Welche Straftaten definiert das Strafgesetzbuch?
Computerbetrug gemäß Artikel 138ab Sr.
Der zentrale Straftatbestand ist Computerverstoß. Artikel 138ab Sr bestraft, wer vorsätzlich und widerrechtlich ganz oder teilweise in ein automatisiertes System eindringt, indem er eine Sicherheitsmaßnahme umgeht, einen technischen Eingriff vornimmt, falsche Signale oder einen falschen Schlüssel verwendet oder eine falsche Identität annimmt. Zwei Elemente sind in der Praxis ausschlaggebend: Die Handlung muss vorsätzlich und rechtswidrig sein, d. h. ohne ein aus Einwilligung, Vertrag oder Gesetz abgeleitetes Recht. Ein Schaden ist nicht erforderlich; die Straftat ist mit dem Eindringen vollendet, und die Höchststrafe beträgt in diesem Fall zwei Jahre Freiheitsstrafe. Die Strafe erhöht sich, wenn weitere Tatbestände vorliegen. Kopiert oder speichert der Eindringling anschließend im System gespeicherte Daten, erhöht sich die Höchststrafe auf vier Jahre. Dieselbe Höchststrafe gilt, wenn der Zugriff über ein öffentliches Telekommunikationsnetz erfolgte und der Täter die Rechenkapazität des Systems nutzte oder auf ein anderes System zugriff. Wird die Straftat im Auftrag einer ausländischen Macht begangen, erhöht sich die Höchststrafe um ein Drittel.Behinderung eines Systems gemäß Artikel 138b Sr
Denial-of-Service-Angriffe fallen unter Artikel 138b Sr. Dieser ahndet die vorsätzliche und rechtswidrige Übermittlung von Daten an ein automatisiertes System, wenn dadurch der Zugriff auf dieses System oder dessen Nutzung behindert wird. Die Höchststrafe beträgt grundsätzlich zwei Jahre. Sie erhöht sich auf drei Jahre, wenn eine erhebliche Anzahl von Systemen betroffen ist oder der Täter sich einen unrechtmäßigen Vorteil verschaffen wollte, und auf fünf Jahre, wenn die Tat schweren Schaden verursacht oder sich gegen ein System richtet, das kritische Infrastrukturen bedient. Terroristische Absicht führt zu einer weiteren Erhöhung der Höchststrafe.Abhören gemäß Artikel 139c bis 139e Sr
Artikel 139c Sr verbietet das Abfangen oder Aufzeichnen von Daten mit technischen Mitteln, die nicht für die betroffene Person bestimmt sind und über Telekommunikation oder ein automatisiertes System verarbeitet oder übermittelt werden. Die Höchststrafe beträgt zwei Jahre. Der Artikel enthält ausdrückliche Ausnahmen: den Empfang von Funksignalen ohne besonderen Aufwand, das Abfangen durch den rechtmäßigen Inhaber der Verbindung, sofern es nicht eindeutig missbräuchlich ist, und das Abfangen zum Betrieb eines Netzwerks, für strafrechtliche Ermittlungen oder gemäß dem Gesetz über Nachrichtendienste und Sicherheitsdienste 2017. Artikel 139d Sr befasst sich mit der Vorbereitung. Er umfasst das Aufstellen von Aufzeichnungsgeräten mit der Absicht, ein rechtswidriges Abfangen zu ermöglichen, sowie die Herstellung, den Erwerb, die Verbreitung oder den Besitz eines technischen Geräts, das primär dazu bestimmt ist, eine Straftat nach Artikel 138ab, 138b oder 139c Sr zu begehen, oder den Besitz von Passwörtern und Zugangscodes mit derselben Absicht. Die Höchststrafe beträgt zwei Jahre und erhöht sich auf vier Jahre, wenn die Vorbereitung mit den schweren Formen des Computerbetrugs zusammenhängt. Nach Artikel 139e Sr wird dann der Umgang mit den Ergebnissen bestraft: der Besitz eines Datenträgers mit unrechtmäßig abgefangenen Daten, die Offenlegung solcher Daten oder deren Weitergabe, mit einer Freiheitsstrafe von höchstens sechs Monaten.Schädliche Daten gemäß Artikel 350a bis 350d Sr
