# § 202a StGB: Ausspähen von Daten - Strafbarkeit und Verteidigung
Kurz und klar
§ 202a StGB stellt das Ausspähen von Daten unter Strafe: Wer sich oder einem anderen unbefugt Zugang zu nicht für ihn bestimmten Daten verschafft, die gegen unberechtigten Zugang besonders gesichert sind, wird mit Freiheitsstrafe bis zu drei Jahren oder Geldstrafe bestraft. Die zentrale Frage in fast jedem Verfahren lautet: War die Zugangssicherung „besonders" – und war der Zugang „unbefugt"? An diesen zwei Punkten entscheidet sich die Strafbarkeit. Betroffen sind typischerweise IT-Sicherheitsforscher, Systemadministratoren, ehemalige Mitarbeiter mit Datenzugriff und Personen im Umfeld von Datenlecks.
Inhaltsverzeichnis
2. Tatbestandsmerkmale im Detail
3. Strafmaß und Strafzumessung
4. Verwandte Delikte: §§ 202b, 202c, 202d, 303a StGB
5. Typische Konstellationen aus der Praxis
7. Reformdiskussion: Der Hackerparagraph in der Debatte
8. Praxis-Insight: Was ich als SECJUR-Gründer sehe
1. Wortlaut und Schutzzweck
Der Wortlaut lautet:
§ 202a StGB – Ausspähen von Daten
(1) Wer unbefugt sich oder einem anderen Zugang zu Daten, die nicht für ihn bestimmt und die gegen unberechtigten Zugang besonders gesichert sind, unter Überwindung der Zugangssicherung verschafft, wird mit Freiheitsstrafe bis zu drei Jahren oder mit Geldstrafe bestraft.
(2) Daten im Sinne des Absatzes 1 sind nur solche, die elektronisch, magnetisch oder sonst nicht unmittelbar wahrnehmbar gespeichert sind oder übermittelt werden.
Schutzgut ist nicht die Vertraulichkeit von Informationen an sich, sondern das formelle Verfügungsrecht des Berechtigten über seine Daten. Anders gesagt: Nicht der Geheimnischarakter zählt, sondern die Frage, ob jemand ohne Erlaubnis die Zugangssperre überwindet. Diese Konstruktion ist zentral für das Verständnis vieler Verteidigungslinien.
Die Norm setzt Art. 3 des Übereinkommens über Computerkriminalität (Cybercrime Convention) sowie Art. 2 der EU-Richtlinie 2013/40/EU um. Sie ist entsprechend weit gefasst und wird in der Praxis auf sehr unterschiedliche Sachverhalte angewandt – vom klassischen Hack bis zum Aufruf einer öffentlich erreichbaren URL, die eigentlich nicht öffentlich sein sollte.
2. Tatbestandsmerkmale im Detail
2.1 Daten (§ 202a Abs. 2 StGB)
Erfasst sind ausschließlich Daten, die nicht unmittelbar wahrnehmbar gespeichert oder übermittelt werden. Ausgedruckte Dokumente fallen nicht darunter – nur elektronisch, magnetisch oder anderweitig gespeicherte Informationen. Für IT-Sachverhalte praktisch immer erfüllt.
2.2 Nicht für den Täter bestimmt
Der Zugang muss zu Daten erfolgen, die nach dem Willen des Berechtigten nicht für den Täter bestimmt sind. Bei Mitarbeitern ist häufig streitig, ob der Zugriff noch von der Berechtigungssphäre umfasst war. Bei Sicherheitsforschern ist entscheidend, ob eine Berechtigung – z. B. im Rahmen eines Bug-Bounty-Programms – vorlag.
2.3 Besondere Zugangssicherung – der Kern der Norm
Dies ist in der Praxis fast immer der wichtigste Streitpunkt.
„Besondere Zugangssicherung" verlangt eine Vorkehrung, die nach ihrer Beschaffenheit dazu bestimmt und geeignet ist, den Zugang zu den Daten zu erschweren oder auszuschließen. Erfasst sind unter anderem:
Passwörter und PIN-Verfahren
Verschlüsselungen (auch schwache)
Zugangsberechtigungen auf Netzwerk- oder Serverebene
Token-basierte Authentifizierung
Hardware-Sperren
Nicht ausreichend ist nach überwiegender Auffassung:
Eine bloße vertragliche oder organisatorische Zutrittsbeschränkung ohne technische Umsetzung
Ein reiner „Bitte-nicht-anschauen"-Hinweis
Öffentlich erreichbare URLs, die zwar unbeworben sind, aber ohne technische Hürde aufgerufen werden können – hier verläuft die Diskussion allerdings dogmatisch am kontroversesten (dazu unten unter Modern Solutions).
