Wortlaut

Der Bundesrat wird vom Parlament beauftragt, einen Gesetzesentwurf vorzulegen, der die Einführung von Massnahmen im Strafgesetzbuch ermöglicht, die die Hehlerei mit illegal beschafften Daten, insbesondere wenn es sich um medizinischen Daten handelt, zu bestrafen.

Begründung

Der Kanton Neuenburg war im April Schauplatz eines Ereignisses, von dem sich viele Bürgerinnen und Bürger wünschten, dass es sich um einen schlechten Scherz gehandelt hätte. Und zwar wurden sage und schreibe 40 000 Dateien, die detaillierte und intime Daten von Patientinnen und Patienten enthielten, aus Neuenburger Praxen entwendet und von Hackern online gestellt. Dabei ist nicht bekannt, ob diese von Mittelsleuten unterstützt wurden.

Dieses Beispiel ist eines von vielen, die weit über den medizinischen Bereich hinausgehen. Es zeigt nicht nur, dass der Gesetzgeber den Schutz der elektronischen Patientenakten genauer betrachten muss, sondern zwingt uns auch, dass wir die Lücken im Schweizer Recht bei spezifischen Straftaten in diesem Bereich, wie der Hehlerei mit digitalen Daten, schliessen. Da die Hehlerei mit digitalen Daten in allen entsprechenden Artikeln des Strafgesetzbuchs (StGB) fehlt, wird sie noch immer nicht bestraft. Artikel 160 StGB erfasst laut Lehre, Rechtsprechung und der Stellungnahme des Bundesrates zu Vorstössen zur Erweiterung des Hehlereibegriffs nur materielle Güter, nicht aber elektronische Daten; die Artikel 143 und 143bis StGB stellen nur Diebstahl, nicht aber Hehlerei unter Strafe. Wenn man den Zahlen des Bundesamts für Statistik (BFS) zur digitalen Kriminalität Glauben schenken darf, nehmen die im Internet begangenen Straftaten stetig zu (1). Nichtsdestotrotz scheint die Schweiz nur wenig geneigt zu sein, weitere Gesetze in diesem Bereich zu erlassen. Dies ist bedauerlich, denn es ist dringend notwendig, unser Recht dahingehend auszubauen, dass es nicht nur auf den Diebstahl digitaler Daten anwendbar ist, sondern auch auf den wissentlichen Besitz dieser Daten im Wissen, dass diese von Dritten unrechtmässig beschafft wurden.

(1) Laut dem Bundesamt für Statistik und seiner Abteilung Kriminalität und Strafrecht wurden in der Schweiz im Jahr 2021 mehr als 30 000 Computerdelikte registriert, im Jahr 2020 waren es noch 24 398.

Antrag des Bundesrates

Der Bundesrat beantragt die Ablehnung der Motion.

Stellungnahme des Bundesrates

Die Ausweitung des Begriffs der Hehlerei auf den Empfang und die Übermittlung von Daten war bereits Gegenstand der 2012 eingereichten Motion 12.3123 Amherd, Anpassung des Hehlereitatbestandes im Strafgesetzbuch. Bundesrat sowie Parlament hielten damals fest, dass die Anwendung des Hehlereitatbestands gemäss Artikel 160 des Strafgesetzbuches (StGB, SR 311.0) auf Hehlerei an Sachen beschränkt ist und den Anspruch auf Wiederherstellung der rechtmässigen Besitzlage schützt. Der Hehler wird bestraft, weil er einen rechtswidrigen Zustand fortsetzt und die Wiedererlangung einer Sache verhindert oder erschwert. Die unbefugte Datenbeschaffung (Art. 143 StGB), auch als Datendiebstahl bezeichnet, erfolgt jedoch in der Regel durch das Kopieren von Daten und geht nicht zwingend mit dem Entzug der Verfügungsmöglichkeit der berechtigten Person einher. Daten und die in ihnen enthaltenen Informationen unterscheiden sich daher grundlegend von Sachen bezüglich des Konzepts von Eigentum und Gewahrsam, was mit der fehlenden Verkörperung zusammenhängt. Dies führt zu divergierenden Schutzbedürfnissen bei Sachen auf der einen Seite sowie Daten und Informationen auf der anderen Seite. Hehlerei an entwendeten Daten ist mit der sachenrechtlichen Konzeption von Artikel 160 StGB nicht vereinbar.

Dies bedeutet jedoch nicht, dass das in der Motionsbegründung dargestellte Verhalten straflos bleibt. Der Hacker wird, unabhängig davon, ob er die durch ihn erbeuteten Daten online stellt oder nicht, nach Artikel 143bis StGB (unbefugtes Eindringen in ein Datenverarbeitungssystem) mit bis zu drei Jahren Freiheitsstrafe oder Geldstrafe bestraft. Will er sich oder einen anderen durch die Beschaffung der Daten bereichern, kann die Strafe gemäss Artikel 143 StGB bis zu fünf Jahren Freiheitsstrafe betragen. Eine allfällige Weiterverbreitung oder Veröffentlichung der Daten geht mit einem schwereren Verschulden einher und kann im Rahmen der Strafzumessung straferhöhend berücksichtigt werden. Wird der Täter durch Mittelsmänner unterstützt, kommen auch strafbare Anstiftung, Gehilfenschaft oder Mittäterschaft in Frage. Möglich bleibt zudem sowohl für den Haupttäter als auch für Dritte, je nach konkretem Fall oder der anschliessenden Verwendung der Daten, die Anwendung der Tatbestände der Erpressung gemäss Artikel 156 StGB, der Datenbeschädigung gemäss Artikel 144bis StGB und weiterer Vermögensdelikten.

Auch wenn der Gesetzgeber bisher bewusst davon abgesehen hat, den strafrechtlichen Schutz der Hehlerei generell und umfassend auf gestohlene Daten auszuweiten, sind spezifische wichtige Datenkategorien bereits heute gesetzlich geschützt. So wird jegliches Bearbeiten von Personendaten (Art. 2 des Bundesgesetzes über den Datenschutz, DSG, SR 235.1) gesetzlich geregelt. Darüber hinaus wird das unbefugte Beschaffen von Personendaten in Artikel 179novies StGB auch strafrechtlich erfasst. Unter diesen strafrechtlichen Schutz fallen alle besonders schützenswerten Personendaten, das heisst auch die in der Motion erwähnten Gesundheitsdaten (Art. 3 lit. c (Ziff. 2) DSG). Im Zuge der Revision des DSG wurde zudem kürzlich ein neuer Straftatbestand gegen Identitätsmissbrauch und Diebstahl einer entsprechenden Identität (Art. 179decies StGB, Inkrafttreten am 1.9.2023) eingeführt, der die deliktische Weiterverwendung von Daten erfasst.

Schliesslich ist auch darauf hinzuweisen, dass auf internationaler Ebene keine Verpflichtung oder Empfehlung für Staaten eingeführt worden ist oder diskutiert wird (zum Beispiel im Rahmen der durch die Schweiz ratifizierten Übereinkommen des Europarats über Cyberkriminalität, SR 0.311.43, oder bei den zurzeit laufenden Verhandlungen im Rahmen der Vereinten Nationen), Datenhehlerei als Strafbestimmung in das nationale Recht aufzunehmen.

Der Bundesrat sieht aus diesen Gründen keinen Handlungsbedarf im Sinne der Motion.

Der Bundesrat beantragt die Ablehnung der Motion.