§ 303b StGB Computersabotage: Strafbarkeit von DDoS, Ransomware und Malware
Kurz und klar
§ 303b StGB stellt die erhebliche Störung einer für einen anderen wesentlichen Datenverarbeitung unter Strafe – Grundstrafe bis zu drei Jahre Freiheitsstrafe. Bei Angriffen auf Datenverarbeitungen von Unternehmen, Behörden oder öffentlichen Einrichtungen steigt der Strafrahmen auf bis zu fünf Jahre (§ 303b Abs. 2), in besonders schweren Fällen bis zu zehn Jahre (§ 303b Abs. 4). Erfasst sind alle Angriffsformen: DDoS-Attacken, Ransomware, Malware, Datenlöschung, Verschlüsselung, physische Zerstörung von IT-Anlagen. Auch bereits die Vorbereitung ist strafbar – § 303b Abs. 5 verweist auf § 202c StGB (Herstellen und Zugänglichmachen von Hackertools). Für die Verteidigung sind zwei Punkte zentral: die technische Beweiskette (Attribution, forensische Sicherung) und die Frage der „erheblichen Störung" – nicht jeder IT-Vorfall erreicht diese Schwelle.
Inhaltsverzeichnis
2. Die drei Tathandlungen im Detail
3. Erhebliche Störung – die wichtigste Auslegungsfrage
4. Wesentliche Bedeutung der Datenverarbeitung
5. Qualifikationen: Betriebe, Unternehmen, Behörden
6. Besonders schwerer Fall (Abs. 4)
7. Vorbereitung nach § 202c StGB analog
8. Typische Konstellationen aus der Praxis
10. Praxis-Insight aus der Cybersecurity-Perspektive
11. Häufige Fragen
1. Wortlaut und Systematik
Der Wortlaut lautet:
§ 303b StGB – Computersabotage
(1) Wer eine Datenverarbeitung, die für einen anderen von wesentlicher Bedeutung ist, dadurch erheblich stört, dass er
1. eine Tat nach § 303a Abs. 1 begeht,
2. Daten (§ 202a Abs. 2) in der Absicht, einem anderen Nachteil zuzufügen, eingibt oder übermittelt oder
3. eine Datenverarbeitungsanlage oder einen Datenträger zerstört, beschädigt, unbrauchbar macht, beseitigt oder verändert,
wird mit Freiheitsstrafe bis zu drei Jahren oder mit Geldstrafe bestraft.
(2) Handelt es sich um eine Datenverarbeitung, die für einen fremden Betrieb, ein fremdes Unternehmen oder eine Behörde von wesentlicher Bedeutung ist, ist die Strafe Freiheitsstrafe bis zu fünf Jahren oder Geldstrafe.
(3) Der Versuch ist strafbar.
(4) In besonders schweren Fällen des Absatzes 2 ist die Strafe Freiheitsstrafe von sechs Monaten bis zu zehn Jahren. Ein besonders schwerer Fall liegt in der Regel vor, wenn der Täter
1. einen Vermögensverlust großen Ausmaßes herbeiführt,
2. gewerbsmäßig oder als Mitglied einer Bande handelt, die sich zur fortgesetzten Begehung von Computersabotage verbunden hat,
3. durch die Tat die Versorgung der Bevölkerung mit lebenswichtigen Gütern oder Dienstleistungen oder die Sicherheit der Bundesrepublik Deutschland beeinträchtigt.
(5) Für die Vorbereitung einer Straftat nach Absatz 1 gilt § 202c entsprechend.
Systematische Einordnung: § 303b StGB steht im Cluster der Datenschutz- und Computerstraftaten (§§ 202a ff., 303a, 303b StGB) und ist die schärfste Kernnorm gegen Angriffe auf Datenverarbeitungssysteme.
Verhältnis zu § 303a StGB: § 303a stellt die Datenveränderung als solche unter Strafe (Löschen, Unterdrücken, Unbrauchbarmachen, Verändern von Daten). § 303b setzt einen Grad höher an und knüpft an die zusätzliche Wirkung – die erhebliche Störung einer Datenverarbeitung. § 303b Abs. 1 Nr. 1 ist Qualifikation zu § 303a, die Nr. 2 und Nr. 3 sind eigenständige Tatbestände.
Schutzgüter: Die Funktionsfähigkeit von Datenverarbeitungen, das darauf ruhende Vermögen und – bei Abs. 4 Nr. 3 – die öffentliche Sicherheit und Versorgung.