Nicht entscheidend ist die technische Qualität der Sicherung. Auch triviale Passwörter oder leicht umgehbare Vorkehrungen werden von der Rechtsprechung als „besondere Zugangssicherung" anerkannt, sofern erkennbar ein Zugangsschutz bezweckt war.
2.4 Überwindung der Zugangssicherung
Der Täter muss die Sicherung tatsächlich überwinden. Reines Erraten eines Passworts, das Kopieren des korrekten Zugangs von einer Person, die es fahrlässig offen liegen ließ, das Ausnutzen technischer Sicherheitslücken – all das kann tatbestandsmäßig sein.
Wer eine offene Sitzung nutzt oder auf ein System zugreift, dessen Passwort ihm ordnungsgemäß mitgeteilt wurde, überwindet nichts – hier fehlt das Merkmal regelmäßig. Genau das ist der Ansatzpunkt in Fällen ehemaliger Mitarbeiter mit noch aktiven Zugangsdaten.
2.5 Unbefugt
Der Zugang muss unbefugt erfolgen. Autorisierte Sicherheitsforschung, freigegebene Penetrationstests, richterlich angeordnete Ermittlungsmaßnahmen und Zustimmung des Berechtigten schließen die Rechtswidrigkeit aus. In der Praxis werden die Grenzen dieser Autorisierung – Umfang, Zeit, technischer Rahmen – oft streitig.
2.6 Vorsatz
Erforderlich ist Vorsatz hinsichtlich aller Tatbestandsmerkmale. Fahrlässiges Handeln ist nicht strafbar. In Grenzfällen – etwa bei Systemadministratoren, die unklare Berechtigungsstrukturen ausnutzen – kann bereits der Vorsatzbeweis erhebliche Schwierigkeiten bereiten.
3. Strafmaß und Strafzumessung
Der Strafrahmen reicht bis zu drei Jahren Freiheitsstrafe oder Geldstrafe. In der Praxis wird bei Ersttätern und einfachen Sachverhalten fast ausschließlich Geldstrafe verhängt. Freiheitsstrafen kommen bei:
Gewerbsmäßigkeit oder Bandenmäßigkeit (dann ohnehin § 202a oft flankiert von anderen Normen)
Erheblichem Datenvolumen oder besonders sensiblen Daten
Wiederholtem Verhalten
Zusammentreffen mit § 263a (Computerbetrug), § 303a/b (Datenveränderung, Computersabotage) oder § 202d (Datenhehlerei)
Die Strafverfolgung ist grundsätzlich Antragsdelikt (§ 205 Abs. 1 StGB), es sei denn, die Strafverfolgungsbehörde bejaht ein besonderes öffentliches Interesse. In Unternehmens-Konstellationen ist dieses öffentliche Interesse häufig gegeben, weshalb die Antragspraxis kein zuverlässiger Schutz ist.
Nebenfolgen: Bei IT-Berufen kann eine Verurteilung zum Verlust berufsrechtlicher Zulassungen oder zur Kündigung von Cloud-Service-Verträgen führen. Bei Beamten und öffentlich Bediensteten drohen disziplinarrechtliche Konsequenzen bis zur Entfernung aus dem Dienst.
4. Verwandte Delikte: §§ 202b, 202c, 202d, 303a StGB
§ 202a steht nicht allein, sondern in einem Normen-Cluster, das in jedem Verfahren mit IT-Bezug mitgeprüft werden muss.
§ 202b StGB Abfangen von Daten: Schutz nichtöffentlicher Datenübertragungen. Erfasst z. B. Man-in-the-Middle-Angriffe, das Mitschneiden von WLAN-Verkehr.
§ 202c StGB Vorbereiten des Ausspähens und Abfangens von Daten: Erfasst das Herstellen, Verschaffen, Verkaufen oder Zugänglichmachen von Passwörtern oder Hackertools. Umstritten und praktisch relevant für Sicherheitsforscher – dazu unten unter Reformdiskussion.
§ 202d StGB Datenhehlerei: Wer rechtswidrig erlangte Daten verkauft, weitergibt oder für sich verwendet. Zentral in Datenleak- und Doxing-Fällen.
§ 303a StGB Datenveränderung: Löschen, Unterdrücken, Unbrauchbarmachen oder Verändern von Daten.
§ 303b StGB Computersabotage: Erhebliche Störung einer Datenverarbeitung von wesentlicher Bedeutung – der klassische Ransomware- und DDoS-Paragraph.
