Bei StGB 143^bis han­delt es sich um den sog. Hacker­ar­ti­kel des Schwei­zer Straf­rechts. Die Schweiz hat mit StGB 143^bis das Hacken (das Ein­drin­gen in ein gesi­cher­tes Sys­tem) eo ipso unter Strafe gestellt. Auch das deut­sche Straf­recht kennt die Straf­bar­keit des blos­sen Hackens (§202a dStGB, sog. Hacker­pa­ra­graph). Das Öster­rei­chi­sche und Liech­ten­stei­ni­sche Straf­recht dage­gen erfasst das blosse Hacken nicht: §118a öStGB resp. der wort­glei­che §118a liStGB setzt nebst dem Hacking immer auch die Absicht vor­aus, sich Kennt­nis über Daten zu ver­schaf­fen sowie zusätz­lich eine beson­dere Absicht, nament­lich die Zuwen­dung eines Ver­mö­gens­vor­teils oder das Zufü­gen eines Nach­teils. Inso­fern wer­den in Öster­reich und Liech­ten­stein nur sog. Cra­cker bestraft.

Land­läu­fig wird der Begriff Hacker fälsch­li­cher­weise nega­tiv kon­no­tiert. Ein Hacker ist im noch heute gül­ti­gen Ver­ständ­nis der Hacker­szene eine neu­gie­rige Per­son, die sich eines tech­ni­schen Pro­blems annimmt und die­ses Pro­blem mit einer krea­ti­ven Her­an­ge­hens­weise löst. Dabei kann durch­aus die Her­aus­for­de­rung im Zen­trum ste­hen, in ein gesi­cher­tes Sys­tem ein­zu­drin­gen. Ein Hacker befasst sich aber nicht per se ein­zig damit, Siche­run­gen zu umgehen.

Ein Hacker nach die­ser Umschrei­bung hat im Zusam­men­hang mit StGB 143^bis kei­ner­lei wei­te­ren Antrieb, aus­ser eben jenem, ein gesi­cher­tes Sys­tem zu meis­tern und damit die Tech­nik zu schla­gen. Es han­delt sich dabei zwei­fels­ohne um eine roman­ti­sierte Vor­stel­lung des Hackers.

Das Selbst­ver­ständ­nis der Hacker wurde erst­mals im sog. Hacker­ma­ni­fest ver­schrift­licht, das am 8. Januar 1986 im ältes­ten Hacker­ma­ga­zin Phr­ack unter dem Titel «The Con­sci­ence of a Hacker”» ver­öf­fent­licht wurde. In den heu­ti­gen Com­pu­ter­si­cher­heits­krei­sen wird häu­fig zwi­schen Hackern und Cra­ckern unter­schie­den. Letz­tere haben bös­ar­tige Gesin­nung. Sie han­deln z.B. in Berei­che­rungs­ab­sicht oder mit dem Ziel, Scha­den anzu­rich­ten (ein­ge­hen­der und mit vie­len Hin­wei­sen Pfis­ter, S. 89 – 97).

b. Gefah­ren des Hackings

Die ursprüng­li­che und posi­tiv kon­no­tierte Begriffs­de­fi­ni­tion trifft zwar auch heute noch auf die grosse Mehr­heit der Hacker zu. Sie kann aber nicht davon ablen­ken, dass der Schwei­zer Gesetz­ge­ber grade diese Ur-Tätig­keit des Hackers unter Strafe gestellt hat und damit gesell­schaft­lich äch­ten will. In der brei­ten Bevöl­ke­rung wird ein Hacker denn auch ten­den­zi­ell als Kri­mi­nel­ler wahrgenommen.

Es ist frag­lich, ob das pau­schale unter Strafe stel­len von Hacking, wie es heute mit StGB 143^bis der Fall ist, über­haupt sinn­voll ist: Sicher­heits­for­scher, die bei ihren Ana­ly­se­tä­tig­kei­ten in ein Daten­verarbeitungs­system gelan­gen und im Anschluss den Ver­fü­gungs­be­rech­tig­ten die­ses Sys­tems über die ent­deckte Sicher­heits­lü­cke infor­mie­ren, soll­ten nicht  bestraft wer­den. Sie leis­ten einen wert­vol­len Bei­trag zur Sicher­heit der zuneh­mend digi­tal wer­den­den Welt.

Dass Hacking aber ein gros­ses Gefah­ren­po­ten­tial in sich birgt, kann man dage­gen kaum bestrei­ten. Je nach ange­wand­ter Tech­nik bringt ein Hacker gezielt ein Sys­tem oder ein­zel­nen lau­fen­den Pro­zesse die­ses Sys­tem­sin einen Zustand, der nicht vor­ge­se­hen ist und des­sen künii­tge Ope­ra­tio­nen dann nicht mehr abschätz­bar sind. Das kann im äus­sers­ten Fall zum Absturz ein­zel­ner Pro­zesse oder gar des gesam­ten Sys­tems füh­ren. Das Gefähr­li­che darin liegt im Umstand, dass der Hacker in der Regel nicht über alle inter­nen Ein­zel­hei­ten des Sys­tems weiss. Der Absturz eines Pro­zes­ses, auf den andere Pro­zesse ange­wie­sen sind, kann zur Funk­ti­ons­un­fä­hig­keit des Sys­tems und letzt­lich auch zu Daten­ver­lus­ten füh­ren. Sind Sys­teme nicht mehr ver­füg­bar, kann je nach Daten­ver­ar­bei­tungs­an­la­gen nicht nur das Ver­mö­gen son­dern gar Leib und Leben in Gefahr sein. Man denke an Daten­verarbeitungs­systeme in Spi­tä­lern, Ein­satz­zen­tra­len von Poli­zei oder Feu­er­wehr, oder an sol­che in Was­ser- oder Kern­kraft­an­la­gen. Hacking ist aber nicht per se gefährlich.

Davon abzu­gren­zen sind Angriffe, die das Ziel­sys­tem nicht insta­bil las­sen wer­den. Das Aus­pro­bie­ren von unzäh­li­gen Pass­wort­kom­bi­na­tio­nen bei einem Brute-Force-Angriff führt in aller Regel zu kei­nen Neben­wir­kun­gen und gilt als ungefährlich.

Zusätz­li­che Gefah­ren ent­ste­hen erst durch den anschlies­sen­den Miss­brauch eines gehack­ten Sys­tems, wer­den aber fälsch­li­cher­weise dem Hacken sel­ber zuge­schrie­ben. So adres­siert z.B. der Euro­pa­rat in sei­nem Explana­tory Report vom 23. Novem­ber 2001 einer­seits Gefah­ren wie Sys­tem- und Daten­feh­ler für legi­ti­mierte Benut­zer, sowie unspe­zi­fi­sche Ver­än­de­run­gen und Zer­stö­run­gen mit hohen Wie­der­her­stel­lungs­kos­ten. Zum andern wer­den der Zugriff auf ver­trau­li­che Daten (nament­lich Pass­wör­ter und Sys­tem­in­for­ma­tio­nen) erwähnt, sowie geheime Infor­ma­tio­nen, mit wel­chen die Sys­teme ohne Bezah­lung genutzt wer­den oder gar zu Com­pu­ter­be­trug oder ‑fäl­schun­gen füh­ren könnten.

