Hacking-Vorwurf nach § 118a StGB: Was Ihnen in Österreich droht

Sie haben das Handy Ihres Partners entsperrt und Nachrichten gelesen. Oder Sie haben sich nach dem Ausscheiden noch einmal in das System Ihres früheren Arbeitgebers eingeloggt. Jetzt liegt eine Ladung auf dem Tisch, und darauf steht „§ 118a StGB“. Ist das überhaupt strafbar? Was droht? Und kann der andere die Sache noch stoppen?

Seit 2023 drohen dafür bis zu zwei Jahre, verhandelt wird in Wien vor dem Landesgericht für Strafsachen. Die gute Nachricht: § 118a ist eng gefasst, wird nur mit Ermächtigung des Verletzten verfolgt, und eine gefestigte Rechtsprechung des Obersten Gerichtshofs dazu gibt es nicht. Auf dieser Seite erkläre ich als Strafverteidiger in Wien, wo die Grenzen verlaufen und wo die Verteidigung ansetzt.

Was ist „Hacking“ im österreichischen Strafrecht?

„Hacking“ ist im österreichischen Strafgesetzbuch kein eigener Tatbestand. Gemeint ist meist der widerrechtliche Zugriff auf ein Computersystem nach § 118a StGB. Daneben gibt es fünf verwandte Delikte. Welcher Paragraf greift, entscheidet über Strafrahmen, Gericht und darüber, ob der Verletzte das Verfahren stoppen kann.

Ein Smartphone ist ein Computersystem

Das Gesetz versteht unter einem Computersystem „sowohl einzelne als auch verbundene Vorrichtungen, die der automationsunterstützten Datenverarbeitung dienen“ (§ 74 Abs 1 Z 8 StGB). Das Oberlandesgericht Wien legt das sehr weit aus:

An diesem Merkmal wird ein Vorwurf daher kaum scheitern. Geht es dagegen um Geld, also um einen Eingriff in eine Datenverarbeitung mit Vermögensschaden und Bereicherungsvorsatz, kommt § 148a StGB in Betracht. Dazu lesen Sie den Beitrag zum betrügerischen Datenverarbeitungsmissbrauch.

Wann ist ein Zugriff nach § 118a StGB strafbar?

Nach § 118a Abs 1 StGB ist strafbar, wer sich zu einem Computersystem, über das er nicht oder nicht allein verfügen darf, durch Überwindung einer spezifischen Sicherheitsvorkehrung Zugang verschafft. Dazu kommt eine von zwei Absichten: Kenntnis von geschützten personenbezogenen Daten zu erlangen (Z 1) oder jemandem durch die Verwendung der Daten oder des Systems einen Nachteil zuzufügen (Z 2). Fehlt einer dieser drei Bausteine, ist § 118a nicht erfüllt.

1. Ein fremdes System

Der Täter darf über das System „nicht oder nicht allein“ verfügen. Auch gemeinsam genutzte Geräte können daher erfasst sein. Wer dagegen verfügungsbefugt ist, kommt als Täter nicht in Betracht.

2. Eine überwundene Sicherheitsvorkehrung

Eine spezifische Sicherheitsvorkehrung liegt nach Ansicht des Justizministeriums vor, „wenn das System vor unbefugten Eingriffen geschützt wird, so etwa durch Computerpasswörter, Zugangscodes oder biometrische Sicherungen“. Ein versperrter Raum oder eine Alarmanlage genügen nicht.

Als Beispiele nennt der Erlass einen Zugriffsweg, der dem vorgesehenen Zulassungsverfahren nicht entspricht, das Mitlesen von Datenverkehr, um an ein Passwort zu kommen, und das Durchprobieren aller Passwort-Kombinationen. Er versteht sich ausdrücklich „unvorgreiflich der unabhängigen Rechtsprechung“, ist mangels höchstgerichtlicher Judikatur aber ein wichtiger Anhaltspunkt.

3. Die Absicht

§ 118a verlangt Absicht im Sinn des § 5 Abs 2 StGB. Dem Täter muss es auf die Spionage oder die nachteilige Verwendung „geradezu ankommen“, wie das Ministerium formuliert. Wer zufällig auf Daten stößt, handelt nicht in dieser Absicht. Bei Z 1 muss die Kenntnis der Daten zudem „schutzwürdige Geheimhaltungsinteressen des Betroffenen“ verletzen.

