Leaks, Deepfakes und Takedowns: Was sich rechtlich verändert

Ob ein geleaktes Video wieder verschwindet, hing bislang oft vom Zufall ab: vom Meldeformular der Plattform, vom Firmensitz des Hosters, von der Geduld der Betroffenen. Das ändert sich gerade auf mehreren Ebenen gleichzeitig. Am 7. Oktober 2026 hat das Bundeskabinett den Entwurf eines Gesetzes gegen digitale Gewalt beschlossen, Brüssel verlangt bis Juni 2027 einheitliche Mindeststandards, und auch die USA zwingen Plattformen seit Mai zu festen Löschfristen. Für alle, deren intime Inhalte ohne Zustimmung im Netz landen, verschiebt sich damit die Last: weg von den abgebildeten Personen, hin zu Tätern und Plattformen.

Was heute schon gilt

Rechtlos sind Betroffene auch heute nicht. Wer ein Bildnis ohne Einwilligung verbreitet, macht sich nach § 33 des Kunsturhebergesetzes strafbar. § 201a StGB schützt den höchstpersönlichen Lebensbereich und erfasst auch das Zugänglichmachen von Aufnahmen, die geeignet sind, dem Ansehen einer Person erheblich zu schaden. Seit 2021 stellt § 184k StGB zudem heimliche Aufnahmen unter den Rock oder in den Ausschnitt unter Strafe.

Für professionelle Creator kommt ein Werkzeug hinzu, das Privatpersonen meist nicht haben: das Urheberrecht. Wer die Rechte an seinen Clips hält, kann gegen illegale Kopien mit urheberrechtlichen Löschaufforderungen vorgehen. Liegen die Rechte bei einem Studio, muss dieses tätig werden. Takedown-Dienste arbeiten fast ausschließlich auf dieser Grundlage, weil sie schnell und international verstanden wird.

Entscheidend ist dabei eine Unterscheidung, die in Debatten über Leaks oft verloren geht. Wer Inhalte für eine bestimmte Plattform und ein zahlendes Publikum freigibt, willigt genau in diese Verwertung ein, nicht in eine beliebige Weiterverbreitung. Die Veröffentlichung hinter einer Bezahlschranke ist eine Lizenzentscheidung. Wer den Clip kopiert und auf einer Gratis-Seite hochlädt, verletzt sie.

Die Lücken lagen bisher woanders. Sexualisierte Deepfakes passen schlecht in Tatbestände, die von echten Aufnahmen ausgehen. Anonyme Täter waren für Betroffene kaum zu greifen. Und wer zivilrechtlich gegen einen Inhalt vorgehen wollte, brauchte in der Regel einen bekannten Gegner.

Brüssel setzt den Mindeststandard

Die EU-Richtlinie 2024/1385 zur Bekämpfung von Gewalt gegen Frauen und häuslicher Gewalt ist das erste europäische Gesetz, das bildbasierte sexualisierte Gewalt ausdrücklich unter Strafe stellen lässt. Artikel 5 verpflichtet die Mitgliedstaaten, drei Handlungen zu bestrafen: das Veröffentlichen intimer Aufnahmen ohne Einwilligung, das Herstellen und Veröffentlichen von Fälschungen, die eine Person bei sexuellen Handlungen zeigen sollen, und die Drohung mit beidem, jeweils wenn dies der Person ernsthaft schaden kann. Entscheidend ist die fehlende Zustimmung zur Veröffentlichung, nicht die Frage, wie die Aufnahme ursprünglich entstanden ist.

Mindestens ebenso wichtig ist Artikel 23. Er verlangt, dass solches Material umgehend entfernt oder gesperrt wird, und sieht dafür verbindliche Anordnungen an Hostinganbieter vor. Wo eine Entfernung an der Quelle scheitert, dürfen Behörden Sperranordnungen auch an andere Vermittlungsdienste richten. Die Richtlinie trägt damit einem Problem Rechnung, das jeder kennt, der schon einmal einen Hoster auf einer fernen Insel anschreiben musste.

