Digitale Erpressung – Methoden, Beweissicherung und Rechtslage
Digitale Erpressung bezeichnet die Ausübung von Druck über digitale Kommunikationsmittel oder durch Eingriffe in IT-Systeme, um Geld, Informationen, Zugangsdaten oder ein bestimmtes Verhalten zu erzwingen. Angreifer drohen beispielsweise mit der Veröffentlichung privater Bilder, dem Bekanntmachen gestohlener Unternehmensdaten, der Sperrung eines wichtigen Systems oder einer öffentlichen Rufschädigung. Der Begriff beschreibt unterschiedliche Vorgehensweisen und ist kein eigenständiger Straftatbestand.
Bei der strafrechtlichen Erpressung nach § 253 StGB sind konkrete Voraussetzungen erforderlich, darunter eine rechtswidrige Nötigung, ein Vermögensnachteil und die Absicht, sich oder einen Dritten zu Unrecht zu bereichern. Eine digitale Drohung kann auch eine Nötigung nach § 240 StGB oder andere Rechtsverletzungen begründen, ohne dass sämtliche Merkmale der Erpressung erfüllt sind. Eine begründete technische Untersuchung muss feststellen, welche Forderung erhoben wird und was der Angreifer tatsächlich kontrolliert.
Wie funktioniert ein digitaler Erpressungsversuch?
Eine Person erhält eine Nachricht, die einen erheblichen Nachteil ankündigt. Das kann die Veröffentlichung einer vertraulichen Datei, das Offenlegen einer Adresse, die Sperrung eines Zugangs oder das Verschicken falscher Behauptungen an Kontakte sein. Häufig wird eine knappe Frist gesetzt. Das Ziel besteht darin, die betroffene Person zu einer Reaktion zu bewegen, bevor sie die Behauptung prüfen oder Unterstützung einholen kann.
Die angedrohte Handlung kann technisch möglich, teilweise wahr oder frei erfunden sein. Beispielsweise zeigt eine E-Mail ein altes Passwort und behauptet, eine Webcam sei kompromittiert. Das Passwort kann aus einer früheren Datenpanne stammen, ohne dass eine Aufnahme existiert. In einem anderen Fall kann ein Angreifer nachweislich Dateien aus einem kompromittierten Cloudkonto besitzen. Diese Unterschiede verändern die erforderlichen Schutzmaßnahmen.
Welche Formen digitaler Erpressung kommen vor?
Erpressung mit intimen Bildern
Bei Sextortion droht eine Person, private Nacktbilder oder Sexvideos zu veröffentlichen. Häufig werden Geld oder weitere Aufnahmen verlangt. Die Dateien können ursprünglich einvernehmlich entstanden sein; eine spätere Veröffentlichung ist damit nicht automatisch erlaubt. Bei künstlich erzeugten sexuellen Darstellungen spricht man von Deepfake-Sextortion. Beide Varianten haben eigene Wiki-Beiträge.
Ransomware und Datenerpressung
Bei Ransomware werden Daten oder Systeme unberechtigt verschlüsselt oder gesperrt. Angreifer verlangen möglicherweise Geld für eine behauptete Entschlüsselung. Manche drohen außerdem mit der Veröffentlichung zuvor entwendeter Dateien. Eine solche zusätzliche Veröffentlichungsdrohung wird häufig als Double Extortion bezeichnet. Nicht jede Ransomware-Infektion führt nachweislich zu einem Datenabfluss; dafür sind eigene technische Belege erforderlich.
Der Wiki-Artikel Ransomware behandelt die technischen Vorfallmaßnahmen. Bei einem Unternehmen müssen der tatsächliche Systemzustand, verfügbare Sicherungen, mögliche Datenabflüsse und gesetzliche Meldepflichten getrennt geprüft werden.
Drohung mit negativen Bewertungen
Ein Absender fordert Geld oder besondere Leistungen und droht andernfalls mit einer Serie negativer Bewertungen. Unter Review Extortion werden entsprechende Muster behandelt. Die bloße Ankündigung einer berechtigten Kritik ist anders zu beurteilen als eine Drohung mit erfundenen Bewertungen zur Durchsetzung einer Forderung.