Was nicht reicht

• Ein ungesichertes Gerät: Ohne Passwort, Code oder biometrische Sperre gibt es nichts zu überwinden.
• Eine offensichtliche Lücke: Das Ausnützen einer „geradezu offensichtlichen“ Sicherheitslücke ist nach Ansicht des Ministeriums kein Überwinden.

Das hielt der OGH in einem Pay-TV-Fall fest, in dem das Landesgericht unter anderem eine Hausdurchsuchung bewilligt hatte. Er stellte fest, dass diese Beschlüsse das Gesetz verletzten, und hob sie auf. Was in einer Anzeige „Hacking“ heißt, muss also nicht unter § 118a fallen.

Welche Strafe droht bei Hacking?

Für den widerrechtlichen Zugriff nach § 118a Abs 1 StGB droht seit 1. September 2023 Freiheitsstrafe bis zu zwei Jahren; davor waren es höchstens sechs Monate oder Geldstrafe bis zu 360 Tagessätzen. Bei § 118a steigt der Rahmen bei kritischer Infrastruktur oder im Rahmen einer kriminellen Vereinigung auf bis zu drei Jahre, im schwersten Fall auf sechs Monate bis fünf Jahre.

Die Novelle 2023

Die Anhebung durch BGBl. I Nr. 99/2023 betrifft auch §§ 119 und 119a. Die Regierungsvorlage begründet sie mit dem „erhöhten sozialen Störwert“; der Tatbestand blieb unverändert. Die Erläuterungen nennen zwei Folgen: Das Hauptverfahren wandert vom Bezirksgericht zum Einzelrichter des Landesgerichts, und mit der höheren Strafdrohung geht „auch eine Erweiterung des Spektrums an Ermittlungsmaßnahmen einher“.

Geldstrafe und Altfälle

Auch nach der Novelle bleibt eine Geldstrafe möglich. Statt einer Freiheitsstrafe von höchstens einem Jahr ist sie zu verhängen, wenn es der Freiheitsstrafe nicht bedarf, um den Täter von weiteren strafbaren Handlungen abzuhalten (§ 37 Abs 1 StGB). Für Taten vor dem 1. September 2023 gilt der alte, mildere Rahmen, weil neue Strafgesetze auf frühere Taten nur anzuwenden sind, wenn das Tatzeitrecht in seiner Gesamtauswirkung nicht günstiger war (§ 61 StGB).

Verjährung

Die Verjährungsfrist richtet sich nach der Strafdrohung (§ 57 Abs 3 StGB):

Bei Altfällen gilt: Ob eine Tat verjährt ist, beurteilt der OGH in ständiger Rechtsprechung nach dem Recht im Zeitpunkt der Aburteilung. Das frühere Recht zählt nur, wenn die Tat unter ihm bereits verjährt war (RIS-Justiz RS0072368). War ein Zugriff also schon nach der alten Einjahresfrist vor dem 1. September 2023 verjährt, bleibt es dabei. Mehr dazu im Beitrag zur Verjährung im Strafrecht.

Ohne Ermächtigung kein Verfahren

§§ 118a, 119 und 119a StGB sind Ermächtigungsdelikte. Der Täter ist „nur mit Ermächtigung des Verletzten zu verfolgen“ (§ 118a Abs 3 StGB). Verweigert der Verletzte die Ermächtigung, ist jede weitere Ermittlung gegen Sie unzulässig, und das Verfahren ist einzustellen. Das ist einer der stärksten Hebel der Verteidigung.

So funktioniert die Ermächtigung (§ 92 StPO)

• Anfrage: Kriminalpolizei oder Staatsanwaltschaft müssen beim Verletzten unverzüglich anfragen, ob er die Ermächtigung erteilt.
• 14 Tage: Erteilt er sie nicht binnen vierzehn Tagen nach der Anfrage, gilt sie als verweigert. Schweigen wirkt also für Sie.
• Zeitpunkt: Die Ermächtigung muss sich auf eine bestimmte Person beziehen und spätestens vorliegen, wenn diversionelle Maßnahmen eingeleitet werden oder Anklage eingebracht wird.
• Rücknahme: Der Verletzte kann sie bis zum Schluss des Beweisverfahrens erster Instanz zurücknehmen.
• Privatbeteiligung: Erklärt er, sich dem Verfahren als Privatbeteiligter anzuschließen, gilt das als Ermächtigung.

Ob der Verletzte die Ermächtigung erteilt, verweigert oder zurücknimmt, entscheidet allein er. Erzwingen kann es niemand.

