Kitabı oxu: «Internetkriminalität»

1 Missbrauchspotenzial Internet

Die Digitalisierung hat die Vernetzung der Welt erheblich beeinflusst und die Globalisierung auf eine neue Stufe gehoben. Ein Ende dieser Entwicklung ist nicht in Sicht. Genauso wie man Kleidung online kauft, kann man auch Drogen oder Waffen in der Underground Economy erwerben. Man findet im World Wide Web die Anleitung zum Aufbau eines Schrankes genauso wie die zum Bau einer Bombe. Und so praktisch Onlinebanking oder der smarte Backofen auch sind – sie bieten auch Angriffsmöglichkeiten für Straftäter.¹

In seiner Rede anlässlich des Tages der Deutschen Einheit 2013 beschäftigte sich der damalige Bundespräsident Joachim Gauck mit den Chancen und Risiken dieser „digitalen Revolution“: „So wie einst die industrielle Revolution verändert heute die digitale Revolution unsere gesamte Lebens- und Arbeitswelt. Digitale Technik dient als Spielwiese, als Chatraum und ersetzt den Gang zur Bank. Freiwillig und gedankenlos geben Menschen bei jedem Klick ins Netz Persönliches preis, manche vertrauen sozialen Netzwerken sogar ihr ganzes Leben an – Ausgeliefertsein und Selbstauslieferung sind kaum voneinander zu trennen“, so der Bundespräsident.

Er beklagt die schwindende Privatsphäre und erkennt, dass Öffentlichkeit viele nicht mehr als Bedrohung empfinden, sondern als Verheißung, die Wahrnehmung und Anerkennung verspricht. „Sie verstehen nicht oder sie wollen nicht wissen, dass sie so mitbauen an einem digitalen Zwilling ihrer realen Person, der neben ihren Stärken eben auch ihre Schwächen enthüllt – oder enthüllen könnte. Der ihre Misserfolge und Verführbarkeiten aufdecken oder gar sensible Informationen über Krankheiten preisgeben könnte. Der den Einzelnen transparent, kalkulierbar und manipulierbar werden lässt für Dienste und Politik, Kommerz und Arbeitsmarkt“ … und eben auch Tatgelegenheit bietet für Kriminelle.

„Wir wollen und sollten die Vorteile der digitalen Welt nutzen, uns gegen ihre Nachteile aber bestmöglich schützen“, fordert der Bundespräsident. „Es gilt, Lösungen zu suchen, politische und gesellschaftliche, rechtliche, ethische und ganz praktische: Was darf, was muss ein freiheitlicher Staat im Geheimen tun, um seine Bürger durch Nachrichtendienste vor Gewalt und Terror zu schützen? Was aber darf er nicht tun, weil sonst die Freiheit der Sicherheit geopfert wird? Wie muss der Arbeitsmarkt aussehen, damit der allzeit verfügbare Mensch nicht zu so etwas wie einem digitalen Untertanen wird? Wie existieren Familie und Freundschaften neben den virtuellen Beziehungen? Wie können Kinder und Jugendliche das Netz nutzen, ohne darin gefangen zu werden? Wir brauchen also Gesetze, Konventionen und gesellschaftliche Verabredungen, die diesem epochalen Wandel Rechnung tragen.“²

In diesem Spannungsfeld zwischen Freiheit und Sicherheit spiegeln die nachfolgenden aktuellen Schlagzeilen das Missbrauchspotenzial im Internet wieder!³

Hacker-Bande ergaunert 1,65 Millionen Euro

NSA späht Kanzlerin-Handy aus

Gefahrenquelle Smartphone

Netzangriffe, Sabotage, Propaganda

Corona-Spam: Vorsicht vor falschen Masken-Mails

Radikalisierungsmaschinen – Wo Menschen zu Radikalen werden

Polizei zerschlägt Kinderporno-Ring – Haupttäter in Haft

Attacken auf Superrechner – Hacker greifen europaweit Hochleistungscomputer an

23-Jährige erstochen – Mörder im Netz kennengelernt

Wie aus Routern Zombies werden

Sicherheit im Netz hat ihren Preis

Seit 1997 erheben die großen deutschen Fernsehsender ARD und ZDF in einer repräsentativen Studie die Entwicklung der Internetnutzung in Deutschland. Danach nutzen rund 90 % der deutschsprachigen Bevölkerung ab 14 Jahren das Internet. Die deutlichsten Zuwächse gab es in 2019 bei der medialen Internetnutzung. Video-Streamingdienste wie Netflix gehören mittlerweile für 37 % zum wöchentlichen Medienrepertoire, aber auch Live-Fernsehen im Internet gewinnt an Beliebtheit. Audiostreaming über Spotify und Co. nutzen 13 % der Onliner, 20 % lesen mittlerweile online Artikel oder Berichte. Unter den Social-Media-Plattformen bleibt Facebook (21 % Tagesreichweite) Nummer Eins, Instagram ist der größte Gewinner (+4 %-Punkte auf 13 % Tagesreichweite). Die mediale Internetnutzung und Video-on-Demand gewinnen damit weiter an Bedeutung. Das Smartphone stellt bei der Internetnutzung unverändert ein ungemein relevantes Gerät dar und wird von der befragten Bevölkerung ab 14 Jahren zunehmend als Universalgerät eingesetzt.⁴

Die Reichweite des Internets ist damit vergleichbar mit der des Fernsehens. Das Internet zählt für die meisten Online-Nutzer zum Alltag und wird gewohnheitsmäßig täglich eingeschaltet.

Mit dem Web 2.0 (Social Media) entsteht seit 2003 eine „in sozio-technischer Hinsicht veränderte Nutzung des Internet, bei der dessen Möglichkeiten konsequent genutzt und weiterentwickelt werden. Es stellt eine Evolutionsstufe hinsichtlich des Angebots und der Nutzung des World Wide Web dar, bei der nicht mehr die reine Verbreitung von Informationen bzw. der Produktverkauf durch Webseitenbetreiber, sondern die Beteiligung der Nutzer am Web und die Generierung weiteren Zusatznutzens im Vordergrund stehen“.⁵

Wikis, Blog, Microblogs, Social Networks und Social Sharing bezeichnen die Funktionsweisen der Kommunikation im Web 2.0.

Internetnutzer weltweit verbringen immer mehr Zeit mit sozialen Medien. Während die durchschnittliche Nutzungsdauer von sozialen Medien im Jahr 2012 noch bei 90 Minuten pro Tag lag, belief sich diese Nutzungsdauer im Jahr 2018 bereits auf 138 Minuten täglich. Gemessen an der durchschnittlichen Nutzungsdauer pro Tag ist unter 16- bis 19-Jährigen in Deutschland YouTube das beliebteste soziale Netzwerk. Die tägliche Nutzungsdauer belief sich im Durchschnitt auf 150 Minuten. Die zweithöchste Nutzungsdauer in dieser Altersgruppe erzielte Instagram mit 72 Minuten täglich. Unter den Deutschen ab 60 Jahren weist Facebook die höchste tägliche Nutzungsdauer auf.⁶

Smartphone, Tablets, Apps und die Cloud sind heute allgegenwärtig und gleichzeitig vielleicht auch schon wieder von gestern?! Neue Techniken sehen die Funktionen unserer ständigen Begleiter direkt in unseren Körper integriert (vgl. den Begriff Biohacking) – digitale Tattoos machen die Haut zum Medium, kleinste Chips unter der Haut mit kleinen Datenmengen, ins Ohr implantierte Bluetooth-Kopfhörer, operativ eingesetzte Elektroden zur Messung der Gehirnströme projizieren Gedanken in die Umgebung. Die Grenzen zum Cyborg⁷ sind nicht mehr weit.

Die Entwicklungen dauern an, im Web 3.0, dem sogenannte semantischen Web, kommt zu den nutzergenerierten Inhalten die Verknüpfung von Bedeutungen. Hier werden Informationen strukturiert und so aufbereitet, dass es Computern möglich ist, diese entsprechend ihrer Bedeutung zu verstehen und zu verarbeiten. Der Nutzer soll bei der Bewältigung der Informationsfülle unterstützt werden.

In Zukunft sollen nachfragebasierte Daten sowie intelligente Netzwerke die Nutzung des Webs dominieren. Ist von künstlicher Intelligenz die Rede, werden damit in aller Regel die IoT-Anwendungen des Web 4.0 bezeichnet.⁸

Künstliche Intelligenz (KI) ist Innovationsmotor und Sicherheitsrisiko zugleich. KI gilt für immer mehr Bereiche als großer Zukunftstrend und wird schon heute in Unternehmen genutzt, um Abläufe zu automatisieren, Anwendungsprobleme zu lösen oder Sicherheitslücken aufzuspüren. Expertinnen und Experten gehen davon aus, dass KI schon bald in nahezu allen Unternehmensbereichen Einzug hält. KI wird aber auch eingesetzt, um Anomalien aufzudecken. Anomalien sind Abweichungen von bereits bekanntem Verhalten, und solche Abweichungen können auf bösartige Absichten hinweisen, die auf verärgerte Beschäftigte, Malware oder gar Kriminelle zurückgehen. Die Attacken sind in der Regel gut vorbereitet. Zuerst spionieren die Täterinnen und Täter mit Hilfe von Spionage-Software etwa E-Mails und Finanzdaten des Unternehmens aus, sichern sich Zugriff auf alle relevanten Systeme und installieren letztendlich die Verschlüsselungssoftware.⁹

Das Internet hat sich seit Beginn der 90er Jahre sprunghaft zum „Tummelplatz“ einer globalisierten Informations-, Wissensgesellschaft und Dienstleistungsgesellschaft entwickelt. Es dient als uneingeschränkter Informationspool und als maßgebliches Kommunikationsmittel. Der Kaufmann um die Ecke entwickelte sich zum Internethändler – der bequeme Einkauf von zuhause aus kann weltweit erfolgen. Mit dem Online-Service-Angebot wirbt die Wirtschaft: „Unnötige Wartezeiten am Telefon vermeiden, aktuelle Verträge einsehen, Angebotsberechnungen durchführen, Vertrags-, Adress- und Kontoänderungen vornehmen, Antworten auf Fragen zur Jahresrechnung finden.“ Die Furcht vor Viren und Ansteckung, Kontaktbeschränkungen und Abstandregeln fördern und verlangen die Internetnutzung. Privates wird öffentlich, schon beim Telefonieren an jedem Ort mit dem Handy, jedenfalls beim uneingeschränkten Einsatz mobiler Computer auf Straßen und Plätzen und in öffentlichen Verkehrsmitteln oder durch die Eingabe und Nutzung persönlicher Informationen in sozialen Netzwerken.

Das Internet bestimmt so das Leben in vielen Bereichen und Situationen unseres Alltags.

Dabei hat die Technologisierung der Gesellschaft, wie bereits mehrfach angedeutet, auch ihre Schattenseiten, denn „Gelegenheit macht Diebe“. Mit dem Internet entstand das sogenannte „global village“. Dieses „globale Dorf“ ist reich bevölkert. Jeder – mit Zugangsmöglichkeit, und es werden immer mehr – kann diesen Raum, dieses virtuelle neue Gebiet auch nutzen, um Straftaten zu begehen. Entsprechend bietet das Internet die Plattform für neue Tatgelegenheiten und Kriminalitätsformen. Auch Kriminelle nutzen die Vorzüge des Internets für ihre Zwecke aus. Digitale Beutezüge sind wesentlich lukrativer als herkömmlicher Betrug. Hinzu kommt das weit geringere Entdeckungsrisiko. Der „moderne Bankräuber“ agiert im geschützten Raum am Computer, die gefälschte IP-Adresse ersetzt die Maskierung, Gewaltanwendung ist nicht nötig – ein Mausklick genügt.

Die rasante technologische Entwicklung beeinflusst die Erscheinungsformen von Kriminalität sowie Tat- und Tätertypologien nachhaltig, so BKA-Präsident Jörg Ziercke bei einer Konferenz mit dem Thema „Cybercrime – eine globale Gefahr?“ bereits am 12.05.2010 in Kopenhagen.

