Fragen und Antworten zum #Hackerangriff (FAQ)
Am 04.01.2019 wurde bekannt, dass Hacker tausende private Datensätze von Politikern, Journalisten und Prominenten gestohlen und im Internet veröffentlicht haben. Dr. Jonas Kahl (@jonaskahl), Rechtsanwalt im Medienrecht und Peter Hense (@peterhense), Rechtsanwalt im IT-Sicherheits- und Datenschutzrecht, beide bei SPIRIT LEGAL LLP in Leipzig, beantworten nachfolgend in Kürze die wichtigsten Rechtsfragen zu dem bisher wohl umfassendsten Sicherheitsleck in der deutschen Politikgeschichte.
Die Liste wird fortlaufend aktualisiert.
1. Warum ist das Hacken von privaten Daten rechtswidrig?
Jonas Kahl: Durch das Hacken von Computern, Handys und E-Mail-Postfächern Dritter wird in deren höchstpersönlichen Lebensbereich eingegriffen, ohne dass hierfür eine Einwilligung der Betroffenen vorliegt. Dies ist strafrechtlich als auch zivilrechtlich unzulässig, Wer eine solche Tat fördert, bei der Begehung mithilft oder wer sich an der Verbreitung von gehackten Informationen beteiligt haftet ebenfalls.
2. Warum ist das Veröffentlichen dieser privaten Daten im Internet rechtswidrig?
Jonas Kahl: Bei den veröffentlichten Daten handelt es sich um private E-Mails, Kommunikations-Verläufe, Fotos und sonstige Dokumente und Informationen, die allesamt von den Beteiligten nie für die Öffentlichkeit bestimmt waren, sondern nach deren mutmaßlichen Willen privat bleiben sollten. Sie sind der Privat- oder sogar der Intimsphäre der Betroffenen zuzuordnen. Derart private Informationen dürften grundsätzlich nur mit Zustimmung der Betroffenen veröffentlicht werden. Anderenfalls stellt die Veröffentlichung einen Eingriff in das Allgemeine Persönlichkeitsrecht der Betroffenen dar.
Zulässig kann ein Veröffentlichen einzelner der bekannt gewordenen Informationen allenfalls dann sein, wenn es ein öffentliches Interesse an diesen Informationen gibt und die Pressefreiheit das Persönlichkeitsrecht des Betroffenen überwiegt, beispielsweise wenn dadurch etwaiges erhebliches Fehlverhalten von Amtsträgern, wie Korruptionsstraftaten oder ähnliches, aufgedeckt würde.
3. Was können Betroffene tun, deren Daten im Internet veröffentlicht werden?
Jonas Kahl: Betroffene, die durch die Veröffentlichung ihrer Dokumente in ihrem Allgemeinen Persönlichkeitsrecht verletzt sind, können Ansprüche auf Löschung gegen jeden Uploader und/oder Verbreiter der Dokumente geltend machen. Ebenso kommen Unterlassungs- und Geldentschädigungsansprüche in Betracht. Ein Löschungsanspruch steht den Betroffenen im Übrigen auch gegen die Social-Media-Plattformen und Hoster zu, über welche die Links und Daten verbreitet werden. Hier gilt es, schnell zu handeln.
4. Ist es Nutzern erlaubt, Links zu den Datensätzen weiterzuverbreiten und in sozialen Medien zu teilen?
Jonas Kahl: Jedermann sollte bewusst sein, dass die Veröffentlichung der Datensätze rechtswidrig ist. Werden die Datensätze von Nutzern verlinkt oder geteilt, stellt das ebenfalls eine rechtswidrige Handlung dar und die Nutzer können vom Betroffenen ebenfalls auf Löschung und Unterlassung in Anspruch genommen werden. Im Klartext: Das Retweeten, Teilen und jede sonstige Verbreitung dieser Links sind rechtswidrig und können zu strafrechtlicher Verurteilung führen sowie zivilrechtliche Ansprüche auslösen.
5. Ist das Hacken und Verbreiten der Daten strafbar?
Jonas Kahl: Im Hinblick auf die bislang bekannt gewordenen Geschehnisse kommen hier gleich eine ganze Reihe von potentiellen Straftatbeständen des Strafgesetzbuches (StGB) in Betracht.
In Rede stehen hier die Straftatbestände der Computersabotage (§ 303b StGB), die Verletzung des höchstpersönlichen Lebensbereichs durch Bildaufnahmen (§ 201a StGB), die Verletzung der Vertraulichkeit des Wortes (§ 201 StGB), das Ausspähen von Daten (§ 202a StGB), das Abfangen von Daten (§ 202b StGB) oder auch das Vorbereiten des Ausspähens und Abfangens von Daten (§ 202c StGB).
6. Sind die Betroffenen verpflichtet, das Verbreiten ihrer gestohlenen Daten im Internet bei den Datenschutzbehörden anzuzeigen?