In vielen Ermittlungsverfahren wird zunächst mit dem Vorwurf § 202a ermittelt und im Verlauf erweitert. Verteidigung muss diese Norm-Cluster frühzeitig antizipieren.
5. Typische Konstellationen aus der Praxis
5.1 Der ehemalige Mitarbeiter
Ein ausgeschiedener Mitarbeiter greift mit noch aktiven Zugangsdaten auf Firmenlaufwerke oder Cloud-Systeme zu und kopiert Daten. Klassischer Fall der praktischen Anwendung. Entscheidend: War der Zugang formal noch berechtigt (dann fehlt „unbefugt"), oder war die Berechtigung faktisch entzogen (dann liegt in aller Regel eine Strafbarkeit vor)?
5.2 Der Systemadministrator
Systemadministratoren haben typischerweise privilegierten Zugriff auf Daten anderer Mitarbeiter. Zugreifen dürfen sie aber nur im Rahmen ihrer arbeitsvertraglichen Aufgaben. Wer aus Neugier oder privaten Motiven auf E-Mail-Postfächer, HR-Akten oder Geschäftsführer-Verzeichnisse zugreift, macht sich strafbar. Diese Fälle sind praktisch häufig und werden oft im Rahmen von Compliance-Untersuchungen entdeckt.
5.3 Der Sicherheitsforscher
Der schwierigste Fall. Ein IT-Sicherheitsforscher entdeckt eine Sicherheitslücke, testet sie zur Verifikation und meldet sie dem Unternehmen. Rechtlich hoch problematisch, weil bereits der Testzugriff tatbestandsmäßig sein kann. In Deutschland hat dies zum bekannten Modern-Solutions-Fall geführt, der Reformdiskussionen ausgelöst hat.
5.4 Der Datenleak-Empfänger
Jemand erhält aus einem Datenleak einen Datensatz und lädt ihn herunter. Hier ist § 202a in der Regel nicht erfüllt, weil kein eigener Überwindungsakt vorliegt. In Betracht kommt aber § 202d StGB (Datenhehlerei) und je nach Weiterverwendung § 44 BDSG.
5.5 Der Innentäter mit Kollegen-Zugriff
Ein Mitarbeiter nutzt den kurz unbeaufsichtigten Rechner eines Kollegen, um vertrauliche Daten einzusehen. § 202a ist regelmäßig erfüllt, sofern der Kollege-Account passwortgeschützt ist – die Überwindung liegt bereits im Ausnutzen der geöffneten Session gegen den mutmaßlichen Willen.
6. Verteidigungsansätze
Die Verteidigung setzt bei den Tatbestandsmerkmalen selbst und – bei nicht ausräumbarer Tat – auf Ebene der Strafzumessung an.
6.1 Angriffe am Tatbestand
Fehlende besondere Zugangssicherung. Prüfung: War die Sicherung tatsächlich eine solche im Sinne der Norm, oder handelte es sich um eine bloß organisatorische Beschränkung? In Grenzfällen mit unbeworbenen URLs oder Standardpasswörtern lohnt die genaue Untersuchung der Sachverhalte.
Keine Überwindung. Wurde tatsächlich ein Schutzmechanismus umgangen, oder wurde legitim mit einem gültigen Zugang gearbeitet? Bei ehemaligen Mitarbeitern besonders relevant.
Berechtigung. Bestand eine – auch nur konkludente – Zustimmung? Interne Regelungen, Berechtigungsmatrix, IT-Nutzungsrichtlinien werden systematisch daraufhin durchgesehen.
Vorsatz. Ließ sich der Mandant durch eine Autorisierung, eine Anweisung, eine unklare Berechtigungsstruktur zum Zugriff verleiten? Bei Sicherheitsforschern häufig entscheidend.
6.2 Verfahrensrechtliche Angriffe
Beweisverwertungsverbote. Bei Durchsuchungsmaßnahmen mit IT-Bezug häufig fehlerhaft: Umfang der Beschlagnahme, Sichtung ohne Versiegelung, Zugriff auf verschlüsselte Daten ohne rechtliche Grundlage.
Fehlerhaftes Sichtungsverfahren nach § 110 StPO. IT-Beschlagnahme muss besonderen Anforderungen genügen, die in der Praxis oft nicht eingehalten werden.
Fehlerhafte Belehrung bei Beschuldigtenvernehmung – klassisches Einfallstor, insbesondere wenn der Verdacht erst im Rahmen einer internen Untersuchung entstanden ist.
