Wann Recherche zu Stalking wird: die rechtliche Grenze

Stand: 1. August 2026

Ab welchem Punkt wird aus einer zulässigen Recherche über eine Person eine strafbare Nachstellung? Seit dem 1. Januar 2026 beantwortet auch das schweizerische Strafgesetzbuch diese Frage — und die Antwort hängt an etwas anderem, als die verbreiteten Anleitungen vermuten lassen.

1. Nicht die Methode entscheidet, sondern die Wiederholung

In keinem der drei Strafgesetzbücher steht ein Werkzeug. Weder eine Handelsregisterabfrage noch eine Bildrückwärtssuche, eine DNS-Auflösung oder das Lesen eines offenen Profils ist irgendwo Tatbestandsmerkmal. Was in allen drei Gesetzen steht, ist ein Muster: dieselbe Zuwendung, wiederholt, über eine gewisse Zeit, mit einer Wirkung auf die Lebensführung der betroffenen Person. Die einzelne Abfrage ist deshalb selten das Problem. Die vierzigste innerhalb von sechs Wochen ist es.

Daraus folgt eine unangenehme Eigenschaft der OSINT-Literatur: Sie lehrt Abläufe, und ein Ablauf ist auf Wiederholung angelegt. Das Kapitel Menschen im Internet finden zeigt die Methode; hier stehen dieselben Schritte von der anderen Seite.

Strafbar ist zudem meist nicht das Wissen, sondern das, was damit nach aussen geschieht. Die deutsche und die österreichische Norm zählen nur Handlungen mit Aussenwirkung auf — räumliche Nähe aufsuchen, Kontakt versuchen, mit den Daten Waren bestellen, Dritte zur Kontaktaufnahme veranlassen, Tatsachen oder Bilder aus dem höchstpersönlichen Lebensbereich veröffentlichen. Die stille Abfrage bleibt meist unterhalb der Schwelle, wird aber zum Beleg: Wer nachweisbar gesucht hat und danach vor der Tür steht, hat die Beharrlichkeit selbst dokumentiert. Die Schweizer Formulierung kommt ohne eine solche Aufzählung aus und greift weiter.

Und die Strafnorm ist nicht die erste Grenze, sondern die letzte: Persönlichkeitsschutz und Datenschutzrecht greifen früher. Was der Begriff OSINT überhaupt deckt, steht in Was ist OSINT?.

2. Was das Gesetz sagt: Schweiz, Deutschland, Österreich

Schweiz: Art. 181b StGB

Bis Ende 2025 kannte das schweizerische Recht keinen eigenen Stalking-Tatbestand; verfolgt wurde über Missbrauch einer Fernmeldeanlage (Art. 179septies StGB), Drohung (Art. 180 StGB), Nötigung (Art. 181 StGB) und Hausfriedensbruch (Art. 186 StGB). Jede dieser Normen verlangt eine für sich vollendete Einzelhandlung — daran scheitert ein Muster aus unauffälligen Schritten.

Seit dem 1. Januar 2026 gilt Art. 181b StGB (Bundesgesetz vom 20. Juni 2025, AS 2025 740; zurückgehend auf die parlamentarische Initiative 19.433): Wer jemanden auf eine Weise beharrlich verfolgt, belästigt oder bedroht, die geeignet ist, seine Lebensgestaltungsfreiheit erheblich zu beschränken, wird auf Antrag mit Freiheitsstrafe bis zu drei Jahren oder Geldstrafe bestraft. Zwei Punkte zählen praktisch. Die Norm ist ein Eignungsdelikt — ein eingetretener Schaden muss nicht bewiesen werden. Und sie ist ein Antragsdelikt: ohne Strafantrag ermittelt niemand, und nach Art. 31 StGB erlischt das Antragsrecht drei Monate nach dem Tag, an dem die antragsberechtigte Person den Täter kennt.

Deutschland: § 238 StGB

Der deutsche Tatbestand ist zweimal verschärft worden. Die Reform von 2017 machte aus dem Erfolgs- ein Eignungsdelikt: seither genügt, dass das Nachstellen geeignet ist, die Lebensgestaltung zu beeinträchtigen. Die Fassung seit dem 1. Oktober 2021 ersetzte «beharrlich» durch «wiederholt» und «schwerwiegend» durch «nicht unerheblich» — «beharrlich» verlangte eine kaum nachweisbare innere Haltung, «wiederholt» ist äusserlich zählbar. Dieselbe Revision strich den früheren Absatz 4, nach dem der Grundtatbestand nur auf Antrag verfolgt wurde, sofern die Strafverfolgungsbehörde kein besonderes öffentliches Interesse bejahte. Von Amts wegen verfolgt wird Nachstellung deshalb erst seit dem 1. Oktober 2021, nicht schon seit 2017.

Der Grundtatbestand führt acht Nummern auf. Für Recherchierende ist Nummer 3 die heikelste: wer unter missbräuchlicher Verwendung der Daten einer Person Bestellungen für sie aufgibt oder Dritte veranlasst, mit ihr Kontakt aufzunehmen. Dort schlägt ein Fund in eine Handlung um. Nummer 5 verweist auf die §§ 202a bis 202c StGB und markiert dieselbe Grenze wie Art. 143bis StGB in der Schweiz: hinter einer Zugangssicherung endet OSINT.

Österreich: § 107a öStGB

Die beharrliche Verfolgung wird mit Freiheitsstrafe bis zu einem Jahr oder Geldstrafe bis zu 720 Tagessätzen bestraft; dauert die Tat länger als ein Jahr oder führt sie zum Selbstmord oder Selbstmordversuch der verfolgten Person, beträgt der Rahmen bis zu drei Jahre. Die Handlungen müssen «eine längere Zeit hindurch» fortgesetzt werden. Bemerkenswert ist Ziffer 5, das Veröffentlichen von Tatsachen oder Bildaufnahmen des höchstpersönlichen Lebensbereichs ohne Zustimmung. Damit erfasst Österreich ausdrücklich auch den Fall, dass jemand nicht Kontakt sucht, sondern Ergebnisse publiziert. § 107a ist ein Offizialdelikt.

3. Person des öffentlichen Lebens oder Privatperson

Die Unterscheidung wird meist als Schalter behandelt. So funktioniert sie nicht: Massgeblich ist nicht, wer die Person ist, sondern ob die einzelne Information einen Beitrag zu einer Debatte von allgemeinem Interesse leistet. Der Europäische Gerichtshof für Menschenrechte hat die Abwägung zwischen Art. 8 und Art. 10 EMRK in zwei Urteilen vom 7. Februar 2012 geordnet — Axel Springer AG gegen Deutschland und von Hannover gegen Deutschland (Nr. 2). Geprüft werden unter anderem der Beitrag zur Debatte, die Bekanntheit der Person und der Gegenstand der Berichterstattung, ihr vorheriges Verhalten sowie Art der Erlangung, Wahrheitsgehalt und Auswirkungen der Veröffentlichung.

Praktisch heisst das: Das Amt öffnet nicht die Person, sondern einen Ausschnitt. Die Spesenabrechnung einer Gemeinderätin hängt mit ihrem Amt zusammen, ihre Wohnadresse und der Schulweg ihrer Kinder nicht — auch wenn die Angaben öffentlich zugänglich sind. Umgekehrt kann eine Privatperson für einen engen Ausschnitt zur relevanten Figur werden. Der Ausschnitt trägt, nicht der Status.

Das datenschutzrechtliche Medienprivileg folgt derselben Logik: Es hängt am Zweck, nicht am Berufsstand. Art. 31 Abs. 2 lit. d DSG nennt das berufliche Bearbeiten ausschliesslich zur Veröffentlichung im redaktionellen Teil eines periodisch erscheinenden Mediums als möglichen Rechtfertigungsgrund; Art. 27 DSG erlaubt Medienschaffenden, Auskunft über Quellen und Entwürfe zu verweigern. In der EU ist Art. 85 DSGVO nur eine Öffnungsklausel — geregelt wird in den Landespressegesetzen und im Medienstaatsvertrag, je nach Bundesland verschieden. Wer nicht redaktionell publiziert, fällt nicht darunter. Und keines dieser Privilegien hat eine Entsprechung im Strafrecht: Art. 181b StGB, § 238 StGB und § 107a öStGB kennen keine Medienausnahme. Zur Sorgfalt vor der Veröffentlichung siehe Journalistische Recherche im Netz.

