Skip to content

Art. 143bis — Unbefugtes Eindringen in ein Datenverarbeitungssystem

Art. 143bis StGB

Gesetzeswortlaut

Art. 143bis StGB (Unbefugtes Beschaffen von Daten) Eindringen in ein Datenverarbeitungssystem

1 Wer auf dem Wege von Datenübertragungseinrichtungen unbefugterweise in ein fremdes, gegen seinen Zugriff besonders gesichertes Datenverarbeitungssystem eindringt, wird, auf Antrag, mit Freiheitsstrafe bis zu drei Jahren oder Geldstrafe bestraft.

2 Wer Passwörter, Programme oder andere Daten, von denen er weiss oder annehmen muss, dass sie zu einem unbefugten Eindringen nach Absatz 1 bestimmt sind, herstellt, in Verkehr bringt, anbietet, übermittelt oder einer anderen Person zugänglich macht, wird, auf Antrag, mit Freiheitsstrafe bis zu drei Jahren oder Geldstrafe bestraft.

3 Der Verfolgte hat das Recht, dem Verfahren als Privatklägerschaft beizutreten.

Kommentierung

I. Bedeutung und systematischer Zusammenhang

1 Art. 143bis StGB sanktioniert das unbefugte Eindringen in ein fremdes Datenverarbeitungssystem («Hacking»). Die Norm wurde durch das 2. Teilrevision des StGB (BG vom 18. März 2016, in Kraft seit 1. Juli 2016; AS 2016 1249) eingeführt und setzt Art. 3 des Übereinkommens des Europarates über Computerkriminalität (Budapest-Konvention, SR 0.311.56) um. Sie schützt die Verfügungsmacht über Datenverarbeitungssysteme als eigenständiges Rechtsgut — die Integrität und Vertraulichkeit informationstechnischer Systeme (BGE 145 IV 185, E. 2.1).

2 Die Norm steht im systematischen Zusammenhang mit Art. 143 StGB (unbefugte Datenbeschaffung), Art. 144bis StGB (Datenbeschädigung), Art. 179decies StGB (Identitätsmissbrauch) und Art. 269 ff. StPO (Überwachung des Informations- und Kommunikationsverkehrs). Art. 143bis ist Antragsdelikt (Abs. 1), was bedeutet, dass die Strafverfolgung nur auf Antrag der verletzten Person erfolgt. Die Privatklägerschaft kann dem Verfahren gemäss Abs. 3 beitreten.

II. Tatbestandsmerkmale (Abs. 1)

1. Auf dem Wege von Datenübertragungseinrichtungen

3 Das Eindringen muss auf dem Wege von Datenübertragungseinrichtungen erfolgen. Darunter fallen alle technischen Mittel, die eine Fernübertragung von Daten ermöglichen: Internet, WLAN, Mobilfunknetze, Telefonleitungen. Ein physischer Zugriff (z.B. direkter Zugriff auf den Rechner vor Ort) fällt nicht unter Art. 143bis StGB, sondern allenfalls unter Art. 143 StGB (unbefugte Datenbeschaffung) oder Hausfriedensbruch (BGer 6B_615/2014, E. 2).

2. Unbefugterweise

4 Das Eindringen muss unbefugt erfolgen. Befugt ist, wer vom Berechtigten (Eigentümer oder verfügungsberechtigte Person) eine ausdrückliche oder konkludente Erlaubnis hat, auf das System zuzugreifen. Eine bestehende Berechtigung kann jedoch überschritten werden, wenn der Zugriff ausserhalb des erteilten Zugriffsrahmens liegt (sog. Überschreitung der Befugnis — «exceeding authorized access»-Modell, vgl. BGE 145 IV 185 E. 2.2.1).

3. Fremdes Datenverarbeitungssystem

5 Das System muss fremd sein, d.h. es muss einer anderen Person gehören oder von dieser verfügt werden. Ein eigenes System kann nicht «fremd» sein, auch wenn darauf Daten Dritter gespeichert sind. Bei gemeinschaftlich genutzten Systemen (z.B. Familiencomputer, gemeinsame Firmennetzwerke) bedarf es einer sorgfältigen Abgrenzung, ob der Zugriff noch im Rahmen der erteilten Befugnis liegt (BGer 6B_120/2026, E. 1.2).