Erpressung durch behauptete Kontoübernahme
Ein Täter behauptet, Zugriff auf ein E-Mail-Konto, ein Social-Media-Profil oder persönliche Clouddateien zu haben. Ein Screenshot kann als Beweis präsentiert werden, aber manipuliert sein. Vor einer Aussage über einen echten Kontohack sollten bekannte Anmeldungen, Sicherheitsmeldungen und mögliche Datenzugriffe untersucht werden.
Drohung mit Offenlegung privater Daten
Private Adressen, vertrauliche Chats oder persönliche Dokumente können als Druckmittel dienen. Die Handlung kann sich mit Doxing und digitaler Nötigung überschneiden. Der Besitz der Daten kann aus öffentlich zugänglichen Quellen oder einem unberechtigten Zugriff stammen; die Herkunft muss gesondert geklärt werden.
Erpressung mit Serverausfällen
Angreifer können damit drohen, eine Website durch massenhafte Anfragen unerreichbar zu machen oder bereits eingeleitete Angriffe fortzusetzen. Solche Forderungen sind von gewöhnlichen technischen Störungen zu unterscheiden. Ein Serverausfall allein beweist keinen DDoS-Angriff und erst recht nicht, dass eine bestimmte Person ihn veranlasst hat. Der technische Kontext wird im Wiki unter DDoS behandelt.
Was ist der Unterschied zwischen digitaler Erpressung und Betrug?
Bei einem Betrug kann der Täter über Tatsachen täuschen und so eine vermögensschädigende Verfügung auslösen. Bei einer Erpressung steht die rechtswidrige Nötigung durch Gewalt oder Drohung mit einem empfindlichen Übel im Vordergrund. Beide Handlungsweisen können in komplexen Vorfällen zusammentreffen, bleiben aber rechtlich verschieden.
Eine Nachricht mit einer frei erfundenen Webcam-Aufnahme kann sowohl eine Täuschung als auch eine Drohung enthalten. Die konkreten gesetzlichen Merkmale müssen anhand des Wortlauts, der geforderten Handlung und der Vermögensfolgen geprüft werden. Eine allgemeine Bezeichnung als „Cyber-Erpressung“ ersetzt diese Prüfung nicht.
Wann ist eine Drohung nach § 240 StGB relevant?
§ 240 StGB erfasst unter seinen Voraussetzungen das rechtswidrige Nötigen durch Gewalt oder Drohung mit einem empfindlichen Übel zu einer Handlung, Duldung oder Unterlassung. Bei einem digitalen Vorfall könnte die Forderung beispielsweise lauten, ein Passwort herauszugeben oder eine Aussage zurückzunehmen. Ob der angedrohte Nachteil und die Verknüpfung mit der Forderung den gesetzlichen Anforderungen genügen, ist anhand des Falls zu beurteilen.
§ 253 StGB verlangt weitere Merkmale, darunter einen Vermögensnachteil und Bereicherungsabsicht. Der Versuch kann nach beiden Normen strafbar sein. Eine Geldforderung in einer Nachricht beweist für sich noch nicht, dass alle Voraussetzungen bereits erfüllt oder eine bestimmte Schadenshöhe entstanden ist.
Woran lässt sich eine Erpressungsnachricht erkennen?
Typisch sind die Kombination aus einer konkreten Drohung, einer Forderung und einer behaupteten Frist. Der Absender kann private Kontaktpersonen nennen, eine vermeintliche Kopie von Daten zeigen oder behaupten, technische Systeme zu kontrollieren. Der sichtbare Name einer Bank, Behörde oder Sicherheitsfirma kann nachgeahmt sein.
Die Echtheit des Druckmittels ist gesondert zu prüfen. Eine bekannte Passwortkombination kann aus einem alten Leak stammen. Eine Liste von Freunden kann öffentlich aus sozialen Netzwerken kopiert werden. Ein einzelnes manipuliertes Vorschaubild ist kein Nachweis einer vollständigen Sammlung intimer Videos. Zugleich darf ein tatsächlich bestätigter Datenabfluss nicht mit dem bloßen Hinweis auf mögliche Täuschung abgetan werden.
