Das Computerstrafrecht im engeren Sinn besteht aus einer Handvoll Vorschriften. Ausspähen, Abfangen und Hehlerei von Daten in den §§ 202a bis 202d, der Computerbetrug in § 263a, die Fälschung beweiserheblicher Daten in § 269, Datenveränderung und Computersabotage in den §§ 303a und 303b. Dazu kommt die Fälschung von Zahlungskarten in den §§ 152a und 152b, die in der Praxis häufig mit dem Computerbetrug zusammen auftritt.
Wie ungleich diese Vorschriften die Gerichte beschäftigen, zeigt das Rechtsprechungsarchiv dieser Seite. Von den fünfzig Entscheidungen, die dort jetzt stehen, betreffen dreißig den Computerbetrug, zehn die Fälschung beweiserheblicher Daten, je fünf das Ausspähen von Daten und die Datenveränderung, eine einzige die Computersabotage. Manche Entscheidung betrifft mehrere Vorschriften, andere betreffen Zahlungskarten oder Ermittlungsmaßnahmen. Die Auswahl stammt von mir und ist keine Statistik. Das Gefälle bildet sie trotzdem ziemlich genau ab.
Die Tatbestände auf einen Blick
Die Strafrahmen sind am Gesetzestext geprüft, Stand 29. September 2026.
| Vorschrift | Worum es geht | Strafrahmen |
|---|---|---|
| § 202a StGB | Zugang zu besonders gesicherten Daten unter Überwindung der Zugangssicherung | bis drei Jahre |
| § 202b StGB | Abfangen aus nichtöffentlicher Datenübermittlung | bis zwei Jahre |
| § 202c StGB | Vorbereitung mit Passwörtern oder Programmen | bis zwei Jahre |
| § 202d StGB | Datenhehlerei | bis drei Jahre, nicht schwerer als die Vortat |
| § 263a StGB | Computerbetrug | bis fünf Jahre, im besonders schweren Fall sechs Monate bis zehn Jahre, als gewerbsmäßige Bandentat ein bis zehn Jahre |
| § 269 StGB | Fälschung beweiserheblicher Daten | bis fünf Jahre, im besonders schweren Fall sechs Monate bis zehn Jahre, als gewerbsmäßige Bandentat ein bis zehn Jahre |
| § 303a StGB | Datenveränderung | bis zwei Jahre |
| § 303b StGB | Computersabotage | bis drei Jahre, bei Betrieben und Behörden bis fünf Jahre, dort im besonders schweren Fall sechs Monate bis zehn Jahre |
Computerbetrug – der Tatbestand für alles, was ein Automat entscheidet
§ 263a StGB ersetzt beim Betrug den getäuschten Menschen durch die Datenverarbeitung. Strafbar ist, wer das Ergebnis eines Datenverarbeitungsvorgangs beeinflusst, und zwar durch unrichtige Gestaltung des Programms, durch unrichtige oder unvollständige Daten, durch unbefugte Verwendung von Daten oder sonst durch unbefugte Einwirkung auf den Ablauf. Weil heute fast jede Vermögensverfügung irgendwo durch ein Programm läuft, ist die Reichweite dieses Tatbestands enorm. Geldautomat, Onlineshop, Lastschrift, Sportwette und Spielautomat stehen im Rechtsprechungsarchiv nebeneinander.
Schon 1991 hat der Bundesgerichtshof die Logik festgehalten, nach der das funktioniert. Der Automat prüft, was er prüfen kann, und sonst nichts.
„Das äußere Erscheinungsbild der Karte ist bei der durch die Eingabe der Daten aktualisierten Entscheidung, Geld herauszugeben, solange ohne Bedeutung, wie der Automat nicht mit „Sinnesorganen“ ausgestattet ist, die dieses Erscheinungsbild wahrnehmen und verwerten können.“
2 StR 376/91, Rn. 15
Begrenzt wird die Reichweite vor allem über das Merkmal „unbefugt“. Die Rechtsprechung liest es betrugsnah und legt es auch so aus. Unbefugt ist die Verwendung von Daten nur, wenn sie gegenüber einem Menschen eine Täuschung wäre. Wer Karte und PIN vom Kontoinhaber bekommen hat und dann mehr abhebt als vereinbart, begeht deshalb keinen Computerbetrug.
