verändert oder Systeme sabotiert werden. Bei erheblicher Störung von Datenverarbeitungen wesentlicher Bedeutung ist § 303b einschlägig – Strafrahmen bis zu fünf Jahren, in besonders schweren Fällen bis zu zehn Jahren.
Idealkonkurrenz und Tatmehrheit sind in Insider-Threat-Fällen die Regel, nicht die Ausnahme. Die Verteidigung wie auch die Anzeige durch das Unternehmen muss das Norm-Cluster antizipieren.
3. § 23 GeschGehG – der zentrale Tatbestand
Das Geschäftsgeheimnisgesetz hat 2019 das alte Strafrecht des UWG (§§ 17–19 UWG) ersetzt und deutlich präzisiert.
3.1 Was ist ein „Geschäftsgeheimnis" nach § 2 Nr. 1 GeschGehG
Ein Geschäftsgeheimnis liegt nur vor, wenn drei Voraussetzungen kumulativ erfüllt sind:
Nicht allgemein bekannt oder ohne Weiteres zugänglich. Rein öffentlich verfügbare Informationen sind keine Geheimnisse.
Wirtschaftlicher Wert wegen Geheimhaltung. Die Information muss einen kommerziellen Wert haben, der gerade aus der Geheimhaltung entspringt.
Angemessene Geheimhaltungsmaßnahmen. Das Unternehmen muss aktiv Schutzmaßnahmen ergreifen und nachweisen. Genau hier scheitern in der Praxis viele Verfahren.
Praxis-Konsequenz für Unternehmen: Ohne dokumentierte Schutzmaßnahmen kein Strafverfahren. Klassifizierungsschemata (öffentlich / intern / vertraulich / streng vertraulich), technische Zugriffsbeschränkungen, dokumentierte NDAs und Onboarding-Schulungen sind rechtlich der Rohstoff jedes späteren Verfahrens.
3.2 Die Tathandlungen nach § 23 Abs. 1
Nr. 1: Unbefugtes Erlangen eines Geschäftsgeheimnisses durch unbefugten Zugang, unbefugte Aneignung oder unbefugtes Kopieren (§ 4 Abs. 1 Nr. 1).
Nr. 2: Nutzen oder Offenlegen eines derart erlangten Geschäftsgeheimnisses (§ 4 Abs. 2 Nr. 1 lit. a).
Nr. 3: Nutzen oder Offenlegen unter Verletzung vertraglicher Verpflichtungen (§ 4 Abs. 2 Nr. 3).
3.3 § 23 Abs. 2 – Kettenhaftung
Wer ein Geschäftsgeheimnis durch die Tathandlung eines Dritten erlangt und dies weiß, macht sich beim Nutzen oder Offenlegen ebenfalls strafbar. Das erfasst den empfangenden Arbeitgeber oder Wettbewerber – ein zentrales Instrument gegen die Zielrichtung der Datenmitnahme.
3.4 § 23 Abs. 4 – Qualifikationen
Besonders schwerer Fall bei:
Gewerbsmäßigkeit
Kenntnis von Nutzung im Ausland
Große Vermögensschäden
Strafrahmen: drei Monate bis fünf Jahre Freiheitsstrafe.
3.5 § 23 Abs. 8 – Antragsdelikt
Wichtig: § 23 GeschGehG ist grundsätzlich Antragsdelikt. Der Verletzte muss binnen drei Monaten ab Kenntnis Antrag stellen. Ohne Antrag kein Strafverfahren – es sei denn, die Staatsanwaltschaft bejaht ausnahmsweise ein besonderes öffentliches Interesse.
Konsequenz: Wenn das Unternehmen die Frist versäumt, ist der strafrechtliche Weg regelmäßig verschlossen. Der Zeitdruck ist real – häufig fällt die Kenntnis mit dem Ausscheiden zusammen, aber die Auffindung der Datenmitnahme erfolgt Wochen später.