Für die grenzüberschreitende Strafverfolgung regelt Artikel 12, dass ein Staat bereits dann zuständig sein kann, wenn das Material von seinem Gebiet aus abrufbar ist, egal wo der Server steht oder wo hochgeladen wurde. Die Bundesregierung sieht das durch die bestehenden Regeln zum Tatort in §§ 3 und 9 StGB bereits abgedeckt. Umgesetzt sein muss die Richtlinie bis zum 14. Juni 2027.

Der deutsche Entwurf: Strafbar schon beim Herstellen

Mit dem am 7. Oktober beschlossenen Gesetz gegen digitale Gewalt will das Bundesjustizministerium unter Stefanie Hubig die strafrechtlichen Vorgaben aus Brüssel erfüllen und teilweise übertreffen. Hubig nannte digitale Gewalt in der Mitteilung ihres Hauses einen „Flächenbrand“. Der Entwurf war im April erstmals veröffentlicht und seither überarbeitet worden.

Kern ist ein neu gefasster § 184k StGB, „Verletzung der Intimsphäre durch Bildinhalte“. Er soll das unbefugte Herstellen und Zugänglichmachen sexualisierter Deepfakes erfassen. Strafbar ist nach dem Regierungsentwurf schon die Herstellung für den Eigengebrauch, weil die abgebildete Person bereits damit „benutzt“ werde, wie es in der Begründung heißt. Ein Wasserzeichen oder Hinweis wie „KI-generiert“ ändert daran grundsätzlich nichts. Vorgesehen sind bis zu zwei Jahre Freiheitsstrafe oder Geldstrafe.

Derselbe Paragraf soll den digitalen Voyeurismus deutlich weiter fassen als bisher: Unbefugte Aufnahmen unbekleideter intimer Körperstellen sollen künftig unabhängig davon strafbar sein, ob sie in einer Wohnung, einer öffentlichen Sauna oder am FKK-Strand entstanden sind. Neu strafbar werden soll außerdem schon der Besitz von Aufnahmen tatsächlicher Vergewaltigungen. Wer mit der Veröffentlichung intimer Aufnahmen droht, um Geld oder weitere Bilder zu erpressen, fällt künftig unter den Bedrohungstatbestand des § 241 StGB.

Drei weitere Tatbestände ergänzen das Paket. § 201b StGB soll das Verbreiten von Deepfakes bestrafen, die das Ansehen einer Person erheblich schädigen können, etwa gefälschte Aufnahmen einer vermeintlichen Straftat. Satire bleibt ausgenommen, die bloße Herstellung ebenfalls. § 201c StGB zielt auf Fake-Profile, über die unter fremdem Namen rufschädigende Inhalte verbreitet werden. § 202e StGB erfasst die heimliche Dauerüberwachung, etwa mit GPS-Trackern oder Spyware.

Für die Erotikbranche ist ein Detail entscheidend: Der neue § 184k erfasst ausdrücklich auch einvernehmliche sexuelle Handlungen und auch das unbefugte Weitergeben von Aufnahmen, die ursprünglich mit Zustimmung entstanden sind. Strafbar ist das Zugänglichmachen, wenn es nicht von einer Einwilligung gedeckt ist. Die Begründung nennt dabei auch das Teilen nach Widerruf einer zuvor erteilten Zustimmung. Eine Freigabe für eine bestimmte Bezahlplattform erstreckt sich grundsätzlich nicht auf den Re-Upload auf Drittseiten. Ein solcher Upload kann daher ein unbefugtes Zugänglichmachen sein. Automatisch strafbar ist er damit aber nicht: Der Täter muss absichtlich oder wissentlich handeln, bloßes Inkaufnehmen genügt nach dem Entwurf nicht. Kommerzielle Inhalte erwähnt der Entwurf zudem nicht eigens, die Reichweite einer Einwilligung bleibt im Streitfall eine Frage des Einzelfalls.