Bei der Herbsttagung im Jahr 2013 warnte das BKA vor zunehmender Cyberkriminalität.¹⁰ Der damalige Präsident des BKA, Jörg Ziercke, erkannte darin eine „Bedrohung mit unvergleichbarer Dimension. Die direkten Kosten, die durch Cybercrime entstehen, sind größer als jene, die der Handel von Kokain, Heroin und Marihuana gemeinsam erzeugen“, sagte er in Wiesbaden.

Für Ziercke stand fest: „Durch die über das Internet zur Verfügung gestellte digitale Infrastruktur eröffnen sich neuartige Modi operandi mit enormen Schadensausmaß und -potenzialen.“ Das Internet entgrenze Kriminalität und sei ungebremst entwicklungsoffen. „Je mehr Geräte und Schnittstellen wir nutzen, je stärker wir uns digital vernetzen, desto mehr nimmt die Verwundbarkeit der Systeme zu.“¹¹

Eine vermeintliche Anonymität im Internet, die Erreichbarkeit großer Zielgruppen sowie deren teilweise fehlende Kompetenz im Umgang mit den neuen Medien begünstigen kriminelles Verhalten. In fast allen Kriminalitätsbereichen bedienen sich die Täter modernster Technik und nutzen das Internet als Tatmittel.

Es gibt kaum einen Computernutzer, der noch keinen Virus auf dem Rechner gehabt hätte. Geht der Angriff glimpflich ab, sind ein paar Daten verloren. In schlimmeren Fällen ist das Bankkonto geplündert oder die gesamte Identität ausgespäht. Für Wirtschaft und Verwaltung bedeutet Internetkriminalität mehr als persönlichen Ärger – sie bedroht öffentliche Infrastrukturen.

Hinter den Angriffen stehen auch oft kriminelle Netzwerke und Organisationen. Diese arbeiten hochprofessionell mit Hackern und Virenautoren über Staatengrenzen hinweg zusammen und verfügen über entsprechende Schadprogramme sowie die Infrastruktur zur Begehung von Straftaten im Internet. Das kriminelle Agieren ist durch eine besondere Dynamik gekennzeichnet, da sich die Täter veränderten technischen Gegebenheiten sehr schnell anpassen und enorme Innovationsfähigkeiten zeigen.¹²

Das sogenannte Darknet¹³ bildet eine digitale Parallelwelt zum Internet, ein Netzwerk und globaler Marktplatz für Kriminelle, bezeichnet auch als Underground Economy – kriminelle wirtschaftliche Aktivitäten im Untergrund.

Ein spektakulärer Fall führt vor Augen, wie der Bankraub des 21. Jahrhunderts funktioniert: Innerhalb weniger Stunden hatten mehrere Internetbetrüger einer „New Yorker Zelle“ weltweit rund 45 Millionen Dollar an Bankautomaten abgehoben – ganz ohne Waffen und Sprengstoff. Der international agierenden Tätergruppierung war es gelungen, über kompromittierte Server in das Sicherheitssystem einer Bank einzudringen und sich die Kreditkartendaten zu verschaffen.¹⁴

Auf der Suche nach IT-Sicherheitslücken helfen „Werkzeugkisten“. Entsprechende Angebote sind auch bei Hackern gefragt. Sicherheitslücken aufzuspüren und darauf aufsetzende Angriffssoftware zu programmieren ist mühselig. Sammlungen, wie Metasploit oder Blackhole, helfen mit Angriffsroutinen und Suchprogrammen, die auch versteckte Sicherheitslücken schnell finden. Auf der Website des Open-Source-Projekts www.metasploit.com tauschen sich Entwickler über sogenannte Penetrationssoftware, die Einbruchsstellen in Systeme ermittelt, und neueste Angriffsprogramme aus. Dort kann auch die „Metasploit Framework“ genannte Werkzeugsammlung zur Entwicklung von Angriffssoftware heruntergeladen werden.

Während Systemadministratoren die Software einsetzen, um ihre Systeme auf Schwachstellen zu testen und gefundene Sicherheitslücken zu schließen, besteht so auch die Möglichkeit des Missbrauchs für Kriminelle. Die Angriffsprogramme eignen sich für nahezu alle kommerziell eingesetzten Betriebssysteme. Ein Exploit oder Angriffsprogramm dringt in ein Rechnersystem ein und installiert dort Schadsoftware (Spionageprogramme), stiehlt Kontendaten, vertrauliche Dokumente oder die Computeridentität der Anwender, löscht Festplatten, kidnappt das System oder manipuliert Steuerungsrechner von Industrieanlagen.

Blackhole ist eine Sammlung von Angriffsprogrammen, die laut dem Sicherheitsunternehmen Sophos bei einem Drittel aller Cyberattacken verwendet wird. Im Gegensatz zu Metasploit handelt es sich bei Blackhole um ein kommerzielles Produkt, das Jahresabonnement kostet 1.500 Dollar. Der Kunde erhält dafür nicht nur eine Sammlung von Angriffsprogrammen, sondern auch fortlaufende Lieferungen mit neu entdeckten, aber noch nicht bekannten Sicherheitslücken.¹⁵

Auch der Handel mit illegalen Waren und Dienstleistungen (Rauschgift, Waffen, digitale Identitäten, Kreditkartendaten, E-Mail-Accounts, Bankkonten [sogenannte „Bankdrops“]¹⁶, Anleitungen zu DDos-Attacken¹⁷) wird durch den Zugang zu entsprechenden Foren im Internet ermöglicht.

3D-Drucker ermöglichen die Herstellung funktionsfähiger Schusswaffen aus Kunststoffteilen, die so über das Internet illegal vertrieben werden können (vgl. Abb. 1).

Abb. 1 Mit 3D-Drucker hergestellte Schusswaffe, Bezeichnung „Liberator“ (dt. Befreier)¹⁸

Es gibt keine klassische Straftat, die nicht auch durch das Internet gefördert wird. Selbst Mord, z. B. durch die Attacke des Hackers auf einen Herzschrittmacher, ist nicht ausgeschlossen.

Hinzu kommt die teilweise große Sorglosigkeit vieler Internet-Nutzer, unter anderem bei Betrugsdelikten, die den Tätern das Vorgehen sehr erleichtert und zum Erfolg verhilft. So werden z. B. ohne Bedenken die Kontoverbindungsdaten preisgegeben oder wird auf der Suche nach einem besonders preisgünstigen Angebot die notwendige Sorgfalt außer Acht gelassen.

Social Engineering bezeichnet das Agieren von Kriminellen zur Gewinnung von vertraulichen Informationen. Im Internet vorhandene private Daten werden genutzt, um z. B. mit dem Namen des Ehepartners oder des Haustieres Passwörter zu erraten. Nach dem manipulierten Zurücksetzen vergessener Passwörter werden die Antworten auf Sicherheitsfragen gegeben. Wenn diese aus einem Geburtsdatum, einem Namen oder aus Bestandteilen der Wohnanschrift bestehen, lässt sich das eventuell über die Einträge in Sozialen Netzwerken herausfinden.

Persönliche Informationen werden auch für betrügerische E-Mails genutzt. Durch Ausforschung des Profils wird bekannt, dass nahe Angehörige verreist sind. Aus diesem Wissen heraus wird dann per E-Mail an Verwandte ein angeblicher Notfall des Reisenden behauptet und um Geld oder Zugangsdaten für das Online-Banking gebeten.

Eltern wissen nicht, womit sich ihre Kinder im Internet beschäftigen oder in welchen Chatrooms sie sich bewegen. Täter nutzen gezielt den Schutz der Anonymität, um mit Kindern und Jugendlichen in Kontakt zu treten. Die Delikte reichen dabei von sexuellen Beleidigungen bis hin zu Kontaktanbahnungen und sogenanntem Blind Date, mit dem Ziel, sexuelle Handlungen vorzunehmen. Chats und Foren sind ideale Orte, um Kontakte zu Opfern anzubahnen und Vertrauen zu erschleichen.¹⁹ Sogenanntes Cybergrooming (wörtlich als „Internetstreicheln“ übersetzt) nutzen Sexualstraftäter neben klassischen Chat-Foren in von Minderjährigen genutzten virtuellen Welten bei interaktiven Online-Spielen an Computern und Spielekonsolen.²⁰

Soziale Netzwerke und Online-Communities bilden Plattformen für Mobbing (engl. mob = fertigmachen, anpöbeln). Das „Sich-fertig-machen-im-Netz“ ist unter Kindern und Jugendlichen weit verbreitet und wird durch den sorglosen Umgang mit Daten, z. B. durch „Sexting“²¹, begünstigt. Immer wieder machen Suizide der Opfer Schlagzeilen und lösen Trauer und Entsetzen aus. Cybermobbing betrifft aber auch Erwachsene, etwa durch sogenannte Rachepornos („Revenge Porns“). Vor allem Männer stellen dabei Nacktfotos ihrer ehemaligen Partnerin online, häufig samt Namen und Anschrift.

Bloßstellen und Diffamieren von Personen oder das Verbreiten von „virtuellen Gerüchten“, bewusste Falschbehauptungen, mittels Handy oder Internet, gehören im interaktiven Web 2.0 zum Alltag. Dabei werden Straftatbestände wie Verleumdung, Beleidigung, üble Nachrede oder Verletzung des höchstpersönlichen Lebensbereichs durch entsprechendes Veröffentlichen und Verbreiten von Bildern ohne Zustimmung der aufgenommenen Personen erfüllt. Die dafür verwendeten Bezeichnungen Cybermobbing und Cyberbullying werden mittlerweile meist synonym verwendet. Es handelt sich um ein weltweites Problem.²²

Die extremistische Szene nutzt das Internet zur Verbreitung ihrer Ideologien und zur Darstellung ihrer Aktionen. Zu diesem Zweck werden eigene Homepages erstellt, soziale Netzwerke genutzt und Informationen in Foren und Chatrooms ausgetauscht. Häufig sind Internetseiten mit extremistischen Inhalten nicht sofort als solche zu erkennen. Politische Inhalte sind oft subtil „verpackt“ und machen dadurch auf den ersten Blick einen seriösen Eindruck.

Über das Internet wird der Großteil des Handels mit „Szeneutensilien“ abgewickelt. Radikale Salafisten versuchen im Internet, über Propagandavideos neue Mitglieder und Kämpfer für den Dschihad, den sogenannten „Heiligen Krieg“, zu gewinnen. Berichten des nordrhein-westfälischen Verfassungsschutzes zufolge entfalten die Videos vor allem auf Jugendliche „eine stark radikalisierende Wirkung“. Die Palette der salafistischen Internet-Propaganda reiche von der Missionierung neuer Anhänger bis hin zu „hassstiftenden und gewaltverherrlichenden Predigten“. Einige der Propagandavideos erreichten über 10.000 Klicks, so die Feststellungen des Verfassungsschutzes.²³

Radikale Kräfte nutzen Imageboards und Plattformen der Gamer-Szene und kommunizieren mit Hilfe verschlüsselter Messenger-Dienste.²⁴

Im Netz können Jugendliche zu Terroristen radikalisiert und junge Mädchen in Anorexie-Foren zu gesundheitsschädigendem Hungern verleitet werden. Sogar Suizid-Foren gibt es, Amokläufer machen auf sich aufmerksam, Trittbrettfahrer legen falsche Spuren. Die Täter schotten sich ab und verschleiern ihre Identität.

