Verbrechen des Hackens in Informationssysteme (TCK-Artikel 243)

Definition von Kriminalität (TCK-Artikel 243/1)

Mit einer Freiheitsstrafe wird bestraft, „wer sich widerrechtlich in ein Informationssystem oder Teile davon begibt oder sich darin aufhält“. Typische Kriminalitätselemente:

• Informationssystem: Computer, Server, Netzwerk, mobiles Gerät, Smartphone, IoT-Gerät, Bedienfeldsystem, Unternehmens-ERP/CRM-System usw.
• Rechtswidrigkeit: Fehlende Zustimmung und Erlaubnis des Systeminhabers/der autorisierten Person.
• Betreten oder Verbleiben:Erstmaliger Zutritt ohne Berechtigung oder Nichtverlassen nach Ablauf der Berechtigung

Das Verbrechen kann vorsätzlich begangen werden; Das fahrlässige Betreten eines Informationssystems stellt keine Straftat dar.

In der Gesetzgebung vorgesehener Strafrahmen

Gemäß TCK Artikel 243/1 ist die Grundstrafe eine Freiheitsstrafe von bis zu einem Jahr oder eine Geldstrafe. Allerdings ist die Strafe im konkreten Fall zu verhängen; Sie kann abhängig von der Art und Weise der Begehung der Straftat, dem verursachten Schaden, der Vergangenheit des Täters, den Gründen für die Ermessensreduzierung und dem Ermessen des Gerichts variieren. Die Strafe wird in den folgenden qualifizierten Fällen erhöht.

Qualifizierte Fälle

Leistungssysteme als Gegenleistung für Bezahlung (TCK-Artikel 243/2)

Wird diese Tat in Bezug auf die kostenpflichtig nutzbaren Systeme begangen, reduziert sich die Strafe um die Hälfte. Zum Beispiel das Eindringen in eine abonnementpflichtige VOD-Plattform.

Beschaffung von Daten oder Störung des Systems (TCK-Artikel 243/3)

Werden die im System enthaltenen Daten aufgrund dieser Tat vernichtet oder verändert, wird eine Freiheitsstrafe von 6 Monaten bis 2 Jahren verhängt. Dieser Absatz gilt für Täter, die über die bloße Infiltration hinausgehen und Daten zerstören.

Verhinderung der Funktionsfähigkeit des Systems (TCK Artikel 243/4)

Wer das Funktionieren eines Informationssystems verhindert oder stört, wird mit einer Freiheitsstrafe von 1 bis 5 Jahren bestraft. Dazu gehören DDoS-Angriffe und die Funktionsunfähigkeit des Servers.

Szenarien aus der Praxis

• Ehemaliger Mitarbeiter behält nach Ausscheiden aus der Position Zugriff auf das Unternehmenssystem
• Ehepartner/Partner greift auf das E-Mail- oder Social-Media-Konto einer anderen Person zu, indem er deren Passwort erfährt
• Unberechtigter Zugriff von Mietern, Partnern oder Mitbewohnern auf Geräte im öffentlichen Netzwerk
• Personen, die behaupten, „ethische Hacker“ zu sein, oder Sicherheitsforscher, die ohne Genehmigung Penetrationstests durchführen
• Überschreitung der Berechtigungsgrenzen im Gemeinschaftsprojekt (z. B. Zugriff eines autorisierten Benutzers auf die Daten anderer Benutzer)
• Betreten des Wi-Fi-Netzwerks durch Knacken des Passworts
• Fortsetzung der Sitzung auf einem anderen Gerät durch Anmeldung bei „Web“ in Instant-Messaging-Anwendungen

Beschwerde- und Untersuchungsprozess

Artikel 243 des TCK ist eine Straftat, die nicht auf einer Anzeige beruht, sondern von Amts wegen verfolgt wird. Der Eigentümer des Systems oder die autorisierte Person kann eine Strafanzeige bei der Staatsanwaltschaft oder den Strafverfolgungsbehörden einreichen. Im Rahmen der Untersuchung:

• IP-Adresserkennung (über Protokolle)
• Forensische Untersuchung (Gerät, Festplatte, Speicherabbild)
• Analyse von Systemprotokolldatensätzen
• Zeugenaussagen

Die Beweiserhebung ist abgeschlossen. Das forensische Gutachten ist in den meisten Fällen der entscheidende Beweis.