Wenn der Angriff Daten zerstört statt sie zu lesen, findet Titel XXVII Anwendung. Artikel 350a Sr. bestraft die vorsätzliche und rechtswidrige Veränderung, Löschung oder Unzugänglichkeit von Daten mit einer Freiheitsstrafe von bis zu zwei Jahren. Die Höchststrafe erhöht sich auf vier Jahre für die Bereitstellung oder Verbreitung von Daten, die darauf abzielen, in einem automatisierten System Schaden anzurichten. Diese Bestimmung findet Anwendung bei Malware und Ransomware. Der Artikel enthält eine ausdrückliche Ausnahme für Personen, die Maßnahmen ergriffen haben, um den durch solche Daten verursachten Schaden zu begrenzen. Artikel 350b Sr. stellt die fahrlässige Variante dar, mit einer deutlich niedrigeren Höchststrafe, und findet Anwendung, wenn durch fahrlässiges Verhalten ein schwerer Schaden entsteht. Artikel 350c Sr. erfasst die Zerstörung, Beschädigung oder Deaktivierung eines automatisierten Systems oder von Telekommunikationsgeräten und die damit verbundene Behinderung der Speicherung, Verarbeitung oder Übertragung von Daten. Artikel 350d Sr. entspricht in Bezug auf die Vorbereitungshandlungen Artikel 139d Sr.: Herstellung, Beschaffung, Verkauf oder Besitz von Werkzeugen oder Zugangscodes, die dazu bestimmt sind, eine Straftat nach Artikel 350a oder 350c Sr. zu ermöglichen. Unbefugtes Betreten ist gemäß Artikel 138ab Sr an sich strafbar, unabhängig davon, ob Daten kopiert werden oder ob ein Schaden entsteht.Wo verläuft die Grenze zwischen Sicherheitsforschung und Computerbetrug?
Das niederländische Recht sieht keine generelle Ausnahme für ethische Hacker vor. Das Testen fremder Systeme ist rechtmäßig, weil es autorisiert ist, nicht weil es in guter Absicht geschieht. Die entscheidende Frage gemäß Artikel 138ab Sr ist, ob der Zugriff unrechtmäßig war. Die Einwilligung beseitigt dieses Element nur insoweit, als sie reicht. Ein Penetrationstest erfordert daher einen schriftlichen Auftrag, der die zu testenden Systeme und Adressen, den Zeitraum, die zulässigen und unzulässigen Techniken, den Umgang mit den erfassten Daten und die zu informierenden Personen festlegt. Werden die Systeme von einem Drittanbieter gehostet, muss auch dieser zustimmen, da der Auftraggeber nicht in seinem Namen einwilligen kann. Außerhalb von Auftragstests erfolgt die Vorgehensweise durch koordinierte Offenlegung von Sicherheitslücken. Viele niederländische Organisationen veröffentlichen Richtlinien, die festlegen, wie Sicherheitslücken gemeldet werden können und welche Gegenleistungen sie erbringen. Die nationale Cybersicherheitsbehörde hat Leitlinien zu solchen Richtlinien veröffentlicht. Eine solche Richtlinie gewährt keine Immunität: Eine Strafverfolgung bleibt rechtlich möglich, und die Staatsanwaltschaft (Openbaar Ministerie) prüft, ob eine Strafverfolgung angebracht ist. Bei dieser Beurteilung sind folgende Faktoren ausschlaggebend: Handelte der Finder im öffentlichen Interesse? Ging der Eingriff über das zur Aufdeckung der Schwachstelle Notwendige hinaus? Wurden Daten kopiert, veröffentlicht oder gespeichert? Und erfolgte die Meldung unverzüglich und direkt an die betroffene Organisation? Überschreitet ein Forscher diese Grenzen oder knüpft er Bedingungen an die Meldung, begeht er die oben beschriebenen Straftatbestände. Dasselbe gilt für Angestellte und ehemalige Angestellte. Zugriffsrechte erlöschen mit dem Ende des Arbeitsverhältnisses. Die weitere Nutzung eines alten Kontos oder eines Passworts eines Kollegen stellt einen unbefugten Zugriff im Sinne von Artikel 138ab Sr dar, selbst wenn das System zuvor rechtmäßig und täglich genutzt wurde.
