Server Hacking (Österreich)

Hallo!

Ich würde jemanden suchen, der sich mit dem österreichischen Recht bzgl. Computer und Internet auskennt. Und zwar würde mich folgendes interessieren:

Angenommen es gibt in einer Schule einen Server, der als Webserver, Mailserver und als Gateway für das Schulnetz dient. Ein Schüler dieser Schule (über 18) hat einen Account auf diesem Server um eigene Seiten ins Netz zu stellen. Da Schulserver meistens etwas älter sind (z.B. eine Linuxversion aus 2002 ohne weitere Sicherheitsupdates) gelingt es dem Schüler den auf dem Server root zu werden, indem er ein Exploit von seinem Account aus ausführt.
Danach verändert er die Passwort Datei (sperrt alle bis auf sich selbst aus) und sichert diese zuvor ab. Weiters erstellt er eine neue Homepage, sichert aber auch die alte auf dem Server.
Somit ist die Homepage geändert, der Admin ausgesperrt, aber alles wäre wieder 1 zu 1 herstellbar, da alles gesichert ist.

Wie könnte die rechtliche Lage dieses Schülers nun aussehen?

LG

Hallo Tom,

als lediglich Nachbar Südstaatler hab ich nur wenig Einblicke in euere tatsächliche Rechtsprechung. Ich denke aber, dass das österrreichische Strafgesetzbuch hier einschlägige Strafen androht:

§ 126b Störung der Funktionsfähigkeit eines Computersystems

„Wer die Funktionsfähigkeit eines Computersystems, über das er nicht oder nicht allein verfügen darf, dadurch schwer stört, dass er Daten eingibt oder übermittelt, ist, wenn die Tat nicht nach § 126a mit Strafe bedroht ist, mit Freiheitsstrafe bis zu sechs Monaten oder mit Geldstrafe bis zu 360 Tagessätzen zu bestrafen.“

Gruß Ivo

Hallo!

Ich als System-Admin waere in diesem Fall froh, dass es ein eigener Schueler war, und nicht jemand von ausserhalb (was bei der Beschreibung des Systems bestimmt auch moeglich gewesen waere) und das dieser Schueler es zugegeben hat.
Da keine Daten verloren gingen wuerde ich mich ‚bedanken‘ fuer den Hinweis auf die Sicherheitsluecken, und versuchen diese zu stopfen! (evtl. mit Hilfe des Schuelers). Sicherheitsupdates und Linux ist kostenlos, von daher duerften das keine Finanziellen Probleme geben.
Und der Schueler hat immerhin gezeigt, das er etwas gelernt hat :wink:
So denken wohl aber nicht alle…
Gruss
Dirk

[Bei dieser Antwort wurde das Vollzitat nachträglich automatisiert entfernt]

Danke für die schnelle Antwort!
Könnte es hier etwas bewirken, wenn diese Tat als Maturastreich gedacht gewesen wäre?
Mir ist schon klar, dass vor Gericht nur die Fakten zählen, aber würde soetwas wirklich so streng gehandhabt werden? Vorallem weil das restliche System funktionsfähig geblieben und auch kein Zugriff auf wichtige Schuldaten erfolgt wäre (persönliche Lehrerdaten …)?

Und wie sieht das aus mit der Serversicherheit. Ist es nicht eine Pflicht einen Server abzusichern (und nicht mit einer 3 Jahre alten Software herumdümpeln zu lassen)?

LG

Danke für die schnelle Antwort!
Könnte es hier etwas bewirken, wenn diese Tat als
Maturastreich gedacht gewesen wäre?
Mir ist schon klar, dass vor Gericht nur die Fakten zählen,
aber würde soetwas wirklich so streng gehandhabt werden?
Vorallem weil das restliche System funktionsfähig geblieben
und auch kein Zugriff auf wichtige Schuldaten erfolgt wäre
(persönliche Lehrerdaten …)?