Beinahe täglich gibt es neue Berichte über Datendiebstahl, Wirtschafts- und Industriespionage oder den Verlust geheimer Dokumente. Die üblichen Verdächtigen sind oft schnell gefunden: schlecht administrierte Server, nachlässige Mitarbeiter, technische Defekte.²⁵

Deutschland stellt aufgrund seines hohen Entwicklungsstands ein attraktives Ziel für Cyberkriminelle dar. Angriffe auf Unternehmensprozesse und auf IT-Systeme von KRITIS (kritische Infrastrukturen) stellen eine abstrakt hohe Bedrohung für die öffentliche Ordnung dar. Auch kleinere und mittlere Unternehmen stehen vermehrt im Fokus krimineller Aktivitäten, insbesondere durch Ransomware-Angriffe.²⁶ Hackerangriffe und Cyberkriminalität sind nach einer neuen Studie der Allianz für Unternehmen rund um den Globus die größte Bedrohung. Bei den IT-Gefahren stellt Europas größter Versicherer vor allem die Erpressung heraus. Cyberkriminelle verschlüsseln mit Hilfe von Schadsoftware (Ransomware) Firmenrechner und verlangen anschließend Geld für die Entschlüsselung. Das Phänomen ist seit Jahren bekannt, doch verlangen die Angreifer laut Allianz immer höhere Summen.²⁷

Der Sicherheitstacho verdeutlicht anschaulich die weltweiten Cyberangriffe auf die Honeypotinfrastruktur der DTAG (Deutsche Telekom AG) sowie ihrer Partner.²⁸

Weitere Gelegenheiten betreffen die Herstellung und den Vertrieb von Raubkopien oder das Verbreiten kinderpornografischen Materials. Schätzungen der UNO zufolge setzen Verbrecherringe mit Kinderprostitution und Kinderpornografie weltweit jedes Jahr ca. fünf Milliarden US-Dollar um. Die sexuelle Ausbeutung von Kindern ist damit ähnlich lukrativ wie der Waffen- und Drogenhandel.

Organisierte Kriminalität im Internet bedroht uns erheblich. Dabei eröffnet Cyberkriminalität völlig neue Dimensionen und ist nicht nur danach zu kategorisieren, ob sie die OK-Definition²⁹ erfüllt. Sie ist nach ihrer Gefährlichkeit, nach ihrer kriminellen Energie, nach der Zahl ihrer Opfer, dem angerichteten Schaden für das Vermögen, das Eigentum und die Persönlichkeitsrechte von Opfern und nach den teilweise katastrophalen Folgen zu beurteilen, die ihre Taten für IT-Systeme und das Vertrauen in das Funktionieren von Wirtschaft und Gesellschaft hinterlassen. Das kriminelle Handeln einer Gruppierung von Computerkriminellen, das klassisch die OK-Definition erfüllen würde, wiegt dabei nicht schwerer als das Handeln eines Einzeltäters, der als Hacker ganze Infrastrukturen zum Einsturz bringt oder Betriebsgeheimnisse ausspioniert.

Oft ist der Einkauf qualifizierter Experten nur eine Frage des Geldes und nicht eine Frage, ob die von ihnen erwarteten Leistungen für eine kriminelle oder eine legale Organisation erbracht werden. Es wäre erstaunlich, wenn die klassischen OK-Gruppierungen, die im Besitz von Milliardenbeträgen sind, sich nicht der Cyberkriminalität mit ihrem deutlich geringeren Entdeckungsrisiko bedienen würden.³⁰

Die statistischen Zahlen von Cybercrime sind in den vergangenen Jahren angestiegen. Es ist davon auszugehen, dass dieser Trend in der Zukunft anhalten wird. Die Fallzahlen dieses Kriminalitätsbereiches hängen aber ebenso vom Anzeigeverhalten der Betroffenen ab. Teilweise wird das Eindringen in den Rechner von den Geschädigten gar nicht erkannt oder die erkannte Straftat wird durch das geschädigte Unternehmen nicht angezeigt, weil eine Rufschädigung befürchtet wird. Deswegen ist auch von einem entsprechenden Dunkelfeld in diesem Bereich auszugehen. Fallzahlen als auch Schadenssummen sowie die Anzahl der Geschädigten dürften weitaus höher liegen, als es die polizeilichen Statistiken ausweisen.

Einer Studie des niedersächsischen Innenministeriums zufolge, die das sogenannte Dunkelfeld verschiedener Straftatbestände untersucht, ist die Zahl der nicht zur Anzeige gebrachten Straftaten gerade im Bereich Cybercrime höher als in allen anderen untersuchten Bereichen. Danach wird nur jeder vierte Betrugsversuch im Internet angezeigt. Bei Phishing beträgt das Dunkelfeld das Zehnfache, bei Datenverlusten und finanziellen Einbußen durch Schadsoftware sogar mehr als das Zwanzigfache des der Polizei bekannt gewordenen Fallvolumens.³¹

Abb. 2 Formeln in Programmiersprache und 0-1-Kombinationen³²

Je umfassender sich die Gesellschaft in der digitalen Welt bewegt und je mehr Möglichkeiten diese bietet, desto mehr Tatgelegenheiten ergeben sich für Cyberkriminelle.

Dies zeigt sich nicht nur an den im Vergleich zum Vorjahr erhöhten Fallzahlen bei gleichzeitig niedrigerer Aufklärungsquote, sondern z. B. auch an dem massiven Anstieg der Vielfalt von Schadsoftware.

Mit fortschreitenden Entwicklungen, wie dem Internet der Dinge (IoT)³³, Industrie 4.0, „Smart Home“ oder Automotive IT (AIT) und stark zunehmenden „adressierbaren“ Objekten im Internet wird das Spektrum potenzieller Ziele für Cyberkriminelle erweitert. Unzureichende Absicherungen sowie veraltete Technologien wirken sich dabei kriminalitätsfördernd aus. Über sogenannte Wearables (z. B. Smartwatches, Fitnesstracker, Kleidung) werden körperbezogene Messdaten und personenbezogene Standortdaten permanent erfasst und verarbeitet. Die bei Internetdienstleistern gespeicherten Daten ermöglichen die Fertigung von umfassenden Persönlichkeits- und Aktivitätsprofilen.³⁴

Es gibt viele Phänomene, die die Unpersönlichkeit des Internets ausnutzen. Für das Verbrechen bietet sich damit ein neuer Kosmos. Mit einer weiteren Verlagerung bisher „konventionell“ begangener Straftaten auf das Medium Internet oder unter dessen Nutzung ist zu rechnen. Das Internet als Tatort wird auch in Zukunft nur begrenzt kontrollierbar bleiben.³⁵

2 Kriminalitätsbegriff

Die dynamische Entwicklung der Informations- und Kommunikationstechnologie verändert die weltweite Kommunikation, Interaktion und Datenspeicherung tiefgreifend. Damit geht eine entsprechende Veränderung der Erscheinungsformen der IuK-Kriminalität und damit der Tat- und Tätertypologien einher.³⁶

Angriffe auf die Integrität und Sicherheit von Datensystemen bergen in unserer modernen Informationsgesellschaft ein hohes Gefahrenpotenzial. Kriminelle können mit einem Mausklick Tausende schädigen.

2.1 Kriminalitätsmerkmale³⁷

– Fehlendes Unrechtsbewusstsein und vermeintliche oder tatsächliche Anonymität auf Täterseite fördern die Tatbegehung. Psychologische Hemmschwellen entfallen zunehmend.

– Fehlende Kompetenzen und Technik kaufen oder mieten Täter. Der Kontakt erfolgt über Foren, sodass die Beteiligten in der Regel anonym bleiben. Hierdurch wird das Entstehen internationaler Strukturen begünstigt.

– Täter erschweren den Zugriff der Ermittlungsbehörden, indem sie zunehmend Informationen mit Beweiswert nicht auf ihrem Rechner, sondern im Internet speichern. Sie nutzen Internettelefonie (VolP) über internationale Anbieter, Kryptierungstechniken sowie Steganografie und verschleiern IP-Adressen.

– Täter reagieren sehr schnell auf technische Sicherheitsvorkehrungen, indem sie unverzüglich ihre Vorgehensweise durch Anpassung der Schadprogramme ändern. Dadurch entfalten Sicherheitsvorkehrungen in der Regel nur kurzzeitig Wirkung.

– Das Dunkelfeld im Bereich der IuK-Kriminalität im engeren Sinne ist hoch einzuschätzen. In vielen Fällen wird die Straftat vom Geschädigten nicht bemerkt. Bei Wirtschaftsbetrieben ist ein befürchteter Imageverlust häufig Ursache für eine Nichtanzeige.

2.2 Begriff Cybercrime

Im politischen, wirtschaftlichen, gesellschaftlichen und polizeilichen Sprachgebrauch begann sich der Begriff Cybercrime zu formen. Gemäß der am 01.07.2009 in Kraft getretenen „Convention on Cybercrime“ des Europarates³⁸ – Deutschland ratifizierte die EU-Konvention am 09.03.2009 – sind die nachfolgenden Straftaten vom Begriff Cybercrime umfasst³⁹:

1. Straftaten gegen die Vertraulichkeit, Unversehrtheit und Verfügbarkeit von Computerdaten und -systemen – Ausspähen und Abfangen von Daten, Datenveränderung, Computersabotage einschließlich Vorbereitungshandlungen, Infizierung von Computersystemen mit Schadsoftware, Datenspionage – „Hacking, Phishing“, Störung des Zugriffs auf Computersysteme, Herstellen, Verschaffen und Zugänglichmachen von Passwörtern, Sicherungscodes oder auf die Begehung von Straftaten abzielender Computerprogramme – „hacking tools, crimeware“.

2. Computerbezogene Straftaten – betrügerische Angriffe auf das Vermögen, Betrug, Computerbetrug, bei denen im Einzelfall aber auch die missbräuchliche Verwendung der digitalen Identität eines anderen und damit der Tatbestand des Verfälschens und Gebrauchens beweiserheblicher Daten eine Rolle spielen kann. Außerdem geht es hier um Angriffe auf höchstpersönliche Rechtsgüter wie die Ehre – „Cybermobbing, Cyberbullying“.

3. Inhaltsbezogene Straftaten – Straftaten, bei denen über das Netz illegale Inhalte transportiert werden, also Informationen, deren Umgang vom Gesetzgeber mit Strafe bedroht wird, z. B. Kinderpornografie, Gewaltdarstellungen und Propagandadelikte.

4. Straftaten im Zusammenhang mit Verletzungen des Urheberrechts und verwandter Schutzrechte – unerlaubte Verwertung urheberrechtlich geschützter Werke, unerlaubtes Verbreiten von Bildnissen, z. B. unbefugtes Herunterladen und Verbreiten von Musik, Filmen, Software mittels Filesharing-Systemen oder Peer to Peer-Netzwerken wie eMule oder BitTorrent.

5. Mittels Computersystemen begangene Handlungen rassistischer und fremdenfeindlicher Art – gem. Zusatzprotokoll 2006.

Der Arbeitskreis II „Innere Sicherheit“ (AK II)⁴⁰ sah vor dem Hintergrund nationaler sowie internationaler sicherheitspolitischer Entwicklungen das Erfordernis, den phänomenbezogenen Sprachgebrauch zu harmonisieren und die bisherigen Begriffsbestimmungen zur „IuK-Kriminalität“ durch den Begriff „Cybercrime“ zu ersetzen. Es gilt die nachfolgende Definition.

Cybercrime umfasst die Straftaten, die sich gegen

– das Internet,

– weitere Datennetze,

– informationstechnische Systeme

oder deren Daten richten.

Cybercrime umfasst auch solche Straftaten, die mittels dieser Informationstechnik begangen werden.

Diese Begriffsbestimmung berücksichtigt sowohl nationale⁴¹ als auch internationale Sicherheitsstrategien und steht im Einklang mit internationalen Begriffsbestimmungen wie der Convention on Cybercrime⁴², der United Nations Organization⁴³ und des FBI⁴⁴.

Sie ist geeignet, alle Straftaten der Cybercrime, sowohl der bisher als IuK- Kriminalität im engeren Sinn bezeichneten Delikte als auch der Straftaten, bei denen die IuK als Tatmittel verwendet wird (bislang als IuK-Kriminalität im weiteren Sinn bezeichnet), abzubilden. Der besonderen Bedeutung des Internet als wichtigstes Datennetz im Zusammenhang mit der Cybercrime wurde durch eine explizite Nennung in der Definition Rechnung getragen.

Auf eine Unterscheidung zwischen Cybercrime im engeren Sinne und sonstiger Cybercrime wurde verzichtet, da die Definition das Phänomen Cybercrime als Ganzes beschreiben soll. Gleichwohl erlaubt die Definition eine solche Differenzierung, was u. a. die praktische Umsetzung erleichtern wird (fachlich richtige und bekannte phänomenologische Zuordnung⁴⁵).