Zwei praktische Punkte sollten Betroffene kennen. Die Tat wird grundsätzlich nur auf Strafantrag verfolgt, sofern die Staatsanwaltschaft kein besonderes öffentliches Interesse sieht. Und für Berichterstattung, Kunst und Wissenschaft gilt eine Ausnahme bei überwiegenden berechtigten Interessen.

Vom Meldeformular zum Richter: die neuen Werkzeuge

Der wohl praktischste Teil des Entwurfs steht nicht im Strafgesetzbuch. Betroffene sollen gerichtlich durchsetzen können, dass Online-Plattformen, Messengerdienste und Internetzugangsanbieter die Identität eines anonymen Täters offenlegen. Damit die nötigen Daten bis zur Entscheidung nicht verschwinden, sollen Gerichte deren Sicherung anordnen können.

Neu ist auch ein Löschanspruch, der nicht mehr voraussetzt, dass der Täter bekannt ist. Wer bisher erst die Identität klären und dann in einem zweiten Verfahren die Löschung durchsetzen musste, soll das künftig in einem Schritt beantragen können. Bei schweren Rechtsverletzungen mit Wiederholungsgefahr kommt eine zeitlich begrenzte Accountsperre hinzu, die ein Gericht anordnet. Die Hürden dafür sollen ausdrücklich hoch liegen, weil jede Sperre die Meinungsfreiheit berührt.

Plattformen mit Sitz außerhalb der EU sollen einen Zustellungsbevollmächtigten in Deutschland benennen müssen. Bei Anbietern aus anderen EU-Staaten kann ein Gericht das im Einzelfall anordnen. Was banal klingt, entscheidet in der Praxis oft darüber, ob ein Verfahren überhaupt in Gang kommt.

Parallel gilt bereits der Digital Services Act. Er verpflichtet jeden Hostinganbieter, ein Meldeverfahren für rechtswidrige Inhalte bereitzuhalten, Meldungen sorgfältig zu prüfen und Entscheidungen zu begründen. Bei Online-Plattformen kommen ein internes Beschwerdeverfahren und der Weg zu zertifizierten außergerichtlichen Streitbeilegungsstellen hinzu. Verstöße gegen diese Pflichten können bei der Bundesnetzagentur als nationaler DSA-Aufsicht gemeldet werden.

Meldungen sogenannter vertrauenswürdiger Hinweisgeber müssen Plattformen vorrangig bearbeiten. In Deutschland ist das unter anderem die Organisation HateAid, die seit Juni 2025 als solcher Trusted Flagger zugelassen ist. Dass Brüssel den DSA auch bei Deepfakes ernst nimmt, zeigt das förmliche Verfahren, das die EU-Kommission im Januar 2026 gegen X eröffnet hat. Anlass war die Flut sexualisierter Deepfakes, die mit dem hauseigenen KI-Dienst Grok erzeugt worden waren.

KI-Regeln: Ein Etikett macht nichts legal

Seit dem 2. August 2026 verlangt Artikel 50 des europäischen AI Act, dass Deepfakes als künstlich erzeugt oder manipuliert gekennzeichnet werden. Ab dem 2. Dezember 2026 verbietet die EU zudem KI-Systeme, die ohne Zustimmung realistische intime Darstellungen identifizierbarer Personen erzeugen. Erfasst sind auch Anwendungen, bei denen solcher Missbrauch absehbar ist und keine wirksamen Schutzvorkehrungen bestehen.

Kennzeichnung und Verbot regeln dabei unterschiedliche Dinge. Die Kennzeichnung schafft Transparenz bei legitimer KI-Produktion, etwa bei virtuellen Models mit geklärten Rechten. Gegen ein nicht einvernehmliches Deepfake hilft sie Betroffenen nicht, und der deutsche Entwurf zieht genau daraus die Konsequenz: Das Etikett „KI“ soll kein Freibrief sein. Wie Branche und Recht mit KI-Darstellern, Einwilligung und Kennzeichnung umgehen, ist im Januar 2027 eigenes Thema der Adult Press Association.

