Computerdelikte im italienischen Recht
Art. 615-ter stellt den unbefugten Zugriff auf ein geschütztes Informationssystem unter Strafe — und das Verweilen darin gegen den Willen des Berechtigten. Es kommt nicht darauf an, ob etwas beschädigt, kopiert oder verwendet wurde. Wer die Zugangsdaten eines anderen benutzt, auch mit dessen früherer Erlaubnis, kann den Tatbestand erfüllen.
Das Wichtigste in Kürze
- Art. 615-ter erfasst den unbefugten Zugriff auf ein durch Sicherungen geschütztes System.
- Erfasst ist auch das Verweilen im System gegen den ausdrücklichen oder stillschweigenden Willen des Berechtigten.
- Ein Schaden ist nicht erforderlich; der Zugriff als solcher genügt.
- Art. 640-ter erfasst den Computerbetrug mit Vermögensschaden.
- Art. 635-bis und folgende erfassen die Beschädigung von Daten und Systemen.
- Art. 617 folgende erfassen das unbefugte Abfangen von Kommunikation.
- Bei Systemen von öffentlichem Interesse gelten deutlich höhere Strafrahmen.
Der Kern: Zugriff ohne Befugnis
Die italienische Vorschrift ist weiter gefasst, als deutschsprachige Mandanten erwarten. Sie verlangt weder einen Schaden noch eine Bereicherung noch das Überwinden einer besonderen Sicherung im technischen Sinn — es genügt, dass das System durch Sicherungsmaßnahmen geschützt ist und der Zugriff ohne Befugnis erfolgt.
Ebenso erfasst ist das Verweilen: wer befugt eintritt, aber im System bleibt, um Zwecke zu verfolgen, die von der Befugnis nicht gedeckt sind, kann den Tatbestand erfüllen. Das trifft in der Praxis vor allem zwei Gruppen.
- Mitarbeiter und ehemalige Mitarbeiter, die auf Firmensysteme zugreifen — mit gültigen Zugangsdaten, aber zu Zwecken außerhalb ihrer Aufgabe. Der häufigste Fall überhaupt, meist im Zusammenhang mit einem Wechsel zu einem Wettbewerber.
- Angehörige, die auf Konten oder Geräte einer anderen Person zugreifen, oft in familiären Auseinandersetzungen und im Glauben, eine frühere Erlaubnis wirke fort.
Die weiteren Tatbestände
| Vorschrift | Verhalten |
|---|---|
| Art. 615-ter | unbefugter Zugriff auf ein geschütztes System, unbefugtes Verweilen |
| Art. 615-quater | unbefugtes Beschaffen oder Verbreiten von Zugangsmitteln |
| Art. 617-quater folgende | unbefugtes Abfangen und Unterbrechen von Kommunikation |
| Art. 635-bis folgende | Beschädigung von Daten, Programmen und Systemen |
| Art. 640-ter | Computerbetrug mit Vermögensschaden |
| Art. 494 | Annahme einer falschen Identität, auch online |
Bei Systemen von öffentlichem Interesse — Behörden, Versorgung, Gesundheitswesen — steigen die Rahmen erheblich, und die Zuständigkeit verschiebt sich zu spezialisierten Abteilungen der Staatsanwaltschaft.
Wo die Verteidigung ansetzt
Diese Verfahren werden über technische Beweismittel geführt, und dort liegen auch die Angriffspunkte.
- Die Zuordnung. Eine Adresse im Netz identifiziert einen Anschluss, keine Person. Bei geteilten Anschlüssen, offenen Netzen und Firmenumgebungen ist der Schritt von der Adresse zum Nutzer keine Selbstverständlichkeit.
- Die Sicherungskette. Wie wurden die Daten erhoben, wer hatte Zugriff, ist eine forensische Kopie mit Prüfsumme vorhanden?
- Der Umfang der Befugnis. Bei Mitarbeitern ist entscheidend, was der Arbeitsvertrag, die interne Richtlinie und die tatsächliche Praxis erlaubten. Häufig ist die Praxis weiter als die Richtlinie.
- Die Verhältnismäßigkeit der Beschlagnahme. Ob wirklich der gesamte Datenbestand über Jahre gebraucht wird oder ein bestimmter Zeitraum genügt.
Der grenzüberschreitende Fall
Er ist der Regelfall, nicht die Ausnahme: Nutzer in einem Land, Server in einem anderen, Betroffene in einem dritten. Die italienische Zuständigkeit knüpft an mehrere Anknüpfungspunkte an, weshalb ein Verfahren in Italien laufen kann, obwohl niemand dort war.
Für Betroffene aus dem deutschsprachigen Raum bedeutet das häufig zwei parallele Verfahren mit unterschiedlichen Beweisregeln. Was in einem Land eingeräumt wird, liegt kurz darauf in der Akte des anderen — die Abstimmung ist deshalb nicht optional.
Häufige Fragen
Ist der Zugriff strafbar, wenn ich nichts verändert habe?
Ja. Art. 615-ter verlangt weder Schaden noch Bereicherung. Es genügt, dass das System durch Sicherungsmaßnahmen geschützt war und der Zugriff ohne Befugnis erfolgte.
Ich hatte gültige Zugangsdaten.
Das schließt den Vorwurf nicht aus. Erfasst ist auch, wer befugt eintritt, aber im System zu Zwecken verweilt, die von seiner Befugnis nicht gedeckt sind. Entscheidend ist der Umfang der Erlaubnis.
Mein Ex-Arbeitgeber wirft mir Zugriff nach der Kündigung vor.
Das ist die häufigste Konstellation. Maßgeblich sind Arbeitsvertrag, interne Richtlinie und die tatsächlich gelebte Praxis, die oft weiter war als die Richtlinie. Ihre Dokumentation ist die Verteidigung.
Reicht eine IP-Adresse als Beweis?
Sie identifiziert einen Anschluss, keine Person. Bei geteilten Anschlüssen, offenen Netzen und Firmenumgebungen ist der Schritt von der Adresse zum Nutzer eigenständig zu belegen.
Kann ein Verfahren in Italien laufen, obwohl ich nie dort war?
Ja. Die Zuständigkeit knüpft an mehrere Anknüpfungspunkte an, etwa den Ort des Systems oder den Ort des Schadens. Ein Verfahren ohne physische Anwesenheit ist bei diesen Delikten der Regelfall.
Was gilt bei Systemen von Behörden?
Die Strafrahmen steigen erheblich, und die Zuständigkeit verschiebt sich zu spezialisierten Abteilungen der Staatsanwaltschaft. Auch die Ermittlungsbefugnisse sind in diesen Verfahren weiter.
Bekomme ich meine Geräte zurück?
Über den eigenen Rechtsbehelf gegen die Beschlagnahme, mit kurzer Frist. Wirksam ist meist der Antrag, eine forensische Kopie anzufertigen und das Gerät danach herauszugeben.