Into the hacktivism dark field

In a third study on the phenomenon “hacktivism” the Bundeskriminalamt (BKA) was mainly concerned with potential threats posed by “shitstorms” and information campaigns – and thus with generally legitimate expressions of opinion.

On May 21, 2016, our doctoral researcher Theres Züger was interviewed by Deutschlrandradio Kultur on her views on the dark field study conducted by the BKA. The entire piece can be found here.

Die Forschungs- und Beratungsstelle Cybercrime des Bundeskriminalamtes (BKA) hat erneut zugeschlagen. Neben den Studien zum hacktivistischen Hellfeld und zum cyberkriminellen Tätertyp präsentierte das BKA eine Dunkelfeldstudie zu Hacktivisten. Damit geht ein bereits im Jahre 2013 gestartetes Projekt zu Ende, dass “vor dem Hintergrund der zunehmenden medialen Präsenz von hacktivistischen Aktivitäten und Taten und einem uneinheitlichen Verständnis der Bedrohungslage sowie des Gefährdungspotenzials dieses Phänomens, die Materie grundlegend auf[zu]schließen und dar[zu]legen” (S.1) soll. Dazu strebte das BKA insbesondere “eine klare begriffliche Abgrenzung des Phänomens [Hacktivismus] zu verwandten und ähnlichen phänomenologischen Strömungen” (S.1) an. Dass dieser Versuch bereits mehrfach gescheitert ist, haben wir und andere schon zu den vorangegangenen Teilstudien (u.a. hier, hier und hier) gezeigt. Obwohl das BKA abermals eine klare Abgrenzung zwischen legalem und illegalem Verhalten vermissen lässt und daher ein immens großes Spektrum von aktivistischen/hacktivistischen Verhaltensweisen im strafrechtlich relevanten Bereich verortet, kommt es nach drei Studien mit insgesamt deutlich über 200 Seiten zu einer entlarvenden Erkenntnis:

“Schon jetzt lässt sich feststellen, dass die Ergebnisse darauf hinweisen, dass es sich bei Hacktivismus weder im Hellfeld noch im Dunkelfeld um eine signifikante Bedrohung mit ausgeprägtem Schadenspotenzial handelt.” (S. 35)

Letztlich sollte man dem BKA sogar dankbar für dieses Eingeständnis sein, da offensichtlich an einer verstärkten strafrechtlichen Verfolgung aktivistischter Handlungen kein Bedarf besteht. Gleichzeitig bleibt allerdings sowohl für Hacktivisten als auch für betroffene Unternehmen und Einrichtungen vollkommen unscharf, wo die Grenze zwischen straflosem Aktivismus und strafbarem Verhalten liegt – ein äußerst unbefriedigendes Ergebnis.

Dieses kommt jedoch nicht vollends überraschend, wenn man sich das Forschungsdesign der Dunkelfeldstudie anschaut, das von vornherein den Erkenntnisgewinn zum Thema Hacktivismus unwahrscheinlich macht. Von ca. 5000 zufällig ausgewählten Unternehmen aus dem privaten und öffentlichen Sektor nahmen etwa 1000 an der Dunkelfeld-Studie teil. Den 80 Fällen, in denen Unternehmen angeben, von Hacktivismus “betroffen” gewesen zu sein, geht das BKA nicht weiter im Detail nach – womit völlig im Unklaren bleibt, ob und in welcher Weise es sich bei diesen Vorkommnissen tatsächlich um Hacktivismus, Cybercrime oder schlichte Meinungsäußerung handelte.

Da wo es also eigentlich interessant werden könnte, tappt diese Studie anscheinend absichtlich im Dunkeln. Nur die tieferen Beschäftigung mit den lediglich numerisch erfassten Fällen hätte die Antworten auf die anvisierte Forschungsfrage liefen können. Dafür wäre es notwendig gewesen, die angedeuteten Fälle von Hacktivismus zu rekonstruieren und auf deren jeweilige Strafbarkeit zu überprüfen, sie auf ihr realistisches Gefahrenpotential hin zu analysieren, ggf. Schlüsse für den eigenen Umgang mit vergleichbaren Fällen zu ziehen und den Betroffenen, wie den Hacktivisten Rechtssicherheit und ein klares Bild von straffrechtlichen Konsequenzen zu bieten. Nichts dergleichen wurde umgesetzt.