Hacking ist viel­fach auch mas­siv per­sön­lich­keits­ver­let­zend. So wird eine betrof­fene Per­son, die bemerkt, dass ihr Sys­tem infil­triert wurde, durch die­sen Umstand mas­siv ver­un­si­chert. Um sicher zu sein, dass auf einem Com­pu­ter kein Ein­dring­ling mehr zuge­gen ist, wer­den die Sys­teme meis­tens kom­plett for­ma­tiert und neu aufgesetzt.

Für gewöhn­lich wird ein Hack erst nach lan­ger Zeit und eher zufäl­lig bemerkt. Hacking ist für den Men­schen nicht real wahr­nehm­bar. Noch viel weni­ger, als beim Haus­frie­dens­bruch in rea­len Räu­men. Ein erfolg­rei­cher Hack ermög­licht es dem Täter, auf einen Schlag über pri­va­teste Details sei­ner Ziel­per­son Kennt­nis zu erlan­gen. Von pri­va­ten Film- und Foto­samm­lun­gen, über die gesamte elek­tro­ni­sche Kor­re­spon­denz, elek­tro­ni­sche Tage­bü­cher, Rech­nun­gen etc. pp fin­det sich heute alles auf einem Com­pu­ter. Ebenso kann er durch den Hack in den Besitz wei­te­rer Zugangs­da­ten kom­men. Iden­ti­täts­dieb­stahl kann die Folge sein, was gra­vie­rende Aus­masse anneh­men kann. Iden­ti­täts­dieb­stahl oder ‑miss­brauch ist als sol­cher ist in der Schweiz nicht straf­bar (wohl aber andere Rechts­guts­ver­let­zun­gen unter ande­ren Titeln; siehe aber die ange­nom­mene stän­de­rät­li­che Motion Comte vom 21.03.2014, wonach ein Straf­tat­be­stand für den Iden­ti­täts­miss­brauch als sol­ches ver­langt wird).  Nicht zu ver­ges­sen ist die Mög­lich­keit, sich auch unmit­tel­bar am Ver­mö­gen zu berei­chern, in dem Bestel­lun­gen aus­ge­führt wer­den oder Zah­lungs­an­wei­sun­gen vor­ge­nom­men wer­den. Gehack­ter Com­pu­ter bedeu­tet also per­sön­lich mas­sive Unsi­cher­heit für die Betroffenen.

Aus die­sen zwei unter­schied­li­chen Argu­men­ta­ti­ons­rich­tun­gen ist bereits jetzt erkenn­bar, dass der Hacking­tat­be­stand zwei Gesich­ter in sich ver­eint. Die­ses Gemenge führt zu einem Lehr­streit über den Delikts­cha­rak­ter von StGB 143^bis.I, wel­cher im Abschnitt Rechts­gut und Delikts­na­tur wei­ter unten auf­ge­zeigt wird.

Im Jahr 2014 waren 92 Per­so­nen poli­zei­lich regis­triert, denen vor­ge­wor­fen wurde, unbe­fugt in ein Daten­verarbeitungs­system ein­ge­drun­gen zu sein. Dabei wur­den drei­mal mehr Män­ner als Frauen gezählt. Die poli­zei­lich regis­trier­ten beschul­dig­ten Per­so­nen wer­den wie folgt auf­ge­schlüs­selt (Stand 01.02.2016):

(PDF | SVG | CSV-Daten­satz | Daten­quelle)

Die grösste Anzahl beschul­dig­ter Per­so­nen fin­det sich seit Beginn der sta­tis­ti­schen Erfas­sung im Jahr 2009 durch das Bun­des­amt für Sta­tis­tik in der Gruppe der 20- bis 40-jäh­ri­gen. Die Per­so­nen die­ser Gruppe gel­ten heute als digi­tal nati­ves, also jene Per­so­nen, die in einer digi­ta­li­sier­ten Umge­bung auf­ge­wach­sen sind. Danach folgt quan­ti­ta­tiv (aus­ser im Jahr 2013) die Gruppe der 40- bis 60-jäh­ri­gen und erst danach jene der bis 20-jäh­ri­gen. Die Gruppe der ab 60-jäh­ri­gen ist ver­schwin­dend klein.

Die Straf­ur­teils­sta­tis­tik der Erwach­se­nen basiert auf den im Straf­re­gis­ter ein­ge­tra­ge­nen Urtei­len. Das heisst, dass nur rechts­kräf­tige Urteile erfasst wer­den. Ein Vor­fall aus dem Jahr 2010 kann unter Umstän­den erst im Jahr 2014 in Rechts­kraft erwach­sen, wobei das Urteil in der Sta­tis­tik des Jah­res auf­ge­nom­men wird, in dem das erst­in­stanz­li­che Urteil gefällt wurde. Es bestehen keine Daten, die einen Rück­schluss auf die effek­tive Tätig­keit von Hackern in den jewei­li­gen Jah­ren ermöglichen.

In Bezug auf StGB 143^bis weisst die Urteils­sta­tis­tik fol­gen­des Bild auf (Stand 01.02.2016):

(PDF | SVG | CSV-Daten­satz | Daten­quelle)

Im Jahr 2014 wur­den 19 rechts­kräf­tige Urteile von Hacking erfasst. Den bis­he­ri­gen Höhe­punkt stellt das Jahr 2013 mit 21 Ver­ur­tei­lun­gen dar. Von 1994 bis 2001 fand StGB 143^bis kaum Anwen­dung. Von 2001 bis 2009 wur­den nie mehr als 10 Urteile regis­triert. Ab 2009 hat sich die Anzahl der Ver­ur­tei­lun­gen zwi­schen 12 und 21 ein­ge­pen­delt. Obschon im Unter­schied zu den ers­ten Jah­ren nach der Inkraft­set­zung von StGB 143^bis sich die Urteils­zah­len kon­stant gestei­gert haben, muss man StGB 143^bis wei­ter­hin ein abso­lu­tes Nischen­da­sein konstatieren.

Es muss davon aus­ge­gan­gen wer­den, dass die grosse Mehr­heit an Hacking gar nicht erst bemerkt wird. Wird Hacking doch bemerkt, so wird es viel­fach nicht ange­zeigt. Gerade betrof­fene Unter­neh­mun­gen scheuen nega­tive Presse. Aus­ser­dem kennt die Schweiz keine Mel­de­pflicht für IT- oder daten­schutz­re­le­vante Vor­fälle, was bedau­er­lich ist, da die betrof­fe­nen Per­so­nen nicht reagie­ren könne. Soweit die Straf­ver­fol­gungs­be­hör­den keine spe­zia­li­sierte Cybercrime-Stel­len füh­ren, fehlt aus­ser­dem meis­tens das Wis­sen, um einen Hacking­vor­fall nach StGB 143^bis.I oder II über­haupt zu erfassen.

