{"status":"available","ecli":"ECLI:DE:BVerfG:2009:rk20090518.2bvr223307","court":"BVerfG","senate":"Kammer des Zweiten Senats","decided":"2009-05-18","aktenzeichen":"2 BvR 2233/07","doktyp":"Beschluss","leitsatz":null,"text_plain":"BUNDESVERFASSUNGSGERICHT\n- 2 BVR 2233/07 -\n- 2 BVR 1151/08 -\n- 2 BVR 1524/08 -\n\n                               In den Verfahren\n                                     über\n                         die Verfassungsbeschwerden\n\n1.         des Herrn F...,\n\n- Bevollmächtigte: Feil Rechtsanwälte,\n                   Georgsplatz 9, 30159 Hannover -\n                     gegen § 202c StGB\n\n- 2 BVR 2233/07 -,\n\n2.     des Herrn Prof. Dr. W...,\n\n- Bevollmächtigter: Rechtsanwalt Dr. Fredrik Roggan,\n                    Müllerstraße 153, 13353 Berlin -\ngegen § 202c Abs. 1 Nr. 2 StGB in Verbindung mit § 202a StGB, in der Fassung\n      des 41. Strafrechtsänderungsgesetzes zur Bekämpfung der Computerkriminalität vom 7. August 2007 (BGBl I S. 1786), in Kraft seit dem 11. August\n      2007, soweit die Herstellung, das Verschaffen, das Überlassen, das Verbreiten und sonstige Zugänglichmachen von Computerprogrammen unter\n      Strafe gestellt wird\n\n- 2 BVR 1151/08 -,\n\n3.         des Herrn K...,\n\n         gegen § 202c Abs. 1 Nr. 2 StGB\n\n- 2 BVR 1524/08 -\n\nhat die 2. Kammer des Zweiten Senats des Bundesverfassungsgerichts durch\n                                   die Richter Broß,\n                                   Di Fabio\n                                   und Landau\n\ngemäß § 93b in Verbindung mit § 93a BVerfGG in der Fassung der Bekanntmachung vom 11. August 1993 (BGBl I S. 1473) am 18. Mai 2009 einstimmig beschlossen:\n\nDie Verfahren werden zur gemeinsamen Entscheidung verbunden.\n\n\n\n                                          1/18\n\nDie Verfassungsbeschwerden werden nicht zur Entscheidung angenommen.\n\n                                      Gründe:\n\n                                            A.\n Die Verfahren betreffen die Frage, ob die Strafbarkeit des Vorbereitens des Ausspähens und Abfangens von Daten nach § 202c Abs. 1 StGB, insbesondere dessen Nr.\n2, mit dem Grundgesetz vereinbar ist.\n\n                                            I.\n 1. § 202c wurde durch Art. 1 Nr. 3 des 41. Strafrechtsänderungsgesetzes zur Bekämpfung der Computerkriminalität vom 7. August 2007 (BGBl I S. 1786) zusammen\nmit § 202b in das Strafgesetzbuch eingefügt und trat am 11. August 2007 in Kraft.\nGleichzeitig wurde § 202a StGB geändert. Die Vorschriften gelten seitdem unverändert mit folgendem Wortlaut:\n\n        § 202c Vorbereiten des Ausspähens und Abfangens von Daten                         3\n\n(1) Wer eine Straftat nach § 202a oder § 202b vorbereitet, indem er                       4\n\n1. Passwörter oder sonstige Sicherungscodes, die den Zugang zu Daten (§ 202a              5\nAbs. 2) ermöglichen, oder\n\n2. Computerprogramme, deren Zweck die Begehung einer solchen Tat ist,                     6\n\nherstellt, sich oder einem anderen verschafft, verkauft, einem anderen überlässt,         7\nverbreitet oder sonst zugänglich macht, wird mit Freiheitsstrafe bis zu einem Jahr\noder mit Geldstrafe bestraft.\n\n(2) § 149 Abs. 2 und 3 gilt entsprechend.                                                 8\n\n                           § 202a Ausspähen von Daten                                     9\n\n(1) Wer unbefugt sich oder einem anderen Zugang zu Daten, die nicht für ihn bestimmt und die gegen unberechtigten Zugang besonders gesichert sind, unter Überwindung der Zugangssicherung verschafft, wird mit Freiheitsstrafe bis zu drei Jahren oder mit Geldstrafe bestraft.\n\n(2) Daten im Sinne des Absatzes 1 sind nur solche, die elektronisch, magnetisch          11\noder sonst nicht unmittelbar wahrnehmbar gespeichert sind oder übermittelt werden.\n\n                           § 202b Abfangen von Daten                                     12\n\nWer unbefugt sich oder einem anderen unter Anwendung von technischen Mitteln             13\nnicht für ihn bestimmte Daten (§ 202a Abs. 2) aus einer nichtöffentlichen Datenübermittlung oder aus der elektromagnetischen Abstrahlung einer Datenverarbeitungsanlage verschafft, wird mit Freiheitsstrafe bis zu zwei Jahren oder mit Geldstrafe bestraft, wenn die Tat nicht in anderen Vorschriften mit schwererer Strafe bedroht ist.\n\n\n\n\n                                            2/18\n\n Durch entsprechende Verweise in § 303a Abs. 3 und § 303b Abs. 5 StGB gilt § 202c     14\nStGB ferner entsprechend für die Vorbereitung von Straftaten der Datenveränderung\nund der Computersabotage.\n\n  2. Das 41. Strafrechtsänderungsgesetz diente der Umsetzung von Rechtsinstrumenten des Europarats und der Europäischen Union (vgl. Gesetzesbegründung der\nBundesregierung, BTDrucks 16/3656, S. 1, 7 f.), namentlich des Übereinkommens\ndes Europarats über Computerkriminalität vom 23. November 2001 und des Rahmenbeschlusses 2005/222/JI des Rates vom 24. Februar 2005 über Angriffe auf Informationssysteme (ABlEU Nr. L 69 vom 16. März 2005, S. 67).\n\n  Das Übereinkommen über Computerkriminalität (engl.: Convention on Cybercrime)       16\ndes Europarats wurde am 23. November 2001 in Budapest von Mitgliedstaaten des\nEuroparats - darunter Deutschland - und einigen Nichtmitgliedstaaten - darunter den\nVereinigten Staaten von Amerika, Kanada und Japan - unterzeichnet. Es trat am 1.\nJuli 2004 nach Erfüllung der vorgesehenen Bedingungen (Ratifikation durch mindestens fünf Staaten, darunter drei Mitgliedstaaten des Europarats) in Kraft. Mit dem\n„Gesetz zu dem Übereinkommen des Europarats vom 23. November 2001 über\nComputerkriminalität“ vom 5. November 2008 (BGBl II S. 1242) hat der Deutsche\nBundestag dem Übereinkommen zugestimmt.\n\n Das Übereinkommen sieht vor, dass die Vertragsparteien den unbefugten Zugang         17\nzu Computersystemen (Art. 2), das unbefugte Abfangen nichtöffentlicher Computerdatenübermittlungen (Art. 3), das unbefugte Beschädigen, Löschen, Beeinträchtigen,\nVerändern oder Unterdrücken von Computerdaten (Art. 4) und die unbefugte schwere Behinderung des Betriebs eines Computersystems (Art. 5) unter Strafe stellen.\nArt. 6 enthält in diesem Zusammenhang Bestimmungen über die Strafbarkeit wegen\nMissbrauchs von Vorrichtungen (zitiert nach der Übersetzung BGBl 2008 II S.