Betrug, begangen mit digitalen Mitteln
Die meisten digitalen Fälle, die der Polizei vorgelegt werden, sind keine reinen Hacking-Fälle, sondern Betrug mit digitalen Mitteln und werden nach den allgemeinen Betrugsbestimmungen verfolgt. Phishing, Rechnungsbetrug und gefälschte Online-Shops fallen unter Artikel 326 Sr, der die Erlangung von Eigentum, Dienstleistungen oder Schulden durch falsche Angaben, falsche Befugnisse, List oder ein Netz aus Unwahrheiten unter Strafe stellt. Werden personenbezogene Daten einer anderen Person zur Täuschung verwendet, stellt Artikel 231b Sr einen separaten Straftatbestand dar. Die Geldwäschebestimmungen der Artikel 420bis bis 420quater Sr greifen, weshalb sowohl Personen, die ein Bankkonto verleihen, als auch die Organisatoren des Betrugs strafrechtlich verfolgt werden. Die Veröffentlichung personenbezogener Daten einer anderen Person zur Einschüchterung ist ein eigenständiger Straftatbestand gemäß Artikel 285d Sr, der Anfang 2024 eingeführt wurde. Der Nachweis dieser Fälle basiert größtenteils auf digitalen Beweismitteln: Header, Logs, IP-Daten, Zahlungsspuren und deren zeitlicher Einordnung. Was das in der Praxis für ein Opfer bedeutet, das geglaubt werden möchte, wird in unserem Artikel über … erläutert. Online-Betrug und Phishing.
Was das Cybersicherheitsgesetz von Organisationen verlangt
Das niederländische Cybersicherheitsgesetz (Cyberbeveiligingswet) gilt seit dem 15. August 2026 und setzt die europäische NIS2-Richtlinie um. Es unterscheidet sich vom Strafgesetzbuch: Es bestraft nicht die Angreifer, sondern verpflichtet die angegriffenen Organisationen. Diese müssen sich bei der nationalen Cybersicherheitsbehörde registrieren, geeignete technische und organisatorische Maßnahmen zur Risikominimierung für ihre Netzwerk- und Informationssysteme ergreifen und schwerwiegende Vorfälle melden – zunächst innerhalb von 24 Stunden und anschließend innerhalb von 72 Stunden. Die Verantwortung für die Maßnahmen liegt bei der Geschäftsleitung, die zudem verpflichtet ist, ihr Wissen auf dem neuesten Stand zu halten. Welche Organisationen erfasst sind und was die Sorgfaltspflicht konkret bedeutet, erläutern wir in unserem Artikel zu diesem Thema. NIS2 und das niederländische CybersicherheitsgesetzDiese Pflichten gelten zusätzlich zu den Verpflichtungen aus der Datenschutz-Grundverordnung (DSGVO) und ersetzen diese nicht. Ein Cybervorfall, der personenbezogene Daten betrifft, stellt eine Datenschutzverletzung dar, die der niederländischen Datenschutzbehörde innerhalb von 72 Stunden gemeldet werden muss, es sei denn, es besteht voraussichtlich kein Risiko. Betroffene Personen sind zu informieren, wenn ein hohes Risiko für sie besteht. Die beiden Meldeverfahren haben unterschiedliche Auslöser, Adressaten und Fristen, und ein Vorfall kann leicht beide gleichzeitig auslösen. Die zivilrechtlichen Aspekte, einschließlich der Frage, wer den Schaden trägt, wenn ein Lieferant oder Dienstleister die Schwachstelle darstellt, werden in unserem Artikel zu diesem Thema behandelt. Haftung nach einem Datenleck.
Ermittlungsbefugnisse und der Ablauf eines Verfahrens
Seit dem Inkrafttreten des dritten Computerstrafgesetzes im Jahr 2019 verfügt die Polizei über weitreichende Befugnisse zur digitalen Ermittlung. Ermittler können bei schweren Straftaten Fernzugriff auf ein von einem Verdächtigen genutztes automatisiertes System erlangen und, sobald sie Zugriff haben, Daten aufzeichnen oder unzugänglich machen. Diese Befugnis wird von der Staatsanwaltschaft nur nach Genehmigung durch den Untersuchungsrichter (Rechter-Commissaris) ausgeübt, und ihre Anwendung muss protokolliert werden, damit die Verteidigung und das Gericht sie später überprüfen können. Ein Verdächtiger kann unter bestimmten Umständen auch zur Herausgabe verschlüsselter Daten verpflichtet werden, und Geräte können beschlagnahmt und untersucht werden. Da die Tat und ihre Auswirkungen oft in verschiedenen Ländern stattfinden, sind Gerichtsbarkeit und Zusammenarbeit ebenso wichtig wie die eigentliche Straftat. Die Niederlande sind Vertragsstaat des Budapester Übereinkommens des Europarats über Computerkriminalität, nutzen den Europäischen Ermittlungsbeschluss für Beweismittel innerhalb der Europäischen Union und arbeiten mit diesem zusammen. Europol und sein Europäisches Zentrum für Cyberkriminalität Und durch Eurojust wenn Verfahren in mehreren Mitgliedstaaten gleichzeitig laufen, parallel zur Zusammenarbeit mit INTERPOL über die Europäische Union hinaus. Für die Person, gegen die ermittelt wird, sind die praktischen Konsequenzen bekannt: das Recht zu schweigen, das Recht, vor und während der Vernehmung einen Anwalt zu konsultieren und sich von ihm vertreten zu lassen, und eine Akte, die größtenteils aus technischem Material besteht, das geprüft und nicht einfach hingenommen werden darf.Was ein Opfer tun kann