Die ernüch­ternde Ana­lyse von Schwar­zen­eg­ger im Jahr 2001, dass auf Grund der Fall- und Urteils­zah­len deut­lich wird, “dass die Straf­ver­fol­gungs­be­mü­hun­gen im Bereich der Com­pu­ter- und Inter­net­kri­mi­na­li­tät gemes­sen an den Schä­den und Gefah­ren, die mit dem Hacking oder der Ver­brei­tung von Com­pu­ter­vi­ren ver­bun­den sind, noch völ­lig hin­ter­her­hin­ken”, hat nach wie vor Gül­tig­keit (Schwar­zen­eg­ger, FS-Trech­sel, S. 312).

[…]

Das Bun­des­amt für Sta­tis­tik weisst dar­auf hin, dass vor allem bei schwe­ren Straf­ta­ten oder ein­ge­leg­ten Rechts­mit­teln meh­rere Jahre ver­ge­hen kön­nen, bis alle in einem Jahr gefäll­ten Urteile im Straf­re­gis­ter ein­ge­tra­gen sind und in der Sta­tis­tik erschei­nen. Dem­zu­folge sei die Ent­wick­lung der Zeit­rei­hen in den jüngs­ten Erhe­bungs­jah­ren bei Urtei­len mit schwe­ren Straf­ta­ten nicht aus­sa­ge­kräf­tig und es könne nicht davon aus­ge­gan­gen wer­den, dass die Zah­len bereits voll­stän­dig sind.

• BGer  vom Urteil 6B_615/2014 vom 02.12.2014:  Beschwerde gegen Nicht­an­hand­nahme; Sach­ver­halt: Einer GmbH wurde vor­ge­wor­fen, in den Email-Account des Beschwer­de­füh­rers ein­ge­drun­gen zu sein, obschon der Beschwer­de­füh­rer der GmbH die Pass­wör­ter nur für Ana­ly­sen mit Google-Ana­ly­tics bekannt gege­ben habe; Ver­let­zung von StGB 143^bis wurde vor BGer nicht mehr gel­tend gemacht;
• Bun­des­ge­richt, Straf­recht­li­che Abtei­lung, Urteil 6B_456/2007 vom 18.3.2008: Erra­ten der Ant­wort zur Geheim­frage und danach ein­log­gen mit erhal­te­nem Pass­wort in Email­ac­count ist nach StGB 143^bis strafbar;
• Bun­des­ge­richt, Zivil­recht­li­che Abtei­lung, Urteil 4C.223/2003 vom 21.10.2003 (BGE 130 III 28, E. 4.2): Durch “Ein­griff in die Infor­ma­tik” umge­lei­tete Emails in eige­nen Account und dor­ti­ges Lesen sei durch StGB 143^bis erfasst; Frist­lose Ent­las­sung aus wich­ti­gem Grund in Ord­nung; in Bezug auf die Sub­sum­tion unter 143^bis ein Fehl­ent­scheid, da das Kon­fi­gu­rie­ren von rei­nem Mail-For­war­ding kein Ein­drin­gen in ein beson­ders gesi­cher­tes Sys­tem dar­stellt. Der Arbeit­neh­mer hat klar seine Kom­pe­ten­zen über­schrit­ten, aber dabei nicht gehackt im Sinne von StGB 143^bis;
• Bun­des­ge­richt, Kas­sa­ti­ons­hof, Urteil 6S.117/2003 vom 7. Novem­ber 2003 (BGE 129 IV 315, E 2.2.3): Mobil­te­le­fone wer­den vom Begriff der Daten­ver­ar­bei­tungs­an­lage erfasst;
• […]

e. Ent­ste­hungs­ge­schichte und Ein­bet­tung des Tatbestands

Neben der Schweiz kennt auch das umlie­gende Aus­land eine der­ar­tige Straf­be­stim­mung (DE: § 202a StGB, FR: art. 323–1 CP, IT: art. 615-ter CP, AT: § 118a StGB, LI: § 118a StGB). Die Schweiz hat diese Straf­be­stim­mung erst im Jahr 1995 ein­ge­führt. Vor­fälle wie jene um den Deut­schen Hacker (eigent­lich Cra­cker) Karl Koch haben in Europa das Bewusst­sein um die Sicher­heit von Daten­verarbeitungs­systemen geschärft. Die Gruppe um Koch ver­kaufte dem rus­si­schen Geheim­dienst KGB durch Hacking erlangte Daten­be­stände unter ande­rem des US-ame­ri­ka­ni­schen Militärs.

Der Bun­des­rat stellte in sei­ner Bot­schaft vom 24. April 1991 fest, dass emp­find­li­che Straf­bar­keits­lü­cken im Bereich der Com­pu­ter­kri­mi­na­li­tät herrsch­ten. So waren bis vor dem Inkraft­tre­ten im Jahr 1995 unter ande­rem der Daten­dieb­stahl (als Com­pu­ter­spio­nage bezeich­net), das Ein­drin­gen in fremde Daten­ver­ar­bei­tungs­an­la­gen (Hacken), der Com­pu­ter­be­trug oder die Daten­be­schä­di­gung (als Com­pu­ter­sa­bo­tage bezeich­net) sowie das Erschlei­chen einer Leis­tung, die ein Daten­verarbeitungs­system erbrachte (sog. Zeit­dieb­stahl) nicht strafbar.

Schon 1978 wurde eine Exper­ten­kom­mis­sion damit beauf­tragt, die Revi­sion des StGB betref­fend die Vor­schrif­ten über die Ver­mö­gens­de­likte und die Urkun­den­fäl­schung zu über­prü­fen. Ihre Arbei­ten schloss Sie 1982 ab und reichte ein Jahr spä­ter dem Eid­ge­nös­si­schen Jus­tiz und Poli­zei­de­par­te­ment (EJPD) den Bericht ein. Die tech­ni­schen Ent­wick­lun­gen for­der­ten die Exper­ten­kom­mis­sion in beson­de­rem Masse her­aus. Nach halb­jäh­ri­ger Ver­nehm­las­sung zwi­schen 1985 und 1986 und der Kennt­nis­nahme der Ergeb­nisse des Ver­nehm­las­sungs­ver­fah­rens durch den Bun­des­rat im Jahr 1988 wurde bis 1990 der Ent­wurf der Exper­ten­kom­mis­sion unter Berück­sich­ti­gung der Ver­nehm­las­sungs­er­geb­nisse über­ar­bei­tet. Für den Bereich der Com­pu­ter­kri­mi­na­li­tät sowie des Cheks- und Kre­dit­kar­ten­miss­brauchs wurde Niklaus Schmid sowie diverse Ver­tre­ter von Bun­des­stel­len bei­gezo­gen, um von deren Spe­zi­al­kennt­nis­sen pro­fi­tie­ren zu kön­nen. Die Über­ar­bei­tungs­tä­tig­kei­ten fan­den schliess­lich in der Bot­schaft des Bun­des­rats vom 24. April 1991 ihren Nie­der­schlag und stan­den im Ein­klag mit den Emp­feh­lun­gen des Minis­ter­ko­mi­tees des Euro­pa­ra­tes, der am 13. Sep­tem­ber 1989 zuhan­den der Mit­glied­staa­ten Emp­feh­lun­gen zur Schaf­fung von Straf­tat­be­stän­den im Berei­che der Com­pu­ter­kri­mi­na­li­tät ver­ab­schie­det hatte. Die Arbeit des Minis­ter­ko­mi­tees wur­den lau­fend mit­ver­folgt. Wäh­rend die­ser Revi­si­ons­vor­ha­ben befand sich auch die Schwei­zer Daten­schutz­ge­setz­ge­bung in Vorbereitung.

