Foreldelse av datakriminalitet – frister for datainnbrudd og nettbedrageri

Av Foreldelse.com-redaksjonen · Oppdatert juli 2026

Datakriminalitet som datainnbrudd, databedrageri og identitetstyveri foreldes etter strafferammen for det enkelte lovbruddet – typisk fra to til ti år, avhengig av hvor grovt forholdet er.

Datakriminalitet, ofte kalt nettkriminalitet eller cyberkriminalitet, dekker lovbrudd der datasystemer er målet eller verktøyet. Det spenner fra ulovlig tilgang til andres kontoer og datainnbrudd, til nettbedrageri, identitetstyveri og spredning av skadevare. Som ellers i strafferetten bestemmes foreldelsesfristen av strafferammen – den strengeste straffen loven setter for lovbruddet.

Det viktigste å forstå er at det ikke finnes én fast frist for «datakriminalitet». Hvert forhold foreldes etter sin egen strafferamme. Et enkelt datainnbrudd har en lavere ramme – og dermed kortere frist – enn et grovt databedrageri som har påført store tap. Når politiet vurderer om et gammelt forhold fortsatt kan etterforskes, er det den anvendelige strafferammen de ser på.

I denne artikkelen forklarer vi hvilke lovbrudd som regnes som datakriminalitet, hvordan trappeskalaen i straffeloven § 86 slår ut, når fristen begynner å løpe, og hva som kan stanse den. For helheten anbefaler vi hovedartikkelen om foreldelse av straff og oversikten over frister etter strafferammen.

Hva regnes som datakriminalitet?

Datakriminalitet er en samlebetegnelse på straffbare handlinger som retter seg mot, eller utføres ved hjelp av, datasystemer og digital teknologi. De mest praktiske typene er:

• Datainnbrudd. Å skaffe seg uberettiget tilgang til et datasystem eller data, for eksempel ved å bryte seg inn i en konto eller et nettverk.
• Databedrageri. Å skaffe seg en uberettiget vinning ved å påvirke et databasert oppgjør, for eksempel uberettigede overføringer eller misbruk av betalingskort på nett.
• Identitetstyveri. Å uberettiget bruke en annens identitet eller identitetsbevis, ofte som ledd i bedrageri.
• Skadevare og sabotasje. Spredning av virus eller annen skadevare, og handlinger som ødelegger eller setter datasystemer ut av spill.
• Spredning av ulovlig materiale på nett. Behandles ofte etter egne bestemmelser og kan ha helt andre frister.

Felles for mange av disse lovbruddene er at de kan pågå over tid og oppdages sent. Et databedrageri kan rulle videre i månedsvis før offeret merker det, og et datainnbrudd kan ligge ukjent lenge. Derfor er foreldelse spesielt praktisk: er forholdet fortsatt innenfor fristen når det først kommer for dagen?

Hvilke frister gjelder for datakriminalitet?

Foreldelsesfristen følger trappeskalaen i straffeloven § 86, som knytter en bestemt frist til strafferammen for lovbruddet:

Eksemplene er en pekepinn, ikke en fasit for det enkelte forholdet. Den nøyaktige rammen avhenger av hvilken straffebestemmelse som rammer handlingen, og om det foreligger en grov variant. Den praktiske hovedregelen er at grunnformene ligger på en frist på to til fem år, mens grove forhold – særlig grovt databedrageri med store tap – kan ha en frist på ti år.

Hvordan henger datakriminalitet sammen med bedrageri?

Mye datakriminalitet er i kjernen en form for bedrageri eller vinningskriminalitet, bare utført digitalt. Nettbedrageri, falske nettbutikker, phishing og misbruk av betalingskort på nett behandles ofte etter de samme prinsippene som vanlig bedrageri. Derfor overlapper temaet med skattesvik og bedrageri og med økonomisk kriminalitet, som har egne artikler her.

For den som er rammet av nettbedrageri eller identitetstyveri, er det praktiske poenget at et databedrageri som har påført store tap, kan rammes av en grov variant med høyere strafferamme – og dermed lengre foreldelsesfrist – enn et lite forhold. Også her overlapper logikken med vanlig vinningskriminalitet.

Når begynner foreldelsesfristen å løpe?

Strafferammen avgjør fristens lengde, men ikke når den begynner. Friststarten reguleres av straffeloven § 87: fristen løper fra den dagen det straffbare forholdet opphørte. Dette er ofte misforstått, og misforståelsen er spesielt praktisk ved datakriminalitet.

