Bundesgerichtshof, Entscheidung vom 21.07.2015, Az. 1 StR 16/15

BUNDESGERICHTSHOF

BESCHLUSS
1
StR 16/15

vom
21. Juli
2015
in der Strafsache
gegen

wegen
[X.] u.a.

-
2
-
Der 1.
Strafsenat des [X.] hat am 21.
Juli
2015
gemäß §
349 Abs.
4 StPO
beschlossen:

1.
Auf die Revision des Angeklagten wird das Urteil des Land-geri[X.]s [X.] ([X.]) vom 29.
Oktober 2014 mit den Feststellungen aufgehoben.
2.
Die Sache wird zu neuer Verhandlung und Entscheidung, auch über die Kosten des Re[X.]smittels, an eine allgemeine Strafkammer des [X.] zurückverwiesen.

Gründe:
Das [X.] ([X.]) hat den Angeklagten wegen
Ausspä-hens von Daten in Tateinheit mit Datenveränderung sowie wegen [X.] in 18
Fällen jeweils [X.] mit Fälschung beweiserheblicher Daten zu einer Gesamtfreiheitsstrafe von drei Jahren verurteilt. Es hat zudem den Verfall der sichergestellten 86
Bitcoins und den Verfall von
Wertersatz in Höhe von 432.500
Euro sowie die Einziehung von im Einzelnen näher bezeichneter Computerhardware nebst Zubehör angeordnet.
Gegen diese Verurteilung wendet sich der Angeklagte mit der ni[X.] nä-her ausgeführten Sachrüge. Seine Revision hat in vollem Umfang Erfolg (§
349 Abs.
4 StPO).
1
2
-
3
-
I.
Das [X.] hat u.a. folgende Feststellungen und Wertungen ge-troffen:
1.
Anfang des Jahres 2012 schloss sich der Angeklagte mit dem (nach Abtrennung des Verfahrens) anderweitig verurteilten Heranwachsenden R.

zusammen, um ein sog. Botnetzwerk -
d.h. ein der Ressourcengewinnung die-nendes Netzwerk jeweils missbräuchlich durch automatisierte Computerpro-gramme zusammengeschlossener Rechner
-
aufzubauen und dieses dann ebenfalls missbräuchlich zum Generieren von Bitcoins zu nutzen. Zu diesem Zweck entwickelte er gemeinsam mit
dem gesondert Verurteilten R.

eine spezielle Schadsoftware, die unerkannt über das [X.] -
ein selbständig ne-ben dem [X.] bestehendes Netzwerk, welches überwiegend zum Download illegal gefertigter Kopien von Filmen oder Musikdateien genutzt wird
-
verbreitet werden sollte. Der Angeklagte stellte zu diesem Zweck im Zeitraum vom 1.
Januar 2012 bis zum 4.
Oktober 2013 diverse Dateien im [X.] zum [X.] bereit. An diese war die programmierte Schadsoftware für den Anwender ni[X.] wahrnehmbar angekoppelt, die sich nach dem Download einer infizierten Datei automatisch auf dem betroffenen Computer installierte. Die Schadsoft-ware, ein [X.], war für die Betriebssysteme ab Windows
XP bis Windows
7 bestimmt

aktiviert haben, um derartige

3). Diesm-

3) und das jeweilige Betriebssystem des Computers verändert. An späterer Stelle in den Urteilsgründen findet sich die Feststellung, dass in [X.] erkannt

4). Detaillierte Feststellungen zu den auf den betroffenen [X.] installierten Schutzprogrammen hat das [X.] ni[X.], auch ni[X.] 3
4
-
4
-
exemplarisch, getroffen. Die Schadsoftware führte dazu, dass jede Eingabe an dem infizierten
Rechnersystem, darunter Zugangsdaten zu diversen Accounts nebst Passwörtern, an eine von dem Angeklagten und R.

eingeri[X.]ete
Datenbank übertragen wurde. Sie hatte außerdem die Eigenschaft, bei einer Inaktivität ab 120
Sekunden die Rechenleistung des
Computers für die Lösung komplexer Rechenaufgaben zu nutzen, wofür dem Angeklagten und R.