Dem Par­la­ment wurde fol­gen­der Wort­laut von StGB 143 vor­ge­schla­gen, wel­cher die Straf­tat­be­stände des unbe­fug­ten Daten­be­schaf­fens und des unbe­fug­ten Ein­drin­gens kom­bi­nierte und in bei­den Fäl­len die feh­lende Berei­che­rungs­ab­sicht mit der Vor­aus­set­zung eines Straf­an­trags pri­vi­le­gierte. Er lau­tete wie folgt:

Nach der Rati­fi­ka­tion der Euro­päi­schen Cybercrime-Kon­ven­tion (CCC, auch Buda­pest-Kon­ven­tion genannt) wurde vom Par­la­ment der heute gel­tende Wort­laut beschlos­sen und auf den 01. Januar 2012 in Kraft gesetzt. Im neuen StGB 143^bis.I wurde das von der Lehre viel kri­ti­sierte straf­bar­keits­be­schrän­kende Tat­be­stands­ele­ment der Berei­che­rungs­ab­sicht gestri­chen und in StGB 143^bis.II die Vor­be­rei­tungs- und Teil­nah­me­hand­lun­gen des Inver­kehr­brin­gens und des Ver­brei­tens ein­ge­baut. Gemäss Bot­schaft vom 18. Juni 2010 wird mit dem heute gel­ten­den StGB 143^bis die Kon­ven­ti­ons­vor­gabe in CCC 2 weit­ge­hend abge­deckt. Die Schweiz hat (in Anwen­dung von CCC 40 i.V.m. 2) eine Erklä­rung abge­ge­ben, wonach das Über­win­den einer Zugangs­si­che­rung vor­lie­gen muss, damit von straf­ba­rem Hacking gespro­chen wird. CCC 2 erfasste in sei­nem Wort­laut jedes Ein­drin­gen in ein Com­pu­ter­sys­tem oder einen Teil davon, unab­hän­gig von Sicher­heits­mass­nah­men oder Absichten.

Diese Erklä­run­gen haben neben der Schweiz auch Finn­land und die Tsche­chi­sche Repu­blik abge­ge­ben, sowie mit wei­ter­ge­hen­den Ein­schrän­kun­gen Bel­gien, Japan, Litauen, die Slo­va­kei und die Türkei.

Nach Weis­sen­ber­ger (aaO, N 3) und wohl auch Mon­nier (aaO, S. 132) ist der Grund für die­sen Vor­be­halt nicht ein­sich­tig. Ein abge­lehn­ter Min­der­heits­an­trag im Par­la­ment for­derte sei­ner­zeit, dass das Kri­te­rium der beson­de­ren Siche­rung weg­ge­las­sen wer­den soll.  Geht man von einem Gefähr­dungs­de­likt aus, so macht das Kri­te­rium der beson­de­ren Siche­rung durch­aus Sinn. Gerade die Tech­ni­ken zum Umge­hen der Siche­rung kön­nen gefähr­lich sein. Der blosse Auf­ent­halt eines Hackers in einem frem­den Sys­tem ist dage­gen nie gefährlich.

Mit einer Straf­an­dro­hung von bis 3 Jah­ren Frei­heits­strafe oder Geld­strafe han­delt es sich beim unbe­fug­ten Ein­drin­gen in ein Daten­ver­ar­bei­tungs­sys­tem gem. ers­tem sowie beim Inver­kehr­brin­gen und Ver­brei­ten gem. zwei­tem Absatz um ein Ver­ge­hen (StGB 10.III).

f. Rechts­gut und Deliktsnatur

Der Bun­des­rat führte in sei­ner Bot­schaft 1991 zur Hacker-Straf­norm aus: “Hier soll nicht erst das Beschaf­fen von Daten, son­dern – gleich­sam ana­log zum Haus­frie­dens­bruch (Art. 186 StGB) – als Vor­be­rei­tungs­hand­lung dazu bereits das Ein­drin­gen erfasst wer­den”. Im glei­chen Zug führt er aus: “Die Tätig­keit die­ser “Hacker” hat sich für den ord­nungs­ge­mäs­sen Betrieb ins­be­son­dere von Gross­an­la­gen als sehr stö­rend und gefähr­lich erwie­sen. Es erscheint des­halb als not­wen­dig, den Betrei­bern von Daten­ver­ar­bei­tungs­an­la­gen bereits im Vor­felde der unbe­fug­ten Daten­be­schaf­fung, die die Ver­let­zung des Daten­ver­fü­gungs­rech­tes erfas­sen soll, in Form die­ses Gefähr­dungs­de­lik­tes Schutz zu gewäh­ren”. Die bun­des­rät­li­chen Aus­füh­run­gen zei­gen die zwei Sei­ten auf, wel­che die Hacker­straf­norm StGB 143^bis bis heute in sich trägt.

Gem. Bun­des­rat will StGB 143^bis (sei­ner­zeit noch StGB 143) das Indi­vi­duum vor einer Ver­let­zung der digi­ta­len Räum­lich­kei­ten schüt­zen, ande­rer­seits die grund­sätz­lich gefähr­li­che Tätig­keit der Hacker sanktionieren.

[…]

g) Pos­tu­lat für eine Neu­ord­nung des Hacking-Strafrechts

[…]

h) Wei­tere Bemerkungen

Bei Hacking nach StGB 143^bis han­delt es sich nicht um einen Kata­log­tat­be­stand nach StPO 286 und 269. Ein Hacker darf also nicht mit einer ver­deck­ten Ermitt­lung resp. einer Über­wa­chung des Post- und Fern­mel­de­ver­kehrs ver­folgt wer­den, was bei der Über­wa­chung des Fern­mel­de­ver­kehrs nicht einer gewis­sen Iro­nie entbehrt.

Im Zusam­men­hang mit Hacker­vor­fäl­len stel­len die Behör­den des Bun­des den zustän­di­gen Straf­ver­fol­gungs­be­hör­den der Schen­gen­staa­ten umfas­send alle Arten von Daten, die bei Straf­ver­fol­gungs­be­hör­den vor­han­den sind unauf­ge­for­dert auf Abruf zur Ver­fü­gung (SIaG 7 iVm 2). Nicht auf Abruf nach­ge­kom­men wird Infor­ma­ti­ons­er­su­chen, wel­che die Anwen­dung pro­zes­sua­len Zwangs erfor­dern oder Infor­ma­tio­nen betref­fen, die vom inner­staat­li­chen Recht geschützt sind. Was unter inner­staat­li­chen Behör­den aus­ge­tauscht wer­den kann, muss auch mit den Behör­den der Schen­gen­staa­ten aus­ge­tauscht wer­den kön­nen. Unter pro­zes­sua­lem Zwang sind dabei ins­be­son­dere die gemäss schwei­ze­ri­schem Poli­zei- und Straf­ver­fah­rens­recht mög­li­chen Zwangs­mass­nah­men zu ver­ste­hen (SIaG 2.II).

