<!DOCTYPE html> <html lang="de"><head><meta charset="utf-8"/></head><body><div class="content"> <a name="idp305632"></a><div class="big bold">Urteilskopf</div> <br/>145 IV 185<br/><br/><br/><div class="paraatf">20. Auszug aus dem Urteil der Strafrechtlichen Abteilung i.S. X. gegen Oberstaatsanwaltschaft des Kantons Aargau und A. (Beschwerde in Strafsachen)</div> <div class="paraatf">6B_1207/2018 vom 17. Mai 2019</div> <a name="idp307088"></a><br/><div id="regeste" lang="de"> <div class="big bold">Regeste</div> <br/><div class="paraatf"><span class="artref">Art. 143<sup>bis</sup> Abs. 1 StGB</span>; unbefugtes Eindringen in ein Datenverarbeitungssystem. <div class="paratf">Das unbefugte Einloggen in den mit einem Passwort geschützten Gmail-Account des getrennt lebenden Ehemannes erfüllt den Tatbestand von <span class="artref">Art. 143<sup>bis</sup> Abs. 1 StGB</span>, auch wenn die Täterin das auf einem Notizzettel notierte Passwort nur zufällig in einer Schublade im früheren gemeinsamen Büro in der ehelichen Wohnung aufgefunden hat (E. 2). </div> </div> </div> <a name="idp313632"></a> <a name="idp319904"></a> <br/><div> <a name="idp325888"></a><span class="big bold" id="sachverhalt">Sachverhalt</span> <span class="small">ab Seite 185</span> </div> <br/><div class="paraatf"> <a name="page185"></a><div class="center pagebreak">BGE 145 IV 185 S. 185</div> </div> <br/><div class="paraatf"> <a name="idp327552"></a><span class="bold">A. </span>X. wird vorgeworfen, in der Zeit vom 1. Januar 2014 bis 1. Mai 2015, nach der Trennung von ihrem Ehemann A., von ihren damaligen Wohnorten aus mehrfach unberechtigt in dessen für sie fremden und passwortgeschützten Google Account (Gmail) eingedrungen zu <a name="page186"></a><div class="center pagebreak">BGE 145 IV 185 S. 186</div>sein. Dabei habe sie sich unbefugterweise, ohne Wissen und Einverständnis des Ehemannes, vorwiegend geschäftliche Daten sowie solche aus dem schriftlichen Verkehr zwischen jenem und seinem Anwalt zugänglich gemacht. Im Weiteren habe sie zwischen Dezember 2013 und Dezember 2014 mindestens 23 Bilddateien mit Aufnahmen einer jungen weiblichen Person heruntergeladen, wobei auf einer dieser Bildaufnahmen auch eine Passwortliste abgebildet gewesen sei. X. erlangte Zugang zum E-Mailaccount ihres Ehemannes, indem sie dessen Passwort verwendete, das sie - aufnotiert auf einem Karteikärtchen - in der Korpusschublade im gemeinsamen Büro der früheren ehelichen Wohnung aufgefunden hatte.</div> <br/><div class="paraatf"> <a name="idp330736"></a><span class="bold">B. </span>Das Bezirksgericht Bremgarten erklärte X. am 13. Dezember 2017 auf Einsprache gegen den Strafbefehl der Staatsanwaltschaft Muri-Bremgarten vom 22. Februar 2017 des mehrfachen unbefugten Eindringens in ein Datenverarbeitungssystem schuldig und verurteilte sie zu einer Geldstrafe von 50 Tagessätzen zu Fr. 30.-, mit bedingtem Strafvollzug bei einer Probezeit von 2 Jahren, sowie zu einer Busse von Fr. 300.-, bei schuldhafter Nichtbezahlung umwandelbar in eine Ersatzfreiheitsstrafe von 10 Tagen. Ferner verpflichtete es die Beurteilte zur Zahlung einer Parteientschädigung von Fr. 3'499.40 an ihren Ehemann.</div> <div class="paraatf">Hiegegen erhoben die Beurteilte Berufung und ihr Ehemann Anschlussberufung. Das Obergericht des Kantons Aargau bestätigte in Abweisung der Berufung den erstinstanzlichen Entscheid mit Urteil vom 16. Oktober 2018 im Schuld- und Strafpunkt. In teilweiser Gutheissung der Anschlussberufung verpflichtete es X. zur Bezahlung einer Parteientschädigung an ihren Ehemann von Fr. 9'677.