Malware, DDoS und kritische Infrastrukturen

Digitale Sabotage in Marbella

Text

Digitale Sabotage, Viren und Schäden an informationstechnischen Systemen

Über die Anwendung auf Ransomware hinaus, die wir bereits in unserem Beitrag zum Computerbetrug behandelt haben, weisen die Computerschädigungsdelikte der Art. 264 bis 264 quater CP eine eigene dogmatische Komplexität auf, die von der spezialisierten Lehre selbst als eines der auslegungstechnisch schwierigsten Gebiete des gesamten spanischen Computerstrafrechts anerkannt wird — nicht zuletzt mangels einer gefestigten Rechtsprechung des Obersten Gerichtshofs, die einheitliche Maßstäbe festlegen würde. Bei RAKH ABOGADOS begegnen wir dieser Materie mit der Unterstützung IT-forensischer Sachverständiger, die die genaue Natur des Angriffs mit technischer Präzision rekonstruieren können — ein Umstand, von dem in nahezu allen Fällen die Tragfähigkeit der Anklage selbst abhängt.

Das Erfordernis der „doppelten Erheblichkeit": ein Begriff ohne gesetzliche Definition

Art. 264.1 CP bestraft denjenigen, der ohne Berechtigung und in erheblicher Weise fremde Computerdaten, Computerprogramme oder elektronische Dokumente löscht, beschädigt, verschlechtert, verändert, unterdrückt oder unzugänglich macht, wenn der herbeigeführte Erfolg erheblich war. Die spezialisierte Lehre hat in dieser Formulierung ein Erfordernis der „doppelten Erheblichkeit" — des Verhaltens und des Erfolgs — erkannt, das der Gesetzgeber zu keinem Zeitpunkt näher definiert hat und dessen Konkretisierung der richterlichen Auslegung im Einzelfall überlassen bleibt. Diese Unbestimmtheit führt in der Praxis zu uneinheitlichen Entscheidungen: Während manche Provinzgerichte in Fällen leicht wiederherstellbarer Datenlöschung freigesprochen haben, weil die Erheblichkeitsschwelle des Erfolgs nicht erreicht wurde, haben andere unter Umständen verurteilt, die bei dogmatisch strenger Betrachtung ernsthafte Zweifel an ihrer tatbestandlichen Einordnung aufwerfen. Das Bestehen dieser doppelten Erheblichkeitsanforderung — und nicht die bloße Feststellung, dass irgendein Schaden entstanden ist — der Beweisaufnahme zu unterziehen, bildet die erste und wirksamste Verteidigungslinie in diesen Verfahren.

Datenschädigung (Art. 264 CP) gegenüber Systembehinderung (Art. 264 bis CP)

Das Strafgesetzbuch unterscheidet zwei Verhaltensweisen, die nicht verwechselt werden dürfen. Art. 264 CP schützt die Integrität der Daten, Programme oder elektronischen Dokumente als solche. Art. 264 bis CP hingegen bestraft denjenigen, der ohne Berechtigung und in erheblicher Weise den Betrieb eines fremden informationstechnischen Systems behindert oder unterbricht, indem er Daten eingibt oder übermittelt oder das System zerstört, beschädigt, unbrauchbar macht, löscht oder ersetzt — der typische Fall von Denial-of-Service- bzw. DDoS-Angriffen, die einen Server durch eine massive Menge simulierter Anfragen zum Zusammenbruch bringen. Die spärliche Rechtsprechung zu diesem Tatbestand veranschaulicht seine Anwendungsschwierigkeit: Im bekannten „Fall Anonymous", der einen Denial-of-Service-Angriff auf institutionelle Websites betraf, erging ein freisprechendes Urteil des Strafgerichts, das in der Berufung bestätigt wurde, weil die Erheblichkeit der verursachten Behinderung nicht hinreichend nachgewiesen war. Mit sachverständiger Präzision zu bestimmen, ob der untersuchte Angriff diese Erheblichkeitsschwelle tatsächlich erreichte, erweist sich folglich als entscheidend.

Die strafbaren Vorbereitungshandlungen: Erstellung und Verbreitung von Malware (Art. 264 ter CP)

Art. 264 ter CP verlegt die Strafbarkeitsschwelle auf einen dem eigentlichen Angriff vorgelagerten Zeitpunkt: Er bestraft mit Freiheitsstrafe von sechs Monaten bis zu zwei Jahren oder Geldstrafe von drei bis achtzehn Monaten denjenigen, der, ohne hierzu ordnungsgemäß berechtigt zu sein, ein Computerprogramm herstellt, zum eigenen Gebrauch erwirbt, einführt oder Dritten zur Verfügung stellt, das hauptsächlich zur Begehung der Schädigungs- oder Behinderungsdelikte der Art. 264 und 264 bis CP konzipiert oder angepasst wurde, oder ein Passwort, einen Zugangscode oder vergleichbare Daten, die den Zugang zur Gesamtheit oder zu einem Teil eines informationstechnischen Systems ermöglichen. Es handelt sich um ein eigenständiges Delikt, das nicht voraussetzt, dass die Malware tatsächlich zum Einsatz gelangt: Die bloße Erstellung, der Besitz zum Zweck der Nutzung oder die Verbreitung des schädlichen Programms erfüllt bereits den Tatbestand, was die Analyse des Zwecks, für den es entworfen wurde — und nicht nur des Ergebnisses, das es eventuell hervorgerufen hat —, zum zentralen Element der Verteidigung in diesen Fällen macht.

