CyberPediaWissenA3-06NIS-2

Strafrechtliche Risiken

Autor: Willi Plattes LinkedIn
Erstveröffentlichung: 05. Juli 2026 · Letzte Aktualisierung: 19. September 2026
Lesezeit: 71 Min.

1. Worum es geht — Bußgeld ist nicht Strafe

Der wichtigste Satz vorab: Ein Cybervorfall, ein Verstoß gegen NIS-2 (die europäische Netz- und Informationssicherheitsrichtlinie) oder ein Organisationsmangel ist nicht automatisch eine Straftat. Strafrecht beginnt erst dort, wo eine natürliche Person einen eigenständigen Straftatbestand erfüllt. Den Überblick über Haftung und Sanktionen gibt Haftung und Sanktionen — Überblick; Verbandsgeldbuße und Bußgeldverfahren stehen in Verbandsgeldbuße (§ 65 BSIG).

2. Das Schwellen-Gate: Pflicht, Ordnungswidrigkeit, Straftat, Täter

Praktisch geht es zuerst um die Schleuse: Pflichtverletzung prüfen, Bußgeld prüfen, Straftat getrennt prüfen. Wer diese Reihenfolge überspringt, verschärft oder verharmlost das Risiko.

2.1 Die Grundformel

Die richtige Kette lautet:

Cyber- oder Compliance-Sachverhalt → einschlägige Pflicht → persönlicher und sachlicher Anwendungsbereich → konkrete Pflichtverletzung → Bußgeldtatbestand → Zurechnung → Bußgeld.

Getrennt davon läuft:

Sachverhalt → eigenständiger Straftatbestand → Tatobjekt → Handlung oder Unterlassen → Erfolg oder Gefahr → Kausalität → subjektive Merkmale → Rechtswidrigkeit und Schuld → Versuch, Antrag oder Verfolgungsvoraussetzung → persönliche Strafe.

Das BSI-Gesetz, ausgeschrieben Gesetz über das Bundesamt für Sicherheit in der Informationstechnik, kurz BSIG, enthält mit § 38 BSIG eigene Pflichten für Geschäftsleitungen bestimmter Einrichtungen. Diese Pflichtquelle ist ernst zu nehmen. Sie ist aber kein Strafgesetz. § 65 BSIG [N-BSIG-65] ist ein Bußgeldanker. § 130 Ordnungswidrigkeitengesetz, kurz OWiG, betrifft die Verletzung von Aufsichtspflichten in Betrieben oder Unternehmen. Auch das ist eine Ordnungswidrigkeit, keine Straftat. Bei § 130 OWiG [N-OWiG-130] ist zusätzlich entscheidend, ob eine betriebsbezogene Zuwiderhandlung durch gehörige Aufsicht verhindert oder wesentlich erschwert worden wäre; ein bloßer Organisationsmangel genügt nicht als Straf- oder Bußgeldersatz.

Das Strafgesetzbuch, kurz StGB, setzt als Ausgangspunkt Vorsatz voraus. Fahrlässigkeit ist nur strafbar, wenn das jeweilige Gesetz sie ausdrücklich mit Strafe bedroht. Deshalb ist „grob fahrlässig schlechte Cybersicherheit“ nicht automatisch Untreue. Umgekehrt gibt es echte Fahrlässigkeitsstrafbarkeit, etwa bei Insolvenzverschleppung nach § 15a Insolvenzordnung, kurz InsO, bei § 42 Unternehmensstabilisierungs- und -restrukturierungsgesetz, kurz StaRUG, bei Kapitalverlustpflichten oder bei fahrlässiger Körperverletzung nach § 229 StGB.

Zur subjektiven Seite gehören auch Irrtumsfragen. § 16 StGB betrifft den Irrtum über Tatumstände und kann Vorsatz ausschließen. § 17 StGB betrifft das Unrechtsbewusstsein. Rechtsrat, Krisenstress oder technische Komplexität ersetzen diese Prüfung nicht automatisch; sie sind aber für Vorsatz, Fahrlässigkeit, Schuld und Dokumentation relevant.

Bei Unternehmen muss die Ordnungswidrigkeitenebene zusätzlich über § 9 OWiG und § 30 OWiG gelesen werden. § 9 OWiG [N-OWiG-9] betrifft Handeln für einen anderen; § 30 OWiG [N-OWiG-30] betrifft die Geldbuße gegen juristische Personen oder Personenvereinigungen. Dafür sind Leitungsperson, Anknüpfungstat, Verletzung von Verbandspflichten oder Bereicherung beziehungsweise Bereicherungsabsicht zugunsten des Verbands sowie das Verhältnis zu § 130 OWiG getrennt zu prüfen. Das ist Verbandsebene, nicht persönliche Freiheitsstrafe.

2.2 Unterlassen ist nicht immer gleich § 13 StGB

Viele Cyberfehler sind Unterlassungen: keine Patches, keine Eskalation, keine Meldung, kein Insolvenzantrag, keine Sicherung von Logs. Strafrechtlich muss zuerst geklärt werden, ob das Gesetz selbst das Unterlassen beschreibt.

Ein echtes Unterlassungsdelikt liegt vor, wenn die Spezialnorm die Nichtvornahme unmittelbar erfasst. Beispiele sind die Nichtanzeige geplanter oder laufender Katalogtaten nach § 138 StGB und die Insolvenzverschleppung nach § 15a InsO. Hinzu kommen die Beitragsvorenthaltung nach § 266a StGB und die unterlassene Verlustanzeige nach § 84 des Gesetzes betreffend die Gesellschaften mit beschränkter Haftung, kurz GmbHG.

§ 13 StGB [N-StGB-13] betrifft dagegen das unechte Unterlassen. Dann wird ein Begehungsdelikt durch Nichtstun verwirklicht. Das setzt eine Garantenstellung, eine reale und zumutbare Abwendungsmöglichkeit, Kausalität, die Gleichwertigkeit von Tun und Unterlassen sowie das subjektive Merkmal des jeweiligen Delikts voraus. Unmögliche oder unzumutbare Abwendungshandlungen tragen keine unechte Unterlassungsstrafbarkeit. Eine Organstellung allein genügt dafür nicht immer.

2.3 Verfahren und Rechtsfolgen auseinanderhalten

Ebene Persönliche Folge Unternehmen/Verband Register- oder Folgefrage Typischer Anker
Strafverfahren Geldstrafe oder Freiheitsstrafe Einziehung oder Verbandsgeldbuße nur über eigene Normen Bundeszentralregister, Führungszeugnis, Berufs- oder Tätigkeitsfolgen möglich StGB oder Nebenstrafrecht
Bußgeldverfahren persönliche Geldbuße Verbandsgeldbuße nach § 30 OWiG möglich Gewerbezentralregister oder Wettbewerbsregister nur nach Sonderregeln OWiG, BSIG, Bundesdatenschutzgesetz (BDSG), Datenschutz-Grundverordnung (DSGVO)
Aufsicht Anordnung, Abberufung, Untersagung, Eignungsfrage Maßnahmen gegen Einrichtung möglich getrennt vom Strafurteil prüfen BSIG, Kreditwesengesetz (KWG), Digital Operational Resilience Act (DORA), sektorales Recht
Zivilrecht Schadensersatz oder Innenhaftung Haftung des Unternehmens möglich kein Strafregister Gesellschaftsrecht, Vertrag, Delikt

Wichtig ist außerdem § 21 OWiG. Wenn dieselbe Handlung zugleich Straftat und Ordnungswidrigkeit ist, hat das Strafgesetz grundsätzlich Vorrang. Das ersetzt aber nicht die Tatbestandsprüfung. Es verhindert nur, dass dieselbe Handlung mechanisch doppelt bewertet wird. Rechtskraftfragen zwischen Straf- und Bußgeldverfahren werden zusätzlich über § 84 OWiG geprüft.

Bei grenzüberschreitenden Cyberlagen ist zusätzlich zu klären, welches Strafrecht zeitlich und räumlich gilt. §§ 2 bis 9 StGB betreffen unter anderem zeitliche Geltung, Inlandstaten, Auslandstaten und Tatort. Ein ausländischer Angreifer, eine ausländische Wallet, ein Konzernserver im Ausland oder ein Incident-Responder außerhalb Deutschlands ändern nicht automatisch die Managementpflichten. Zuständigkeit, Beweise, Sanktionen und Verteidigungsstrategie können sich aber verschieben.

2.4 Technik- und Rollenbegriffe ohne juristische Überladung

Technische Begriffe sind im Strafrecht keine magischen Wörter. Sie beschreiben Systeme, Daten oder Arbeitsweisen. Strafrechtlich relevant werden sie erst über ein Tatobjekt, eine Handlung, eine Pflichtstellung und ein subjektives Merkmal.

Ein Log ist ein technisches Protokoll. Logrotation ist die automatische oder planmäßige Ablösung alter Protokolle durch neue Protokolle. Sie ist nicht schon deshalb Vertuschung; nach Kenntnis eines erheblichen Vorfalls muss aber geprüft werden, ob die Routine vorübergehend rechtmäßig gestoppt, gesichert oder dokumentiert werden muss.

Ein Backup ist eine Sicherungskopie. Ein Forensik-Image ist eine beweisorientierte Kopie eines Datenträgers oder Systems. Security Information and Event Management, kurz SIEM, sammelt und korreliert Sicherheitsereignisse. Endpoint Detection and Response, kurz EDR, überwacht Endgeräte. Keines dieser Werkzeuge begründet allein Strafbarkeit oder Straffreiheit. Entscheidend bleibt, wer welche Daten mit welchem Recht und welchem Zweck verändert.

Eine Wallet ist technisch eine Zugriffs- oder Verwahrstruktur für Kryptowerte. Kryptowerte sind digitale Wert- oder Rechteabbildungen, deren rechtliche Behandlung vom konkreten Gesetz abhängt. Operational Technology, kurz OT, meint Steuerungs- und Betriebstechnik, etwa in Industrie, Energie, Medizin oder Verkehr. Bei OT kann ein Cyberfehler körperliche, sachliche oder umweltbezogene Folgen haben.

Legal Hold bedeutet eine interne Sicherungsanordnung für relevante Daten. Er ist keine grenzenlose Speichererlaubnis. Eine Dissent Note ist ein dokumentierter Widerspruch oder Vorbehalt in einer Leitungsentscheidung. Sie ersetzt keine Pflicht, kann aber für Wissen, Verantwortungsverteilung und Ex-ante-Bewertung wichtig sein.

2.5 Tatbestands-Matrix

Diese Matrix ist kein Ersatz für Subsumtion. Sie zeigt, ob die Geschäftsleitung typischerweise selbst Täterseite sein kann, ob der externe Angreifer Täter ist oder ob eine Sonderrolle nötig ist.