Kein solcher Schutz bei den Datendelikten

Datenbeschädigung (§ 126a), Systemstörung (§ 126b) und der Missbrauch von Programmen oder Zugangsdaten (§ 126c, auch mit Bezug auf § 118a) werden von Amts wegen verfolgt. Wird Ihnen neben dem Zugriff auch das Löschen von Daten vorgeworfen, läuft dieser Teil weiter, selbst wenn die Ermächtigung für § 118a fehlt.

Typische Konstellationen aus Sicht des Beschuldigten

Im Alltag hängt fast alles an zwei Fragen: War das Gerät oder Konto gesichert, und wie wurde die Sicherung überwunden? Danach kommt die Absicht.

Handy, WhatsApp oder E-Mails des Partners

Das Handy des Partners zu durchsuchen, ist nicht automatisch strafbar. Lag es entsperrt auf dem Tisch, fehlt die Überwindung einer Sicherheitsvorkehrung, und § 118a scheidet aus. War es mit PIN, Code oder biometrischer Sperre gesichert, sieht es anders aus.

Wie heikel schon ein abgeschauter Code ist, zeigt ein Fall aus dem Arbeitsrecht. Ein Lehrling und eine Kollegin hatten sich durch Ausspähen oder zufälliges Erraten des PIN-Codes Zugang zum Handy ihrer Ausbildnerin verschafft und private Fotos angesehen. Die Vorinstanzen bejahten einen Entlassungsgrund „wegen Vertrauensverlusts zufolge strafbarer, objektiv gegen § 118a StGB und § 62 DSG verstoßender Handlungen“, der OGH hielt das für vertretbar (OGH 8 ObA 29/26m vom 19. August 2026). Ein Strafurteil ist das nicht, aber ein deutlicher Hinweis.

Hat Ihnen der Partner den Code selbst verraten, liegt ein starkes Verteidigungsargument nahe: Wer einen anvertrauten Code eingibt, setzt keine Anstrengung ein, um eine Sperre zu umgehen. Ob das auch gilt, wenn die Nutzung über das Erlaubte hinausging, dazu findet sich im RIS keine Entscheidung des OGH.

Erzwungene Passwörter helfen dagegen nicht. In einem Fall schwerer Gewalt, also keinem typischen Partnerfall, hatte der Angeklagte eine Frau zur Herausgabe ihres Handys und ihrer Social-Media-Passwörter genötigt, danach mit diesen Passwörtern zugegriffen und sämtliche Daten kopiert. Der Schuldspruch nach § 118a Abs 1 Z 1 StGB hielt vor dem OGH (15 Os 86/20s vom 8. September 2020).

Wer laufende Nachrichten über eine am Gerät angebrachte oder empfangsbereit gemachte Vorrichtung mitliest, für den kann § 119 StGB in Betracht kommen. Ob eine heimlich installierte Spionage-App eine solche Vorrichtung ist, dazu findet sich im RIS keine Entscheidung. Werden intime Fotos vom fremden Handy weitergeleitet, ist das ein eigenes Thema, das ich im Beitrag zum Versenden von intimen Bildern behandle. Und wird aus einmaligem Nachsehen eine dauerhafte Kontrolle, stellt sich die Frage der beharrlichen Verfolgung.

Ehemalige Mitarbeiter und Dienstleister

Beim alten Firmenzugang zählen zwei Fragen. Durften Sie noch über das System verfügen? Das hängt von Ihrer Vereinbarung mit dem Unternehmen ab. Und haben Sie eine Sicherung überwunden? Für die Verteidigung spricht: Wer sich mit seinem eigenen, nie deaktivierten Passwort anmeldet, wählt gerade den vorgesehenen Zugangsweg. Eine Entscheidung des OGH dazu findet sich im RIS nicht.

Bleibt es nicht beim Zugriff, ändert sich das Bild: Das Löschen oder Verändern von Daten fällt unter § 126a, das Lahmlegen eines Systems unter § 126b StGB. § 126a ist allerdings ein Vorsatzdelikt, und der Vorsatz muss festgestellt sein (OGH 14 Os 145/10w vom 25. Jänner 2011).

Wie weit § 126b reicht, zeigt das OLG Wien. Ein Unternehmer, der den störungsfreien Betrieb einer Photovoltaik-Anlage sichern sollte, ließ aus Ärger über eine schlechte Google-Bewertung der Anlagenbesitzer von einem Mitarbeiter per Fernzugriff einen Abschaltbefehl an den Wechselrichter senden. Elf Tage lang produzierte die Anlage keinen Strom. Das Landesgericht für Strafsachen Wien verhängte nach §§ 12 zweiter Fall, 126b Abs 1 und 2 StGB drei Monate Freiheitsstrafe, bedingt nachgesehen. Das OLG Wien bestätigte: Eine Beschädigung ist nicht nötig, ein einziger Abschaltbefehl genügt, und elf Tage sind eine „längere Zeit“ (32 Bs 110/26z vom 23. Juni 2026).

