Kurz gesagt. Strafbar ist, wer sich oder einem anderen unbefugt Zugang zu Daten verschafft, die nicht für ihn bestimmt und gegen unberechtigten Zugang besonders gesichert sind, und dabei die Zugangssicherung überwindet. Die Strafe beträgt bis zu drei Jahre Freiheitsstrafe oder Geldstrafe. Die Tat wird grundsätzlich nur auf Strafantrag verfolgt. Eine Ausnahme für IT-Sicherheitsforschung gibt es nicht.
Gesetzestext
§ 202a StGB Ausspähen von Daten
(1) Wer unbefugt sich oder einem anderen Zugang zu Daten, die nicht für ihn bestimmt und die gegen unberechtigten Zugang besonders gesichert sind, unter Überwindung der Zugangssicherung verschafft, wird mit Freiheitsstrafe bis zu drei Jahren oder mit Geldstrafe bestraft.
(2) Daten im Sinne des Absatzes 1 sind nur solche, die elektronisch, magnetisch oder sonst nicht unmittelbar wahrnehmbar gespeichert sind oder übermittelt werden.
Entstehung und Zweck
§ 202a StGB wurde 1986 mit dem Zweiten Gesetz zur Bekämpfung der Wirtschaftskriminalität eingeführt. In der ursprünglichen Fassung war strafbar, wer sich die gesicherten Daten selbst verschaffte. Seit dem 41. Strafrechtsänderungsgesetz von 2007 genügt es, dass der Täter sich den Zugang zu den Daten verschafft. Damit ist das bloße Eindringen in ein gesichertes System erfasst, auch wenn der Täter keine Daten kopiert oder zur Kenntnis nimmt. Hinzu kam das Merkmal „unter Überwindung der Zugangssicherung“.
Die Vorschrift soll Daten im Stadium der Speicherung und der Übermittlung vor unbefugtem Zugriff schützen. Digitale Datenbestände lassen sich in kürzester Zeit durchsuchen, kopieren und weitergeben. Gerade deshalb setzt der Schutz früh an, nämlich beim Zugang.
Geschütztes Rechtsgut
Geschützt ist das formelle Interesse des Verfügungsberechtigten, allein darüber zu bestimmen, wer auf seine Daten zugreifen darf. Vereinzelt wurde vertreten, § 202a StGB schütze nur Daten mit wirtschaftlichem Wert und sei damit ein Vermögensdelikt. Dagegen sprechen Wortlaut und Stellung der Vorschrift. Das Gesetz verlangt keinen Wert der Daten, sondern nur ihre besondere Sicherung. Und der Gesetzgeber hat die Vorschrift nicht bei den Vermögensdelikten eingeordnet, sondern im 15. Abschnitt des Strafgesetzbuchs, der die Verletzung des persönlichen Lebens- und Geheimbereichs betrifft. Vorbild waren die §§ 201 und 202 StGB, die ebenfalls die Privatsphäre schützen. Erfasst sind deshalb private Daten ohne jeden Wert ebenso wie Geschäftsdaten, Forschungsergebnisse oder Kalkulationen.
Der Tatbestand
Daten
Absatz 2 enthält die Begriffsbestimmung, auf die das ganze Computerstrafrecht verweist. Daten sind nur solche, die elektronisch, magnetisch oder sonst nicht unmittelbar wahrnehmbar gespeichert sind oder übermittelt werden. Ein Ausdruck ist deshalb kein Datum im Sinne der Vorschrift, die Datei, aus der er stammt, dagegen schon. Erfasst sind gespeicherte Daten auf jedem Träger, vom Server bis zum Mobiltelefon, und Daten auf dem Übertragungsweg.
Nicht für den Täter bestimmt
Die Daten müssen fremd sein. Es kommt auf den Willen dessen an, der über die Daten verfügen darf, nicht auf das Eigentum an dem Gerät, auf dem sie liegen. Daten auf dem Dienstrechner können deshalb für den Mitarbeiter bestimmt sein, der ihn benutzt, und zugleich für einen Kollegen nicht bestimmt sein, obwohl beide denselben Rechner benutzen. Wer für bestimmte Daten eine Berechtigung hat, handelt tatbestandslos, auch wenn er sie zu anderen Zwecken nutzt als vorgesehen. Ob der Missbrauch einer eingeräumten Berechtigung anders strafbar ist, etwa als Untreue oder nach dem Geschäftsgeheimnisgesetz, ist eine andere Frage.
Besondere Sicherung gegen unberechtigten Zugang
Die Daten müssen gegen unberechtigten Zugang besonders gesichert sein. Das sind Vorkehrungen, die gerade den Zweck haben, Unbefugte fernzuhalten, und die den Zugang nicht nur unerheblich erschweren. Typisch sind Passwörter, Verschlüsselung, biometrische Sperren und Zugangskontrollen in Netzwerken. Die Sicherung muss nicht unüberwindbar sein. Sie muss aber als Schutz erkennbar und dazu bestimmt sein. Offen im Internet abrufbare Daten sind nicht besonders gesichert, auch wenn der Betreiber sie nicht veröffentlichen wollte. Wer eine Adresse errät oder eine öffentlich erreichbare Datenbank ohne Passwort findet, überwindet keine Sicherung.
Zugang verschaffen unter Überwindung der Zugangssicherung
Der Täter muss sich oder einem anderen den Zugang verschaffen, also die Möglichkeit, auf die Daten zuzugreifen. Ob er sie tatsächlich liest oder kopiert, ist gleichgültig. Die Sicherung muss dabei überwunden werden. Daran fehlt es, wenn der Zugang auf einem Weg erlangt wird, den die Sicherung gar nicht versperrt. Überwunden wird die Sicherung auch dann, wenn der Täter ein fremdes Passwort benutzt, das er erraten, abgefangen oder durch Täuschung erlangt hat.