2. Die drei Tathandlungen im Detail
§ 303b Abs. 1 nennt drei alternative Tathandlungen, die jeweils zur erheblichen Störung führen müssen.
2.1 Nr. 1 – Datenveränderung (Rückverweis auf § 303a)
Erfasst sind Löschen, Unterdrücken, Unbrauchbarmachen und Verändern von Daten. Praxis-Anwendungen:
Ransomware-Verschlüsselung: Die Verschlüsselung von Produktivdaten ist eine Datenveränderung im Sinne des § 303a StGB. Wenn dadurch eine wesentliche Datenverarbeitung erheblich gestört wird, greift § 303b Abs. 1 Nr. 1.
Löschen von Backups: Häufig Teil eines Ransomware-Angriffs, um die Zahlung erzwingen zu können. Auch für sich eine tatbestandsmäßige Handlung.
Manipulation von Datenbankeinträgen: Umschreiben, Löschen, Ergänzen von Datensätzen – etwa in Warenwirtschaftssystemen, Buchhaltungssystemen oder ERP-Systemen.
Website-Defacement: Verändern des Inhalts einer Website, wenn dies die eigentliche Funktion der Website erheblich beeinträchtigt.
2.2 Nr. 2 – Eingabe oder Übermittlung von Daten in Schädigungsabsicht
Der klassische DDoS-Tatbestand. Wer Datenpakete an ein Zielsystem sendet – in Massen oder gezielt manipuliert – mit dem Ziel, dessen Verfügbarkeit zu beeinträchtigen, erfüllt Nr. 2. Praxis:
DDoS-Attacken: Distributed Denial of Service. Massenhafte Anfragen von Botnets, um Server unerreichbar zu machen. Klassischer § 303b Abs. 1 Nr. 2-Fall.
DoS-Angriffe von einzelnen Quellen: Auch ohne Botnet strafbar.
Log-Flooding: Erzeugung massenhafter Log-Einträge, um Systeme zu lähmen oder Aufmerksamkeit von anderen Angriffen abzulenken.
E-Mail-Bombing: Massenhafte E-Mail-Zustellung an Zielsysteme zur Überlastung des Mail-Servers.
Erforderlich ist die Schädigungsabsicht – der Täter muss die Beeinträchtigung des anderen zumindest billigend in Kauf nehmen. Bedingter Vorsatz reicht.
2.3 Nr. 3 – Zerstörung, Beschädigung, Unbrauchbarmachen, Beseitigen oder Verändern der Hardware
Der physische Angriff auf Hardware. Beispiele:
Zerstörung von Servern
Physische Beschädigung von Datenträgern
Diebstahl kritischer Hardware
Herbeiführung von Stromausfällen bei Rechenzentren
Absichtliche Beschädigung von Netzwerkkomponenten
Auch dieser Tatbestand hat in Kombination mit der Cyber-Welt an Relevanz gewonnen: physische Zugriffe auf IT-Anlagen von Insidern, Sabotage durch entlassene Techniker, Angriffe auf kritische Infrastruktur.
3. Erhebliche Störung – die wichtigste Auslegungsfrage
Das Merkmal „erhebliche Störung" ist der zentrale Anknüpfungspunkt für die Verteidigung. Ohne erhebliche Störung greift § 303b nicht – dann bleibt nur der Grundtatbestand § 303a (bis zu zwei Jahre Freiheitsstrafe).
3.1 Definition
„Stören" meint jede nicht unerhebliche Beeinträchtigung der bestimmungsgemäßen Funktion der Datenverarbeitung. „Erheblich" verlangt, dass die Störung wirtschaftlich, funktional oder zeitlich einen nennenswerten Umfang erreicht.
3.2 Kriterien in der Rechtsprechung
Dauer der Störung: Kurze Ausfälle (Minuten) sind regelmäßig nicht erheblich. Ausfälle über mehrere Stunden oder Tage sind in aller Regel erheblich.
Umfang der betroffenen Systeme: Nur ein Nebensystem oder das Kernsystem des Betriebs?
Wirtschaftlicher Schaden: Umsatzeinbußen, Produktionsausfälle, Wiederherstellungskosten als Indikatoren.
Kritikalität: Betroffene Systeme mit besonderer Bedeutung (Zahlungsverkehr, Produktion, Notfallsysteme) erhöhen die Wahrscheinlichkeit der Erheblichkeit.