4. Sechs Fragen vor der nächsten Abfrage

Diese Fragen ergeben keine Erlaubnis. Sechsmal Ja heisst nicht, dass ein Vorgehen zulässig ist; ein einziges Nein ist ein Haltesignal.

1. Wozu? Lässt sich der Zweck in einem Satz sagen, der ohne die Person auskommt — «ich prüfe, ob die Gegenpartei zeichnungsberechtigt ist» statt «ich will wissen, was sie treibt»? Blosse Neugier trägt nichts: Art. 6 DSG verlangt Zweckbindung, Erkennbarkeit und Verhältnismässigkeit auch von privaten Bearbeitern.
2. Ist es die erste Abfrage oder die zwanzigste? Wiederholung ist das gemeinsame Merkmal aller drei Tatbestände. Wer die eigenen Schritte mit Datum festhält, sieht das Muster, bevor es eine Behörde sieht — die Fall-Timeline im Arbeitsplatz ist dafür gedacht und läuft lokal im Browser.
3. Hat die Person erklärt, dass sie keinen Kontakt will? Ein ausdrücklich erklärter entgegenstehender Wille verschiebt die Bewertung jedes weiteren Schritts. § 1 Abs. 2 des deutschen Gewaltschutzgesetzes nennt ihn wörtlich als Voraussetzung einer gerichtlichen Schutzanordnung — und nimmt im selben Absatz Handlungen aus, die der Wahrnehmung berechtigter Interessen dienen. Diese Ausnahme trägt ein belegbarer Auftrag, keine selbst erklärte Betroffenheit.
4. Erfährt die Person davon, und wodurch? Jeder Schritt mit Aussenwirkung — Kontaktversuch, Anfrage bei Arbeitgeber oder Nachbarn, Bestellung unter ihrem Namen, Veröffentlichung — ist der Schritt, den die Tatbestände aufzählen.
5. Beantworten Sie eine Frage oder bauen Sie ein Profil? «Wo sitzt diese Firma» ist eine Frage. «Wo ist dieser Mensch wann» ist ein Profil. Das Zusammenführen für sich harmloser Angaben kann die Persönlichkeitsverletzung sein, auch wenn keine einzelne Angabe sie wäre.
6. Würden Sie den Vorgang vorlegen? Mit Datum, Quelle und Begründung je Schritt, gegenüber einer Redaktionsleitung, einer Aufsicht oder einem Gericht. Wer das nicht kann, hat keinen Auftrag, sondern ein Interesse.

5. Persönlichkeitsschutz und das Auskunftsrecht der betroffenen Person

Unterhalb der Strafbarkeit liegt die Ebene, auf der die meisten Fälle entschieden werden. Art. 28 ZGB schützt die Persönlichkeit gegen widerrechtliche Verletzung, Art. 28a ZGB gibt Klagen auf Unterlassung, Beseitigung und Feststellung, und Art. 28b ZGB erlaubt dem Gericht Annäherungs-, Kontakt- und Rayonverbote. Diese Ansprüche setzen keine Straftat voraus.

Ein verbreitetes Missverständnis betrifft Art. 30 Abs. 3 DSG: Danach liegt in der Regel keine Persönlichkeitsverletzung vor, wenn die betroffene Person die Daten allgemein zugänglich gemacht und eine Bearbeitung nicht ausdrücklich untersagt hat. Das ist keine Freigabe. Die Regel gilt für die Daten, wie die Person sie selbst zugänglich gemacht hat — nicht für das Dossier, das entsteht, wenn zwanzig solcher Fundstücke aus zwanzig Quellen verbunden werden. Ebenso wenig trägt die Ausnahme für den persönlichen Gebrauch nach Art. 2 Abs. 2 lit. a DSG: Wer Ergebnisse weitergibt oder veröffentlicht, verlässt sie.