Muss so ein fall denn ueberhaupt bis vors Gericht gehen. Soetwas laesst sich doch bestimmt auch innerhalb der Schule regeln. (Natuerlich abhaengig vom entstandenen Schaden!)

Und wie sieht das aus mit der Serversicherheit. Ist es nicht
eine Pflicht einen Server abzusichern (und nicht mit einer 3
Jahre alten Software herumdümpeln zu lassen)?

Der Serverbetreiber hat klar gestellt, dass er su ist, und die anderen Nutzer eben nicht. Damit hat er den Server abgesichert - jeder Eindringling konnte klar erkennen, dass ihn der root account nichts angeht :wink:
Mehr ist wohl nicht noetig. (Allerdings kenne ich die genau Gesetzenslage in Oesterreich nicht, am meistens ist es so o.ae.)

Gruss
Dirk

Und wie sieht das aus mit der Serversicherheit. Ist es nicht
eine Pflicht einen Server abzusichern (und nicht mit einer 3
Jahre alten Software herumdümpeln zu lassen)?

„Aber es war doch so einfach Herr Richter“ ist in keinem Fall eine vernünftige Argumentation. In diesem Fall nicht und auch in keinem anderen. Verboten ist verboten, auch wenn es noch so lockt. Ältere Autos kann auch jeder Laie mit einem Lineal oder Draht knacken, kein Grund das dann auch wirklich zu tun.

mfg
Simon

Wie gesagt, ich kenne mich in der österreichischen Rechtssprechung kaum aus. Daher fällt es mir schwer irgenwelche Aussagen hierzu zu treffen.

Persönlich würde ich es so einschätzen, dass auch hier eventuell Jugendstrafrecht (heißt bei euch Jugendgerichtsbarkeit? glaube ich) angewandt würde, sofern dies noch anwendbar ist.

Meinen kurzen Recherchen bei google nach zu urteilen, würdest du (und mit Blick auf die Vika) wohl noch darunter fallen, denn diese wird wohl bis 19 Jahre dort automatisch angewendet?

http://www.aeiou.at/aeiou.encyclop.j/j783653.htm

Ich persönlich würde mich vor der ersten Vernehmung anwaltlich beraten lassen.

Gruß Ivo

Muss so ein fall denn ueberhaupt bis vors Gericht gehen.
Soetwas laesst sich doch bestimmt auch innerhalb der Schule
regeln. (Natuerlich abhaengig vom entstandenen Schaden!)

Seltsamerweise ja. Nicht jede Schule kann Konflikte auf einfache Art und Weise lösen …

Persönlich würde ich es so einschätzen, dass auch hier
eventuell Jugendstrafrecht (heißt bei euch
Jugendgerichtsbarkeit? glaube ich) angewandt würde, sofern
dies noch anwendbar ist.

Danke für die Info. Das wusste ich gar nicht. Ich dachte mir immer, dass man ab 18 gerichtlich ohne jegliche Begünstigungen behandelt wird …

Hallo,

die angegebene Strafrechtsbestimmung dürfte anwendbar sein, und die Sache mit der Jugendgerichtsbarkeit auch. Das dürfte bei Euch jenseits der Alpen nicht ander aussehen als bei uns.

Um es ganz klar zu sagen: Das es einfach war die Tat zu begehen ist ein Argument, was nur im Bereich der Internetkriminalität auftaucht! Deshalb aber dort genau so wenig zählt wie anderswo (auch wenn es tatsächlich einige kuriose Urteile in Einzelfällen gegeben hat). Würde man es helten lassen, bräuchten wir uns mit Ladendieben (kann man einfacher als im Supermarkt klauen) ebenso wenig beschäftigen wie mit Mördern (was glaubst Du, wie einfach es ist einen Menschen mit einem Ziegelstein zu erschlagen, der so leichtfertig ist, ohne Helm aus dem Haus zu gehen). D.h. in diese Richtung sollte man erst gar nicht argumentieren, damit macht man sich üblicherweise bei Gericht und Staatsanwaltschaft keine Freunde.