Eine einheitliche Definition des Begriffs Cybercrime war auch erforderlich, weil er sowohl im öffentlichen als auch im privaten Raum zunehmend Verwendung findet, im internationalen Kontext gebräuchlich ist und auch von der Polizei (z. B. bei Medienkontakten, in der Öffentlichkeitsarbeit) genutzt wird.

Der Begriff Cybercrime löst damit die bisher verwandte Bezeichnung „Informations- und Kommunikationskriminalität (IuK-Kriminalität)“ ab.

2.3 Cybercrime im engeren Sinn

Es handelt sich um Straftaten, bei denen Informations- und Kommunikationstechnik – Elemente der EDV – in den Tatbestandsmerkmalen der Strafnorm enthalten ist (Computerkriminalität).

Zunächst beinhaltete Cybercrime im engeren Sinn im Wesentlichen Kriminalitätsformen wie die Manipulation von Telefonkarten, die missbräuchliche Verwendung von Telefonanlagen sowie den betrügerischen Einsatz von „Dialern“ und Mehrwertdiensten. Zwischenzeitlich wird dieser Phänomenbereich zu mehr als 90 % durch das widerrechtliche Abgreifen von Daten, das sogenannte „Phishing“, dominiert. Ursprünglich zielten „Phishing-Angriffe“ nur auf wenige Geschäftsbereiche der Netz-Welt, vornehmlich Banken und Auktionsplattformen. Das Zielspektrum der Täter hat sich mittlerweile wesentlich erweitert. Es werden nicht mehr nur die Zugangsdaten eines Opfers ausgespäht, sondern seine gesamte „Digitale Identität“ (DI).

Die erlangten Daten werden auf einem globalen Marktplatz, der sogenannten „underground economy“, vermarktet. Gehandelt werden hier auch kriminelle Geschäftsmodelle, Schadprogramme und Infrastrukturen. Der illegale Markt orientiert sich wie „normale“ Märkte an den Kundenbedürfnissen und damit vor allem an der Nachfrage.

Ein besonders starker Anstieg der registrierten Cybercrime im engeren Sinn ist in den Bereichen „Ausspähen von Daten, Datenveränderung/-fälschung und Rechnersabotage“ zu verzeichnen.

Weitere Erscheinungsformen der Cybercrime im engeren Sinne sind:

– Einsatz von Schadprogrammen, z. B. „Malware“ und Trojaner, als Tatmittel zum Angriff auf Rechner und auf Mobiltelefone

– Nutzung sogenannter „Botnetze“ zur Verschleierung oder Anonymisierung von Täteraktivitäten⁴⁶

– Überlastung von Servern mit massenhaften Anfragen, um zu verhindern, dass dessen Inhalte verfügbar sind („DDoS-Angriffe“)

– unberechtigtes Eindringen in Rechnersysteme („Hacking“).⁴⁷

Tatbestände der Cybercrime im engeren Sinn sind nachfolgend aufgeführt.

2.3.1 Straftaten nach dem Strafgesetzbuch (StGB)

Die Bestimmungen wurden durch das 41. Strafrechtsänderungsgesetz zur Bekämpfung der Computerkriminalität – in Kraft getreten am 11.08.2007 – aktualisiert. Die Änderungen beruhten auf dem EU-Rahmenbeschluss über Angriffe auf Informationssysteme und dem Übereinkommen des Europarats über Computerkriminalität. Zu berücksichtigen sind insbesondere (vgl. Kapitel 20.1):

– § 149 StGB – Vorbereitung der Fälschung von Geld und Wertzeichen

– § 202a StGB – Ausspähen von Daten (sog. „elektronischer Hausfriedensbruch“)

– § 202b StGB – Abfangen von Daten

– § 202c StGB – Vorbereiten des Ausspähens und Abfangens von Daten

– § 263a StGB – Computerbetrug

– § 269 StGB – Fälschung beweiserheblicher Daten

– § 270 StGB – Täuschung im Rechtsverkehr bei Datenverarbeitung

– § 271 StGB – Mittelbare Falschbeurkundung

– § 274 StGB – Urkundenunterdrückung

– § 303a StGB – Datenveränderung

– § 303b StGB – Computersabotage

Die Delikte sind auch Bestandteil des Sondermeldedienstes Cybercrime (SMD Cybercrime) in den Ländern und dem Bund.⁴⁸

Qualifizierte Tatbestände für schwerwiegende und breitflächige Angriffe auf Informationssysteme und beim Ausspähen von Daten können in den Tatbeständen §§ 202a, 202b und 303a StGB berücksichtigt werden. Die §§ 202a, 202b und 303a StGB sollten auch eine Möglichkeit der Sanktionierung eines Versuchs (§ 22 StGB) vorsehen.⁴⁹

Mit Einführung des § 202d StGB ist auch das „Sichverschaffen“ nicht allgemein zugänglicher Daten, die ein anderer rechtswidrig erlangt hat, als „Datenhehlerei“ strafbar.⁵⁰

2.3.2 Urheberrechtsverletzungen, Softwarepiraterie – Gesetz über Urheberrecht und verwandte Schutzrechte (UrhG)

Das Kopieren von geschützten Werken ist generell verboten. Nach § 95a UrhG dürfen wirksame technische Maßnahmen ohne Zustimmung des Rechtsinhabers nicht umgangen werden. Schutzgut der Straftatbestände des Urheberrechts sind insbesondere die Verwertungsrechte des Berechtigten. Zu beachten sind (vgl. Kapitel 20.2):

– § 95a UrhG – Schutz technischer Maßnahmen

– § 106 UrhG – Unerlaubte Verwertung urheberrechtlich geschützter Werke

– § 107 UrhG – Unzulässiges Anbringen der Urheberbezeichnung

– § 108 UrhG – Unerlaubte Eingriffe in verwandte Schutzrechte

– § 108a UrhG – Gewerbsmäßige unerlaubte Verwertung

– § 108b UrhG – Unerlaubte Eingriffe in technische Schutzmaßnahmen und zur Rechtewahrnehmung erforderliche Informationen

– § 109 UrhG – Strafantrag

– § 110 UrhG – Einziehung

– § 111a UrhG – Bußgeldvorschriften

2.3.3 Verstöße gegen das Telekommunikationsgesetz (TKG)

Zweck des Gesetzes ist es, durch technologieneutrale Regulierung den Wettbewerb im Bereich der Telekommunikation und leistungsfähige Telekommunikationsinfrastrukturen zu fördern und flächendeckend angemessene und ausreichende Dienstleistungen zu gewährleisten.

Ziele sind unter anderem die Wahrung der Nutzer-, insbesondere der Verbraucherinteressen auf dem Gebiet der Telekommunikation, die Wahrung des Fernmeldegeheimnisses und die Wahrung der Interessen der öffentlichen Sicherheit. Grundsätzliche Regelungen zum Datenschutz beinhaltet in Teil 7 des Gesetzes der Abschnitt 2. Im Abschnitt 3 des gleichen Teils finden sich Vorgaben für die Anbieter von Telekommunikationsdiensten und Regelungen für Auskunftsersuchen von Sicherheitsbehörden.

Die §§ 148, 149 TKG beinhalten die Straf- und Bußgeldvorschriften.

2.4 Cybercrime im weiteren Sinn

Dies sind Straftaten, bei denen Informations- und Kommunikationsmedien zur

– Planung und/oder

– Vorbereitung und/oder

– Ausführung

eingesetzt werden.

Es handelt sich um Straftaten, die mit dem Tatmittel Internet begangen werden.

Nahezu jede strafbare Handlung kann durch den Einsatz solcher Technik „effektiviert“ werden. Die Deliktsbreite reicht von der Verbreitung kinderpornografischer Inhalte über das betrügerische Anbieten von Waren und Dienstleistungen, das verbotene Glücksspiel, unlautere Werbung, Urheberrechtsverletzungen bis zum illegalen Verkauf von Waffen, Betäubungsmitteln und Medikamenten und zu Beleidigungen/Bedrohungen im Chat oder per E-Mail. Darüber hinaus nutzen terroristische Netzwerke, extremistische Gruppierungen sowie Organisierte Kriminalität und Wirtschaftskriminalität die IuK-Technik als Plattform für

– Information und Kommunikation

– Propaganda durch Hetz- und Schmähschriften mit dem Ziel der Radikalisierung und/oder der Bedrohung von „Gegnern“

– Verbreitung von Handlungsanleitungen, auch zum Bau und Einsatz von Sprengvorrichtungen/-fallen

– Rekrutierungen und Anmietungen

– Tatmittelbeschaffung.

2.5 Täterstruktur

Die Tätertypen sind höchst unterschiedlich, ihre Motivlagen und ihr technisches Können sind äußerst different. Vom Einsteiger bis zum Profi sind alle vertreten: Jugendliche Hacker, die ihr Potenzial testen wollen, Extremisten, Erpresser, Terroristen, lose kriminelle Strukturen und Banden, international organisierte Kriminelle, Nachrichtendienste anderer Staaten.

Als Einsteiger sehen wir⁵¹ Cyberkriminelle mit IT-Grundkenntnissen oder auch sogenannte Script Kiddies. Mit vorprogrammierten Software-Toolkits beschäftigen sie sich überwiegend mit Phishing, im Bereich Social Engineering und im Defacement, also dem Verändern von Webseiten. Dieser Gruppe geht es vor allem darum, Erfahrungen zu sammeln und die breiten Möglichkeiten des Internet zu erproben.

Deutlich gefährlicher sind fortgeschrittene Hacker mit einer hohen Affinität zur Technik. Von ihnen gehen strukturierte Attacken, wie DDoS, Drive-by-exploit oder SQL-Injections aus. Die Akteure sind Hobby-Hacker, ideologische Hacker oder organisierte Gruppen. Diese Gruppe verfügt über gute IT-Kenntnisse, die es ihr ermöglichen, an persönliche Daten, betriebsinterne Informationen oder vertrauliche Regierungsdokumente zu gelangen.

Die dritte Gruppe sind die „Profis“. Hier finden sich sowohl staatlich gelenkte Hacker als auch terroristische Gruppen und Hacktivisten. Hacktivisten verstehen sich als Kämpfer gegen Ungerechtigkeit, verstehen ihr Handeln als zivilen Ungehorsam gegen bestimmte politische Richtungen – ein virtueller Gang auf die Straße, um Unternehmen, Regierungsbehörden, Parteien, andere Gruppen oder Initiativen von ihrem – in den Augen von Gruppen wie Anonymous oder Lulz-Security falschen – Weg abzubringen. Mittels DDos-Attacken werden Internet-Portale lahmgelegt oder es werden Datenbanken gehackt, um im Anschluss „sensible“ Informationen zu veröffentlichen. Es handelt sich um eine andere Qualität von Internetangriffen. Es geht darum, einen möglichst großen Schaden anzurichten, der Profit ist eher ideeller Natur.

Der überwiegende Teil der Cyberkriminellen handelt aus finanzieller Motivation. Dabei reicht das Spektrum vom klassischen Einzeltäter bis hin zu international organisierten Tätergruppierungen. Täter arbeiten im Bereich Cybercrime oftmals nicht mehr in den klassischen hierarchischen Strukturen, sie kennen sich teilweise nicht persönlich, sondern nutzen auch bei arbeitsteiliger Kooperation die Anonymität des Internets.

Services, die nicht selbst erbracht werden können, werden von anderen hinzugekauft. Das Angebot in der Underground Economy ist breit und reicht von für die Begehung von Straftaten erforderlicher Schadsoftware bis hin zu kompletten technischen Infrastrukturen.⁵²

2.6 Kriminologische Einordnung

In der Kriminologie⁵³ wird der Begriff „Cybercrime“ kritisch gesehen.