Folgenreicher ist die umgekehrte Regel. Wer über eine bestimmbare Person Daten bearbeitet, wird zum Verantwortlichen — und die Person hat ihm gegenüber ein Auskunftsrecht. Nach Art. 25 DSG ist die Auskunft in der Regel unentgeltlich und innerhalb von 30 Tagen zu erteilen; sie umfasst Daten, Zweck, Aufbewahrungsdauer, verfügbare Angaben zur Herkunft und Empfänger. Art. 15 DSGVO entspricht dem in der EU. Einschränkungen sind möglich (Art. 26 DSG, für Medienschaffende Art. 27 DSG), aber zu begründen. Der praktische Schluss: Notieren Sie zu jedem Fund Quelle und Zeitpunkt — nicht für den Bericht, sondern für den Fall, dass Sie Auskunft geben müssen, woher die Angabe stammt.

Welche Daten stratdata selbst über ein Konto führt, steht in der Datenschutzerklärung; bei den Werkzeugen ist je Fall angegeben, ob sie lokal rechnen oder wohin eine Abfrage geht.

6. Wenn Sie selbst betroffen sind

Dokumentieren, bevor Sie löschen. Jeder Vorfall mit Datum, Uhrzeit, Kanal, Wortlaut und unveränderter Rohquelle. Bei E-Mails gehört der vollständige Kopfbereich dazu und nicht ein Bildschirmfoto des Textes: erst der Header zeigt den Zustellweg und die Ergebnisse von SPF, DKIM und DMARC, und die Header-Analyse im Arbeitsplatz wertet ihn lokal aus. An der lückenlosen Chronologie scheitern Verfahren am häufigsten.

Fristen kennen. In der Schweiz ist Art. 181b StGB ein Antragsdelikt: ohne Strafantrag geschieht nichts, und das Antragsrecht erlischt drei Monate nach dem Tag, an dem Ihnen der Täter bekannt wurde. In Deutschland und Österreich wird von Amts wegen verfolgt; die Anzeige bleibt der Weg, über den die Behörden Kenntnis erhalten.

Der zivilrechtliche Weg läuft parallel und oft schneller. In der Schweiz Annäherungs-, Kontakt- und Rayonverbote nach Art. 28b ZGB, in Deutschland Anordnungen des Familiengerichts nach § 1 des Gewaltschutzgesetzes, in Österreich einstweilige Verfügungen nach § 382c EO (allgemeiner Schutz vor Gewalt) und § 382d EO (Schutz vor Eingriffen in die Privatsphäre); nach § 382e Abs. 2 EO können sie längstens ein Jahr gelten. Diese Paragraphen sind seit dem 1. Juli 2021 neu nummeriert — ältere Texte, die § 382e und § 382g nennen, meinen die beiden erstgenannten Normen. Beratung leisten in der Schweiz die kantonalen Opferberatungsstellen; nach Art. 5 des Opferhilfegesetzes ist sie unentgeltlich und setzt kein laufendes Strafverfahren voraus.

Recherchieren Sie nicht zurück. Die Gegenrecherche erzeugt genau das Muster, das die Tatbestände beschreiben, und beschädigt die Glaubwürdigkeit der eigenen Dokumentation. Sinnvoll ist der Blick auf die eigene Angriffsfläche: welche Ihrer Daten offen liegen, welche Domains Ihrem Namen ähneln, welche Dienste in der Vergangenheit Daten verloren haben. Der Passwort-Leak-Check prüft dabei ein Passwort und keine Adresse: er sendet die ersten fünf Zeichen von dessen SHA-1-Hashwert an einen fremden Dienst — diese Abfrage verlässt Ihr Gerät — und gleicht die zurückgegebene Liste im Browser ab. Ob eine bestimmte Adresse in einem Datenabfluss steht, beantwortet der Arbeitsplatz nicht; das Datenleck-Verzeichnis führt die katalogisierten Vorfälle, nicht die betroffenen Personen. Das Nachschlagewerk führt die Quellen dazu.

Diese Seite sagt nicht, wann etwas erlaubt ist. Sie sagt, woran erkennbar wird, dass die Frage gestellt werden muss — und wo sie anwaltlich zu beantworten ist. Ein Fund ist keine Erlaubnis und kein Beweis.