Jonas Kahl: Sind in den gehackten Daten nicht nur persönliche Daten der Betroffenen enthalten, sondern auch Daten von Dritten, sind die Betroffenen möglicherweise aufgrund ihrer Stellung nach Art. 33 DSGVO verpflichtet, den Datendiebstahl unverzüglich und möglichst binnen 72 Stunden, nachdem ihnen die Verletzung bekannt wurde, an die zuständige Datenschutz-Aufsichtsbehörde zu melden, sofern die Meldung nicht bereits anderweitig erfolgt ist. Gleiches gilt für die Organisationen, in denen die Betroffenen arbeiten oder denen sie angehören.
7. Die Behörden ermitteln, Anwälte sind eingeschaltet, ist die Gefahr nun gebannt?
Peter Hense: Nach bisherigen Informationen beinhalten die Leaks Daten bis in den Spätherbst 2018. Das ist kein Grund, sich heute in Sicherheit zu wiegen. Wer im Herbst 2018 gehackt wurde, ist auch heute noch kompromittiert. Dies gilt auch für mit den Betroffenen verbundene Familienmitglieder, Mitarbeiter, Geschäftspartner und Berater. Die geleakten Daten sind vermutlich nur ein Auszug aus einem Pool von wesentlich mehr Daten einer Vielzahl von Betroffenen und damit die buchstäbliche „Spitze des Eisbergs“. Hier ist bei allen Beteiligten und potenziell Betroffenen sofortiges Handeln erforderlich, insbesondere dürfen kompromittierte Systeme nicht mehr für Kommunikation genutzt werden oder um z.B. Passwörter zu ändern.
8. Wie weit reicht der Hack?
Peter Hense: Any exploit is a total exploit. Auch wenn scheinbar nur eine E-Mail-Adresse und ein Passwort gehackt und geleakt wurden, müssen Betroffene davon ausgehen, dass ihr gesamtes digitales Leben inklusive aller Accounts in Social Media, Banken, Hoster, Cloudspeicher wie Dropbox sowie sonstigen Kommunikation kompromittiert wurde und bis heute kompromittiert ist. Im Zweifel gilt das auch für alle Kommunikationspartner der Betroffenen. Auch Identitätsdiebstahl ist auf Basis der veröffentlichten privaten Daten aus dem Intimbereich der Betroffenen nicht auszuschließen.
9. Was kann ich tun, damit ich nicht (mehr) gehackt werde?
Peter Hense: Frank Rieger (@frank_rieger), einer der Sprecher des Chaos Computer Clubs sowie Alvar Freude (@alvar_f) vom Landesbeauftragten für Datenschutz und Informationsfreiheit in Baden-Württemberg, haben bereits in der Nacht sinnvolle Tipps gegeben, darunter:
- Alle Systeme immer updaten
- Adblocker installieren
- HTML in E-Mails deaktivieren
- 2-Faktor-Authentifizierung verwenden
- Datenträger verschlüsseln
- Facebook-Account löschen und/oder App-Berechtigungen abstellen
- private, sensible und delikate Kommunikation nur über Krypto-Messenger wie Threema oder Signal führen
- Für Passwort-Wiederherstellung von E-Mails eine alternative Mailadresse angeben
- Berechtigungen von Apps auf Telefonen stark beschränken (Kontakte, Mikrofon, Bilder etc)
- Löschen, denn was gelöscht ist, kann nicht gestohlen werden.
- Passwörter niemals doppelt verwenden
Ich ergänze: - VPN und ggf. TOR-Browser verwenden. Generell gilt: Bequemlichkeit und Nachlässigkeit sind IT-sicherheitstechnisch ein Risiko, das nicht nur die eigene Karriere und das eigene Privatleben, sondern auch das von Familienmitgliedern und Freunden zerstören kann.
10. Gibt es bereits Erfahrungen im Umgang mit Leaks und Doxxing?
Peter Hense: Als Kanzlei haben wir bereits in der Vergangenheit Fälle illegaler Veröffentlichungen von privaten Dokumenten im Internet („Doxxing“) betreut (Link zu FAZ). Unsere Erfahrungen im Umgang mit Strafverfolgungsbehörden, Gerichten aber auch Hostern, Uploadern und Linkplattformen wie Pastebin etc. setzen wir ein, um effektiv jede Verbreitung zu bekämpfen, ob öffentlich oder in geschlossenen Nutzergruppen. Zudem sollte jeder jemanden kennen, der jemanden kennt, der für die Weiterverbreitung von rechtswidrig erlangten Informationen zivil- und strafrechtlich zur Verantwortung gezogen wurde. Ohne diesen - auch öffentlichen - Verfolgungsdruck ist eine effektive Bekämpfung der Verbreitung von illegalen Leaks nicht möglich.