Übernommen aus dem anglo-amerikanischen Sprachgebrauch wird er wohl deshalb gerne verwendet, weil er auf den „Cyberspace“ verweist, jenen in der 1990er Jahren von vielen Internetnutzern imaginierten virtuellen Raum, in dem man sich ähnlich wie in einem dreidimensionalen Raum aufhalten und im Austausch mit anderen Nutzern neue Erfahrungen sammeln kann. Die Aussage „immer mehr Straftaten finden nicht mehr auf der Straße, sondern im Internet statt“ erweckt dabei den Eindruck, das „Internet“ sei ein Raum eigener Art, der als Tatort in der gleichen Weise in Betracht kommt wie „die Straße“. Dass das Internet keinen eigenen Erlebnisraum eröffnet, sondern lediglich das Medium für neue, erweiterte Informations- und Kommunikationsformen darstellt, dürfte indes heute – ungeachtet eines nach wie vor abweichenden Sprachgebrauchs – weitgehend Allgemeingut sein. Für die kriminologische Analyse sollte der die Zusammenhänge verklärende Kunstbegriff des „Cybercrime“ deshalb eher vermieden werden.⁵⁴

Die Erklärung der Internetkriminalität scheint ohne Anleihen bei den herkömmlichen Kriminalitätstheorien nicht auszukommen. Vertiefende Analysen der Zusammenhänge mit Risiko- und Schutzfaktoren oder den Auswirkungen der im Internet begangenen Straftaten sind noch Mangelware.⁵⁵

Der Gesichtspunkt der Kontrolle spielt sicherlich eine herausgehobene Rolle, so die fehlenden Selbstschutzmaßnahmen der Geschädigten (z. B. Phishing), die nicht ausreichenden Überwachungsmaßnahmen der Strafverfolgungsbehörden bei den abstrakten Gefährdungsdelikten (z. B. Kinderpornografie) oder die eingeschränkte Selbstkontrolle der Täter. Auch Kosten-Nutzen-Erwägungen auf der Täter- wie der Opferseite, z. B. der Aufwand bei der legalen Beschaffung von immateriellen Gütern wie Filmen und Musik oder der Aufwand bei der Installation von Sicherheitssoftware, ebenso Lerneffekte, Neutralisierungsmechanismen und Routineaktivitäten, sind von Bedeutung.⁵⁶

In einem Erklärungsmodell müssen auch die Besonderheiten integriert werden, die sich aus der Nutzung der IuK-Technik als Tatmittel ergeben. Warum ist gerade das Internet für die Begehung von Straftaten ein so geeignet erscheinendes Medium?

Welche Umstände erleichtern die Tatbegehung gegenüber Taten in der „realen“ Welt? Im Zusammenhang mit Cybersex⁵⁷ wird das Internet als „Triple-A-Engine“ bezeichnet – gekennzeichnet durch Verfügbarkeit (accessability), Erschwinglichkeit (affordability) und Anonymität (anonymity). Die durch das Netz geschaffene Distanz zwischen Täter und Opfer mit ihren Folgen sowohl beim Täter als auch beim Opfer (Herabsetzung von Hemmschwellen, Verdrängung der Gefahr) bedürfen der Thematisierung. Täter- und Opferrollen werden durch Zwischenschaltung des Mediums Internet undeutlicher – wer ist bei dem Umgang mit Kinderpornografie der Täter – derjenige, der das Material über das Internet verbreitet, der es herunterlädt, oder beide? Wer ist bei DDos-Angriffen das Opfer? Derjenige, auf dessen PC ein Botnetz installiert wird, derjenige, dessen Server lahmgelegt wird, oder beide?

Welche Auswirkungen hat die im Internet erfahrene Viktimisierung auf die Opfer? Ist „Cyberbullying“ oder die nicht rückgängig zu machende Verbreitung identifizierenden pornografischen Bildmaterials wegen der weltweit unbegrenzten Wahrnehmbarkeit durch Dritte für die Betroffenen ein stärkerer Eingriff, als es vergleichbare Taten in der „realen“ Welt sind? Welche Konsequenzen ergeben sich aus der Untrennbarkeit der erfahrenen Demütigung für die Opferbehandlung und die Prävention?

Die Fragen zeigen, dass die kriminologische Auseinandersetzung noch ganz am Anfang steht.⁵⁸

„Gamecrime und Metacrime“⁵⁹ bezeichnen Kriminalität im Zusammenhang mit virtuellen Spielwelten. Es handelt sich um Straftaten im Zusammenhang mit Online-Rollenspielen (Games), wie z. B. „World of Warcraft“, „Herr der Ringe Online“ und „Second Life“. Je nach Modus Operandi werden Meinungsäußerungsdelikte, Vermögensdelikte und Handlungen gegen die sexuelle Selbstbestimmung begangen.

3 Polizeiorganisation und Strategie

Die massenhafte Nutzung neuartiger Technologien verändert die Verhaltensweisen der Menschen sowie die Arbeits- und Geschäftsprozesse – auch in den Sicherheitsbehörden.

Moderne Informations- und Kommunikationstechnik und insbesondere das Internet sind für die Sicherheitsbehörden nicht nur ein neuer, unabgrenzbarer Tatort. Die technischen Entwicklungen bieten auch neue Möglichkeiten, Gefahren abzuwehren und das Verbrechen zu bekämpfen, wie z. B. die europaweite Vernetzung von Polizeiinformationen (SIS, SIRENE⁶⁰) oder die Verfolgung von Datenspuren – digitalen Spuren –, die Straftaten im Internet hinterlassen.

Seitens des BKA wird mehr denn je die bundesweite Zusammenarbeit gefordert. Dadurch sollen die föderale Vielfalt genutzt, Informationen geteilt, Ressourcen für Spezialisierungen freigesetzt und Kompetenzen gebündelt werden. Mit dem System der plattformbasierten Zusammenarbeit soll dieser neuen Kultur entsprochen werden. Die technische Basis hierfür bietet die IT-Plattform „Polizei 2020“⁶¹, eine Plattform zur digitalen Zusammenarbeit. Europaweite Ansätze gibt es mit SIRIUS, einer Plattform für den fachlichen Austausch, für Best-practices, Know-how, technische Informationen und Erfahrungen im Bereich der Internetermittlungen.⁶²

Für die Polizei bedarf es der fortdauernden Auseinandersetzung mit den neuen Technologien, um erfolgreich gegen entsprechende Kriminalitätsformen vorzugehen. Neue Gesetze und Handlungsmöglichkeiten bedürfen auch deren Umsetzung. Das Internet darf kein strafverfolgungsfreier Raum sein. Strategien und Konzepte müssen in „Know-how“ und in konkrete Maßnahmen münden. Wenn „Gelegenheit Diebe macht“, so muss das „Haltet den Dieb!“ auch im Internet realisierbar sein.

Dabei kommt sowohl dem Erkennen von strafrechtlichem Handeln im Umgang mit Informations- und Kommunikationsmedien als auch der Beweissicherung im Rahmen des Ersten Angriffs besondere Bedeutung zu.

Die Bürgerinnen und Bürger müssen darauf vertrauen können, dass der Staat und die staatlichen Institutionen für ihre Sicherheit sorgen. Sie müssen darauf vertrauen können, dass der Rechtsstaat funktioniert, Straftaten verfolgt und die Regeln des Zusammenlebens in unserer offenen Gesellschaft eingehalten werden. Und sie müssen darauf vertrauen können, dass die Polizei angemessen ausgestattet und in der Lage ist, ihre Aufgaben in einer sich dynamisch verändernden Umwelt zukunftsfähig zu erledigen. Cyberangriffe bergen ein erhebliches Schadenspotenzial. Sie können die Wirtschaft, Leib und Leben von Menschen und auch den Staat selbst gefährden. Die Gefahrenabwehr im Cyberraum ist Aufgabe für Polizei in Bund und Land. Wichtig ist aber, dass wir das eine tun ohne das andere zu lassen. Neben Investitionen in die „digitale Polizei“ darf die „analoge“ polizeiliche Präsenz und Erreichbarkeit nicht vernachlässigt werden.⁶³

3.1 Internetwache

Bei sogenannten Internetwachen können Nutzer auf der Internetseite der Polizei elektronisch Anzeige erstatten oder Hinweise geben (siehe Bild unten – Internetwache der Polizei Berlin). Ziel ist es, dem Anzeigeerstatter Zeit zu ersparen, mögliche Hemmschwellen abzubauen und zu zeigen, dass auch die Polizei im Internet vertreten ist.

Der Eingang von Hinweisen verzeichnet eine Zunahme und betrifft das gesamte Kriminalitätsspektrum, so Betrugshandlungen, Eigentumsdelikte, Sexualdelikte, aber auch Straßenverkehrsdelikte, Fahndungsmitteilungen und natürlich die Computerkriminalität. Eingegangene Anzeigen werden durch das LKA bewertet und an die zuständigen Dienststellen zur Bearbeitung weitergeleitet.

Abb. 3 Startseite der Internetwache der Berliner Polizei⁶⁴

Spezielle Hinweisgebersysteme, so das „Business Keeper Monitoring System (BKMS®)“ der Polizei Baden-Württemberg, ermöglichen die anonyme Anzeigeerstattung und Hinweise zu speziellen schweren Kriminalitätsbereichen.

3.2 Internetrecherche/Streife im Netz

Zur aktiven Kriminalitätsbekämpfung muss polizeiliche Präsenz auch im Internet stattfinden. Virtuelle Streife im Internet ist genauso notwendig wie die Fußstreife in der Innenstadt. Durch anlassunabhängige Internetrecherchen der Polizei sollen das Verfolgungsrisiko für Straftäter erhöht und verdächtige Inhalte zeitnah aufgespürt werden.

Hierzu hat das BKA die Zentralstelle für anlassunabhängige Recherche in Datennetzen – ZaRD – eingerichtet. Die ZaRD ist ein Bestandteil des beim BKA eingerichteten „Technischen Entwicklungs- und Servicezentrums für Innovative Technologien“ – TESIT.⁶⁵ Internetrecherchen erfolgen mit einem länderübergreifenden Ansatz und in arbeitsteiligem Vorgehen. Dies erfordert einen ständigen Informationsaustausch und eine gezielte Koordination zwischen den beteiligten Stellen. Bund und Länder haben eine gemeinsame Koordinierungsgruppe für anlassunabhängige Recherchen im Internet – KaRIn – eingerichtet. Bei den Landeskriminalämtern recherchieren Ermittler in nahezu allen Diensten des Internet nach verdächtigen Inhalten zu Zwecken der Strafverfolgung, der Gefahrenabwehr und der Prävention.⁶⁶

3.3 Sachbearbeitung

Die Sachbearbeitung orientiert sich an dem durch die AG Kripo⁶⁷ erarbeiteten bundeseinheitlichen Aus-/Fortbildungskonzept zur Bekämpfung der Cybercrime⁶⁸ und erfolgt in drei Ebenen.

Danach verfügen fachkundige Beamte als sogenannte Ersteinschreiter Cybercrime, grundsätzlich jeder Polizeibeamte, über entsprechende Kompetenzen – Grundlagenwissen bezüglich des Internets sowie der Begehung von Straftaten unter Nutzung der EDV-Technik (Ebene 1). Diese Polizeibeamten treffen die ersten Feststellungen und Maßnahmen nach Bekanntwerden entsprechender Sachverhalte im Rahmen des Ersten Angriffs.

Die Bearbeitung von Straftaten der Cybercrime erfolgt grundsätzlich bei den für das Grunddelikt zuständigen Organisationseinheiten. Die Ermittlungen müssen sich allerdings an den spezifischen Besonderheiten der Cybercrime orientieren. In den Ermittlungsdiensten der Polizeireviere und der Kriminalpolizei stehen nach weiterführender Qualifizierung dafür spezielle Sachbearbeiter Cybercrime zur Verfügung (Ebenen 2 und 3).

Bei Cybercrime im engeren Sinne, wie beispielsweise

– Eindringen in informationstechnische Systeme (Hacking),

– (Distributed)-Denial of Service Angriffe,

– Verbreiten von Schadsoftware

handelt es sich um schwere Kriminalität im Zuständigkeitsbereich der Kriminalpolizei, insbesondere, wenn dabei eine banden- oder gewerbsmäßige Begehungsweise festgestellt wird.

Bei Cybercrime im weiteren und engeren Sinne,

– zu deren Bearbeitung besonderes informationstechnisches Fachwissen und/oder besondere technische Beweisführungsmethoden erforderlich sind,

– die ein hohes Maß an informationstechnischem Fachwissen auf Seiten der Täter erkennen lässt oder

– zu deren Tatbegehung die Täter spezielle technische Maßnahmen einsetzen,

ist ebenfalls die Zuständigkeit der Kriminalpolizei gegeben.