Woran sich die Studie, die sich Hacktivismus widmen will (!), jedoch überraschenderweise festbeißt, sind Shitstorms. Dieser Fokus der Betrachtung ist zweifach bemerkenswert. Erstens widerspricht er jenen Definitionen von Hacktivismus, die das BKA fortlaufend selbst anführt, z.B. als “Hochzeit von politischem Aktivismus und Computerhacking” (BKA 2014: 21), womit Shitstorms offensichtlich gar nichts zu tun haben. Zweitens ist die Untersuchung von Shitstorms im Kontext der Studie verwunderlich, da die Beteiligung an einem solchen gegen ein Unternehmen oftmals keine Straftat darstellt. Abgesehen von falschen Tatsachenbehauptungen sind “Beleidigungen” von juristischen Personen nur dann strafbar, wenn der sog. soziale Achtungsanspruch des Unternehmens verletzt wird. Im Gegensatz zur Beleidigung von natürlich Personen, die vom allgemeinen Persönlichkeitsrecht des Art. 1 Abs. 1 i.V.m. 2 Abs. 1 GG geschützt sind, ist in diesem Kontext das Grundrecht auf Meinungsäußerungsfreiheit daher erheblich weiter gefasst. Zusätzlich bedenklich ist, dass das BKA Shitstorms nicht weiter definiert, sondern die Unternehmen nach der Betroffenheit von “beleidigenden Kommentaren im Internet” gefragt hat (S.10), was ein sehr weites Feld in den Kontext der kriminalistischen Betrachtung rückt.

Diese heikle Tendenz der Studie schlägt in Absurdität um, wenn das BKA Unternehmen dazu auffordert zu erläutern, inwieweit sie sich als durch Demonstrationen oder Informationkampagnen gefährdet fühlen (S. 20). So sehr es die berechtigte Aufgabe des BKA ist, Unternehmen vor Kriminalität zu schützen, sollte kein Zweifel daran bestehen, dass grundrechtlich geschützte Bürgerrechte, wie die Versammlungsfreiheit und das Recht auf freie Meinungsäußerung auch durch das BKA als Organs des Rechtsstaats verteidigt und nicht in Frage gestellt werden dürfen.

Von den 1000 Teilnehmern der Studie gaben, wie erwähnt, lediglich 80 an, bislang von hacktivistischen Tätigkeiten betroffen gewesen zu sein. Nur 43 Unternehmen oder Einrichtungen erlitten einen finanziellen Schaden (Kosten der Behebung der Störung, zusätzlicher Arbeitsaufwand und zusätzliche Investitionen in die Informationstechnik). Folgerichtig schätzt die große Mehrheit der befragten Unternehmen die Gefahr durch Hacktivismus als “eher gering” oder sogar “sehr gering” ein.

Weder untergeordnete Strafverfolgungsbehörden noch Hacktivisten können den Ergebnissen entnehmen, welche Verhaltensweisen strafbar sind und wann aktivistisches Handeln im erlaubten Bereich verbleibt. Letztlich wird das BKA in diesem Themenbereich seiner Rolle als Akteur der öffentlich Sicherheits- und Ordnungsgewalt nicht gerecht. Es weigert sich, Grenzen zu ziehen, geeignete Präventionsmaßnahmen vorzuschlagen oder auch nur Betroffenen zu signalisieren, ob sie Opfer einer zu verfolgenden Straftat oder Ziel einer hinzunehmenden aktivistischen Handlung geworden sind.

Gleichwohl darf man mit Spannung auf das offizielle und endgültige Fazit des BKA zu dieser Studienreihe warten. Leider ist schon jetzt offensichtlich, dass allein die jeweiligen Ansatzpunkte der Forschung und Studiendesigns die eigentlich relevanten und interessanten Fragen verfehlen.

This post was first published on netzpolitik.org.

This post is part of a weekly series of articles by doctoral canditates of the Alexander von Humboldt Institute for Internet and Society. It does not necessarily represent the view of the Institute itself. For more information about the topics of these articles and asssociated research projects, please contact info@hiig.de.