6 Teilsystem-Doktrin Das Bundesgericht hat in BGer 6B_120/2026 (24. Juni 2026, zur Publikation vorgesehen) die Teilsystem-Doktrin zu Art. 143bis StGB präzisiert: Ein virtueller Raum mit beschränkten Zugriffsrechten kann ein fremdes Datenverarbeitungssystem im Sinne von Art. 143bis Abs. 1 StGB sein. Ein Privilegientausch mittels Weitergabe von Zugangsdaten an einen geschützten Bereich (z.B. Cloud-Storage, Abonnentenbereich) erfüllt den Tatbestand, wenn der Empfänger nicht berechtigt ist, auf diesen Teilbereich zuzugreifen. Die Befugnis bezieht sich auf den konkret zugegriffenen Teilbereich, nicht auf das Gesamtsystem. Damit wird der Schutz auch auf Teilsysteme innerhalb grösserer Systeme erstreckt (Bestätigung und Fortführung von BGE 145 IV 185).

4. Besonders gesichert

7 Das System muss gegen unbefugten Zugriff besonders gesichert sein. Eine blosse Zugangsschwelle (z.B. eingeschalteter Computer ohne Passwort) genügt nicht. Erforderlich ist eine spezielle Schutzmassnahme, die den Zugriff unbefugter Dritter verhindern soll: Passwörter, biometrische Sperren, Firewalls, Verschlüsselung. Das Mass der Sicherung muss über das allgemeine Mass hinausgehen, das bei einem ungeschützten System fehlt (BGE 145 IV 185, E. 2.2.2).

8 Ein zufällig aufgefundenes Passwort (z.B. auf einem Notizzettel in einer Schublade) hebt die «besondere Sicherung» nicht auf. Das unbefugte Einloggen in den mit Passwort geschützten Gmail-Account des getrennt lebenden Ehemannes erfüllt Art. 143bis Abs. 1 StGB, auch wenn die Täterin das Passwort nur zufällig im früheren gemeinsamen Büro gefunden hat (BGE 145 IV 185 E. 2). Die besondere Sicherung bezieht sich auf die objektive Schutzvorrichtung, nicht auf die Kenntnis des Passworts durch die Täterin.

5. Eindringen

9 Das Eindringen besteht in dem Moment, in dem der Täter sich im fremden System bewegt, ohne dazu berechtigt zu sein. Ein blosser Verbindungsversuch, der nicht zur Anmeldung führt, genügt nicht. Das Eindringen ist vollendet, wenn der Zugriff auf das System hergestellt ist — sei es durch erfolgreiche Anmeldung, Umgehung der Sicherheitssperre oder Ausnutzen einer Schwachstelle (BGer 6B_56/2017; BGer 6B_936/2024, E. 1).

III. Vorbereitungshandlungen (Abs. 2)

10 Abs. 2 sanktioniert die Herstellung, Verbreitung und Zugänglichmachung von Hackertools (Passwörter, Programme, Daten), die zum unbefugten Eindringen nach Abs. 1 bestimmt sind. Der Täter muss wissen oder annehmen müssen, dass die Daten zu einem unbefugten Eindringen bestimmt sind. Die Vorschrift entspricht Art. 6 der Budapest-Konvention und erfasst namentlich Passwort-Listen, Exploit-Kits und Hacking-Software (BGer 6B_1207/2018).

IV. Tathandlung im Kontext der Teilsystem-Doktrin

11 Die Teilsystem-Doktrin (BGer 6B_120/2026) wirft die Frage auf, ob der Zugriff auf einen Teilbereich eines Systems, für den keine separate Berechtigung erteilt wurde, den Tatbestand des «Eindringens» erfüllt. Das Bundesgericht bejaht dies: Wenn ein berechtigter Nutzer eines Gesamtsystems sich Zugriffsrechte auf einen Teilbereich verschafft, für den er keine Befugnis hat (z.B. durch Privilegientausch mit einem anderen Nutzer), liegt ein unbefugtes Eindringen in ein «fremdes» Teilsystem vor. Die «Besonderheit der Sicherung» ergibt sich aus den Zugriffsbeschränkungen des Teilbereichs (z.B. separate Passwörter, Rollenkonzepte, Berechtigungsklassen).

12 Diese Auslegung trägt der modernen Systemarchitektur Rechnung, in der grosse Plattformen (Cloud-Dienste, Unternehmensnetzwerke, SaaS-Anwendungen) eine mehrstufige Zugriffskontrolle aufweisen. Der Schutz des Art. 143bis StGB greift nicht erst bei der Überwindung der Aussenschwelle, sondern auch bei der Überschreitung von internen Zugriffsbarrieren innerhalb eines Systems, für das der Täter teilweise berechtigt ist.

