Programme wie Kali Linux, Metasploit, Nmap oder sogenannte Passwort-Cracker gehören für viele IT-Experten, Administratoren und Sicherheitstester zum beruflichen Alltag. Doch genau diese Werkzeuge geraten zunehmend in den Fokus von Ermittlungsbehörden. Wer solche Programme besitzt oder nutzt, kann sich unter Umständen mit strafrechtlichen Vorwürfen konfrontiert sehen – selbst dann, wenn kein tatsächlicher Hackerangriff stattgefunden hat.
Grundlage hierfür ist § 202c des Strafgesetzbuches. Die Vorschrift stellt bereits bestimmte Vorbereitungshandlungen für das Ausspähen oder Abfangen von Daten unter Strafe. Dabei geht es nicht nur um gestohlene Zugangsdaten oder Passwörter, sondern auch um Computerprogramme, die nach Auffassung der Ermittler zur Begehung entsprechender Straftaten eingesetzt werden könnten.
Juristisch ist die Lage allerdings komplex. Viele der betroffenen Programme gelten als sogenannte „Dual-Use-Tools“. Sie können sowohl für legale Zwecke der IT-Sicherheit als auch für rechtswidrige Angriffe genutzt werden. Allein der Besitz solcher Software führt daher nicht automatisch zu einer Strafbarkeit. Entscheidend ist vielmehr, ob Behörden einen konkreten Zusammenhang mit einer geplanten oder beabsichtigten Straftat nachweisen können.
In der Praxis geraten Betroffene häufig durch zusätzliche Umstände ins Visier der Ermittler. Dazu gehören etwa gefundene Zugangsdaten, Chatverläufe über Hackeraktivitäten, Verbindungen zu einschlägigen Online-Foren oder gespeicherte Listen potenzieller Angriffsziele. Erst die Gesamtschau solcher Indizien kann den Verdacht begründen, dass die Software nicht zu legitimen Zwecken verwendet werden sollte.
Für Betroffene beginnt ein Verfahren oftmals mit einer Vorladung oder sogar einer Hausdurchsuchung. Cybercrime-Abteilungen sichern dabei regelmäßig Computer, Smartphones, Festplatten und andere Datenträger, um mögliche digitale Spuren auszuwerten. Experten raten in solchen Situationen zu besonderer Vorsicht. Spontane Erklärungen gegenüber den Ermittlern oder die freiwillige Herausgabe von Passwörtern können die eigene Position erheblich verschlechtern.
Auch bei einer polizeilichen Vorladung gilt grundsätzlich: Beschuldigte müssen einer Einladung der Polizei in der Regel nicht folgen und sind nicht verpflichtet, Angaben zur Sache zu machen. Viele Strafverteidiger empfehlen deshalb, zunächst von ihrem Schweigerecht Gebrauch zu machen und erst nach Akteneinsicht über eine mögliche Stellungnahme zu entscheiden.
Die möglichen Konsequenzen können erheblich sein. § 202c StGB sieht Geldstrafen oder Freiheitsstrafen von bis zu zwei Jahren vor. Hinzu kommen mögliche berufliche und wirtschaftliche Folgen, insbesondere wenn Computer oder Smartphones über längere Zeit beschlagnahmt bleiben oder der Vorwurf die berufliche Reputation beeinträchtigt.
Aus Sicht von Strafrechtlern entscheidet sich der Ausgang solcher Verfahren häufig an der Frage, ob tatsächlich eine rechtswidrige Absicht nachgewiesen werden kann. Wer die betreffenden Programme im Rahmen von Ausbildung, Forschung, Systemadministration oder legalen Sicherheitstests verwendet, verfügt oftmals über gute Verteidigungsansätze. Dennoch zeigt die zunehmende Zahl von Cybercrime-Ermittlungen, dass der Besitz bestimmter IT-Werkzeuge schnell strafrechtliche Aufmerksamkeit auf sich ziehen kann.
Der Fall verdeutlicht, wie schmal der Grat zwischen legitimer IT-Sicherheitsarbeit und strafrechtlichen Verdachtsmomenten geworden ist. Für Betroffene ist deshalb eine frühzeitige rechtliche Prüfung häufig entscheidend, um Missverständnisse zu vermeiden und die eigenen Rechte wirksam zu schützen.