6.3 Strafzumessungsargumente
Wenn die Tat nicht bestritten werden kann, ist die Strafzumessung das nächste Feld:
Freiwillige Offenlegung und Meldung an das Unternehmen
Kooperation mit den Ermittlungsbehörden
Wiedergutmachung – auch symbolisch, z. B. Datenrückgabe und Löschbestätigungen
Zeitablauf und lange Verfahrensdauer
Berufliche Konsequenzen, die den Beschuldigten außerhalb des Verfahrens bereits treffen
In vielen einfachen Fällen ist eine Einstellung nach § 153 oder § 153a StPO realistisch – gegen Auflage, oft mit Geldbuße zugunsten gemeinnütziger Einrichtungen. Diese Wege bleiben aber nur offen, wenn frühzeitig und strategisch verhandelt wird.
7. Reformdiskussion: Der Hackerparagraph in der Debatte
Die geltende Fassung von §§ 202a, 202c StGB ist seit langem umstritten, weil sie legitime IT-Sicherheitsforschung kriminalisiert. Die Diskussion hat 2024–2025 an Fahrt aufgenommen:
Der bekannte Fall Modern Solutions hat es bis zum Bundesverfassungsgericht gebracht. Ein IT-Berater, der auf einer öffentlich erreichbaren URL eine Sicherheitslücke entdeckt und dem Unternehmen gemeldet hatte, wurde vom Amtsgericht Jülich verurteilt. Die Diskussion um „öffentlich erreichbar = keine besondere Sicherung" ist damit auch verfassungsrechtlich adressiert.
Das Bundesministerium der Justiz prüft ausdrücklich eine Reform, um Sicherheitsforscher rechtssicher zu stellen.
Die BSI-Präsidentin fordert eine Entkriminalisierung von Responsible-Disclosure-Prozessen.
Für Beschuldigte, die als Sicherheitsforscher agieren, ist die aktuelle Rechtsprechung uneinheitlich. Verteidigungspraktisch bedeutet das: Der Sachverhalt muss präzise auf die aktuelle Rechtslage bezogen aufgearbeitet werden – pauschale Verweise auf „legitime Forschung" reichen nicht.
8. Praxis-Insight: Was ich als SECJUR-Gründer sehe
Als Gründer und CEO eines Cybersecurity-Unternehmens habe ich zwei Perspektiven auf § 202a StGB, die in reiner juristischer Beratung oft fehlen:
Erstens: Die technische Beweislage entscheidet häufig, nicht die juristische Argumentation. Wer heute Datenausspähen verteidigt, muss Logfiles lesen können, SIEM-Systeme verstehen, wissen, wie forensische Images angefertigt werden und wo ihre Grenzen liegen. Fehlerhafte Beweissicherung durch die Ermittlungsbehörden ist häufig – aber sie muss technisch nachgewiesen werden. Ein Verteidiger, der die Sprache der IT-Forensik nicht spricht, verschenkt hier regelmäßig Ansätze.
Zweitens: Compliance-Systeme entscheiden, ob es überhaupt zum Verfahren kommt. In vielen internen Fällen wird ein Datenmissbrauch zunächst intern entdeckt. Die Frage, ob das Unternehmen Anzeige erstattet, hängt oft weniger vom Sachverhalt ab als von den Reaktions-Playbooks der Rechts- und Compliance-Abteilung. Ein sauber aufgesetztes Incident-Response-Verfahren – idealerweise dokumentiert vor dem Vorfall – kann die Weichen entscheidend stellen. Für Founder und CISOs heißt das: § 202a-Risiken sind nicht nur ein Verteidiger-Thema, sondern zuerst ein Compliance-Thema.
9. Häufige Fragen
Ist Ausspähen von Daten immer strafbar?
Nein. § 202a setzt voraus, dass die Daten gegen unberechtigten Zugang besonders gesichert sind und dass diese Sicherung überwunden wird. Ohne technische Zugangssperre – etwa bei rein organisatorischen Zugriffsbeschränkungen – ist der Tatbestand regelmäßig nicht erfüllt.
Wer kann sich nach § 202a StGB strafbar machen?
Grundsätzlich jeder, der unbefugt auf besonders gesicherte Daten zugreift. In der Praxis besonders relevant: ehemalige Mitarbeiter mit noch aktiven Zugängen, Systemadministratoren, die ihre privilegierten Rechte missbrauchen, sowie IT-Sicherheitsforscher, deren Zugriff nicht durch Bug-Bounty-Programme oder Verträge gedeckt ist.
Wie hoch ist die Strafe bei Datenausspähen?
