36C3 - Hackerparagraph § 202c StGB // Reality Check

36C3 Vorspannmusik

Herald-Engel: Gut, dann machen wir weiter
mit Uli oder Rechtsanwalt Ulrich Kerner,

der uns über ein sieben Jahre altes, nein,
seit 2007 zwölf Jahre altes Gesetz

berichten wird. Wie die Rechtslage da drin
ist, habe ich bis heute nicht kapiert, bin

aber selbst davon betroffen; und ich denke
immer: Hilfe! Ich habe nmap

Signal-Engel: Halt halt halt halt halt
halt halt. Den Hashtag hätte ich gerne

nochmal da oben drauf.
Damit ich die Fragen aus dem Internet

hab. Twitter und IRC. Und jetzt:
H: Einen Applaus für Uli!

Applaus

Ulrich Kerner: So. Hallo zusammen. Ich
freue mich, dass so viel Leute gekommen

sind. Ich freue mich auch, dass ich wieder
hier sein darf, nachdem ich vor drei

Jahren schon mal in Hamburg auf dem
Kongress war. Heute geht es um den Hacker

Paragrafen 202c StGB Cybercrime
Ermittlungen. Vorsicht vor der Polizei

oder nicht im falschen Forum posten. Das
wird sich nachher erklären. Warum dieser

Titel? Was möchte ich heute hier
vorstellen? Einmal eine kurze Einleitung,

wo wir uns befinden. Dann den 202c in der
Gesetzgebung und ein bisschen den

Meinungsstand, was darunter zu verstehen
ist. Dann: Wie sieht das in der Realität

aus? Was hat der für eine Relevanz? Wie
wird da ermittelt und zum Schluss ein

bisschen Ausblick und Fragen beantworten.
Grundsätzlich ist der... blättert Also

wenn wir reden hier von Internet,
Strafrecht und Gesetzgebung, da müssen,

meine ich, zwei Dinge gesagt werden:
Erstens: im juristischen Bereich ist immer

noch normal, dass wir Faxe schreiben. Wir
schicken also Faxe an die Gerichte, an die

Behörden, die uns genauso. Wir sind da
sozusagen noch ein bisschen in der

Entwicklung hinterher. Und das ist nicht
nur in der Justiz so und in der

Strafrechtspflege, sondern aus meiner
Sicht auch im Fall in der Gesetzgebung,

dass im Bundestag zwar regelmäßig
Aktivitäten entfaltet werden, die aber

häufig ein bisschen am Ziel vorbei
schießen. Kleines Beispiel dazu: Als vor

etwa einem Jahr der unter dem Namen Orbit
jemand Daten von Politikern und von

Prominenten ins Netz gestellt hat, war
also der Schrei laut: Cyber-Angriff auf

Politiker, auf Bundestagsabgeordnete. Beim
genaueren Hinsehen sah man dann, dass da

wenig, sag ich mal, echte Cyber-
Kriminalität dahinter war. Es war ein Fall

von Doxing. Die meisten Daten fanden sich
frei im Netz, und da, zumindest nach

meinem Wissensstand, wo vielleicht
tatsächlich der eine oder andere Account

übernommen wurde, passierte das nicht mit
sozusagen hoher technischer oder IT-

technischem Geschick, sondern einfach mit
dem Erraten von Passwörtern, die einfach

zu einfach waren. Und die Reaktion der
Bundesregierung war, dass

Innenstaatssekretär Stephan Mayer
erklärte, dass jetzt ein Cyber-

Abwehrzentrum Plus in Aktion treten soll.
Was daraus geworden ist, ist mir nicht so

klar. Aber wenn wir Cyber-Abwehrzentrum
hören, dann findet man schnell, wenn man

sucht, aus 2014 beispielsweise, das
ist jetzt hier von der Tagesschau ein

Bericht über vertraulichen Bericht über
einen vertraulichen Bericht des

Bundesrechnungshofes, der also sagt, dass
das NCAZ - das Nationale Cyber-

Abwehrzentrum - eigentlich nicht
gerechtfertigt sei. Zitat: "Es wäre der

einzige vorgegebene Arbeitsablauf, wäre
die tägliche Lagebesprechung und eine

Handlungsempfehlung auf politisch-
strategischer Ebene im Jahresbericht". Das

ist sozusagen, was die Bundesregierung
tut, um unsere Rechte zu schützen. Es ist

also ein nicht ganz einfaches Verhältnis,
und das, meine ich, sieht man hier auch an

dem 202c. Der 202c ist durch die
Cybercrime-Convention auf den

gesetzgeberischen Plan gekommen. Ich will
gleich ein bisschen das

Gesetzgebungsverfahren darstellen und dann
die Klage beim Bundesverfassungsgericht

über die Verfassungsbeschwerden, die beim
Bundesverfassungsgericht anhängig waren.