Gleiche gilt für den (ebenfalls nur im Bereich der Internetkriminalität) immer wieder gern gehörten Hinweis, man habe nur auf mangelnde Sicherheitsvorkehrungen hinweisen wollen. Bleiben wir beim Ziegelstein, mit dem man nicht nur auf die Gefährlichkeit der Bewegung im öffentlichen Raum ohne Schutzhelm hinweisen kann, sondern auch auf die Fahrlässigkeit nicht überall Panzerglas einzubauen (drei gezielte Würfe auf Fenster und Wagenscheiben des Nachbarn, und er weiß Bescheid). Und daran ändert auch nichts die ebenfalls immer gerne angehängte Argumentation, es sei ja etwas anderes, ob man das Fenster einwerfen würde, oder nur den Zugriff auf einen Server sperren würde, wobei ja „kein Schaden“ entstehen würde. Die Entziehung der Nutzungsmöglichkeit an sich ist grundsätzlich als Schaden anerkannt, und wird teilweise sogar getrennt strafrechtlich verfolgt (in D z.B. 248b StGB für Fahrzeuge oder 290 für unrechtmäßige Nutzung von Pfandgegenständen). Generell ist aber schon seit Reichsgerichtszeiten anerkannt und herrschenden Meinung, dass jegliche Beeinträchtigung einer Sache, die deren Funktion und Zweckbestimmung beeinträchtigt als Sachbeschädigung gilt, und folglich sind die Bestimmungen zu Daten (die keine Sachen sind) dann eben auch gleich hieran anschließend in das Gesetz aufgenommen worden, stehen also in der gleichen Tradition. Und da das Recht in A ziemlich parallel mit dem Recht in D läuft und so schöne Dinge aus Reichsgerichtszeiten eigentlich grundsätzlich auf beiden Seiten der Alpen einen mehr oder weniger identischen Niederschlag gefunden haben, kannst Du davon ausgehen, dass man die Sache bei Euch nicht anders sehen wird.

D.h. dass Du da strafrechtlich relevanten Mist gebaut hast, daran beisst die Maus keinen Faden ab. Und wenn Du nicht ganz wunderbare Zweifel an deiner Täterschaft wecken kannst, bist Du dran.

Um jetzt aber mal zu dem zu kommen, was am Ende herauskommen wird: Wenn der Server problemlos wieder in Betrieb genommen werden kann, die Nutzungsentziehung nur kurz gedauert hat und Du vor der Staatsanwaltschaft den Zerknirschten gibst, die Sache klar einräumst und erklärst, dass Du das Thema bislang offenbar falsch eingeschätzt hast und erst jetzt Dir darüber klar geworden bist, dass es keine gute Idee war und nunmehr weißt, dass es die Schwelle zur Strafbarkeit überschritten hat, wird die Sache vermutlich noch von der Staatsanwaltschaft gegen entsprechende Ermahnung oder kleine Auflage eingestellt werden. Maximal macht dies dann der Richter. Mehr als vielleicht ein paar Sozialstunden o.ä. (müsste jetzt nachsehen, was es da in A so an Möglichkeiten gibt) wird ohne Nachweis schwererer und dauerhafter Schäden nicht dabei herumkommen.

Wenn Du es irgendwie finanzieren kannst, würde ich aber einen spezialisierten Anwaltskollegen vor Ort beauftragen, Dich zu vertreten. Der bekommt dann Akteneinsicht und sorgt dann dafür, dass Du nicht mehr einräumst, als man Dir tatsächlich vorwirft und kennt die Regularien und macht Staatsanwaltschaft und Gericht die passenden Vorschläge um die Sache schnell und günstig für Dich zu beenden.

