Ist der Diebstahl einer fremden Identität nach geltendem Recht strafbar?

ZD 2026, 241   Als gegeben kann vorausgesetzt werden, dass mit einem Fake-Account oder Fake-Shop auch andere Straftaten (wie Geldwäsche oder Betrug, Beleidigung oder Volksverhetzung) begangen werden können.

Aber ist der Identitätsdiebstahl als solcher strafbar, etwa durch das Betreiben eines Online-Shops oder eines Social-Media-Accounts in fremdem Namen, oder durch Deep-Fakes, insbesondere auch pornografischen Inhalts, wie sie derzeit verstärkt diskutiert werden?

Aktueller Anlass für diese Frage sind Pläne des BMJ (https://www.bmjv.de/SharedDocs/Meldungen/DE/2026/0320_Digitale_Gewalt.html), Derartigem durch neue Strafvorschriften entgegenzutreten. Diese Pläne scheinen beschleunigt worden zu sein durch den Fall eines Schauspielers, der im Verdacht steht, unerlaubt im Namen seiner Ex-Frau Social-Media-Accounts betrieben und darüber durch KI erstellte pornografische Videos verbreitet zu haben, in denen Darstellungen zu sehen sind, die die KI dem Äußeren der Ex-Frau nachempfunden hat (Obertreis, Wie Collien Ulmen-Fernandes von Deepfake-Porn betroffen ist, 20.3.2026, abrufbar unter: https://www.faz.net/aktuell/gesellschaft/kriminalitaet/wie-collien-ulmen-fernandes-von-deepfake-porn-betroffen-ist-110180722.html). Da auch sie prominent ist, konnte jedem klar sein, wer da in dem Video „mitzumachen“ schien.

Straftaten gegen die sexuelle Selbstbestimmung

Als fruchtlos erweist sich hier der dreizehnte Abschnitt des StGB. Dabei ist das Verbreiten pornografischer Inhalte in manchen Fällen durchaus strafbar. Wobei die Auswahl der strafbaren und nicht-strafbaren Handlungen stutzig macht.

So macht sich etwa strafbar, wer (unter Erwachsenen) einen nicht-strafbaren pornografischen Inhalt in den falschen Räumlichkeiten eines Geschäftsbetriebs einem anderen überlässt, § 184 Abs. 1 Nr. 3 StGB (Matt/Renzikowski, Strafgesetzbuch/Eschelbach, 2. Aufl. 2020, StGB § 184 Rn. 50).

Nicht strafbar macht sich dagegen nach diesen Normen, wer pornografische Inhalte verbreitet, in denen jemand zu sehen ist, der mit seiner (tatsächlichen oder vermeintlichen) Mitwirkung nicht einverstanden ist oder war.

Ehrschutzdelikte

Nicht unterschätzt werden sollten in diesem Zusammenhang die Ehrschutzdelikte der §§ 185-187 StGB. Vermutlich noch nicht die Erstellung von Fake-Accounts, aber doch die Verbreitung von pornografischen Deep-Fakes darf durchaus als Äußerung der Missachtung durch die Verbreitung von Inhalten (§ 11 Abs. 3 StGB) und damit als Beleidigung iSd § 185 StGB verstanden werden.

Soweit damit die Behauptung verbunden ist, das Opfer habe an dem Porno mitgewirkt, können auch §§ 186, 187 StGB in den Fokus rücken. Bei § 187 letzte Var. StGB (Verbreiten eines Inhalts) beträgt der Strafrahmen bis zu fünf Jahre Haft.

Mit dieser Ansicht soll nicht die „Lückenbüßerfunktion“ (so \Beck\OK StGB/Valerius, 68. Ed. 1.2.2026, StGB § 185 Rn. 29; Lackner/Kühl/Heger, StGB/Heger, 31. Aufl. 2025, StGB § 185 Rn. 6; Tübinger Komm. Strafgesetzbuch/Eisele/Schittenhelm, 31. Aufl. 2025, StGB § 185 Rn. 4) der Ehrschutzdelikte für nicht strafbare sexuelle Handlungen reaktiviert werden. Wer eine Person zu Unrecht in die Nähe pornografischer Inhalte rückt, die er auch noch verschickt bzw. verbreitet, greift unmittelbar deren Ehre an und bewertet sie herabsetzend (dazu Kindhäuser/Hilgendorf, Strafgesetzbuch/Kindhäuser/Hilgendorf, 10. Aufl. 2025, StGB § 185 Rn. 7).