Beginnen wir mit der Cybercrime
Convention. Das sind zwei Übereinkommen:

das Übereinkommen des Europarates und ein
Rahmenbeschluss des Rates der EU, der den

Ziel hat, die Ziele hatten,
Mindeststandards über bestimmte schwere

Formen der Computerkriminalität im
europäischen Raum zu verwirklichen und

außerdem die Zusammenarbeit und die
Rechtshilfe unter den Staaten zu

verbessern. Und einen Teil davon; nur ein
Teil, der in Artikel 6 der CCC zu finden

ist, ist also das Anliegen, dass jeglicher
Umgang mit Computerprogrammen, die zur

Begehung einer solchen Straftat dienen
sollen, unter Strafe gestellt werden

sollen. Ich habe hier mal den englischen
Text. Man muss noch dazu sagen, dass

Artikel 6 einen Absatz 3 hat, der es den
Vorberhalt - eine Vorbehaltregelung hat,

so dass die einzelnen Nationalstaaten
sagen konnten: "Diesen Artikel 6, den

Inhalt wollen wir gar nicht umsetzen." Die
Bundesrepublik hat halt tatsächlich in

Ansätzen davon Gebrauch gemacht, aber war
eben der Meinung das, was wir hier finden,

also "devices including computer
programs", dass die entweder für illegalen

Zugang, illegales Abhören oder Abfangen
von Daten; für Eingriffe und Störungen von

Daten; dafür geschrieben wurden, oder
"adapted primarily" also dafür

konfiguriert wurden, dass die unter Strafe
gestellt werden sollen. Es gab dann einen

Gesetzesvorschlag der Bundesregierung. Das
Ganze wurde durchaus schon kontrovers

diskutiert. Der Bundesrat war da, hatte
Bedenken, sagte das ist alles zu weit

gefasst. Dann ist sozusagen der übliche
Ablauf: Es gibt eine Gegenäußerung. Es gab

eine öffentliche Anhörung, und dann wurde
das Ganze in den Rechtsausschuss

verwiesen. Und der Rechtsausschuss hat
dann mit Stimmen eigentlich aller Parteien

bis auf die Linkspartei dem Bundestag
empfohlen, diesen Gesetzesentwurf

anzunehmen. Und jetzt Sinn des 202 ist
nach der Bundesregierung und nach der

Bundestagsdrucksache, nach der hier
zitierten, dass mit dem neuen 202c

Strafgesetzbuch sollen bestimmte,
besonders gefährliche

Vorbereitungshandlungen selbstständig
unter Strafe gestellt werden. Damit hier

alle das Konzept verstehen: wenn
Strafbarkeit auf Vorbereitungshandlungen

ausgedehnt wird, möchte ich das mal kurz
erläutern. Grundsätzlich ist es so: Wenn

wir einen Tatablauf haben, dann haben wir
Vorbereitung, die ist in der Regel

straflos. Wir haben dann die Situation, wo
der Täter in den Versuch mit dem Versuch

beginnt, in das Versuchsstadium eintritt,
und wenn er da erfolgreich ist, dann haben

wir irgendwann eine Vollendung, und haben
wir bei bestimmten Delikten noch eine

Beendigung. Vorbereitungshandlungen sind
in der Regel nicht strafbar. Ich nehme ein

Beispiel. Wenn also jemand sich überlegt
Ich möchte jemand anders kräftig treten,

sozusagen nicht strafbar. Wenn sich die
Person jetzt ihre schweren Bergstiefel

anzieht, damit es auch richtig wehtut,
dann ist das auch noch nicht strafbar.

Dann sind wir noch in der
Vorbereitungshandlung. Und bei der

Körperverletzung ist die
Vorbereitungshandlung eben straffrei. Wenn

dann die Person tritt, und aber nicht
trifft beispielsweise, dann wären wir im

Versuch. Versuch beginnt, wenn nach der
Sicht des Täters das unmittelbare "Jetzt

geht es los" überschritten ist. Also wenn
ich aushole, um zu treten, und ich trete

daneben oder falle hin oder was auch
immer, dann bin ich also im Versuch. Und

der ist bei der Körperverletzung auch
strafbar, unter Strafe gestellt. Wenn

jetzt jemand beispielsweise gegen ein Auto
treten will, um eine Beule rein zu machen,

und das Auto fährt rechtzeitig weg, und er
tritt daneben. Dann wäre das auch ein

Versuch, aber der Versuch ist bei der
Sachbeschädigung nicht strafbar.

Gesetzgeberische Wertung. Wir haben die
Wertung, dass der Versuch bei allen

Verbrechen strafbar ist. Das sind Taten,
die Mindestmass mit einem Jahr bedroht

sind; und ansonsten nur, wenn es der
Gesetzgeber ausdrücklich geregelt hat. Und

alles, was in den Vorbereitungshandlungen
ist, ist nicht von Strafe, ist nicht

strafbar. Also wer in den Großshop geht,
um sich Pflanzenlampen,

Bewässerungsanlagen zu kaufen, um nachher
Cannabis anzubauen beispielsweise, macht