\n1243 ff.):\n\n(1) Jede Vertragspartei trifft die erforderlichen gesetzgeberischen und anderen       18\nMaßnahmen, um folgende Handlungen, wenn vorsätzlich und unbefugt begangen,\nnach ihrem innerstaatlichen Recht als Straftaten zu umschreiben:\n\n(a) das Herstellen, Verkaufen, Beschaffen zwecks Gebrauchs, Einführen, Verbreiten     19\noder anderweitige Verfügbarmachen\n\n(i) einer Vorrichtung einschließlich eines Computerprogramms, die in erster Linie     20\ndafür ausgelegt oder hergerichtet worden ist, eine nach den Artikeln 2 bis 5 umschriebene Straftat zu begehen;\n\n(ii) eines Computerpassworts, eines Zugangscodes oder ähnlicher Daten, die den        21\nZugang zu einem Computersystem als Ganzem oder zu einem Teil davon ermöglichen,\n\nmit dem Vorsatz, sie zur Begehung einer nach den Artikeln 2 bis 5 umschriebenen       22\nStraftat zu verwenden, und\n\n\n\n                                         3/18\n\n(b) den Besitz eines unter Buchstabe a Ziffer i oder ii bezeichneten Mittels mit dem      23\nVorsatz, es zur Begehung einer nach den Artikeln 2 bis 5 umschriebenen Straftat zu\nverwenden. Eine Vertragspartei kann als gesetzliche Voraussetzung vorsehen, dass\ndie strafrechtliche Verantwortlichkeit erst mit Besitz einer bestimmten Anzahl dieser\nMittel eintritt.\n\n(2) Dieser Artikel darf nicht so ausgelegt werden, als begründe er die strafrechtliche    24\nVerantwortlichkeit in Fällen, in denen das Herstellen, Verkaufen, Beschaffen zwecks\nGebrauchs, Einführen, Verbreiten oder anderweitige Verfügbarmachen oder der Besitz nach Absatz 1 nicht zum Zweck der Begehung einer nach den Artikeln 2 bis 5\numschriebenen Straftat, sondern beispielsweise zum genehmigten Testen oder zum\nSchutz eines Computersystems erfolgt.\n\n(3) …                                                                                     25\n\n  Nach dem Erläuternden Bericht („Explanatory Report”) des Europarats bezieht sich        26\ndie Erwähnung eines „Computerprogramms“ in Art. 6 auf Programme, die beispielsweise - wie Virenprogramme - dafür gestaltet worden sind, Daten zu verändern oder\ngar zu zerstören oder in Datenverarbeitungsvorgänge einzugreifen, oder die dazu gestaltet oder eingerichtet worden sind, Zugang zu Computersystemen zu erhalten\n(„programs that are for example designed to alter or even destroy data or interfere\nwith the operation of systems, such as virus programs, or programs designed or adapted to gain access to computer systems“, Rn. 72 des im Internet unter\nhttp://conventions.coe.int/Treaty/en/Reports/Html/185.htm\n[http://conventions.coe.int/Treaty/en/Reports/Html/185.htm] abrufbaren Berichts). Im\nWege eines vernünftigen Kompromisses beschränke das Übereinkommen seine Anwendbarkeit auf Fälle, in denen Vorrichtungen objektiv in erster Linie dazu gestaltet\noder eingerichtet worden sind, eine Straftat zu begehen. Dies allein werde „dual-use-Vorrichtungen” in der Regel ausschließen („As a reasonable compromise the Convention restricts its scope to cases where the devices are objectively designed, or adapted, primarily for the purpose of committing an offence. This alone will usually\nexclude dual-use devices”, a.a.O. Rn. 73).\n\n  3. a) Die Bundesregierung führte in der Begründung ihres - letztlich unverändert        27\nvom Deutschen Bundestag verabschiedeten - Gesetzesentwurfs zu § 202c (BT-Drucks 16/3656, S. 11 f.) aus, mit der Vorschrift sollten bestimmte besonders gefährliche Vorbereitungshandlungen selbstständig mit Strafe bedroht werden. Erfasst würden insbesondere die so genannten Hacker-Tools, die bereits nach der Art und\nWeise ihres Aufbaus darauf angelegt seien, illegalen Zwecken zu dienen, und die\naus dem Internet weitgehend anonym geladen werden könnten. Die durch das Internet mögliche Weiterverbreitung und leichte Verfügbarkeit der Hacker-Tools sowie ihre einfache Anwendung stellten eine erhebliche Gefahr dar, die nur dadurch effektiv\nbekämpft werden könne, dass bereits die Verbreitung solcher an sich gefährlicher\nMittel unter Strafe gestellt würde.\n\n Eine Einschränkung der Strafbarkeit nach Abs. 1 Nr. 2 solle - in Anlehnung an            28\n\n\n                                          4/18\n\n§ 263a Abs. 3 StGB - dadurch erreicht werden, dass bereits im objektiven Tatbestand\nauf die Bestimmung des Computerprogramms als Mittel zur Begehung einer Straftat\nnach den § 202a und § 202b StGB abgestellt werde, um eine „Überkriminalisierung“\nzu verhindern. Es komme insoweit auf die (objektivierte) Zweckbestimmung des Programms an. Somit sei sichergestellt, dass nur Hacker-Tools erfasst würden und die\nallgemeinen Programmier-Tools, -sprachen oder sonstigen Anwendungsprogramme\nbereits nicht unter den objektiven Tatbestand der Strafvorschriften fielen. Das Programm müsse aber nicht ausschließlich für die Begehung einer Computerstraftat bestimmt sein. Es reiche, wenn die objektive Zweckbestimmung des Tools auch die Begehung einer solchen Straftat sei.\n\n b) Der Bundesrat äußerte in seiner Stellungnahme (BTDrucks 16/3656, S. 16 f.) Bedenken gegen den Gesetzentwurf. Der Tatbestand des § 202c StGB sei sehr weit geraten. Der Bundesrat bat insbesondere zu prüfen, ob die tatbestandliche Fassung\ndes § 202c StGB den gutwilligen Umgang mit allgemeinen Programmier-Tools, -\nsprachen oder sonstigen Softwareprogrammen sowie „Hacker-Tools“ zur Sicherheitsüberprüfung von IT-Systemen - ausreichend vor Kriminalisierung schütze\n(a.a.O. S. 17).\n\n  c) Die Bundesregierung hielt an dem vorgeschlagenen Wortlaut des § 202c StGB           30\nfest und vertrat in ihrer Gegenäußerung (BTDrucks 16/3656, S. 18 f.) die Auffassung,\ndass die Nichterfassung des gutwilligen Umgangs mit Softwareprogrammen zur Sicherheitsüberprüfung von IT-Systemen über zwei Tatbestandsmerkmale sichergestellt sei.\n\n  Bereits die objektive Beschränkung des Tatbestands auf Computerprogramme, deren Zweck die Begehung einer Computerstraftat sei, stelle sicher, dass keine Computerprogramme erfasst würden, die beispielsweise der Überprüfung der Sicherheit\noder Forschung in diesem Bereich dienten. Unter Strafe gestellt würde lediglich das\nHerstellen usw. solcher Programme, die nach Art und Weise des Aufbaus oder ihrer\nBeschaffenheit auf die Begehung von Computerstraftaten angelegt seien. Bei Programmen, deren funktionaler Zweck nicht eindeutig kriminell sei und die erst durch ihre Anwendung zu einem Tatwerkzeug eines Kriminellen oder aber zu einem legitimen\nWerkzeug würden - so genannte dual use tools - sei bereits der objektive Tatbestand\ndes § 202c StGB nicht erfüllt. Die bloße Eignung von Software zur Begehung von\nComputerstraftaten sei nicht ausreichend, so dass auch solche Programme aus dem\nTatbestand herausfielen, die lediglich zur Begehung von Computerstraftaten missbraucht werden könnten.\n\n Eine weitere Einschränkung ergebe sich daraus, dass die Tathandlung zur Vorbereitung einer Computerstraftat erfolgen müsse. Entscheidend sei, dass der Täter eine\neigene oder fremde Computerstraftat in Aussicht genommen habe. Das sei nicht der\nFall, wenn das Programm beispielsweise zum Zwecke der Sicherheitsüberprüfung,\nzur Entwicklung von Sicherheitssoftware oder zu Ausbildungszwecken in der IT-Sicherheitsbranche hergestellt, erworben oder einem anderen überlassen werde.\n\n\n\n                                         5/18\n\nDas gelte auch für den Fall, in dem ein Computerprogramm, das ursprünglich nur zu\nkriminellen Zwecken hergestellt worden sei, verschafft, verkauft, überlassen, verbreitet oder sonst zugänglich gemacht werde, wenn dies ausschließlich zu nicht kriminellen Zwecken erfolge und keine Anhaltspunkte für eine eigene oder fremde Computerstraftaten bestünden. Wenn also beispielsweise in den Fällen des Entwickelns\nvon Sicherheitssoftware auch Schadprogramme beschafft würden, dann erfolge dies\nnicht zur Vorbereitung einer Computerstraftat und sei daher auch nicht strafbar.