Zeitüberschreitung

Die Verjährungsfrist für eine Klage beträgt 8 Jahre, abhängig von der Höhe der Strafe (TCK Artikel 66/1-e). Diese Frist beginnt mit dem Datum der Begehung der Tat.

Gerichtsstand und zuständiges Gericht

• Zuständiges Gericht: Strafgericht erster Instanz (da die Höchststrafe 5 Jahre nicht überschreitet).
• Zuständiges Gericht: Das Gericht des Ortes, an dem die Straftat begangen wurde (CMK Artikel 12); Bei Cyberkriminalität wird der Ort, an dem die Straftat begangen wird, oft als der Ort betrachtet, an dem sich das System befindet oder der Ort, an dem der Schaden entsteht.

Ansatz des Obersten Gerichtshofs

Die 8. Strafkammer des Obersten Berufungsgerichts und die zuständigen Kammern, die später die Aufgabe übernommen haben, haben eine Rechtsprechung aufgestellt, die besagt, dass der Zugang zum Informationssystem an den Zeitpunkt des „tatsächlichen Zugangs“ gebunden ist und dass im versuchten Stadium nur das Erraten des Passworts verbleiben kann. Darüber hinaus kann auch das Überschreiten der Befugnisgrenzen (z. B. wenn der Mitarbeiter über die Module hinausgeht, für die er autorisiert ist) ein solches Verbrechen darstellen.

Häufig gestellte rechtliche Fragen

Begehe ich ein Verbrechen, wenn ich auf das Telefon meiner Frau gehe und ihre Nachrichten ansehe?

Der unbefugte Zugriff auf das persönliche Gerät/Passwort einer anderen Person, auch wenn es sich dabei um einen Ehepartner oder Liebhaber handelt, fällt möglicherweise in den Anwendungsbereich von Artikel 243 des TCK. Darüber hinaus kann auch das Verbrechen der TCK Art. 135-136 der rechtswidrigen Aufzeichnung/Verbreitung personenbezogener Daten in den Vordergrund rücken. Das Ergebnis hängt von den Umständen des Falles und der Beurteilung des Gerichts ab.

Kann ich mich beim Server meines alten Arbeitsplatzes anmelden und meine eigenen Dateien abrufen?

Mit Beendigung des Arbeitsverhältnisses endet auch die Zugriffsberechtigung auf Unternehmenssysteme. Auch wenn es Dateien gibt, die Sie als persönlich betrachten, birgt der Zugriff auf das System ohne schriftliche Genehmigung rechtliche Risiken. In solchen Fällen ist es sicherer, eine schriftliche Anfrage an den Arbeitgeber zu richten und rechtliche Schritte einzuleiten, wenn keine Antwort eingeht.

Ist es ausreichend, wenn ich sage, dass ich ein „ethischer Hacker“/Penetrationstester bin?

Unberechtigt durchgeführte Penetrationstests können eine Straftat darstellen. Für ethische Hackeraktivitäten ist es von großer Bedeutung, eine detaillierte schriftliche Vereinbarung (Umfang, Erlaubnis, Vertraulichkeit) mit dem Systembesitzer zu treffen und die Grenzwerte nicht zu überschreiten.

Wichtige Punkte im rechtlichen Verfahren

• Von dem Recht, forensischen Berichten und Protokollaufzeichnungen zu widersprechen, sollte Gebrauch gemacht werden.
• Es sollte sorgfältig geprüft werden, wer der Nutzer der betreffenden IP ist und ob eine gemeinsame IP/VPN verwendet wird.
• Die Anforderung eines unparteiischen Gutachtens sollte nicht vernachlässigt werden.
• Wenn Sie ein Opfer sind, ist es wichtig, eine digitale forensische Untersuchung einzuleiten, bevor die Beweiskette unterbrochen wird.