Insbesondere liegt hier kein Fall vor, den der Gesetzgeber, geleitet von der Liberalisierung sexualbezogener Anschauungen, als zu akzeptierende Variante der Ausübung sexueller Selbstbestimmung straffrei stellen wollte. Dieses Argument gegen die „lückenfüllende“ Funktion der Ehrschutzdelikte ist hier also nicht tragfähig (vgl. dazu MüKoStGB/Regge/Pegel, 5. Aufl. 2025, StGB § 185 Rn. 15).

Körperverletzungsdelikte

Wiederum nur für den Bereich der Deep-Fakes soll die Körperverletzung (§§ 223 ff. StGB) nicht unerwähnt bleiben. Der so erfolgende Angriff ist offensichtlich kein körperlicher. Er kann aber erhebliche Auswirkungen auf die Gesundheit, namentlich die seelische, haben.

Die Diskussion, ob ein nicht körperlicher Angriff, der die seelische Gesundheit verschlechtert, eine Körperverletzung ist (Übersicht bei \Beck\OK StGB/Eschelbach, 68. Ed. 1.2.2026, StGB § 223 Rn. 27), kann hier nicht geführt werden (dafür wohl Hardtung JuS 2008, 864 (687), wobei der Angriff dort körperlich ist).

Es würde aber gesetzgeberischen Handlungsbedarf offenbaren, wenn das Hervorrufen psychischer Krankheiten durch (vorsätzliche) psychische Beeinträchtigung vollkommen straflos wäre. Dass der Beweis von Täterschaft und Kausalität oft schwierig sein wird, ist eine andere Frage.

Strafbarkeit nach KUG

Eine Strafbarkeit hinsichtlich des Verbreitens pornografischer Fotos oder Videos könnte nach § 33 Abs. 1 KUG denkbar sein. Danach wird mit bis zu einem Jahr Freiheitsstrafe „bestraft, wer entgegen §§ 22, 23 KUG ein Bildnis verbreitet oder öffentlich zur Schau stellt“. Die Erlaubnistatbestände der §§ 22, 23 KUG sind erkennbar nicht erfüllt. Während §§ 22, 23 KUG als Rechtsgrundlage für Datenverarbeitungen weitgehend von der DS-GVO verdrängt worden sein dürften, gilt dies für den Straftatbestand des § 33 KUG vermutlich nicht (Anm. Ziebarth zu OVG Lüneburg MMR 2021, 593 (598)).

Fraglich ist, ob mit dem Deep-Fake ein taugliches Tatobjekt vorliegt. Denn es handelt sich nicht um eine echte Fotografie des Opfers, sondern um eine von einem Rechner produzierte Nachbildung. Dennoch gilt dies als „Bildnis“ iSd Vorschrift, die auch Zeichnungen und Computeranimationen umfasst (\Beck\OK StGB/Valerius, 68. Ed. 1.2.2026, KUG § 33 Rn. 6; Erbs/Kohlhaas, Strafrechtliche Nebengesetze/Kaiser, 259. EL Oktober 2025, KUG § 33 Rn. 5 f. jew. mwN). Deep-Fakes, die das Opfer erkennen lassen, sind also taugliche Tatobjekte. Diese Dateien weiter zu versenden erfüllt auch den Tatbestand des Verbreitens (vgl. BGH ZD 2019, 74). Dazu reicht die Weitergabe körperlicher wie digitaler Vervielfältigungsstücke (Erbs/Kohlhaas, Strafrechtliche Nebengesetze, 259. EL Oktober 2025, KUG § 33 Rn. 10).

Bewertung nach Datenschutzrecht

Während die Verbreitung von Deep-Fake-Pornos nach § 33 KUG bis zu einem Jahr Freiheitsstrafe mit sich bringen kann, ist der Betrieb von Fake-Social-Media-Accounts oder alternativ eines Fake-Shops alleine nach bisheriger Untersuchung straflos.

Wer aber unerlaubt unter fremdem Namen (der nicht irgendein Pseudonym ist, sondern zu Unrecht eine bestimmte Person adressiert) einen Web-Shop oder einen Social-Media-Account betreibt, der verarbeitet personenbezogene Daten der jeweiligen Opfer. Erst recht, wer unter Verwendung fremder Fotos bzw. Videos die Identität der Teilnehmer von pornografischen Inhalten fälscht.

# Geltung des Datenschutzrechts und Rechtswidrigkeit der Datenverarbeitung

Personenbezogene Daten fremder Leute zu verarbeiten, ist aber grundsätzlich nicht erlaubt. Jedenfalls, wer Derartiges veröffentlicht bzw. verbreitet, kann sich auch nicht auf die Haushaltsausnahme des Art. 2 Abs. 2 lit. c DS-GVO berufen.