Norm Tat Täter = GL oder Angreifer Vorsatz/Fahrlässigkeit Strafrahmen
§ 266 StGB Untreue durch Missbrauch oder Verletzung der Vermögensbetreuungspflicht mit Vermögensnachteil GL nur bei eigener Pflichtverletzung und eigenem Vorsatz nur Vorsatz; keine Fahrlässigkeitsvariante bis fünf Jahre oder Geldstrafe; Abs. 2 nur Verweisungsfolge
§ 263 StGB Täuschung, Irrtum, Vermögensverfügung, Schaden und Bereicherungsabsicht GL bei bewussten Falschangaben gegenüber Versicherern, Banken, Kunden oder Behörden Vorsatz und Absicht rechtswidriger Bereicherung bis fünf Jahre oder Geldstrafe; besonders schwere Fälle gesondert
§ 263a StGB Computerbetrug durch Manipulation eines Datenverarbeitungsvorgangs typischer Angriff: Angreifer; GL nur bei eigener Manipulation Vorsatz und Bereicherungsabsicht bis fünf Jahre oder Geldstrafe; § 263 Abs. 2 bis 6 gilt entsprechend
§ 15a InsO nicht, nicht richtig oder nicht rechtzeitig gestellter Insolvenzantrag antragspflichtige Organ- oder Abwicklungsperson Vorsatz nach Abs. 4; Fahrlässigkeit nach Abs. 5 vorsätzlich bis drei Jahre oder Geldstrafe; fahrlässig bis ein Jahr oder Geldstrafe
§ 42 StaRUG nicht oder nicht rechtzeitig angezeigter Eintritt von Zahlungsunfähigkeit oder Überschuldung während rechtshängiger Restrukturierungssache Antragspflichtige/Pflichtperson im StaRUG-Kontext Vorsatz; bei Fahrlässigkeit eigener milderer Pfad vorsätzlich bis drei Jahre oder Geldstrafe; fahrlässig bis ein Jahr oder Geldstrafe
§ 84 GmbHG unterlassene Anzeige eines Verlusts in Höhe der Hälfte des Stammkapitals gegenüber Gesellschaftern Geschäftsführer der GmbH Vorsatz; Fahrlässigkeit mit milderem Rahmen vorsätzlich bis drei Jahre oder Geldstrafe; fahrlässig bis ein Jahr oder Geldstrafe
§ 401 AktG Unterlassen der Hauptversammlungseinberufung und Anzeige bei Verlust der Hälfte des Grundkapitals Vorstand der AG; Abwickler, SE oder KGaA nur über eigene Verweisungsgrundlage Vorsatz; Fahrlässigkeit mit milderem Rahmen vorsätzlich bis drei Jahre oder Geldstrafe; fahrlässig bis ein Jahr oder Geldstrafe
§ 266a Abs. 1–3 StGB Vorenthalten von Arbeitnehmerbeiträgen, Arbeitgeberbeitragsvarianten oder sonstigen einbehaltenen Arbeitsentgeltteilen Arbeitgeber, Organ- oder Vertreterperson Vorsatz; Irrtum, Fälligkeit und Zahlungsfähigkeit gesondert prüfen bis fünf Jahre oder Geldstrafe
§ 266a Abs. 4 StGB besonders schwere Fälle der Absätze 1 und 2 Arbeitgeber, Organ- oder Vertreterperson vorsätzlicher Grundfall der Absätze 1 oder 2 plus besonders schwerer Fall sechs Monate bis zehn Jahre
§ 266a Abs. 5 und 6 StGB Gleichstellung bestimmter Auftraggeber/Zwischenmeister und Absehen von Bestrafung/Nichtbestrafung Arbeitgeber oder gleichgestellte Person keine eigene Fahrlässigkeits- oder Leichtfertigkeitsstrafbarkeit; Voraussetzungen der Entlastungsregel gesondert prüfen keine eigene Strafrahmenerweiterung
§§ 283–283d StGB Bankrott, Buchführungsdelikte, Gläubiger- und Schuldnerbegünstigung Schuldner oder vertretende Organperson; bei § 283d auch Außenstehende Vorsatz; Fahrlässigkeit nur in den ausdrücklich geregelten Varianten; objektive Bedingung prüfen § 283 bis fünf Jahre oder Geldstrafe, Fahrlässigkeitsvarianten bis zwei Jahre; § 283a sechs Monate bis zehn Jahre; § 283b/§ 283c bis zwei Jahre; § 283d bis fünf Jahre
§ 274 StGB Unterdrücken, Löschen oder Verändern beweiserheblicher Daten ohne ausschließliche Verfügungsbefugnis in Nachteilsabsicht GL bei eigener Löschung oder Anweisung; Angreifer bei externer Manipulation Vorsatz plus Nachteilszufügungsabsicht bis fünf Jahre oder Geldstrafe; Versuch strafbar
§ 303a StGB rechtswidrige Datenveränderung Angreifer bei Ransomware; GL bei rechtswidriger Eigenlöschung Vorsatz bis zwei Jahre oder Geldstrafe; Versuch strafbar
§ 303b StGB erhebliche Störung fremder Datenverarbeitung typischer Angriff: Angreifer; GL nur bei eigener Sabotage Vorsatz, teils besondere Absicht Abs. 1 bis drei Jahre oder Geldstrafe; Abs. 2 bis fünf Jahre oder Geldstrafe; Abs. 4 sechs Monate bis zehn Jahre; § 303c für die dort genannten Fälle der §§ 303 bis 303b Abs. 1 bis 3 prüfen
§ 258 StGB Straf- oder Vollstreckungsvereitelung zugunsten eines anderen GL bei Vertuschung zugunsten anderer Personen absichtlich oder wissentlich bis fünf Jahre oder Geldstrafe; Vortat-Cap nach Abs. 3; Versuch strafbar
§ 259 StGB Hehlerei an Sachen aus einer gegen fremdes Vermögen gerichteten rechtswidrigen Vortat GL nur bei eigener Beschaffung, Absatzhilfe oder sonstiger Beteiligung an körperlichem Beutegut, Datenträgern oder Geräten Vorsatz und Bereicherungsabsicht; Abgrenzung zu § 202d und § 261 prüfen bis fünf Jahre oder Geldstrafe
§ 257 StGB Vorteilssicherung aus rechtswidriger Vortat eines anderen GL nur bei Hilfe zur Sicherung des konkreten Vortatvorteils Absicht, den Vorteil zu sichern bis fünf Jahre oder Geldstrafe; nicht schwerer als die Vortat; Antragsschiene nach Abs. 4 prüfen
§ 42 BDSG qualifizierte Datenschutzstraftat GL oder Verantwortliche bei eigener qualifizierter Verarbeitung/Übermittlung/Beschaffung Wissentlichkeit, Gewerbsmäßigkeit, Entgelt, Bereicherungs- oder Schädigungsabsicht Abs. 1 bis drei Jahre oder Geldstrafe; Abs. 2 bis zwei Jahre oder Geldstrafe; Antrag erforderlich
§ 203 StGB Offenbaren fremder Geheimnisse nur bei Berufsgeheimnisträger-, Mitwirkenden- oder Dienstleisterrolle Vorsatz; Abs. 6 qualifiziert bei Entgelt/Bereicherungs-/Schädigungsabsicht bis ein Jahr oder Geldstrafe; Abs. 6 bis zwei Jahre oder Geldstrafe
§ 23 GeschGehG Erlangen, Nutzen oder Offenlegen von Geschäftsgeheimnissen unter den gesetzlichen Motiv- und Zweckmerkmalen GL, Beschäftigte oder Dritte bei eigener verbotener Handlung Vorsatz plus Motiv/Zweck je Variante; § 5-Ausnahmen prüfen Abs. 1 bis drei Jahre oder Geldstrafe; Abs. 4 bis fünf Jahre oder Geldstrafe
§§ 202a–202c StGB Ausspähen, Abfangen, Vorbereitung typischer externer Angriff: Angreifer; GL nur bei eigener unbefugter Handlung Vorsatz; bei § 202c Zweckbezug der vorbereiteten Tat oder des Programms prüfen § 202a bis drei Jahre oder Geldstrafe; § 202b und § 202c bis zwei Jahre oder Geldstrafe; § 205 nicht automatisch für § 202c
§ 202d StGB Datenhehlerei GL/Dienstleister nur bei Umgang mit durch Vortat erlangten Daten und Zweckmerkmalen Bereicherungs- oder Schädigungszweck; Ausnahme nur bei ausschließlich rechtmäßiger Pflicht bis drei Jahre oder Geldstrafe
§§ 253, 255 StGB Erpressung oder räuberische Erpressung typischer Ransomwarefall: Angreifer; § 255 nur bei raubähnlichen Mitteln Vorsatz und Bereicherungsabsicht § 253 bis fünf Jahre oder Geldstrafe, besonders schwerer Fall nicht unter einem Jahr; § 255 verweist auf Raubstrafrahmen
§ 129/129a/129b StGB Vereinigungsdelikte Ransomware-Zahlung nur offene Anschlussfrage; keine Automatik Vorsatz und vereinigungsspezifische Voraussetzungen § 129 Abs. 1 Satz 1: Gründung oder Mitgliedschaft bis fünf Jahre oder Geldstrafe; § 129 Abs. 1 Satz 2: Unterstützung oder Werben bis drei Jahre oder Geldstrafe; besonders schwere Fälle sowie §§ 129a/129b gesondert prüfen
§ 261 StGB Umgang mit einem aus rechtswidriger Tat herrührenden Gegenstand Opferzahlung nicht automatisch; Zahlungsfluss, Tatobjekt und Herkunft prüfen Vorsatz; Leichtfertigkeit und besondere Schärfungen nur in den gesetzlich erfassten Varianten Grundtatbestand bis fünf Jahre oder Geldstrafe; Abs. 4 für GwG-Verpflichtete drei Monate bis fünf Jahre; Leichtfertigkeit bis zwei Jahre; besonders schwere Fälle und Qualifikationen gesondert prüfen
§§ 222, 229 StGB fahrlässige Tötung oder Körperverletzung GL nur bei Pflichtverletzung, Garantenstellung, Kausalität und Zurechnung Fahrlässigkeit; bei Vorsatz andere Delikte prüfen § 222 bis fünf Jahre oder Geldstrafe; § 229 bis drei Jahre oder Geldstrafe
§ 323c StGB unterlassene Hilfeleistung oder Behinderung hilfeleistender Personen jedermann; Leitungsperson nur bei konkreter Not-, Gefahr- oder Unfalllage und realer Hilfemöglichkeit Vorsatz hinsichtlich Lage, Möglichkeit, Zumutbarkeit und Nichtleisten/Behindern bis ein Jahr oder Geldstrafe
§ 26 ArbSchG Arbeitsschutzstraftat Arbeitgeber-/Leitungsperson bei gesetzlicher Alternative beharrliche Wiederholung oder vorsätzliche Gefährdung nach § 25-Bezug bis ein Jahr oder Geldstrafe

2.6 OWi-vs-Straftat-Matrix

Verfahren Norm Sanktion Register
Strafverfahren StGB oder Nebenstrafrecht, etwa § 266 StGB, § 15a InsO, § 42 BDSG Geldstrafe oder Freiheitsstrafe gegen natürliche Person Bundeszentralregister grundsätzlich; Führungszeugnis nach Sonderregeln
Bußgeldverfahren § 65 BSIG, § 130 OWiG, DSGVO/BDSG-Bußgeldnormen persönliche oder unternehmensbezogene Geldbuße kein Bundeszentralregister; Gewerbezentralregister, Wettbewerbsregister oder Fachregister nur nach Sonderregeln
Verbandsgeldbuße § 30 OWiG Geldbuße gegen juristische Person oder Personenvereinigung Registerfolgen nur nach Sonderrecht
OWi-Rechtskraft/Kollision §§ 21 und 84 OWiG Vorrang- und Rechtskraftprüfung; keine eigene Strafbarkeit abhängig von Ausgangsverfahren
Einziehung Strafrecht §§ 73 bis 76b StGB, insbesondere §§ 73, 73c, 74, 74a, 74b, 74c und 75 StGB Abschöpfung von Taterträgen, Tatmitteln, Tatprodukten oder Tatobjekten Rechtsfolge des Strafverfahrens, kein Strafregistereintrag als solcher
Einziehung OWi § 29a OWiG Einziehung des Wertes von Taterträgen keine Strafe; Registerfolgen nur nach Sonderrecht
Aufsicht/Verwaltungszwang BSIG, KWG, DORA, sektorales Recht, § 63 BSIG Anordnung, Zwangsgeld, Leitungseignung, Untersagung kein Strafregister; fachaufsichtliche Akten und Eignungsfolgen möglich
Zivilrecht Gesellschaftsrecht, Vertrag, Delikt Schadensersatz, Innenhaftung, Regress kein Strafregister

2.7 Lesepfade für unterschiedliche Rollen

Geschäftsleitungen lesen zuerst die Schwellen in Abschnitt 2, die Kausalketten in den Abschnitten 4 bis 7 und das Vorstandsfazit in Abschnitt 14. Compliance und Legal prüfen zusätzlich die Melde-, Anzeige-, Antrags- und Quellenmatrizen.

Strafverteidigerinnen und externe Anwälte lesen vor allem Rollen, subjektive Merkmale, Verfahrensrechte, Beweisfragen, Strafantrag und offene Rechtsfragen. IT-, Forensik- und Security-Fachleute nutzen die Abschnitte zu Logs, Legal Hold, Forensik-Images, Security Information and Event Management (SIEM), Endpoint Detection and Response (EDR), Backups und Wiederanlauf.

Der Text ist bewusst zweischichtig. Der Hauptteil liefert Managemententscheidungen und klare Grenzen. Tabellen und Rechtsanhang sichern die juristische Nachvollziehbarkeit, ohne den Krisenstab auf eine bloße Normliste zu reduzieren.

Zielgruppe Was der Text leisten soll Was der Text nicht leisten darf
Nutzer ohne Strafrechtswissen die Schwelle zwischen Bußgeld, Straftat und bloßem Organisationsmangel verständlich machen mit Normabkürzungen oder Strafdrohungen einschüchtern
Geschäftsleitung persönliche Entscheidungs-, Dokumentations- und Eskalationspunkte sichtbar machen aus jedem Cyberfehler ein persönliches Strafrisiko machen
Compliance und Legal Melde-, Anzeige-, Antrags-, Beweis- und Rollenfragen strukturiert zusammenführen Strafrecht mit Bußgeld-, Aufsichts- oder Innenhaftung vermischen
Anwälte und Strafverteidigung Tatbestandsmerkmale, subjektive Seite, Verfahrensrechte und Gegenproben schnell auffindbar machen Verteidigungsfragen durch Managementsprache verdecken
IT, Forensik und Fachleute technische Handlungen wie Logrotation, Forensik-Image, Backup, SIEM und EDR rechtlich einordnen Technikbegriffe selbst als Strafbarkeitsgrund behandeln

Für die erste Orientierung helfen fünf Fragen: Gibt es nur eine verletzte Cyberpflicht oder eine konkrete Strafnorm? Wer hat persönlich entschieden, angewiesen, unterlassen oder etwas gewusst? Verlangt die Norm Vorsatz, Absicht, Wissen, Fahrlässigkeit oder Leichtfertigkeit? Gibt es Schaden, Gefahr, Kausalität und ein beweisbares Tatobjekt? Welche Meldung, Anzeige, Beweissicherung oder Verteidigerentscheidung muss getrennt dokumentiert werden?

Der Schnelltest ersetzt keine Subsumtion. Er verhindert aber die beiden typischen Fehler: aus jedem Cybermangel eine Straftat zu machen oder echte Strafrisiken nach dem Angriff als bloße IT-Aufräumarbeit zu behandeln.

3. Wer überhaupt Täter sein kann

Praktisch zählt nicht der Organigramm-Titel, sondern die konkrete Person, ihre Rolle, ihr Wissen und ihr Verhalten. Strafrecht ist personenbezogen.

3.1 Geschäftsleitung, Ressort und faktische Leitung

Geschäftsführer und Vorstände können Täter, Mittäter, mittelbare Täter, Anstifter oder Gehilfen sein. Sie werden es aber nicht automatisch, weil das Unternehmen betroffen ist. Zu prüfen sind Organstellung, Ressortverteilung, Delegation, tatsächliche Entscheidungsbefugnis, Informationszugang, Kenntniszeitpunkt, reale Handlungsmöglichkeit und die eigene innere Vorstellung.

Ein mehrgliedriger Vorstand darf sich nicht pauschal hinter Ressorts verstecken. Ein Ressortsystem kann Aufgaben verteilen, beseitigt aber nicht jede Überwachungs- oder Eskalationspflicht. Umgekehrt macht ein IT-Ressort nicht jedes andere Vorstandsmitglied automatisch zum Täter eines Cyberdelikts. Entscheidend sind Warnzeichen, Sitzungsinformationen, Berichte, Dissent Notes, Eskalationen und konkrete Entscheidungsbeiträge.

Gesellschaftsrechtliche Pflichtquellen wie § 43 GmbHG und § 93 AktG können Pflichtmaßstab, Innenhaftung und Business-Judgment-Kontext liefern. Sie begründen aber nur über einen eigenständigen Straftatbestand, ein Ordnungswidrigkeitenrecht oder eine eigene Verfahrensnorm persönliche Straf- oder Bußgeldfolgen.