Der Strafrahmen reicht bis zu drei Jahren Freiheitsstrafe oder Geldstrafe. In der Praxis werden bei Ersttätern und einfachen Sachverhalten fast ausschließlich Geldstrafen verhängt – nicht selten in einer Größenordnung von 30 bis 120 Tagessätzen. Freiheitsstrafen drohen bei erheblichem Datenvolumen, sensiblen Daten oder Zusammentreffen mit anderen Delikten.
Was tun bei Vorwurf § 202a StGB?
Sofort einen Strafverteidiger mit IT-Erfahrung einschalten und keine Aussagen zur Sache machen. Insbesondere keine „aufklärenden" Gespräche mit dem Arbeitgeber, keine schriftlichen Stellungnahmen, keine spontanen Erklärungen. Frühzeitige Weichen entscheiden über den Verfahrensausgang.
Ist Penetration Testing strafbar?
Nicht, wenn eine ausdrückliche Beauftragung des Auftraggebers vorliegt, die den Umfang, die Zielsysteme und den Zeitraum abdeckt. Pentesting ohne Auftrag oder außerhalb des vereinbarten Rahmens ist voll tatbestandsmäßig. Verträge und Autorisierungen müssen vorher schriftlich vorliegen – nicht erst nach Testbeginn.
Was ist mit Bug-Bounty-Programmen?
Anerkannte Bug-Bounty-Programme, die den Sicherheitsforschern innerhalb eines definierten Rahmens Testzugriffe erlauben, sind grundsätzlich Autorisierung im Sinne von § 202a. Kritisch wird es, wenn der Forscher außerhalb des Programm-Scope agiert oder ein Programm zwar öffentlich beworben, aber nicht formell etabliert ist.
Wann greift § 202c StGB (Vorbereitung)?
§ 202c stellt bereits das Vorbereiten unter Strafe: Herstellen, Verschaffen, Verkaufen oder Zugänglichmachen von Zugangsdaten, Passwörtern oder Hackertools. Kritisch für Sicherheitsforscher, die Tools entwickeln oder besitzen, die auch für rechtswidrige Angriffe geeignet sind. Die Absichtselemente werden hier häufig streitig.
Können auch Unternehmen belangt werden?
§ 202a bestraft die natürliche Person. Für Unternehmen kann aber nach § 30 OWiG eine Geldbuße festgesetzt werden, wenn eine Leitungsperson die Tat begangen hat. Zusätzlich droht Einziehung von Taterträgen. In Konzernstrukturen kommt der § 130 OWiG (Aufsichtspflichtverletzung) hinzu.
Fazit
§ 202a StGB gehört zu den praktisch bedeutsamsten Normen des modernen Wirtschaftsstrafrechts. Weit gefasst, technisch komplex, in wesentlichen Punkten durch aktuelle Rechtsprechung und Reformdiskussion in Bewegung. Wer sich einem Vorwurf ausgesetzt sieht, sollte drei Regeln beherzigen: schweigen, dokumentieren, einen Verteidiger mit IT-Verständnis einschalten. Wer präventiv arbeitet – als Founder, CISO oder DPO – sollte klare Zugriffsregelungen, saubere Berechtigungsstrukturen und dokumentierte Incident-Response-Prozesse etablieren. Das reduziert nicht nur das Strafbarkeitsrisiko, sondern erleichtert im Ernstfall auch die Verteidigung erheblich.
Rechtlicher Hinweis
Dieser Beitrag ersetzt keine anwaltliche Beratung im Einzelfall. Die Ausführungen geben den Stand zum Veröffentlichungsdatum wieder. Für eine individuelle Einschätzung Ihres Falls vereinbaren Sie bitte ein vertrauliches Erstgespräch.
Über den Autor
Rechtsanwalt Niklas Hanitsch ist seit Ende 2016 als Strafverteidiger in wirtschaftsstrafrechtlichen Verfahren tätig, mit Schwerpunkt auf IT- und Cyber-Strafrecht. Er ist Gründer und CEO von SECJUR, einem venture-finanzierten Unternehmen für Compliance- und Cybersicherheits-Automatisierung, das für den Google for Startups Cybersecurity Accelerator ausgewählt wurde. Mitglied der Bundesfachkommission Cybersicherheit im Wirtschaftsrat der CDU. Ausgezeichnet als Capital 40under40 (2023) und Deutscher Startup-Pokal Cybersecurity (2022). Frühere Stationen: Amazon Legal, Taylor Wessing (Deutschland und Silicon Valley), Bird & Bird.