- für das erstinstanzliche Verfahren. Schliesslich entschied es über die Verlegung der ordentlichen und ausserordentlichen Kosten des zweitinstanzlichen Verfahrens.</div> <br/><div class="paraatf"> <a name="idp333744"></a><span class="bold">C. </span>X. führt Beschwerde in Strafsachen, mit der sie beantragt, das angefochtene Urteil sei aufzuheben und sie sei von der Anklage des mehrfachen unbefugten Eindringens in ein Datenverarbeitungssystem freizusprechen. Eventualiter sei das angefochtene Urteil aufzuheben und die Sache zur Neubeurteilung an die Vorinstanz zurückzuweisen. Ferner ersucht sie um Gewährung der unentgeltlichen Rechtspflege.</div> <br/><div class="paraatf"> <a name="idp335456"></a><span class="bold">D. </span>Das Obergericht und die Oberstaatsanwaltschaft des Kantons Aargau sowie A. haben auf Vernehmlassung verzichtet. <a name="page187"></a><div class="center pagebreak">BGE 145 IV 185 S. 187</div> </div> <br/><div> <a name="idp337360"></a><span class="big bold" id="erwaegungen">Erwägungen</span> </div> <br/><div class="paraatf">Aus den Erwägungen:</div> <br/><div class="paraatf"> <a name="idp338320"></a><span class="bold" id="consideration_2.">2. </span> </div> <br/><div class="paraatf"> <a name="idp339408"></a><span class="bold" id="consideration_2.1">2.1 </span>Gemäss <span class="artref">Art. 143<sup>bis</sup> Abs. 1 StGB</span> wird auf Antrag mit Freiheitsstrafe bis zu drei Jahren oder mit Geldstrafe bestraft, wer auf dem Wege von Datenübertragungseinrichtungen unbefugterweise in ein fremdes, gegen seinen Zugriff besonders gesichertes Datenverarbeitungssystem eindringt. Der Tatbestand schützt Datenverarbeitungssysteme vor Eindringlingen (sog. Hackern), die darauf aus sind, Sicherungen zu durchbrechen und in gesicherte Datensysteme einzudringen, und deren Tätigkeit sich für den ordnungsgemässen Betrieb insbesondere von Grossanlagen als sehr störend und gefährlich erwiesen hat (Botschaft vom 24. April 1991 über die Änderung des Schweizerischen Strafgesetzbuches und des Militärstrafgesetzes, BBl 1991 II 1011 [nachfolgend: Botschaft 1991]). Der Gesetzgeber macht die Strafbarkeit nach <span class="artref">Art. 143<sup>bis</sup> Abs. 1 StGB</span> bewusst davon abhängig, ob eine Zugangssicherung überwunden werden muss (vgl. Botschaft vom 18. Juni 2010 über die Genehmigung und die Umsetzung des Übereinkommens des Europarates über die Cyberkriminalität, BBl 2010 4703 sowie den Vorbehalt der Schweiz zu Art. 2 des Übereinkommens vom 23. November 2001 über die Cyberkriminalität [SR 0.311.43]; Urteil6B_615/2014 vom 2. Dezember 2014 E. 4.3).</div> <div class="paraatf">Der Tatbestand des unbefugten Eindringens in ein Datenverarbeitungssystem im Sinne von <span class="artref">Art. 143<sup>bis</sup> Abs. 1 StGB</span> erfasst als Vorbereitungshandlung zur unbefugten Datenbeschaffung gemäss <span class="artref">Art. 143 StGB</span> - gleichsam analog zum Tatbestand des Hausfriedensbruchs (<span class="artref">Art. 186 StGB</span>) - bereits das Eindringen in fremde Datenverarbeitungsanlagen (Botschaft 1991, a.a.O., 1011; PHILIPPE WEISSENBERGER, in: Basler Kommentar, Strafrecht, Bd. II, 4. Aufl. 2019, N. 5 zu <span class="artref">Art. 143<sup>bis</sup> StGB</span>). Angriffsobjekte sind die Datenverarbeitungssysteme bzw. -anlagen, nicht jedoch - im Gegensatz zu <span class="artref">Art. 143 StGB</span> - die darin gespeicherten Daten. Geschützt wird die Freiheit des Berechtigten, darüber zu entscheiden, wem der Zugang zu einer gesicherten Datenverarbeitungsanlage und den dort gespeicherten Daten gewährt wird (Urteil 6B_456/2007 vom 18. März 2008 E. 4.1 und 4.2, in: Pra 2008 Nr. 96 S. 610 mit Hinweisen).