Kurzdefinition: § 202c StGB — der sogenannte Hackerparagraf — stellt Vorbereitungshandlungen zum Ausspähen und Abfangen von Daten unter Strafe. Erfasst ist, wer eine Tat nach § 202a oder § 202b StGB vorbereitet, indem er Passwörter oder geeignete Computerprogramme herstellt, sich verschafft oder verbreitet. [N-StGB-202c]
Der Normwortlaut
§ 202c Abs. 1 StGB bestraft, „Wer eine Straftat nach § 202a oder § 202b vorbereitet“, indem er Passwörter oder sonstige Sicherungscodes oder „Computerprogramme, deren Zweck die Begehung einer solchen Tat ist“, herstellt, sich oder einem anderen verschafft, verkauft, überlässt, verbreitet oder sonst zugänglich macht — „mit Freiheitsstrafe bis zu zwei Jahren oder mit Geldstrafe“. [N-StGB-202c]
Was verbietet § 202c StGB?
Die Bereitstellung von Tatwerkzeugen. Strafbar ist nicht erst der Zugriff auf fremde Daten, sondern schon dessen Vorbereitung: das Herstellen, Beschaffen, Verkaufen, Überlassen oder Verbreiten von Passwörtern, Sicherungscodes oder Angriffsprogrammen. Die Norm zieht die Strafbarkeit damit in das Vorfeld des eigentlichen Ausspähens (§ 202a StGB) oder Abfangens (§ 202b StGB) vor. [N-StGB-202c]
Was sind erfasste Tatmittel?
Zugangscodes und Angriffsprogramme. § 202c StGB nennt einerseits Passwörter und sonstige Sicherungscodes, die den Zugang zu Daten ermöglichen, andererseits Computerprogramme, deren Zweck die Begehung einer Tat nach § 202a oder § 202b StGB ist. Entscheidend ist der Bezug zur Vorbereitung einer solchen Tat. [N-StGB-202c]
Sind Sicherheitstools von IT-Fachleuten strafbar?
Nur bei Vorbereitungsvorsatz. Maßgeblich ist, dass die Handlung eine Straftat nach § 202a oder § 202b StGB vorbereitet. Werkzeuge, die dem legitimen Testen und Absichern eigener oder beauftragter Systeme dienen, sind nicht auf die Begehung einer solchen Tat gerichtet. Die Abgrenzung im Einzelfall ist eine Rechtsfrage, die von Zweck und Vorsatz abhängt. [N-StGB-202c]
Welche Vortaten erfasst § 202c StGB?
Ausspähen und Abfangen. § 202c StGB stellt die Vorbereitung einer Straftat nach § 202a StGB (Ausspähen von Daten) oder § 202b StGB (Abfangen von Daten) unter Strafe. Er ist damit ein Vorfeldtatbestand. [N-StGB-202c]
Welche Tatmittel sind erfasst?
Zugangsmittel und Schadprogramme. Erfasst sind Passwörter oder sonstige Sicherungscodes sowie Computerprogramme, deren Zweck die Begehung einer solchen Tat ist, wenn der Täter sie herstellt, sich oder einem anderen verschafft, verkauft, überlässt, verbreitet oder sonst zugänglich macht. [N-StGB-202c]
Wie hoch ist die Strafe?
Bis zu zwei Jahre. § 202c Abs. 1 StGB sieht Freiheitsstrafe bis zu zwei Jahren oder Geldstrafe vor. Maßgeblich ist der auf die Tatbegehung gerichtete Zweck des Mittels. [N-StGB-202c]
Häufige Fehlannahmen
- „Erst der tatsächliche Datenzugriff ist strafbar.“ Nein. § 202c StGB erfasst bereits die Vorbereitung. [N-StGB-202c]
- „Jedes Sicherheitswerkzeug ist automatisch verboten.“ Nein. Erforderlich ist die Vorbereitung einer Tat nach § 202a oder § 202b StGB. [N-StGB-202c]
- „Die Strafe ist nur symbolisch.“ Nein. § 202c StGB sieht Freiheitsstrafe bis zu zwei Jahren oder Geldstrafe vor. [N-StGB-202c]
- „Jede Software mit Doppelnutzung ist erfasst.“ Nein. § 202c StGB verlangt Computerprogramme, deren Zweck die Begehung einer Tat nach § 202a oder § 202b StGB ist. [N-StGB-202c]
- „Schon der bloße Besitz eines Tools ist strafbar.“ Nein. § 202c StGB knüpft an Handlungen wie Herstellen, Verschaffen, Verkaufen, Überlassen, Verbreiten oder Zugänglichmachen an. [N-StGB-202c]
Was die Geschäftsleitung tun sollte
- Zweck dokumentieren. Legitime Sicherheitstests klar beauftragen und festhalten.
- Berechtigungen sichern. Penetrationstests nur mit Einwilligung der Systeminhaber.
- Tool-Einsatz regeln. Umgang mit Angriffs- und Testwerkzeugen intern klar steuern.
- Abgrenzung beachten. Vorbereitung fremder Taten ist strafbar, das Absichern eigener Systeme nicht.
Für die Geschäftsleitung
§ 202c StGB zeigt, dass das Strafrecht schon das Vorfeld eines Angriffs erfasst: Wer Passwörter oder Angriffsprogramme zur Vorbereitung einer Ausspäh- oder Abfangtat bereitstellt, macht sich strafbar. Für Unternehmen mit eigener IT-Sicherheit kommt es auf den Zweck an — legitime Tests am eigenen System sind nicht erfasst, verlangen aber saubere Beauftragung und Dokumentation.
Quellen
- [N-StGB-202c] § 202c StGB (Vorbereiten des Ausspähens und Abfangens von Daten), Abs. 1 und 2. Geltende Fassung, Stand 10. Juli 2026. Amtlich: https://www.gesetze-im-internet.de/stgb/__202c.html
