Source: https://www.internet-strafrecht.com/internet-strafrecht-allgemein/strafbarkeit-von-phishing-in-deutschland-teil-1/it-strafrecht/
Timestamp: 2018-09-18 14:14:01
Document Index: 65504490

Matched Legal Cases: ['§269', '§269', '§269', '§269', '§269', '§269', '§269', '§269', '§269', '§269', '§126', '§267', '§267', 'BGH', 'BGH', '§267', '§202', '§202', '§202', '§202', '§202', '§263', '§202', '§202', '§263', '§269', '§269', '§269', '§269', '§269', '§269', '§269', '§269', '§269', '§269', '§269', '§269', '§269', '§269', '§269', '§269', '§267', '§202', '§169', '§202', '§202', '§202']

Phishing: Rechtsanwalt Ferner zur Strafbarkeit des Phishing
Veröffentlicht am 1. Januar 2009 16. September 2017 von Rechtsanwalt Jens Ferner
Diese Punkte möchte ich im folgenden analysieren. Dabei ist zu bemerken, dass ich das so genannte “Pharming”, also das bereithalten gefälschter Webseiten – etwa eine gefälschte Eingabemaske die der einer Bank des Opfers ohne erhebliche Unterschiede gleicht – rechtlich im Rahmen des Phishings behandle. Da bei der juristischen Subsumtion auf das Verhalten abgestellt wird, unabhängig von Begrifflichkeiten, möchte ich mich hier nicht in unnötigen Detailfragen verlieren.
Hinweis: In diesem Rahmen spielt die Frage eine Rolle, ob deutsches Strafrecht überhaupt anwendbar ist – etwa wenn die betreffenden Webseiten auf ausländischen Servern bereit gehalten werden oder Mails aus dem Ausland veschickt werden. Für den Moment soll der Hinweis genügen, dass dies generell kein Problem darstellt1, wobei es natürlich sehr abstrakte Ausnahmen gibt. Ich möchte später zum Thema der “Geltung deutschen Strafrechts” einen eigenen Artikel schreiben.
Im objektiven Tatbestand könnte die erste Alternative des §269 I StGB vorliegen: “Beweiserhebliche Daten” werden so gespeichert oder verändert, dass bei ihrer Wahrnehmung eine unechte oder verfälschte Urkunde vorliegt.
Sollte der Täter von einer bestehenden Seite vorthandene Designs (etwa CSS etc.) kopieren und selbst verwenden, läge eine veränderung vor, jedenfalls liegt problemlos im Vorhalten der Daten auf einem Server eine Speicherung vor2.
Ein Datum i.S.d §269 StGB ist jede in einem technischen Gerät auf optisch nicht wahrnehmbare Weise gespeicherte, codierte Information3. Eine Webseite ist eine solche Information, also ein Datum i.S.d. §269 StGB.
Dieses Datum muss auch “beweiserheblich” sein, was es dann ist, wenn es zur Überzeugungsbildung über eine rechtlich erhebliche Tatsache beitragen kann4. Die Frage, wer der Betreiber einer Webseite ist, ist schon für sich rechtlich erheblich. Hinzu kommen verschiedene Aspekte, wie die Tatsache dass ein Bankkunde schon nur gegenüber seiner Bank Online-Zugangsdaten gebrauchen möchte und heute sogar teilweise über AGB verpflichtet ist, Dritten den Zugang nicht zu ermöglichen. Alles in allem handelt es sich bei den Angaben zu dem Betreiber einer Webseite um eine rechtlich erhebliche Tatsache, die der Überzeugungsbildung dient.
Da im vorliegenden Fall über den Aussteller getäuscht wird, würde wenn, dann eine unechte Urkunde vorliegen (Sch-Sch-Cramer, §269, Rn.20). Fraglich, ob überhaupt eine “hypotethische Urkunde” angenommen werden darf. Es ist in 5 Stufen vorzugehen (Nach SK-Hoyer, §269, Rn.13 bis 26):
Es muss der Anschein einer Gedankenerklärung vorliegen5, was hier der Fall ist, da das Formular eine Art Garantieerklärung ähnlich dem auf einer Scheckkarte hinterlegten Magnetstreifen hat6.
Die Wahrnehmung muss optisch7 und dauerhaft8 möglich sein. Die Webseite wird optisch wahrgenommen. Für die Dauerhaftigkeit ist eine Speicherung auf einer Festplatte ausreichend9. Die Daten der Webseite sind zudem auf einem Server, genauer auf dessen Festplatte, hinterlegt, somit dauerhaft wahrnehmbar.