Fristen begynner ikke å løpe når innbruddet eller bedrageriet oppdages, anmeldes eller etterforskes – men når selve handlingen var ferdig. Ved et enkeltstående datainnbrudd løper fristen fra innbruddet. Ved en vedvarende eller gjentatt straffbar virksomhet, for eksempel et løpende bedrageri eller systematisk misbruk over tid, kan friststarten regnes fra det siste leddet i aktiviteten. Et særtrekk ved datakriminalitet er at virkningene kan vise seg lenge etter handlingen – men det er handlingens opphør, ikke når offeret merker det, som styrer friststarten.

Logikken minner om friststarten ved sivile krav, der mange tar feil av når foreldelsesfristen begynner. Forskjellen er at det i strafferetten er handlingens opphør, ikke et forfallstidspunkt, som er utgangspunktet.

Hvorfor teller ikke den faktiske straffen?

At fristen følger strafferammen og ikke den konkrete straffen, har en praktisk grunn. Foreldelsen må kunne vurderes før saken er pådømt – ofte allerede når politiet vurderer om et gammelt forhold skal etterforskes. På det tidspunktet vet ingen hva straffen vil bli. Derfor knyttes fristen til noe objektivt: den lovbestemte rammen.

Konsekvensen er at to tilsynelatende like handlinger kan ha ulik frist hvis det ene forholdet rammes av en grov variant. En gjerningsperson som til slutt får en mild straff, kan likevel ha hatt en lang frist, fordi lovbruddet i utgangspunktet hadde en høy strafferamme. Det er lovbruddets «potensial» for straff som styrer, ikke utfallet i den enkelte sak. Hele systematikken er forklart i artikkelen om frister etter strafferammen.

Hva avbryter foreldelsen?

Selv en lang frist kan stanses. Etter straffeloven § 88 avbrytes foreldelsen når mistenkte får stilling som siktet – altså ved et formelt rettergangsskritt fra påtalemyndigheten. En datakriminalitetssak som er under etterforskning og hvor det er tatt ut siktelse, foreldes derfor ikke selv om mange år går.

Et viktig poeng er at selve anmeldelsen ikke stanser fristen. Mange tror at det å anmelde et datainnbrudd eller nettbedrageri er nok til å «redde» saken, men slik er det ikke. Avbruddet skjer først når påtalemyndigheten tar et rettergangsskritt mot en mistenkt. Fordi gjerningspersonen ved datakriminalitet ofte er ukjent eller befinner seg i utlandet, kan det ta tid før noen får stilling som siktet, og fristen kan løpe ut i mellomtiden. Dette er forklart i artiklene om avbrudd i straffesaker og foreldelse og anmeldelse.

Avbruddsreglene i strafferetten skiller seg fra dem i sivile saker, der det er erkjennelse, forliksklage eller søksmål som stanser fristen.

Henger straffansvar og erstatningskrav sammen?

Nei, ikke direkte. At det strafferettslige ansvaret foreldes, betyr ikke automatisk at et erstatnings- eller tilbakebetalingskrav er tapt – og omvendt. For den som er rammet av nettbedrageri, kan det være mulig å forfølge et pengekrav langs et eget spor som følger foreldelsesloven, selv om straffesaken skulle bli henlagt eller foreldet.

Disse fristene begynner og løper etter egne regler, blant annet ut fra når den skadelidte fikk kunnskap om kravet og den ansvarlige. Reglene er beskrevet i artiklene om foreldelse av erstatningskrav og foreldelse av tilbakebetalingskrav. Det er klokt å vurdere begge spor tidlig.

Den store utfordringen: ukjent eller utenlandsk gjerningsperson

Et særtrekk ved datakriminalitet er at gjerningspersonen ofte er anonym, skjult bak falske profiler eller teknisk tilsløring, og ikke sjelden befinner seg i et annet land. Det gjør avbruddsregelen spesielt krevende. Husk at fristen bare avbrytes når en konkret mistenkt får stilling som siktet – og det forutsetter at politiet faktisk klarer å identifisere en person å rette saken mot.

I praksis betyr dette at foreldelsesfristen kan løpe ut mens etterforskningen fortsatt pågår, rett og slett fordi ingen mistenkt er identifisert i tide. For den som er rammet, er konsekvensen at det å anmelde tidlig og bevare bevis er ekstra viktig nettopp her. Jo raskere og bedre dokumentert saken kommer til politiet, desto større er sjansen for at noen kan siktes før fristen er ute.