Eine faktische Leitungsperson kann relevant werden, wenn sie tatsächlich die Geschicke des Unternehmens bestimmt. Auch das ist keine Etikettenfrage. Maßgeblich sind tatsächliche Macht, Weisungsbefugnis und Außen- oder Innenwirkung der Entscheidungen.

3.2 Chief Information Security Officer, Datenschutzbeauftragte und Dienstleister

Ein Chief Information Security Officer, kurz CISO, oder Chief Information Officer, kurz CIO, ist nicht automatisch Organperson. Wer aber eigenständig entscheidet, Weisungen erteilt, Beweise verändert, Meldungen verhindert oder Zahlungsflüsse organisiert, kann eine eigene Täter- oder Teilnehmerprüfung auslösen.

Datenschutzbeauftragte, interne Revision, Legal, Compliance, externe Incident-Response-Teams und Cloud-Dienstleister sind ebenfalls nicht austauschbar. Sie können Zeugen, Sachverständige, Berufsgeheimnisträger, mitwirkende Personen, Auftragnehmer oder Beteiligte sein. Eine Rolle im Krisenstab ersetzt die Tatbestandsprüfung nicht.

3.3 Zurechnung und Beteiligung

§ 14 StGB ist keine allgemeine Organhaftungsnorm. Die Norm kann besondere persönliche Merkmale oder Pflichtadressatenstellungen auf eine handelnde Vertretungsperson übertragen. Sie macht aber nicht jede Handlung eines Unternehmens automatisch zur Straftat der Geschäftsleitung.

§ 25 StGB ist für Täterschaft zu prüfen: eigene Tat, mittelbare Tat oder gemeinschaftliche Tat. § 26 StGB betrifft Anstiftung: vorsätzliches Bestimmen zu einer vorsätzlich begangenen rechtswidrigen Haupttat. § 27 StGB betrifft Beihilfe: vorsätzliche Hilfe zu einer vorsätzlich begangenen rechtswidrigen Haupttat. Bei Beihilfe ist die gesetzliche Strafmilderung zu berücksichtigen.

Besondere persönliche Merkmale und persönliche Strafgründe sind nach §§ 28 und 29 StGB getrennt zu prüfen. Im Ordnungswidrigkeitenrecht laufen Zurechnung und Beteiligung über eigene Regeln, insbesondere §§ 9 bis 14 OWiG.

4. Untreue und Vermögensdelikte

Praktisch ist Untreue das zentrale persönliche Vermögensrisiko der Geschäftsleitung. Sie ist aber kein Auffangtatbestand für schlechtes Cybermanagement.

4.1 Untreue nach § 266 StGB

§ 266 StGB [N-StGB-266] schützt fremdes Vermögen. Für eine Cyberkonstellation müssen mindestens diese Punkte tragfähig festgestellt werden:

Vermögensbetreuungspflicht → konkrete Pflichtquelle und Pflichtumfang → pflichtwidrige Entscheidung oder Unterlassung → wirtschaftlich feststellbarer Vermögensnachteil → Kausalität → Vorsatz hinsichtlich Pflichtverletzung und Nachteil.

Die Vermögensbetreuungspflicht kann sich etwa aus Organstellung, Geschäftsführervertrag oder gesellschaftsrechtlicher Vermögensverantwortung ergeben. Die Pflichtverletzung kann in einer vorsätzlichen Nichtbeschaffung elementarer Sicherheit, einer bewusst unvertretbaren Ransomware-Zahlung, einer pflichtwidrigen Weiterleitung von Unternehmensmitteln oder einer gezielten Verschleierung liegen. Ein hoher Schaden genügt aber nicht.

§ 266 StGB kennt keine Fahrlässigkeitsvariante. Wer eine Sicherheitslücke versehentlich übersieht, handelt möglicherweise pflichtwidrig, zivilrechtlich haftbar oder bußgeldrelevant. Untreue ist das erst, wenn Vorsatz hinsichtlich Pflichtverletzung und Vermögensnachteil hinzukommt. Auch bei einer Lösegeldzahlung ist die Frage nicht „Zahlung ja oder nein“, sondern Informationslage, Alternativen, Sanktionen, Versicherung, Zahlungsfluss, dokumentierte Entscheidung und Vermögensinteresse des Unternehmens.

§ 266 Abs. 2 StGB ist keine eigene Untreuevariante. Er verweist auf § 243 Abs. 2 StGB, §§ 247 und 248a StGB sowie § 263 Abs. 3 StGB. Deshalb sind besonders schwerer Fall, Angehörigen-/Hausgemeinschaftskonstellation, geringwertige Sache und Strafantrag oder besonderes öffentliches Interesse getrennt zu prüfen. Eine verkürzte Formel „Untreue bis zehn Jahre“ wäre falsch; richtig ist die Trennung von Grundtatbestand, Verweisungsfolgen und Einzelfallprüfung.

4.2 Betrug, Computerbetrug und Angaben gegenüber Dritten

Nach einem Cybervorfall entstehen weitere Vermögensdeliktsrisiken nicht aus dem Angriff selbst, sondern aus späteren Erklärungen oder Manipulationen. Betrug nach § 263 StGB verlangt Täuschung über Tatsachen, Irrtum, Vermögensverfügung, Vermögensschaden, Vorsatz sowie Bereicherungsabsicht bezogen auf einen rechtswidrigen Vermögensvorteil. Vorteil und Schaden müssen inhaltlich zusammenhängen.

Praktische Beispiele sind falsche Angaben gegenüber Versicherern, Investoren, Kunden, Wirtschaftsprüfern, Banken oder Behörden. Wer den Schaden, den Zeitpunkt, die Ursachen oder die vorhandenen Sicherungen bewusst falsch darstellt, kann einen neuen Straftatbestand auslösen. Die ursprüngliche Sicherheitslücke ist dann nicht der Betrug. Die Täuschung ist der mögliche Betrug.

Computerbetrug nach § 263a StGB betrifft Manipulationen von Datenverarbeitungsvorgängen. Im typischen Ransomwarefall ist der externe Angreifer Täter. Eine Leitungsperson kann aber selbst exponiert sein, wenn sie Zahlungs-, Abrechnungs-, Versicherungs- oder Reporting-Systeme manipulieren lässt.

Vorbereitungshandlungen nach § 263a Abs. 3 StGB sind gesondert von § 202c StGB zu prüfen. Beide Normen können cybernah wirken, haben aber unterschiedliche Tatobjekte und Zweckrichtungen.

5. Insolvenz, Kapitalverlust, Restrukturierung und Beitragskrise

Praktisch lautet die Frage nicht: „War der Angriff teuer?“ Die Frage lautet: Hat der Angriff Zahlungsunfähigkeit, Überschuldung, Kapitalverlust, Beitragsrückstände oder eine Restrukturierungspflicht ausgelöst?

5.1 Insolvenzverschleppung nach § 15a InsO

Ein Cybervorfall führt nicht automatisch zur Insolvenzantragspflicht. Die Kette lautet:

Cybervorfall → wirtschaftliche Folgen → Liquiditätsstatus → Zahlungsunfähigkeit nach § 17 InsO oder Überschuldung nach § 19 InsO → antragspflichtige Person → Antrag nicht, nicht richtig oder nicht rechtzeitig → Vorsatz oder Fahrlässigkeit nach § 15a InsO.

Drohende Zahlungsunfähigkeit nach § 18 InsO ist ein Warnsignal. Sie ist aber nicht dieselbe Schwelle wie Zahlungsunfähigkeit oder Überschuldung. Auch „fast zahlungsunfähig“ ist kein gesetzlicher Ersatzbegriff. Die gesetzlichen Höchstfristen sind außerdem keine frei nutzbaren Wartefristen. Nach dem hier zugrunde gelegten Prüfstand ist der Antrag ohne schuldhaftes Zögern zu stellen; als späteste Höchstfristen sind Zahlungsunfähigkeit und Überschuldung getrennt zu prüfen, regelmäßig höchstens drei Wochen bei Zahlungsunfähigkeit und höchstens sechs Wochen bei Überschuldung. Die konkreten Zahlen sind vor Veröffentlichung und bei jeder Fallanwendung gegen § 15a InsO tagesaktuell zu verifizieren.

§ 15a InsO [N-InsO-15a] ist für Geschäftsleiter besonders wichtig, weil § 15a Abs. 5 InsO ausdrücklich fahrlässige Begehung erfasst. Wer nach einem Angriff die Liquiditätslage nicht belastbar prüft, keine belastbare Fortführungsprognose erstellt oder Warnsignale ignoriert, kann deshalb anders exponiert sein als bei § 266 StGB.

5.2 StaRUG, Kapitalverlust und Beiträge

Das Unternehmensstabilisierungs- und -restrukturierungsgesetz, kurz StaRUG, ist zweigeteilt zu lesen. § 1 StaRUG ist Frühwarn- und Organisationskontext. § 42 StaRUG [N-StaRUG-42] enthält im Restrukturierungsverfahren einen eigenen Strafpfad. Die Kette lautet: rechtshängige Restrukturierungssache → Eintritt von Zahlungsunfähigkeit oder Überschuldung → Anzeige an das Restrukturierungsgericht ohne schuldhaftes Zögern. Danach: nicht oder nicht rechtzeitig angezeigt → vorsätzlicher oder fahrlässiger Strafpfad. Der vorsätzliche Rahmen reicht bis zu drei Jahren oder Geldstrafe; der Fahrlässigkeitspfad reicht bis zu einem Jahr oder Geldstrafe. Die gesetzliche Ausnahme für Vereine und Stiftungen ist gesondert zu prüfen.

Bei der Gesellschaft mit beschränkter Haftung verlangt § 49 Abs. 3 GmbHG unter den dort genannten Bilanzvoraussetzungen die unverzügliche Einberufung der Gesellschafterversammlung. § 84 GmbHG [N-GmbHG-84] knüpft strafrechtlich an die unterlassene Anzeige eines Verlusts in Höhe der Hälfte des Stammkapitals gegenüber den Gesellschaftern an. Der vorsätzliche Rahmen reicht bis zu drei Jahren oder Geldstrafe; bei Fahrlässigkeit reicht er bis zu einem Jahr oder Geldstrafe.

Bei der Aktiengesellschaft verlangt § 92 Abs. 1 AktG bei Verlust der Hälfte des Grundkapitals die unverzügliche Einberufung der Hauptversammlung und Anzeige. § 401 AktG [N-AktG-401] enthält hierfür die Strafvorschrift. Auch hier ist Vorsatz von Fahrlässigkeit zu trennen: vorsätzlich bis zu drei Jahren oder Geldstrafe, fahrlässig bis zu einem Jahr oder Geldstrafe.

§ 266a StGB [N-StGB-266a] zur Vorenthaltung und Veruntreuung von Arbeitsentgelt kann unabhängig von Insolvenzreife relevant werden. Der Auslöser ist nicht „Insolvenz“, sondern der Umgang mit fälligen Sozialversicherungsbeiträgen und sonstigen einbehaltenen Arbeitsentgeltteilen. Die Kette lautet: Arbeitgeber- oder Vertreterstellung → fällige Beitrags- oder Arbeitsentgeltabführungspflicht → Nichtabführung oder pflichtwidrige Nichtunterrichtung nach der konkreten Variante → Vorsatz → Strafrahmen der Absätze 1 bis 3. Besonders schwere Fälle nach Absatz 4 betreffen nur die Absätze 1 und 2 und reichen von sechs Monaten bis zehn Jahren. Absatz 5 ist eine Gleichstellungsregel, keine Leichtfertigkeitsstrafbarkeit. Absatz 6 ist als mögliche Absehens-/Nichtbestrafungsregel gesondert zu prüfen. Praktisch braucht der Krisenstab deshalb neben dem Liquiditätsstatus eine Beitragsfälligkeitsliste, eine Lohnabrechnungsprüfung und eine Dokumentation, wer über welche Zahlungspriorität entschieden hat.

5.3 Insolvenzstraftaten

Die Insolvenzstraftaten der §§ 283 bis 283d StGB sind nicht bloß ein Anhang zu § 15a InsO. Sie haben eigene Rollen-, Krisen-, Handlungs- und Bedingungsstrukturen. Nach einem Cybervorfall können sie etwa relevant werden, wenn Buchführung, Vermögensübersicht, Belege, Zahlungsflüsse oder Gläubigerinformationen bewusst oder pflichtwidrig verändert werden.

Norm Täterrolle Krisenphase Handlung oder Unterlassung subjektive Seite Gegenprobe
§ 283 StGB Schuldner oder zurechenbare Organperson Krise und objektive Bedingung nach Norm Bankrott-Handlungen, Beiseiteschaffen, Buchführungs- oder Vermögensmanipulation Vorsatz; einzelne Fahrlässigkeitsvarianten prüfen bloße Zahlungsstörung ohne Tatvariante genügt nicht
§ 283a StGB wie Grunddelikt besonders schwerer Fall Regelbeispiele/Strafzumessung kein eigener Krisentatbestand nicht als automatische Erhöhung verwenden
§ 283b StGB buchführungs- oder bilanzpflichtige Person Krise/Normbedingungen Verletzung von Buchführungs- oder Aufbewahrungspflichten Vorsatz/Fahrlässigkeit je Variante prüfen Systemausfall allein ersetzt keine Pflichtverletzung
§ 283c StGB Schuldner/Organperson Krise Gläubigerbegünstigung Vorsatz und Bevorzugungszusammenhang notwendige Betriebsfortführung ist gesondert zu prüfen
§ 283d StGB außenstehende oder beteiligte Person je Variante Bezug zur Schuldnerkrise Schuldnerbegünstigung subjektive Merkmale je Variante nicht mit schuldnerbezogenen Delikten vermischen
§ 266a StGB Arbeitgeber, Organ- oder Vertreterperson unabhängig von Insolvenzreife Nichtabführung von Beiträgen oder sonstigen einbehaltenen Arbeitsentgeltteilen Abs. 1–3, Abs. 4 und Abs. 5/6 getrennt prüfen Insolvenz ist kein Tatbestandsersatz; Absatz 5 ist keine Leichtfertigkeitsvariante

Für die Geschäftsleitung bedeutet das: Bei Insolvenznähe braucht der Krisenstab eine Ereignis- und Kenntniszeitachse. Sie muss Angriff, Systemausfall, Zahlungsströme, Liquiditätsplanung, Versicherungsleistungen, Beitragsfälligkeiten, Gremienentscheidungen, externe Beratung und Antragspflichten trennen.