Die Daten müssen zum Beweis einer rechtserheblichen Tatsache beitragen. Dies ist hier anzunehmen10, zudem lebt die Webseite bzw. die geplante Schädigung ja gerade davon, dass das potentielle Opfer von der Tatsache, dass es sich um die eigene Bank handelt, überzeugt ist. Wäre es zum Beweis weder geeignet noch bestimmt, würde die Idee dahinter gar nicht funktionieren.
Wie unter (3) festgehalten macht die Webseite nur Sinn, gerade weil sie einen bestimmten Aussteller (die Hausbank des potentiellen Opfers) suggeriert. Eine Meinung11 möchte dies stringend sehen, und verlangt, dass zumindest das passende Logo (und nicht ein übergordnetes) eingesetzt wird. Im Regelfall ergeben sich hier aber keine Probleme. Im Zweifelsfall muss im Einzelfall entschieden werden, wobei eine schlechte Leistung des Täters nicht zu Ungunsten (evt. dummer) potentieller Opfer eingewendet werden darf.
Unecht ist die (hypothetische12) Urkunde wenn sie nicht von dem stammt, der angeblicher Aussteller ist13. Angeblicher Aussteller (Verfasser de Webseite) ist die Hausbank, in Wirklichkeit ist es aber der Täter.
Der objektive Tatbestand des §269 I 1. Alt StGB ist also beim Vorhalten gefälschter Webseiten anzunehmen. Subjektiv muss die entsprechende Webseite bereitgehalten werden, um zur Täuschung im Rechtsverkehr zu handeln14, was im Regelfall angenommen werden kann.
Insgesamt ist somit beim Vorhalten gefälschter Webseiten zur Erlangung von Zugangsdaten eine Strafbarkeit nach §269 I 1.Alt StGB anzunehmen15.
Grundsätzlich wird hier auf 1.1 oben verwiesen, denn §269 I 1. Alt. StGB kann bei Phishing-Mails, die einen existenten Absender wie eine Bank, vortäuschen grundsätzlich angewendet werden16.
Ein Teil der Literatur fordert, dass eine Authentizität, also die Erkennbarkeit des Ausstellers, nur vorliegt, wenn die Mail auch signiert ist (Frank in CR 2004, 123, 124; Popp MMR 2006, 84, 85). Ansatzpunkt ist hier die Beweiseignung der Urkunde, die mit Beweiskraft gleichgesetzt wird, was bei fehlender Signatur in der Tat zu verneinen wäre. Diese Meinung verkennt aber, dass es im Rahmen von §269 StGB alleine um die Möglichkeit geht, in einem Verfahren in einem Verfahren Überzeugensbildend zu wirken (SK-Hoyer §269 Rn.20). Das erfordert keinesfalls das Formerfordernis im Sinne des §126a BGB. Vielmehr ist Sinn der Beweiseignung, gänzlich irrelevantes auszuschliessen17. Die hier herangezogene Fälschungssicherheit ist nicht nur unnütz sondern war noch nie Teil der Betrachtung der §§267, 269 StGB (Stuckenberg in ZStW 118, 878, 888). Die fehlende Signatur ist also kein Problem.
Eine andere Ansicht (Graf in NStZ 2007, 131, 132) verlangt zwar keine Signatur, aber zumindest strenge Anforderungen an die Erkennbarkeit des Ausstellers. Wenn etwa Mails als “sparkasse.de” versendet und “unterschrieben” sind, wird ein nicht existenter Aussteller vorgegaukelt, womit die Garantiefunktion nicht vorliegt (Graf in NStZ 2007, 131, 132). Jedenfalls dann, wenn nicht zusätzlich eine Webseite nach 1.1 zum Einsatz kommt, die dann das entsprechende Logo der existierenden Hausbank nutzt, ist dies ein mitunter starkes Argument, da nun fraglich ist, ob nicht vielmehr nur eine schriftliche Lüge vorliegt. So wird bei Verwendung nicht existenter Namen teilweise eine schriftliche Lüge angenommen (SK-Hoyer §267 Rn.59). Dies sieht die h.M. (BGHSt 1, 117, 121; BGHSt 5, 150, 151; Fischer §267. Rn.21; Wessels BT1 Rn.821) insgesamt aber anders: Die vorgetäuschte Person muss nicht existieren. Dies macht auch insofern Sinn, da der Schutz des Rechtsverkehrs gerade von dem Gedanken lebt, dass man sich auf Urkunden verlassen kann. Ob man dies bei evidenten Sachverhalten (Absender ist etwa “Spasskasse.de”) noch aufrecht erhält, ist dann im Einzelfall abzuwägen.
Sofern per Mail Links zu Webseiten nach 1.1 verschickt werden, liegt ein “gebrauchen” im Sinne der 3. Alternative vor (Stuckenberg in ZStW 118, 878, 890).
