Jahresreihe Überwachungstechnik und Strafrecht · November · Hardware-Keylogger · Teil 1 von 3
Im Oktober ging es um das Abhören aus der Ferne. Dieser Monat wechselt vom Ohr zur Tastatur. Ein Keylogger zeichnet auf, was jemand tippt. Für die rechtliche Bewertung in den folgenden beiden Teilen genügt ein knappes Verständnis davon, an welcher Stelle er das tut und wo seine Grenzen liegen. Darum geht es hier, nicht um eine Bauanleitung.
Zwei Orte, an denen mitgelesen wird
Tastenanschläge legen einen Weg zurück, von der Tastatur in den Rechner, wo das Betriebssystem sie verarbeitet. An beiden Enden dieses Weges kann mitgelesen werden, und daraus ergeben sich die beiden Grundformen.
- Hardware. Ein kleines Gerät sitzt in der Verbindung zwischen Tastatur und Rechner oder ist in eine Tastatur eingebaut. Es greift die Übertragung auf dem Weg ab. Das Betriebssystem bemerkt es nicht, und eine Software auf dem Rechner findet es nicht, weil es außerhalb des Rechners liegt. Dafür muss jemand körperlichen Zugang zum Gerät haben, um es anzubringen und später wieder zu entfernen oder auszulesen.
- Software. Ein Programm läuft im Betriebssystem und liest die Eingaben dort aus. Es braucht keinen körperlichen Zugang, dafür muss es auf das System gelangen und sich dort halten, und es hinterlässt anders als die Hardware Spuren im System.
Der für das Recht wichtigste Punkt steckt in dieser Unterscheidung. Wer auf dem Übertragungsweg oder unmittelbar bei der Eingabe mitliest, erfasst den Text, bevor der Rechner ihn verschlüsselt oder in ein gesichertes Programm überträgt. Eine Festplattenverschlüsselung oder die Verschlüsselung eines Messengers schützt das Eingetippte an dieser Stelle nicht mehr, denn sie setzt erst später an. Deshalb ordnet der zweite Teil das Mitlesen vor allem dem Abfangen von Daten nach § 202b StGB zu und nicht ohne Weiteres dem Ausspähen besonders gesicherter Daten.
Der Umweg über die Funkstrecke
Eine Sonderform betrifft Funktastaturen. Hier verläuft ein Stück des Weges durch die Luft, und ob dieses Stück geschützt ist, hängt von der Tastatur ab. Öffentlich dokumentierte Sicherheitsforschung hat gezeigt, dass ältere Funktastaturen ihre Eingaben teils unverschlüsselt oder schwach gesichert übertrugen und sich aus einiger Entfernung mitlesen ließen. Bekannt wurde das etwa 2015 unter dem Namen „KeySweeper“ und 2016 unter dem Namen „MouseJack“ (Bastille Networks). Neuere Geräte verschlüsseln die Funkstrecke und schließen das weitgehend aus. Für die Reihe genügt die Feststellung, dass die Funkübertragung einer Tastatur eine Datenübermittlung ist und ihr Mitlesen damit demselben Tatbestand unterfällt wie das Abgreifen am Kabel.
Grenzen und Spuren
Ein Keylogger ist kein Allesseher. Die Hardwarevariante verlangt körperlichen Zugang zum Gerät, zweimal, zum Anbringen und zum Auslesen, und sie ist bei einer Sichtprüfung der Anschlüsse auffindbar. Petersens Handbuch beschreibt als Beispiel einen Chip, der in einem kurzen Kabelstück verborgen war, bis zu 1.000 Tastenanschläge speicherte und zum Auslesen abgeholt und an einen Rechner angeschlossen werden musste. Die Softwarevariante muss auf das System gelangen und hinterlässt dort Spuren, die eine forensische Untersuchung finden kann. Solche Programme erfassen nach Petersen neben den Tasten oft auch Passworteingaben, aufgerufene Programme und Webseiten, manche vermerken zusätzlich das jeweils aktive Programm und die Zeit seiner Nutzung. Beide erfassen nur, was über diese eine Tastatur eingegeben wird, nicht, was per Spracheingabe, Einfügen aus der Zwischenablage oder an einem anderen Gerät geschieht.
Das ist für die Verteidigung bedeutsam, weil es zeigt, was ein Protokoll beweist und was nicht. Es belegt, dass an einem bestimmten Gerät bestimmte Zeichen eingegeben wurden. Es belegt nicht, wer die Tastatur bediente. Und es ist, wie jede aus einem Gerät gewonnene Datei, das Ergebnis einer Aufzeichnung, die vollständig oder lückenhaft, unverändert oder bearbeitet sein kann.
Der zweite Teil am 8. November ordnet das strafrechtlich ein, von § 202b StGB über § 202a StGB bis zur Vorfeldstrafbarkeit des § 202c StGB. Der dritte Teil am 15. November behandelt den Keylogger am Arbeitsplatz und die Verwertbarkeit.
Häufige Fragen
Ein Hardware-Keylogger ist ein Gerät, das in der Verbindung zwischen Tastatur und Rechner sitzt oder in eine Tastatur eingebaut ist und die Tastatureingaben auf dem Übertragungsweg aufzeichnet. Anders als ein Keylogger-Programm läuft er außerhalb des Betriebssystems, wird von einer Software auf dem Rechner nicht gefunden, braucht dafür aber körperlichen Zugang zum Gerät zum Anbringen und Auslesen.
An der Stelle der Eingabe nicht. Wer die Tastatureingaben am Übertragungsweg oder unmittelbar bei der Eingabe mitliest, erfasst den Text, bevor der Rechner ihn verschlüsselt. Eine Festplatten- oder Messenger-Verschlüsselung setzt erst später an und schützt das Eingetippte an dieser Stelle nicht. Die Funkstrecke einer Tastatur kann dagegen verschlüsselt sein, bei neueren Geräten ist sie es in der Regel.
Teilweise. Ein Hardware-Keylogger lässt sich bei einer Sichtprüfung der Anschlüsse zwischen Tastatur und Rechner finden. Eine Keylogger-Software hinterlässt Spuren im System, die eine forensische Untersuchung aufdecken kann. Sicher ausschließen lässt sich eine Protokollierung nie allein durch Hinsehen, weshalb im Streitfall die technische Untersuchung des Geräts entscheidend ist.
Es beweist, dass an einem bestimmten Gerät bestimmte Zeichen eingegeben wurden. Es beweist nicht, wer die Tastatur bediente, und es erfasst nur Eingaben über diese eine Tastatur, nicht etwa Spracheingaben oder das Einfügen aus der Zwischenablage. Als aus einem Gerät gewonnene Datei kann es außerdem vollständig oder lückenhaft, unverändert oder bearbeitet sein.
Technik nach J. K. Petersen, Handbook of Surveillance Technologies, 3. Aufl., CRC Press 2012, Kap. 18, soweit nicht anders verlinkt. Keine Rechtsberatung im Einzelfall. Stand 9. Oktober 2026.