3.3 Verteidigungsansatz
Bei jedem § 303b-Vorwurf muss die Verteidigung die Erheblichkeit der Störung präzise prüfen. Häufige Angriffspunkte:
Wurde die Betroffenheit dokumentiert? Log-Files, Uptime-Statistiken, Incident-Response-Protokolle?
War die Dienstunterbrechung durch bereits vorhandene Redundanzen aufgefangen?
Ist der wirtschaftliche Schaden nachweisbar oder nur behauptet?
Wurde die Störung durch das Vorgehen des Opfers selbst mitverursacht (etwa durch unzureichende Backups)?
Bei kleineren Störungen kann eine Reduktion auf § 303a StGB (bis zu zwei Jahre) oder – bei fehlender Datenveränderung – sogar Freispruch möglich sein.
4. Wesentliche Bedeutung der Datenverarbeitung
Nur die Störung einer für einen anderen wesentlichen Datenverarbeitung ist § 303b-relevant.
Wesentlich ist eine Datenverarbeitung, wenn ihr Ausfall für den Betroffenen einschneidende Konsequenzen hat – wirtschaftlich, organisatorisch oder existenziell. Praxis:
Kernsysteme eines Unternehmens: Warenwirtschaft, Buchhaltung, Kundenverwaltung, Produktionssteuerung
Kommunikationsinfrastruktur, wenn davon Geschäftsprozesse abhängen
Kritische Fach-Datenbanken (Rechtsdatenbanken bei Kanzleien, Patientenakten bei Ärzten, technische Zeichnungen bei Ingenieurbüros)
Cloud-Systeme, sofern von ihnen zentrale Prozesse abhängen
Bei natürlichen Personen greift Abs. 1 mit dem niedrigeren Strafrahmen (bis 3 Jahre) – etwa bei Angriffen auf private Datenverarbeitungen mit erheblicher persönlicher Bedeutung (Freelancer, Kleinstunternehmer). Bei Betrieben, Unternehmen und Behörden greift Abs. 2 mit dem höheren Rahmen (bis 5 Jahre).
5. Qualifikationen: Betriebe, Unternehmen, Behörden
§ 303b Abs. 2 verschärft den Strafrahmen auf bis zu fünf Jahre Freiheitsstrafe, wenn die Datenverarbeitung für „einen fremden Betrieb, ein fremdes Unternehmen oder eine Behörde" von wesentlicher Bedeutung ist.
Betriebe: wirtschaftliche Einheiten unabhängig von der Rechtsform. Einzelunternehmer, Freiberufler, Handwerksbetriebe.
Unternehmen: juristische Personen und Personengesellschaften. GmbH, AG, KG, GbR.
Behörden: öffentliche Stellen aller Ebenen – Bundes-, Landes-, Kommunalverwaltungen, Ministerien, nachgeordnete Behörden.
Praktisch fallen die meisten Cyber-Angriffe auf professionelle Datenverarbeitungen unter Abs. 2. Der Grundtatbestand des Abs. 1 spielt in reinen Wirtschaftsstrafverfahren eine Nebenrolle.
6. Besonders schwerer Fall (Abs. 4)
Bei Angriffen auf Unternehmen, Betriebe oder Behörden mit einem der drei Regelbeispiele des Abs. 4 steigt der Strafrahmen auf sechs Monate bis zehn Jahre Freiheitsstrafe.
6.1 Vermögensverlust großen Ausmaßes
Nach ständiger BGH-Rechtsprechung liegt die Schwelle bei etwa 50.000 Euro. Bei Ransomware-Angriffen mit erheblichen Wiederherstellungskosten oder Betriebsunterbrechungen wird diese Schwelle regelmäßig überschritten. Der Vermögensverlust muss vom Vorsatz umfasst sein – bedingter Vorsatz genügt.
6.2 Gewerbsmäßig oder bandenmäßig
Gewerbsmäßig: Der Täter beabsichtigt, sich durch wiederholte Computersabotage eine Einnahmequelle zu schaffen. Bei organisierten Ransomware-Gruppen fast immer der Fall.
Bandenmäßig: Zusammenschluss von mindestens drei Personen zur fortgesetzten Begehung. Bei nahezu allen professionellen Cybercrime-Gruppen einschlägig.
Bei organisierten Ransomware-Aktivitäten oder DDoS-Erpressungen ist diese Qualifikation die Regel, nicht die Ausnahme.