6. Nach dem Angriff — Beweise, Logs, Dokumente, Geräte und Behördenzugriff

Praktisch ist die gefährliche Fehlentscheidung nach einem Angriff oft nicht die erste Sicherheitslücke. Es ist der unkontrollierte Umgang mit Beweisen.

6.1 Logs und beweiserhebliche Daten

Logs sind Protokolldaten. Sie können technische Fehleranalyse ermöglichen, aber auch beweiserhebliche Daten sein. Beweiserheblich sind Daten, wenn sie für ein Beweisführungsinteresse relevant sein können. Technische Administratorrechte bedeuten nicht automatisch rechtliche Verfügungsbefugnis und ersetzen keine rechtliche Befugnis.

§ 274 StGB [N-StGB-274] verlangt bei Daten eine präzise Kette:

beweiserhebliche Daten → keine oder keine ausschließliche rechtliche Verfügungsbefugnis → Löschen, Unterdrücken, Unbrauchbarmachen oder Verändern → Vorsatz → Absicht, einem anderen Nachteil zuzufügen → Versuch gesondert prüfen.

Die operative Regel heißt deshalb nicht starr „nichts anfassen“. Sie heißt: Keine unkontrollierte Löschung oder Veränderung potenziell beweiserheblicher Originaldaten. Vor notwendigen Eindämmungs-, Wiederanlauf- oder Bereinigungsmaßnahmen sind Daten nach Möglichkeit forensisch zu sichern. Eingriffe müssen mit Zeitpunkt, Person, Grund, System, Datenkategorie und technischer Wirkung dokumentiert werden. Planmäßige Logrotation, Backup-Überschreibung oder EDR-/SIEM-Bereinigung ist besonders zu markieren: Vorfallunabhängige Routine ist nicht schon deshalb strafbar; nach Kenntnis eines erheblichen Vorfalls kann das unveränderte Weiterlaufenlassen aber beweisrelevante Daten vernichten.

Ein Forensik-Image ist eine beweisorientierte Kopie eines Datenträgers oder Systems. Chain of Custody bedeutet eine dokumentierte Beweiskette. Sie ist keine Zauberformel, erhöht aber Nachvollziehbarkeit und Beweiswert.

Legal Hold und Forensik dürfen außerdem nicht zu einer pauschalen Vollkopie des gesamten Unternehmens werden. Ein Legal Hold ist keine pauschale Vollkopie und kein Freibrief für unbegrenzte Speicherung. Zweck, Zeitraum, Systeme, Datenkategorien, Zugriffskreis, Datenschutzgrundlage, Berufs- und Geschäftsgeheimnisse, Betriebsratsrechte, Löschprüfung und Verteidigerkommunikation müssen abgegrenzt werden. Ein Legal Hold schafft keinen eigenen Beschlagnahmeschutz und keine unbegrenzte Speichererlaubnis.

6.2 Manipulierte Dokumente, Daten und Systeme

§ 269 StGB betrifft beweiserhebliche Daten, wenn bei Wahrnehmung eine unechte oder verfälschte Urkunde vorliegen würde. § 270 StGB ist keine eigene Strafnorm, sondern eine Gleichstellung für die Täuschung im Rechtsverkehr bei Datenverarbeitung. Wer § 270 wie einen zusätzlichen Tatbestand behandelt, verfälscht die Prüfung.

§§ 267 und 268 StGB können bei Urkunden oder technischen Aufzeichnungen relevant werden. § 303a StGB [N-StGB-303a] betrifft rechtswidriges Löschen, Unterdrücken, Unbrauchbarmachen oder Verändern von Daten. § 303b StGB [N-StGB-303b] betrifft die erhebliche Störung fremder Datenverarbeitung unter den dort bezeichneten Voraussetzungen. § 303c StGB [N-StGB-303c] regelt Strafantrag und besonderes öffentliches Interesse nur für die dort genannten Varianten; er ist nicht automatisch auf jede Qualifikation auszuweiten. § 303c StGB gilt nicht für alle Daten- oder Sabotagevarianten.

§ 303 StGB bleibt für physische Sachen wichtig. Wenn ein Cyberereignis Maschinen, Datenträger, Zutrittssysteme, Steuerungstechnik oder sonstige Sachen beschädigt, geht es nicht nur um Datenveränderung. Datenbeeinträchtigung und Sachbeschädigung sind getrennte Pfade.

Für die Praxis gelten drei getrennte Ketten:

Pfad Kausalkette Gegenprobe
§ 303 StGB fremde Sache → Beschädigen oder Zerstören nach Absatz 1 oder unbefugte, nicht nur unerhebliche und nicht nur vorübergehende Veränderung des Erscheinungsbilds nach Absatz 2 → Vorsatz → Versuch/Antrag prüfen reine Datenbeeinträchtigung ist nicht automatisch Sachbeschädigung
§ 303a StGB Daten im Sinne von § 202a Abs. 2 → Löschen, Unterdrücken, Unbrauchbarmachen oder Verändern → Rechtswidrigkeit → Vorsatz → Versuch → § 303c für die dort genannten Fälle prüfen rechtlich befugte, dokumentierte Eindämmung ist nicht allein wegen technischer Veränderung strafbar
§ 303b StGB Datenverarbeitung von wesentlicher Bedeutung für einen anderen → erhebliche Störung → gesetzliche Begehungsform → Vorsatz und gegebenenfalls besondere Absicht → Grund- oder Qualifikationstatbestand → Versuch → § 303c nur für Abs. 1 bis 3 Ransomware macht typischerweise den Angreifer zum Täter, nicht die geschädigte Geschäftsleitung

6.3 Behördenzugriff, Sicherstellung und Beschlagnahme

Nach Durchsuchung, Sicherstellung oder Beschlagnahme darf nicht pauschal von „internen Daten“ gesprochen werden. Der Verfahrensstatus entscheidet.

§ 133 StGB betrifft amtlich oder dienstlich verwahrte Schriftstücke oder andere bewegliche Sachen. § 136 StGB betrifft insbesondere gepfändete oder dienstlich in Beschlag genommene Sachen und amtliche Siegel. Freiwillige Herausgabe, Sicherstellung, Beschlagnahme, Pfändung, dienstliche Verwahrung und Versiegelung sind nicht dasselbe.

Falsche Anzeigen oder falsche Verdächtigungen bilden weitere Risiken. § 145d StGB betrifft das Vortäuschen einer Straftat. § 164 StGB betrifft falsche Verdächtigung. Beide Normen können relevant werden, wenn ein Unternehmen oder eine Leitungsperson den Vorfall bewusst in eine falsche Richtung lenkt.

7. Vertuschung, Begünstigung und Verhalten im Verfahren

Praktisch gilt: Wer nach dem Angriff die Aufklärung steuert, erzeugt neue eigene Risiken. Selbstschutz ist nicht dasselbe wie Daten- oder Zeugenmanipulation.

7.1 Begünstigung und Strafvereitelung

§ 257 StGB [N-StGB-257] verlangt eine rechtswidrige Vortat eines anderen, einen daraus stammenden Vorteil und Hilfe in der Absicht, diesen Vorteil zu sichern. Es genügt nicht, allgemein „dem Angreifer zu helfen“. Der konkrete Vorteil aus der Vortat muss im Blick sein.

§ 258 StGB [N-StGB-258] ist in zwei Pfade zu trennen. Absatz 1 betrifft die Vereitelung, dass ein anderer bestraft oder einer Maßnahme unterworfen wird. § 258 Abs. 2 StGB betrifft die Vereitelung der Vollstreckung einer bereits verhängten Strafe oder Maßnahme. Beide Pfade verlangen absichtliches oder wissentliches Handeln. Absatz 4 macht den Versuch strafbar. Absatz 5 enthält das Selbstbegünstigungsprivileg, wenn jemand zugleich eigene Bestrafung oder Vollstreckung verhindern will. Dieses Privileg beseitigt aber keine eigenständigen Delikte wie § 274 StGB, § 269 StGB oder § 303a StGB.

Die Kette lautet deshalb nicht nur „Vertuschung“. Sie lautet: rechtswidrige Tat eines anderen oder bereits verhängte Sanktion → konkrete Verfolgungs- oder Vollstreckungslage → Handlung, die ganz oder teilweise vereitelt → Absicht oder Wissen → Versuch/Privilegien/Strafrahmenbegrenzung prüfen.

Für Amtsträger oder sonst besonders verpflichtete Personen kann § 258a StGB gesondert relevant werden. Das ist etwa bei öffentlichen Einrichtungen, Behördennähe oder besonderen Funktionsträgern zu prüfen.

7.2 Anzeigepflichten, Strafanzeige und Strafantrag

Eine Strafanzeige ist eine Mitteilung an die Strafverfolgungsbehörden. Ein Strafantrag ist eine besondere Verfolgungsvoraussetzung bei bestimmten Antragsdelikten. Beides darf nicht verwechselt werden.

Bei Cyberdelikten können Antragsregeln etwa aus § 205 StGB oder § 303c StGB folgen. § 205 StGB erfasst nach seinem Wortlaut nicht automatisch § 202c StGB. Für § 303c ist die genaue Variante entscheidend. Die reguläre Antragsfrist und Antragsberechtigung sind gesondert zu prüfen.

Beginn, antragsberechtigte Person, Kenntnis, Rücknahme und Sonderregeln sind getrennt zu prüfen. Ohne Einzelfallprüfung darf aus dem Datum des Cybervorfalls keine pauschale Fristberechnung abgeleitet werden.

§ 138 StGB ist keine allgemeine Pflicht zur Anzeige vergangener Cyberangriffe. Die Norm betrifft glaubhafte Kenntnis vom Vorhaben oder von der Ausführung bestimmter Katalogtaten, wenn Ausführung oder Erfolg noch abgewendet werden können. § 139 StGB enthält Ausnahmen und Einschränkungen.

Für die Praxis sollte die Melde-, Anzeige- und Antragsmatrix deshalb mindestens so aussehen:

Vorgang Funktion Typischer Fehler Prüfung
Datenschutzmeldung Erfüllung von DSGVO-Pflichten, nicht automatisch Geständnis Meldung mit strafrechtlicher Einlassung verwechseln Art. 33/34 DSGVO, § 42 Abs. 4 BDSG, § 43 Abs. 4 BDSG
BSIG-Meldung Cyberaufsicht und Lagebild aus Meldung automatisch Straftat ableiten konkrete BSIG-Pflicht, Bußgeldtatbestand, Selbstbelastungsfragen
Strafanzeige Mitteilung eines Verdachts an Strafverfolgungsbehörden Anzeige als Allheilmittel behandeln § 158 Strafprozessordnung (StPO), Beweissicherung, Verteidigungs- und Unternehmensinteressen
Strafantrag Verfolgungsvoraussetzung bei Antragsdelikten Frist, Berechtigung oder Rücknahme übersehen §§ 77 bis 77e StGB, § 205 StGB, § 303c StGB, Sondernormen
§ 138 StGB Anzeige noch abwendbarer Katalogtaten vergangene Tat als automatische Anzeigepflicht behandeln Vorhaben oder Ausführung, Katalogtat, Abwendbarkeit, § 139 StGB

7.3 Aussagen, Zeugen und Beschuldigte

Beschuldigte müssen nicht an ihrer eigenen Überführung mitwirken. Zeugen haben dagegen grundsätzlich andere Pflichten, aber mit Auskunftsverweigerungsrechten, etwa bei Selbstbelastungsgefahr. Deshalb müssen Beschuldigten-, Zeugen-, Unternehmens- und Verteidigerrolle sauber getrennt werden.

§ 136 StPO betrifft die Beschuldigtenbelehrung; § 55 StPO betrifft das Auskunftsverweigerungsrecht von Zeugen. §§ 140 und 141 StPO betreffen notwendige Verteidigung und Bestellung; § 146 StPO betrifft Mehrfachverteidigung; § 163a StPO betrifft Beschuldigtenvernehmung.

Zeugenpflichten unterscheiden zusätzlich zwischen Gericht, Staatsanwaltschaft und Polizei. § 161a StPO und § 163 Abs. 3 StPO sind für Ladung, Erscheinen und Aussagepflicht gesondert zu prüfen. Ein informeller Krisen-Call ist keine Vernehmung.

Falschaussagen haben eigene Tatbestände. §§ 153 bis 161 StGB umfassen falsche uneidliche Aussage, Meineid, falsche Versicherung an Eides statt, Aussagenotstand, Berichtigung, Versuch der Anstiftung, Verleitung und fahrlässige Varianten. Für Leitungspersonen ist besonders relevant, dass die Beeinflussung von Beschäftigten, Sachverständigen oder Auskunftspersonen nicht als „interne Kommunikation“ verharmlost werden darf. Drohung oder Druck kann zusätzlich § 240 StGB auslösen.

Interne Interviews nach einem Vorfall brauchen deshalb eine Rollen- und Belehrungslogik. Beschäftigte dürfen nicht den Eindruck erhalten, der Unternehmensanwalt vertrete automatisch auch sie persönlich. Umgekehrt darf das Unternehmen seine Aufklärung nicht mit Zeugenpräparation, Aussageabstimmung oder Beschuldigteneinlassung verwechseln. Wer spricht, für wen gesprochen wird und ob eine Individualverteidigung nötig ist, muss vor dem Interview geklärt werden.

8. Datenschutz, Geheimnisse und Kommunikationsdaten

Praktisch ist nicht jedes Datenleck eine Straftat. Strafbar wird Datenschutz erst in qualifizierten Konstellationen oder über besondere Geheimnisnormen.