\n\n d) Im Rahmen der Beratung der Gesetzesvorlage führte der Rechtsausschuss des              33\nDeutschen Bundestags am 21. März 2007 eine öffentliche Anhörung von Sachverständigen durch. Die Frage der Reichweite des § 202c StGB insbesondere im Hinblick auf so genannte dual use tools war Gegenstand sowohl der vorbereitenden\nschriftlichen Äußerungen der Sachverständigen als auch der mündlichen Diskussion (vgl. i. E. die Dokumentation unter http://www.bundestag.de/ausschuesse/a06/\nanhoerungen/Archiv/15_Computerkriminalitaet/index.html [http://www.bundestag.de/\nausschuesse/a06/anhoerungen/Archiv/15_Computerkriminalitaet/index.html] ).\n\n  e) Im Ergebnis empfahl der Rechtsausschuss dem Bundestag mit den Stimmen der             34\nFraktionen CDU/CSU, SPD, FDP und Bündnis 90/Die Grünen gegen die Stimmen\nder Fraktion Die Linke die unveränderte Annahme des Gesetzentwurfs der Bundesregierung (BTDrucks 16/5449, S. 1, 3). In der Anhörung des Rechtsausschusses von\nVertretern der IT-Branche vorgetragene Bedenken hinsichtlich des § 202c StGB seien sehr ernsthaft geprüft worden. Der Gesetzentwurf kriminalisiere nicht den branchenüblichen Einsatz von Hacker-Tools durch Netzwerkadministratoren, wenn diese\nnur die Sicherheit des eigenen Datennetzes prüfen wollten. Um Missverständnisse\nzu vermeiden, stelle der Rechtsausschuss klar, dass § 202c StGB hinsichtlich der\nZweckbestimmung im Sinne des Art. 6 des Europarats-Übereinkommens auszulegen sei. Danach seien nur Computerprogramme betroffen, die in erster Linie dafür\nausgelegt oder hergestellt würden, um damit Straftaten nach § 202a, § 202b StGB zu\nbegehen. Die bloße Geeignetheit zur Begehung solcher Straftaten begründe keine\nStrafbarkeit. Die geforderte Zweckbestimmung müsse eine Eigenschaft des Computerprogramms in dem Sinne darstellen, dass es sich um so genannte Schadsoftware\nhandle.\n\n                                           II.\n  1. a) Der Beschwerdeführer F... war Geschäftsführer der Firma V... Deutschland           35\nGmbH (im Folgenden: V...). Das Unternehmen bietet Dienstleistungen im Bereich der\nSicherheit von Informations- und Kommunikationstechnologien an. Im Rahmen ihres\nGeschäftsbetriebes führt die Firma V... unter anderem so genannte Penetrationstests\ndurch. Dabei handelt es sich um Sicherheitsüberprüfungen von EDV-Anlagen durch\nSimulation nicht autorisierter Zugriffsversuche: Die Mitarbeiter der V... versetzen sich\nin die Situation eines Angreifers und versuchen, Sicherheitslücken zu finden, um auf\ndiese Weise in das zu überprüfende EDV-System - typischerweise ein Netzwerk eines Unternehmens - einzudringen. Gegenstand der unternehmerischen Tätigkeit der\n\n\n                                          6/18\n\nV... ist damit unter anderem die Feststellung, wie verletzlich das Zielsystem für\n„Hacker-Angriffe“ ist. Nach Abschluss der Überprüfung wird ein Bericht erstellt, der\nes dem Inhaber der geprüften EDV-Anlage ermöglicht, im Falle aufgedeckter Sicherheitslücken Gegenmaßnahmen zu ergreifen und so die Systemsicherheit zu verbessern. Die V... wird dabei ausschließlich im Auftrag und mit Einverständnis des Betreibers der EDV-Anlage tätig.\n\n  Zur Realisierung der Penetrationstests setzt die Firma V... eine Vielzahl von EDV-      36\nProgrammen ein, deren mögliche Einsatzbereiche nicht immer eindeutig definiert\nsind. Teilweise handelt es sich um Analysewerkzeuge, die sowohl vom berechtigten\nNutzer / Administrator eines Computersystems zu dessen bestimmungsgemäßer\nWartung und Pflege als auch ohne oder gegen den Willen des Berechtigten zum\nZwecke des Ausspähens von Schwachstellen verwendet werden können (dual use\ntools). Teilweise entstammen die Programme auch anonymen „Hacker-Foren“ im Internet, die vermuten lassen, dass die Programme von ihren Urhebern zum Zwecke\ndes illegalen Eindringens in EDV-Systeme konzipiert wurden (so genannte malware\noder Schadsoftware).\n\n b) Mit der fristgerecht (§ 93 Abs. 3 BVerfGG) eingegangenen Verfassungsbeschwerde rügt der Beschwerdeführer F..., § 202c StGB verstoße gegen Art. 12 Abs.\n1 GG.\n\n  § 202c StGB greife in die Berufsfreiheit ein. Die Vorschrift habe eine objektive berufsregelnde Tendenz, indem sie die Beschaffung sowohl von eigentlicher Schadsoftware als auch von Programmen mit nicht eindeutiger Zweckbestimmung (dual use\ntools) verbiete. Auf die Beschaffung solcher Programme sei die Firma V... jedoch\nzwingend angewiesen. Das strafrechtliche Verbot des § 202c StGB mache der Firma\nV... also die Fortführung ihrer bisherigen Tätigkeit unmöglich, weswegen es sich hier\num eine objektive Zulassungsbeschränkung handle. Sofern die Bundesregierung im\nVerlauf des Gesetzgebungsverfahrens erklärt habe, Programme, die zur Begehung\nvon Computerstraftaten lediglich geeignet seien, fielen nicht unter die Vorschrift, habe diese Differenzierung im Gesetzestext keinen Niederschlag gefunden, was überdies gegen Art. 103 Abs. 2 GG verstoße.\n\n  Der Eingriff in Art. 12 Abs. 1 GG sei nicht gerechtfertigt. Mit der Einführung des      39\n§ 202c StGB hätten sowohl die private Wirtschaft wie auch die öffentliche Verwaltung\nund Privatpersonen einerseits vor wirtschaftlichen Schäden, andererseits vor Eingriffen in die Privatsphäre geschützt werden sollen. Das gleiche Ziel verfolge der Beschwerdeführer mit seinem Dienstleistungsangebot. Wenn genau diese Tätigkeit\ndurch die Vorschrift verboten werde, sei letztere also zur Erreichung des mit ihr verfolgten Ziels nicht geeignet. Darüber hinaus handele es sich bei den von § 202c StGB\ngeschützten Rechtsgütern nicht um überragend wichtige Gemeinschaftsgüter.\n\n 2. a) Der Beschwerdeführer Prof. Dr. W... ist Hochschullehrer an der technischen         40\nFachhochschule Berlin im Fachbereich Informatik und Medien. Zu seinen Dienstverpflichtungen gehört es, Vorlesungen im Bereich der Informatik anzubieten. Im Rah-\n\n\n                                          7/18\n\nmen der Vorlesungen geht es unter anderem um die Vermittlung der Kompetenz\nzur Nutzung so genannter Sicherheitsanalysewerkzeuge. Dies sind Softwareprogramme, die durch systematisches Testen mögliche Schwachstellen in informationstechnischen Systemen aufspüren und eine Sicherheitsbewertung dieser Lücken\ndurchführen. Im Rahmen praktischer Übungen übergibt der Beschwerdeführer den\nStudierenden entweder Datenträger mit entsprechenden Programmen oder gibt ihnen die Möglichkeit, diese von seiner Homepage herunterzuladen. Über die Homepage können sich auch Dritte die Programme verschaffen, ohne dass der Beschwerdeführer dies kontrollieren könnte. Bei der Software handelt es sich entweder um\nsolche, die auch sonst frei im Internet erhältlich ist, oder um vom Beschwerdeführer\nselbst entwickelte oder modifizierte Programme.