Phishing, Skimming, Identitätsdiebstahl und Computerbetrug
Wenn digitale Daten zum Gegenstand eines Strafverfahrens werden
Ermittlungsverfahren wegen Phishing, Skimming oder Identitätsdiebstahl beginnen häufig mit verdächtigen Überweisungen, Bestellungen unter fremdem Namen oder Hinweisen einer Bank. Anschließend werten die Ermittlungsbehörden IP-Adressen, Mobiltelefone, Bankkonten, Benutzerkonten und Chatverläufe aus. Allerdings beweist weder eine IP-Adresse noch ein Zahlungseingang, dass der Kontoinhaber selbst an einer Straftat beteiligt war. Deshalb muss die Verteidigung genau prüfen, wer ein Gerät, Konto oder Passwort tatsächlich nutzte und welche Kenntnisse die beschuldigte Person besaß.
Was bedeutet Phishing?
Beim Phishing täuschen Täter eine vertrauenswürdige Person oder ein bekanntes Unternehmen vor. Sie versenden beispielsweise E-Mails, SMS oder Messenger-Nachrichten im Namen einer Bank. Außerdem erstellen sie nachgeahmte Internetseiten, damit Nutzer dort Zugangsdaten, Kreditkartendaten oder TAN-Nummern eingeben. Das Versenden einer Nachricht erfüllt jedoch nicht automatisch sämtliche späteren Straftatbestände. Vielmehr kommt es darauf an, welche Daten der Täter erlangt, wie er sie verwendet und ob bereits ein Vermögensschaden entsteht. Je nach Ablauf können insbesondere Betrug nach § 263 StGB, Computerbetrug nach § 263a StGB sowie Straftaten nach §§ 202a bis 202d StGB vorliegen.
Was ist Skimming?
Beim Skimming lesen Täter Daten einer Zahlungskarte aus. Außerdem erfassen sie häufig die PIN mit einer versteckten Kamera oder einer manipulierten Tastatur. Anschließend übertragen sie die Kartendaten möglicherweise auf eine gefälschte Karte und heben damit Geld ab. Deshalb kommen mehrere Tatbestände in Betracht:
- Ausspähen oder Abfangen von Daten,
- Vorbereitung eines Computerbetrugs,
- Fälschung von Zahlungskarten,
- Gebrauch einer gefälschten Zahlungskarte,
- Computerbetrug bei der Geldabhebung.
§152b StGB sieht für die Fälschung bestimmter Zahlungskarten grundsätzlich Freiheitsstrafe von einem Jahr bis zu zehn Jahren vor. Handelt der Täter gewerbsmäßig oder als Mitglied einer Bande, erhöht sich das Strafrisiko zusätzlich.
Ist Identitätsdiebstahl eine eigene Straftat?
Der Begriff Identitätsdiebstahl beschreibt die unbefugte Beschaffung oder Nutzung personenbezogener Daten. Allerdings enthält das deutsche Strafgesetzbuch bislang keinen allgemeinen Straftatbestand mit dieser Bezeichnung. Straflos ist der Identitätsmissbrauch deshalb dennoch nicht. Wer sich unter fremdem Namen Waren liefern lässt, kann einen Betrug begehen. Wer mit fremden Zugangsdaten einen automatisierten Zahlungsvorgang auslöst, kann sich dagegen wegen Computerbetrugs strafbar machen. Außerdem kann § 269 StGB eingreifen, wenn der Täter beweiserhebliche elektronische Daten so speichert oder verändert, dass sie einer gefälschten Urkunde entsprechen. Verwendet jemand einen fremden Personalausweis, kommt zudem § 281 StGB in Betracht.
Rechtsgrundlage des Computerbetrugs
§263a StGB erfasst Eingriffe in automatisierte Datenverarbeitungsvorgänge. Der Täter muss das Ergebnis der Datenverarbeitung beeinflussen und dadurch einen Vermögensschaden verursachen.
Das Gesetz nennt vier Tatvarianten:
- unrichtige Gestaltung eines Programms,
- Verwendung unrichtiger oder unvollständiger Daten,
- unbefugte Verwendung von Daten,
- sonstige unbefugte Einwirkung auf den Ablauf.
Für den Grundtatbestand drohen Geldstrafe oder Freiheitsstrafe bis zu fünf Jahren. Allerdings gelten die Strafschärfungen des Betrugs entsprechend. Deshalb kann bei gewerbsmäßiger oder bandenmäßiger Begehung eine deutlich höhere Strafe drohen. Auch bestimmte Vorbereitungshandlungen sind strafbar. § 263a Abs. 3 StGB erfasst insbesondere das Herstellen, Beschaffen oder Überlassen geeigneter Computerprogramme, Passwörter und Sicherungscodes.
Aktuelle Rechtsprechung: Nicht jede fremde Datennutzung ist Computerbetrug
Die Rechtsprechung legt das Merkmal der „unbefugten Verwendung“ restriktiv und möglichst betrugsnah aus. Deshalb genügt nicht allein der Umstand, dass der Kontoinhaber oder Karteninhaber die Nutzung nicht erlaubt hat. Der Bundesgerichtshof verneinte mit Beschluss vom 17. Juni 2020 – 3 StR 294/19 – einen Computerbetrug beim kontaktlosen Bezahlen mit einer fremden echten Zahlungskarte. Das System prüfte in der konkreten Konstellation zwar die technische Echtheit der Karte, jedoch nicht die Berechtigung der Person, welche die Karte vor das Terminal hielt. Die Entscheidung zeigt: Das Gericht muss genau feststellen, welche Daten das System überprüft und welche Erklärung in der Dateneingabe liegt. Dennoch können je nach Ablauf andere Straftatbestände erfüllt sein.
Finanzagenten und weitergeleitete Zahlungen
Phishing-Netzwerke nutzen häufig sogenannte Finanzagenten. Diese stellen ihr Konto zur Verfügung, nehmen Zahlungen entgegen und leiten das Geld gegen eine Provision weiter. Allerdings ist nicht jeder Kontoinhaber automatisch Mittäter eines Computerbetrugs. Die Staatsanwaltschaft muss vielmehr nachweisen, was er wusste und welche Tat er fördern wollte. Daneben kann Geldwäsche nach § 261 StGB vorliegen. Für eine Strafbarkeit wegen leichtfertiger Geldwäsche genügt jedoch nicht jede Unachtsamkeit. Nach der Rechtsprechung muss sich die kriminelle Herkunft des Geldes aufgrund konkreter Umstände geradezu aufdrängen.
Verhaltenstipps bei einem Ermittlungsverfahren
Machen Sie gegenüber Polizei oder Staatsanwaltschaft keine spontanen Angaben. Erklären Sie insbesondere nicht ungeprüft, wem ein Konto, Mobiltelefon oder Benutzerprofil zur Verfügung stand. Löschen Sie außerdem keine Daten und setzen Sie kein Gerät zurück. Dadurch können neue Verdachtsmomente entstehen.
Sichern Sie vielmehr:
- Nachrichten und E-Mails,
- Arbeitsverträge und Aufträge,
- Kontoauszüge,
- Zugangsmeldungen,
- Standortdaten,
- Belege über Geräteverkauf oder Geräteverlust,
- Informationen über weitere Nutzer eines Anschlusses.
Geben Sie Passwörter und PIN-Nummern nicht freiwillig heraus, bevor Sie mit einem Strafverteidiger gesprochen haben. Kontaktieren Sie außerdem keine Mitbeschuldigten, weil die Ermittlungsbehörden dies als Verdunkelungsversuch bewerten können.
Wie hilft der Strafverteidiger?
Ich beantrage zunächst Akteneinsicht und prüfe anschließend insbesondere:
- Wem lassen sich Geräte und Benutzerkonten zuordnen?
- Beweist die IP-Adresse tatsächlich eine persönliche Nutzung?
- Wer verfügte über Passwort, SIM-Karte oder Zwei-Faktor-Zugang?
- Lag Vorsatz oder lediglich Unkenntnis vor?
- Welche Rolle soll der Beschuldigte innerhalb des Geschehens gespielt haben?
- Entstand ein konkreter Vermögensschaden?
- Waren Durchsuchung, Überwachung und Beschlagnahme rechtmäßig?
- Ist die Einziehung von Geld oder Geräten zulässig?
Bei umfangreichen digitalen Beweismitteln arbeite ich bei Bedarf mit IT-Sachverständigen und Analysten zusammen. Allerdings bleiben die rechtliche Bewertung und die Verteidigungsstrategie in meiner Hand.
Als Strafverteidiger bearbeite ich jedes Mandat persönlich. Wer eine Vorladung, einen Durchsuchungsbeschluss oder eine Anklageschrift wegen Phishing, Skimming, Identitätsdiebstahl oder Computerbetrug erhalten hat, sollte deshalb zunächst schweigen und frühzeitig die Ermittlungsakte prüfen lassen.