sich durch den Erwerb dieser Sachen noch
nicht strafbar. Da müssten erst weitere

Akte hinzukommen. Hier aber explizites
Interesse des Gesetzgebers, eben schon

Vorbereitungshandlungen unter Strafe zu
stellen. Und so sieht der heutige 202c

aus. Da heißt es auch, "wer eine Straftat
nach 202a oder 202b vorbereitet". Und

jetzt kommen 2 mögliche Tatalternativen:
erstens Passwörter oder ähnliches. Oder

hier Nummer zwei. Und das ist, worum es
hier mir heute geht. "Computerprogramme,

deren Zweck die Begehung einer solchen Tat
ist". Und jetzt kommen die einzelnen

Tatmodalitäten, Tathandlungsmodalitäten
"herstellt, sich oder einem anderen

verschafft, verkauft, einem anderen
überlässt, verbreitet oder sonst

zugänglich macht". Der wird also mit
Geldstrafe oder mit Freiheitsstrafe bis zu

zwei Jahren bestraft. Diese Ausweitung der
Strafbarkeit versteht man nur, wenn man

auch den 202a und 202b, deren sozusagen,
auf die die Tat abzielen muss. Wenn man da

kurz reingeschaut hat: 202a ist das
Ausspähen von Daten, das Zugang

verschaffen zu "besonders gesicherten
Daten" und zwar unberechtigten Zugang,

auch digitaler Hausfriedensbruch genannt
und tatsächlich schon durch das zweite

Gesetz zur Bekämpfung der
Wirtschaftskriminalität Mitte 86 ins

Gesetz gekommen. Damals allerdings noch
mit ein bisschen anderem Wortlaut, und hat

seine heutige Fassung durch das 41.
Strafrechtsänderungsgesetz, mit dem auch

der 202c, der Hackerparagraf erlassen
wurde. So, also wir haben sozusagen als

Taten, auf die jemand diese Programme
herstellen oder ähnliches muss einmal das

Ausspähen von Daten 202a und 202b, das
Abfangen von Daten. Hier ist also nicht

mehr nötig, dass besondere
Sicherungsmaßnahmen vorhanden sind oder

umgangen werden. Hier reicht es, dass
Daten, die übermittelt werden, mittels

technischer Mittel abgefangen werden. Und
nur als kleiner Hinweis: Wir haben

ähnliche Vorbereitungshandlungen, die
unter Strafe gestellt sind, auch woanders

in den Computer- oder IT-Delikten. Einmal
bei der Datenveränderung, wo es in Absatz

heißt: "Für die Vorbereitung einer
Straftat nach Absatz 1 gilt jetzt 202c

entsprechend". Und wir haben das nochmal
in der sogenannten Computer-Sabotage 303b.

Wen das interessiert, kann sich das mal in
Ruhe anschauen, da über einen Verweis auf

entsprechende Anwendung von 202c.
Sozusagen Vorfeldkriminalisierung von

Vorbereitungshandlungen, die sonst nicht
strafbar werden. Zurück zum Paragrafen

202c, zum Hackerparagraf. Das Problem ist
hier, dass "Computerprogramme, deren Zweck

die Begehung einer Tat das Ausspähen von
Daten ist", jeglicher Umgang damit unter

Strafe gestellt ist. Und es fragt sich ein
bisschen, was man darunter verstehen soll

oder was man darunter nicht verstehen
soll. Hier kam eben sozusagen in der

Anmoderation die Frage "Ich habe nmap",
ein durchaus mächtiges Tool. Mache ich

mich schon strafbar, wenn ich auf meiner
Linux-Distribution habe oder nicht? Das

Gesetz verlangt, dass der objektive Zweck
des Programmes eine Straftat, das

Ausspähens oder Abfangens von Daten ist.
Problem: Programme oder Gegenstände haben

keinen objektiven Zweck. Programme und
auch Gegenstände haben Eigenschaften. Um

ein Beispiel zu nennen: Eine Pistole hat
die Eigenschaft, dass sie ein Projektil

sehr schnell mit hoher Energie aus dem
Lauf schießen kann und ob damit jemand auf

eine Zielscheibe aus sportlichen
Gesichtspunkten oder aber auf Menschen

schießt ist nicht Zweck dieser Pistole,
sondern das liegt eben, Zweck gibt eine

Person diesem Gegenstand oder dem
Programm, das an sich nur Eigenschaften

hat, die eben für bestimmte Zwecke
gebraucht werden können. Insofern etwas

unklar, was hier erfasst ist und was nicht
erfasst ist. Nach den Verlautbarungen der

Bundesregierung sollen also klassische
oder typische Hacker-Tools erfasst sein.

Es sollen aber nicht erfasst werden
Programme, die auch anderen Zwecken dienen

können, so genannte Dual-Use-Tools oder
Dual-Use-Programme. Das heißt, dass dieser

objektive Tatbestand der Strafbarkeit, der
Zweck dieses Programm des Programms, also

doch subjektiv bestimmt werden muss. Und
genau an dieser Stelle liegt das Problem.