Der §202b StGB setzt vorraus, dass der Täter sich Daten “aus” einer nicht-öffentlichen Datenübermitlung verschafft. Dies liegt beim Phishing gerade nicht vor, denn der Täter verschafft sich hier die Daten durch eine an ihn gerichtete Übermittlung. Das “aus” spricht für ein “Abfangen”, jedenfalls für ein Eingreifen in den Übermittlungsprozess (Leupold/Glossner 8/93; Fischer §202b Rn.3). §202b StGB scheidet beim Phishing aus (Leupold/Glossner 8/93).
Der §202c I 1. Alt. StGB liegt wohl unproblematisch vor, sobald das Opfer seine Daten eingegeben und abgeschickt hat, und diese den Täter erreichen18. Man kann kritisch hinterfragen, inwiefern beim Phishing (die Daten sollen ja zu Transaktionen genutzt werden) eine Vorbereitung einer Tat nach §§202a, 202b StGB vorliegen soll – vielmehr wird ja eine Tat nach §263 a StGB vorbereitet. Dies aber nur als kritische Anmerkung von mir.
Die Zugangsdaten, etwa zu einem Konto, sind zweifelsohne Daten im Sinne des §202a I StGB19. Absatz 2 verlangt aber, dass die Daten gespeichert sind oder übermittelt werden. Abgestellt wird also darauf, dass die Daten beim Zugriff entweder gespeichert sind oder sich im Übermittlungsstadium befinden20. Damit sollen nur Daten gemeint sein, auf die während eines Übermittlungsvorgangs zugegriffen wird21, während beim Phishing die Daten gerade durch die Übertragung übermittelt werden (Stuckenberg in ZStW 118, 878, 884). Somit liegt schon kein taugliches Tatobjekt vor (Stuckenberg in ZStW 118, 878, 884).
Einzig der Hinweis darauf, dass eventuell ein den tatbestand ausschliessendes Einverständnis vorliegt22 vermag im Ansatz zu überzeugen und ist nicht von der Hand zu weisen. Hier ist dann zu prüfen, wie man mit einem erschlichenen Einverständnis umgeht, was ich nicht im weiteren erörtere, da es typischer StGB AT Stoff ist. Es muss aber zu dieser Klärung sehr wohl erörtert werden, ob die Fragen evt. für den Täter bestimmt sind. Nicht für den Täter bestimmt sind die Daten, wenn der Berechtigte nicht will, dass sie in den Herrschaftsbereich des Täters gelangen (LK §202a Rn.3). Das will das potentielle Opfer hier zweifelsohne, dennoch argumentiert z.B. Popp (Popp in NJW 2004, 3517, 3518) wie folgt:
Hinweis: Der erste Teil endet hier. Im Zweiten Teil des Beitrags geht es dann um den noch ausstehenden §263a StGB sowie im dritten Teil um die dritte Ausführungsstufe: Das Abfangen des Geldes und die Strafbarkeit so genannter “Finanzagenten”.
Dazu die sehr ausführliche Darstellung bei Stuckenberg in ZStW 118, 878 beachten ↩
Sch-Sch-Cramer, §269 Rn.16; SK-Hoyer, §269 Rn.8 ↩
SK-Hoyer, §269, Rn.5; Sch-Sch-Cramer, §269, Rn.8 ↩
SK-Hoyer, §269, Rn.6;Sch-Sch-Cramer, §269, Rn.10 ↩
SK-Hoyer, §269, Rn.14 ↩
Zum Magnetstreifen siehe SK-Hoyer, §269, Rn.16 sowie LK §269 Rn2. ↩
SK-Hoyer, §269, Rn.17; LK §269 Rn.2 ↩
SK-Hoyer, §269, Rn.17 ↩
Siehe oben bei “beweiserheblich” ↩
Graf in NStZ 2007, 129, 132 ↩
Etwa nach einem gedachten Ausdruck ↩
Sch-Sch-Cramer §269 Rn.20; SK-Hoyer §269. Rn21; LK §269 Rn.6 ↩
Sch-Sch-Cramer §269 Rn.22 ↩
Stuckenberg in ZStW 118, 878, 890; Leupold/Glossner 8/93 ↩
Leupold/Glossner 8/91 ↩
NK-Puppe §267 Rn.18 ↩
Leupold/Glossner 8/93 ↩
Stuckenberg in ZStW 118, 878, 884 ↩
Fischer, §202a Rn.6; Stuckenberg in ZStW 118, 878, 884 ↩
Popp in NJW 2004, 3517, 3518 ↩
KategorienAllgemeines zu IT-Strafrecht & Cybercrime Schlagwörter§169 StGB, Abfangen von Daten - §202b StGB, Ausspähen von Daten - §202a StgB, Phishing, Vorbereiten des Ausspähens und Abfangens von Daten - §202c stgb
Vorheriger BeitragZurück Staatstrojaner: Grundrecht auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme