Existenzbedrohung DDoS-Attacke: Kleine Onlinehändler werden zur Zielscheibe für Erpressungsversuche

In letzter Zeit mehren sich die Berichte über spektakuläre Fälle von Hacker-Angriffen auf Webserver großer Internetunternehmen oder die Netzwerke von Regierungen. Während in den meisten dieser Fälle politische Motive eine Rolle spielen, geben die jüngsten Berichte über Hausdurchsuchungen bei einer Reihe von Verdächtigen aus Deutschland Anlass zur Sorge für kleine und mittelgroße Onlinehändler.

Die ins Visier der Fahnder geratenen Personen haben angeblich Onlinehändler mit der Drohung erpresst, ihre Shops durch massenhafte Anfragen lahmzulegen  bzw. diese Drohungen auch zur Verstärkung derselben gleich in die Tat umgesetzt. Sog. DDoS-Attacken, derer sich die Verdächtigen bedient haben sollen, erfordern nicht unbedingt Spezialwissen, das nur Hackern vorbehalten ist.

Das Prinzip ist denkbar einfach: Ein Server wird durch eine Vielzahl paralleler Anfragen überflutet, bis sein Arbeitsspeicher voll ist. Diese gebündelten Anfragen werden durch sog. Bot-Netze ermöglicht, welche durch eine eingeschleuste Schadsoftware auf fremden Rechnern ohne Wissen der jeweiligen Eigentümer gebildet werden. Quasi auf Knopfdruck starten die auf diese Weise synchronisierten Rechner die jeweilige Anfrage beim angegriffenen Server. Anfangs wurde das Prinzip, einen Server durch parallele Anfragen zum Absturz zu bringen, vor allem für "friedliche Zwecke“ im Rahmen sog. Online-Demonstrationen – wie zum Beispiel im Jahre 2004 gegen die Lufthansa – genutzt. Bei diesen wurden die Anfragen allerdings bewusst durch die Demonstrationsteilnehmer veranlasst. Doch schon bald wurde auch das kriminelle Potential eines durch Bot-Netze herbeigeführten Serverausfalls entdeckt: Bereits im Jahr 2004 wurden kurz vor der Fußball-EM eine Reihe von Erpressungsversuchen gegenüber Wettbüros in Deutschland bekannt. 15.000 US-Dollar forderten die Erpresser damals zum Beispiel vom Online-Wettanbieter mybet.com. Weil man nicht reagierte, wurde die Seite tatsächlich für ca. 16 Stunden lahmgelegt.

Rechtliche Beurteilung
Solche DDoS-Attacken sind zum einen vom Straftatbestand des § 303a StGB (Datenveränderung) und ggf. vom Tatbestand der Computersabotage nach § 303b StGB erfasst. Letzterer kommt insbesondere dann in Betracht, wenn die lahmgelegte Webseite die zentrale Einnahmequelle des betroffenen Unternehmens darstellt, was bei den meisten Onlinehändlern der Fall sein dürfte. Darüber hinaus unterfällt das Androhen einer entsprechenden Attacke, verbunden mit der Forderung nach Zahlung eines bestimmten Geldbetrages, dem Straftatbestand der Erpressung. Das LG Düsseldorf hat im März dieses Jahres den als «Klaus Störtebeker» bekannt gewordenen Computer-Saboteur zu einer Freiheitsstrafe von zwei Jahren und zehn Monaten verurteilt (Urteil vom 22.3.2011, Az. 3 KLs 1/11). Dieser hatte eine Reihe von Online-Pferdewetten-Anbietern zu erpressen versucht und mit Attacken auf deren Computerserver fast eine halbe Million Euro Schaden verursacht. Dabei hatte er von drei Firmen insgesamt 5.000 Euro eingenommen.

Wie soll man sich im Ernstfall verhalten?
Angesichts von drohenden Einnahmeausfällen in bis zu sechsstelliger Höhe erscheint es zunächst als das geringere Übel, den Erpressungsversuchen nachzugeben und die vergleichsweise geringen finanziellen Forderungen der Erpresser zu erfüllen. Meistens motiviert ein solches Verhalten die Täter jedoch, wenige Zeit später eine noch höhere Geldforderung zu stellen, da man sich als zahlungswillig und –fähig erwiesen hat. Aus diesem Grund rät die Polizei, die Vorgänge schnellstmöglich zur Anzeige zu bringen. Mitunter lässt sich die Identität der Täter nämlich zum Beispiel über die benutzten Zahlungssysteme ermitteln, wie dies bei „Störtebecker“ der Fall war. Langfristig ist nur eine technische Absicherung des eigenen Shops eine sinnvolle Strategie, um sich für entsprechende Erpressungsversuche zu rüsten.