Bei Handlungen, mit denen zugleich Tatbestände der Allgemeinkriminalität und der Cybercrime im engeren Sinne verwirklicht werden, ist die Zuständigkeit der Kriminalpolizei nur dann gegeben, wenn die überwiegende Zielrichtung des Täters der Angriff auf das IT-System war.⁶⁹

Sachbearbeiter IT-Beweissicherung – ITB (Ebene 3) bei den Landeskriminalämtern und der Kriminalpolizei bei den regionalen Polizeipräsidien/Kreisdienststellen führen grundsätzlich die forensische Beweissicherung und Datenträgeruntersuchung durch.

Tätigkeiten des Sachbearbeiters ITB sind im Einzelnen:

– Beratung der eingesetzten Beamten im Vorfeld von Durchsuchungsmaßnahmen

– Unterstützung im Rahmen von Durchsuchungsmaßnahmen

– forensische Datensicherung und forensische Analyse/Auswertung

– gerichtsverwertbare Aufbereitung der gesicherten Inhalte/Erkenntnisse

– Unterstützung bei Folgemaßnahmen (Vernehmungen/Befragungen, Kontakt mit privaten Stellen/Firmen aus dem Bereich Informationstechnik)

Der Sachbereich ITB möchte die ermittelnden Polizeibeamten bei Problemen im Zusammenhang mit Computern und Netzwerken unterstützen. Seine besonderen Möglichkeiten bestehen hierzu bezüglich

– der Untersuchungsgegenstände

– der Betriebssystemkenntnisse

– der Netzwerkkenntnisse

– der Datensicherung (fachgerechter Umgang mit Hard- und Software, auch Wiederherstellung gelöschter Daten)

– der Beurteilung von Hackingangriffen

– Internet/Sicherung von Daten im Internet

– der Auswertung (auch sachverständiger Zeuge vor Gericht)

Zur Ebene 3 gehören auch die zum technischen Sachbearbeiter qualifizierten Ermittlungsbeamten zur Datenanalyse.

3.4 Spezialdienststellen/Kompetenzzentren

Durch polizeiliche Zentralstellen von Bund und Ländern sollen verschiedene Aufgaben im Rahmen der Zentralstellenfunktion wahrgenommen werden. Sie leisten Service- und Unterstützungsfunktion für Bürger und Polizeidienststellen, Verwaltungs- und Justizbehörden.

Neben der Durchführung anlassunabhängiger Recherchen im Internet und der Übernahme und Bearbeitung komplexer Ermittlungsverfahren werden grundlegende strategische Bekämpfungskonzeptionen erarbeitet. Intensive und ständige Marktbeobachtung dient der Feststellung neuester Techniken und Entwicklungen z. B. im Bereich der Hard- und Software. Aufklärungs- und Ermittlungserkenntnisse dienen der Entwicklung effektiver Bekämpfungskonzeptionen und Präventionsansätze.

Zu den Kernaufgaben des Technischen Entwicklungs- und Servicezentrums gehören Entwicklung und Test von Methoden und Werkzeugen zur Sicherung, Untersuchung, Sichtbarmachung, Aufbereitung und Bereitstellung digitaler Daten mit dem Ziel der Auswertung durch die beauftragenden Ermittlungsbereiche (vgl. Bild unten).

Abb. 4 Werkzeug zur Sicherung von Mobiltelefonen

Das permanente Studium neuer Entwicklungen im Bereich der Informationstechnik nimmt parallel zu den übrigen Aufgaben Raum ein. Neben modernster Hard- und Software werden auch ältere und teils exotisch anmutende Werkzeuge vorrätig gehalten, um veraltete und außergewöhnliche elektronische Beweismittel untersuchen zu können.

Einen Schwerpunkt von Forschung und Entwicklung bildet der Bereich der Datenträgeranalyse. In den weitaus meisten Ermittlungsfällen mit Bezug zur Informationstechnik besteht die Aufgabe darin, auf Datenträgern gespeicherte Informationen lesbar zu machen. Als Beweismittel fallen Datenträger unzähliger Formate, Magnetbänder, Magnetbandkassetten, Fest- und Wechselplatten, Speicherkarten aller Formate, E-Book-Reader, Spielekonsolen, Chipkarten, optische Medien sowie Mobiltelefone/Smartphones und SIM-Karten an. Auch veraltete elektronische Beweismittel wie beispielsweise PDAs und Magnetstreifenkarten oder elektronische Kalender finden sich unter den Sicherstellungen und bedürfen der Untersuchung und Aufbereitung. Darüber hinaus können auch physikalisch defekte Datenträger unter Umständen noch untersucht werden. Arbeitsteilig erzeugt die Abteilung Kriminaltechnik ein Abbild des Speichers, dessen Inhalt im Folgenden vom Kriminalistischen Institut weitergehend untersucht wird (vgl. Bild unten).

Abb. 5 BKA-eigene Speicher für digitale Beweismittel

Immer größere Relevanz bekommen Speicherkapazitäten im Internet, sogenannte Cloudspeicher. Hier bestehen besondere Herausforderungen bei der Sicherung.

Das Technische Entwicklungs- und Servicezentrum des BKA stellt sich diesen Herausforderungen. Es entwickelt Methoden und Werkzeuge für die Ermittlungsunterstützung und Beweissicherung in Kriminalfällen, bei denen modernste Technologien zur Tatbegehung genutzt werden.⁷⁰

Bereits Anfang 2012 wurde im LKA Baden-Württemberg die Abteilung „Cyberkriminalität/Digitale Spuren“ eingerichtet. Hier ist die Fachkompetenz von über 80 Ermittlern, IT-Experten und Ingenieuren gebündelt, die mit Ermittlungen, Analysen, Internetrecherchen, Beweissicherung, der Auswertung von Massendaten sowie mit Hilfe von Telekommunikationsüberwachung gegen Cyberkriminelle vorgehen.⁷¹

Die Zentrale Ansprechstelle Cybercrime (ZAC) dient als Single Point of Contact für Wirtschaftsunternehmen, Behörden sowie Forschungseinrichtungen in allen Belangen des Themenfeldes Cybercrime. Die Mitarbeiterinnen und Mitarbeiter der ZAC nehmen in diesem Zusammenhang eine Vermittler- und Beraterrolle wahr.⁷²

Unternehmensbefragungen zeigen deutlich, dass die deutsche Wirtschaft – kleine, mittlere und auch große Firmen – quer durch alle Unternehmensbereiche in einem hohen Maße von Internetkriminalität (Cybercrime) in den verschiedenartigsten Formen betroffen ist. Die Situation hat sich in den letzten Jahren noch weiter verschärft, weil die Art der Angriffe komplexer und vielfältiger geworden ist. Es wird spioniert, erpresst, betrogen und Unternehmens- und Kundendaten werden widerrechtlich abgegriffen, um damit eine Vielzahl weiterer Straftaten zu begehen. Wobei es eine Vielzahl von Cybercrime-Straftaten gibt, die sich in den verschiedensten Konstellationen darstellen können. Firmen können von Angriffen auf ihre IT-Systeme betroffen sein, ohne dass die erkennbaren Hinweise einen eindeutigen Rückschluss auf solche Taten zulassen. Die frühzeitige und sachgerechte Bewertung dieser Hinweise ist unabdingbar, um zielgerichtet Abwehrmaßnahmen einzuleiten.

Die Angriffe können sowohl durch interne Mitarbeiter als auch durch externe IT-Systemzugriffe erfolgen und erfordern häufig innerhalb kürzester Zeit eine Vielzahl von unterschiedlichsten Entscheidungen durch die Firmenverantwortlichen. Deshalb ist es wichtig, sich frühzeitig mit den möglichen Bedrohungsszenarien vertraut zu machen, die erforderlichen Schutzmöglichkeiten zu kennen und Maßnahmen zu ergreifen.

Abb. 6 Die Zentralen Ansprechstellen Cybercrime der Polizeien der Länder und des Bundes für die Wirtschaft stehen (…) als kompetenter und vertrauensvoller Partner zur Verfügung, sowohl für Informationen zur Vermeidung von Cybercrime-Angriffen als auch im Falle von Cybercrime-Straftaten gegen Ihre Firma!⁷⁵

Eine zentrale Ansprechstelle (ZAC) findet sich auch bei anderen Spezialdienststellen, so dem Cybercrime-Kompetenzzentrum des LKA Nordrhein-Westfalen. Hier befindet sich außerdem das Zentrale Informations- und Servicezentrum Cybercrime (ZISC), das den Informationsaustausch mit den Polizeibehörden des Landes, polizeilichen Zentralstellen von Bund und Ländern sowie externen Behörden, Institutionen und Verbänden zur Bekämpfung der Cybercrime gewährleistet. Hier werden auch die „Kriminalistische Lageunterstützung“ und deren Koordination geleistet, die die Beratung bei der Ermittlungsführung und Einsatzbewältigung und die Konzeption spezifischer Strategien und Taktiken umfasst. Auf Grundlage der Auswertungen aus dem KPMD⁷³ werden für den Bereich Cybercrime u. a. Analysen, Stellungnahmen, Auswerteberichte, Lagebilder und Statistiken erstellt. In Kooperation mit anderen Partnern werden zahlreiche Präventionsprojekte realisiert. Ziele sind unter anderem, das Gefahrenbewusstsein⁷⁴ zu steigern und wirkungsvolle Verhaltensweisen zu vermitteln.

Die zentrale Auswertungs- und Sammelstelle Kinderpornografie (ZASt Kinderpornografie) erfasst und überwacht die Verbreitungswege einschlägiger Schriften. Ziel ist die Identifizierung ihrer Hersteller und Verbreiter. Außerdem werden im Zusammenhang mit der Verbreitung kinderpornografischer Schriften Tatbeteiligte und Opfer des sexuellen Missbrauchs identifiziert. Im Sinne der Automatisierung der Auswerteprozesse besteht die Möglichkeit der Erfassung und Auswertung des Bildmaterials in einer sogenannten Hashwert-Datenbank. Darüber hinaus erfolgt ein Abgleich mit Bildinhaltsvergleichs-Datenbanken. Ermittlungskommissionen (EK) bearbeiten Verfahren von herausragender Bedeutung. Dies ist der Fall, wenn von Seiten der Täter mit hohem spezifischen Fachwissen agiert wird, ein außergewöhnlicher Modus Operandi⁷⁶ vorliegt oder aber die zu erwartende Schadenssumme sehr hoch ist. Aufgrund der weltweit handelnden und zumeist im Ausland aufhältigen Täter ist dabei in der Regel eine Zusammenarbeit mit dem BKA und ausländischen Ermittlungsbehörden erforderlich. Die Ermittlungskommissionen arbeiten eng mit den Kräften der ZAC und ZIR⁷⁷ zusammen, kurze Kommunikationswege leisten dabei eine effiziente Zusammenarbeit. Neben der anlassbezogenen Beratung von Polizei-, Verwaltungs- und Justizbehörden befasst sich ein weiteres Spezialgebiet mit den kriminalfachlichen Aufgaben der Telekommunikationsüberwachung.⁷⁸

Im BKA soll eine Aufrufeinheit, eine sogenannte „Quick Reaction Force Cybercrime“, bestehend aus Experten der Sicherheitsbehörden von Bund und Ländern und mit Spezialisten aus der Wirtschaft und Wissenschaft, eingerichtet werden.⁷⁹

Das BKA hat am 01.04.2020 die Abteilung „Cybercrime“ (CC) eingerichtet. Die neue Abteilung wird neben den klassischen Zentralstellenaufgaben wie der Koordinierung des internationalen Informationsaustausches zu diesem Phänomenbereich die Analysekompetenz des BKA, etwa bei neuen Cybercrime-Phänomenen und digitalen Angriffsmustern, erweitern. Aber auch Ermittlungen gegen kriminelle Akteure, Netzwerke und Strukturen sollen hier verstärkt geführt werden.⁸⁰

3.5 Personelle Auswirkungen und technische Ausstattung

Die Polizei muss mit dem technischen Fortschritt auf Täterseite mithalten können. Für eine effektive Bekämpfung der Cybercrime ist umfassendes und aktuelles Spezialwissen notwendig. Speziell aus- und fortgebildete Polizeibeamte verfügen über notwendige DV-technische Kenntnisse und über erforderliches „Ermittlungs-Know-how“.