6.3 Beeinträchtigung lebenswichtiger Güter/Dienstleistungen oder Sicherheit der Bundesrepublik
Der schwerste Regelbeispielfall. Angriffe auf:
Energieversorgung
Gesundheitswesen (Krankenhäuser, Krankenhausinformationssysteme)
Trinkwasserversorgung
Zahlungsverkehr
Öffentliche Verwaltung mit systemischer Bedeutung
Verteidigung, Nachrichtendienste, Bundesbehörden mit Sicherheitsaufgaben
Bei Angriffen auf kritische Infrastrukturen (KRITIS) ist dieser Regelbeispielfall in aller Regel einschlägig.
7. Vorbereitung nach § 202c StGB analog
§ 303b Abs. 5 erklärt § 202c StGB für die Vorbereitung entsprechend anwendbar. Damit sind bereits Vorbereitungshandlungen strafbar:
Herstellen von Malware zur Computersabotage
Verschaffen oder Verkaufen von Hackertools mit Sabotage-Funktionalität
Zugänglichmachen von Passwörtern und Zugangsdaten zur Vorbereitung
Aufbau von Botnets
Dies ist praktisch besonders relevant für die Verteidigung von Sicherheitsforschern, Malware-Analysten und Penetration-Testern, deren Werkzeuge auch für rechtswidrige Angriffe geeignet sein können. Das Merkmal der Absicht („zur Vorbereitung") ist häufig der entscheidende Ansatzpunkt der Verteidigung.
8. Typische Konstellationen aus der Praxis
8.1 Ransomware-Angriff auf ein mittelständisches Unternehmen
Klassischer Fall: Verschlüsselung der Produktivdaten, Löschung der Backups, mehrtägiger Produktionsausfall, Wiederherstellungskosten im sechs- oder siebenstelligen Bereich. Rechtlich: § 303b Abs. 2 in Verbindung mit Abs. 4 Nr. 1 und häufig Nr. 2 (bandenmäßig). Neben § 303b greifen typischerweise § 253 StGB (Erpressung), § 261 StGB (Geldwäsche bei Zahlungsvermittlung), § 202a StGB (bei vorherigem Datenzugriff).
8.2 DDoS-Angriff auf einen Wettbewerber
Ein Unternehmer beauftragt einen DDoS-Angriff auf die Website eines Konkurrenten. Rechtlich: § 303b Abs. 1 Nr. 2 (Auftragnehmer) und § 303b Abs. 2 in Verbindung mit § 26 StGB (Anstiftung, Auftraggeber). Oft parallel UWG-Verletzungen (§ 4 UWG), zivilrechtliche Unterlassungs- und Schadensersatzansprüche.
8.3 Der frustrierte Ex-Mitarbeiter
Ein gekündigter IT-Administrator zerstört bei seinem letzten Arbeitstag Server oder löscht kritische Datenbanken. Rechtlich: § 303b Abs. 1 Nr. 1 oder Nr. 3, meist Abs. 2. Häufig parallel § 202a StGB (unbefugter Datenzugang nach faktischem Rechteentzug) und § 42 BDSG (bei betroffenen personenbezogenen Daten).
8.4 Der Sicherheitsforscher mit Test-Malware
Ein Penetration-Tester setzt Malware im Auftrag ein, überschreitet aber den vertraglich vereinbarten Rahmen. Rechtlich: Grundtatbestand § 303b Abs. 1, aber Verteidigung über die Frage der Autorisierung. § 202c-Vorbereitungsvorwurf bei Besitz der Tools kann bereits eigenständig relevant sein.
8.5 Insider-Sabotage im Unternehmen
Ein Mitarbeiter manipuliert intern Buchungsvorgänge, um Fehler in der Buchhaltung zu erzeugen. Rechtlich: § 303a StGB und – bei erheblicher Störung der Buchhaltung – § 303b Abs. 2. Häufig parallel § 266 StGB (Untreue), § 263a StGB (Computerbetrug bei Vermögensverfügung), Steuerdelikte.
9. Verteidigungsansätze
9.1 Angriff am Tatbestand
Fehlende erhebliche Störung. Wenn die Beeinträchtigung marginal war, Redundanzen den Angriff aufgefangen haben oder die betroffene Datenverarbeitung nicht wesentlich war, entfällt § 303b. Übrig bleibt allenfalls § 303a mit deutlich niedrigerem Strafrahmen.
Wesentliche Bedeutung fragwürdig. Bei Randsystemen, kaum genutzten Anwendungen oder in Wartungsphasen nutzlosen Systemen.