</div> <div class="paraatf">Wer sich über ein Passwort in ein E-Mail-Konto einloggt, gelangt gleichzeitig auch in das Datenverarbeitungssystem als solches. Das Passwort gibt dem Inhaber somit nicht nur die Befugnis, über den Zugang zum geschützten E-Mailkonto, sondern auch über den Zutritt zur Datenverarbeitungsanlage als solcher zu bestimmen (Urteile 6B_456/2007<a name="page188"></a><div class="center pagebreak">BGE 145 IV 185 S. 188</div> vom 18. März 2008 E. 4.3, in: Pra 2008 Nr. 96 S. 610; 6B_615/2014 vom 2. Dezember 2014 E. 4.3; je mit Hinweisen).</div> <br/><div class="paraatf"> <a name="idp358544"></a><span class="bold" id="consideration_2.2">2.2 </span> </div> <br/><div class="paraatf"> <a name="idp188784"></a><span class="bold" id="consideration_2.2.1">2.2.1 </span>Im zu beurteilenden Fall ist unbestritten, dass die Beschwerdeführerin nicht berechtigt war, sich in den Gmail-Account des Beschwerdegegners einzuloggen, und sich demnach unbefugt in einem fremden Datenverarbeitungssystem bewegt hat. Die elektronische Post fremder Personen ist für andere Nutzer ein fremder Teil des gesamten Datenverarbeitungssystems (WEISSENBERGER, a.a.O., N. 13/19 a.E. zu <span class="artref">Art. 143<sup>bis</sup> StGB</span>). Das Zurücklassen des Passwortes in der vormals ehelichen Wohnung lässt sich nicht so verstehen, dass der Beschwerdegegner mit dem Zugriff der Beschwerdeführerin auf seinen Gmail- Account einverstanden gewesen wäre, zumal jener die Karteikärtchen mit den aufnotierten Passwörtern nach den tatsächlichen Feststellungen der Vorinstanz nicht bewusst zurückgelassen, sondern bloss vergessen hat.</div> <br/><div class="paraatf"> <a name="idp388672"></a><span class="bold" id="consideration_2.2.2">2.2.2 </span>Zu entscheiden ist indes, ob die Beschwerdeführerin, indem sie das zufällig aufgefundene Passwort zum Einloggen in den Account des Beschwerdegegners missbraucht hat, im Sinne der Strafbestimmung von <span class="artref">Art. 143<sup>bis</sup> Abs. 1 StGB</span> in ein fremdes, gegen unberechtigten Zugriff besonders gesichertes Datenverarbeitungssystem eingedrungen ist. Soweit die Vorinstanz dies bejaht, verletzt sie kein Bundesrecht.</div> <div class="paraatf">Die Tathandlung des Eindringens umschreibt die Überwindung von Zugangsschranken zur Datenverarbeitung wie Codes oder Verschlüsselungen mittels drahtverbundener Wege oder drahtloser Kanäle der Datenfernübermittlung, welche den Täter von den Daten fernhalten sollen (WEISSENBERGER, a.a.O., N. 17 zu <span class="artref">Art. 143<sup>bis</sup> StGB</span>; ANDREAS DONATSCH, Delikte gegen den Einzelnen, 11. Aufl. 2018, S. 206; TRECHSEL/CRAMERI, in: Schweizerisches Strafgesetzbuch, Praxiskommentar, 3. Aufl. 2018, N. 6 zu <span class="artref">Art. 143<sup>bis </sup> StGB</span>). Die Verwendung eines Zugangscodes oder eines Passwortes gilt als ausreichender Schutz im Sinne der Strafbestimmung (vgl. WEISSENBERGER, a.a.O., N. 15 zu <span class="artref">Art. 143<sup>bis</sup> StGB</span>; GILLES MONNIER, in: Commentaire romand, Code pénal, Bd. II, 2017, N. 7 f. zu Art. 143<sup>bis</sup> und N. 6 zu <span class="artref">Art. 143 StGB</span>; DONATSCH, a.a.O., S. 206 i.V.m. S. 