Doxing ist das Zusammentragen und Veröffentlichen privater Daten einer Person, meist um sie einzuschüchtern oder anderen zum Angriff freizugeben. Wohnadresse, Telefonnummer, Arbeitgeber oder Fotos der Familie landen dabei gesammelt an einer Stelle im Netz. In Deutschland stellt § 126a StGB das seit dem 22. September 2021 unter Strafe, wenn die Veröffentlichung die Person in Gefahr bringen soll.
- Doxing
Das Zusammentragen und Veröffentlichen privater Daten einer Person, um sie einzuschüchtern oder bloßzustellen.
Beispiel: „Nach dem Streit im Forum begann das Doxing: erst der Arbeitgeber, dann die Wohnadresse.“Auch: Doxxing. Der Ausdruck geht auf engl. docs zurück, die Kurzform von documents = Dokumente; im Englischen ist to dox das Verb dazu.
Abgrenzung zur Datenpanne: Bei einer Datenpanne fließen Daten aus einem System ab. Beim Doxing werden sie gezielt über einen Menschen zusammengesucht, oft aus Quellen, die jede für sich öffentlich sind.
Abgrenzung zur Feindesliste: So heißen Sammlungen von Daten über mehrere Personen, oft mit einer unterschwelligen Drohung verbunden. Beide fallen in Deutschland unter dieselbe Vorschrift.
Ist Doxing strafbar?
In Deutschland ja, wenn die Veröffentlichung eine Gefahr schafft. § 126a StGB bestraft, wer personenbezogene Daten einer anderen Person öffentlich, in einer Versammlung oder durch Verbreiten eines Inhalts so verbreitet, dass es geeignet und nach den Umständen bestimmt ist, sie oder eine ihr nahestehende Person der Gefahr eines Verbrechens auszusetzen. Dasselbe gilt für Taten gegen die sexuelle Selbstbestimmung, die körperliche Unversehrtheit, die persönliche Freiheit oder eine Sache von bedeutendem Wert.
Der Strafrahmen reicht bis zu zwei Jahren Freiheitsstrafe, bei Daten, die nicht allgemein zugänglich sind, bis zu drei Jahren. Anlass waren nach den Wissenschaftlichen Diensten des Bundestages die sogenannten Feindeslisten, von denen das Bundeskriminalamt bis zum 1. Juli 2021 genau 27 gezählt hatte. Eine Liste muss es trotzdem nicht sein: Die Daten einer einzigen Person reichen. Ausgenommen bleibt, was etwa der Berichterstattung über das Zeitgeschehen dient.
Daneben greift § 238 StGB zur Nachstellung, ausdrücklich auch dann, wenn jemand unter missbräuchlicher Verwendung der Daten einer Person Bestellungen für sie aufgibt oder Dritte dazu bringt, Kontakt mit ihr aufzunehmen. Ob ein Fall unter eine dieser Vorschriften fällt, entscheiden Staatsanwaltschaft und Gericht. Eine Anzeige lohnt sich deshalb auch dann, wenn du dir unsicher bist.
Woher die Daten beim Doxing stammen
Meist aus Quellen, die jede für sich harmlos wirken. Erst das Zusammenlegen macht daraus ein Profil, mit dem jemand vor der Haustür stehen kann.
Quelle | Was sie preisgibt | Was du tun kannst |
|---|---|---|
Impressum | Name und Anschrift, bei Selbstständigen oft die Wohnung | Eine Geschäftsanschrift nutzen, wo es eine gibt |
Melderegister | Name, Doktorgrad und Anschrift; jeder darf eine einfache Auskunft verlangen | Eine Auskunftssperre beantragen, wenn eine Gefahr besteht |
Domainauskunft (WHOIS) | Früher Name, Anschrift und Telefonnummer des Inhabers | Seit 2018 meist geschwärzt; bei alten Einträgen nachsehen |
Soziale Netzwerke | Fotos, Arbeitgeber, Orte, Familie | Sichtbarkeit einschränken, Ortsangaben weglassen |
Datenlecks | E-Mail-Adresse, Telefonnummer, Passwörter | Die eigene Adresse prüfen, betroffene Passwörter ändern |
Suchmaschinen | Verknüpfen alles über den Namen | Treffer mit Adresse oder Telefonnummer entfernen lassen |
Daraus folgt: Am meisten bringt es, die Angaben voneinander zu trennen. Wer Wohnadresse und Arbeitgeber nirgends miteinander verbindet, macht das Zusammenlegen mühsam.
Ein Doxing-Fall aus Deutschland
Im Dezember 2018 veröffentlichte ein Twitter-Konto nach Art eines Adventskalenders Tag für Tag Links zu Daten von rund 1.000 Politikern, Journalisten und Prominenten, darunter Abgeordnete des Bundestages und des Europaparlaments. Dabei waren Wohnadressen, Handynummern, Briefe, Rechnungen und Kopien von Ausweisen, in einzelnen Fällen auch Chats von Ehepartnern und Kindern.
Anfang Januar 2019 durchsuchte die Polizei die Wohnung eines 20-Jährigen in Hessen, der noch bei seinen Eltern lebte. Er gestand und gab an, er habe sich über Äußerungen der Betroffenen geärgert. Der Fall zeigt das Muster in großem Maßstab: Ein Einzelner sammelt gestohlene und frei auffindbare Daten und erreicht mit einem einzigen Konto Hunderte Menschen.