8.1 § 42 BDSG und DSGVO-Meldungen

Das Bundesdatenschutzgesetz, kurz BDSG, enthält mit § 42 BDSG [N-BDSG-42] Strafvorschriften. Sie erfassen nicht jeden Verstoß gegen die Datenschutz-Grundverordnung, kurz DSGVO. Erforderlich sind je nach Variante besondere Datenkonstellationen, Wissentlichkeit, Gewerbsmäßigkeit, Entgelt, Bereicherungsabsicht oder Schädigungsabsicht. § 42 Abs. 3 BDSG ist zudem als Antragsdelikt zu behandeln.

§ 42 Abs. 4 BDSG schützt den Selbstbelastungskontext von Meldungen nach Art. 33 DSGVO und Benachrichtigungen nach Art. 34 Abs. 1 DSGVO. Die Meldung oder Benachrichtigung darf in einem Strafverfahren gegen die dort genannten Personen nur mit Zustimmung verwendet werden. Das ist kein allgemeines Beweisverwertungsverbot für alle Informationen aus dem Vorfall.

Im Bußgeldkontext ist § 43 BDSG gesondert zu prüfen. § 43 Abs. 4 BDSG enthält eine eigene Verwendungsschranke für Meldungen nach Art. 33 DSGVO und Benachrichtigungen nach Art. 34 Abs. 1 DSGVO im Verfahren wegen einer Ordnungswidrigkeit. Strafverfahren und Bußgeldverfahren dürfen hier nicht vermischt werden. Außerdem bleiben DSGVO-Bußgelder, aufsichtsrechtliche Maßnahmen und zivilrechtliche Ansprüche eigene Ebenen.

8.2 Berufs-, Geschäfts- und Betriebsratsgeheimnisse

§ 203 StGB [N-StGB-203] erfasst nicht nur die originären Berufsgeheimnisträger. Je nach Rolle können auch mitwirkende Personen und eingebundene Dienstleister relevant sein. Besonders sorgfältig zu prüfen sind Kliniken, Arztpraxen, Rechtsanwaltskanzleien, Steuerberater, Wirtschaftsprüfer, Versicherungen, Sozialdatenstellen und IT-Dienstleister solcher Stellen. § 203 Abs. 6 StGB ist zusätzlich zu prüfen, wenn gegen Entgelt oder in Bereicherungs- beziehungsweise Schädigungsabsicht gehandelt wird; dann erhöht sich der Strafrahmen. § 205 StGB ist für den Strafantrag in Geheimnis- und Privatsphärenkonstellationen gesondert zu prüfen.

§ 204 StGB betrifft die Verwertung fremder Geheimnisse. § 206 StGB betrifft das Post- oder Fernmeldegeheimnis. Telekommunikations- und Digitale-Dienste-Konstellationen können zusätzlich das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, kurz TDDDG, oder das Telekommunikationsgesetz, kurz TKG, auslösen.

Geschäftsgeheimnisse sind nicht schon jedes interne Dokument. § 23 GeschGehG muss über die Begriffs- und Erlaubnisstruktur der §§ 2, 4 und 5 GeschGehG geprüft werden. Betriebsrats- und Beschäftigtendaten verlangen zusätzlich den Blick auf §§ 79, 79a, 87, 119 und 120 Betriebsverfassungsgesetz, kurz BetrVG.

8.3 Monitoring, Postfächer, Screenshots und Incident-Calls

Ein Incident Call, eine Bildschirmaufnahme oder der Zugriff auf Beschäftigtenpostfächer kann für die Aufklärung notwendig sein. Rechtlich darf er aber nicht grenzenlos erfolgen. Beschäftigtendaten, besondere Kategorien personenbezogener Daten, Geheimnisse, Vertraulichkeit von Kommunikation und Mitbestimmung sind zu prüfen.

§ 201 StGB kann beim unbefugten Aufnehmen nichtöffentlich gesprochener Worte relevant werden. § 201a StGB kann bei Bildaufnahmen in geschützten Situationen relevant werden. Diese Normen sind keine Standardantwort auf jeden Incident Call, aber echte Trigger bei Aufzeichnungen, Screenshots und Kollaborationstools.

9. Angriffsnormen: Opferrolle ist nur ein Szenario

Praktisch ist das Unternehmen bei einem externen Angriff häufig Opfer. Das ist aber eine Sachverhaltsannahme, keine dogmatische Kategorie, die jede Leitungsperson schützt.

9.1 Typische externe Angriffslage

Bei Ausspähen von Daten nach § 202a StGB, Abfangen von Daten nach § 202b StGB und Vorbereitungshandlungen nach § 202c StGB ist im typischen Hackerfall der externe Angreifer Täter. Gleiches gilt regelmäßig für Erpressung nach §§ 253, 255 StGB, Computerbetrug nach § 263a StGB, Datenveränderung nach § 303a StGB oder Computersabotage nach § 303b StGB im Ransomwarefall. Das Unternehmen ist geschädigt.

Für die Geschäftsleitung folgt daraus nicht „eigene Strafbarkeit“, sondern ein Bündel anderer Pflichten: Schadensbegrenzung, Beweissicherung, Meldungen, Information, Liquiditätsprüfung, Datenschutz, Arbeitsrecht, Versicherungsanzeige und Verteidigung. Wer NIS-2-verpflichtet ist, steht in Schwellenwerte (250 MA / 50 Mio. €). Der Vorfall-Ablauf der ersten 72 Stunden steht in Cyber-Vorfall: die ersten 72 Stunden. Die Meldepflicht steht in BSI-Meldepflicht (§ 32 BSIG).

9.2 Kipp-Punkte zur eigenen Exposition

Die Opferrolle kippt, wenn eine Leitungsperson eigene Tatbeiträge setzt. Beispiele sind unbefugter Zugriff auf Beschäftigten- oder Wettbewerberdaten, Manipulation von Zahlungs- oder Versicherungsdaten, Anweisung zur Löschung beweiserheblicher Logs, Druck auf Zeugen oder bewusst falsche Behördeninformationen.

§ 202d StGB [N-StGB-202d], Datenhehlerei, ist besonders sorgfältig abzugrenzen. Die Norm kann bei nicht allgemein zugänglichen Daten relevant werden, die ein anderer durch rechtswidrige Tat erlangt hat. Die Ausnahme für rechtmäßige dienstliche oder berufliche Pflichten verlangt, dass die Handlung ausschließlich diesem Zweck dient. Ein Recovery-Dienstleister ist deshalb weder automatisch Täter noch automatisch privilegiert.

10. Ransomware-Zahlung, Sanktionen und aktive Gegenmaßnahmen

Praktisch gibt es bei Lösegeld keine einfache Ja-Nein-Formel. Weder „immer strafbar“ noch „rechtlich egal“ ist richtig.

10.1 Prüfbaum für Zahlungen

Vor jeder Zahlung sind mindestens sieben Ebenen zu prüfen:

  1. Wer ist Empfänger, wirtschaftlich Berechtigter, Wallet-Inhaber oder Zahlungsdienstleister?
  2. Gibt es EU-Sanktionen, deutsche Außenwirtschaftsverbote oder UN-Sanktionen, soweit sie über EU- oder deutsches Recht umgesetzt sind? Gibt es zusätzlich US- oder sonstige Drittstaatenrisiken?
  3. Liegt ein Bezug zu kriminellen oder terroristischen Vereinigungen nach §§ 129, 129a oder 129b StGB nahe?
  4. Kann Terrorismusfinanzierung nach § 89c StGB betroffen sein?
  5. Welche Geldwäschefragen stellen sich nach § 261 StGB, einschließlich Leichtfertigkeit und späterer Rückflüsse?
  6. Ist die Zahlung aus Gesellschaftsvermögen unter § 266 StGB vertretbar dokumentiert?
  7. Kommen Rechtfertigung oder Entschuldigung, insbesondere §§ 34 oder 35 StGB, überhaupt in Betracht?

Die Entscheidungsmatrix muss mindestens diese Zeilen enthalten:

Prüffrage Warum sie strafrechtlich zählt Ergebnisregel
Empfänger oder Wallet identifiziert? Ohne Empfängerprüfung lassen sich Sanktionen, Terrorismusbezug und Vereinigungsrisiken nicht seriös bewerten. unbekannt heißt nicht automatisch verboten, aber erhöhter Dokumentations- und Eskalationsbedarf
EU-Sanktionsliste oder Bereitstellungsverbot? Unmittelbar geltende EU-Sanktionen und AWG/AWV können Zahlungen blockieren. bei Treffer keine Zahlung ohne spezialisierte Prüfung und behördliche Klärung
Drittstaatensanktionen, etwa US-Bezug? Sie sind nicht automatisch deutsches Strafrecht, können aber Zahlungsdienstleister, Versicherung und Konzern betreffen. getrennt als Auslands-/Vertrags-/Konzernrisiko kennzeichnen
§§ 129, 129a, 129b StGB? Vereinigung, terroristische Vereinigung, Auslandsbezug und Verfolgungsvoraussetzungen sind nicht identisch. keine Pauschalaussage zur Opferzahlung
§ 89c StGB? Terrorismusfinanzierung folgt eigenen Voraussetzungen. gesondert neben § 129 prüfen
§ 261 StGB? Geldwäsche hängt an Tatobjekt, Herkunft, Zahlungsfluss, Kenntnis und Leichtfertigkeit. eigene legale Mittel sind ein starkes Gegenargument, aber kein alleiniger Automatismus
§ 266 StGB? Gesellschaftsvermögen darf nicht ohne vertretbare, informierte Entscheidung eingesetzt werden. ex ante dokumentierte Business-Judgment- und Sanktionsprüfung nötig
Notstand/Entschuldigung? §§ 34 und 35 StGB sind eng und einzelfallabhängig. kein pauschaler Freibrief
Krypto-Transfer, Kryptowerte-Dienstleister, Zahlungsdienstleister oder Konzern-Treasury betroffen? Verordnung (EU) 2023/1113, MiCAR, GwG und Aufsichtsrecht können Informations-, Prüf-, Sperr-, Melde- oder Dienstleisterpflichten auslösen. Aufsichts- und Compliance-Pfad getrennt prüfen; kein automatischer Import in StGB-Strafbarkeit, aber keine Zahlung ohne Rollen-, Dienstleister- und Sanktionsprüfung
Meldungen, Versicherung, Datenschutz? Zahlung kann Melde-, Informations- und Versicherungsfragen auslösen. getrennt von Strafbarkeit dokumentieren

Die einschlägige EU-Sanktionsverordnung ist fallbezogen zu bestimmen. AWG und AWV bilden die deutsche Sanktions-, Bußgeld- und Strafankerschicht; Drittstaatensanktionen, Zahlungsdienstleisterregeln und Konzernvorgaben sind getrennt zu dokumentieren und dürfen nicht ohne eigene Anknüpfung als deutsches Strafrecht behandelt werden.

Die Zahlung eigener, rechtmäßig erlangter Mittel an einen Erpresser ist nicht schon deshalb Geldwäsche, weil der Empfänger kriminell handelt. Geldwäsche prüft das Tatobjekt und seine Herkunft aus einer rechtswidrigen Tat. Der Grundtatbestand des § 261 StGB [N-StGB-261] hat keinen Mindeststrafrahmen von drei Monaten; dieser erhöhte Rahmen betrifft insbesondere Verpflichtete nach § 2 Geldwäschegesetz in § 261 Abs. 4 StGB. Gleichwohl können Zahlungsfluss, Umtausch, Rückfluss, Vermittler, Kenntnisstand, Wallet-Bezug und Sanktionen die Bewertung verändern. § 261 StGB darf deshalb nicht allein mit dem Satz „eigene Mittel“ abgehakt werden.

10.2 § 129 StGB und offene Fragen

Eine Ransomware-Gruppe ist nicht automatisch eine kriminelle Vereinigung im Sinne des § 129 StGB [N-StGB-129]. Selbst wenn eine solche Vereinigung vorliegt, sind Mitgliedschaft, Unterstützung, Werben, Auslandsbezug und Verfolgungsvoraussetzungen getrennt zu prüfen. Bei ausländischen Vereinigungen kann § 129b StGB relevant werden.

Die strafrechtliche Bewertung einer Zahlung zur Schadensbegrenzung an eine organisierte Tätergruppe ist eine offene, stark einzelfallabhängige Frage. Die Ransomware-Zahlung ist nicht pauschal strafbar und nicht pauschal straflos. Daraus folgt weder eine feststehende Strafbarkeit noch ein Freibrief. Der belastbare Managementsatz lautet: Vor Zahlung müssen Sanktionen, Empfänger, Zahlungsweg, Strafrecht, Geldwäsche, Untreue, Versicherung, Datenschutz, Betriebsfortführung und Dokumentation zusammen geprüft werden.

10.3 Keine aktive Gegenangriffsanleitung

„Hack back“ ist kein Incident-Response-Standard. Aktive Gegenmaßnahmen gegen fremde Systeme können selbst Straftatbestände, internationale Zuständigkeitsprobleme, Schadensersatz und Beweisprobleme auslösen. Notwehr oder Notstand sind keine pauschale Erlaubnis, fremde Infrastruktur anzugreifen.

Zulässig und notwendig können dagegen defensive Maßnahmen im eigenen Verantwortungsbereich sein: Isolierung, Segmentierung, Passwortwechsel, Schlüsselrotation, forensische Sicherung, Abschaltung kompromittierter Dienste, Wiederherstellung aus Backups und koordinierte Kommunikation mit Behörden und Dienstleistern.

11. Personen-, Sach-, Infrastruktur-, Arbeits- und Umweltfolgen

Praktisch darf ein Cyberartikel nicht bei Daten stehen bleiben. In Kliniken, Energie, Verkehr, Industrie, Logistik, Wasser, Telekommunikation und Operational Technology können Menschen, Sachen und Umwelt betroffen sein.