Weitergehende Kenntnisse können für die Ermittlungsbehörden gewonnene IT-Experten, z. B. Ingenieure und Informatiker (Bachelor/Master), einbringen. Entsprechend werden Absolventen geeigneter Hochschulstudiengänge in den Polizeivollzugsdienst integriert.⁸¹ Vor dem Hintergrund der rasanten technologischen Entwicklung hat das IM Baden-Württemberg die Einführung einer besonderen Polizeilaufbahn für Cyberkriminalisten umgesetzt.⁸²

An Partnerhochschulen erfolgt die Aus- und Fortbildung in einschlägigen Studiengängen zur digitalen Forensik. Die IT-Forensik lässt sich in die Post-mortem-Analyse (auch Offline-Forensik) und die Live-Forensik (auch Online-Forensik) einteilen. Das Unterscheidungskriterium liegt bei dieser Betrachtung auf dem Zeitpunkt der Untersuchung. Bei der Post-mortem-Analyse (lat. „nach dem Tod“) werden Spuren im Anschluss an einen Vorfall untersucht (in der Regel anhand von Datenträgerabbildern, sog. Images), während bei der Live-Forensik die Untersuchung evtl. schon während des relevanten Vorfalls, zumindest aber noch am laufenden System erfolgt. Bei der Live-Forensik steht insbesondere die Sicherung flüchtiger Daten im Vordergrund, also Daten, die beim Ausschalten des Systems verloren gehen. Dies sind in erster Linie Daten im Arbeitsspeicher, Informationen zu laufenden Prozessen oder Dienste, verschlüsselte Daten, die während der Laufzeit entschlüsselt sind oder bestehende Verbindungen des Systems innerhalb eines Netzwerks.⁸³

Im Rahmen der allgemeinen Aufbauorganisation werden landesweit, auf regionaler Ebene bei den Polizeipräsidien qualifizierte Ermittlungseinheiten zur Bekämpfung der Cybercrime gebildet.⁸⁴ Entsprechend bearbeiten diese Stellen komplexe Fälle der Cybercrime, wie z. B. das Eindringen in informationstechnische Systeme (Hacking), Denial of Service-Angriffe⁸⁵ und das Verbreiten von Schadsoftware, insbesondere wenn dabei banden- oder gewerbsmäßige Begehungsweisen festgestellt werden. Regelmäßig erfordert die Bearbeitung der Fälle besonderes informationstechnisches Fachwissen sowie besondere technische Beweisführungsmethoden. Zum Aufgabenfeld gehören neben der Sicherung digitaler Spuren und der forensischen Untersuchung von IT-Systemen auch die Aufbereitung und gegebenenfalls Dekryptierung von gesicherten Daten.

Das LKA Baden-Württemberg ist in diesen Bereichen für herausragende Fälle und Großverfahren zuständig, die sich hinsichtlich Komplexität, überregionalen und internationalen Verflechtungen sowie Ermittlungsaufwand deutlich von der Masse abheben.⁸⁶

Die als solche bezeichnete Kriminalistik 2.0 wird für die professionellen Strafverfolger ein permanenter Lernprozess in einer dynamischen Welt sein. Wir brauchen hierfür Mitarbeiterinnen und Mitarbeiter, die in der Lage sind, die digitalen Spuren der Kriminellen aufzunehmen, die Täter zu identifizieren und ihnen ihre Taten nachzuweisen. Spezialdienststellen sollen Erkenntnisse liefern, was im Netz, im Darkweb und in der Underground Economy vor sich geht und wie wir darauf reagieren können. Darauf wollen wir uns verstärkt konzentrieren. Hier benötigen wir Experten wie Informatiker und Cyberanalysten, so der Präsident des BKA.⁸⁷

Die digitalen Spuren sind flüchtig und leicht zu verschleiern. Damit gewinnt die zeitnahe Sicherung und Auswertung solcher Spuren enorm an Bedeutung. Moderne Technologien werden die klassische Ermittlungsarbeit der Polizei in Zukunft wohl noch stärker beeinflussen, als wir uns das heute vorstellen können. Cybercrime stellt die Polizei dabei nicht nur vor qualitative, sondern vor allem auch vor quantitative Probleme. So ist das immer größer werdende Volumen der auszuwertenden Daten eine zunehmende Herausforderung.⁸⁸

Allerdings sind Spezialdienststellen und Experten allein keine ausreichende Antwort auf Cybercrime. „Zukünftig werden wir die Bekämpfung von Cybercrime nicht allein den Spezialisten überlassen können. Unser gesamtes Personal muss bei der Bekämpfung entsprechender Straftaten mitarbeiten können. Cybercrime hat sich zu einer Querschnittskriminalität entwickelt, als eigenständige Deliktsform und als Tatmittel in vielen Phänomenbereichen.“⁸⁹

Verantwortliche fordern nicht nur eine Zusammenarbeit von Staat, Wirtschaft und Forschung, sondern grundlegende Fachkenntnisse bis hinunter in jede Polizeidienststelle.⁹⁰

Es ist erforderlich, den jungen Polizeibeamtinnen und Polizeibeamten die Grundkenntnisse und Grundkompetenzen im Bereich der IuK-Kriminlität zu lehren, damit sie beim Ersten Angriff professionelles Verhalten zeigen können. Dies betrifft z. B. die einzelnen Phänomene, deren strafrechtliche Würdigung, aber auch die IuK-Forensik und die Prävention.⁹¹ Grundkenntnisse sollten auch die polizeiliche Organisationsstruktur und Zuständigkeiten betreffen.

Zur professionellen Verfolgung entsprechender Kriminalitätsformen bedarf es der fortdauernden Aktualisierung der logistischen Ausstattung der Dienststellen. Selbstverständlich ist dabei das flächendeckende Vorhandensein leistungsfähiger Hardware mit Internetzugang. Neben der klassischen Sachbearbeitung sind spezielle Recherche- und Auswertesoftware für bestimmte Dienststellen erforderlich.

Die Polizei muss im Internet ein kompetenter wie präsenter Ansprechpartner sein. Sie sollte auch offen sichtbar soziale Medien als Ort der Präventionsarbeit und der Kommunikation mit dem Nutzer und nicht nur als Ort zur Straftatenverfolgung wahrnehmen. Perspektivisch könnten alle Polizeibeamten, ausgerüstet mit dem Smartphone oder besser mit dem Tablet-PC, ihren virtuellen Dienst antreten, auch aus dem wirklichen Streifenwagen heraus. Die Polizeibeamten würden so zu virtuellen Kontaktbereichsbeamten. Weiterhin könnten in relevanten Medien – gegenwärtig bei Facebook zu beobachten – virtuelle Online-Wachen eingerichtet werden.⁹²

Zwischenzeitlich sind alle Länder- und Bundespolizeien im Netz vertreten. Facebook-Fanpages, Twitter-Seiten und Polizei-Accounts bei Instagram und Snapchat erlauben die Kontaktaufnahme mit der Polizei und bieten andererseits für die Polizei die Möglichkeit, Informationen einsatzbegleitend weiterzugeben. Dem wird auch durch die organisatorischen Rahmenbedingungen – Dienstanweisungen, zentrale Koordination durch Social-Media-Verantwortliche und -Sachbearbeiter, landes- und bundesweite Abstimmung – Rechnung getragen.

3.6 Rechtsgrundlagen

Für die Gefahrenabwehr und Strafverfolgung benötigen wir Gesetze, die sich an den Formen heutiger Kommunikation und Interaktion orientieren. In der virtuellen Welt kann nicht mit den Instrumenten der analogen Welt erfolgreich ermittelt werden. Nicht die Polizei speichert Verkehrsdaten, sondern dies erfolgt bei einer Vielzahl von Providern. Deshalb kann der Staat auch nicht willkürlich auf diese Daten zugreifen oder in Unmengen von Daten willkürlich recherchieren. Nur wenn ein Richter es anordnet, dass zur Bekämpfung schwerer Kriminalität der Zugriff erlaubt ist, werden bestimmte Daten zielgerichtet für die Strafverfolgung nutzbar gemacht.⁹³

Wo die „Straftatenbegehung per Mausklick“ erfolgt, das Internet Katalysator der Straftatenbegehung ist und Daten jeglicher Art Ziel der Ermittlungen sind, ist die „Strafverfolgung durch Mausklick“ der effektive aber auch notwendige Anknüpfungspunkt.⁹⁴

Ziel des seit Juli 2015 gültigen IT-Sicherheitsgesetzes ist, neben der Sicherheit der IT-Systeme speziell im Bereich der Kritischen Infrastrukturen (KRITIS), auch die Verbesserung der IT-Sicherheit bei Unternehmen und in der Bundesverwaltung, sowie ein besserer Schutz der Bürgerinnen und Bürger im Internet. Um diese Ziele zu erreichen, wurden u.a. die Aufgaben und Befugnisse des Bundesamtes für Sicherheit in der Informationstechnik (BSI) ausgeweitet.⁹⁵ Nach ergänzenden Rechtsverordnungen verfolgt die Fortschreibung des IT-Sicherheitsgesetzes eine weitere Stärkung des BSI mittels weitreichender Befugnisse (vgl. IT-Sicherheitsgesetz 2.0). Dazu greift das Gesetz auch in das Straf- und das Strafverfahrensrecht ein (z.B. Strafverschärfungen, Löschverpflichtungen). Dessen Inkrafttreten ist für das Jahr 2020 angekündigt.

Neben den organisatorischen Vorkehrungen gehören die Entwicklung rechtlicher Instrumente und die sachgerechte Anwendung entsprechender Ermächtigungsgrundlagen zu den maßgeblichen Voraussetzungen einer effizienten Bekämpfung der Cybercrime. Materiell strafrechtliche Neuerungen bedürfen der Umsetzung mittels des formellen Rechts.

„Recht ohne Macht ist Ohnmacht und Macht ohne Recht ist Unrecht!“ – Diese Aussage bringt die Wechselbeziehung zwischen einer effizienten Bekämpfungsorganisation und dem rechtlichen Instrumentarium auf den Punkt.

3.6.1 Ermittlungsrelevante Daten

Von primärem polizeilichen Erkenntnisinteresse sind die bei einer Telekommunikation anfallenden Daten. Sie geben Aufschluss über relevante Informationen oder stellen diese selbst dar. Gemäß § 3 Nr. 22 TKG ist Telekommunikation der technische Vorgang des Aussendens, Übermittelns und Empfangens von Signalen mittels Telekommunikationsanlagen. Telekommunikationsanlagen sind technische Einrichtungen oder Systeme, die als Nachrichten identifizierbare elektromagnetische oder optische Signale senden, übertragen, vermitteln, empfangen, steuern oder kontrollieren können (vgl. § 3 Nr. 23 TKG). Zu unterscheiden sind grundsätzlich Verkehrs-, Bestands- und Inhaltsdaten.

Bestandsdaten sind Daten eines Teilnehmers, die für die Begründung, inhaltliche Ausgestaltung, Änderung oder Beendigung eines Vertragsverhältnisses über Telekommunikationsdienste erhoben werden (vgl. § 3 Nr. 3 TKG). Es handelt es sich somit um Daten, die der Anwender bei Vertragsabschluss beim Provider⁹⁶ hinterlegt – Vertragsdaten (Benutzerdaten) z. B. Personalausweis(Kopie/Daten), Adressen, Kontoverbindungen, Rufnummer, Anschlusskennung, örtliche Lage des Festnetzanschlusses, Gerätenummer (IMEI) des Mobiltelefons, soweit dem Kunden bei Vertragsschluss ein solches überlassen wurde, statische IP-Adresse.

Nach § 95 TKG (Vertragsverhältnisse) darf der Diensteanbieter Bestandsdaten erheben und verwenden, soweit dieses zur Erreichung des in § 3 Nr. 3⁹⁷ genannten Zweckes erforderlich ist.