Solche Vorwürfe halten aber nicht immer. Gegen eine frühere Mitarbeiterin einer Notariatskanzlei wurde ermittelt, weil sie versucht haben soll, in das Computersystem ihres damaligen Arbeitgebers einzudringen und E-Mails zu löschen. Dieser Teil wurde mangels Schuldnachweises eingestellt (OLG Linz 8 Bs 171/14z vom 11. Juni 2015).

Jugendliche und Gamer

Die Übernahme eines fremden Gaming- oder Social-Media-Accounts fällt unter § 118a, wenn eine Sicherung überwunden wurde und die Absicht nach Z 1 oder Z 2 vorliegt. Für junge Beschuldigte gilt aber das Jugendgerichtsgesetz:

• Unter 14 Jahren: Unmündige sind nicht strafbar (§ 4 Abs 1 JGG). Mehr dazu im Beitrag zur Strafmündigkeit.
• Unter 16 Jahren: Ein Jugendlicher ist nicht strafbar, wenn er vor Vollendung des 16. Lebensjahres ein Vergehen begeht, ihn kein schweres Verschulden trifft und nicht aus besonderen Gründen die Anwendung des Jugendstrafrechts geboten ist (§ 4 Abs 2 Z 2 JGG). § 118a Abs 1 ist ein Vergehen.
• Halber Strafrahmen: Das Höchstmaß der angedrohten Freiheitsstrafe wird halbiert (§ 5 Z 4 JGG). Aus zwei Jahren wird ein Jahr.
• Absehen und Diversion: Bei Taten mit höchstens fünf Jahren Strafdrohung hat die Staatsanwaltschaft unter weiteren Voraussetzungen von der Verfolgung abzusehen, insbesondere wenn weitere Maßnahmen nicht geboten erscheinen (§ 6 JGG). Daneben steht die Diversion für Jugendliche (§ 7 JGG).

Die Grundlagen erkläre ich im Beitrag zum Jugendstrafrecht.

Gemeldete Sicherheitslücken und ethisches Hacking

Wer eine Sicherheitslücke sucht und meldet, ist nach Ansicht des Justizministeriums in der Regel nicht nach § 118a strafbar. Das Ministerium versteht unter ethischem Hacking den Zugriff auf Computersysteme, um Programmfehler zu finden und sie den Betroffenen zu melden, statt sie für kriminelle Zwecke zu nutzen. Solches Hacking erfüllt nach seiner Ansicht den Tatbestand nicht:

• Beauftragt: Wer vom Unternehmen eigens zum Testen beauftragt wurde, ist verfügungsbefugt.
• Eigeninitiative: Wer ohne Auftrag sucht, hat „in der Regel“ nicht die verlangte Spionage- oder Schädigungsabsicht.
• Grenze: Muss eine Lücke erst mit einem „erheblichen Maß an technischem Know-How“ aufgespürt werden, kann ihr Ausnützen ein Überwinden sein und bei Vorliegen der übrigen Merkmale strafbar.

Der Erlass bindet die Gerichte nicht, und das Ministerium hält selbst fest, dass es zum Ausnützen von Sicherheitslücken „bislang keine höchstgerichtliche Rechtsprechung“ gibt. Wer eine Lücke gemeldet hat und nun Beschuldigter ist, sollte Motivation und Vorgehen geordnet darlegen, über den Verteidiger und nicht spontan bei der Polizei.

Hacking-Tools, API-Keys und Zugangsdaten (§ 126c)

§ 126c StGB reicht weit ins Vorfeld: Strafbar ist schon, wer Hacking-Programme oder Zugangsdaten mit dem Vorsatz beschafft, besitzt oder weitergibt, dass damit eine Computerstraftat begangen wird. Im Fall OLG Wien 17 Bs 82/26x soll der Beschuldigte eine Domain gehostet haben, die die Nutzung eines Werkzeugs erleichterte, mit dem sich ein KI-Bildgenerator über einen widerrechtlich erlangten API-Key unter Umgehung von Sperren nutzen ließ. Es folgten Hausdurchsuchung und Beschlagnahme; am Ende stellte die Staatsanwaltschaft nach § 190 StPO ein. Auch der Vorwurf, ein Jugendlicher habe sich eine Schadsoftware verschafft, führte zu einer gerichtlich bewilligten Hausdurchsuchung; das OLG Linz verlängerte die Frist dafür (9 Bs 358/13f). Straflos bleibt, wer freiwillig verhindert, dass Programm oder Passwort für eine solche Tat gebraucht werden (§ 126c Abs 2).