3.6 § 5 GeschGehG – Whistleblowing-Ausnahme
Wenn der Mitarbeiter Rechtsverstöße, Fehlverhalten oder sonstiges Fehlverhalten aufdeckt und dies dem Schutz des allgemeinen öffentlichen Interesses dient, ist die Handlung nach § 5 GeschGehG gerechtfertigt. Diese Ausnahme greift auch, wenn die Offenlegung gegenüber externen Stellen (Presse, Behörden) erfolgt – ohne dass ein interner Abhilfeversuch vorausgesetzt wird.
Für Unternehmen heißt das: Wenn der Ex-Mitarbeiter behauptet, aus Whistleblower-Motiven zu handeln, wird eine Strafanzeige riskant. Das GeschGehG-Verfahren kann sich in einen Reputationsprozess gegen das Unternehmen wandeln.
4. Zivilrechtliche Kaskade parallel
Neben dem Strafrecht steht ein starkes zivilrechtliches Instrumentarium bereit:
§ 6 ff. GeschGehG – Beseitigungs- und Unterlassungsansprüche, Anspruch auf Vernichtung, Herausgabe, Rückruf, Auskunft, Schadensersatz.
Einstweilige Verfügung – bei drohendem oder anhaltendem Nutzungsversuch die schärfste Waffe. In Eilverfahren wird häufig innerhalb weniger Tage ein Nutzungs- und Weitergabeverbot ausgesprochen. Ohne mündliche Verhandlung möglich, mit sofortiger Vollstreckbarkeit.
UWG-Ansprüche – bei Wettbewerbsbezug typischerweise gegen den empfangenden neuen Arbeitgeber gerichtet.
Schadensersatz aus § 823 BGB – bei Verletzung des eingerichteten und ausgeübten Gewerbebetriebs.
Arbeitsvertragliche Ansprüche – Wettbewerbsverbot, nachvertragliches Wettbewerbsverbot (mit Karenzentschädigung), Vertragsstrafen bei ausdrücklichen Verpflichtungen.
Prozesstaktisch entscheidend: Der zivilrechtliche Weg ist häufig schneller als der strafrechtliche. Eine einstweilige Verfügung liegt binnen einer Woche vor, eine Anklageerhebung dauert regelmäßig Monate bis Jahre. Für den Schutz laufender Geschäfte ist die zivilrechtliche Priorität meist die richtige Weiche.
5. Die ersten 48 Stunden – Handlungsleitfaden
Stunde 0–4: Sofortmaßnahmen
IT-Zugänge des Verdächtigen umgehend deaktivieren. Alle Systeme: E-Mail, Cloud, VPN, Passwortmanager, physischer Zugang. Vor Bekanntmachung an den Betroffenen.
Log-Sicherung. Zugriffs-Logs, Download-Logs, USB-Anschluss-Protokolle, Cloud-Zugriffslogs, E-Mail-Ausleitungen einfrieren. Vor jeder Systemänderung.
Forensisches Image des Arbeitsrechners. Nicht der Rechner selbst wird untersucht – zuerst eine bit-genaue Kopie erstellen, damit das Original als Beweismittel unversehrt bleibt.
Kern-Rechtsberatung. Anwalt mit Erfahrung im Zusammenspiel GeschGehG / StGB / Datenschutz einbinden. Diese drei Ebenen sind untrennbar.
Stunde 4–24: Untersuchungsplan
Umfang klären. Welche Daten sind betroffen? Welche Systeme wurden zugegriffen? Wo liegen die Daten jetzt (E-Mail-Ausleitung, USB-Stick, private Cloud, gedrucktes Dokument)?
Zeugen benennen. Kollegen, IT-Mitarbeiter, HR-Verantwortliche. Aussagen dokumentieren, ohne die Kollegen in die Untersuchung selbst hineinzuziehen.
Externe Forensik prüfen. Bei komplexen Fällen frühzeitig externe IT-Forensiker einbinden – ihre Sachverständigengutachten haben vor Gericht höheren Beweiswert als interne Analysen.