Når gjerningspersonen sitter i utlandet, kan det også oppstå spørsmål om norsk straffemyndighet og om internasjonalt politisamarbeid. Disse problemstillingene er kompliserte og ligger utenfor det vi dekker her, men de understreker hovedpoenget: tid er en knapp ressurs i datakriminalitetssaker, og foreldelsen venter ikke.

Et eksempel: et nettbedrageri som ruller over tid

La oss illustrere mekanikken med et forenklet eksempel. Det er ment å vise hvordan reglene henger sammen, ikke å avgjøre en konkret sak.

En person driver i halvannet år en serie nettbedragerier gjennom falske nettbutikker og lurer mange ofre for til sammen et betydelig beløp. Aktiviteten starter våren 2021 og opphører høsten 2022. Saken får et gjennombrudd i etterforskningen i 2025, da en mistenkt identifiseres.

For å vurdere foreldelsen ser man på strafferammen. Fordi det dreier seg om et planmessig bedrageri med mange fornærmede og et stort samlet tap, rammes forholdet trolig av en grov variant med høy strafferamme – og dermed en frist på ti år etter § 86. Friststarten etter § 87 regnes fra da den sammenhengende virksomheten opphørte, altså høsten 2022. Ti år fra dette gir en frist som løper langt inn på 2030-tallet.

Konklusjonen i eksempelet er at forholdet ikke er foreldet i 2025. Hadde det derimot dreid seg om ett lite, enkeltstående datainnbrudd i 2021 med kort frist, kunne det vært foreldet. Det viser hvor mye kvalifiseringen av forholdet betyr.

Slik vurderer du om et forhold er foreldet

For å avgjøre om et konkret datalovbrudd er foreldet, må du sette sammen tre opplysninger:

• Finn strafferammen. Sjekk hvilken bestemmelse som rammer forholdet, og om det er en grunnform eller grov variant. Dette gir fristens lengde etter § 86.
• Fastslå friststarten. Når opphørte den straffbare handlingen? Ved vedvarende virksomhet regnes fristen ofte fra siste handling, ikke fra da forholdet ble oppdaget (§ 87).
• Sjekk om noe har avbrutt fristen. Har en mistenkt fått stilling som siktet, er fristen avbrutt (§ 88). Anmeldelsen alene avbryter ikke.

Legg fristens lengde til friststarten, og sjekk om noe avbrøt fristen før den løp ut. Ved datakriminalitet er gjerningspersonen ofte ukjent lenge, så anmeld så raskt du kan, og bevar bevis. Er du i tvil, bør du få saken vurdert av politiet eller en advokat.

Ofte stilte spørsmål

Hvor lenge kan datainnbrudd anmeldes?

Det avhenger av strafferammen. Et mindre alvorlig datainnbrudd kan ha en frist på to eller fem år, mens et grovt datainnbrudd med høyere strafferamme kan ha ti år, jf. straffeloven § 86. Fristen regnes fra da handlingen opphørte, ikke fra da den ble oppdaget.

Når begynner fristen ved nettbedrageri?

Fristen begynner å løpe fra den dagen det straffbare forholdet opphørte, jf. straffeloven § 87 – ikke fra da offeret merket bedrageriet. Ved en sammenhengende straffbar virksomhet kan friststarten regnes fra det siste leddet i aktiviteten.

Stopper en anmeldelse foreldelsesfristen?

Nei. Selve anmeldelsen avbryter ikke fristen. Foreldelsen avbrytes først når en mistenkt får stilling som siktet gjennom et rettergangsskritt, jf. straffeloven § 88. Ved datakriminalitet kan gjerningspersonen være ukjent lenge, så fristen kan løpe ut før noen siktes.

Kan jeg kreve pengene tilbake selv om straffansvaret er foreldet?

Muligens. Et erstatnings- eller tilbakebetalingskrav følger foreldelsesloven og har egne frister, uavhengig av om det strafferettslige ansvaret er foreldet. De to sporene må vurderes hver for seg.

Foreldes grovt databedrageri raskere enn vanlig?

Nei. Grovt databedrageri har en høyere strafferamme og dermed en lengre foreldelsesfrist enn et vanlig databedrageri. Det er den høyeste anvendelige rammen for forholdet som bestemmer fristen.