Das Ganze war, meine ich wenig
überraschend, Gegenstand von

Verfassungsbeschwerden, Individual-
Verfassungsbeschwerden vom

Bundesverfassungsgericht, die mit einem,
die das Verfassungsgericht nicht

angenommen hat, und ich hab hier die
Aktenzeichen aufgeschrieben. Wer das

nachlesen will, findet es gleich im
Internet. Das Bundesverfassungsgericht hat

gesagt: Die drei Beschwerdeführer sind
nicht gegenwärtig, selbst gegenwärtig und

unmittelbar beschwert. Möchte ich kurz
erklären, was das Bundesverfassungsgericht

dazu ausgeführt hat. Geklagt hatten oder
Verfassungsbeschwerde erhoben hatten 3

Personen. Das eine war ein
Hochschullehrer, der gesagt hat, er nutzt

also viele Tools, die er ja seinen
Studenten Studentinnen zur Verfügung

stellt, die man zum Teil auch auf seiner
Website runterladen kann. Unter anderem

auch das Programm nmap. Und er hatte, er
ist davon ausgegangen, er macht sich schon

strafbar. Zweiter Beschwerdeführer war der
Geschäftsführer einer Sicherheitsfirma,

die Penetrations-Tests durchgeführt haben
und dafür auch Hacker-Software oder

Software aus anonymen Hacker-Foren
verwendeten. Ich war der dritte

Beschwerdeführer, weil ich gesagt habe,
ich benutze Linux, und ich habe hier eine

Menge Tools auf jeder Linux-Distribution
wie beispielsweise nmap, wo ich doch

eigentlich davon ausgehen kann, das kann
man für kriminelle Zwecke verwenden. Ich

weiß auch nicht, wieso und mit welchem
Hintergedanken das geschrieben wurde. Ich

fühle mich hier letztendlich auch bedroht
davon. Das Bundesverfassungsgericht

verlangt selbst, dass die Beschwerdeführer
selbst unmittelbar und gegenwärtig

betroffen sind. Und das liegt insbesondere
vor, wenn bei einer möglichen, nicht fern

liegenden Auslegung dieses Tatbestandes
das Risiko gegeben ist, dass man sich

strafbar macht. Dem hat das
Bundesverfassungsgericht aber letztendlich

eine Absage erteilt. Und zwar hat es
ausgeführt, dass Dual-Use-Tools

grundsätzlich nicht erfasst sind und
weiter ausgeführt: Der Zweck ist eben

nichts Objektives letzendlich, was dem
Programm innewohnt, sondern beschreibt

Beweggrund und Ziel einer Handlung und
nicht des Programms selber. Und das ist

dann jetzt wieder natürlich subjektiv
festzustellen und muss aber muss sich

äußerlich feststellbar manifestieren an
der Gestaltung des Programms selbst. Was

auch immer ich mir jetzt darunter
vorstellen soll oder eben an einer

eindeutig auf illegale Verwendung
abzielenden Werbung oder Vertriebsweise.

Gleichwohl meine ich ist auch das
weiterhin recht unbestimmt. Was macht

daraus so die Literatur, wenn wir in die
juristische Kommentierung gucken? Ich

zitiere mal aus Schönke / Schröder. Da
heißt es dann eigentlich entsprechend "bei

Programmen, deren funktionaler Zweck nicht
eindeutig kriminell ist und die erst durch

eine missbräuchliche Anwendung zu einem
Tatwerkzeug werden (vor allem Dual-Use-

Tools wie password scanner und Netzwerk-
Sniffer), ist der Tatbestand nicht

verwirklicht" und dann mit Verweis auf
verschiedene Bundestagsdrucksache und

verschiedene andere Gerichtsentscheidung.
So in der Praxis macht das allerdings

immer noch, ist das immer noch finde ich
äußerst unbestimmt und macht

Schwierigkeiten. Wir wollen uns jetzt,
nach diesem kurzen, sag ich mal,

juristischen Teil mal anschauen: Wie sieht
es hier in der Praxis aus? In der Praxis

hat der 202c tatsächlich eine geringe
Bedeutung. Ich habe hier zur Vorbereitung

mal bei Juris, das ist eine juristische
Entscheidungs-Datenbank, wo also

Gerichtsurteile veröffentlicht werden,
geschaut, was es denn da gibt und war

erstaunt, dass Juris insgesamt für dieses
vor 12 Jahren erlassene Gesetz 8

Entscheidungen kennt. Davon ist natürlich
eine Entscheidung die Entscheidung des

Bundesverfassungsgerichts. Eine
Entscheidung ist vom Verwaltungsgericht

Hannover. Da ging es um Pressefreiheit und
Äußerungen eines Oberbürgermeisters. Und

dann haben wir 6 Zivilurteile, also von
Zivilgerichten. Da geht es zum Beispiel um

die fristlose Entlassung eines GmbH-
Geschäftsführers wegen Falschabrechnung

von Auslagen und Herunterladen von
Hackersoftware auf seinen Dienstlaptop.

Und es gibt tatsächlich nur eine einzige
Entscheidung aus dem strafrechtlichen

Bereich: ein Beschluss des OLG Kölns. Da
ging es nicht um die Verurteilung,

jemanden, der mit solchen Programmen
gehandhabt hat, umgegangen ist, sondern

das ist ein Beschluss in einem
Klageerzwingungsverfahren.