„Hebt jemand an einem Geldautomaten vom Konto eines anderen mit dessen Codekarte und der Geheimnummer Geld ab, so liegt ein Computerbetrug durch unbefugte Verwendung von Daten dann nicht vor, wenn ihm die Daten vom Kontoinhaber überlassen wurden und er lediglich absprachewidrig handelt.“
1 StR 412/02, Rn. 2
Der 4. Strafsenat hat 2016 in einem Hinweis Bedenken gegen diese Linie geäußert, ohne darüber entscheiden zu müssen (4 StR 464/16). Der 5. Strafsenat ist 2025 bei der alten Linie geblieben und hat sie deutlich formuliert.
„„Unbefugt“ handelt nicht schon derjenige, der Daten entgegen dem Willen des Berechtigten verwendet oder die verwendeten Daten rechtswidrig erlangt hat.“
5 StR 262/25, Rn. 4
Die jüngste Wendung betrifft das kontaktlose Bezahlen. Wer mit einer geraubten Girokarte ohne PIN-Eingabe zahlt, gibt nach Ansicht des 5. Strafsenats keine Erklärung über seine Berechtigung ab. Ohne eine solche Erklärung fehlt die Täuschungsähnlichkeit, die der Senat für ein unbefugtes Verwenden verlangt (5 StR 362/25, Rn. 10). Straflos ist das deshalb nicht ohne Weiteres. Derselbe Beschluss sieht den objektiven Tatbestand der Datenveränderung als erfüllt an, weil dem Berechtigten mit der Karte der Zugriff auf die darin gespeicherten Daten genommen wird (Rn. 17). Verurteilt werden konnte deswegen noch nicht, weil Feststellungen zur subjektiven Seite fehlten. Der 4. Strafsenat hat 2026 für Kredit- und Debitkarten ebenso entschieden (4 StR 672/25).
Wo der Computerbetrug endet, beginnt selten die Straflosigkeit, sondern fast immer ein anderer Tatbestand.
Ausspähen von Daten – die Zugangssicherung entscheidet
§ 202a StGB schützt nicht Daten schlechthin, sondern nur Daten, die gegen unberechtigten Zugang besonders gesichert sind, und bestraft nur, wer diese Sicherung überwindet. An diesem Merkmal hängen die Verfahren. Das Auslesen des Magnetstreifens beim Skimming ist nach dem Bundesgerichtshof kein Ausspähen. Die unverschlüsselten Daten auf dem Streifen sind nicht besonders gesichert, und beim bloßen Auslesen verschlüsselter Daten bleibt die Verschlüsselung unangetastet (4 StR 555/09, Rn. 5 bis 8). Umgekehrt schützt es einen Administrator nicht, dass er die Sicherung mühelos umgehen kann.
„Auch wenn eine Zugangssicherung aufgrund besonderer Kenntnisse, Fähigkeiten oder Möglichkeiten schnell und ohne besonderen Aufwand überwunden wird, ist der Tatbestand erfüllt.“
5 StR 614/19, Rn. 24
Für die Verteidigung ist eine andere Entscheidung wichtiger. Der 1. Strafsenat verlangt, dass das Urteil die überwundene Sicherung technisch beschreibt.
„Der pauschale Verweis auf deren Bestehen reicht dafür ohne nähere Darlegung nicht aus, denn eine revisionsgerichtliche Kontrolle der eingangs genannten Voraussetzungen ist nur auf der Grundlage einer ausreichend deskriptiven Darlegung der konkreten tatsächlichen und technischen Umstände möglich.“
1 StR 16/15, Rn. 11
Wer gegen einen Vorwurf nach § 202a StGB verteidigt, verteidigt daher oft zuvorderst gegen eine technische Behauptung der Sicherung. Kenntnisse über die tatsächlichen technischen Gegebenheiten und Abläufe, kombiniert mit dem entsprechenden Grundverständnis der zugrundeliegenden Prinzipien, sind in diesen Fällen beim Strafverteidiger unbedingt erforderlich.
Hackerparagraf – Zweck statt Eignung
§ 202c StGB bestraft die Vorbereitung, unter anderem mit Computerprogrammen, deren Zweck die Begehung einer solchen Tat ist. Eine Kammer des Bundesverfassungsgerichts hat die Vorschrift 2009 bei der Nichtannahme mehrerer Verfassungsbeschwerden eng ausgelegt und Werkzeuge, die für Angriff und Abwehr gleichermaßen taugen, herausgenommen.
