Source: http://www.olnhausen.com/rechtsprechung/urteile-2015/bgh-beschluss-v-21-7-2015-1-str-1615-computerbetrug-botnetz/
Timestamp: 2020-08-04 23:28:44
Document Index: 163558081

Matched Legal Cases: ['BGH', 'BGH', '§ 349', '§ 202', 'BGH', '§ 202', 'BGH', '§ 202', '§ 202', '§ 202', '§ 303', '§ 353', 'BGH', 'BGH', '§ 353', 'BGH', 'BGH']

BGH, Beschluss v. 21.7.2015 - 1 StR 16/15 - Computerbetrug, Botnetz | Thomas von Olnhausen
BGH, Beschluss v. 21.7.2015 – 1 StR 16/15 – Computerbetrug, Botnetz
wegen Computerbetruges u.a.
Der 1. Strafsenat des Bundesgerichtshofs hat am 21. Juli 2015 gemäß § 349 Abs. 4 StPO beschlossen:
1. Anfang des Jahres 2012 schloss sich der Angeklagte mit dem (nach Abtrennung des Verfahrens) anderweitig verurteilten Heranwachsenden R. zusammen, um ein sog. Botnetzwerk – d.h. ein der Ressourcengewinnung dienendes Netzwerk jeweils missbräuchlich durch automatisierte Computerprogramme zusammengeschlossener Rechner – aufzubauen und dieses dann ebenfalls missbräuchlich zum Generieren von Bitcoins zu nutzen. Zu diesem Zweck entwickelte er gemeinsam mit dem gesondert Verurteilten R. eine spezielle Schadsoftware, die unerkannt über das Usenet – ein selbständig neben dem Internet bestehendes Netzwerk, welches überwiegend zum Download illegal gefertigter Kopien von Filmen oder Musikdateien genutzt wird – verbreitet werden sollte. Der Angeklagte stellte zu diesem Zweck im Zeitraum vom 1. Januar 2012 bis zum 4. Oktober 2013 diverse Dateien im Usenet zum Download bereit. An diese war die programmierte Schadsoftware für den Anwender nicht wahrnehmbar angekoppelt, die sich nach dem Download einer infizierten Datei automatisch auf dem betroffenen Computer installierte. Die Schadsoftware, ein Trojaner, war für die Betriebssysteme ab Windows XP bis Windows 7 bestimmt, „welche standardmäßig eine ‚Firewall‘ aktiviert haben, um derartige Angriffe abzuwehren“ (UA S. 3). Diese Firewall „wurde durch den Trojaner umgangen“ (UA S. 3) und das jeweilige Betriebssystem des Computers verändert. An späterer Stelle in den Urteilsgründen findet sich die Feststellung, dass in vielen Fällen der Trojaner „durch Virenprogramme der Nutzer nicht erkannt wurde“ (UA S. 4). Detaillierte Feststellungen zu den auf den betroffenen Computern installierten Schutzprogrammen hat das Landgericht nicht, auch nicht exemplarisch, getroffen. Die Schadsoftware führte dazu, dass jede Eingabe an dem infizierten Rechnersystem, darunter Zugangsdaten zu diversen Accounts nebst Passwörtern, an eine von dem Angeklagten und R. eingerichtete Datenbank übertragen wurde. Sie hatte außerdem die Eigenschaft, bei einer Inaktivität ab 120 Sekunden die Rechenleistung des Computers für die Lösung komplexer Rechenaufgaben zu nutzen, wofür dem Angeklagten und R. Bitcoins gutgeschrieben werden konnten (Ziffer II.1. der Urteilsgründe).