Sol­che Ersu­chen sind innert sehr kur­zer Ant­wort­fris­ten zu erfül­len: zwi­schen 8 Stun­den bis sie­ben Tage (SIaG 11).

Der Straf­an­trag muss innert drei Mona­ten  gestellt wer­den, nach dem die Tat und der Täter bekannt sind (StGB 30). Es emp­fiehlt sich mög­lichst rasch nach der Ent­de­ckung eines Hacker­an­griffs einen Antrag zu stel­len, auch wenn die Täter­schaft noch nicht bekannt ist (Straf­an­trag gegen unbekannt).

Zum Straf­an­trag ist der Ver­fü­gungs­be­rech­tigte der Daten­ver­ar­bei­tungs­an­lage berech­tigt. Dar­un­ter fällt namt­lich der Anbie­ter von Dienst­leis­tun­gen (Pro­vi­der) aber auch der Benut­zer die­ser Dienst­leis­tun­gen, wie bei­spiels­weise der Inha­ber eines Email­ac­counts (Urteil des BGer 6B.456/2007 vom 18. März 2008). Ebenso antrags­be­rech­tigt ist jeder Eigen­tü­mer eines geschütz­ten Daten­ver­ar­bei­tungs­sys­tems, wie bei­spiels­weise jener eines pass­wort­ge­schütz­ten Heimcomputers.

Es stellt sich die Frage, ob, ana­log zum Haus­frie­dens­bruch, dem Pro­vi­der das Antrags­recht abgeht und nur der Dienst­leis­tungs­be­nut­zer antrags­be­rech­tigt ist. StGB 186 stellt den Haus­frie­dens­bruch unter strafe und schützt das Haus­recht, “wor­un­ter die Befug­nis zu ver­ste­hen ist, über die bestimm­ten Räume unge­stört zu herr­schen und darin den eige­nen Wil­len frei zu betä­ti­gen.”(BGE 112 IV 31). Der Wort­laut von 143^bis legt die­selbe Über­le­gung für den digi­ta­len Raum nahe. Kon­se­quen­ter Weise steht damit auch das Antrags­recht ein­zig dem Dienst­leis­tungs­be­nut­zer zu.

Dort, wo der Eigen­tü­mer eines Ser­vers “Teile” davon an Dritte “ver­mie­tet”, ver­miete er nicht einen Teil des phy­si­schen Ser­vers, son­dern stellt dem Dienst­leis­tungs­be­zü­ger Kap­zi­tä­ten des Ser­vers zur Ver­fü­gung (Rechen­zeit, Arbeits­spei­cher, Fest­plat­ten­spei­cher etc.). Das geschieht heute viel­fach durch den Betrieb einer Viel­zahl an vir­tu­el­len Maschi­nen auf einem Host-Sys­tem. Diese vir­tu­el­len Maschi­nen lau­fen in eige­nen abge­schot­te­ten Pro­zes­sen, so, dass ein Sub­sys­tem vor­liegt. Wird in ein sol­ches Sub­sys­tem ein­ge­drun­gen, steht nur dem Dienst­leis­tungs­be­nut­zer das Antrags­recht zu. Für den Eigen­tü­mer des Host-Sys­tems ist das Sub­sys­tem fremd, da er es dem Kun­den zur Ver­fü­gung gestellt hat und dar­über in aller Regel nicht mehr herr­schen kann. Ihm geht des­halb auch das Antrags­recht ab. Bricht der Ein­dring­ling aber aus der vir­tu­el­len Umge­bung aus und dringt in das Host-Sys­tem vor, so ist auch der Anbie­ter der Sub­sys­teme zum Straf­an­trag berechtigt.

Für eine je nach Sach­ver­halt dif­fe­ren­zierte Hand­ha­bung des Antrags­rechts spricht zudem, dass der Hacker “nur” den vir­tu­el­len Raum des betrof­fe­nen Dienst­leis­tungs­be­nut­zers ver­letzt und nur des­sen Siche­rung umgan­gen hat. Anders gela­gert ist wohl die Situa­tion, bei der vom Hacker­an­griff eine Gefahr auch für das Host-Sys­tem aus­ge­gan­gen ist. Da kann es kei­nen Sinn machen, nur dem Dienst­leis­tungs­be­nüt­zer und nicht auch dem Pro­vi­der einen Straf­an­trag stel­len zu las­sen. Ein­mal mehr zeigt sich die pro­ble­ma­ti­sche Kon­zep­tion von StGB 143^bis.I, wenn man ihm den Cha­rak­ter eines Ver­let­zungs- und gleich­zei­tig eines Gefähr­dungs­de­likts zugrunde legt.

Nicht voll­ends klar ist die Sach­lage dann, wenn der Nut­zer eines Mail­diens­tes, auf des­sen geschütz­tes Konto ein unbe­rech­tig­ter Frem­der Zugriff nahm, kei­nen Antrag stellt. Kann dann der Pro­vi­der an des­sen Stelle einen Straf­an­trag stel­len? Bei Mail­ac­counts lie­gen in aller Regel keine Sub­sys­teme vor, son­dern es läuft ein Ser­vice­pro­zess auf einem Ser­ver, der je nach ange­ge­be­nen Zugangs­da­ten andere Inhalte zur Ver­fü­gung stellt. So befin­den sich diverse Mail­be­nu­zer vir­tu­ell im sel­ben Pro­zess. Meh­rer Mail­ac­counts stel­len mit­hin keine eigene Daten­ver­ar­bei­tungs­sys­teme dar. Das liesse den Schluss zu, dass neben dem Account­in­ha­ber auch der Pro­vi­der antrags­be­rech­tigt ist.

Hacking ver­jährt zehn Jahre nach erfolg­ter Tat. Erfolgt nach abge­lau­fe­ner Ver­jäh­rungs­frist eine Anzeige, so wird das Ver­fah­ren nicht an die Hand genom­men (StPO 310.I.a).