201; TRECHSEL/CRAMERI, a.a.O., N. 6 zu <span class="artref">Art. 143 StGB</span>; NIKLAUS SCHMID, Computer- sowie Check- und Kreditkarten-Kriminalität, 1994, § 5/StGB 143<sup>bis</sup> N. 20 i.V.m. § 4/StGB 143 N. 37). Ohne Bedeutung ist grundsätzlich, auf welche <a name="page189"></a><div class="center pagebreak">BGE 145 IV 185 S. 189</div> Weise die elektronische Sicherung ausgeschaltet wird (SCHMID, a.a.O., § 5/<span class="artref">Art. 143<sup>bis</sup> StGB</span> N. 21). Als Angriff genügt, gleichsam analog zum Tatbestand des Hausfriedensbruchs gemäss <span class="artref">Art. 186 StGB</span> (<a class="bgeref_id" href="https://search.bger.ch/ext/eurospider/live/de/php/clir/http/index.php?lang=de&amp;type=highlight_simple_query&amp;page=14&amp;from_date=&amp;to_date=&amp;from_year=2019&amp;to_year=2019&amp;sort=relevance&amp;insertion_date=&amp;from_date_push=&amp;top_subcollection_clir=bge&amp;query_words=&amp;part=all&amp;de_fr=&amp;de_it=&amp;fr_de=&amp;fr_it=&amp;it_de=&amp;it_fr=&amp;orig=&amp;translation=&amp;rank=0&amp;highlight_docid=atf%3A%2F%2F130-III-28%3Ade&amp;number_of_ranks=0&amp;azaclir=clir#page28">BGE 130 III 28</a> E. 4.2; Botschaft 1991, a.a.O., 1011), jede Handlung, die geeignet ist, die jeweilige Sicherung auszuschalten, ohne dass ein besonderer zeitlicher oder technischer Aufwand erforderlich wäre.</div> <div class="paraatf">Im vorliegenden Fall ist die Beschwerdeführerin in ein fremdes E-Mailkonto eingedrungen, indem sie die ihr nicht zustehende E-Mailadresse angewählt und das zugehörige Passwort über die Tastatur in den Computer eingegeben hat, über das zu verfügen sie nicht berechtigt war. Damit hat sie die elektronische Sicherung des Accounts des Beschwerdegegners umgangen und die Zugangsschranken des Datenverarbeitungssystems überwunden. Dass die Beschwerdeführerindas Passwort nicht durch aktives, auf die Überwindung der Zugangsschranken des Datenverarbeitungssystems gerichtetes Handeln erlangt, sondern dieses im früheren gemeinsamen Büro bloss zufällig aufgefunden hat, ändert daran nichts. Die Art und Weise, wie der Täter sich das Passwort für einen unbefugten Zugang zu einer Datenverarbeitungsanlage verschafft hat, ist für die Würdigung der Tat als Hackerangriff ohne Bedeutung. So werden von der Strafbestimmung auch Fälle erfasst, in denen sich der Täter einen Zugangscode von einem Dritten beschafft (WEISSENBERGER, a.a.O., N. 16 zu <span class="artref">Art. 143<sup>bis</sup> StGB</span>). Es liegt hier insofern gleich wie in den Fällen, in denen der Täter die Zugangshürden durch Täuschung oder List überwindet, namentlich etwa, indem er das für den Zugang zum Konto notwendige Passwort dadurch erlangt, dass er die ihm bekannte "Geheimfrage" im Account richtig beantwortet und ihm anschliessend ein neues Passwort angezeigt wird (Urteil 6B_456/2007 vom 18. März 2008 E. 2 und 4.3, in: Pra 2008 Nr. 96 S. 610 [zur Antragsberechtigung];WEISSENBERGER, a.a.O., N. 19 zu <span class="artref">Art. 143<sup>bis</sup> StGB</span>). Es verhält sich hier nicht wie beim blossen Missbrauch eines Passwortes im Sinne einer Datenveruntreuung (vgl. MONNIER, A.A.O., N. 7 zu Art. 143<sup>bis</sup> mit Hinweis auf N. 7 zu <span class="artref">Art. 143 StGB</span>; <i>ders.</i>, Le piratage informatique en droit pénal, sic! 2009, S. 144 f.).</div> <div class="paraatf">Der Schuldspruch der Vorinstanz verletzt daher kein Bundesrecht. Die Beschwerde erweist sich in diesem Punkt als unbegründet.</div> </div></body></html>