Kurzdefinition: Das Ausspähen von Daten nach § 202a StGB — oft „Hacking-Paragraf“ genannt — erfasst, wer sich unbefugt Zugang zu besonders gesicherten Daten verschafft, die nicht für ihn bestimmt sind, und dabei die Zugangssicherung überwindet. Die Strafe ist Freiheitsstrafe bis zu drei Jahren oder Geldstrafe. [N-StGB-202a]
Der Normwortlaut
§ 202a Abs. 1 StGB lautet amtlich: „Wer unbefugt sich oder einem anderen Zugang zu Daten, die nicht für ihn bestimmt und die gegen unberechtigten Zugang besonders gesichert sind, unter Überwindung der Zugangssicherung verschafft, wird mit Freiheitsstrafe bis zu drei Jahren oder mit Geldstrafe bestraft.“ Absatz 2 stellt klar, dass Daten im Sinne der Norm nur elektronisch, magnetisch oder sonst nicht unmittelbar wahrnehmbar gespeicherte oder übermittelte Daten sind. [N-StGB-202a]
Was fällt unter Ausspähen von Daten?
Nicht jeder unbefugte Datenzugriff. Der Tatbestand verlangt drei Merkmale, die zusammen vorliegen müssen: Die Daten müssen nicht für den Täter bestimmt, sie müssen besonders gesichert und der Zugang muss unter Überwindung der Zugangssicherung verschafft worden sein. Fehlt die besondere Sicherung, oder wird keine Sicherung überwunden, greift § 202a StGB nicht. Das Merkmal „besonders gesichert“ ist damit der Dreh- und Angelpunkt. [N-StGB-202a]
Welche Strafe droht?
Freiheitsstrafe bis zu drei Jahren oder Geldstrafe. Das „bis zu“ bezeichnet den Höchstrahmen, nicht die Regelstrafe; die konkrete Strafe bemisst sich nach Schuld und Umständen. [N-StGB-202a]
Wer ist im Unternehmen betroffen — Täter oder Opfer?
Im typischen Cyber-Fall ist das Unternehmen das Opfer, und Täter ist der externe Angreifer. Für die Geschäftsleitung wird § 202a StGB nur bei einer eigenen unbefugten Handlung relevant — etwa beim unbefugten Zugriff auf besonders gesicherte Daten, die ihr nicht zustehen. Aus der bloßen Opferrolle folgt keine eigene Strafbarkeit. [N-StGB-202a]
Wird das Ausspähen von Amts wegen verfolgt?
In der Regel nicht ohne Weiteres. § 202a StGB ist über § 205 StGB als Antragsdelikt ausgestaltet; die Tat wird grundsätzlich nur auf Strafantrag verfolgt, sofern die Strafverfolgungsbehörde nicht ein besonderes öffentliches Interesse bejaht. Für das geschädigte Unternehmen ist deshalb die Frist und die Berechtigung des Strafantrags praktisch bedeutsam. [N-StGB-202a] [N-StGB-205]
Häufige Fehlannahmen
- „Jeder unbefugte Zugriff ist Ausspähen von Daten.“ Nein. Ohne besondere Sicherung und ohne deren Überwindung greift § 202a StGB nicht. [N-StGB-202a]
- „Das bloße Lesen offen zugänglicher Daten ist strafbar.“ Nein. § 202a StGB verlangt, dass die Daten besonders gegen unberechtigten Zugang gesichert sind. [N-StGB-202a]
- „Nur wer Daten kopiert, macht sich strafbar.“ Nein. Es genügt, sich unter Überwindung der Zugangssicherung Zugang zu verschaffen — auch das reine Hacking ist erfasst. [N-StGB-202a]
- „Ein erratenes Passwort oder ein Exploit ist keine Überwindung der Sicherung.“ Doch. Wer ein Passwort errät, eine Sicherheitslücke ausnutzt oder Hacking-Werkzeuge wie einen Keylogger einsetzt, überwindet die Zugangssicherung. [N-StGB-202a]
- „Der Staat verfolgt automatisch.“ Nicht ohne Weiteres. § 202a StGB ist grundsätzlich Antragsdelikt (§ 205 StGB). [N-StGB-202a] [N-StGB-205]
Was die Geschäftsleitung tun sollte
- Sicherungen belegen. Der Tatbestand knüpft an „besonders gesichert“ an; dokumentierte Zugangssicherungen sind auch strafrechtlich bedeutsam.
- Strafantrag im Blick behalten. Nach einem Angriff Frist und Berechtigung des Strafantrags prüfen.
- Eigene Zugriffe sauber halten. Zugriffe auf fremde, gesicherte Daten nur mit klarer Befugnis.
- Beweise sichern. Forensik und Protokolle stützen sowohl die Strafverfolgung als auch die eigene Position.
Für die Geschäftsleitung
§ 202a StGB ist der Tatbestand, unter den der klassische Hackerangriff fällt — und im Regelfall ist das Unternehmen das Opfer, nicht der Täter. Für die Geschäftsleitung zählt zweierlei: dass die besondere Sicherung der Daten belegbar ist, denn sie ist Tatbestandsmerkmal, und dass nach einem Angriff der Strafantrag rechtzeitig gestellt wird. Eine eigene Strafbarkeit droht nur bei eigener unbefugter Handlung.
Quellen
- [N-StGB-202a] § 202a StGB (Ausspähen von Daten), Abs. 1 und Abs. 2. Geltende Fassung, Stand 10. Juli 2026. Amtlich: https://www.gesetze-im-internet.de/stgb/__202a.html
- [N-StGB-205] § 205 StGB (Strafantrag), Abs. 1 Satz 2 zu §§ 202a, 202b und 202d StGB. Geltende Fassung, Stand 10. Juli 2026. Amtlich: https://www.gesetze-im-internet.de/stgb/__205.html