Der Gesetz­ge­ber hat Hacking mit einer Frei­heits­strafe von bis zu drei Jah­ren oder Geld­strafe unter Strafe gestellt. Das bedeu­tet neben einer maxi­mal drei­jäh­ri­gen Haft­strafe eine Geld­strafe von höchs­tens 180 Tages­sätze (StGB 34.I), die je zwi­schen (pra­xis­ge­mäss) mini­ma­len CHF 10.00 und maxi­mal CHF 3000.00 (StGB 34.II) lie­gen. Damit liegt die Spann­weite der Geld­strafe für einen erfolg­rei­chen Hack bei min­des­tens CHF 10.00 und maxi­mal CHF 540’000.00.

b. Objek­ti­ver Tatbestand

aa) frem­des Datenverarbeitungssystem

ab) Beson­dere Siche­rung gegen frem­den Zugriff

Die beson­dere Siche­rung bedeu­tet ein­zig, dass eine Siche­rung vor­han­den sein muss. Es muss sich dabei um eine Com­pu­ter­si­che­rung han­deln, d.h. gewis­ser­mas­sen um eine digi­tale Siche­rung, da das Ein­drin­gen auf dem Wege von Daten­über­tra­gungs­ein­rich­tun­gen  gesche­hen muss. Eine ana­loge Siche­rung, also das phy­si­sche Ein­schlies­sen oder Befes­ti­gen eines Schlos­ses (zB eines Ken­sing­ton-Locks) ist keine Siche­rung nach StGB 143^bis.I. Es genügt eine ein­zige Siche­rung und es ist nicht not­wen­dig, dass alle Siche­run­gen eines Sys­tems, wel­ches mehr­fach gesi­chert ist, umgan­gen wer­den (so auch Bach­mann, S. 55).

Die Siche­rung hat nicht beson­ders in dem Sinne zu sein, dass sie eine min­des­tens not­wen­dige Rafi­nesse auf­wei­sen müsste. Es genügt das tech­nisch zu bewerk­stel­li­gende Mini­mum und damit schlicht und ergrei­fend das Vor­han­den­sein einer Siche­rung. Ein PIN mit vier Stel­len, wel­cher zwar auf­grund der gerin­gen Anzahl Stel­len aus­ge­spro­chen schwach ist, muss genü­gen. Inso­fern geht die For­de­rung, die Siche­rung müsse den Umstän­den des jewei­li­gen Falls genü­gen, bereits zu weit (Schmid, Com­pu­ter, §4 N 30, Weis­sen­ber­ger, aaO, N 14). Wie Pfis­ter (S. 107) rich­tig fest­hält, muss eine Siche­rung, um 143^bis zu genü­gen, die Funk­tion “als objek­tiv erkenn­bare Mani­fes­ta­tion eines Aus­schluss­wil­lens” erfül­len. Von einer Siche­rung ist die­ses Mini­mum zu erwar­ten, mehr aber nicht.

Port­scans sind dem Gesag­ten nach straf­lose Vor­be­rei­tungs­hand­lun­gen (ebenso Weis­sen­ber­ger, N 20; vgl. auch Koch, S. 51).

ac.2) Signal­ana­lyse

Eben­falls nicht straf­bar nach StGB 143^bis.I ist die Ana­lyse von Signa­len (wohl aber nach StGB 143). Die Signal­ana­lyse unter­schei­det sich in tech­ni­scher Hin­sicht von Port­scans. Signale, die Com­pu­ter abstrah­len, kön­nen mit dem ent­spre­chen­den Instru­men­ta­rium auf­ge­zeich­net und ana­ly­siert wer­den. Es braucht dabei, im Unter­schied zum Port­scan­ning, keine Kom­mu­ni­ka­tion. Ein Fall von straf­lo­ser Signal­ana­lyse ist das sog. Ward­ri­ving, bei wel­chem WLAN-Packete über die Luft­schnitt­stelle auf­ge­zeich­net und ana­ly­siert wer­den und dabei dann häu­fig die Ergeb­nisse samt GPS-Posi­ti­ons­da­ten der Netzte und deren Namen auf einer Karte ein­ge­tra­gen wer­den. Ward­ri­ving kann Vor­be­rei­tungs­hand­lung zu Hacking sein, näm­lich dann, wenn sich der Hacker auf die Suche nach einem nur schwach geschütz­ten WLAN macht. Im Übri­gen ist Ward­ri­vin­ving nichts ande­res als blos­ses Kar­to­gra­fie­ren von WLAN-Acces­s­points; von straf­ba­rem Ver­hal­ten kann des­halb nicht die Rede sein.

Fin­det der Hacker zB ein schwach geschütz­tes Netz­werk, knackt er den zuge­hö­ri­gen Schlüs­sel die­ses Net­zes und dringt danach mit die­sem Schlüs­sel ein, hat er sich nach StGB 143^bis.I straf­bar gemacht. Nament­lich bei Netz­wer­ken, die sich auch heute noch der WEP-Ver­schlüs­se­lung bedie­nen, trifft dies zu. Solange der Hacker nur auf­zeich­net, dass die­ses Netz­werk eine schwa­che Ver­schlüs­se­lung benutzt, ist er nicht straf­bar. Beginnt er die Design­schwä­chen des WEP-Stan­dards aus­zu­nut­zen und star­tet mit dem sam­meln vie­ler tau­sen­den Daten­pa­kete und knackt in der Folge durch Ana­lyse der gesam­mel­ten Pakete den Schlüs­sel, so bleibt er solange nicht straf­bar, als er das Pass­wort nicht zum Ein­drin­gen in das Sys­tem benutzt. Hier könnte hin­ge­gen mit Fug und Recht dis­ku­tiert wer­den, ob in einem sol­chen Fall nicht die Schwelle zum Ver­such bereits über­schrit­ten ist.

Gerade im Bereich der WLAN-Tech­nik sind jüngst neue Schwach­stelle bekannt gewor­den. Sie sind zum einen wie beim WEP-Stan­dard auf Design­schwä­chen zurück­zu­füh­ren, so nament­lich beim WPS-Stan­dard (WPS steht sin­ni­ger­weise für Wire­less-Pro­tec­ted-Setup). Beim WPS-Stan­dard erfolgt der Angriff nicht über eine bloss pas­sive Ana­lyse von Pake­ten, son­dern durch geschick­tes Aus­pro­bie­ren von Pin­num­mern, solange, bis das ange­grif­fene Sys­tem den Schlüs­sel zum Netz­werk preis gibt. Wer die ein­schlä­gige Angriffs­soft­ware gegen ein frem­des Sys­tem ein­setzt und es zu Kom­mu­ni­ka­tion zwi­schen dem Angrei­fer- und dem Ziel­sys­tem kommt, ist die Schwelle zum straf­ba­ren Hacking über­schrit­ten. Wer also kon­kret in einer Kom­man­do­zeile den Befehl aus­führt und sich das Ziel­sys­tem mel­det, hat sich straf­bar gemacht. Wei­ter­hin im Ver­suchs­sta­dium befin­det sich der Hacker, wenn ihm das ange­grif­fene Sys­tem am Schluss den Schlüs­sel bekannt gibt und er noch nicht in das Ziel­sys­tem ein­dringt. Sobald er schluss­end­lich den Schlüs­sel benutzt und sich im frem­den WLAN befin­det, hat er StGB 143^bis.I erfüllt und der Erfolg ist eingetreten.