\n\n  Sämtliche Software-Tools dieser Art können allerdings nicht nur zur Überprüfung         41\nvon Sicherheitslücken in zu schützenden Systemen eingesetzt werden, sondern\nauch missbräuchlich für Zwecke des unerlaubten Zugangs zu fremden Rechnern und\nNetzwerken. Das gilt beispielsweise für das Tool „nmap“, welches häufig von Hackern vor einem Angriff auf einen fremden Rechnern benutzt wird, um möglichst viele\nInformationen über diesen Rechner zu erhalten. Der Beschwerdeführer weist in seinen Vorlesungen darauf hin, dass es unzulässig sei, Sicherheitsanalysewerkzeuge\nzum „Hacken“ fremder Rechner zu verwenden, also dazu, sich unter Überwindung\nvon Sicherheitsmaßnahmen Zugang zu diesen zu verschaffen. Allerdings geht er davon aus, dass ein geringer Anteil seiner Studenten die im Rahmen der Vorlesung\nüberlassenen Programme auch zu solchen verbotenen Zwecken nutzt. Hiervon ist\nihm in der Vergangenheit auch bereits berichtet worden. Der Beschwerdeführer steht\nauf dem Standpunkt, dass solche Verhaltensweisen nicht von verfestigter krimineller\nEnergie zeugen und reagiert darauf bislang nur insofern, als er auf das strafrechtliche\nVerbot nach § 202a StGB hinweist und von seinen Studenten verlangt, illegales Verhalten zukünftig zu unterlassen.\n\n b) Der Beschwerdeführer wendet sich mit seiner Verfassungsbeschwerde gegen               42\n§ 202c Abs. 1 Nr. 2 StGB in Verbindung mit § 202a StGB und macht eine Verletzung\nvon Art. 12 Abs. 1, Art. 5 Abs. 3 und Art. 2 Abs. 1 GG geltend.\n\n  Er geht davon aus, dass er sich durch die weitere Fortführung seiner Forschungsund Lehrtätigkeit nach § 202c Abs. 1 Nr. 2 StGB in Verbindung mit § 202a StGB strafbar macht. Die von ihm beschafften, teilweise auch selbst hergestellten und verbreiteten Programme stellten dual-use-Software dar, deren Zweckbestimmung jedenfalls\nauch die Begehung von Computerstraftaten nach § 202a StGB sei. Nach den tatsächlichen Umständen der Verwendung dieser Software durch einzelne Studenten\nund der Erkenntnisse des Beschwerdeführers hiervon erfülle der Beschwerdeführer\nauch den subjektiven Tatbestand der Norm. Er stehe praktisch vor der Wahl, entweder die bezeichneten Lehrinhalte nicht mehr zu unterrichten - womit er seine Dienstpflichten verletzen würde - oder das latente Risiko einer Strafverfolgung einzugehen.\n\n Der Beschwerdeführer hält die angegriffene Regelung für einen Eingriff in die Frei-      44\n\n\n\n                                          8/18\n\nheit der Berufsausübung und die Freiheit der Lehre. Das Gesetz verfolge mit dem\nBestreben, die Integrität und Vertraulichkeit informationstechnischer Systeme zu sichern, legitime Zwecke von Verfassungsrang, sei jedoch mit dem Verhältnismäßigkeitsgrundsatz nicht vereinbar. Zur Erreichung des Zwecks, bestimmte besonders\ngefährliche Vorbereitungshandlungen zu Computerstraftaten selbständig unter Strafe zu stellen, sei die angegriffene Norm nicht erforderlich; zu beanstanden sei insbesondere, dass sie die Strafbarkeit nicht vom Vorliegen direkten Vorsatzes bezüglich einer zukünftigen Computerstraftat abhängig mache. Angesichts des Interesses\nder Allgemeinheit, dass Sicherheitslücken in Computersystemen durch die Simulation von Hacker-Angriffen geschlossen und die entsprechenden Kenntnisse von Studenten erworben würden, sei es kontraindiziert, die Vermittlung eben solcher Fähigkeiten durch Strafnormen zu verbieten. Im Hinblick auf den Eingriff in Art. 12 Abs. 1\nGG sei zudem das Zitiergebot des Art. 19 Abs. 1 Satz 2 GG nicht beachtet worden.\n\n  3. Der Beschwerdeführer K... nutzt das Computerbetriebssystem Linux. Dabei setzt        45\ner auch Programmkomponenten ein, die im Internet frei erhältlich sind, so genannte\nLinux-Distributionen. Diese werden weltweit von Linux-Nutzern entwickelt und zur\nVerfügung gestellt, um das Betriebssystem zu verbessern. Zu den vom Beschwerdeführer genutzten Anwendungen gehört das (auch vom Beschwerdeführer Prof. Dr.\nW... angesprochene) Tool „nmap“. Der Beschwerdeführer geht davon aus, dass dieses sowie andere von ihm genutzte Programme auch dafür genutzt werden könnten,\nunter Verstoß gegen § 202a StGB in fremde Computersysteme einzudringen. Er rügt\nmit der Verfassungsbeschwerde eine Verletzung seiner allgemeinen Handlungsfreiheit (Art. 2 Abs. 1 GG) und des strafrechtlichen Bestimmtheitsgebots (Art. 103 Abs. 2\nGG). Er befürchtet, sich bereits durch das Installieren von Linux-Distributionen wie\n„nmap“ nach § 202c Abs. 1 Nr. 2 StGB strafbar zu machen.\n\n                                          III.\n Zu der Verfassungsbeschwerde des Beschwerdeführers F... haben sich das Bundesministerium der Justiz, der Generalbundesanwalt, der Chaos Computer Club und\ndie Gesellschaft für Informatik e. V. geäußert.\n\n  1. Nach Auffassung des Bundesministeriums der Justiz ist die Verfassungsbeschwerde überwiegend unzulässig und im Übrigen unbegründet. Soweit der Beschwerdeführer eine Verletzung des Art. 12 Abs. 1 GG durch die Vorschrift des\n§ 202c Abs. 1 Nr. 2 StGB geltend mache, fehle es in weiten Teilen an einer Betroffenheit des Beschwerdeführers, da die Norm einen Großteil seines unternehmerischen\nBetätigungsfeldes nicht erfasse. Im Übrigen sei in der Vorschrift allenfalls eine Regelung der Berufsausübung zu sehen, die - falls man sie an Art. 12 Abs. 1 GG überhaupt messen wolle - durch vernünftige Gründe des Allgemeinwohls gerechtfertigt\nsei und den Anforderungen des Grundsatzes der Verhältnismäßigkeit genüge.\n\n 2. Der Generalbundesanwalt hält - mit ähnlichen Erwägungen - die Verfassungsbeschwerde für insgesamt unzulässig und zudem unbegründet.\n\n\n\n                                          9/18\n\n 3. Der Chaos Computer Club betont in seiner Stellungnahme, dass § 202c StGB bei          49\nUnternehmen, Forschern und Arbeitnehmern in der IT-Branche zu großer Unsicherheit hinsichtlich der danach bestehenden Grenzen legalen Verhaltens geführt habe.\nEs sei nicht möglich, Computerprogrammen - wie es das Gesetz vorsehe - einem eindeutigen Zweck zuzuordnen. Der Zweck eines Computerprogramms leite sich in der\nPraxis vielmehr stets aus dem situativen Kontext ab, in welchem es verwendet werde. Gerade Programme, die typischerweise bei der Vorbereitung eines rechtswidrigen Angriffs auf einen Computer zum Einsatz kämen, verfügten oft auch über legitime Anwendungsfelder. Für die Verbesserung der Sicherheit heutiger und zukünftiger\nComputer und Software sei es zudem unerlässlich, Schadsoftware und Angriffsprogramme zu besitzen und detailliert zu analysieren. Der Chaos Computer Club hält\n§ 202c StGB für ungeeignet, das Ziel einer Verbesserung der IT-Sicherheit zu erreichen. Die Verfügbarkeit potentieller Schadsoftware über das Internet und ausländische Quellen für Kriminelle werde durch die Vorschrift in keiner signifikanten Weise\neingeschränkt. Umgekehrt werde die Arbeit an der Verbesserung von Sicherheitsstrukturen durch die Vorschrift erschwert.