2. Im Zeitraum zwischen dem 19. November 2012 und dem 17. März 2013 mietete der Angeklagte oder von ihm beauftragte „Spreader“ in insgesamt 18 Fällen aufgrund jeweils neuen Tatentschlusses für den Betrieb ihres Netzwerks und die Verbreitung der Schadsoftware unter missbräuchlicher Verwendung zuvor ausgespähter Personaldaten Server an. Die Freischaltung der Server erfolgte nach Übermittlung der Zugangsdaten automatisiert. Der Angeklagte wollte eine Zurückverfolgbarkeit von Datenströmen zu ihm ausschließen und sich die durch den jeweiligen Vertragsschluss anfallenden Anschluss- und Nutzungsgebühren ersparen. Dies gelang ihm durch die Verwendung ausgespähter Daten, wodurch den Anbietern jeweils ein entsprechender Schaden, insgesamt in einer Größenordnung von 7.000 Euro, entstand (Ziffer II.2. der Urteilsgründe).
Die Feststellungen sind teilweise lückenhaft und weisen zudem einen inneren, auch durch den Gesamtzusammenhang der Urteilsgründe nicht auflösbaren Widerspruch auf. Sie belegen nicht hinreichend, dass der Angeklagte jeweils eine Zugangssicherung überwunden hat, die für die Erfüllung des Straftatbestands des § 202a Abs. 1 StGB erforderlich ist. Denn der Schutzbereich dieser Strafvorschrift erstreckt sich nur auf Daten, die gegen unberechtigten Zugang besonders gesichert sind. Dies sind nur solche, bei denen der Verfügungsberechtigte durch seine Sicherung sein Interesse an der Geheimhaltung der Daten dokumentiert hat (vgl. BGH, Beschluss vom 6. Juli 2010 – 4 StR 555/09, NStZ 2011, 154).
Die Zugangssicherung im Sinne von § 202a Abs. 1 StGB muss darauf angelegt sein, den Zugriff Dritter auf die Daten auszuschließen oder wenigstens nicht unerheblich zu erschweren (vgl. BGH, Beschluss vom 6. Juli 2010 – 4 StR 555/09, NStZ 2011, 154; LK-StGB/Hilgendorf, StGB, § 202a Rn. 30; MüKo-StGB/Graf, StGB, § 202a Rn. 35; Rübenstahl/Debus, NZWiSt 2012, 129, 131). Darunter fallen insbesondere Schutzprogramme, welche geeignet sind, unberechtigten Zugriff auf die auf einem Computer abgelegten Daten zu verhindern, und die nicht ohne fachspezifische Kenntnisse überwunden werden können und den Täter zu einer Zugangsart zwingt, die der Verfügungsberechtigte erkennbar verhindern wollte (vgl. BT-Drucks. 16/3656 S. 10). Schließlich muss der Zugangsschutz auch gerade im Zeitpunkt der Tathandlung bestehen (vgl. MüKo-StGB/Graf, StGB, § 202a Rn. 20).
Die aufgezeigten Mängel haben die Aufhebung auch der tateinheitlich angenommenen Datenveränderung gemäß § 303a Abs. 1 StGB zur Folge (§ 353 Abs. 1 StPO; vgl. BGH, Urteil vom 20. Februar 1997 – 4 StR 642/96, BGHR StPO § 353 Aufhebung 1; Beschluss vom 2. Juli 2015 – 2 StR 134/15). Ob sich der Tatbestand – wofür einiges spricht – auch auf Programmdaten wie hier die Registrierung der von der Schadsoftware befallenen Computer erstreckt, braucht der Senat deshalb nicht zu entscheiden.
Das neue Tatgericht wird Gelegenheit haben, sich mit den Handlungsabläufen in technischer und zeitlicher Hinsicht umfassender als bislang auseinanderzusetzen. Erst die hinreichend genaue Feststellung der technischen Gegebenheiten ermöglicht die strafrechtliche Bewertung der in Frage kommenden – als solche bereits zutreffend erkannten – Straftatbestände.
Die Sache war an eine allgemeine Strafkammer und nicht an eine Jugendkammer zurückzuverweisen, weil sich das weitere Verfahren nur noch gegen den Erwachsenen richtet (vgl. u.a. BGH, Urteil vom 28. April 1988 – 4 StR 33/88, BGHSt 35, 267 f.).