11.1 Personenschäden

Bei Körperverletzung und Tod sind §§ 222 bis 229 StGB zu prüfen. Fahrlässige Körperverletzung und fahrlässige Tötung können bei unzureichender Cyber- oder Betriebssicherheit relevant werden, wenn Pflichtverletzung, Kausalität, Vorhersehbarkeit, Vermeidbarkeit und Zurechnung tragfähig festgestellt werden.

Die Kette lautet: Cyberentscheidung oder Unterlassen → konkrete Schutzpflicht oder Garantenstellung → reale Abwendungsmöglichkeit → physischer Schaden → Kausalität → objektive Zurechnung → Fahrlässigkeit oder Vorsatz → § 222, § 229 oder vorsätzliches Delikt. Eine bloße IT-Störung ohne körperlichen Schaden ist kein Personenstrafrecht. Wenn Leitungspersonen schwerste Folgen bewusst in Kauf nehmen, ist zusätzlich die Grenze zu vorsätzlichen Körperverletzungs- oder Tötungsdelikten zu prüfen.

Bei vorsätzlichen oder erfolgsqualifizierten Delikten sind Grundhandlung, subjektives Merkmal, besondere Folge und spezifischer Gefahrzusammenhang getrennt zu prüfen. §§ 11 Abs. 2 und 18 StGB sind für gemischte subjektive Strukturen wesentlich.

§ 323c StGB [N-StGB-323c] ist ein eigener Notfallpfad. Die Kette lautet: Cyber- oder OT-Vorfall → Unglücksfall, gemeine Gefahr oder Not → erforderliche und zumutbare Hilfe möglich → Nichtleisten der Hilfe oder Behinderung hilfeleistender Personen → § 323c StGB prüfen. Eine bloße IT-Störung ohne Unglücksfall, gemeine Gefahr oder Not ist nicht automatisch unterlassene Hilfeleistung.

11.2 Sach-, Infrastruktur- und Umweltfolgen

§ 303 StGB betrifft Sachbeschädigung. § 304 StGB kann bei gemeinschädlicher Sachbeschädigung hinzukommen, etwa bei Gegenständen des öffentlichen Nutzens. § 305a StGB kann bei der Zerstörung wichtiger Arbeitsmittel relevant werden. §§ 316b und 317 StGB betreffen Störungen öffentlicher Betriebe oder Telekommunikationsanlagen unter den dort genannten Voraussetzungen. Brand-, Verkehrs-, Energie- oder Wasserfolgen können weitere Normen der §§ 306 bis 318 StGB auslösen.

Umweltdelikte der §§ 324 bis 330d StGB sind bei Cyberereignissen nicht fernliegend, wenn Steuerungsfehler zu Gewässer-, Boden-, Luft- oder Gefahrstoffschäden führen. Sie sind aber nur bei entsprechender Tatsachenbasis zu prüfen, nicht als Standarddrohung.

11.3 Arbeitsschutz

§ 26 Arbeitsschutzgesetz, kurz ArbSchG, [N-ArbSchG-26] enthält Strafvorschriften. Die Prüfung muss zwei Alternativen trennen. Erstens: eine in § 25 Abs. 1 Nr. 2 Buchstabe a ArbSchG bezeichnete Handlung wird beharrlich wiederholt. Zweitens: eine vorsätzliche Handlung nach § 25 Abs. 1 Nr. 1 oder Nr. 2 Buchstabe a ArbSchG gefährdet Leben oder Gesundheit eines Beschäftigten. Die zugrunde liegende vollziehbare Anordnung, Rechtsverordnung oder Pflichtquelle muss genau benannt werden.

Die Kette lautet: Arbeitsschutzpflicht oder Anordnung → konkrete §-25-ArbSchG-Bezugshandlung → beharrliche Wiederholung oder vorsätzliche Gefährdung → Leben oder Gesundheit eines Beschäftigten → § 26 ArbSchG. Für Geschäftsleitungen bedeutet das: Cyberrisiken, die Beschäftigte physisch gefährden, gehören in Arbeitsschutz, Betriebssicherheit und Krisenplanung. Das gilt besonders bei Operational Technology, Zutrittssystemen, Notabschaltungen, medizinischen Geräten und Industrieanlagen.

12. Sektorale Sonderpfade

Praktisch hängt die strafrechtliche Exposition oft am Sektor. Ein Krankenhaus, eine Bank, ein Energiebetreiber und ein Softwarehersteller haben nicht dieselben Trigger.

Sektor oder Sachverhalt Strafrechtlich relevante Trigger Persönliche Leitungsexposition Was nicht automatisch folgt
BSIG/NIS-2 BSIG-Pflichten, Geschäftsleitungspflichten, Bußgeldtatbestände, Aufsicht, Meldungen eigene Pflichtverletzung, falsche Meldung, Vertuschung, § 130 OWiG oder § 30 OWiG getrennt kein BSIG-Verstoß wird ohne eigenständigen Straftatbestand zur Straftat
Finanzsektor Kreditwesengesetz (KWG), Geldwäschegesetz (GwG), Digital Operational Resilience Act (DORA), Kryptowerte, Verdachtsmeldungen, KWG-Anzeige- und Organisationspflichten Anzeige-, Organisations-, Eignungs-, Geldwäsche- und Zahlungsfreigabepfade nicht jedes Ransomware-Opfer ist GwG-Verpflichteter oder Kryptowerte-Dienstleister
Gesundheit/Sozialdaten § 203 StGB, § 42 BDSG, Sozialdaten nach dem Sozialgesetzbuch (SGB) I/X, Medizinprodukte, Patientensicherheit Geheimnisträger-, Mitwirkenden-, Dienstleister-, Patientensicherheits- und Personenschadenspfade Berufsgeheimnis hängt an Rolle, Einbindung und Offenbarungshandlung
Telekommunikation und digitale Dienste § 206 StGB, TKG, TDDDG, Kommunikationsgeheimnis Zugriff, Aufzeichnung, Weitergabe oder Auswertung von Kommunikationsdaten Incident-Aufklärung ersetzt keine Abhör- oder Aufzeichnungserlaubnis
Produkte mit digitalen Elementen Cyber Resilience Act, Produktsicherheit, Medizinprodukterecht, Marktüberwachung Produktinformation, Marktmaßnahmen, falsche Erklärungen, Personenschäden EU-Pflichten brauchen für nationale Strafe oder Bußgeld eine Sanktionsnorm
Energie und Kritische Anlagen Energiewirtschaftsgesetz (EnWG), BSIG, KRITIS-Dachgesetz, also das deutsche Dachgesetz für kritische Anlagen, CER-Richtlinie, also die EU-Richtlinie zur Resilienz kritischer Einrichtungen, Operational Technology, Infrastrukturdelikte OT-Entscheidungen, Schutzpflichten, körperliche oder infrastrukturelle Folgen physische Resilienz und IT-Sicherheit sind zu trennen
Steuer und Rechnungslegung Abgabenordnung (AO), Handelsgesetzbuch (HGB), GmbHG, AktG, StaRUG falsche Erklärung, Berichtigungspflicht, Kapitalverlust, Restrukturierungsanzeige der Cybervorfall selbst ist nicht die Steuer- oder Bilanzstraftat
Kapitalmarkt und Emittentenkommunikation Marktmissbrauchsverordnung (EU) Nr. 596/2014, kurz MAR, Wertpapierhandelsgesetz (WpHG), Ad-hoc-Publizität, Insiderinformationen mögliche Insiderinformation, Aufschubentscheidung, Kapitalmarktkommunikation, Insiderliste, Marktmissbrauchs- oder Falschangabenpfade nicht jeder Cybervorfall ist eine Insiderinformation oder kapitalmarktrechtliche Straftat
Beschaffung und Wettbewerb Gesetz gegen Wettbewerbsbeschränkungen (GWB), Wettbewerbsregistergesetz (WRegG), §§ 298, 299, 299a, 299b StGB unrichtige Eigenerklärungen, Bestechungs-, Wettbewerbs- oder Ausschlussfolgen Ausschluss- und Registerfolgen sind keine Strafbarkeit selbst

Die EU-NIS-2-Richtlinie [EU-NIS2] ist eine Richtlinie und braucht nationale Umsetzung. DORA (Digital Operational Resilience Act) [EU-DORA] und der Cyber Resilience Act [EU-CRA] sind EU-Verordnungen, können aber für nationale Straf- oder Bußgeldfolgen nicht jede Bestimmtheitsanforderung ersetzen. Maßgeblich bleibt die jeweils einschlägige deutsche Sanktionsnorm.

Für kapitalmarktorientierte Unternehmen kommt ein eigener Pfad hinzu. Die Kette lautet: Cybervorfall → mögliche Insiderinformation oder kapitalmarktrelevante Erklärung → Art. 7, 14, 17 und 18 der Marktmissbrauchsverordnung [EU-MAR] sowie §§ 119 und 120 WpHG prüfen → Ad-hoc-Veröffentlichung, Aufschub, Insiderliste, Handelsverbote und mögliche Straf- oder Bußgeldfolgen getrennt bewerten. Ein Cybervorfall ist nicht automatisch eine Insiderinformation; wenn er Kursrelevanz, präzise Information und Emittentenbezug erreicht, darf der Pfad aber nicht fehlen.

13. Folgen einer Verurteilung und Abgrenzung zu anderen Rechtsfolgen

Praktisch ist schon ein Ermittlungsverfahren belastend. Es ist aber keine Verurteilung.

13.1 Ermittlungsverfahren, Einstellung, Strafbefehl und Urteil

Ein Ermittlungsverfahren prüft Verdacht. Eine Einstellung nach § 170 Abs. 2 StPO, § 153 StPO oder § 153a StPO hat andere Bedeutung als ein Urteil. Ein Strafbefehl nach §§ 407 bis 412 StPO ist nicht bloß Verwaltungspost. § 410 StPO bestimmt: Wird nicht rechtzeitig Einspruch erhoben, steht er einem rechtskräftigen Urteil gleich.

Bei Beschuldigtenvernehmung, Durchsuchung, Sicherstellung, Beschlagnahme, Herausgabe von Daten, Verteidigerkommunikation und Mehrpersonenvertretung sind Strafprozessordnung und Verteidigungsstrategie früh zu trennen. Unternehmensinteresse und Individualinteresse können auseinanderfallen.

Kooperation mit Behörden kann sinnvoll sein, ist aber keine automatische Straffreiheit. Aufklärungshilfe, Wiedergutmachung, Geständnis, Einstellung gegen Auflagen oder Strafmilderung haben jeweils eigene Voraussetzungen. Deshalb muss jede Kooperationsentscheidung zwischen Unternehmensnutzen, Individualschutz, Selbstbelastung, Berufsgeheimnis, Datenschutz und Versicherungsinteressen abgewogen werden.

13.2 Register und Berufsfolgen

Eine rechtskräftige strafgerichtliche Verurteilung wird grundsätzlich im Bundeszentralregister erfasst. Das bedeutet nicht automatisch, dass jede Verurteilung in jedem Führungszeugnis erscheint. Für Führungszeugnisse gelten eigene Regeln, insbesondere § 32 Bundeszentralregistergesetz, kurz BZRG.

Bußgeld ist nicht Strafe. Bestimmte Bußgeldentscheidungen können aber im Gewerbezentralregister oder Wettbewerbsregister relevant werden. Auch aufsichtsrechtliche Eignung, Bestellungshindernisse, Fit-and-Proper-Prüfung, also aufsichtsrechtliche Eignungs- und Zuverlässigkeitsprüfung, Leitungsuntersagung und Tätigkeitsverbot sind getrennte Ebenen. Das Tätigkeitsverbot steht in Tätigkeitsverbot. Die Verjährung der Tatbestände steht in Haftung und Sanktionen — Überblick.

Tilgung, Nichtaufnahme, Auskunftsumfang und Fristen sind nicht aus dem Schlagwort „Register“ abzuleiten. Bundeszentralregister, Führungszeugnis, Gewerbezentralregister und Wettbewerbsregister haben jeweils eigene Eintragungs-, Auskunfts- und Tilgungsregeln; sie sind vor jeder registerbezogenen Aussage gesondert nach BZRG, GewO/WRegG und den einschlägigen Sondernormen zu prüfen.

13.3 Einziehung, Verbandsgeldbuße und Verwaltungszwang

Einziehung nach §§ 73 bis 76b StGB ist keine Verbandsgeldbuße. Verbandsgeldbuße nach § 30 OWiG ist wiederum keine Einziehung. § 29a OWiG betrifft Einziehung des Wertes von Taterträgen im Ordnungswidrigkeitenrecht.

Aufsichtsrechtliche Maßnahmen wie Anordnungen, Zwangsgelder, Abberufung, Untersagung oder Nachweise sind ebenfalls eigenständig. § 63 BSIG betrifft Verwaltungszwang. § 61 Abs. 9 BSIG kann eine Leitungspersonenmaßnahme betreffen. Diese Maßnahmen dürfen nicht rückwärts als Begründung einer Straftat verwendet werden.

14. Arbeitsprodukte und Verhaltensregeln

Praktisch braucht die Geschäftsleitung keine Strafrechtsvorlesung im Krisenraum. Sie braucht klare Arbeitsprodukte, die später nachvollziehbar machen, wer wann was wusste und entschieden hat.

14.1 Sofortige Arbeitsprodukte

Nach einem erheblichen Cybervorfall sollten mindestens diese Arbeitsprodukte entstehen:

  1. Ereignis- und Kenntniszeitachse mit Angriff, Entdeckung, Eskalation, Meldung, Liquidität, Behördenkontakt und Datenmaßnahmen.
  2. Rollenmatrix für Vorstand, Geschäftsführung, CISO, CIO, Datenschutz, Legal, externe Forensik, Dienstleister und Konzern.
  3. Legal-Hold- und Beweissicherungsmemo mit Datenkategorien, Zugriffskreis, Zweck, Rechtsgrundlage, Aufbewahrung und Löschprüfung.
  4. Melde-, Anzeige- und Antragsmatrix mit DSGVO, BSIG, Strafanzeige, Strafantrag, Versicherer, Aufsicht und Vertragspartnern.
  5. Insolvenznähe- und Liquiditätsmemo mit Fristen, Zahlungsfähigkeit, Überschuldung, Fortführungsprognose und Beitragsfälligkeiten.
  6. Ransomware-Entscheidungsmemo mit Empfängerprüfung, Sanktionen, Geldwäsche, Untreue, Alternativen, Versicherung und Betriebsfortführung.
  7. Kommunikationsmatrix für Mitarbeitende, Kunden, Behörden, Presse, Betriebsrat und Verteidigung.