\n\n  4. Auch die Gesellschaft für Informatik e. V. hält § 202c StGB für eine zu weit geratene Strafvorschrift. Computerprogramme hätten typischerweise keinen eindeutigen\n„Zweck“; jedenfalls könne man einen solchen Zweck aus informationstechnischer\nSicht nicht definieren. Selbst wenn der Entwickler (Programmierer) einen bestimmten\n- positiven - Zweck intendiere, könnten sie immer missbraucht werden. Umgekehrt\nkönnten      Angriffsprogramme       (malware)       auch     für    „gute“   Zwecke\n(Informationssicherheits-Prüfprogramme) genutzt werden und seien insofern sogar\nunverzichtbar. Gleiches gelte für den Einsatz von malware im Rahmen qualifizierter\nLehre im Bereich der Informationssicherheit an Hochschulen; insofern könne regelmäßig davon ausgegangen werden, dass weder die Informatik-Professoren noch die\nStudierenden konkrete Taten planten oder auch nur vor Augen hätten.\n\n                                          IV.\n Der Beschwerdeführer F... hat zwischenzeitlich mitgeteilt, nicht mehr bei der Firma      51\nV... tätig zu sein, sondern in der deutschen Niederlassung des Schweizer Unternehmens C... AG. Er hat dargelegt, dass die Betätigungsfelder dieses Unternehmens,\nsoweit hier von Interesse, denen der V... vergleichbar seien.\n\n                                          B.\n Die Verfassungsbeschwerden werden nicht zur Entscheidung angenommen.                     52\n\n  Die Annahmevoraussetzungen des § 93a Abs. 2 BVerfGG sind nicht erfüllt. Den             53\nVerfassungsbeschwerden kommt weder grundsätzliche verfassungsrechtliche Bedeutung zu noch ist ihre Annahme zur Durchsetzung der in § 90 Abs. 1 BVerfGG genannten Rechte angezeigt (vgl. BVerfGE 90, 22 <24 ff.>; 96, 245 <248 ff.>). Die Verfassungsbeschwerden       sind   mangels     unmittelbarer     Betroffenheit     der\nBeschwerdeführer von der angegriffenen Norm unzulässig.\n\n\n                                         10/18\n\n                                         I.\n Die Zulässigkeit einer Verfassungsbeschwerde gegen ein Gesetz setzt nach der           54\nständigen Rechtsprechung des Bundesverfassungsgerichts voraus, dass der Beschwerdeführer selbst, gegenwärtig und unmittelbar durch die angegriffenen Rechtsnormen in seinen Grundrechten betroffen ist (vgl. nur BVerfGE 1, 97 <101 ff.>). Eine\nunmittelbar aus dem Gesetz folgende Beschwer hat das Bundesverfassungsgericht\nunter anderem anerkannt, wenn das Gesetz den Betroffenen schon vor Erlass eines\nVollzugsaktes zu entscheidenden Dispositionen veranlasst, die er nach dem späteren Gesetzesvollzug nicht mehr nachholen oder korrigieren könnte (vgl. BVerfGE 90,\n128 <136>; 97, 157 <164>), und wenn er erst das Risiko eines Bußgeld- oder Strafverfahrens eingehen müsste, um Rechtsschutz vor den Fachgerichten erwirken zu\nkönnen (vgl. BVerfGE 20, 283 <290>; 46, 246 <256>; 81, 70 <82 f.>; 97, 157 <165>).\n\n  Das Risiko einer Bestrafung besteht bereits dann, wenn ein grundrechtlich geschütztes Verhalten vom Wortlaut einer Strafnorm noch erfasst sein kann (vgl.\nBVerfGE 75, 329 <341>), also unter Zugrundelegung einer möglichen, nicht ganz\nfernliegenden Auslegung des Tatbestands unter diesen fällt. An einer unmittelbaren\nBeschwer durch eine Strafnorm fehlt es dagegen, wenn ein verfassungsrechtlich geschütztes Betätigungsfeld von der angegriffenen Norm nach deren Wortlaut, Entstehungsgeschichte und Systematik eindeutig nicht betroffen ist (BVerfGK 8, 75 <76>);\ndenn eine im Wege der Auslegung vorgenommene Anwendung von Strafbestimmungen über deren Wortlaut hinaus wäre wegen Art. 103 Abs. 2 GG verfassungswidrig\nund braucht deshalb nicht in die Zumutbarkeitserwägungen einbezogen zu werden\n(BVerfGE 97, 157 <168>).\n\n  In jedem Falle ist es Sache des Beschwerdeführers, die Einzelheiten der von ihm       56\nerstrebten Handlungen, deren Verbot er bekämpfen möchte, hinreichend substantiiert darzulegen, so dass das Bundesverfassungsgericht in die Lage versetzt wird, die\nFrage der unmittelbaren Betroffenheit zu beurteilen (§ 23 Abs. 1 Satz 2 i. V. m. § 92\nBVerfGG).\n\n                                         II.\n Nach diesem Maßstab sind die Beschwerdeführer durch die angegriffene Strafvorschrift nicht beschwert.\n\n  Soweit der Beschwerdeführer F... seine Verfassungsbeschwerde formell auch auf         58\n§ 202c Abs. 1 Nr. 1 StGB erstreckt hat, geht er selbst auf diese Tatbestandsvariante\nnicht weiter ein; eine Betroffenheit des Beschwerdeführers von dem Verbot bestimmter auf Passwörter oder sonstige Sicherungscodes bezogener Vorbereitungshandlungen ist daher nicht erkennbar.\n\n Auf der Grundlage des Vorbringens der Beschwerdeführer lässt sich aber auch            59\nnicht feststellen, dass die von ihnen beschriebenen Tätigkeitsfelder von dem strafbewehrten Verbot des § 202c Abs. 1 Nr. 2 StGB erfasst würden; ein Risiko strafrechtlicher Verfolgung ist mithin nicht gegeben. Überwiegend sind die von den Beschwer-\n\n\n                                        11/18\n\ndeführern eingesetzten Programme schon keine tauglichen Tatobjekte der Strafvorschrift in den Grenzen ihrer verfassungsrechtlich zulässigen Auslegung (dazu 1.). Soweit - im Falle des Beschwerdeführers F... - taugliche Tatobjekte vorliegen können,\nfehlt dem Beschwerdeführer jedenfalls der nach § 202c Abs. 1 Nr. 2 StGB erforderliche Vorbereitungsvorsatz (dazu 2.).\n\n 1. a) Tatobjekt des § 202c Abs. 1 Nr. 2 StGB kann nur ein Programm sein, dessen         60\nZweck die Begehung einer Straftat nach § 202a StGB (Ausspähen von Daten) oder\n§ 202b StGB (Abfangen von Daten) ist. Danach muss das Programm mit der Absicht\nentwickelt oder modifiziert worden sein, es zur Begehung der genannten Straftaten\neinzusetzen. Diese Absicht muss sich ferner objektiv manifestiert haben.\n\n  aa) Schon nach dem Wortlaut nicht ausreichend wäre, dass ein Programm - wie das        61\nfür so genannte dual use tools gilt - für die Begehung der genannten Computerstraftaten lediglich geeignet oder auch besonders geeignet ist. Der allgemeine Sprachgebrauch versteht unter „Zweck“ „etwas, was jemand mit einer Handlung beabsichtigt,\nzu bewirken, zu erreichen sucht; Beweggrund und Ziel einer Handlung“ (Duden, Das\nGroße Wörterbuch der deutschen Sprache, 3. Aufl. 1999, S. 4706), also das Ziel, das\nwillentlich durch den Einsatz bestimmter Mittel in Handlungen geplant und verfolgt\nwird (Brockhaus, Enzyklopädie, Bd. 30, 21. Aufl. 2006, S. 747), oder das, „was man\nmit einer Handlung will, die Aufgabe um deren Willen sie geschieht, das Ergebnis,\ndas irgendwie hinter der Handlung als Endpunkt steht. Das Wort wird so von der Vernunft aus gesehen; man setzt voraus, dass, was man tut, eine Absicht zum Grunde\nhat, die man erkennt, die man andern mitteilen kann“ (Deutsches Wörterbuch von Jacob und Wilhelm Grimm, Bd. 32, 1954/1984, Sp. 959). Mit dieser finalen Dimension\nunterscheidet sich der Begriff des Zwecks deutlich von dem der Eignung; systematische und entstehungsgeschichtliche Erwägungen bestätigen diesen Befund.