Verkehrsdaten sind Daten, die bei der Erbringung eines Telekommunikationsdienstes erhoben, verarbeitet oder genutzt werden (vgl. § 3 Nr. 30 TKG), z. B. Datum, Uhrzeit, Kennung – IMSI, IMEI, (dynamische) IP-Adresse, (mobile) Standortdaten, genutzter Telekommunikationsdienst. Welche Verkehrsdaten durch den Diensteanbieter gespeichert werden dürfen, ergibt sich aus § 96 TKG.

Inhaltsdaten sind alle tatsächlich übertragenen Daten, die nicht lediglich reine Verbindungs- und Steuerfunktion haben. Als Inhaltsdaten gelten solche, „die menschlich wahrnehmbar sind und zwischen Nutzern ausgetauscht werden“ im Rahmen zwischenmenschlicher Kommunikation, z. B. Inhalte einer E-Mail, Instant-Messenger-Chats, Inhalte von sozialen Netzwerken – Sprache, Text, Zeichen, Bilder, Töne.

Standortdaten sind Daten, die in einem Telekommunikationsnetz oder von einem Telekommunikationsdienst erhoben oder verwendet werden und die den Standort des Endgeräts eines Endnutzers eines öffentlich zugänglichen Telekommunikationsdienstes angeben (vgl. § 3 Nr. 19, § 98 TKG).

3.6.2 Bedeutung der Grundrechte

Zwischen Bestands-, Verkehrs- und Inhaltsdaten besteht eine Abstufung hinsichtlich der Eingriffsintensität in Grundrechte des von der Maßnahme Betroffenen. Die Grundrechte als klassische Abwehrrechte spielen immer dort eine Rolle, wo der Einzelne auf Schutz gegenüber staatlichem Handeln angewiesen ist.

Die Überwachung und Aufzeichnung der Telekommunikation und die Erhebung von Verkehrsdaten greifen in den Schutzbereich des Art. 10 Abs. 1 GG ein. Das Brief-, Post- und Fernmeldegeheimnis – in neuer Terminologie das Telekommunikationsgeheimnis – schützt die Vertraulichkeit der Kommunikation – deren Inhalt und die Verkehrsdaten. Es dient der freien Entfaltung der Persönlichkeit durch die individuelle Fernkommunikation, schützt die Privatsphäre und verbürgt dem Einzelnen mit Blick auf die Menschenwürde und im Interesse seiner Persönlichkeit einen elementaren „digitalen Lebensraum“.⁹⁸ Im Mittelpunkt steht der Begriff des Kommunikationsvorgangs, der Schutz des Art. 10 GG beginnt und endet mit diesem.

Laut § 88 Abs. 1 TKG unterliegen dem Fernmeldegeheimnis der Inhalt der Telekommunikation und ihre näheren Umstände, insbesondere die Tatsache, ob jemand an einem Telekommunikationsvorgang beteiligt ist oder war. Das Fernmeldegeheimnis erstreckt sich auch auf die näheren Umstände erfolgloser Verbindungsversuche.

Die Erhebung von Bestandsdaten greift in den Schutzbereich des Rechts auf informationelle Selbstbestimmung – Art. 2 Abs. 1 i. V. m. Art. 1 Abs. 1 GG ein.⁹⁹ Bestandsdaten unterliegen nicht dem Schutz des Art. 10 GG. Sie stehen nicht in Verbindung mit einem konkreten Telekommunikationsvorgang. Sie sind durch das aus dem allgemeinen Persönlichkeitsrecht abzuleitende Recht auf informationelle Selbstbestimmung geschützt, soweit sie nicht in öffentliche Verzeichnisse eingetragen sind.¹⁰⁰

Das Recht auf Schutz der Vertraulichkeit und Integrität informationstechnischer Systeme (umgangssprachlich auch Computergrundrecht oder IT-Grundrecht genannt) wurde in der BVerfGE zur Online-Durchsuchung vom 27.02.2008 benannt. Ein Eingriff liegt bei Erhebung, Sammlung, Speicherung, Verwendung und Weitergabe von Daten vor, die durch einen Zugriff auf das informationstechnische System, z. B. PC (festinstalliert und tragbar), Smartphone, erlangt wurden, insbesondere wenn dieser heimlich erfolgt.¹⁰¹

Weiterer Grundrechtsschutz ist aus Art. 13 Abs. 1 GG – Unverletzlichkeit der Wohnung, Art. 6 MRK – Recht auf ein faires Verfahren und den Verfahrensgrundrechten, gesetzlicher Richter – Art. 101 Abs. 1 GG, rechtliches Gehör – Art. 103 Abs. 1 GG u. a. gegeben.¹⁰²

3.6.3 Urteil des Bundesverfassungsgerichts zur Online-Durchsuchung

§§ 161, 163 StPO – Ermittlungsgeneralklauseln – dienen Staatsanwaltschaft und Polizei als Rechtsgrundlagen für die Datenerhebung öffentlich frei zugänglicher Kommunikationsinhalte des Internets. Dies resultiert aus der Rechtsprechung des BVerfG zur sogenannten Online-Durchsuchung.¹⁰³ Aus den Leitsätzen lässt sich dazu feststellen:

– Das allgemeine Persönlichkeitsrecht – Art. 2 Abs. 1 i. V. m. Art. 1 Abs. 1 GG – umfasst das Grundrecht der Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme.

– Die heimliche Infiltration eines informationstechnischen Systems (Online-Durchsuchung), mittels derer die Nutzung des Systems überwacht und seine Speichermedien ausgelesen werden können, ist verfassungsrechtlich nur zulässig, wenn tatsächliche Anhaltspunkte einer konkreten Gefahr für ein überragend wichtiges Rechtsgut bestehen. Überragend wichtig sind Leib, Leben und Freiheit der Person oder solche Güter der Allgemeinheit, deren Bedrohung die Grundlagen oder den Bestand des Staates oder die Grundlagen der Existenz der Menschen berührt.

– Die heimliche Infiltration eines informationstechnischen Systems ist grundsätzlich unter den Vorbehalt richterlicher Anordnung zu stellen. Das Gesetz, das zu einem solchen Eingriff ermächtigt, muss Vorkehrungen enthalten, um den Kernbereich privater Lebensgestaltung zu schützen.

– Soweit eine Ermächtigung sich auf eine staatliche Maßnahme beschränkt, durch die die Inhalte und Umstände der laufenden Telekommunikation im Rechnernetz erhoben oder darauf bezogene Daten ausgewertet werden, ist der Eingriff an Art. 10 Abs. 1 GG (Fernmeldegeheimnis) zu messen.

– Verschafft sich der Staat Kenntnis von Inhalten der Internetkommunikation auf dem dafür technisch vorgesehenen Weg, so liegt darin nur dann ein Eingriff in Art. 10 Abs. 1 GG, wenn die staatliche Stelle nicht durch Kommunikationsbeteiligte zur Kenntnisnahme autorisiert ist. Nimmt der Staat im Internet öffentlich zugängliche Kommunikationsinhalte wahr oder beteiligt er sich an öffentlich zugänglichen Kommunikationsvorgängen, greift er grundsätzlich nicht in Grundrechte ein.

Weder das Telekommunikationsgeheimnis¹⁰⁴ (Art. 10 GG) noch das Recht auf informationelle Selbstbestimmung (Art. 2 Abs. 1 i. V. m. Art. 1 Abs. 1 GG) schützen das personengebundene Vertrauen der Kommunikationsbeteiligten hinsichtlich der Identität und Wahrhaftigkeit derselben. Ein derartiges Interesse ist von Verfassung wegen nicht schutzwürdig, soweit im Internet keinerlei Mechanismen bestehen, um die Identität und die Wahrhaftigkeit zu überprüfen. Den Teilnehmern auch an einer länger bestehenden virtuellen Gemeinschaft (z. B. im Rahmen eines Diskussionsforums) ist jederzeit bewusst, dass sie die (wahre) Identität des Gegenübers nicht kennen oder dessen Angaben über sich jedenfalls nicht überprüfen können.¹⁰⁵

Nur in den Fällen einer hinreichend sicheren Identifikation bei der Kommunikation im Internet kommt es auf die Kriterien an, die für eine Abgrenzung des Einsatzes einer Ermittlungsperson als nicht offen ermittelnder Polizeibeamter (noeP) oder verdeckter Ermittler (VE) von Bedeutung sind. Dazu gehören etwa die Häufigkeit des verdeckten Auftretens, die Anzahl der Ermittlungshandlungen, der Umfang der Identitätstäuschung, die Erforderlichkeit der Geheimhaltung der (wahren) Identität des Ermittlers oder die Erforderlichkeit des Betretens der Wohnung des Täters. Bei der hier erforderlichen Bewertung der Gesamtsituation wird neben dem Aufwand der Legendierung (wie etwaiger erforderlicher Maßnahmen gemäß § 110a Abs. 3 StPO) insbesondere auf die Zeitdauer der Teilnahme an geschlossenen Benutzergruppen und der damit verbundenen Vielzahl der Ermittlungshandlungen gegenüber den Teilnehmern der Gruppe abzustellen sein.¹⁰⁶

Die Generalstaatsanwaltschaft Stuttgart differenziert auf Grundlage der Entscheidung des BVerfG zur Online-Durchsuchung nach Fallgruppen.¹⁰⁷ Die Erhebung allgemein zugänglicher Informationen ohne Herstellung einer Kommunikationsbeziehung (z. B. Surfen im Web, Beobachten offener Chats, Abonnieren einer Mailingliste, gezielte Sammlung und Zusammenführung von Informationen aus frei in Datennetzen zugänglichen Inhalten ggfls. im Rahmen von Ermittlungen) erfolgt nach den §§ 161, 163 StPO, bezüglich der Identifizierung von Personen ist § 163b StPO zu prüfen.

Handelt es sich um die Erhebung von Informationen unter Eingehung einer Kommunikationsbeziehung, z. B. durch die (auch längerfristige) legendierte¹⁰⁸ Teilnahme an Chats, stützen sich die Maßnahmen ebenfalls auf §§ 161, 163 StPO. Die legendierte Teilnahme an Chats bei Ausnutzung von schutzwürdigem Vertrauen in die Identität des Gegenübers entspricht dem Einsatz eines sogenannten noeP auf Grundlage der §§ 161, 163 StPO.¹⁰⁹ Gegebenenfalls ist der Einsatz eines Verdeckten Ermittlers (VE) nach § 110a StPO zu prüfen.

Die Chat-Teilnahme innerhalb einer geschlossenen Gruppe, zu der der Zugang von einem Nutzer freiwillig zur Verfügung gestellt wurde und der Beitritt eines Polizeibeamten unter Verheimlichung oder Verschleierung seiner Identität erfolgt, entspricht ebenfalls dem Einsatz eines noeP nach §§ 161, 163 StPO (ggfls. VE nach § 110a StPO prüfen). Erfolgt die verdeckte Aufklärung zugangsgesicherter Kommunikationsinhalte unter Nutzung eines Passworts, das ohne oder gegen den Willen der Kommunikationsbeteiligten erhoben wurde, ist zusätzlich § 100a StPO zu prüfen.

Ausgehend von den grundlegenden Ausführungen des BVerfG in der Entscheidung zur Online-Durchsuchung muss anhand der jeweiligen konkreten Maßnahme im Einzelfall die Grundrechtrelevanz von Ermittlungen im Internet beurteilt und darauf aufbauend eine Prüfung hinsichtlich der in Betracht kommenden Eingriffsermächtigung vorgenommen werden (vgl. Kapitel 3.6.2). Eine gesetzliche Fixierung aller als Ermittlungshandlungen denkbaren Fallgestaltungen wäre gar nicht möglich. Vielmehr sind die Gerichte dazu aufgerufen, eine Abgrenzung zwischen nicht offen ermittelnden Polizeibeamten (§§ 161, 163 StPO) und verdeckten Ermittlern (§§ 110a bis 110c StPO) und eine Konkretisierung hinsichtlich der im jeweiligen Einzelfall zu beachtenden Grenzen vorzunehmen.¹¹⁰