Klageerzwingungsverfahren ist ein
Verfahren, wenn ich verletzt an einer

Straftat bin und ich zeige die an, und die
Staatsanwaltschaft stellt ein. Dann kann

ich, da gibt es das
Klageerzwingungsverfahren. Diese

Vorschalt-Beschwerde, ich beschwere mich
erstmal und sage "Liebe Staatsanwaltschaft,

das müsst ihr doch verfolgen". Und wenn
dann die Beschwerde, wenn der nicht

abgeholfen wird, durch die
Generalstaatsanwaltschaft, dann kann ich

mich ans Gericht wenden im
Klageerzwingungsverfahren und sagen "Liebes

Gericht, das muss doch verfolgt werden".
Weise bitte mal die Behörden an, das zu

tun. Also: die einzige strafrechtliche
Entscheidung ist eine solche, sozusagen

bringt uns da auch nicht weiter. Was kann
man noch sagen zur Relevanz? Die

Polizeiliche Kriminalstatistik für 2018
gibt für den Ganzen, für die vier Delikte

Ausspähen, Abfangen von Daten
einschließlich Vorbereitungshandlungen

202c und die Datenhehlerei 8762 Fälle an,
also für vier verschiedene Strafnormen.

Mal im Vergleich: Körperverletzungstaten
haben wir ein bisschen mehr als 550.000.

554.653 Fälle. Um es klar zu sagen: Die
Gefahr, Opfer einer Körperverletzung zu

werden, ist also ungleich größer als hier,
Opfer von Ausspähen oder Abfangen von

Daten zu werden. Ich habe lange gewartet
tatsächlich, dass sich jemand mal an mich

meldet und sagt: Ich habe hier ein
Ermittlungsverfahren wegen 202c StGB. Und

ich habe letztes Jahr einen Fall gehabt,
der dieses Jahr erledigt hat. Und den

möchte ich hier ein bisschen vorstellen.
Da geht es um eine Software, die heißt

WebMonitor von revcode und
Ermittlungsbehörde war die Zentralstelle

Cybercrime Bayern, ZCB in Bamberg bei der
Generalstaatsanwaltschaft angesiedelt, das

ist also eine spezielle Abteilung, die
personell ziemlich gut ausgestattet ist. 4

Oberstaatsanwälte, 4 Staatsanwälte als
Gruppenleiter, 2 weitere Staatsanwälte und

Geschäftsstellen. Nach Selbstverständnis
auf der Webseite ist diese Zentralstelle

bayernweit zuständig für die Bearbeitung
herausgehobener Ermittlungsverfahren im

Bereich der Cyberkriminalität. Was war
hier das Problem? Ein Beamter fand also in

einem Forum, und zwar bei hackforums.net,
einen Thread über den WebMonitor, der dort

als Fernwartungssoftware, als Remote
Administration Tool RAT angeboten wurde.

Und hier heißt es dann zum Anlass der
Ermittlungen, dass dort diese Software in

einem nicht öffentlich zugänglichen Forum
angeboten wurde. Das ist das Erste, was

schlichtweg falsch ist. hackforums hat
etwa drei Millionen Nutzer, zumindest nach

der Wikipedia. Und man muss sich
registrieren, sozusagen jeder kann sich

registrieren, wenn man die
Nutzungsbedingungen akzeptiert. Und dann

kann auch sich jeder diesen Thread
anschauen und lesen, was da gepostet

wurde. Ich bin hier ein bisschen zu weit.
Man muss noch einmal zurückgehen. Hier war

ich. Also ein Remote Administration Tool.
Dann hat sich da wohl jemand gedacht, da

muss ich mal weiter suchen und fand einen
Blog-Eintrag aus meiner Sicht aus einem

nicht unbedingt seriös anzusehenden Blog,
in dem ziemlich reißerisch behauptet wird,

dass diese Software bei einem CEO Fraud
genutzt worden wäre, ohne irgendwelche

Beweise zu bringen. Und sagt also, das
wäre Malware, die sich als legale Software

tarnt, auch dafür keine Beweise. Es geht
letztendlich in erster Linie darum, wie

ist die programmiert, ist die gut
programmiert, in welcher

Programmiersprache ist die programmiert
und Ähnliches. Darauf wurden Ermittlungen

eingeleitet, und zwar vom Bayerischen
Landeskriminalamt Sachgebiet 542

Zentralstelle unter der Leitung der
Generalstaatsanwaltschaft Bamberg

Zentralstelle Cybercrime Bayern. Die haben
sich also diese Software gekauft, haben

Sie in Ihrem eigenen Malwarelabor
untersucht. Oder das, was man da wohl

Untersuchung nennt. Und kommen dann dazu:
Ich zitiere mal, "dass es sich in diesem

Fall in erster Linie nicht um reines,
reines Hackertool gemäß Paragraf 202c

Absatz 1 Nr. 2 StGB handelt. Wird von der
Sachbearbeitung anschließend rechtlich

geprüft, ob es sich hierbei um ein
legitimes Computerprogramm oder um eine

kriminelle Schadsoftware (Englisch
Malware) handelt." Hier steht schon drin:

Es ist kein reines Hackingtool, dann ist
es wohl automatisch ein Dual-Use-Tool und

wie Bundesverfassungsgericht zumindest die
Auffassung vertritt, und viele andere

auch, dann ist es kein taugliches
Tatobjekt. Aus meiner Sicht hätte hier

eigentlich gesagt werden müssen: Wir
klappen die Akte zu und wenden uns einem

anderen Fall zu. Nicht aber hier. Die
haben also festgestellt es gibt eine

offizielle Website, die lautet auf eine
.eu Domain. Und dann war sich das

bayerische LKA war dann der Meinung, dass
hier die Leute, die dahinter stehen, ihre

wahre Identität verschleiern würden. Und
zwar "Hierfür spricht folgendes: Das wäre

auf dem nicht öffentlich zugänglichen
hackforums.net beworben worden", wie

gesagt, schlichtweg falsch, das ist
öffentlich, "die wahre Identität des

Anbieters wäre verschleiert worden". Keine
Begründung. Kommt nachher noch, "fehlendes

Impressum auf der Webseite". Gut, das ist
wohl sozusagen ein Verstoß gegen 5

Telemediengesetz. Aber dient nicht der
Verschleierung, denn die Website war also

offiziell registriert. Die hatten auch
sofort Name, Adresse der Person, die

registriert hatte. Da war also der WHOIS-
Eintrag, war vollständig und korrekt.

Haben sie aber festgestellt, die Domain
wurde bei einem russischen Registrar

registriert. Das fanden die also sehr
merkwürdig. Wie gesagt, sie wurde mit dem

richtigen Namen, der richtigen Anschrift
registriert. Der Hoster war in der

Ukraine, der hatte wohl ein gutes Angebot
gemacht. Nach Auffassung des Bayerischen

Landeskriminalamt also dient es der
Verschleierung. Und dann schreiben Sie

"eingebettete Links zu Facebook, Twitter
und YouTube führen auf nicht existente

Webseiten." Das ist auch falsch. Die war
also auf der Website schon die Buttons.

Aber es gab noch keine Registrierung,
sodass sie auf die Startseiten jeweils von

Facebook, Twitter und YouTube führten. Und
so liest sich das hier munter weiter. Die

Staatsanwaltschaft hat sich einen
Hausdurchsuchungsbeschluss geholt, in dem

es dann schon heißt, dass hier so ziemlich
sicher ist, dass die vertriebene Software

eine Schadsoftware ist und erkennbar nur
zum Zweck entwickelt wurde, dass der

Verwender unbemerkt die Kontrolle über
fremde Rechner bekommt. Und daraufhin

wurde durchsucht. Ich muss ein bisschen
auf die Zeit schauen, aber da möchte ich

kurz was sagen. Richtervorbehalt,
richterlicher Durchsuchungsbeschluss. Wir

haben zurzeit mal wieder große
Diskussionen. Sollen nicht

Ordnungswidrigkeiten, Behörden,
Zugangsdaten Passwörter bekommen? Neueste

Idee der Bundesregierung und zwar auch
schon Ordnungswidrigkeiten, bei

Ordnungswidrigkeiten. Und dann wird
gesagt: Na ja, das Ganze hat doch ein

Richtervorbehalt. Wie funktioniert das?
Wenn ein richterlicher Beschluss erfasst,

gefasst wird. Der Ermittlungsrichter
bekommt also seinen Antrag von der StA auf

den Tisch gelegt und kriegt dann eine Akte
dazu. Und dann hat er zwei Möglichkeiten.

Entweder er oder sie zeichnet das ab oder
sagt, na das finde ich alles komisch.

Und jetzt fange ich mal an, in der Akte zu
lesen. Und jetzt steige ich mal in die

Prüfung ein, und dann komme ich
vielleicht, sage ich vielleicht nee, den

Erlass dieses Beschlusses lehne ich ab.
Das ist mit viel Aufwand verbunden, und

man kann es, meine ich, unseren
Ermittlungsrichterinnen und Richtern nicht

nachsehen, wenn da stapelweise Anträge
hereingetragen werden, dass sie die

irgendwie lesen, schauen, ist es
schlüssig, klingt es vernünftig, und das

dann abzeichnen. Und wenn hier gesagt
wird, bei einer Software, die selbst das

LKA ganz klar sagt, das ist keine reine
Schadsoftware. Ich sage dann das

automatische Dual Use, und damit fällt es
nicht unter 202c. Und dann dem Richter

mitgeteilt wird "dient erkennbar diesen
Zwecken". Und zu nichts anderem als

kriminellen Straftaten kann ich zumindest
in gewisser Weise verstehen, wenn das

abgezeichnet wird. Umkehrschluss: Wenn wir
hier gerade eine aktuelle Diskussion

haben, ob nicht Passwörter herausgegeben
werden sollen, und dann heißt es: Ja, ja,

da haben wir doch ein Richtervorbehalt.
Das wird auch kontrolliert. Muss man

deutlich sagen. Diese Kontrolle ist eine
sehr niederschwellige Kontrolle und

absolut kein ernst zu nehmender Schutz für
die Rechte des einzelnen Bürgers und der

Bürgerin. Applaus Kurz nur zur Hausdurchsuchung,
so als als sozusagen wie so was abläuft.