V. Konkurrenzen

13 Verhältnis zu Art. 143 StGB Art. 143 StGB (unbefugte Datenbeschaffung) erfasst das Beschaffen von Daten, die nicht für den Täter bestimmt und besonders gesichert sind. Art. 143bis StGB erfasst das Eindringen in das System selbst. Beide Tatbestände können in Tateinheit (Art. 49 StGB) zusammentreffen, wenn der Täter durch das Eindringen in das System zugleich Daten beschafft (BGer 6B_56/2017, E. 1).

14 Verhältnis zu Art. 179decies StGB Art. 179decies StGB (Identitätsmissbrauch) erfasst die Verwendung der Identität einer anderen Person ohne deren Einwilligung. Das Bundesgericht hat in BGer 6B_304/2026 (30. Juli 2026, zur Publikation vorgesehen) erstmals geklärt, dass Betrug (Art. 146 StGB) und Identitätsmissbrauch (Art. 179decies StGB) in echtem Konkurrenzverhältnis stehen, da sie unterschiedliche Rechtsgüter und Geschädigte schützen. Eine Absorption lehnt das Gericht ab. Die Identitätsmissbrauch-Handlung kann mit dem Eindringen nach Art. 143bis in Tateinheit stehen, wenn die Identität missbraucht wird, um in ein fremdes System einzudringen.

15 Verhältnis zu Art. 144bis StGB Art. 144bis StGB (Datenbeschädigung) erfasst die unbefugte Veränder, Vernichtung oder Unbrauchbarmachung von Daten. Wenn der Täter nach dem Eindringen Daten verändert, stehen Art. 143bis und Art. 144bis in Tateinheit (BGer 6B_936/2024, E. 1).

VI. Prozessuale Besonderheiten

16 Antragsdelikt Art. 143bis Abs. 1 und 2 StGB sind Antragsdelikte. Die Strafverfolgung erfolgt nur auf Antrag der verletzten Person (Art. 28 StGB, Art. 31 StPO). Das Antragsrecht steht dem Inhaber des Datenverarbeitungssystems zu. Bei Unternehmen kann der Antrag durch die gesetzliche Vertretung gestellt werden. Die Antragsfrist beträgt drei Monate seit Kenntnis von der Tat und der Täterschaft (Art. 31 Abs. 1 StGB).

17 Privatklägerschaft Abs. 3 räumt der verletzten Person das Recht ein, dem Strafverfahren als Privatklägerschaft beizutreten. Dies ermöglicht die Geltendmachung von Zivilansprüchen im Strafverfahren (Adhäsionsverfahren, Art. 119 ff. StPO) und erweitert die Beschwerdelegitimation (Art. 81 Abs. 1 lit. b Ziff. 5 BGG). Die Privatklägerschaft kann den Schuldspruch und die Zivilansprüche mit Beschwerde in Strafsachen anfechten (BGer 6B_615/2014, E. 1.1).

18 Beweiswürdigung Bei Hacking-Delikten steht oft die Frage im Raum, ob der Sachverhalt hinreichend nachgewiesen ist. Die IP-Adresse allein genügt nicht, um die Täterschaft zweifelsfrei festzustellen — es bedarf weiterer Indizien (Geräteanalyse, Logfiles, Zeugenaussagen). Die freie Beweiswürdigung (Art. 10 Abs. 2 StPO) erlaubt dem Gericht die Würdigung des gesamten Indizienbündels (BGer 6B_120/2026, E. 1.1–1.2).

VII. Rechtsgut und Strafzumessung

19 Das geschützte Rechtsgut von Art. 143bis StGB ist die Verfügungsmacht über Datenverarbeitungssysteme — die Befugnis des Inhabers, zu bestimmen, wer auf sein System zugreifen darf. Die Strafdrohung (Freiheitsstrafe bis zu drei Jahren oder Geldstrafe) liegt im unteren bis mittleren Bereich und reflektiert, dass es sich um ein Antragsdelikt handelt. Bei gewerbsmässigem Vorgehen oder besonders schweren Fällen kann die Strafe im oberen Bereich liegen (BGer 6B_56/2017, E. 2.1).

Querverweise

Literatur

  • DONATSCH ANDREAS, Strafrecht III, 10. Aufl., Zürich 2024; GROSSEHAGE MORITZ, in: Basler Kommentar, Strafrecht II, 5. Aufl., Basel 2023, Art. 143bis N. 1 ff.; MARBACH STEFAN, Cyberstrafrecht, in: Swiss Cybersecurity Research & Practice 2024, S. 45 ff.; TRECHSEL JEAN-PIERRE, in: Plädoyer 2017, S. 28 ff.
Rechtsprechung zu Art. 143bis StGB
Last updated on