Unter Privaten regelt die DS-GVO, dass personenbezogene Daten ausschließlich wie folgt verarbeitet werden dürfen:

# „auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise“ (Art. 5 Abs. 1 lit. a DS-GVO),

# „für festgelegte, eindeutige und legitime Zwecke erhoben ... und ... nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet“ (Art. 5 Abs. 1 lit. b DS-GVO),

# „sachlich richtig“ (Art. 5 Abs. 1 lit. b DS-GVO).

Die Verarbeitung ist außerdem nur rechtmäßig, wenn sie auf Art. 6 Abs. 1 UAbs. 1 lit. a bis f DS-GVO gestützt werden kann, also die Voraussetzungen der Rechtsgrundlagen erfüllt sind. Daten über das Sexualleben sind von Art. 9 DS-GVO besonders geschützt.

Es ist zu konstatieren, dass bereits die Einrichtung von unerlaubt unter falschem Namen betriebenen Web-Shops oder Social-Media-Accounts, erst recht das Fälschen von pornografischen Inhalten und deren Verbreitung, den genannten Anforderungen nicht gerecht wird. Die Verarbeitung personenbezogener Daten erweist sich in allen drei Fällen als datenschutzrechtswidrig.

# Rechtswidrige Datenverarbeitung als Straftat

# Alle drei Handlungsweisen können auch nach § 42 BDSG strafbar sein. Absatz 2 lautet: „Mit Freiheitsstrafe bis zu zwei Jahren oder mit Geldstrafe wird bestraft, wer personenbezogene Daten, die nicht allgemein zugänglich sind, ... ohne hierzu berechtigt zu sein, verarbeitet ... und hierbei gegen Entgelt oder in der Absicht handelt, sich oder einen anderen zu bereichern oder einen anderen zu schädigen.“

Je nachdem, welche personenbezogenen Daten hier verwendet werden, ist die Strafbarkeit möglich. Im Falle der Deep-Fakes ist dabei zu beachten, dass Fotos einer bekannten Schauspielerin durchaus allgemein zugänglich sein können. Daraus Fakes zu erstellen, ist Datenverarbeitung. Das Ergebnis sind wiederum personenbezogene Daten, die „Gefälschtheit“ ändert daran nichts (Sydow/Marsch, DS-GVO BDSG/Ziebarth, 3. Aufl. 2022, DS-GVO Art. 4 Rn. 41). Sie zu verbreiten ist also Verarbeitung nicht allgemein zugänglicher personenbezogener Daten. Und zwar rechtswidrige Datenverarbeitung, zu denen der Täter nicht berechtigt sein kann.

Ob der Täter gegen Entgelt handelt, die Pornos also verkauft, ist nicht entscheidend. Entscheidend ist die Schädigungsabsicht. Wer Rachepornos erstellt und verbreitet, handelt offensichtlich mit Schädigungsabsicht. Damit kann die Tat gem. § 42 Abs. 2 BDSG mit bis zu zwei Jahren Haft geahndet werden.

Wegen des besonderen Schutzes der Artikel-9-Daten, der Heimlichkeit des Vorgehens (offen gegenüber Dritten, verdeckt gegenüber dem Opfer, unter „falscher Flagge“ handelnd) und wegen der besonderen Verletzung nicht nur der Ehre, sondern auch des familiären Schutzraums, den man auch unter geschiedenen Ehepartnern erwarten darf, darf aus dem Strafrahmen durchaus geschöpft werden.

# Rechtswidrige Datenverarbeitung als Ordnungswidrigkeit

Soweit dies scheitern sollte, etwa, weil die Fake-Shops und Fake-Accounts nur allgemein zugängliche Daten (insbesondere den Namen des prominenten Opfers und schon anderweitig legal veröffentlichte Fotos) enthalten, kommt eine Geldbuße nach Art. 83 DS-GVO in Betracht. Rechtswidrige Datenverarbeitung ist grundsätzlich eine Ordnungswidrigkeit nach Art. 83 DS-GVO.

Dies bedeutet, weil jedenfalls gegen Art. 5 und 6 DS-GVO verstoßen wird, Bußgelder von bis zu 20 Mio. EUR oder 4% des Jahresumsatzes - je nachdem, was höher ist, Art. 83 Abs. 5 DS-GVO.

Ausblick

Das beschriebene Vorgehen ist de lege lata in vielen Fällen strafbar. In anderen sieht die DS-GVO empfindliche Bußgelder vor. Sollte ein Gesetzentwurf, wie er jetzt angekündigt ist, größere Klarheit verschaffen, so wäre das zu begrüßen.

Es sollten dabei aber die bestehenden Möglichkeiten weder übersehen noch geschwächt werden.