Zum ande­ren haben auch Ser­vice­pro­vi­der neue Angriffs­vek­to­ren zu ver­ant­wor­ten, in dem sie zB Schwä­chen in der Firm­ware (eine Art Sys­tem­soft­ware) der Geräte zuge­las­sen haben, die sie ihren Kun­den (zwangs­weise) für den Zugang zum Inter­net zur Ver­fü­gung stell­ten. Bei einem grös­se­ren Anteil die­ser Geräte lässt sich der Schlüs­sel zum Wire­less­netz­werk anhand des aus­ge­strahl­ten Netz­werk­na­mens berech­nen. Bei einem Angriff gegen ein der­ar­ti­ges Sys­tem geht der Angrei­fer (im Unter­schied zum vor­ge­nann­ten Angriff gegen WPS) kom­plett pas­siv vor, ana­ly­siert also ledig­lich, was er an Infor­ma­tio­nen vom Ziel­sys­tem “frei­wil­lig” erhält. Ein Hacker befin­det sich mit­hin im straf­lo­sen Vor­be­rei­tungs­sta­dium, wenn er die ein­schlä­gige Soft­ware auf sei­nem Sys­tem ein­setzt, um die Zugangs­schlüs­sel zum Ziel­sys­tem zu gene­rie­ren und er diese Schlüs­sel noch nicht zum Ein­drin­gen benutzt. Dringt er unter Ein­satz des erhal­te­nen Schlüs­sels schliess­lich in das Ziel­sys­tem ein, ist er nach StGB 143^bis zu bestrafen.

Sofern bei einer Signal­ana­lyse mit einer Fern­mel­de­an­lage (Fern­mel­de­ge­setz, FMG 3.d) nicht­öf­fent­li­che Infor­ma­tio­nen emp­fan­gen wer­den, die nicht für den Emp­fän­ger bestimmt sind und sie unbe­fugt ver­wen­det oder Drit­ten bekannt gibt, kann Straf­bar­keit nach FMG 50 vorliegen.

Wer­den bei einer Signal­ana­lyse Daten beschafft, die nicht für den Emp­fän­ger bestimmt sind und die gegen sei­nen Zugriff beson­ders gesi­chert sind, so ist eine Straf­bar­keit nach StGB 143 zu prü­fen. Das wäre bspw. dort der Fall, wo ein ver­schlüs­sel­tes Funk­si­gnal geknackt wird, mit wel­chem besagte Daten trans­por­tiert werden.

ad) unbe­fug­tes Ein­drin­gen auf dem Wege von Datenübertragungseinrichtungen

In einer gene­ri­schen Weise lässt sich das Ein­drin­gen (das Hacken, franz. le pira­tage) fol­gen­der­mas­sen umschrei­ben: “Der Täter dringt in das fremde Daten­ver­ar­bei­tungs­sys­tem ein, indem er sich Zugang dazu ver­schafft, d.h. sich in die Lage bringt, von darin befind­li­chen Daten Kennt­nis zu neh­men, ohne dass ihm eine ent­spre­chende Befug­nis zusteht” (Donatsch, Navi­ga­tor, StGB 143^bis, N 3).

Dass das Ein­drin­gen unbe­fugt gesche­hen muss, ist selbst­ver­ständ­lich. Befug­tes Ein­drin­gen kann straf­recht­lich nicht erfasst wer­den. Die Unbe­fugt­heit stellt an und für sich kein sepa­ra­tes Tat­be­stands­ele­ment dar. Die Unbe­fugt­heit wird durch den Begriff “ein­drin­gen” bereits impliziert.

Das Ein­drin­gen hat auf dem Wege von Daten­über­tra­gungs­ein­rich­tun­gen zu erfol­gen. Der Bun­des­rat wollte mit die­ser Wort­wahl beto­nen, dass von StGB 143^bis.I nur das Ein­drin­gen durch Miss­brauch der übli­chen Daten­über­mitt­lungs­ka­nä­len erfasst wird. Solang die Tat­hand­lung auf dem Wege von Daten­über­mitt­lungs­ka­nä­len erfolgt, ist jede erdenk­li­che Hand­lung erfasst. Rich­ti­ger Weise kann so aber das bloss phy­si­sche Ein­drin­gen in Com­pu­ter­räume nicht genügen.

Das Ein­drin­gen kann ent­ge­gen der herr­schen­den Lehre auch über eine Tas­ta­tur erfol­gen (ebenso Weis­sen­ber­ger, N 16 mwH und Stratenwerth/Jenny/Bommer, S. 365, N 40). Bei der Ver­bin­dung der Tas­ta­tur, sei es über Funk oder über ein Kabel, han­delt es sich um nichts ande­res, als um eine Daten­über­tra­gungs­ein­rich­tung. Um dies Ver­ständ­lich zu machen, drängt sich der Bei­zug eines Stan­dard-Modells auf, das die kom­ple­xen Bezie­hungs­ver­hält­nisse bei Daten­über­mitt­lun­gen inner­halb eines Com­pu­ters sowie zwi­schen meh­re­ren Com­pu­tern sche­ma­ti­siert. Dafür eig­net sich das OSI-Modell (Open Sys­tems Inter­con­nec­tion Model), ein Refe­renz­mo­dell für Netzwerkprotokolle.

Ein Hacker­an­griff durch­läuft immer mehere OSI-Layer. Loggt sich bspw. ein Hacker mit erlang­ten Zugangs­da­ten einer frem­den Per­son über die Web­seite des Betrei­bers ein, so führt er den eigent­li­chen Hacker­an­griff auf der obers­ten OSI-Layer 7 durch. Web­sei­ten wer­den heute über die Pro­to­kolle HTTP resp. HTTPS beim Benut­zer ange­zeigt. Sie sind der app­li­ca­tion layer zuzu­ord­nen. Dringt ein Hacker dage­gen bspw. in ein frem­des WLAN ein, für das er vor­gän­gig Schlüs­sel erhal­ten hat, so umgeht er die Siche­rung, in dem er sie auf OSI-Layer  2, also der data link layer, bricht. Die Authen­ti­fi­zie­rung des Benut­zers ist bei WLAN auf die­ser Ebene anzusiedeln.

Das OSI-Modell ermög­licht es, die Hacker­tä­tig­kei­ten in einer sys­te­ma­ti­schen Betrach­tung der tech­ni­schen Abläufe ein­ord­nen zu kön­nen. Es ermög­licht aus­ser­dem, Hacker­vor­fälle anhand bereits bekann­ter Urteile als straf­recht­lich rele­vant ein­zu­ord­nen. Dank dem OSI-Modell lässt sich die Dis­kus­sion, ob der Hacking­tat­be­stand beim Benut­zen einer Tas­ta­tur an einem pass­wort­ge­schütz­ten Com­pu­ter nun erfüllt ist oder nicht, lösen: Das Tas­ta­tur­ka­bel resp. die Luft bei Funk­tas­ta­tu­ren ist der OSI-Layer 1, also der phy­si­cal Layer, zuzu­ord­nen. Die elek­tri­schen Signale der Tas­ta­tur wer­den über die OSI-Layer 1 an den Com­pu­ter gesandt, wel­cher sie in Form von Bits (1 oder 0) inter­pre­tiert. Damit ist bereits der Weg der Daten­über­tra­gungs­ein­rich­tun­gen, wie er von StGB 143^bis.I vor­aus­ge­setzt wird, ein­deu­tig beschrit­ten. Der Hacker gibt sein Pass­wort schliess­lich in einer Pass­wort­maske ein, die auf der Eben der app­li­ca­tion layer aus­ge­ge­ben wer­den. In die­sem Bei­spiel durch­läuft der Hacker sämt­li­che Ebe­nen des OSI-Modells.

