Computerbetrug in Marbella

Phishing als Computerbetrug (Art. 248.2.a CP): ohne Täuschung und ohne Irrtum

Phishing — der Versand von Mitteilungen, die eine vertrauenswürdige Stelle vortäuschen, um an die Bankzugangsdaten des Opfers zu gelangen — fällt nicht unter den klassischen Betrug des Art. 248.1 CP, der eine Täuschung voraussetzt, die unmittelbar beim Opfer einen für dessen eigene Vermögensverfügung ursächlichen Irrtum hervorruft. Die Rechtsprechung hat die eigenständige Natur dieses Tatbestands klargestellt:

„...wenn das Verhalten, durch das einem anderen ohne dessen Einwilligung sein Vermögen entzogen wird, mittels Manipulation des Informationssystems erfolgt... liegt der Tatbestand des Art. 248.2 vor."

Beim Bank-Phishing verfügt das Opfer nicht bewusst über sein Vermögen: Es sind die Täter selbst, die, sobald sie die Zugangsdaten durch die ursprüngliche Täuschung erlangt haben, unmittelbar auf das Konto zugreifen und die nicht einverständliche Überweisung veranlassen. Diese technische Unterscheidung — das Fehlen einer freiwilligen Vermögensverfügung durch das Opfer — hat relevante praktische Folgen, unter anderem für das quasi-verschuldensunabhängige Haftungsregime, das die europäische Zahlungsdiensterichtlinie den Banken auferlegt, die zur unverzüglichen Rückerstattung der entwendeten Beträge verpflichtet sind, sofern sie nicht grobe Fahrlässigkeit des Kontoinhabers nachweisen.

Die Figur des „Finanzagenten": Betrug, Geldwäsche oder Hehlerei

Eine der streitträchtigsten Fragen in dieser Materie ist die rechtliche Qualifizierung desjenigen, der, durch falsche Homeoffice-Angebote angeworben, sein Bankkonto zur Verfügung stellt, um das entwendete Geld entgegenzunehmen und es gegen eine Provision ins Ausland weiterzuleiten — der sogenannte „Money Mule" oder „Finanzagent" —. Die Rechtsprechung hat zwischen der Einordnung dieses Verhaltens als notwendige Beihilfe zum Computerbetrug, als Hehlerei oder als Geldwäsche geschwankt, wobei sie sich mehrheitlich für Letztere in ihrer fahrlässigen Form entscheidet, wenn keine sichere Kenntnis der deliktischen Herkunft des Geldes nachgewiesen wird, wohl aber ein aus den Umständen abzuleitender vernünftiger Verdacht:

„...indem er auf seinem Konto einen Betrag akzeptiert, der aus einer deliktischen Tätigkeit stammte, und dazu beiträgt, ihn zu verbergen, indem er ihn an eine andere Person überträgt... begeht er eine Geldwäsche durch grobe Fahrlässigkeit."

Diese Qualifizierung führt zu einer spürbar niedrigeren Strafe als jene des Computerbetrugs, ein Punkt, an dem wir systematisch bei der Verteidigung derjenigen arbeiten, die im letzten Glied dieser Netzwerke tätig werden, ohne tatsächliche Kenntnis des vollständigen deliktischen Geflechts zu haben. Das vollständige Fehlen eines Verdachtsmoments — wenn das Angebot zur Mitwirkung einen vernünftigerweise rechtmäßigen Anschein erweckte — kann zudem die strafrechtliche Verantwortlichkeit vollständig ausschließen.

Klonen und betrügerische Nutzung von Karten (Art. 248.2.c CP)

Art. 248.2.c) CP bestraft eigenständig denjenigen, der unter Verwendung von Kredit- oder Debitkarten, Reiseschecks oder der in ihnen enthaltenen Daten Vorgänge jeglicher Art zum Nachteil des Inhabers oder eines Dritten vornimmt. Dieser Tatbestand ist sowohl auf das physische Klonen des Magnetstreifens oder Chips der Karte mittels Skimming-Geräten anwendbar als auch auf die Verwendung der auf andere Weise — einschließlich durch Phishing selbst — erlangten Daten, um ohne Zustimmung des Inhabers Käufe oder Bargeldabhebungen vorzunehmen. Der Plenumsbeschluss der Zweiten Strafkammer des Obersten Gerichtshofs vom 28. Juni 2002 (nicht bindende Rechtsprechungsleitlinie) bestätigte die Anwendung dieses Tatbestands unabhängig davon, ob die Nutzung an Geldautomaten, Zahlungsterminals oder E-Commerce-Plattformen erfolgt, sofern Kenntnis von der fehlenden Berechtigung an den verwendeten Daten vorliegt.

Ransomware: zwischen digitaler Sabotage und Cyber-Erpressung

Ransomware — die böswillige Verschlüsselung der Systeme oder Dateien eines Opfers unter Forderung eines Lösegelds für deren Freigabe — kennt im Strafgesetzbuch keinen eigenen Tatbestand, was eine komplexe rechtliche Qualifizierung auf Grundlage bereits bestehender Tatbestände erforderlich macht. Der Angriff selbst — die Verschlüsselung oder Sperrung der Daten — stellt ein Computerschädigungsdelikt nach Art. 264 CP dar, das erschwert wird, wenn es Schäden von besonderem Ausmaß verursacht, eine hohe Anzahl von Systemen betrifft oder mittels eines eigens dafür entwickelten Programms nach Art. 264 ter CP ausgeführt wird; richtet sich der Angriff auf die Beeinträchtigung des Systembetriebs als Ganzes, findet Art. 264 bis CP Anwendung. Hinzu kommt, soweit der Angriff mit der Forderung eines Lösegelds unter Androhung der Nichtwiederherstellung des Datenzugangs verbunden ist — oder, in der Variante der „doppelten Erpressung", der öffentlichen Verbreitung der Daten bei Nichtzahlung —, die mögliche Verwirklichung eines Erpressungsdelikts nach Art. 243 CP, in Tateinheit mit dem Computerschädigungsdelikt. Die Qualifizierung dieses Sachverhalts als digitale Sabotage, als Betrug oder als Erpressung — jeweils mit eigenem Straf- und Verfahrensregime — hängt von der detaillierten technischen Analyse der genauen Mechanik des Angriffs ab, ein Punkt, den wir mit Unterstützung unserer IT-forensischen Sachverständigen von der ersten Ermittlungsmaßnahme an bearbeiten.