Kurz gesagt. Datenhehlerei begeht, wer nicht allgemein zugängliche Daten, die ein anderer durch eine rechtswidrige Tat erlangt hat, sich oder einem anderen verschafft, überlässt, verbreitet oder sonst zugänglich macht, um sich oder einen Dritten zu bereichern oder einen anderen zu schädigen. Die Strafe beträgt bis zu drei Jahre Freiheitsstrafe oder Geldstrafe, darf aber nicht schwerer sein als die für die Vortat. Behörden und Journalisten sind unter Voraussetzungen ausgenommen.
Gesetzestext
§ 202d StGB Datenhehlerei
(1) Wer Daten (§ 202a Absatz 2), die nicht allgemein zugänglich sind und die ein anderer durch eine rechtswidrige Tat erlangt hat, sich oder einem anderen verschafft, einem anderen überlässt, verbreitet oder sonst zugänglich macht, um sich oder einen Dritten zu bereichern oder einen anderen zu schädigen, wird mit Freiheitsstrafe bis zu drei Jahren oder mit Geldstrafe bestraft.
(2) Die Strafe darf nicht schwerer sein als die für die Vortat angedrohte Strafe.
(3) Absatz 1 gilt nicht für Handlungen, die ausschließlich der Erfüllung rechtmäßiger dienstlicher oder beruflicher Pflichten dienen. Dazu gehören insbesondere
1. solche Handlungen von Amtsträgern oder deren Beauftragten, mit denen Daten ausschließlich der Verwertung in einem Besteuerungsverfahren, einem Strafverfahren oder einem Ordnungswidrigkeitenverfahren zugeführt werden sollen, sowie
2. solche beruflichen Handlungen der in § 53 Absatz 1 Satz 1 Nummer 5 der Strafprozessordnung genannten Personen, mit denen Daten entgegengenommen, ausgewertet oder veröffentlicht werden.
Entstehung und Zweck
§ 202d StGB wurde Ende 2015 mit dem Gesetz zur Einführung einer Speicherpflicht und einer Höchstspeicherfrist für Verkehrsdaten eingeführt. Die Hehlerei nach § 259 StGB erfasst nur Sachen. Wer erbeutete Kreditkartendaten, Zugangsdaten oder Kundendatenbanken ankaufte und weiterverkaufte, war deshalb oft nur als Teilnehmer an der Vortat oder gar nicht strafbar. Die Vorschrift soll den Handel mit gestohlenen Daten erfassen und damit den Markt für solche Daten austrocknen.
Die Vorschrift war von Anfang an umstritten, vor allem wegen ihrer Auswirkungen auf Journalisten, die mit geleakten Daten arbeiten. Der Gesetzgeber hat darauf mit der Ausnahme in Absatz 3 reagiert.
Geschütztes Rechtsgut
Geschützt ist das formelle Verfügungsrecht des Berechtigten über die Daten. Die Datenhehlerei setzt die durch die Vortat geschaffene rechtswidrige Lage fort und vertieft sie, weil die Daten weitergereicht werden und immer schwerer zurückzuholen sind.
Der Tatbestand
Nicht allgemein zugängliche Daten
Der Datenbegriff folgt § 202a Abs. 2 StGB. Die Daten dürfen nicht allgemein zugänglich sein. Was jeder ohne besondere Hürden abrufen kann, ist nicht erfasst. Daten, die nach einem Angriff im Internet veröffentlicht wurden, werden aber nicht allein dadurch allgemein zugänglich, dass sie in einschlägigen Foren kursieren.
Durch eine rechtswidrige Tat eines anderen erlangt
Ein anderer muss die Daten durch eine rechtswidrige Tat erlangt haben. Die Vortat muss kein Computerdelikt sein. In Betracht kommen etwa das Ausspähen von Daten, Diebstahl eines Datenträgers, Betrug durch Phishing oder die Verletzung von Geschäftsgeheimnissen. Die Vortat muss tatbestandsmäßig und rechtswidrig sein, schuldhaft muss sie nicht begangen worden sein. Wer die Daten selbst erbeutet hat, kann nicht Hehler seiner eigenen Beute sein.
Tathandlungen
Strafbar ist, wer die Daten sich oder einem anderen verschafft, einem anderen überlässt, verbreitet oder sonst zugänglich macht. Die Handlungen reichen vom Ankauf einer Datensammlung über den Weiterverkauf bis zur Veröffentlichung.
Vorsatz und Absicht
Der Täter muss vorsätzlich handeln, also zumindest billigend in Kauf nehmen, dass die Daten aus einer rechtswidrigen Tat stammen. Hinzukommen muss die Absicht, sich oder einen Dritten zu bereichern oder einen anderen zu schädigen. Wer Daten aus Neugier oder zur Aufklärung sammelt, handelt ohne diese Absicht.
Die Ausnahmen des Absatzes 3
Absatz 3 nimmt Handlungen aus, die ausschließlich der Erfüllung rechtmäßiger dienstlicher oder beruflicher Pflichten dienen. Das Gesetz nennt zwei Beispiele. Amtsträger und ihre Beauftragten, die Daten ausschließlich einem Besteuerungs-, Straf- oder Bußgeldverfahren zuführen, sind nicht strafbar. Das betrifft vor allem den Ankauf von Steuer-CDs. Ebenso ausgenommen sind Journalisten und andere Medienschaffende im Sinne des § 53 Abs. 1 Satz 1 Nr. 5 StPO, soweit sie Daten beruflich entgegennehmen, auswerten oder veröffentlichen. Für andere Berufsgruppen, etwa IT-Sicherheitsforscher, die Datensammlungen aus Angriffen analysieren, fehlt eine ausdrückliche Regelung. Für sie kommt es darauf an, ob sie mit Bereicherungs- oder Schädigungsabsicht handeln.
Strafrahmen und Konkurrenzen
Die Strafe beträgt Freiheitsstrafe bis zu drei Jahren oder Geldstrafe. Sie darf nach Absatz 2 nicht schwerer sein als die für die Vortat angedrohte Strafe. War die Vortat ein Abfangen von Daten nach § 202b StGB, liegt die Obergrenze deshalb bei zwei Jahren. Der Versuch ist nicht strafbar. Werden die angekauften Daten anschließend für Zahlungen eingesetzt, kommt Computerbetrug nach § 263a StGB hinzu.
Strafantrag
Die Tat wird nach § 205 Abs. 1 Satz 2 StGB nur auf Antrag verfolgt, es sei denn, die Strafverfolgungsbehörde bejaht ein besonderes öffentliches Interesse. Beim Tod des Verletzten geht das Antragsrecht nicht auf die Angehörigen über.
Prüfungsschema
- Tatbestand
- Daten im Sinne des § 202a Abs. 2 StGB
- nicht allgemein zugänglich
- von einem anderen durch eine rechtswidrige Tat erlangt
- Tathandlung, also sich oder einem anderen verschaffen, überlassen, verbreiten oder sonst zugänglich machen
- Vorsatz
- Absicht, sich oder einen Dritten zu bereichern oder einen anderen zu schädigen
- Tatbestandsausschluss nach Absatz 3
- Rechtswidrigkeit
- Schuld
- Strafrahmenbegrenzung nach Absatz 2
- Strafantrag oder besonderes öffentliches Interesse nach § 205 StGB
Worauf es in der Verteidigung ankommt
Die Anklage muss die Vortat benennen und beweisen, dass die Daten aus ihr stammen. Das ist schwieriger, als es scheint, weil Datensammlungen im Netz vielfach kopiert, zusammengeführt und neu verpackt werden. Außerdem muss der Beschuldigte die Herkunft zumindest für möglich gehalten und mit Bereicherungs- oder Schädigungsabsicht gehandelt haben. Beides wird häufig nur aus Chatverläufen und Zahlungsflüssen geschlossen.
Stand September 2026. Gesetzestext nach gesetze-im-internet.de. Zurück zur Übersicht der Straftatbestände. Weiter mit § 263a StGB.