Woher der Begriff Doxing kommt
Aus der Hackerszene und dem Englischen. Merriam-Webster führt dox als Umschreibung von docs, der Kurzform von documents, und leitet es von älteren Wendungen wie dropping docs ab, also Unterlagen über jemanden fallen lassen. Den ersten belegten Gebrauch in der heutigen Bedeutung setzt das Wörterbuch auf 2009.
Beide Schreibweisen sind gebräuchlich, Doxing wie Doxxing; Merriam-Webster führt doxx als Variante. Das deutsche Gesetz benutzt keines der beiden Wörter und spricht vom gefährdenden Verbreiten personenbezogener Daten.
Was Doxing für Selbstständige bedeutet
Das Impressum ist für viele die größte offene Stelle. § 5 des Digitale-Dienste-Gesetzes verlangt von geschäftsmäßigen digitalen Diensten den Namen und die Anschrift, unter der der Anbieter niedergelassen ist. Wer von zu Hause arbeitet, veröffentlicht damit seine Wohnadresse, und genau die steht beim Doxing meist im Mittelpunkt.
Wir empfehlen Selbstständigen deshalb, früh zu klären, ob es eine Geschäftsanschrift gibt, etwa ein Büro oder einen Arbeitsplatz in einem Coworking-Space mit Postannahme. Ob eine solche Anschrift die Pflicht erfüllt, hängt vom Einzelfall ab und gehört rechtlich geprüft. Bei der Domain zeigen die Vergabestellen Name und Anschrift seit 2018 nicht mehr frei an, siehe WHOIS-Datenschutz.
Wo der Schutz vor Doxing an Grenzen stößt
Was einmal veröffentlicht ist, lässt sich selten ganz zurückholen. Google entfernt auf Antrag Suchergebnisse mit Telefonnummer, Privatadresse oder E-Mail-Adresse, weist aber selbst darauf hin, dass die Informationen damit nicht aus dem Internet verschwinden. Sie bleiben auf der Seite stehen, die sie veröffentlicht hat, und dort hilft nur ein Antrag beim Betreiber.
Auch das Strafrecht hat eine Schwelle. § 126a greift erst, wenn die Veröffentlichung geeignet und bestimmt ist, jemanden einer der genannten Gefahren auszusetzen; eine bloß peinliche Sammlung fällt nicht unter diese Vorschrift. Für sie bleiben der Löschantrag bei der Plattform und die übrigen Wege des Datenschutzrechts.
Prüfen, was über dich im Netz steht
In einer halben Stunde. Suche deinen vollen Namen in Anführungszeichen, einmal allein und einmal mit deinem Wohnort, danach deine Telefonnummer und deine private E-Mail-Adresse. Die Suchoperatoren grenzen die Treffer ein, etwa auf eine einzelne Plattform. Mach dasselbe in der Bildersuche mit deinem Profilfoto. Ob deine Adresse in einem bekannten Datenleck steckt, zeigen der Identity Leak Checker des Hasso-Plattner-Instituts und Have I Been Pwned.
Eine Auskunftssperre im Melderegister beantragen
Bei der Meldebehörde, und zwar kostenlos. Ohne Sperre darf sie jedem, der fragt, Namen, Doktorgrad und derzeitige Anschrift einer bestimmten Person mitteilen; das ist die einfache Melderegisterauskunft nach § 44 des Bundesmeldegesetzes. § 51 verlangt für eine Sperre Tatsachen, die eine Gefahr für Leben, Gesundheit, persönliche Freiheit oder ähnliche schutzwürdige Interessen nahelegen, und nennt ausdrücklich den Schutz vor Bedrohungen, Beleidigungen und unbefugten Nachstellungen.
Bring deshalb Belege mit: Screenshots der Veröffentlichung, Drohnachrichten, das Aktenzeichen einer Anzeige. Die Behörde berücksichtigt auch, ob jemand wegen seines Berufs oder Ehrenamts häufiger angefeindet wird. Die Sperre gilt zwei Jahre und lässt sich verlängern.
Nach einem Doxing richtig reagieren
Erst sichern, dann melden. Halte jede Fundstelle mit Adresse und Datum als Screenshot fest, bevor sie verschwindet. Melde den Beitrag bei der Plattform und erstatte Anzeige bei der Polizei, das geht auch online. Lass Suchtreffer mit Adresse oder Telefonnummer über das Google-Formular „Suchergebnisse über dich“ entfernen, und beantrage die Auskunftssperre, wenn deine Wohnadresse betroffen ist. Stammen die Daten aus einem Datenleck, ändere die betroffenen Passwörter und schalte die Zwei-Faktor-Authentisierung ein.
Rechne außerdem mit Folgeversuchen. Wer genug über dich weiß, kann sich bei deiner Bank oder deinem Mobilfunkanbieter glaubhaft als du ausgeben; das ist Social Engineering mit Vorwissen. Sag den Stellen, die dich kennen, kurz Bescheid, dass gerade jemand mit deinen Daten unterwegs ist.