\n\n  In systematischer Hinsicht ist darauf zu verweisen, dass das Gesetz an anderer         62\nStelle ausdrücklich auf die Eignung von Gegenständen für die Begehung bestimmter\nStraftaten abstellt, insbesondere in § 149 StGB und § 275 StGB. § 149 StGB wird anknüpfend an die Gesetzesbegründung im Allgemeinen so ausgelegt, dass den dort\nbenannten Fälschungsmitteln eine spezifische Verwendbarkeit zur Ausführung von\nFälschungen innewohnen muss (Ruß, in: Leipziger Kommentar zum Strafgesetzbuch, Bd. 5, 11. Aufl. 2005, § 149 Rn. 3; Hoyer, in: Systematischer Kommentar zum\nStrafgesetzbuch, § 275 Rn. 2 <März 2007>); damit sei gemeint, dass diese Mittel nur\nzur Herstellung von Falsifikaten tauglich sein dürfen. Bereits deswegen sollen etwa\nsolche Gegenstände aus dem Anwendungsbereich des § 149 StGB ausscheiden, die\n(lediglich) auch zur Geldfälschung verwendet werden können, etwa leistungsfähige\nFarbkopierer (vgl. Fischer, StGB, 55. Aufl. 2008, § 149 Rn. 3; Erb, in: Münchener\nKommentar zum StGB, 2005, § 149 Rn. 3). Zu den in § 149 StGB genannten Computerprogrammen wird vertreten, es müsse wenigstens ein abgrenzbares Programmmodul enthalten sein, dass ausschließlich zur Fälschung einsetzbar sei (Rudolphi/\nStein, in: Systematischer Kommentar zum Strafgesetzbuch, § 149 Rn. 2 <März\n2007>). All dies spricht dafür, den Begriff des Zwecks in § 202c Abs. 1 Nr. 2 in einem\n\n\n                                         12/18\n\nengeren Sinne als dem der Eignung oder auch der spezifischen Eignung zu verstehen.\n\n  Die Entstehungsgeschichte des § 202c Abs. 1 Nr. 2 StGB schließlich belegt eindeutig, dass an die Eignung oder auch nur an die besondere Eignung von Programmen\nnicht angeknüpft werden sollte; durch den Rekurs auf den „Zweck“ der Software sollten engere Voraussetzungen im Vergleich zur bloßen „Geeignetheit“ aufgestellt werden (vgl. Popp, GA 2008, S. 375 <388>). In ihrer Gegenäußerung zu den Bedenken\ndes Bundesrats erklärte die Bundesregierung, bei Programmen, deren funktionaler\nZweck nicht eindeutig kriminell sei und die erst durch ihre Anwendung zu einem Tatwerkzeug eines Kriminellen oder aber zu einem legitimen Werkzeug würden - so genannten dual use tools - sei bereits der objektive Tatbestand des § 202c StGB nicht\nerfüllt (vgl. BTDrucks 16/3656, S. 18 f.). Die bloße Eignung von Software zur Begehung von Computerstraftaten sei nicht ausreichend, so dass auch solche Programme\naus dem Tatbestand herausfielen, die lediglich zur Begehung von Computerstraftaten missbraucht werden könnten. Der Rechtsausschuss stellte zur Vermeidung von\nMissverständnissen in seinem Bericht an den Deutschen Bundestag klar, dass die\nbloße Geeignetheit eines Programms zur Begehung der betreffenden Straftaten keine Strafbarkeit nach § 202c StGB begründe. Die geforderte Zweckbestimmung müsse eine Eigenschaft des Computerprogramms in dem Sinne darstellen, dass es sich\num so genannte Schadsoftware handle (vgl. BTDrucks 16/5449, S. 4).\n\n  Nach alledem ließe es sich nicht vertreten, im Rahmen des § 202c Abs. 1 Nr. 2          64\nStGB für die Bestimmung des Zwecks eines Computerprogramms auf dessen Eignung oder auch spezifische Eignung abzustellen. Eine solche Auslegung würde dem\nWortlaut der Norm und dem Willen des Gesetzgebers widersprechen und stellte damit gleichzeitig einen Verstoß gegen Art. 103 Abs. 2 GG dar. Die in der Sachverständigenanhörung durch den Rechtsausschuss des Deutschen Bundestags (vgl. schriftliche Stellungnahmen des Sachverständigen Prof. Dr. Borges vom 19. März 2007, S.\n6 ff.) und im Schrifttum (vgl. Gröseling/Höfinger, MMR 2007, S. 626 <629>;\nSchreibauer/Hessel, K&R 2007, S. 616 <618>; Cornelius, CR 2007, S. 682 f.) teilweise vertretene Auffassung, der objektive Tatbestand des § 202c Abs. 1 Nr. 2 StGB erfasse allgemein auch so genannte dual use tools, lässt sich nicht halten.\n\n  bb) Schon die Entstehungsgeschichte der Vorschrift spricht hingegen deutlich dafür, die Absichten des Entwicklers des jeweiligen Programms als maßgeblich für dessen Zweckbestimmung zu erachten (so auch Popp, GA 2008, S. 375 <384>). Art. 6\nAbs. 1 Buchstabe a Nr. i des Übereinkommens des Europarats, auf den § 202c Abs.\n1 Nr. 2 zurückgeht, bezieht sich ausdrücklich auf eine „Vorrichtung einschließlich eines Computerprogramms, die in erster Linie dafür ausgelegt oder hergerichtet worden ist, eine nach den Artikeln 2 bis 5 umschriebene Straftat zu begehen“ (im englischen Originaltext: „designed or adapted primarily for the purpose of committing any\nof the offences established in accordance with Articles 2 through 5“). Hier wird der\nEntstehungsvorgang des Programms in seiner konkreten Gestalt in den Blick genommen. Entsprechend sind nach der Beschlussempfehlung des Rechtsausschusses\n\n\n                                         13/18\n\nnur Computerprogramme gemeint, „die in erster Linie dafür ausgelegt oder hergestellt wurden, um damit Straftaten nach den § 202a, § 202b StGB zu begehen“.\n\n  Wenn andererseits neben dem Wortlaut der Vorschrift sowohl der Erläuternde Bericht zum Übereinkommen (siehe oben A. I. 2.) als auch zahlreiche Äußerungen im\nGesetzgebungsverfahren (oben A. I. 3.) sowie teleologische und pragmatische Überlegungen (vgl. Popp, GA 2008, S. 375 <384>; Böhlke/Yilmaz, CR 2008, S. 261\n<262>) den objektiven Charakter der mit der Vorschrift gemeinten Zweckbestimmung\nbetonen, lässt sich dem Rechnung tragen durch eine Auslegung, die zwar von den\nAbsichten des Programmentwicklers ausgeht, aber zusätzlich eine äußerlich feststellbare Manifestation dieser Absichten fordert. Eine solche Manifestation mag in der\nGestalt des Programms selbst liegen - im Sinne einer Verwendungsabsicht, die sich\nnunmehr der Sache selbst interpretativ ablesen lässt (Popp, GA 2008, S. 375 <382>)\n- oder auch in einer eindeutig auf illegale Verwendungen abzielenden Vertriebspolitik\nund Werbung des Herstellers (vgl. Cornelius, CR 2007, S. 682 <688> unter Hinweis\nauf Parallelen im Urheberrecht und in der US-amerikanischen Rechtsprechung); dies\nim Einzelnen zu klären ist Aufgabe der hierfür zuständigen Fachgerichte.\n\n  Eine sich an den objektiv manifestierten Absichten des Programmentwicklers orientierende Auslegung des § 202c Abs. 1 Nr. 2 StGB dürfte in der Sache mit Ansätzen\nim Schrifttum übereinstimmen, nach denen Programme den Tatbestand erfüllen sollen, wenn sie gerade im Hinblick auf eine spezielle Tatvariante einer Tat nach § 202a,\n§ 202b geschrieben sind (Fischer, StGB, 55. Aufl. 2008, § 202c Rn. 5), wenn ihnen\ndie Möglichkeit der Begehung entsprechender Straftaten als Kernbestandteil innewohnt (Böhlke/Yilmaz, CR 2008, S. 261 <263>) oder wenn sie bereits nach Art und\nWeise ihres Aufbaus darauf angelegt sind, illegalen Zwecken zu dienen (Ernst, NJW\n2007, S. 2661 <2663>). Ferner entspricht sie den Maßstäben, die das Bundesverfassungsgericht bereits für die Auslegung des § 22b Abs. 1 Nr. 3 StVG aufgestellt hat\n(BVerfGK 8, 75 <77>).