Die Beamten kamen in Zivil mit mehreren
Fahrzeugen, kamen in Zivil mit einem Paket

unter der Hand, wollten mein Mandant
sprechen, der nicht selber an die Tür

gegangen ist, sagt nee, das müssten Sie
dem schon selber übergeben. Es waren wohl

drei Leute anwesend, im Haus oder in dem
Objekt, was durchsucht wurde. Nachdem sich

also alle ausgewiesen hatten und alle
wussten, wer ist der andere, konnten sich,

haben sich die Beamten nicht nehmen
lassen, dann ihre Westen anzuziehen, mit

der sie als Polizisten zu erkennen sind,
sodass sozusagen alle Nachbarn in dem

Dorf, als sie angefangen haben, dort alles
rauszutragen, was es rauszutragen gab,

sofort gesehen haben und sich nicht nur
gewundert haben: Wieso sind da so viele

Autos? Sondern die haben dann auch noch
gesehen: oh, es ist die Polizei? Völlig

unnötig, hat bleibenden Eindruck
hinterlassen im Dorf. Das sind dann so die

kleinen Nebenerscheinungen von solchen,
von solchen Veranstaltungen. Meinem

Mandanten wurde alles beschlagnahmt, was
man irgendwie wegtragen konnte. Alle

Computer und die braucht er zum Arbeiten
und alle Speichermedien, die bei ihm zu

Hause gefunden wurden. USB-Platten,
Speicherkarten, USB-Sticks, alles, alle

Mobiltelefone, haufenweise Schriftstücke
wurden rausgetragen. Es wurde

beschlagnahmt, weil das im Vorfeld
ermittelt wurde. Welche Server hat der

Mann registriert? Es wurden zwölf Server
beschlagnahmt bei Drittanbietern. Es

wurden E-Mail-Postfächer beschlagnahmt,
weil vorher ein bisschen geguckt wurde,

was gibts da so für E-Mail-Adressen? Und
dann wurde, weil es Zahlungen gab über

PayPal auch da diese ganzen Sachen überall
mit den korrekten vollständigen Daten

angemeldet, gab es einen Vermögensarrest
und im Rahmen dieses Vermögensarrests

wurde dann zur Sicherung der
Vermögenswerte sämtliche Bankkonten

gepfändet, alles Geld mitgenommen, was bei
ihm gefunden wurde, und selbst eine

Armbanduhr eingesammelt. Dazu muss man
sagen: Es gilt natürlich die

Unschuldsvermutung. Wir sind im
Ermittlungsverfahren, und das sind

Maßnahmen, die jedem, der nicht irgendwie
jemanden hat, der ihn da auffängt, Jeder

normale Mensch, der nicht da dann
Solidarität erfährt, ist schlichtweg

ruiniert. Die Krankenkasse wird nicht mehr
bezahlt, die Miete wird nicht mehr

bezahlt, oder alternativ sage ich mal die
Rate fürs fürs Haus oder die

Eigentumswohnung. Wenn man ein Fahrzeug
hat und die Versicherung muss abgebucht

werden zum Jahreswechsel, dann geschieht
das nicht. Kfz-Steuer wird nicht mehr

abgebucht. Wenn man Leasing Fahrzeug hat,
dürfte da sofort die Kündigung kommen.

Grösstmögliche Katastrophe. Amtsgericht
und Landgericht haben tatsächlich die

Beschlagnahme bestätigt, haben auch noch
ausgeführt: Ja, wir haben zwar nach langer

Zeit wissen wir immer noch nicht sicher,
ob diese Computer tatsächlich Tatmittel

sind. Aber sie würden ja kommen ja immer
noch als Einziehungsgegenstände,

Wertersatzeinziehungsgegenstände in
Betracht, nämlich wenn sie angeschafft

wurden, aus rechtswidrig, aus durch die
Tat erlangtem Geld. Es geht hier ja darum

letztendlich ist es ja subjektiv
festzustellen: Was hat sich jemand

gedacht, der diese Software entwickelt hat
oder der sie vertreibt oder verkauft? Und

um dieses Subjektive festzustellen,
braucht man Dinge wie beispielsweise

Kommunikation mit möglichen Kunden oder
möglichen Interessenten. Problem war

sämtliche digitale Kommunikation war
beschlagnahmt. Und dann bin ich da auch

nicht mehr in der Lage, besonders
irgendwas vorzulegen, was mich entlastet.

Es gab dann aber irgendwann einen
Auswertevermerk, in dem es heißt "Es ist

zu erkennen, dass sowohl die Person eins
als auch Person zwei," also Leute, die im

Visier der Strafverfolgungsbehörden waren,
"legale Verkaufsabsichten für", das waren

also Unterlagen, meinem Mandanten standen
die gar nicht zur Verfügung. Da hatte

jemand ein Jahr vorher, Mitte 2017,
angefragt: "Hey, I'm looking to hack

certain accounts. Can this get accounts
that people have saved as log in, because

as you know if they don't have to enter
their info anymore how will I key log it,

understand?" Also, es fragte jemand: Ich
will hier Computer hacken, wo

wahrscheinlich die Passwörter nicht mehr
eingegeben werden, kann ich die da

irgendwie aus dem System generieren? Und
mein Mandant schrieb zurück "Sorry, but

you mentioned you would like to hack
certain accounts. Our legal guidelines do

not allow to communicate further on this
basis." Er hat also ganz klar gesagt:

Solche Anfragen beantworten wir nicht. Das
ist hier nicht unser Geschäft. Sowas

wollen wir nicht. Und hat dann einer
anderen Person auch noch geschrieben,

sozusagen im Nachgang "I wonder what some
users think." Was denken die sich

eigentlich da draußen, was wir machen? Das
war dann schon mal schön, dass zumindest

in einem Bericht oder in einem
Auswertbericht vom LKA steht erkennbar,

dass die legale Verkaufsabsichten
verfolgen, gab auch ein paar andere Dinge.