Melden Sie den Vorfall. Eine polizeiliche Anzeige (aangifte) ist die Grundlage für die Einleitung einer Untersuchung, und unsere Anleitung zum Ausfüllen eines Polizeiberichts erklärt, wie das geht. Sichern Sie alle Beweise, bevor Sie etwas neu installieren: Protokolldateien, die betroffenen Systeme, E-Mail-Header, Zahlungsreferenzen und eine Zeitleiste der festgestellten Vorfälle. Benachrichtigen Sie umgehend die Bank, auf die Zahlungen umgeleitet wurden, da eine schnelle Rückbuchung oft die einzige Chance ist, das Geld zurückzuerhalten. Informieren Sie außerdem die Datenschutzbehörde, falls personenbezogene Daten betroffen waren. Strafverfahren und Entschädigung sind separate Verfahren, die jedoch kombiniert werden können. Ein Opfer kann sich dem Strafverfahren als Geschädigter anschließen und dort Schadensersatz fordern. Dies ist effizient, eignet sich aber nur für Ansprüche, die das Strafverfahren nicht übermäßig belasten. Größere oder strittige Ansprüche werden vor den Zivilgerichten auf Grundlage einer rechtswidrigen Handlung gemäß Artikel 6:162 des Bürgerlichen Gesetzbuches geltend gemacht. Einstweilige Verfügungen stehen zur Verfügung, wenn Daten schnell offline genommen werden müssen. Die wichtigsten Schritte in den ersten Tagen nach einem Angriff sind in unserem Artikel für [Artikelnummer einfügen] beschrieben. Opfer von Cyberangriffen.Wie Law & More kann helfen
Law & More Wir beraten und vertreten Mandanten auf beiden Seiten solcher Fälle: Organisationen, die angegriffen wurden und Beweise sichern, ihren Meldepflichten nachkommen und ihren Schaden wiedergutmachen müssen, sowie Einzelpersonen oder Unternehmen, die im Rahmen strafrechtlicher Ermittlungen wegen Computerbetrugs, Datenbeschädigung oder Online-Betrugs verdächtigt werden. Wir prüfen außerdem Penetrationstests und Richtlinien zur Offenlegung von Sicherheitslücken, bevor die Arbeiten beginnen – ein Zeitpunkt, an dem sich der Großteil des rechtlichen Risikos noch minimieren lässt. Anwälte für Cyberkriminalität Sie können über die auf dieser Website angegebenen Kontaktdaten erreicht werden.Gesetze gegen Cyberkriminalität und Hacking
Was gilt nach niederländischem Recht als Cyberkriminalität?
Unter Cyberkriminalität versteht man jede kriminelle Aktivität, die über Computer, Netzwerke oder das Internet ausgeführt wird, einschließlich des Eindringens in Computersysteme, des Diebstahls von Daten, des Startens von DDoS-Angriffen, des Einsatzes von Ransomware und des Begehens von Online-Betrug, die alle im Strafgesetzbuch detailliert beschrieben sind.
Was genau verbietet das niederländische Hacking-Gesetz?
Nach Artikel 138ab des Strafgesetzbuches ist es illegal, vorsätzlich in Computersysteme einzudringen, sei es durch Umgehung von Sicherheitsmaßnahmen, Verwendung gefälschter Zugangsdaten oder Ausnutzung von Softwarefehlern.
Welche wirtschaftlichen Folgen hat eine Datenschutzverletzung in den Niederlanden?
Über die unmittelbaren finanziellen Verluste hinaus sehen sich Unternehmen oft mit zusätzlichen Kosten für die Behebung von Problemen, die Benachrichtigung von Kunden und die Bewältigung rechtlicher Risiken konfrontiert, hinzu kommen ein sinkendes Kundenvertrauen, potenzielle Reputationsschäden und mögliche Bußgelder nach Gesetzen wie der DSGVO.
Werden Cyberkriminalitätsdelikte nach niederländischem Recht als geringfügige Vergehen behandelt?
Nein, diese Vergehen werden sehr ernst genommen und als echte Straftaten mit schwerwiegenden rechtlichen Konsequenzen behandelt, nicht nur als geringfügige technische Verstöße.
Wie Law & More Wie wir Ihnen dabei helfen können, wird auf unserer Website erklärt. Anwalt für Strafrecht