„Schon nach dem Wortlaut nicht ausreichend wäre, dass ein Programm – wie das für so genannte dual use tools gilt – für die Begehung der genannten Computerstraftaten lediglich geeignet oder auch besonders geeignet ist.“
2 BvR 2233/07, Rn. 61
Die Unsicherheit für Sicherheitsforscher hat das nicht beseitigt, jedenfalls nicht für diejenigen, die ohne Auftrag des Betreibers eine fremde Lücke prüfen. Das Bundesjustizministerium hat am 4. November 2024 einen Referentenentwurf vorgelegt, der in einem neuen § 202a Abs. 3 StGB die Sicherheitsforschung ausnehmen und in einem neuen Absatz 4 besonders schwere Fälle mit drei Monaten bis fünf Jahren bestrafen sollte. Gesetz ist daraus nicht geworden. Der geltende § 202a StGB hat zwei Absätze, und keiner davon kennt die Sicherheitsforschung.
Über einen Referentenentwurf ist das Vorhaben nie hinausgekommen. Nach dem Bruch der Ampel-Koalition im November 2024 wurde es nicht weiterverfolgt, das Ministerium führt es heute in seinem Gesetzgebungsarchiv. Der Koalitionsvertrag von CDU, CSU und SPD aus dem Jahr 2025 kündigt das Thema erneut an, allerdings nur in einem Satz. „Wir werden im Computerstrafrecht Rechtssicherheit für IT-Sicherheitsforschung schaffen, wobei wir Missbrauchsmöglichkeiten verhindern.“ Auf eine Kleine Anfrage der Grünen hat die Bundesregierung im April 2026 geantwortet, das Justizministerium prüfe derzeit, wie das Vorhaben am besten umgesetzt werden kann, und berücksichtige dabei die Rückmeldungen zum Entwurf von 2024 (BT-Drucksache 21/5456, Antwort zu Frage 16). Einen Zeitplan nannte sie nicht, obwohl danach gefragt war. Einen neuen Entwurf hat das Ministerium bis heute nicht vorgelegt (Stand 30. September 2026).
Datenveränderung und Computersabotage
§ 303a StGB erfasst das Löschen, Unterdrücken, Unbrauchbarmachen und Verändern von Daten. Schon die Einträge, mit denen sich ein Trojaner in der Registry für den automatischen Start einrichtet, verändern Daten (1 StR 412/16). § 303b StGB setzt darauf auf, wenn eine Datenverarbeitung von wesentlicher Bedeutung erheblich gestört wird. Dass das auch private Rechner sein können, wenn die Datenverarbeitung für die Lebensgestaltung des Nutzers eine zentrale Funktion hat, hat der 1. Strafsenat in einem Ransomware-Fall ausgeführt und das Merkmal als Bagatellfilter beschrieben.
„Das einschränkende Merkmal einer Datenverarbeitung „von wesentlicher Bedeutung“ sollte nach dem Willen des Gesetzgebers als Filter für Bagatellfälle dienen, die vom Tatbestand nicht erfasst werden“
1 StR 78/21, Rn. 17
Fälschung beweiserheblicher Daten – es geht um den Aussteller
§ 269 StGB überträgt die Urkundenfälschung auf Daten. Entscheidend ist wie bei § 267 StGB die Täuschung über den Aussteller, nicht die Unwahrheit des Inhalts. Wer über das Kontaktformular einer Internetseite Nachrichten unter dem Namen eines Dritten erzeugt, um sie im Rechtsverkehr als dessen Erklärungen vorzulegen, fälscht beweiserhebliche Daten (6 StR 168/25, Rn. 6). Wer dagegen mit Vollmacht über das Konto eines anderen verkauft, täuscht über niemanden.