Gruß vom Wiz, der BTW jetzt keine Diskussion mit der Hackerfraktion über Sinn/Unsinn dieser oder einer anderen Sichtweise der Problematik haben will, da diese zu nichts führt. Gerichte sehen die Sache so, und die fällen im Zweifelsfall die Urteile (und nicht die lieben Hackerkollegen, die ja alle nur gute Menschen sind, die sich um die Sicherheit ihrer Mitmenschen sorgen).

[Bei dieser Antwort wurde das Vollzitat nachträglich automatisiert entfernt]

Das musste natuerlich ein Sternchen geben!
Super Antwort!

Gruss
Dirk

Danke schön für diese wirklich ausgezeichnete Aufklärung zu diesem Thema! Na dann hoff ich mal, dass ich noch was retten kann!

LG

Hallo!

Also ob so ein Sachverhalt den Straftatbestand des schon zitierten 126b StGB erfüllt oder nicht, weiß ich nicht auswendig, müsste ich mir anschauen. Mach ich, wenn ich Zeit dazu habe.

Grundsätzlich sind solche Streiche natürlich nicht besonders schlau, es handelt sich immerhin um Offizialdelikte, sodass auch der Geschädigte die Verfolgung nicht verhindern kann, selbst wenn er wollte.

Was ihr im konkreten Fall machen sollt, kann ich und werde ich seriöserweise hier nicht sagen (auch wenn ich es dürfte, da es ja in Österreich Gott sei Dank nicht so ein Rechtsberatungsgesetz gibt), „Ferndiagnosen“ sind auch im Rechtsberatungsbereich sehr gefährlich, daher werde ich keine konkreten Ratschläge geben.

Am besten wäre es natürlich, wenn ihr euch an einen Anwalt vor Ort wendet. Wenn das aus finanziellen Gründen nicht gehen sollte, dann könntet ihr auch mal ein nettes Gespräch mit dem zuständigen Richter suchen oder wenn der Akt noch bei der Staatsanwaltschaft ist ein Gespräch mit dem Bezirksanwalt. Gerade am Land geht das auch ganz gut und wenn es eh klar ist, dass ihr es wart, dann wäre es ohnehin nicht sinnvoll, die Tat zu bestreiten. Solange ihr anwaltlich nicht vertreten seit, könnt ihr selbst Akteneinsicht nehmen. Sobald die Staatsanwaltschaft einen Strafantrag gestellt hat, habt ihr das Recht auf Akteneinsicht bei Gericht, solange der Akt noch bei der Staatsanwaltschaft ist, muss diese keine Akteneinsicht gewähren, kann das aber machen.

Eines kann ich jedenfalls schon allgemein sagen, die Sache wird, da kein Schaden entstanden ist, nicht so schlimm werden und kann, sollte die Tat tatsächlich irgendeinen Straftatbestand erfüllen (was ich jetzt nicht auswendig sicher sagen kann), wahrscheinlich diversionell, also ohne Verurteilung, erledigt werden.

Gruß
Tom

Offizialdelikt
Hallo!

Muss so ein fall denn ueberhaupt bis vors Gericht gehen.
Soetwas laesst sich doch bestimmt auch innerhalb der Schule
regeln. (Natuerlich abhaengig vom entstandenen Schaden!)

Sobald etwas ein Offizialdelikt ist, ist das nicht mehr möglich.

Gruß
Tom

Wiso soll das eine Offizialdelikt sein? Heisst Offizialdelikt nicht, dass ermittelt wird, ohne das Anzeige erstattet wird?
In diesem Fall hat doch bestimmt die Schule Anzeige erstattet?

Gruss
Dirk, der nicht dumm sterben will :wink:

[Bei dieser Antwort wurde das Vollzitat nachträglich automatisiert entfernt]

Wiso soll das eine Offizialdelikt sein? Heisst Offizialdelikt
nicht, dass ermittelt wird, ohne das Anzeige erstattet wird?
In diesem Fall hat doch bestimmt die Schule Anzeige erstattet?