14.2 Verhaltensregeln für die Leitung

Nicht vorschnell schließen: Pflichtverstoß ist nicht automatisch Straftat. Nicht vorschnell beruhigen: Eine eigene Tat kann durch Vertuschung, falsche Angaben, Log-Löschung, Insolvenzantragspflichten oder Zahlungen entstehen.

Keine potenziell beweiserheblichen Daten unkontrolliert löschen. Keine Sachverhalte beschönigen. Keine Beschäftigten zu einheitlichen Aussagen drängen. Keine Strafanzeige mit Strafantrag verwechseln. Keine Zahlung ohne Empfänger-, Sanktions-, Geldwäsche-, Untreue- und Dokumentationsprüfung. Keine Verteidigerrolle mit Unternehmenskommunikation vermischen.

14.3 Vorstandsfazit

Für die Geschäftsleitung lautet die Kernregel: Strafrechtlich gefährlich wird nicht jeder Cyberfehler. Gefährlich wird die Kombination aus konkreter Pflichtstellung, eigener Entscheidung oder Weisung, Kenntnis, Vorsatz oder ausdrücklich erfasster Fahrlässigkeit, kausalem Schaden oder Gefahr und unkontrolliertem Verhalten nach dem Angriff.

Dieser Artikel ersetzt keine Strafverteidigung und keine Einzelfallberatung. Er ist eine strukturierte Erstorientierung für Prävention, Krisenstab und Dokumentation.

15. Zeitlicher Geltungsstand, Quellen und Schnittstellen

Dieser Artikel beruht auf einer Rechtsstandprüfung am 26. Juni 2026. Gesetzestexte können sich ändern. Für eine konkrete Anwendung oder Mandatsarbeit ist der Norm-, Übergangs-, Rechtsprechungs- und Quellenstand am jeweiligen Anwendungstag erneut zu prüfen.

15.0 Rechtsanhang — gesetzliche Kernauszüge und Strukturhinweise

Die folgenden gesetzlichen Kernzitate und Strukturhinweise sichern die Schwelle zwischen Bußgeld, Straftat, Vorsatz, Fahrlässigkeit, Antrag und Verwendungsverbot. Blockquotes geben Gesetzestext wieder; nicht als Blockquote gesetzte Strukturhinweise fassen die Normmechanik zusammen. Die authentische Verkündung und die jeweilige Arbeitskonsolidierung sind bei konkreter Anwendung tagesaktuell erneut zu prüfen.

§ 15 StGB — Vorsätzliches und fahrlässiges Handeln

Strafbar ist nur vorsätzliches Handeln, wenn nicht das Gesetz fahrlässiges Handeln ausdrücklich mit Strafe bedroht.

§ 13 Abs. 1 StGB — Begehen durch Unterlassen

(1) Wer es unterläßt, einen Erfolg abzuwenden, der zum Tatbestand eines Strafgesetzes gehört, ist nach diesem Gesetz nur dann strafbar, wenn er rechtlich dafür einzustehen hat, daß der Erfolg nicht eintritt, und wenn das Unterlassen der Verwirklichung des gesetzlichen Tatbestandes durch ein Tun entspricht.

§ 266 Abs. 1 und 2 StGB — Untreue

(1) Wer die ihm durch Gesetz, behördlichen Auftrag oder Rechtsgeschäft eingeräumte Befugnis, über fremdes Vermögen zu verfügen oder einen anderen zu verpflichten, mißbraucht oder die ihm kraft Gesetzes, behördlichen Auftrags, Rechtsgeschäfts oder eines Treueverhältnisses obliegende Pflicht, fremde Vermögensinteressen wahrzunehmen, verletzt und dadurch dem, dessen Vermögensinteressen er zu betreuen hat, Nachteil zufügt, wird mit Freiheitsstrafe bis zu fünf Jahren oder mit Geldstrafe bestraft.

(2) § 243 Abs. 2 und die §§ 247, 248a und 263 Abs. 3 gelten entsprechend.

§ 15a Abs. 4 und 5 InsO — Antragspflicht bei juristischen Personen und Gesellschaften ohne Rechtspersönlichkeit

(4) Mit Freiheitsstrafe bis zu drei Jahren oder mit Geldstrafe wird bestraft, wer entgegen Absatz 1 Satz 1 und 2, auch in Verbindung mit Satz 3 oder Absatz 2 oder Absatz 3, einen Eröffnungsantrag

  1. nicht oder nicht rechtzeitig stellt oder
  2. nicht richtig stellt.

(5) Handelt der Täter in den Fällen des Absatzes 4 fahrlässig, ist die Strafe Freiheitsstrafe bis zu einem Jahr oder Geldstrafe.

§ 274 Abs. 1 Nr. 2 und Abs. 2 StGB — Urkundenunterdrückung; Veränderung einer Grenzbezeichnung — Auszug

(1) Mit Freiheitsstrafe bis zu fünf Jahren oder mit Geldstrafe wird bestraft, wer

2. beweiserhebliche Daten (§ 202a Abs. 2), über die er nicht oder nicht ausschließlich verfügen darf, in der Absicht, einem anderen Nachteil zuzufügen, löscht, unterdrückt, unbrauchbar macht oder verändert oder [...]

(2) Der Versuch ist strafbar.

§ 258 Abs. 1, 4 und 5 StGB — Strafvereitelung

(1) Wer absichtlich oder wissentlich ganz oder zum Teil vereitelt, daß ein anderer dem Strafgesetz gemäß wegen einer rechtswidrigen Tat bestraft oder einer Maßnahme (§ 11 Abs. 1 Nr. 8) unterworfen wird, wird mit Freiheitsstrafe bis zu fünf Jahren oder mit Geldstrafe bestraft.

(4) Der Versuch ist strafbar.

(5) Wegen Strafvereitelung wird nicht bestraft, wer durch die Tat zugleich ganz oder zum Teil vereiteln will, daß er selbst bestraft oder einer Maßnahme unterworfen wird oder daß eine gegen ihn verhängte Strafe oder Maßnahme vollstreckt wird.

§ 42 Abs. 1 bis 4 BDSG — Strafvorschriften

(1) Mit Freiheitsstrafe bis zu drei Jahren oder mit Geldstrafe wird bestraft, wer wissentlich nicht allgemein zugängliche personenbezogene Daten einer großen Zahl von Personen, ohne hierzu berechtigt zu sein,

  1. einem Dritten übermittelt oder
  2. auf andere Art und Weise zugänglich macht

und hierbei gewerbsmäßig handelt.

(2) Mit Freiheitsstrafe bis zu zwei Jahren oder mit Geldstrafe wird bestraft, wer personenbezogene Daten, die nicht allgemein zugänglich sind,

  1. ohne hierzu berechtigt zu sein, verarbeitet oder
  2. durch unrichtige Angaben erschleicht

und hierbei gegen Entgelt oder in der Absicht handelt, sich oder einen anderen zu bereichern oder einen anderen zu schädigen.

(3) Die Tat wird nur auf Antrag verfolgt. Antragsberechtigt sind die betroffene Person, der Verantwortliche, die oder der Bundesbeauftragte und die Aufsichtsbehörde.

(4) Eine Meldung nach Artikel 33 der Verordnung (EU) 2016/679 oder eine Benachrichtigung nach Artikel 34 Absatz 1 der Verordnung (EU) 2016/679 darf in einem Strafverfahren gegen den Meldepflichtigen oder Benachrichtigenden oder seine in § 52 Absatz 1 der Strafprozessordnung bezeichneten Angehörigen nur mit Zustimmung des Meldepflichtigen oder Benachrichtigenden verwendet werden.

§ 130 Abs. 1 OWiG — Verletzung der Aufsichtspflicht in Betrieben und Unternehmen

(1) Wer als Inhaber eines Betriebes oder Unternehmens vorsätzlich oder fahrlässig die Aufsichtsmaßnahmen unterläßt, die erforderlich sind, um in dem Betrieb oder Unternehmen Zuwiderhandlungen gegen Pflichten zu verhindern, die den Inhaber treffen und deren Verletzung mit Strafe oder Geldbuße bedroht ist, handelt ordnungswidrig, wenn eine solche Zuwiderhandlung begangen wird, die durch gehörige Aufsicht verhindert oder wesentlich erschwert worden wäre.

Zu den erforderlichen Aufsichtsmaßnahmen gehören auch die Bestellung, sorgfältige Auswahl und Überwachung von Aufsichtspersonen.

§ 65 BSIG — Ordnungswidrigkeiten-Kernsatz

(3) Ordnungswidrig handelt, wer eine in Absatz 1 bezeichnete Handlung fahrlässig begeht.

Diese Zeile belegt nur die Ordnungswidrigkeitenebene. Für jede Subsumtion ist zusätzlich die konkrete Absatz-, Nummern- und Buchstabenvariante des § 65 BSIG zu bestimmen; der Kernsatz ersetzt nicht den enumerierten Bußgeldkatalog.

Ergänzende Krisen-, Beitrags- und Kapitalverluststellen

§ 266a StGB — Vorenthalten und Veruntreuen von Arbeitsentgelt, Strafrahmenstruktur

Strukturhinweis, kein Vollzitat: Die Grundfälle der Absätze 1 bis 3 sind vorsätzliche Straftaten mit Freiheitsstrafe bis zu fünf Jahren oder mit Geldstrafe. Absatz 4 regelt besonders schwere Fälle der Absätze 1 und 2 mit Freiheitsstrafe von sechs Monaten bis zu zehn Jahren. Absatz 5 ist eine Gleichstellungsregel für bestimmte Auftraggeber und Zwischenmeister. Absatz 6 betrifft mögliches Absehen von Bestrafung beziehungsweise Nichtbestrafung unter engen Voraussetzungen. Für den verbindlichen Wortlaut ist die Einzelnorm in der Quellenliste zu prüfen.

§ 42 Abs. 3 StaRUG — Anzeige von Zahlungsunfähigkeit und Überschuldung; Strafvorschrift

(3) Mit Freiheitsstrafe bis zu drei Jahren oder mit Geldstrafe wird bestraft, wer entgegen Absatz 1 Satz 2 den Eintritt der Zahlungsunfähigkeit oder der Überschuldung nicht oder nicht rechtzeitig anzeigt. Handelt der Täter fahrlässig, ist die Strafe Freiheitsstrafe bis zu einem Jahr oder Geldstrafe. Die Sätze 1 und 2 sind nicht anzuwenden auf Vereine und Stiftungen, für die die Pflicht nach Absatz 1 Satz 1 gilt.

§ 84 GmbHG — Verletzung der Verlustanzeigepflicht

(1) Mit Freiheitsstrafe bis zu drei Jahren oder mit Geldstrafe wird bestraft, wer es als Geschäftsführer unterläßt, den Gesellschaftern einen Verlust in Höhe der Hälfte des Stammkapitals anzuzeigen.

(2) Handelt der Täter fahrlässig, so ist die Strafe Freiheitsstrafe bis zu einem Jahr oder Geldstrafe.

§ 401 AktG — Pflichtverletzung bei Verlust, Überschuldung oder Zahlungsunfähigkeit

(1) Mit Freiheitsstrafe bis zu drei Jahren oder mit Geldstrafe wird bestraft, wer es als Mitglied des Vorstands entgegen § 92 Abs. 1 unterläßt, bei einem Verlust in Höhe der Hälfte des Grundkapitals die Hauptversammlung einzuberufen und ihr dies anzuzeigen.

(2) Handelt der Täter fahrlässig, so ist die Strafe Freiheitsstrafe bis zu einem Jahr oder Geldstrafe.

15.1 Primärquellen — deutsche Arbeitskonsolidierung und authentische Verkündung

gesetze-im-internet.de wird hier als bundesamtlich bereitgestellte Arbeitskonsolidierung genutzt. Authentische deutsche Verkündung ist das Bundesgesetzblatt auf der Verkündungsplattform des Bundes. Bei neu geänderten Normen und Übergangsregeln ist die Bundesgesetzblatt-Fundstelle vorrangig zu prüfen.

Allgemeiner Teil und Verfahren:

Cyber, Vermögen, Beweise und Rechtspflege:

  • StGB §§ 133, 136, 138, 139, 145d, 153 bis 161, 164, 201, 201a, 202a bis 202d, 203 bis 206, 222 bis 229, 240, 253, 255, 257, 258, 258a, 259, 261, 263, 263a, 266, 266a, 267 bis 270, 274, 283 bis 283d, 298, 299, 299a, 299b, 300, 301, 303, 303a, 303b, 303c, 305a, 306 bis 318, 323c, 324 bis 330d: https://www.gesetze-im-internet.de/stgb/

Krise, Rechtsform und Rechnungslegung:

Cyberpflichten, Datenschutz, Geheimnisse und Beschäftigte:

Ransomware, Sanktionen und Sektor:

Diese Liste ergänzt die Quellengruppen oben. Sie ist bewusst technisch: Sie soll sicherstellen, dass jede im Artikel tragend genannte Norm auf eine konkrete Arbeitskonsolidierung zurückgeführt werden kann. Bei neuer Änderung ist zusätzlich die authentische Verkündung zu prüfen.

Strafgesetzbuch:

Strafprozessordnung:

Ordnungswidrigkeitengesetz:

Insolvenzordnung:

BSI-Gesetz:

Bundesdatenschutzgesetz:

GmbH-Gesetz:

Aktiengesetz:

Handelsgesetzbuch:

Wertpapierhandelsgesetz:

Abgabenordnung:

Weitere zentrale Einzelnormquellen:

15.3 Primärquellen — Union und KRITIS-Dachgesetz

15.4 Schnittstellen und Quellenhinweis

Die Schnittstellen sind: Haftung und Sanktionen — Überblick, Innenhaftung der Geschäftsleitung, Verbandsgeldbuße (§ 65 BSIG), Tätigkeitsverbot, Schwellenwerte (250 MA / 50 Mio. €), Cyber-Vorfall: die ersten 72 Stunden, BSI-Meldepflicht (§ 32 BSIG), Konzern: Größenklassen & IT-Tochter.

