A24 Neu: Die Hacker-Paragraphen (§202a ff. StGB) gerechter gestalten, unsere Gesellschaft schützen.

Nicht zuletzt seit dem völkerrechtswidrigen Überfall auf die
Ukraine nehmen Cyber-Attacken auf alle Bereiche der Gesellschaft
zu. Uns vor diesen zu schützen, sollte unser tiefstes
Eigeninteresse sein. Doch anstatt diejenigen, die in guter Absicht
Zivilcourage betreiben, indem sie Sicherheitslücken suchen, finden
und diese melden, zu schützen, verfolgen wir sie strafrechtlich
genau so wie diejenigen, die in digitale Systeme eindringen, um
Schaden anzurichten und/oder Daten zu stehlen. Dies muss sich
ändern! Diejenigen, die in Zeiten hybrider Kriegsführung zur
Souveränität der deutschen Gesellschaft und Wirtschaft beitragen,
sollen die Rechtssicherheit haben, dass ihr couragiertes Handeln
nicht zu strafrechtlichen Verfolgungen führt. Die juristische
Umsetzung ist dringend geboten, bereits seit einigen Jahren weist
die rechtswissenschaftliche Lehre und Rechtssprechung auf den
Reformbedarf hin. Kernfrage ist hierbei, ob es die korrekte
Ansicht des Rechts ist, wenn
Sicherheitsanalystinnen Schuld auf sich laden, selbst wenn ihre
Handlungen ausschließlich der Schließung von Sicherheitslücken
dienen und dafür erforderlich sind. Auch differenziert die
aktuelle rechtliche Normierung nicht zwischen schweren Straftätern
und solchen, die weniger Schuld auf sich geladen haben, wobei die
Obergrenze des Strafmaßes als zu gering bemängelt wird. Im Jahr
2024 lag diesbezüglich bereits ein entsprechender
Referentenentwurf im Bundesministerium für Justiz und
Verbraucherschutz (BMJV) vor. Leider konnte die Gesetzesnovelle
nicht vor dem Ende der Ampel-Regierung in den Gesetzgebungsprozess
eingebracht werden. Ebenfalls muss bei Betrachtung des
Referentenentwurfes bemängelt werden, dass dieser lediglich für
IT-Sicherheitsexpert*Innen eine Tatbestandsbefreiung sowie
Qualifikation für schwere Straftaten vorsieht, bestehende
Rechtslücken allerdings nicht schließt, beispielsweise die
fehlende Versuchsstrafbarkeit sowie die fehlende Bestrafung von
Eindringen in Systeme unter Verwendung gestohlener Passwörter.
Zur besseren Verdeutlichung der wesentlichen Merkmale unserer
Reformvorschläge ist der folgende Gesetzestext enthalten, von dem
im konkreten Fall eines Dissens bei der Umsetzung dieses
Beschlusses inhaltlich und sprachlich abgewichen werden darf,
sofern die Wesenszüge des Antrages unberührt bleiben:
Das Strafgesetzbuch in der Fassung der Bekanntmachung vom 13.
November 1998
(BGBl. I S. 3322), das zuletzt durch Artikel 2 des Gesetzes vom
30. Juli 2024
(BGBl. 2024 I Nr. 255) geändert worden ist, wird wie folgt
geändert:
Um Platz für den neuen Absatz (2) zu schaffen, wird der vorhandene
Absatz (2) zum neuen Absatz (3). Um die Strafbarkeitslücke
zwischen vorbereitender Handlung und vorsätzlicher Begehungstat zu
füllen, wird in Absatz (4) der Versuch ebenfalls strafrechtlich
verfolgt.
Es wird hinzugefügt: „(4) Der Versuch ist strafbar.“

Änderung Nr.1:
Der § 202a wird in Absatz 1 folgendermaßen ergänzt:
"Wer unbefugt sich oder einem anderen Zugang zu Daten, die nicht
für ihn bestimmt und die gegen unberechtigten Zugang besonders
gesichert sind, unter Überwindung der Zugangssicherung verschafft,
wird mit Freiheitsstrafe bis zu drei Jahren oder mit Geldstrafe
bestraft.