Anders, als es das Bun­des­ge­richt in BGE 130 III 28, E. 4.2 (Über­set­zung in Pra 93 [2003] Nr. 115) ange­nom­men hat, ist das Umlei­ten von frem­den Emails in den eige­nen Account unzwei­fel­haft kein Eindringen.

Erfasst ist die Tat­va­ri­ante, in wel­cher der Hacker durch Social Engi­nee­ring an die Zugangs­da­ten gelangt. Social Engi­nee­ring ist eine der ältes­ten Hacker­tech­ni­ken. Sie bedient sich der Tat­sa­che, dass der Mensch grund­sätz­lich kom­mu­ni­ka­tiv ist. Ein Hacker gibt sich dabei zB am Tele­fon als Sys­tem­ad­mi­nis­tra­tor aus und erfragt die Zugangs­da­ten. Dabei wird er im Vor­feld sei­nes Tele­fo­nats mög­lichst viele Infor­ma­tio­nen über sei­nen Gesprächs­part­ner zusam­men­tra­gen, damit sein Anruf und die erzählte Geschichte mög­lichst glaub­wür­dig erscheint.

Ebenso zum Social Engi­nee­ring wird der Angriff über Phi­sing-Mails gezählt. In der Com­pu­ter­si­cher­heits­bran­che besteht der Kon­sens, dass jede Orga­ni­sa­tion mit­tels social engi­nee­ring angreif­bar ist. Pene­tra­tion-Tes­ter unter­su­chen des­halb den Angriffs­vek­tor Mensch nur dann, wenn vor­gän­gig ein­ge­hende Awa­reness-Schu­lun­gen erfolgt sind. Ich bin der Ansicht, dass der Ver­sand eines Phis­hing­mails Teil eines Hacker­an­griffs sein kann. Der Hacker täuscht seine Ziel­per­son über die Legi­ti­mi­tät des Mails und erreicht, dass das Opfer ihm Zugangs­da­ten zukom­men lässt. Dar­auf­hin dringt der Hacker mit den ergat­ter­ten Zugangs­da­ten in das fremde Sys­tem ein. Das stellt Hacking dar (ebenso Ammann, S. 198 und Weis­sen­ber­ger, StGB 143^bis, N. 17). Ande­rer Auf­fas­sung ist Bach­mann, der wohl das Hacking an und für sich ein­schrän­ken­der erfasst und nur die direkte Umge­hung der Siche­rung als Hacking betrach­tet (ebenso Hurtado Pozo, PS, N 1068; Bach­mann, S. 57 sowie 141, wo das sog. tech­ni­sche Phis­hing eben­falls als Hacking erfasst wird). Ich gehe dahin mit ihm einig, dass der Ver­sand eines Phis­hing-Mails für sich alleine nur als ver­such­tes Hacking erfasst wer­den kann. Mit dem Ver­sand eines Emails (nach Bach­mann sog. klas­si­sches Phis­hing) wird noch nicht in ein Sys­tem ein­ge­drun­gen (Bach­mann, aaO).

Sobald sich der Hacker im Ziel­sys­tem befin­det, hat er StGB 143^bis.I voll­endet. Das anschlies­sende Ver­wei­len und auch das aus­füh­ren von Befeh­len auf dem geen­ter­ten Sys­tem stellt eine ein­ma­lige Hand­lung dar (Weis­sen­ber­ger, N 23). Dringt der Hacker wie­der­holt in das­selbe Sys­tem (egal ob unter Ver­wen­dung des­sel­ben Schlüs­sels oder der­sel­ben Tech­nik) ein, liegt eine Tat­mehr­heit vor (StGB 49.I).

b. Sub­jek­ti­ver Tatbestand

Der Tat­be­stand nach StGB 143^bis.I setzt Vor­satz vor­aus, wobei Even­tu­al­vor­satz genügt. Der Vor­satz hat sich auf sämt­li­che objek­ti­ven Tat­be­stands­merk­male zu rich­ten; nament­lich auf die Fremd­heit und die beson­dere Siche­rung des Datenverarbeitungssystems.

Es spielt dabei keine Rolle, mit wel­cher Absicht der Täter han­delt. Auch der gut­wil­lige Hacker, wird bestraft.

Man­gels der not­wen­di­gen Umschrei­bung ist fahr­läs­si­ges Hacken straf­los. Der fahr­läs­sige Täter (er wird kaum unter den Begriff des Hackers fal­len) bleibt selbst dann straf­los, wenn er im Sys­tem ver­weilt (dolus sub­se­quens) (Pfis­ter, S. 124; Schmid, Com­pu­ter, § 5 N23; Weis­sen­ber­ger, N 25).

III. Ad StGB 143^bis.II – Ver­brei­ten von Hackersoftware

a. Straf­an­trag und Strafandrohung

Der zweite Absatz des Hacker­tat­be­stands ist im Unter­schied zum ers­ten Absatz als Offi­zi­al­de­likt aus­ge­stal­tet. Die Straf­ver­fol­gung geschieht von Amtes wegen; ein Straf­an­trag ist damit nicht not­wen­dige Prozessvoraussetzung.

Es han­delt sich bei StGB 143^bis.II um ein abs­trak­tes Gefährdungsdelikt.

b. Objek­ti­ver Tatbestand

Mit StGB 143^bis.II wird die Min­dest­vor­gabe der Cybercrime­kon­ven­tion im Schwei­zer Recht umge­setzt (CCC 6.III); Die Schweiz hat einen Vor­be­halt ange­bracht, nach wel­chem nur der der Ver­kauf, das Ver­brei­ten und das Ver­füg­bar­ma­chen von Pass­wör­tern, Codes oder ähn­li­chen Daten, die den Zugang zu einem Com­pu­ter­sys­tem ermög­li­chen, unter Strafe gestellt wer­den (CCC 42 iVm 6). Die­ser Vor­be­halt ist in Anbe­tracht der ultima ratio Funk­tion des Straf­rechts rich­tig, nament­lich des­halb, weil der Tat­be­stand bereits in die­ser Aus­ge­stal­tung sehr weit greift (a.A Weis­sen­ber­ger, N. 35). Der Vor­be­halt, wie ihn die Schweiz ange­bracht hat, wird in der Cybercrime­kon­ven­tion aus­drück­lich ermög­licht (CCC 6.III).

aa) Pass­wör­ter, Pro­gramme oder andere Daten (Tat­ob­jekt)

[…]

[…]

[…]

ab) Wis­sen oder wis­sen müssen

[…]

[…]