Unbefugt
Unbefugt handelt, wer ohne Einverständnis des Berechtigten und ohne gesetzliche Befugnis handelt. Wer im Auftrag des Berechtigten ein System prüft, handelt befugt. Deshalb entscheidet bei Penetrationstests der Auftrag über die Strafbarkeit. Er sollte schriftlich vorliegen, die Systeme und Methoden bezeichnen und von jemandem stammen, der über die Systeme tatsächlich verfügen darf. Ermittlungsbehörden handeln befugt, soweit eine Ermächtigungsgrundlage der Strafprozessordnung sie deckt.
Vorsatz
Bedingter Vorsatz genügt. Der Täter muss insbesondere wissen oder billigend in Kauf nehmen, dass die Daten nicht für ihn bestimmt und besonders gesichert sind. Wer glaubt, er sei zum Zugriff berechtigt, etwa weil ihm ein Zugang überlassen wurde, handelt ohne Vorsatz.
Strafrahmen, Versuch und Konkurrenzen
Die Strafe beträgt Freiheitsstrafe bis zu drei Jahren oder Geldstrafe. Der Versuch ist nicht strafbar. Weil schon der Zugang die Tat vollendet, spielt das in der Praxis kaum eine Rolle. Vorbereitungshandlungen erfasst § 202c StGB gesondert. Das Ausspähen ist häufig nur der erste Schritt. Werden die erlangten Zugangsdaten zu Zahlungen verwendet, kommt Computerbetrug nach § 263a StGB hinzu, werden Daten verändert oder gelöscht, Datenveränderung nach § 303a StGB. Geht es um Betriebsgeheimnisse, ist das Geschäftsgeheimnisgesetz zu prüfen.
Strafantrag
Nach § 205 Abs. 1 Satz 2 StGB wird die Tat nur auf Antrag verfolgt, es sei denn, die Strafverfolgungsbehörde hält wegen des besonderen öffentlichen Interesses ein Einschreiten von Amts wegen für geboten. Stirbt der Verletzte, geht das Antragsrecht nach § 205 Abs. 2 StGB nicht auf die Angehörigen über. Die Antragsfrist beträgt nach § 77b StGB drei Monate ab Kenntnis von Tat und Täter. Ein fehlender oder verspäteter Antrag ist ein Verfahrenshindernis, das in der Praxis oft übersehen wird.
Prüfungsschema
- Tatbestand
- Daten im Sinne des § 202a Abs. 2 StGB, also elektronisch, magnetisch oder sonst nicht unmittelbar wahrnehmbar gespeichert oder übermittelt
- nicht für den Täter bestimmt
- gegen unberechtigten Zugang besonders gesichert
- Zugang verschafft, für sich oder einen anderen
- unter Überwindung der Zugangssicherung
- Vorsatz
- Rechtswidrigkeit, insbesondere „unbefugt“ und Einverständnis des Berechtigten
- Schuld
- Strafantrag oder besonderes öffentliches Interesse nach § 205 StGB
IT-Sicherheitsforschung und der Stand der Reform
Wer ohne Auftrag eine Sicherheitslücke findet und dabei eine Sicherung überwindet, erfüllt den Tatbestand, auch wenn er die Lücke nur melden will. Das Bundesministerium der Justiz hat im November 2024 einen Referentenentwurf zur Modernisierung des Computerstrafrechts vorgelegt, der das Aufspüren von Sicherheitslücken unter Voraussetzungen straflos stellen sollte. Der Entwurf ist mit dem Ende der damaligen Koalition nicht weiterverfolgt worden. Nach Auskunft der Bundesregierung vom April 2026 ist im Koalitionsvertrag vereinbart, Rechtssicherheit für die IT-Sicherheitsforschung zu schaffen, und das Ministerium prüft die Umsetzung. Einen Zeitplan gibt es nicht (BT-Drucksache 21/5456). Stand September 2026 gilt § 202a StGB unverändert.
Worauf es in der Verteidigung ankommt
Der Streit dreht sich meist um zwei Punkte. Der erste ist die besondere Sicherung. Nicht jede Hürde ist eine Zugangssicherung im Sinne des Gesetzes und nicht jede Umgehung überwindet sie. Der zweite ist die Frage, wer gehandelt hat. Zugriffe werden über Protokolle, IP-Adressen und die Auswertung von Geräten zugeordnet. Diese Zuordnung ist ein technischer Schluss, kein Beweis aus sich heraus. Wer ihn angreifen will, braucht die Rohdaten und nicht nur den Auswertungsbericht der Ermittler.
Häufige Fragen
Ist es strafbar, ein fremdes, ungesichertes WLAN zu benutzen?
Nach § 202a StGB grundsätzlich nicht, weil ein offenes Netz nicht besonders gesichert ist und keine Sicherung überwunden wird. Wer ein Passwort errät oder knackt, überwindet dagegen eine Sicherung.
Macht sich strafbar, wer das Mobiltelefon des Partners entsperrt und liest?
Wenn das Telefon mit einer PIN oder biometrisch gesperrt ist und der Täter die Sperre ohne Einverständnis überwindet, ist der Tatbestand in aller Regel erfüllt. Dass beide in einem Haushalt leben, ändert daran nichts. Kannte der Täter die PIN, weil sie ihm anvertraut wurde, kommt es darauf an, ob er das Telefon benutzen durfte.
Stand September 2026. Gesetzestext nach gesetze-im-internet.de. Zurück zur Übersicht der Straftatbestände. Weiter mit § 202b StGB.