Wie läuft ein Verfahren wegen § 118a ab?

Das Verfahren läuft in vier Schritten ab. Entscheidend ist der zweite: die Anfrage beim Verletzten, ob er die Ermächtigung erteilt.

Im Ermittlungsverfahren können Handy, Laptop und andere Datenträger sichergestellt werden, etwa im Zuge einer Hausdurchsuchung. Ihr Recht auf Akteneinsicht umfasst auch solche Daten: Das OLG Linz entschied, dass einer Beschuldigten eine Kopie des sichergestellten Server-Backups auszufolgen war, weil das Recht auf Akteneinsicht samt Kopien nur in den Fällen des § 51 Abs 2 StPO beschränkt werden darf (8 Bs 171/14z). Den Ablauf im Einzelnen erkläre ich im Beitrag zum Ermittlungsverfahren in Österreich.

Diversion, Einstellung und tätige Reue

Eine Diversion kommt bei allen hier behandelten Tatbeständen grundsätzlich in Betracht. Sie setzt voraus, dass die Tat mit nicht mehr als fünf Jahren Freiheitsstrafe bedroht ist, die Schuld nicht als schwer anzusehen wäre und kein Todesfall eingetreten ist (§ 198 StPO).

Die Maßnahmen reichen vom Geldbetrag über gemeinnützige Leistungen und eine Probezeit bis zum Tatausgleich (§ 198 Abs 1 StPO). Bei Konflikten zwischen Partnern oder früheren Geschäftspartnern kann gerade der Tatausgleich passen. Mehr zur Diversion in Österreich.

Noch günstiger ist eine Einstellung wegen Geringfügigkeit nach § 191 StPO: bei Taten mit höchstens drei Jahren Strafdrohung, wenn der Störwert gering ist und weder Bestrafung noch Diversion geboten erscheinen.

Von den hier behandelten Delikten gibt es tätige Reue nach § 167 StGB nur bei Datenbeschädigung und Systemstörung: Wer den ganzen Schaden gutmacht oder sich vertraglich dazu verpflichtet, bevor die Behörde von seinem Verschulden erfährt, wird nicht bestraft. Mehr zur tätigen Reue.

Die Weichen werden früh gestellt. Im Photovoltaik-Fall gestand der Angeklagte erst in der Hauptverhandlung, als die Beweislage bereits dicht war; einen wesentlichen Beitrag zur Wahrheitsfindung sah das OLG Wien darin nicht. Und eine früher gewährte Diversion diente dem Erstgericht als Argument, eine neuerliche zu versagen (32 Bs 110/26z).

Verteidigung bei einem Hacking-Vorwurf

Die Verteidigung gegen einen § 118a-Vorwurf beginnt bei den Tatbestandsmerkmalen und beim Verfahrensrecht. Sechs Fragen prüfe ich in jedem Fall:

1. Liegt eine Ermächtigung vor?
2. War das Gerät oder Konto überhaupt gesichert?
3. Wurde die Sicherung „überwunden“? Ein anvertrauter Code oder eine offensichtliche Lücke ist etwas anderes als ein ausgespähtes Passwort.
4. Kam es Ihnen auf die Daten oder den Nachteil an? Ein zufälliger Fund erfüllt die Absicht nicht.
5. Hatten Sie (noch) eine Berechtigung?
6. Wer saß tatsächlich am Gerät? Ein Zugriff über Ihr Konto beweist noch nicht, dass Sie selbst gehandelt haben.

Dazu kommt die technische Seite. Hacking-Vorwürfe stützen sich auf technische Daten, und genau in diese Daten braucht die Verteidigung Einsicht. Technische Behauptungen der Anzeige lassen sich durch einen IT-Sachverständigen überprüfen. Und Rechtsmittel müssen konkret sein: In 15 Os 86/20s scheiterte die Rechtsrüge gegen den § 118a-Schuldspruch, weil sie nur eine Prüfung anregte, statt fehlende Feststellungen aufzuzeigen.

Häufige Fragen zu Hacking und § 118a StGB

Verwandte Artikel