Soweit ich weiss geht es nicht nur um Datenklau, sondern auch um Manipulation (kanns aber gerade nicht im Gesetzestext finden; vielleicht ist das noch mal ein ganz anderer Paragrah).

Wenn man eine Cross-Site-Scripting-Luecke ausnuetzt um gegen den Willen eines anderen irgendwo was hinschreibt zaehlt das ganz sicher als Manipulation.