Datenschutz-Prüfung. Interne Ermittlungen mit Zugriff auf E-Mails und Systeme des Mitarbeiters sind DSGVO-relevant. § 26 BDSG und Art. 6 Abs. 1 f) DSGVO als Rechtsgrundlagen prüfen; Betriebsrat einbinden, wenn erforderlich.
Stunde 24–48: Strategieentscheidung
Zivilrecht vs. Strafrecht. Einstweilige Verfügung sofort, Strafanzeige mit Bedacht.
Whistleblower-Prüfung. Behauptet der Betroffene Missstände? Wenn ja, ist Zurückhaltung angezeigt und ggf. eine interne Aufklärung nötig, bevor Anzeige erstattet wird.
Kommunikation. Interne Kommunikation kontrollieren, damit keine Zeugen im Vorfeld beeinflusst werden. Bei öffentlichkeitswirksamen Vorfällen Kommunikationsberatung einbinden.
Cyberversicherung informieren und Fristen für Deckung wahren.
6. Beweissicherung und interne Untersuchung
Die Beweisführung entscheidet den Verfahrensausgang. Drei Punkte, die in der Praxis häufig unterschätzt werden:
6.1 Chain of Custody
Jede Datenverarbeitung im Ermittlungsprozess muss dokumentiert sein: Wer hat wann welchen Datenträger wo verwahrt, wer hatte Zugriff, welche Analysen wurden mit welchen Tools durchgeführt? Vor Gericht sind bruchhafte Beweisketten regelmäßig angreifbar.
6.2 Rechtmäßigkeit der Beweiserhebung
Bei der Untersuchung von E-Mails, Chat-Verläufen und privaten Nutzungen des Firmengeräts stellen sich datenschutzrechtliche Fragen. Die Rechtsprechung differenziert zwischen ausschließlich dienstlicher und geduldeter privater Nutzung. Wo private Nutzung erlaubt ist, gelten strengere Anforderungen an die Sichtung – ohne Einwilligung oder besonderen Anlass droht Beweisverwertungsverbot.
6.3 Verhältnismäßigkeit
Die interne Untersuchung muss verhältnismäßig sein. Wer nach einer einzelnen mutmaßlichen Datenmitnahme flächendeckend E-Mails aller Kollegen sichtet, riskiert eigene Strafbarkeit nach § 202a StGB, § 42 BDSG und § 26 Abs. 8 BDSG. Der Untersuchungsumfang muss dokumentiert begründbar sein.
6.4 Zeugenaussagen im Rahmen von Mitarbeiterbefragungen
Auch das Fragen von Kollegen ist heikel. Wer Mitarbeiter im Rahmen einer internen Untersuchung befragt, muss die Grenzen der arbeitsvertraglichen Auskunftspflicht und des Selbstbelastungsschutzes beachten. Näher dazu in einem eigenen Beitrag (Interne Untersuchung: Rechte von Mitarbeitern bei Befragungen).
7. Strafanzeige, einstweilige Verfügung, arbeitsrechtliche Schritte – was zuerst?
Die typische Reihenfolge in der Praxis:
Erstens: Interne Sicherungsmaßnahmen (Zugänge deaktivieren, Beweise sichern) – innerhalb Stunden.
Zweitens: Einstweilige Verfügung – innerhalb der ersten Woche, oft binnen Tagen. Ziel: sofortiges Verbot der weiteren Nutzung. Auch ohne Anhörung möglich, mit sofortiger Vollstreckung.
Drittens: Arbeitsrechtliche Schritte – außerordentliche Kündigung (§ 626 BGB) bei aktuellem Beschäftigungsverhältnis, ggf. Freistellung.
Viertens: Strafanzeige – wenn strategisch sinnvoll und die Fristen (§ 23 Abs. 8 GeschGehG: 3 Monate) gewahrt bleiben. Häufig strategisch nach den ersten zivilrechtlichen Weichenstellungen, um in Vergleichsverhandlungen einen zusätzlichen Hebel zu haben.