\n\n b) Für die Situation der Beschwerdeführer ergibt sich Folgendes:                        68\n\n  Der Beschwerdeführer Prof. Dr. W... hat hinsichtlich der Programme, die er seinen      69\nStudenten zur Verfügung stellt, lediglich dargelegt, dass diese zur Begehung von\nComputerstraftaten geeignet sind, zu solchen Zwecken also verwendet werden können; konkret hat er das am Beispiel des Tools „nmap“ erläutert. Diese Eignung genügt zur Erfüllung des objektiven Tatbestands des § 202c Abs. 1 Nr. 2 StGB jedoch\nnicht. Der Beschwerdeführer hat keinerlei Angaben gemacht, die - wenn auch nur indiziell - auf eine deliktische Zweckbestimmung der betreffenden Software schließen\nließen. Die Bezeichnung dieser Programme als „Sicherheitsanalysewerkzeuge“ deutet ganz im Gegenteil darauf hin, dass der - legitime - Zweck der Sicherheitsanalyse\nbei diesen Instrumenten im Vordergrund steht. Zu deliktischen Absichten der Entwickler der betreffenden Programme hat sich der Beschwerdeführer weder geäußert,\nnoch hat er auf eine Manifestation solcher Absichten hingewiesen. Auch der Beschwerdeführer K... hat die Erfüllung des objektiven Tatbestands des § 202c Abs. 1\n\n\n\n                                         14/18\n\nNr. 2 StGB durch die von ihm verwendeten Linux-Distributionen nicht dargelegt. Er\ngeht - wie der Beschwerdeführer Prof. Dr. W... - nur auf die Eignung der von ihm verwendeten Programme für die Begehung von Computerstraftaten ein.\n\n  Der Beschwerdeführer F... hat hingegen vorgetragen, dass er im Rahmen seiner          70\nberuflichen Tätigkeit nicht nur objektiv (auch) zur Begehung von Computerstraftaten\ngeeignete Software, also dual-use-Software, verwendet, sondern darüber hinaus\n„Schadsoftware“ aus zweifelhaften Quellen im Internet beschafft oder beschaffen\nlässt, um sie bei Penetrationstests einzusetzen. Während nach dem Gesagten die\nverwendete (bloße) dual-use-Software nicht unter den objektiven Tatbestand des\n§ 202c Abs. 1 Nr. 2 StGB fällt, kann hinsichtlich der vom Beschwerdeführer so bezeichneten Schadsoftware angesichts deren Herkunft und Vertriebsweise durchaus\nangenommen werden, dass sie gerade zum Zweck der Begehung rechtswidriger Taten entwickelt wurde und über Eigenschaften verfügt, in denen sich diese Zweckbestimmung manifestiert.\n\n 2. Insoweit scheitert eine mögliche Strafbarkeit des Beschwerdeführers nach            71\n§ 202c Abs. 1 Nr. 2 StGB (gegebenenfalls in Verbindung mit § 25 Abs. 1 Var. 2, § 25\nAbs. 2, § 26 oder § 27 StGB) jedoch jedenfalls an dem subjektiven Merkmal der Vorbereitung einer Computerstraftat.\n\n  a) Hinsichtlich der vom Gesetz insofern umfassten Vorsatzformen herrscht im           72\nSchrifttum zu § 202c StGB weitestgehend Einigkeit, dass Eventualvorsatz ausreichen soll (vgl. Fischer, StGB, 55. Aufl. 2008, § 202c Rn. 7; Schumann, NStZ 2007,\nS. 675 <678 f.>; Popp, GA 2008, S. 375 <391>). In systematischer Hinsicht spricht\nhierfür das entsprechende einhellige Meinungsbild zu den im Hinblick auf das Vorbereitungsmerkmal gleich formulierten Vorschriften von § 149, § 275 und § 263a Abs. 3\nStGB (vgl. Ruß, in: Leipziger Kommentar zum Strafgesetzbuch, Bd. 5, 11. Aufl. 2005,\n§ 149 Rn. 6; Sternberg-Lieben, in: Schönke/Schröder, StGB, 27. Aufl. 2006, § 149\nRn. 8; Fischer, a.a.O., § 263a Rn. 34; Hoyer, in: Systematischer Kommentar zum\nStrafgesetzbuch, § 263a Rn. 61 <März 2007>; Kindhäuser, in: Nomos Kommentar\nzum Strafgesetzbuch, Bd. 2, 2. Aufl. 2005, § 263a Rn. 44; Gribbohm, in: Leipziger\nKommentar zum Strafgesetzbuch, Bd. 7, 11. Aufl. 2005, § 275 Rn. 11; Hoyer, in: Systematischer Kommentar zum Strafgesetzbuch, § 275 Rn. 4 <März 2007>; Puppe, in:\nNomos Kommentar zum Strafgesetzbuch, Bd. 2, 2. Aufl. 2005, § 275 Rn. 11).\n\n  Legt man diese Auffassung (zur Kritik im Hinblick auf die Entstehungsgeschichte       73\nvgl. Popp, GA 2008, S. 375 <391 f.>) zugrunde, so muss der Täter lediglich damit\nrechnen, dass das tatgegenständliche Programm zukünftig zur Begehung von Straftaten gebraucht wird (kognitives Element), und diese Benutzung des Programms billigend in Kauf nehmen (voluntatives Element). Nach der Rechtsprechung des Bundesgerichtshofs billigt der Täter auch einen an sich unerwünschten, aber notwendigen\nErfolg, wenn er sich mit ihm um eines erstrebten Zieles willen abfindet (vgl. nur Fischer, a.a.O., § 15 Rn. 9a mit umfassenden Nachweisen). Andererseits setzt die\nFeststellung gerade des voluntativen Elements des Eventualvorsatzes in Abgren-\n\n\n\n                                        15/18\n\nzung zur bewussten Fahrlässigkeit im Einzelfall konkrete tatsächliche Anhaltspunkte\nvoraus (vgl. BGH, Beschluss vom 5. März 2008 - 2 StR 50/08 -, juris Rn. 4; Beschluss\nvom 26. August 2003 - 5 StR 145/03 -, juris Rn. 46, 49 m.w.N.; vgl. auch Beschluss\nvom 16. April 2008 - 5 StR 615/07 -, juris Rn. 5).\n\n  b) Hinsichtlich des Beschwerdeführers F... oder seiner Mitarbeiter ist nach diesen    74\nMaßstäben auf der Grundlage des Beschwerdevorbringens nicht zu sehen, dass diese das subjektive Merkmal der Vorbereitung einer Straftat nach § 202a oder § 202b\nStGB erfüllen, soweit sie objektiv unter den Tatbestand des § 202c Abs. 1 Nr. 2 StGB\nfallende Programme beschaffen oder diese innerhalb des Unternehmens weitergeben. Denn die bei diesen Tätigkeiten in Aussicht genommene Verwendung der Programme im Rahmen von Penetrationstests erfüllt den Tatbestand des § 202a oder\n§ 202b StGB zweifellos nicht: Da die Unternehmen, für die der Beschwerdeführer tätig wird oder tätig geworden ist, im Auftrag und somit im Einverständnis mit den über\ndie überprüften Computersysteme Verfügungsberechtigten handeln, fehlt es am Tatbestandsmerkmal des „unbefugten“ Handelns, wie auch der Generalbundesanwalt\nbetont hat. Zu einem solchen legalen Zweck dürfen nach dem insofern eindeutigen\nund durch die Äußerungen im Zuge der Entstehungsgeschichte sowie Art. 6 Abs. 2\ndes Übereinkommens des Europarats bekräftigten Wortlaut des § 202c Abs. 1 Nr. 2\nStGB jedoch grundsätzlich auch Schadprogramme, deren objektiver Zweck in der\nBegehung von Computerstraftaten liegt, beschafft oder weitergegeben werden - und\nzwar auch dann, wenn aufgrund der Herkunft der Programme, etwa aus zweifelhaften Internetforen, der Verdacht nahe liegt, dass andere Nutzer der gleichen Quelle\nkeine lauteren Absichten verfolgen (vgl. auch Böhlke/Yilmaz, CR 2008, S. 261\n<264>; Popp, GA 2008, S. 375 <392 f.>). Sieht der Beschwerdeführer hier Risiken einer strafrechtlichen Verfolgung, kann er diese unter anderem durch eine umfassende\nDokumentation der Verfahrensabläufe und der erteilten Bewilligung des Auftraggebers für sein Tätigwerden weiter verringern (vgl. Böhlke/Yilmaz, a.a.O., S. 261\n<266>).