Autorisierung. Bei Insidern und Sicherheitsforschern: Bestand eine – möglicherweise informelle – Autorisierung? Waren die Testrahmen dokumentiert?
Fehlende Zurechnung. Bei technisch komplexen Angriffen ist die Attribution häufig unsicher. IP-Adressen, VPN-Nutzung, Botnet-Teilnahme, kompromittierte Zwischenrechner erschweren die Zurechnung zu einer konkreten Person.
9.2 Verfahrensrechtliche Angriffe
Digitale Beweiskette. Chain of Custody bei forensischer Sicherung. Bei Fehlern häufig Verwertbarkeitsprobleme.
Auslandsbeweismittel. Rechtshilfeersuchen, Verwertbarkeit von Beweisen aus Drittstaaten, Datenschutzimplikationen.
Durchsuchungsfehler. Bei IT-Beschlagnahme: Beschluss-Anforderungen, Sichtungsverfahren, Reichweite.
9.3 Strafzumessung
Wiedergutmachung, insbesondere Wiederherstellungshilfe
Kooperation mit den Ermittlungsbehörden
Aufklärung von Bandenstrukturen
Berufliche und wirtschaftliche Konsequenzen
Bei Ersttätern und begrenztem Schaden: Bewährungsstrafe realistisch
10. Praxis-Insight aus der Cybersecurity-Perspektive
Als Rechtsanwalt und Gründer eines Cybersecurity-Unternehmens sehe ich § 303b-Verfahren regelmäßig aus doppelter Perspektive. Drei Beobachtungen:
Erstens: Die technische Beweisführung entscheidet den Verfahrensausgang. § 303b-Verfahren sind fast immer technisch komplex. Log-Files, Netzwerkforensik, Malware-Analyse, Wallet-Verfolgung bei Ransomware. Der Verteidiger muss diese Ebene inhaltlich verstehen – nicht nur an Sachverständige delegieren. Wer Beweisführungslücken der Ermittlungsbehörden nicht selbst erkennt, verschenkt Ansätze.
Zweitens: Für Unternehmen ist die eigene Beweislage der Schlüssel. In Verfahren gegen Angreifer entscheidet häufig, ob das Opferunternehmen den Vorfall sauber dokumentiert hat – Incident-Response-Protokolle, forensische Images, Timeline-Rekonstruktionen. Unternehmen, die im Ernstfall improvisieren, verlieren häufig sowohl den strafrechtlichen Zugriff als auch die versicherungsrechtliche Deckung. Präventive IR-Playbooks sind rechtlich wertvoll.
Drittens: Die § 202c-Vorbereitungsstrafbarkeit ist ein unterschätztes Risiko für Sicherheitsforscher. Ich sehe regelmäßig Fälle, in denen Sicherheitsforscher oder Malware-Analysten mit § 202c-Vorwürfen konfrontiert werden – nicht weil sie einen konkreten Angriff geplant hätten, sondern weil sie Tools besitzen, die auch für rechtswidrige Angriffe geeignet sind. Diese Fälle sind rechtlich häufig gewinnbar, aber sie kosten Zeit, Geld und Reputation. Dokumentierte Forschungsprojekte, klare Auftragsvertragswerke und funktionierende Ethikrahmen sind der beste Präventivschutz.
11. Häufige Fragen
Ist ein DDoS-Angriff nach deutschem Recht strafbar?
Ja. DDoS-Angriffe fallen regelmäßig unter § 303b Abs. 1 Nr. 2 (Übermittlung von Daten in Schädigungsabsicht) und – bei Angriffen auf Unternehmen – unter Abs. 2 mit Strafrahmen bis zu fünf Jahren Freiheitsstrafe.
Wie hoch ist die Strafe bei Ransomware-Angriffen?
Bei Angriffen auf Unternehmen greift § 303b Abs. 2 (bis 5 Jahre), regelmäßig verbunden mit Abs. 4 (bis 10 Jahre) wegen großen Vermögensverlusts oder bandenmäßiger Begehung. Zusätzlich meist § 253 StGB Erpressung. Praktische Freiheitsstrafen liegen bei erwischten Bandenmitgliedern in der Größenordnung von drei bis acht Jahren.
Was ist der Unterschied zu § 303a StGB?