Qualifizierte Untertatbestände: kritische Infrastrukturen und Bezug zum Terrorismus

Art. 264.2 CP erhöht die Strafe auf Freiheitsstrafe von zwei bis fünf Jahren, wenn eine der qualifizierenden Umstände vorliegt: Begehung im Rahmen einer kriminellen Organisation, Schäden von besonderer Schwere oder Betroffenheit einer hohen Anzahl informationstechnischer Systeme, schwerwiegende Beeinträchtigung des Funktionierens wesentlicher öffentlicher Dienste oder der Versorgung mit Gütern des Grundbedarfs, oder Betroffenheit des informationstechnischen Systems einer kritischen Infrastruktur, verbunden mit der Schaffung einer erheblichen Gefahrenlage für die Sicherheit des Staates, der Europäischen Union oder eines Mitgliedstaats. Art. 264.3 CP verhängt zudem die obere Strafrahmenhälfte in Fällen besonderer Schwere im Zusammenhang mit denselben Umständen. Besonders bedeutsam ist, dass Art. 573.2 CP erlaubt, dieselben Taten als Terrorismusdelikt einzustufen, wenn die von dieser Vorschrift geforderte spezifische Zielsetzung vorliegt — mit den damit verbundenen prozessualen und strafrechtlichen Folgen, einschließlich der Zuständigkeit der Audiencia Nacional. Mit Sorgfalt zu prüfen, ob tatsächlich diese terroristische Zielsetzung vorliegt und nicht eine andere Motivation — Protest, Gewinnstreben oder bloßer Vandalismus —, ist wesentlich, um eine unverhältnismäßige rechtliche Qualifizierung zu vermeiden.

Die strafrechtliche Verantwortlichkeit des Unternehmens (Art. 264 quater CP)

Art. 264 quater CP dehnt die strafrechtliche Verantwortlichkeit auf juristische Personen aus, wenn die Computerschädigungsdelikte in ihrem Namen oder auf ihre Rechnung und zu ihrem unmittelbaren oder mittelbaren Vorteil begangen werden, mit Geldstrafen von bis zu fünf Jahren je nach Schwere der Tat. Das Bestehen eines spezifischen strafrechtlichen Compliance-Programms im Bereich der Cybersicherheit — Zugangsprotokolle, regelmäßige Audits, Mitarbeiterschulungen, Meldekanal — stellt, wie bei den übrigen Wirtschaftsdelikten, das wichtigste Präventions- und Verteidigungsinstrument des Unternehmens gegenüber dieser Verantwortlichkeit dar, besonders relevant, wenn der Angriff von einem Mitarbeiter oder einem Dritten ausgeht, der von durch interne Kontrolldefizite ermöglichte Zugänge profitiert hat.

Unsere Verteidigungsstrategie

Anfechtung der doppelten Erheblichkeit: Wir stellen mit unabhängiger IT-Begutachtung sowohl die Erheblichkeit des Verhaltens als auch die des Erfolgs zur Diskussion und prüfen die Möglichkeit der Wiederherstellung der betroffenen Daten oder Systeme.
Zutreffende Qualifizierung zwischen Schädigung und Behinderung: Wir bestimmen, ob der Sachverhalt unter Art. 264 oder Art. 264 bis CP fällt, je nachdem, ob der Angriff die Daten selbst oder den Gesamtbetrieb des Systems betraf.
Analyse der Zweckbestimmung des Programms nach Art. 264 ter: Wird die Erstellung oder der Besitz schädlicher Software vorgeworfen, analysieren wir deren Konzeption und tatsächlichen Zweck und unterscheiden legitime IT-Sicherheitswerkzeuge von eigentlicher Malware.
Anfechtung der terroristischen Qualifizierung oder der Einstufung als kritische Infrastruktur: Wir überprüfen das tatsächliche Vorliegen der qualifizierenden Umstände der Art. 264.2 und 264.3 CP sowie der von Art. 573.2 CP geforderten spezifischen Zielsetzung.

Wurde gegen Sie wegen eines Computerangriffs, der Erstellung oder Verbreitung von Malware ermittelt, oder war Ihr Unternehmen Opfer digitaler Sabotage? Die zutreffende technische und rechtliche Qualifizierung dieser Sachverhalte erfordert eine sorgfältige sachverständige Analyse. Bei RAKH ABOGADOS verbinden wir juristische Präzision mit IT-forensischer Expertise, um Ihre Interessen im gesamten spanischen Staatsgebiet zu verteidigen.

Häufig gestellte Fragen

Worin besteht der Unterschied zwischen der Beschädigung von Computerdaten und dem Lahmlegen eines Systems durch einen DDoS-Angriff?

Antwort in den Häufig gestellten Fragen ansehen →

Ist die Erstellung oder der Besitz eines schädlichen Programms (Malware) auch dann strafbar, wenn es nicht zum Einsatz kommt?