Welche Beweise sollten gesichert werden?
Eine sachliche Chronologie enthält den genauen Wortlaut der Drohung, Datum und Uhrzeit, den verwendeten Kommunikationsdienst, den Accountnamen, das Zahlungsziel sowie bereits überprüfbare Veröffentlichungen. Bei einem angegriffenen Unternehmenssystem kommen vorhandene Logdaten, Sicherheitsmeldungen und eine geordnete Dokumentation technischer Änderungen hinzu.
Betroffene sollten nicht eigenmächtig fremde Konten öffnen oder Täterserver untersuchen. Auch die Weiterverbreitung sensibler Dateien für private Beweiszwecke kann neue Rechtsverletzungen auslösen. Bei möglicherweise strafrechtlich geschützten sexualisierten Darstellungen Minderjähriger dürfen keine neuen Kopien heruntergeladen, gespeichert oder weitergeleitet werden. Polizei oder spezialisierte Meldestellen können das sichere Vorgehen erläutern.
Für eine spätere Untersuchung ist zwischen der behaupteten Drohung, ihrer technischen Umsetzbarkeit und einer tatsächlichen Veröffentlichung zu unterscheiden. Eine bloße Behauptung „Ich habe die Datei an alle Kontakte verschickt“ belegt noch keinen erfolgreichen Versand.
Welche unmittelbaren Maßnahmen sind sinnvoll?
Die Polizeiliche Kriminalprävention rät bei Sextortion dazu, Forderungen nicht zu erfüllen, den Vorfall zu dokumentieren und Anzeige zu erstatten. Eine Zahlung garantiert keine Löschung und kann neue Forderungen auslösen. Bei anderen Erpressungsformen, insbesondere bei einem laufenden IT-Vorfall, sollten qualifizierte Security-Verantwortliche und gegebenenfalls die Polizei einbezogen werden.
Bei einem tatsächlichen Kontohack sind Zugangsdaten und aktive Sitzungen von einem vertrauenswürdigen Gerät aus zu prüfen. Bei Ransomware müssen betroffene Systeme möglicherweise isoliert und forensisch bewertet werden. Welche Maßnahmen technisch angemessen sind, hängt vom bestätigten Angriff ab. Eine pauschale Neuinstallation sämtlicher Geräte allein wegen einer Erpressungsmail kann unnötig sein.
Bei drohender körperlicher Gewalt oder einer Überwachung durch einen gewaltbereiten früheren Partner muss die persönliche Sicherheit Vorrang haben. Die Hilfesuche sollte möglichst über einen nicht kontrollierten Kanal stattfinden. In unmittelbarer Gefahr ist die Polizei über 110 erreichbar.
Wie werden veröffentlichte Daten oder Bilder entfernt?
Ist eine Datei bereits öffentlich abrufbar, kann die konkrete Fundstelle bei der Plattform oder dem Hostingdienst beanstandet werden. Im Anwendungsbereich des Digital Services Act besteht nach Artikel 16 ein elektronisches Melde- und Abhilfeverfahren für mutmaßlich rechtswidrige Inhalte. Eine Meldung muss den Inhalt eindeutig identifizieren und die Beanstandung nachvollziehbar begründen.
Eine Entfernung beim ursprünglichen Hoster beseitigt nicht automatisch weitergeleitete Kopien. Auch die Auslistung eines Google-Treffers ist ein anderer Vorgang als die Löschung der Datei. Die Einträge Takedown-Verfahren und Pornoseiten-Löschung beschreiben diese Prozesse.
Was bedeutet eine mögliche Datenschutzverletzung?
Wenn bei einem Unternehmen personenbezogene Daten unbefugt offengelegt werden, können Melde- und Benachrichtigungspflichten nach Artikeln 33 und 34 DSGVO entstehen. Die Pflichten richten sich nach der konkreten Art der Verletzung, dem Risiko für betroffene Personen und den gesetzlichen Ausnahmen. Eine bloße Täterbehauptung über gestohlene Daten löst nicht automatisch dieselben Pflichten aus wie ein bestätigter Sicherheitsvorfall.