Gleichwohl der Abschlussbericht des LKA
sagt dann aber "diese legalen

Verkaufsabsichten widerlegen jedoch nicht,
dass es sich nicht doch um ein nicht

reines Dual-Use-Tool handelt". Also hier
wieder auch wieder diese abstruse

Unterscheidung reines Dual-Use-Tool und
nicht reines Dual-Use-Tool, die aus meiner

Sicht nach dem Bundesverfassungsgericht
nicht zulässig ist. Es war dann auch so,

dass es um viele andere es ging darum,
bestimmte Dinge, die das Gerät kann,

beispielsweise Silent Installation. Das
hat sie ja sehr gestört, aber denen war

auch nicht bekanntes, dass beispielsweise
TeamViewer auch eine Silent Installation

hat und ähnliches. Letztendlich läuft es
immer so: Die Polizei schließt das

Ermittlungsverfahren ab, gibts dann an die
Staatsanwaltschaft. Und die

Staatsanwaltschaft hat tatsächlich nach 7
Monaten eingestellt, nach 170 Absatz 2.

Zum Glück meines Mandanten, der
tatsächlich überaus glücklich war, den

dieses Verfahren ganz erheblich belastet
hat. Und er durfte dann seine Sachen

abholen. Und hier sieht man mal, wie ein
Mobiltelefon aussieht, wenn es also das

LKA hatte, um die Daten auszuwerten,
auseinander gerupft. Oben sieht man

irgendwie einen Chip, der rausgelötet oder
entfernt wurde, und hier eine Festplatte.

Man sieht, die wurde aus dem Gehäuse
geschraubt, und da gabs wohl keine

Kapazitäten, dass man die wieder rein
schraubt. Passend hier zum Motto des

Kongresses Resource Exhaustion. Da hatten
Sie scheinbar keine Kapazitäten, das

musste mein Mandant machen. Der Spuk war
sozusagen fast zu Ende. Es laufen noch, es

läuft noch ein Entschädigungsverfahren
nach dem Strafrechtentschädigungsgesetz,

da sind wir noch nicht ganz am Ziel. Ich
bin sehr knapp hier mit der Zeit. Ich will

das Ganze abschließen, weil das sicher
eine Frage ist, die Leute sich stellen,

die mit Software hantieren, schreiben,
entwickeln, testen, die letztendlich

sagen: Ich bin hier vielleicht in einem
Bereich, da mache ich mich aus meiner

Sicht nicht strafbar, aber das eine oder
andere Landes-LKA sieht das vielleicht ein

bisschen anders, so wie hier in unserem
Fall. Also was sind Schutzmaßnahmen für

alle, die mit solchen Dingen umgehen? Ich
meine das ernst: nicht im falschen Forum

posten. Man hält sich am besten von allem
fern, wo irgendein LKA-Beamter denken

könnte. Wenn irgendwas hackforums heißt,
dann sind das da alles nur Kriminelle.

Auch wenn ich das hochgradig abwegig
finde. Man sollte nach Möglichkeit

ausschließlich legale
Nutzungsmöglichkeiten darstellen und am

besten gar nicht auf illegale
Nutzungsmöglichkeiten eingehen. Und selbst

bei der Formulierung von Warnhinweisen
gibt es strafrechtliche Literatur, die

sagt äußerste Vorsicht da, damit einem es
nicht ausgelegt wird, dass jemand durch

seine Warnhinweise in Wirklichkeit dieses
Produkt für illegale Nutzungen bewerben will.

H: Ulrich, die Zeit ist leider vorbei, wir
haben auch keine Zeit für Q&A. Vielen Dank

für deinen Vortrag, und ich glaube, das
ist dein Applaus.

Applaus

U: Okay. Vielen Dank! Wenn jemand Fragen
hat im Nachgang, kann mir gerne eine

E-Mail schreiben. Ich kann die nicht immer
in voller Länge vielleicht beantworten,

aber das eine oder andere versuche ich mal
einzuschieben. Also wen dieses Thema

weiter interessiert, wer selber betroffen
ist, wer sich nochmal vergewissern will

über irgendwas, wer weitere
Literaturhinweise braucht, kann sich gerne

an mich wenden. Bin im Internet zu finden.
Nicht mit dem gleichnamigen Rechtsanwalt

aus Hannover verwechseln. Der macht nur
Arbeitsrecht. Dankeschön!

H: Ulrich Kerner! Berlin.

Abspannmusik

Untertitel erstellt von c3subtitles.de
im Jahr 20??. Mach mit und hilf uns!