Der Fall war, dass die Schule eine Anzeige erstattete. Der einzige Schaden war, dass der Admin kurzzeitig ausgesperrt war und eine (Maturastreich)Homepage für drei Tage online war. So eng würde ich persönlich das ganze ja nicht sehen - meine Schule aber schon …

Hallo!

Wiso soll das eine Offizialdelikt sein? Heisst Offizialdelikt
nicht, dass ermittelt wird, ohne das Anzeige erstattet wird?

Richtig, aber die Strafverfolgungsbehörde muss natürlich Kenntnis von der Tat erlangen.

In diesem Fall hat doch bestimmt die Schule Anzeige erstattet?

Eben dadurch hat die Strafverfolgungsbehörde Kenntnis erlangt. Man darf auch nicht vergessen, dass eine öffentliche Schule eine öffentliche Einrichtung ist, die Straftaten grundsätzlich anzeigen muss.

In diesem Zusammenhang wird gerne der Unterschied zwischen Strafantrag und Anzeige vermischt: einen Strafantrag stellt man, wenn es sich um ein Delikt handelt, welches die Staatsanwaltschaft nur auf Antrag des Geschädigten das Delikt verfolgt (in Österreich gibt es nur ganz wenige dieser Delikte) - diesen Strafantrag bezeichnen viele Menschen als Anzeige.

Eine Anzeige ist aber nichts anderes als eine Information der Behörde - daher ist ja auch eine Anzeige nur sinnvoll, wenn es sich um ein Offizialdelikt handelt, da die Behörde dann auf Grund der Anzeige tätig werden muss.

Gruß
Tom

Gruß
Tom

1 „Gefällt mir“

Danke fuer die ausfuerhliche Antwort!
Noch eine Frage hab ich:

Hallo!

Wiso soll das eine Offizialdelikt sein? Heisst Offizialdelikt
nicht, dass ermittelt wird, ohne das Anzeige erstattet wird?

Richtig, aber die Strafverfolgungsbehörde muss natürlich
Kenntnis von der Tat erlangen.

In diesem Fall hat doch bestimmt die Schule Anzeige erstattet?

Eben dadurch hat die Strafverfolgungsbehörde Kenntnis erlangt.
Man darf auch nicht vergessen, dass eine öffentliche Schule
eine öffentliche Einrichtung ist, die Straftaten grundsätzlich
anzeigen muss.

Passt nicht mehr richtig zum Thema, aber:
Muss eine Schule Straftaten wirklich grundsaetzlich anzeigen? Wenn z.B. ein Schueler beim Stehlen (unwesentlicher Werte) erwischt wird, muesste das immer angezeigt werden? (Ich denke, dass das naemlich bestimmt nicht so ist, sondern erst mal ein Gespraech mit Lehrer-Eltern gefuehrt wird!?)

Gruss
Dirk

Hallo,

Muss eine Schule Straftaten wirklich grundsaetzlich anzeigen?
Wenn z.B. ein Schueler beim Stehlen (unwesentlicher Werte)
erwischt wird, muesste das immer angezeigt werden? (Ich denke,
dass das naemlich bestimmt nicht so ist, sondern erst mal ein
Gespraech mit Lehrer-Eltern gefuehrt wird!?)

Ich tippe mal darauf, dass es in A ähnlich gehandelt wird wie in D. Es gibt teilweise Erlasse auf Ebene von Land oder Bezirksregierung (oder sonstiger vorhandener Mittelbehörde) die Schulleiter anweisen bestimmte Delikte zur Anzeige zu bringen und im Übrigen die pädagogische Aufgabe der Schulen in den Vordergrund stellen und es somit den Schulleitern freistellt ggf. von Anzeigen abzusehen.

Ich sehe hier (sollte es nicht einen Zwang zur Anzeige gegeben haben) auch eine Überreaktion der Schulleitung. Das ändert aber natürlich nichts daran, dass die Sache jetzt „im Rollen“ ist und von der Schule auch nicht mehr gestoppt werden könnte, da es eben nicht um Antragsdelikte geht.

Gruß vom Wiz