16. Kurzantworten auf die 24 Lese-Fragen

  1. Ist ein Cybervorfall oder NIS-2-Verstoß automatisch eine Straftat? Nein. Strafrecht beginnt erst dort, wo eine natürliche Person einen eigenständigen Straftatbestand erfüllt; ein Vorfall, ein NIS-2-Verstoß oder ein Organisationsmangel genügt dafür nicht.
  2. Worin unterscheiden sich Bußgeld und Strafe? Bußgeldanker wie § 65 BSIG und § 130 OWiG betreffen Ordnungswidrigkeiten, keine Straftaten. Eine persönliche Geld- oder Freiheitsstrafe setzt einen erfüllten Straftatbestand voraus; ein bloßer Organisationsmangel genügt bei § 130 OWiG nicht.
  3. Was ist die Grundformel des Schwellen-Gate? Zuerst Pflichtverletzung, Bußgeld und Straftat getrennt prüfen. Der Bußgeldpfad läuft über Pflicht, Anwendungsbereich, Pflichtverletzung, Bußgeldtatbestand und Zurechnung; der Strafpfad getrennt über eigenständigen Tatbestand, Tatobjekt, Handlung oder Unterlassen, Erfolg oder Gefahr, Kausalität, subjektive Merkmale, Rechtswidrigkeit, Schuld und Verfolgungsvoraussetzung.
  4. Setzt das Strafgesetzbuch Vorsatz voraus? Ja. Fahrlässigkeit ist nur strafbar, wenn das Gesetz sie ausdrücklich mit Strafe bedroht. Echte Fahrlässigkeitsstrafbarkeit gibt es etwa bei § 15a InsO, § 42 StaRUG, bei Kapitalverlustpflichten und bei fahrlässiger Körperverletzung nach § 229 StGB.
  5. Wann ist § 13 StGB einschlägig? Beim unechten Unterlassen, wenn ein Begehungsdelikt durch Nichtstun verwirklicht wird. Das setzt Garantenstellung, reale und zumutbare Abwendungsmöglichkeit, Kausalität, Gleichwertigkeit von Tun und Unterlassen und das subjektive Merkmal voraus; unmögliche oder unzumutbare Abwendungshandlungen tragen keine Unterlassungsstrafbarkeit, und die Organstellung allein genügt nicht immer.
  6. Was bewirkt § 21 OWiG? Ist dieselbe Handlung zugleich Straftat und Ordnungswidrigkeit, hat das Strafgesetz grundsätzlich Vorrang. Das ersetzt nicht die Tatbestandsprüfung; es verhindert nur die mechanische Doppelbewertung. Rechtskraftfragen werden zusätzlich über § 84 OWiG geprüft.
  7. Wer kann überhaupt Täter sein? Strafrecht ist personenbezogen. Maßgeblich sind Rolle, Wissen und Verhalten der konkreten Person, nicht der Organigramm-Titel. Geschäftsführer und Vorstände werden nicht automatisch Täter, weil das Unternehmen betroffen ist; auch eine faktische Leitungsperson kann relevant werden.
  8. Ist ein CISO automatisch Organperson? Nein. Wer aber eigenständig entscheidet, Weisungen erteilt, Beweise verändert, Meldungen verhindert oder Zahlungsflüsse organisiert, kann eine eigene Täter- oder Teilnehmerprüfung auslösen.
  9. Macht § 14 StGB jede Unternehmenshandlung zur Straftat der Geschäftsleitung? Nein. Die Norm kann besondere persönliche Merkmale oder Pflichtadressatenstellungen auf eine handelnde Vertretungsperson übertragen, ist aber keine allgemeine Organhaftungsnorm.
  10. Ist § 266 StGB ein Auffangtatbestand für schlechtes Cybermanagement? Nein. § 266 StGB kennt keine Fahrlässigkeitsvariante; erforderlich sind Vermögensbetreuungspflicht, pflichtwidrige Entscheidung oder Unterlassung, wirtschaftlich feststellbarer Nachteil, Kausalität und Vorsatz hinsichtlich Pflichtverletzung und Nachteil. Ein hoher Schaden allein genügt nicht.
  11. Was bedeutet § 266 Abs. 2 StGB? Er ist keine eigene Untreuevariante, sondern verweist auf § 243 Abs. 2, §§ 247, 248a und § 263 Abs. 3 StGB. Eine verkürzte Formel „Untreue bis zehn Jahre“ wäre falsch; Grundtatbestand, Verweisungsfolgen und Einzelfallprüfung sind zu trennen.
  12. Wann entsteht Betrug nach einem Vorfall? Nicht aus dem Angriff selbst, sondern aus späteren Erklärungen oder Manipulationen. Wer Schaden, Zeitpunkt, Ursachen oder vorhandene Sicherungen bewusst falsch darstellt, kann gegenüber Versicherern, Banken, Investoren, Kunden oder Behörden einen neuen Straftatbestand nach § 263 StGB auslösen.
  13. Führt ein Cybervorfall automatisch zur Insolvenzantragspflicht? Nein. Erst über Liquiditätsstatus, Zahlungsunfähigkeit nach § 17 InsO oder Überschuldung nach § 19 InsO und die antragspflichtige Person. Der Antrag ist ohne schuldhaftes Zögern zu stellen; als späteste Höchstfristen gelten regelmäßig höchstens drei Wochen bei Zahlungsunfähigkeit und höchstens sechs Wochen bei Überschuldung, jeweils getrennt und vor Anwendung tagesaktuell gegen § 15a InsO zu verifizieren.
  14. Warum ist § 15a InsO für Geschäftsleiter besonders wichtig? Weil § 15a Abs. 5 InsO ausdrücklich die fahrlässige Begehung erfasst. Wer die Liquiditätslage nicht belastbar prüft, keine belastbare Fortführungsprognose erstellt oder Warnsignale ignoriert, kann anders exponiert sein als bei § 266 StGB.
  15. Was gilt für Logs und beweiserhebliche Daten nach einem Angriff? Keine unkontrollierte Löschung oder Veränderung potenziell beweiserheblicher Originaldaten; nach Möglichkeit forensische Sicherung vor Eindämmung, Wiederanlauf oder Bereinigung und Dokumentation mit Zeitpunkt, Person, Grund, System, Datenkategorie und Wirkung. Vorfallunabhängige Routine wie Logrotation ist nicht schon deshalb strafbar; § 274 StGB verlangt zudem die Absicht, einem anderen Nachteil zuzufügen.
  16. Gilt § 303c StGB für alle Daten- oder Sabotagevarianten? Nein. § 303c StGB regelt Strafantrag und besonderes öffentliches Interesse nur für die dort genannten Varianten der §§ 303 bis 303b Abs. 1 bis 3 und ist nicht automatisch auf jede Qualifikation auszuweiten.
  17. Schützt die Opferrolle die Geschäftsleitung dogmatisch? Nein. Die Opferrolle ist eine Sachverhaltsannahme. Sie kippt, wenn eine Leitungsperson eigene Tatbeiträge setzt, etwa unbefugten Datenzugriff, Manipulation von Zahlungs- oder Versicherungsdaten, Anweisung zur Löschung beweiserheblicher Logs, Druck auf Zeugen oder bewusst falsche Behördeninformationen.
  18. Ist eine Ransomware-Zahlung pauschal strafbar oder straflos? Weder noch. Vor einer Zahlung sind unter anderem Empfänger, EU-Sanktionen, Vereinigungs- und Terrorismusbezug, Geldwäsche, Untreue, Versicherung, Datenschutz, Betriebsfortführung und Dokumentation zusammen zu prüfen; die Bewertung bleibt stark einzelfallabhängig.
  19. Hat § 261 StGB einen Mindeststrafrahmen von drei Monaten? Nein. Der Grundtatbestand des § 261 StGB hat keinen Mindeststrafrahmen von drei Monaten; dieser erhöhte Rahmen betrifft insbesondere Verpflichtete nach § 2 Geldwäschegesetz in § 261 Abs. 4 StGB. Die Zahlung eigener, rechtmäßig erlangter Mittel ist nicht schon deshalb Geldwäsche, weil der Empfänger kriminell handelt.
  20. Ist eine Ransomware-Gruppe automatisch eine kriminelle Vereinigung nach § 129 StGB? Nein. Selbst wenn eine solche Vereinigung vorliegt, sind Mitgliedschaft, Unterstützung, Werben, Auslandsbezug und Verfolgungsvoraussetzungen getrennt zu prüfen; bei ausländischen Vereinigungen kann § 129b StGB relevant werden.
  21. Ist „Hack back“ zulässig? Nein, aktive Gegenmaßnahmen gegen fremde Systeme sind kein Incident-Response-Standard und können selbst Straftatbestände, Zuständigkeitsprobleme und Beweisprobleme auslösen. Zulässig sind defensive Maßnahmen im eigenen Verantwortungsbereich wie Isolierung, Segmentierung, Schlüsselrotation, forensische Sicherung und Wiederherstellung aus Backups.
  22. Können Cyberfehler Personen-, Sach- oder Umweltstrafrecht auslösen? Ja, wenn Pflichtverletzung, Kausalität, Vorhersehbarkeit, Vermeidbarkeit und Zurechnung tragfähig feststehen, etwa §§ 222, 229 StGB, der Notfallpfad § 323c StGB oder § 26 ArbSchG. Eine bloße IT-Störung ohne körperlichen Schaden, Unglücksfall oder Gefahr ist kein Personenstrafrecht.
  23. Was folgt registerrechtlich aus einer Verurteilung? Eine rechtskräftige strafgerichtliche Verurteilung wird grundsätzlich im Bundeszentralregister erfasst; ob sie im Führungszeugnis erscheint, richtet sich nach eigenen Regeln, insbesondere § 32 BZRG. Bußgeld ist nicht Strafe; Tilgung, Auskunftsumfang und Fristen sind nach BZRG, GewO/WRegG und Sondernormen gesondert zu prüfen.
  24. Welcher Rechtsstand gilt? Der 26. Juni 2026 (Version 1.6). Gesetzestexte können sich ändern; für eine konkrete Anwendung sind Norm-, Übergangs-, Rechtsprechungs- und Quellenstand am jeweiligen Anwendungstag erneut zu prüfen.

17. Quellen

Die Quellen sind in sechs Gruppen geordnet. Sie verdichten den im Rechtsanhang (Abschnitt 15) ausführlich aufgeführten Quellenapparat; die vollständige Einzelnorm-Linkliste bleibt in den Abschnitten 15.1 bis 15.3 erhalten und unverändert maßgeblich. Gesetzesverweise führen auf die jeweilige amtliche Einzelnorm bzw. EUR-Lex (ELI/CELEX); maßgebliche Verkündungsquelle bleibt das Bundesgesetzblatt bzw. das Amtsblatt der Europäischen Union. Quellenstand: 26. Juni 2026.

17.1 Nationale Normen

Tragende Straf-, Ordnungswidrigkeiten-, Krisen- und Cybernormen mit stabiler Kennung; die erschöpfende Einzelnorm- und Deep-Link-Liste steht in Abschnitt 15.2.

17.2 EU-Recht

17.3 Rechtsprechung

Keine tragenden Rechtsprechungsquellen in dieser Fassung. Der Artikel stützt keine Aussage auf ein Gericht, ein Aktenzeichen, eine ECLI oder einen Leitsatz; die rechtlichen Aussagen folgen unmittelbar aus dem Norm- und Verordnungstext.

17.4 Behörden, Materialien und Verkündung

17.5 Markt, Standards und sonstige Praxis

Keine eigenständige Marktquelle herangezogen. Technische Begriffe wie SIEM, EDR, Forensik-Image, Chain of Custody oder Legal Hold werden im Body nur zur Einordnung genannt; sie begründen keinen Marktstandard und ersetzen die normbezogene Prüfung nicht.

17.6 Prüfstatus und Schlusssatz

  • Rechts- und Redaktionsstand: 26. Juni 2026, Version 1.6. Die tragenden Quellen wurden mit diesem Stand zugrunde gelegt; bei späterer Verwendung ist der dynamische Rechtsstand erneut zu prüfen.
  • Norm-Schwerpunkte: § 129 StGB (Grundtatbestand ohne Dreimonats-Mindeststrafe; § 129a/129b gesondert), § 259 StGB als eigener Tatbestand neben § 202d und § 261, § 261 StGB mit gesondert zu prüfenden besonders schweren Fällen und Qualifikationen, § 15a InsO mit Drei-/Sechswochen-Höchstfristen und Tagesstands-Verifikation, § 274 StGB als Auszug. MiCAR, die Transferverordnung und Sanktionsrecht lösen Aufsichts- und Compliance-Pfade aus, werden aber nicht automatisch in die StGB-Strafbarkeit importiert.
  • Offen gehalten: Status von BSIG, KRITIS-Dachgesetz und weiteren 2026er Rechtsänderungen ist am Anwendungstag erneut zu prüfen; die Erreichbarkeit der externen Quellen-URLs ist nicht eigenständig getestet.

18. CyberSchutzEngel-Hinweis

CyberSchutzEngel ordnet NIS-2-Pflichten, Haftungsfolgen und strafrechtliche Risiken in einer gemeinsamen Arbeitslogik. Diese Einordnung ersetzt keine Strafverteidigung und keine Einzelfallberatung; sie hilft aber, Rollen, Pflichtstellungen, Beweissicherung und Eskalationspunkte strukturiert sichtbar zu machen.

Alle Menschen sind klug.
Die einen vorher, die anderen nachher.

PlattesGroup – auf Mallorca verankert, weltweit vernetzt

Unsere Kompetenzzentren

Wissen & Networking