Sonderfall Reputation: Bei besonders sensiblen Konstellationen (Whistleblower-Behauptung, prominente Mandanten, Medienauge) sollte die Strafanzeige zurückhaltend geprüft werden. Ein öffentlichkeitswirksames Strafverfahren gegen einen Ex-Mitarbeiter kann sich schnell in eine PR-Katastrophe verwandeln – insbesondere, wenn der Vorwurf schwer beweisbar oder umstritten ist.
8. Praxis-Insight aus der Cybersecurity-Perspektive
Als Rechtsanwalt und Gründer eines Compliance-Automatisierungs-Unternehmens sehe ich Insider-Threat-Fälle regelmäßig aus beiden Perspektiven – als Berater des betroffenen Unternehmens und in der Prävention. Drei Beobachtungen:
Erstens: Die meisten Verfahren scheitern an der Vorbereitung, nicht am Sachverhalt. Wer erst nach dem Vorfall über Klassifizierungsschemata und Log-Retention nachdenkt, hat verloren. Unternehmen mit funktionierendem Data-Loss-Prevention-System, dokumentierten Geheimhaltungsmaßnahmen und klaren Rollen-Berechtigungen führen ihre Verfahren erfolgreich. Unternehmen ohne diese Strukturen verlieren – juristisch, aber auch faktisch, weil sie ihren eigenen Schaden nicht rekonstruieren können.
Zweitens: Die Off-Boarding-Praxis entscheidet das Rennen. Ein Großteil der Insider-Threat-Fälle geht auf ausscheidende Mitarbeiter zurück, die zwischen Kündigung und tatsächlichem Ausscheiden ihre Zugänge nutzen. Ein sauberes Off-Boarding – Zugänge am Kündigungstag entzogen, geräteinventur dokumentiert, Cloud-Sessions terminiert, Backups verifiziert – ist der wichtigste präventive Hebel. Und häufig der einfachste.
Drittens: Die zivilrechtliche Eile wird von Unternehmen unterschätzt. Ich sehe regelmäßig Fälle, in denen die Geschäftsleitung Wochen mit „interner Prüfung" verbringt, bevor sie zum Anwalt geht. In dieser Zeit werden Daten weitergenutzt, kopiert, verkauft. Die einstweilige Verfügung ist keine bürokratische Formalität – sie ist die schnellste Waffe, und sie funktioniert nur, wenn sie schnell eingesetzt wird.
9. Häufige Fragen
Kann ein Ex-Mitarbeiter strafrechtlich verfolgt werden, wenn er Kundendaten mitgenommen hat?
Ja, in aller Regel. Je nach Umständen greifen § 23 GeschGehG (Geschäftsgeheimnisverletzung), § 42 BDSG (bei personenbezogenen Daten), § 202a StGB (bei Überwindung von Zugangssicherungen) und § 202d StGB (bei Weiterverwendung durch Dritte). Voraussetzung ist häufig ein Strafantrag durch das Unternehmen innerhalb von drei Monaten ab Kenntnis.
Was ist der Unterschied zwischen § 23 GeschGehG und § 202a StGB?
§ 23 GeschGehG schützt Geschäftsgeheimnisse als solche und setzt „angemessene Geheimhaltungsmaßnahmen" voraus. § 202a StGB schützt die formale Zugangskontrolle – wer besondere Zugangssicherungen überwindet, macht sich strafbar, unabhängig vom wirtschaftlichen Wert der Daten. In der Praxis liegen häufig beide Normen parallel vor.
Muss das Unternehmen Anzeige erstatten?
Es besteht keine Anzeigepflicht. Aber: § 23 GeschGehG und § 42 BDSG sind Antragsdelikte mit Dreimonatsfrist ab Kenntnis. Wer die Frist versäumt, verliert die strafrechtliche Option in aller Regel. Deshalb sollte die Frage „Anzeige oder nicht" frühzeitig – aber bedacht – entschieden werden.
Was passiert mit dem neuen Arbeitgeber des Ex-Mitarbeiters?
Wenn der neue Arbeitgeber weiß oder wissen muss, dass die Daten rechtswidrig erlangt wurden, ist er nach § 23 Abs. 2 GeschGehG und § 202d StGB (Datenhehlerei) selbst strafbar. Zusätzlich haftet er zivilrechtlich – über UWG und § 823 BGB – für Unterlassung und Schadensersatz.