§ 303a stellt die Datenveränderung als solche unter Strafe. § 303b setzt zusätzlich eine erhebliche Störung einer wesentlichen Datenverarbeitung voraus. § 303b ist die schärfere Norm mit höherem Strafrahmen. Bei geringfügigen Störungen bleibt oft nur § 303a übrig.
Ist der Versuch strafbar?
Ja. § 303b Abs. 3 stellt den Versuch ausdrücklich unter Strafe. Bereits ein misslungener DDoS-Angriff oder eine nicht aktivierbare Ransomware kann strafbar sein.
Was ist mit Sicherheitsforschern?
Legitime Sicherheitsforschung im Rahmen von Bug-Bounty-Programmen oder ausdrücklichen Auftragsverträgen ist nicht strafbar. Kritisch wird es bei Testhandlungen außerhalb autorisierter Bereiche oder beim Besitz von Hackertools ohne dokumentierten Forschungskontext (§ 202c StGB analog).
Kann auch das Unternehmen des Täters belangt werden?
Bei natürlichen Personen greift § 303b. Für das Unternehmen kommen § 30 OWiG (Geldbuße bei Handeln durch Leitungsperson), Einziehung von Taterträgen und – bei Tätigwerden in eigenem Namen für einen Auftraggeber – zivilrechtliche Ansprüche in Betracht.
Was passiert, wenn der Täter im Ausland sitzt?
Deutsches Strafrecht greift nach § 9 StGB auch, wenn der Erfolgsort (Systemausfall in Deutschland, Vermögensschaden bei deutschem Unternehmen) im Inland liegt. Praktische Verfolgung hängt von Rechtshilfe und Auslieferung ab. Bei EU-Tätern über die EU-Sicherstellungsanordnung häufig möglich.
Wie sichert man sich als Unternehmen richtig ab?
Präventiv: Backup-Strategie mit Immutable Storage, dokumentierte Incident-Response-Prozesse, Cyberversicherung mit klaren Deckungsbedingungen, dokumentierte NIS-2-Compliance. Im Ernstfall: sofortige Anwaltseinbindung, forensische Sicherung durch qualifizierte externe Dienstleister, koordinierte Kommunikation an Behörden und ggf. Öffentlichkeit.
Fazit
§ 303b StGB ist die zentrale Norm gegen digitale Sabotage im deutschen Strafrecht. Sie erfasst nahezu alle relevanten Angriffsformen – von DDoS über Ransomware bis zur physischen Zerstörung von Hardware. Die Verteidigung setzt an mehreren Stellen an: der technischen Attribution, dem Merkmal der erheblichen Störung, der Frage der Autorisierung. Für Unternehmen als Opfer ist die eigene Vorbereitung entscheidend – wer im Vorfall improvisiert, verliert oft die Möglichkeit zur strafrechtlichen Verfolgung und die versicherungsrechtliche Deckung.
Die Norm trifft auch Sicherheitsforscher und legitime IT-Dienstleister, deren Tätigkeit im Grenzbereich angesiedelt ist. Wer in diesem Feld tätig ist – als Pentester, Malware-Analyst, Incident Responder –, sollte seine Arbeit rechtssicher dokumentieren und die Grenzen zur eigenen Strafbarkeit kennen. Die aktuelle Reformdiskussion um den „Hackerparagrafen" bezieht auch § 303b in bestimmten Konstellationen ein.
Rechtlicher Hinweis
Dieser Beitrag ersetzt keine anwaltliche Beratung im Einzelfall. Die Ausführungen geben den Stand zum Veröffentlichungsdatum wieder. Für eine individuelle Einschätzung Ihres Falls vereinbaren Sie bitte ein vertrauliches Erstgespräch.
Über den Autor
Rechtsanwalt Niklas Hanitsch ist seit Ende 2016 als Strafverteidiger in wirtschaftsstrafrechtlichen Verfahren tätig, mit Schwerpunkt auf IT- und Cyber-Strafrecht sowie klassischem Wirtschaftsstrafrecht. Er ist Gründer und CEO von SECJUR, einem venture-finanzierten Unternehmen für Compliance- und Cybersicherheits-Automatisierung, das für den Google for Startups Cybersecurity Accelerator ausgewählt wurde. Mitglied der Bundesfachkommission Cybersicherheit im Wirtschaftsrat der CDU. Ausgezeichnet als Capital 40under40 (2023) und Deutscher Startup-Pokal Cybersecurity (2022). Frühere Stationen: Amazon Legal, Taylor Wessing (Deutschland und Silicon Valley), Bird & Bird.