Die unbefugte, verdeckte oder täuschende Übertragung von Daten aus einem geschützten Informationssystem an einen externen Empfänger oder Speicherort ohne Zustimmung des Dateninhabers oder rechtliche Befugnis; umfasst sowohl externe Eindringlinge als auch Insiderhandlungen, die vertrauliche, sensible oder firmeneigene Informationen aus kontrollierten Umgebungen herausbewegen und ist strafbar, wenn solche nicht autorisierte Entnahme oder Übermittlung gesetzlich verboten ist.

Prinzip

Kernregel ist, dass das Verschieben von Daten über autorisierte Grenzen hinweg ohne Genehmigung —sei es durch Hacking, Missbrauch von Zugriffsrechten oder heimliches Kopieren— die Datenverwaltungs- und Sicherheitsverpflichtungen verletzt und bei vorsätzlichem oder rücksichtlosem Handeln strafbar sein kann.

Demonstration

Ein Datenbankadministrator kopiert die Kundendatenbank auf ein externes Laufwerk und lädt sie in einen persönlichen Cloud‑Account hoch, um sie für ein Nebengeschäft zu nutzen; der Transfer wird entdeckt und als unbefugte Datenexfiltration mit straf‑ und zivilrechtlichen Konsequenzen behandelt.

Fehlanwendung

Legitime Datenportabilitätsanfragen, genehmigte Backups oder Transfers unter ausdrücklicher Zustimmung oder vertraglicher Befugnis fälschlich als Exfiltration zu deuten; eine solche Fehleinschätzung kann legitime Abläufe und Rechte behindern.

Konsequenz

Bei richtiger Anwendung kann es zur Sicherstellung exfiltrierter Daten, zu strafrechtlichen Anklagen der Täter, zu Abhilfemaßnahmen in der IT‑Sicherheit, zu Meldepflichten und zu regulatorischen Sanktionen kommen, die systemische Risiken mindern und Insider wie externe Angreifer abschrecken.

Umkehrung

Das Gegenteil ist autorisierter Datenexport oder -austausch, der unter rechtmäßiger Zustimmung, Gerichtsbeschluss, regulatorischer Verpflichtung oder ausdrücklicher Anweisung des Kontoinhabers erfolgt — Tätigkeiten, die technisch Exfiltration ähneln, aber rechtlich zulässig sind.

Abgrenzung

Erfasst Übertragungen von identifizierbaren sensiblen oder firmeneigenen Daten ohne Autorisierung; ausgenommen sind Übertragungen vollständig anonymisierter, aggregierter Datensätze, die Reidentifizierung verhindern, rechtmäßige Offenlegungen durch Behörden und von Dateninhabern oder Administratoren autorisierte Transfers.

Semantische Spannung

Spannungen bestehen zwischen gesetzlichen Portabilitätsrechten der Nutzer und dem Schutz vor Exfiltration: Autorisierte Portabilität kann technisch wie Exfiltration erscheinen, und die Unterscheidung hängt von Herkunft, Zustimmung und Vorsatz ab.

Synthese

Unbefugte Datenexfiltration ist die rechtswidrige Entfernung geschützter Daten aus einer kontrollierten Umgebung —durch externe Angreifer oder Insider— ohne Zustimmung oder rechtliche Befugnis; sie unterscheidet sich von legitimen Transfers durch fehlende Autorisierung, täuschende Methoden und vorhersehbaren Schaden für Dateninhaber oder Betroffene.