Unternehmen sollten deshalb ermitteln, welche Daten tatsächlich betroffen sein können, wo sie gespeichert waren und welche Zugriffe sich nachweisen lassen. Eine öffentliche Mitteilung darf weder unberechtigte Sicherheit vermitteln noch unbelegte Datendiebstähle als Tatsache darstellen.
Welche Folgen entstehen nach einer Zahlung?
Eine bereits getätigte Überweisung kann nicht in jedem Fall zurückgeholt werden. Betroffene sollten den Zahlungsanbieter frühzeitig informieren, wenn eine unberechtigte oder erpresserisch veranlasste Zahlung vorliegt. Vorhandene Zahlungsunterlagen können für eine Anzeige und weitere Ermittlungen von Bedeutung sein. Der Empfänger eines Kontos oder einer Wallet-Adresse ist aber nicht automatisch die Person, die die Drohung geschrieben hat.
Wer bezahlt hat, sollte erneute Forderungen ebenfalls dokumentieren und geeignete Beratung einschalten. Eine Zusage des Täters, Daten nach einer Zahlung vollständig zu löschen, lässt sich in der Regel nicht unabhängig überprüfen.
Fiktives Fallbeispiel
Eine selbstständige Person erhält eine Nachricht mit einem alten Passwort und der Drohung, angebliche Webcam-Aufnahmen an ihre Kunden zu senden. Die Nachricht enthält eine Zahlungsfrist. Eine Prüfung zeigt, dass das Passwort bereits in einer älteren Datenpanne aufgetaucht war. Eine aktive unbefugte Anmeldung und eine tatsächliche Videoaufnahme sind zunächst nicht belegt. Der Erpressungsversuch kann dokumentiert und angezeigt werden; gleichzeitig wird das noch verwendete Passwort ersetzt.
In einem zweiten Fall verschafft sich ein Angreifer nachweislich Zugriff auf das Cloudkonto eines Unternehmens und legt vertrauliche Dateien als angeblichen Beleg vor. Hier ist eine technische Sicherheitsuntersuchung erforderlich. Die möglichen Datenschutzfolgen, die Erpressungsdrohung und die Wiederherstellung des Konto-Zugangs werden als eigenständige Aufgaben behandelt.
Häufige Fragen zur digitalen Erpressung
Ist jede Drohung mit Geldforderung strafbare Erpressung?
Eine strafrechtliche Einordnung nach § 253 StGB setzt die gesetzlichen Merkmale voraus. Für bestimmte Drohungen kann auch § 240 StGB oder eine andere Vorschrift einschlägig sein.
Beweist ein altes Passwort einen aktiven Hackerzugriff?
Nein. Ein früheres Passwort kann aus einem Datenleck stammen. Ein aktueller Zugriff muss anhand weiterer Informationen geprüft werden.
Kann eine Person ohne echte intime Bilder erpresst werden?
Ja. Täter können eine Aufnahme bloß behaupten oder ein synthetisches Bild als Druckmittel einsetzen. Die Drohung und ein tatsächlicher Besitz der Datei sind unterschiedliche Sachverhalte.
Sollte man Geld zahlen, damit Bilder verschwinden?
Polizei und Präventionsstellen raten bei Sextortion davon ab. Eine Zahlung bietet keine sichere Kontrolle über bereits vorhandene Dateien und kann weitere Forderungen nach sich ziehen.
Kann man eine Erpressung auch ohne bekannten Täter anzeigen?
Ja. Die Anzeige kann die vorhandenen Nachrichten, Forderungen und technischen Hinweise enthalten. Die mögliche Identifizierung der Person gehört zu den Aufgaben der Ermittlungsbehörden.
Wo können Betroffene Unterstützung erhalten?
Das Opfer-Telefon des WEISSEN RINGS unter 116 006 berät Menschen, die von Straftaten betroffen sind. Bei einer drohenden Gewalttat ist die Polizei zuständig. BRANDPROTECTIONNOW kann im vereinbarten Umfang öffentliche Fundstellen, Identitätsmissbrauch und digitale Drohungen dokumentieren sowie geeignete Meldungen vorbereiten. Technische IT-Forensik und individuelle Rechtsberatung können weitere Fachstellen erfordern.