\n\n  Zwar kann sich im Rahmen eines solchen Einsatzes objektiv unter § 202c Abs. 1 Nr.     75\n2 StGB fallender Programme zu erlaubten Zwecken ein Strafbarkeitsrisiko ergeben,\nsobald die betreffenden Programme durch Verkauf, Überlassung, Verbreitung oder\nanderweitig auch Personen zugänglich gemacht werden, von deren Vertrauenswürdigkeit nicht ausgegangen werden kann. Hier macht sich auch ein Akteur, dessen eigentliche Absicht in einer legalen Verwendung des Programms liegt, dann strafbar,\nwenn er gleichwohl damit rechnet und es auch billigend in Kauf nimmt, dass die Person oder die Personen, die durch seine Handlung Zugang zu dem Programm erhalten, dieses zumindest unter anderem zu rechtswidrigen Zwecken einsetzen. Wie das\nBundesministerium der Justiz in seiner Stellungnahme zur Verfassungsbeschwerde\nhervorgehoben hat, liegt die Annahme eines solchen Vorsatzes beispielsweise auch\ndann nahe, wenn die handelnde Person das Programm einem von ihr nicht mehr\nüberschaubaren Personenkreis zugänglich macht, etwa durch freies Einstellen ins Internet oder durch Zurverfügungstellen innerhalb von Foren mit entsprechendem Mit-\n\n\n\n                                        16/18\n\ngliederkreis. Dass aber die Firma V... Schadprogramme außerhalb des Unternehmens verbreiten würde und darauf zur Ausübung ihrer gewerblichen Tätigkeit auch\nangewiesen wäre, ist weder vorgetragen noch ersichtlich; nichts anderes gilt für den\nneuen Arbeitgeber des Beschwerdeführers, die Firma C... AG. Insbesondere hat der\nBeschwerdeführer nicht dargelegt, dass er oder seine Mitarbeiter darauf angewiesen\nwären, die von ihnen rechtmäßig verwendete Software über offene oder halboffene\nForen nicht nur zu beziehen, sondern dort Software auch selbst einzustellen und so\nzu verbreiten.\n\n  Ob im Falle des Beschwerdeführers Prof. Dr. W... davon ausgegangen werden            76\nkann, dass dieser sich in einer dem voluntativen Element des Eventualvorsatzes genügenden Weise mit einem rechtswidrigen Einsatz der von ihm verbreiteten Programme abfindet, kann offen bleiben, weil es im Falle dieses Beschwerdeführers wie\nin dem des Beschwerdeführers K... schon nach dem Beschwerdevorbringen an tauglichen Tatobjekten fehlt (oben 1. b).\n\n Diese Entscheidung ist unanfechtbar.                                                  77\n\n                Broß                 Di Fabio               Landau\n\n\n\n\n                                        17/18\n\nBundesverfassungsgericht, Beschluss der 2. Kammer des Zweiten Senats vom\n18. Mai 2009 - 2 BvR 2233/07\n\nZitiervorschlag BVerfG, Beschluss der 2. Kammer des Zweiten Senats vom\n                18. Mai 2009 - 2 BvR 2233/07 - Rn. (1 - 77), http://www.bverfg.de/e/\n                rk20090518_2bvr223307.html\n\nECLI             ECLI:DE:BVerfG:2009:rk20090518.2bvr223307\n\n\n\n\n                                       18/18\n","source":null,"source_url":null,"url":"https://recht.nulegal.eu/rechtsprechung/bverfg/2009-05-18/2-bvr-2233-07","cited_norms":[{"jurabk":"StGB","ref":"§ 202c","ref_norm":"202c","n":37},{"jurabk":"StGB","ref":"§ 202a","ref_norm":"202a","n":8},{"jurabk":"StGB","ref":"§ 202b","ref_norm":"202b","n":6},{"jurabk":"GG","ref":"Art 12","ref_norm":"12","n":5},{"jurabk":"GG","ref":"Art 103","ref_norm":"103","n":4},{"jurabk":"StGB","ref":"§ 149","ref_norm":"149","n":4},{"jurabk":"BVerfGG","ref":"§ 93a","ref_norm":"93a","n":2},{"jurabk":"GG","ref":"Art 2","ref_norm":"2","n":2},{"jurabk":"StGB","ref":"§ 263a","ref_norm":"263a","n":2},{"jurabk":"BVerfGG","ref":"§ 90","ref_norm":"90","n":1},{"jurabk":"BVerfGG","ref":"§ 92","ref_norm":"92","n":1},{"jurabk":"BVerfGG","ref":"§ 93","ref_norm":"93","n":1},{"jurabk":"GG","ref":"Art 19","ref_norm":"19","n":1},{"jurabk":"StGB","ref":"§ 27","ref_norm":"27","n":1},{"jurabk":"StGB","ref":"§ 303b","ref_norm":"303b","n":1},{"jurabk":"StVG","ref":"§ 22b","ref_norm":"22b","n":1},{"jurabk":"StGB","ref":"§ 275","ref_norm":"275","n":1}],"authoritative_source":null,"attribution":null,"source_info":{"name":"nu:legal Deutsches Recht","operator":"Nulegal GmbH","terms":"https://recht.nulegal.eu/nutzungsbedingungen","attribution":"Source: nu:legal – recht.nulegal.eu","license_url":"https://recht.nulegal.eu/license","url":"https://recht.nulegal.eu/rechtsprechung/bverfg/2009-05-18/2-bvr-2233-07","retrieved":"2026-07-10 10:58:24.924310+00:00"},"card":{"id":"bverfg/2009-05-18/2-bvr-2233-07","court":"BVerfG","court_id":"bverfg","court_as_stated":"BVerfG","panel":"Kammer des Zweiten Senats","date":"2009-05-18","dockets":["2 BvR 2233/07"],"decision_type":"Beschluss","ecli":"ECLI:DE:BVerfG:2009:rk20090518.2bvr223307","ids":{"ecli":"ECLI:DE:BVerfG:2009:rk20090518.2bvr223307"},"cite_as":"BVerfG, Beschluss vom 18.05.2009 – 2 BvR 2233/07","url":"https://recht.nulegal.eu/rechtsprechung/bverfg/2009-05-18/2-bvr-2233-07","headnotes":[],"leitsatz_status":"not_captured","tenor":{"text":"Die Verfahren werden zur gemeinsamen Entscheidung verbunden.\n\n                                          1/18\n\nDie Verfassungsbeschwerden werden nicht zur Entscheidung angenommen.","basis":"court_formula","source":null},"tenor_status":"held","cited_norms":[{"id":"StGB/202c","law":"StGB","abbreviation":"StGB","ref":"202c","label":"§ 202c StGB","mentions":37},{"id":"StGB/202a","law":"StGB","abbreviation":"StGB","ref":"202a","label":"§ 202a StGB","mentions":8},{"id":"StGB/202b","law":"StGB","abbreviation":"StGB","ref":"202b","label":"§ 202b StGB","mentions":6},{"id":"GG/12","law":"GG","abbreviation":"GG","ref":"12","label":"Art 12 GG","mentions":5},{"id":"GG/103","law":"GG","abbreviation":"GG","ref":"103","label":"Art 103 GG","mentions":4},{"id":"StGB/149","law":"StGB","abbreviation":"StGB","ref":"149","label":"§ 149 StGB","mentions":4},{"id":"BVerfGG/93a","law":"BVerfGG","abbreviation":"BVerfGG","ref":"93a","label":"§ 93a BVerfGG","mentions":2},{"id":"GG/2","law":"GG","abbreviation":"GG","ref":"2","label":"Art 2 GG","mentions":2},{"id":"StGB/263a","law":"StGB","abbreviation":"StGB","ref":"263a","label":"§ 263a StGB","mentions":2},{"id":"BVerfGG/90","law":"BVerfGG","abbreviation":"BVerfGG","ref":"90","label":"§ 90 BVerfGG","mentions":1},{"id":"BVerfGG/92","law":"BVerfGG","abbreviation":"BVerfGG","ref":"92","label":"§ 92 BVerfGG","mentions":1},{"id":"BVerfGG/93","law":"BVerfGG","abbreviation":"BVerfGG","ref":"93","label":"§ 93 BVerfGG","mentions":1},{"id":"GG/19","law":"GG","abbreviation":"GG","ref":"19","label":"Art 19 GG","mentions":1},{"id":"StGB/27","law":"StGB","abbreviation":"StGB","ref":"27","label":"§ 27 StGB","mentions":1},{"id":"StGB/303b","law":"StGB","abbreviation":"StGB","ref":"303b","label":"§ 303b StGB","mentions":1},{"id":"StVG/22b","law":"StVG","abbreviation":"StVG","ref":"22b","label":"§ 22b StVG","mentions":1},{"id":"StGB/275","law":"StGB","abbreviation":"StGB","ref":"275","label":"§ 275 StGB","mentions":1}],"cited_norms_basis":"extracted_from_text","normenkette":null,"proceeding":{"entries":[],"has_records":false,"note":"No Verfahrensgang record names this decision. That says nothing about whether earlier or later decisions exist."},"fundstellen":[],"provenance":{"source":null,"source_url":null,"retrieved_at":"2026-07-10T10:58:24.924310+00:00","text_quality":"native","attribution":null},"ai_summary":null,"ai_summary_available":false}}