Kann ich Zugriff auf die private E-Mail oder das Smartphone des Mitarbeiters nehmen?
Nein, ohne Einwilligung oder besonderen Rechtstitel nicht. Auch der Firmen-Laptop mit erlaubter Privatnutzung unterliegt eingeschränkten Zugriffsrechten. Ein Zugriff ohne Rechtsgrundlage macht die interne Untersuchung selbst rechtswidrig – mit möglichen Strafbarkeitsfolgen für die Untersuchungsleitung.
Wie sichere ich Beweise richtig?
Zuerst ein forensisches Image des Datenträgers durch qualifizierte IT-Forensiker erstellen. Nur auf dem Image arbeiten, das Original als Beweismittel unangetastet lassen. Chain-of-Custody durchgängig dokumentieren. Bei komplexen Fällen externe Sachverständige einbinden – ihre Analysen haben vor Gericht höheren Beweiswert.
Was ist mit dem Betriebsrat?
Bei internen Untersuchungen mit Bezug zu einzelnen Mitarbeitern greift regelmäßig § 87 BetrVG (Mitbestimmung bei Kontrollmaßnahmen). Bei bloßer Sachverhaltsaufklärung eines konkreten Verdachts ist die Mitbestimmung häufig nicht ausgelöst – aber die Grenzen sind streitig und im Einzelfall zu prüfen.
Wie hoch sind die Strafen in der Praxis?
Bei Ersttätern und einfachen Sachverhalten überwiegend Geldstrafen (60 bis 180 Tagessätze). Bei gewerbsmäßigem oder bandenmäßigem Vorgehen, großen Datenmengen oder erheblichen Vermögensschäden Freiheitsstrafen mit oder ohne Bewährung. In Verfahren mit organisierter Datenhehlerei (Verkauf an ausländische Konkurrenten, Preisgabe an Presse gegen Entgelt) sind auch Freiheitsstrafen von zwei bis fünf Jahren realistisch.
Fazit
Insider-Threat-Verfahren sind vielschichtig – strafrechtlich, zivilrechtlich, arbeitsrechtlich, datenschutzrechtlich. Die Weichen werden in den ersten 48 Stunden gestellt: forensische Beweissicherung, dokumentierte interne Untersuchung, klare Priorisierung zwischen einstweiliger Verfügung und Strafanzeige. Wer diese Schritte vorbereitet hat – mit Klassifizierungsschema, funktionierendem Off-Boarding, dokumentierten Geheimhaltungsmaßnahmen – gewinnt die Verfahren, die zu führen sich lohnen. Wer improvisiert, verliert häufig beide Ebenen: den strafrechtlichen Zugriff und den zivilrechtlichen Schutz.
Rechtlicher Hinweis
Dieser Beitrag ersetzt keine anwaltliche Beratung im Einzelfall. Die Ausführungen geben den Stand zum Veröffentlichungsdatum wieder. Für eine individuelle Einschätzung Ihres Falls vereinbaren Sie bitte ein vertrauliches Erstgespräch.
Über den Autor
Rechtsanwalt Niklas Hanitsch ist seit Ende 2016 als Strafverteidiger in wirtschaftsstrafrechtlichen Verfahren tätig, mit Schwerpunkt auf IT- und Cyber-Strafrecht, Datenschutzstrafrecht und Compliance-Beratung für Unternehmen in sensiblen Lagen. Er ist Gründer und CEO von SECJUR, einem venture-finanzierten Unternehmen für Compliance- und Cybersicherheits-Automatisierung, das für den Google for Startups Cybersecurity Accelerator ausgewählt wurde. Mitglied der Bundesfachkommission Cybersicherheit im Wirtschaftsrat der CDU. Ausgezeichnet als Capital 40under40 (2023) und Deutscher Startup-Pokal Cybersecurity (2022). Frühere Stationen: Amazon Legal, Taylor Wessing (Deutschland und Silicon Valley), Bird & Bird.