(2) Ebenso wird bestraft, wer unbefugt sich oder einem anderen
unter Anwendung von technischen Mitteln nicht für ihn bestimmte
Daten aus einem nichtöffentlichen Informationssystem verschafft,
einem Dritten zugänglich macht oder der Öffentlichkeit
zugänglich macht.“
Dem § 202a werden die folgenden Absätze 5 und 6 angefügt:
„(5) Die Handlung ist nicht unbefugt im Sinne des Absatzes 1, wenn
1. sie in der Absicht erfolgt, eine Schwachstelle oder ein anderes
Sicherheitsrisiko eines informationstechnischen Systems
(Sicherheitslücke) festzustellen und die für das
informationstechnische System Verantwortlichen, den betreibenden
Dienstleister des jeweiligen Systems, den Hersteller der
betroffenen IT-Anwendung oder das Bundesamt für Sicherheit in der
Informationstechnik über die festgestellte Sicherheitslücke zu
unterrichten und
2. sie zur Feststellung der Sicherheitslücke erforderlich ist.
(6) In besonders schweren Fällen des Absatzes 1 ist die Strafe
Freiheitsstrafe von drei Monaten bis zu fünf Jahren. Ein besonders
schwerer Fall liegt in der Regel vor, wenn der Täter
1. einen Vermögensverlust großen Ausmaßes herbeiführt,
2. aus Gewinnsucht oder gewerbsmäßig handelt oder als Mitglied
einer Bande, die sich zur fortgesetzten Begehung von solchen Taten
verbunden hat oder 3. durch die Tat die Verfügbarkeit,
Funktionsfähigkeit,
Integrität, Authentizität oder Vertraulichkeit einer kritischen
Infrastruktur oder die Sicherheit der Bundesrepublik Deutschland
oder eines ihrer Länder beeinträchtigt.“
Änderung Nr. 2:
§ 202b wird wie folgt geändert:
a) Der Wortlaut wird Absatz 1.
b) Folgender Absatz 2 wird angefügt: „§ 202a Absatz 5 und 6 gilt
entsprechend.“
c) Absatz 3 wird geschaffen: „(3) Der Versuch ist strafbar.“
Änderung Nr.3
Der § 303a wird abgeändert gefasst:
„(1) Mit Freiheitsstrafe bis zu zwei Jahren oder mit Geldstrafe
wird bestraft, wer
1. unbefugt Daten löscht, unterdrückt, unbrauchbar macht,
verändert, oder
2. unbefugt einen Programmcode in ein Informationssystem
einschleust.
(2) Der Versuch ist strafbar.
(3) Für die Vorbereitung einer Straftat nach Abs.1 gilt § 202c
entsprechend.“
Eine Verfolgungsabsicht dieser Novelle kann bei der aktuellen
Bundesregierungskoalition nicht erkannt werden. Sie verzichtet
somit auf die Möglichkeit, Deutschland im digitalen Raum ohne
zusätzliche finanzielle Belastung sicherer zu gestalten. Ein
solches Handeln ist grob fahrlässig und in der aktuellen Zeit
hybrider Kriegsführung Russlands gegen Deutschland und seine
Partner ein inakzeptables Sicherheitsrisiko.
Daher möge der Landesparteitag von BÜNDNIS 90/DIE GRÜNEN
Schleswig-Holstein folgendes beschließen: BÜNDNIS 90/DIE GRÜNEN
Schleswig-Holstein wird sich, sofern die Bundesregierung weiterhin
ein Handeln unterlässt, im Rahmen der Beteiligung an
der Landesregierung in Schleswig-Holstein für eine
Gesetzesinitiative im Bundesrat einsetzen, die den genannten
Referentenentwurf in der o.g. abgewandelten Version weiter
verfolgt.