„Im Falle der Stellvertretung scheidet eine Strafbarkeit nach § 269 StGB bereits tatbestandlich aus, da bei einem Handeln unter fremdem Namen keine Identitätstäuschung vorliegt“
2 StR 192/23, Rn. 18
Warum die Reichweite für die Verteidigung zählt
Die Frage, welcher Tatbestand erfüllt ist, entscheidet nicht nur über den Strafrahmen. Sie entscheidet auch darüber, welche Ermittlungsmaßnahmen überhaupt zulässig waren. Der Katalog der Telekommunikationsüberwachung in § 100a Abs. 2 StPO nennt den Computerbetrug, aber nur unter den Voraussetzungen des § 263 Abs. 3 Satz 2 StGB und im Fall des § 263 Abs. 5 StGB, also etwa bei gewerbs- oder bandenmäßigem Handeln. Das Ausspähen von Daten, die Datenveränderung und die Computersabotage stehen dort nicht. Eine Überwachung, die auf einen gewerbsmäßigen Computerbetrug gestützt war, steht deshalb auf dem Prüfstand, wenn schon bei der Anordnung nur ein einfacher Computerbetrug oder eine Datenveränderung im Raum stand. Ob die Erkenntnisse dann verwertbar bleiben, ist eine eigene Frage. Gestellt werden muss sie, und zwar von der Verteidigung!
Das Archiv hier lässt sich nach Vorschriften filtern, etwa nach § 263a StGB, § 202a StGB oder § 269 StGB. Die einzelnen Linien bekommen hier eigene Beiträge, beginnend mit Karte, PIN und Geldautomat.
Häufige Fragen
§ 263a Abs. 1 StGB nennt vier Wege, das Ergebnis eines Datenverarbeitungsvorgangs zu beeinflussen, nämlich die unrichtige Gestaltung des Programms, die Verwendung unrichtiger oder unvollständiger Daten, die unbefugte Verwendung von Daten und die sonstige unbefugte Einwirkung auf den Ablauf. Hinzukommen müssen ein Vermögensschaden und die Absicht, sich oder einem Dritten einen rechtswidrigen Vermögensvorteil zu verschaffen.
Nach § 263a Abs. 3 StGB ist auch die Vorbereitung strafbar, wenn jemand Programme, deren Zweck ein Computerbetrug ist, oder geeignete Passwörter und Sicherungscodes herstellt, sich verschafft, feilhält, verwahrt oder überlässt.
„Datenklau“ ist kein Begriff des Gesetzes. Je nach Vorgehen kommen verschiedene Vorschriften in Betracht. Das Ausspähen gesicherter Daten nach § 202a StGB und die Datenhehlerei nach § 202d StGB sind mit Freiheitsstrafe bis zu drei Jahren oder Geldstrafe bedroht, das Abfangen nach § 202b StGB mit bis zu zwei Jahren. Werden die Daten anschließend zu Geld gemacht, etwa durch Abhebungen oder Bestellungen, kommt der Computerbetrug mit bis zu fünf Jahren hinzu, im besonders schweren Fall mit sechs Monaten bis zehn Jahren.
Außerhalb des Strafgesetzbuchs bestraft § 42 BDSG bestimmte unberechtigte Übermittlungen und Verarbeitungen personenbezogener Daten. Diese Taten werden nur auf Antrag verfolgt.
Aus der Rechtsprechung des Bundesgerichtshofs im Archiv dieser Seite stammen etwa das Abheben mit einer gefälschten Codekarte, das Leerspielen eines Geldspielautomaten mit einem rechtswidrig erlangten Programm, fingierte Lastschriften, Bestellungen in automatisierten Onlineshops mit fremden Kartendaten und Online-Bestellungen unter fremden Personalien.
Kein Computerbetrug ist nach der Rechtsprechung dagegen das Abheben mit einer Karte, die der Inhaber freiwillig überlassen hat, und das kontaktlose Bezahlen mit einer fremden Karte ohne PIN-Eingabe.
Nicht für sich genommen. Strafbar wird es, wenn weitere Umstände hinzukommen. Wer unter fremdem Namen Erklärungen abgibt, die im Rechtsverkehr als Erklärungen des anderen gelten sollen, kann beweiserhebliche Daten nach § 269 StGB fälschen. Der Bundesgerichtshof hat das für gefälschte Nachrichten über ein Kontaktformular angenommen. Wer mit Vollmacht des Kontoinhabers handelt, täuscht dagegen nicht über den Aussteller.
Geht es um Geld, liegt ein Betrug oder Computerbetrug nahe. Wer einen Inhalt, der geeignet ist, eine Person verächtlich zu machen, unter Vortäuschung ihrer Urheberschaft verbreitet, kann sich nach § 238 Abs. 1 Nr. 7 StGB wegen Nachstellung strafbar machen, wenn dies wiederholt geschieht und die weiteren Voraussetzungen vorliegen.