Grenzen überschreiten, Ansprüche durchsetzen

Die größte Schwäche jedes nationalen Gesetzes bleibt die Geografie. Leak-Seiten sitzen selten dort, wo die Betroffenen leben. Auf eine Kleine Anfrage, wie der geplante Auskunftsanspruch gegenüber Anbietern außerhalb der EU durchgesetzt werden soll, verwies die Bundesregierung im Juli lediglich darauf, dass sie die Stellungnahmen zum Entwurf noch auswerte.

Innerhalb der EU ist die Lage seit dem Sommer besser. Seit dem 18. August 2026 gilt die E-Evidence-Verordnung. Strafverfolger können Bestands- und Verbindungsdaten nun direkt bei Diensteanbietern in anderen Mitgliedstaaten anfordern, in der Regel binnen zehn Tagen, in Notfällen binnen acht Stunden. Der Umweg über klassische Rechtshilfe, der Monate dauern konnte, entfällt für diese Fälle.

Außerhalb Europas lohnt der Blick in die USA, wo viele große Plattformen sitzen. Seit dem 19. Mai 2026 verpflichtet der Take It Down Act sie, gemeldete nicht einvernehmliche intime Aufnahmen samt bekannter identischer Kopien binnen 48 Stunden zu entfernen, ausdrücklich auch KI-generierte. Die Handelsbehörde FTC hat dafür ein eigenes Beschwerdeportal eingerichtet. Betroffene aus Deutschland profitieren davon, wenn sie die Meldewege der jeweiligen Plattform nutzen.

Eine Lücke bleibt im Inland: Für behördliche Lösch- und Sperranordnungen, wie sie Artikel 23 der Richtlinie vorsieht, verweist der Bund auf die Länder, also auf Polizei und Landesmedienanstalten. Wie schnell diese im Einzelfall handeln, ist bislang nicht systematisch erfasst.

Was Betroffene heute schon tun können

Bis die neuen Ansprüche gelten, führt der Weg über die bestehenden Instrumente. An erster Stelle steht die Beweissicherung: Fundstellen mit vollständiger Adresse, Datum und Uhrzeit dokumentieren, bevor Inhalte verschwinden oder verschoben werden. Diese Dokumentation dient allein dem Verfahren und wird nicht weitergegeben.

Danach folgt die Meldung über das DSA-Meldeformular der Plattform, möglichst mit Hinweis auf die verletzte Vorschrift. Creator mit eigenen Rechten an den Inhalten können parallel urheberrechtliche Löschaufforderungen stellen oder spezialisierte Dienste beauftragen. Eine Strafanzeige ist online bei der Polizei jedes Bundeslandes möglich. Spezialisierte Beratungsstellen und Fachanwälte für Medien- und Urheberrecht helfen dabei, die Schritte zu verbinden.

Die Last wandert

Das neue Recht ändert vor allem eine Perspektive. Lange lautete die implizite Botschaft an Betroffene, sie hätten eben vorsichtiger sein müssen. Die Richtlinie aus Brüssel, der deutsche Entwurf und die neuen Pflichten für Plattformen setzen dagegen bei denen an, die verbreiten, und bei denen, die daran verdienen.

Ob das in der Praxis trägt, entscheidet sich nicht im Gesetzblatt, sondern an Geschwindigkeit und Ausstattung: bei Gerichten, die über Auskunft und Löschung schnell entscheiden müssen, bei Ermittlern, die digitale Gewalt als Gewalt behandeln, und bei Plattformen, die Meldungen nicht als lästige Pflicht abarbeiten. Bis Juni 2027 ist noch Zeit, das Gesetz entsprechend auszustatten. Für Betroffene ist jede Woche bis dahin zu lang.