Bitcoins gutgeschrieben werden konnten (Ziffer
II.1. der Urteilsgründe).
2.
Im Zeitraum zwischen dem 19.
November 2012 und dem 17.
März 2013 mietete der Angeklagte oder von ihm beauftr18
Fällen aufgrund jeweils neuen Tatentschlusses für den Betrieb ihres Netz-werks und die Verbreitung der Schadsoftware unter missbräuchlicher Verwen-dung zuvor ausgespähter Personaldaten Server an. Die Freischaltung der Ser-ver erfolgte nach Übermittlung der Zugangsdaten automatisiert. Der Angeklagte wollte eine Zurückverfolgbarkeit von Datenströmen zu ihm ausschließen und sich die durch den jeweiligen Vertragsschluss anfallenden Anschluss-
und [X.] ersparen. Dies gelang ihm durch die Verwendung ausgespäh-ter Daten, wodurch den Anbietern jeweils ein entsprechender Schaden, insge-samt in einer Größenordnung von 7.000
Euro, entstand (Ziffer
II.2. der Urteils-gründe).
II.
Die Rüge der Verletzung materiellen Re[X.]s greift insgesamt durch.
1.
Die Verurteilung wegen
Ausspähens von Daten in Tateinheit mit
Datenveränderung (Ziffer
II.1.
der Urteilsgründe) hält re[X.]licher Nachprüfung ni[X.] stand; der Schuldspruch wird von den getroffenen Feststellungen ni[X.] getragen.
5
6
7
-
5
-
Die Feststellungen sind teilweise lückenhaft und weisen zudem einen in-neren, auch durch den Gesamtzusammenhang der Urteilsgründe ni[X.] auflös-baren Widerspruch auf. Sie belegen ni[X.] hinreichend, dass der Angeklagte jeweils eine Zugangssicherung überwunden hat, die für die Erfüllung des Straf-tatbestands des §
202a Abs.
1 StGB erforderlich ist. Denn der Schutzbereich dieser Strafvorschrift erstreckt sich nur auf Daten, die gegen unbere[X.]igten Zugang besonders gesichert sind. Dies sind nur
solche, bei denen der Ver-fügungsbere[X.]igte durch seine Sicherung sein Interesse an der [X.] dokumentiert hat (vgl. [X.], Beschluss
vom 6.
Juli 2010

4
StR
555/09, [X.], 154).
Die Zugangssicherung im Sinne von §
202a Abs.
1 StGB muss darauf angelegt sein, den Zugriff Dritter auf die Daten auszuschließen oder wenigstens ni[X.] unerheblich zu erschweren (vgl. [X.], Beschluss
vom 6.
Juli 2010

4
StR 555/09, [X.], 154; LK-StGB/[X.],
StGB,
§
202a Rn.
30; [X.]/[X.],
StGB,
§
202a Rn.
35; [X.],
[X.] 2012, 129, 131). Darunter fallen insbesondere Schutzprogramme, welche geeignet sind, unbe-re[X.]igten Zugriff auf die auf einem Computer abgelegten Daten zu verhindern, und die ni[X.] ohne fachspezifische Kenntnisse
überwunden werden können und den Täter zu einer Zugangsart zwingt, die der Verfügungsbere[X.]igte er-kennbar verhindern wollte (vgl. BT-Drucks.
16/3656 S.
10). Schließlich muss der Zugangsschutz auch gerade im Zeitpunkt der Tathandlung bestehen (vgl. [X.]/[X.],
StGB,
§
202a Rn.
20).
Ob diese Voraussetzungen in den der Verurteilung zugrunde liegenden Fällen gegeben sind, vermag der Senat anhand der unvollständigen [X.] ni[X.] abschließend zu beurteilen. Zugleich kann ni[X.] ausge-schlossen werden, dass das [X.] der vorgenommenen Re[X.]sanwen-8
9
10
-
6
-
dung, die ni[X.] näher erläutert wird (UA S.
13), ein fehlerhaftes Verständnis zugrunde gelegt hat.
Es fehlt in den Urteilsgründen eine hinreichend genaue Darstellung der Wirkweise der von dem Angeklagten bereitgestellten Schadsoftware, welche die Benennung der im konkreten Einzelfall umgangenen Zugangssicherung erfasst. Der pauschale Verweis auf deren Bestehen rei[X.] dafür ohne nähere Darlegung ni[X.] aus, denn eine revisionsgeri[X.]liche Kontrolle der eingangs genannten Voraussetzungen ist nur auf der Grundlage einer ausreichend
deskriptiven Darlegung der konkreten tatsächlichen und technischen Umstände möglich. Die insoweit bestehende Lücke lässt sich durch die Feststellungen auch in ihrer Gesamtheit ni[X.] schließen.
Hinzu kommt, dass das [X.] zwischen den Begrifflichkeiten der Firewall und des [X.] ni[X.] erkennbar differenziert hat, wodurch unklar bleibt, ob es die technischen Voraussetzungen der Zugangs-sicherung in tatsächlicher Hinsi[X.] zutreffend bewertet hat. Während es [X.] nämlich darauf abstellt, der [X.] sei so konzipiert gewesen, die
vorinstallierte Firewall bestimmter Betriebssysteme zu umgehen (UA S.
3), [X.] sich im Widerspruch dazu an späterer Stelle der Urteilsgründe die Feststel-lung und Wertung, die vom Angeklagten bereitgestellte Schadsoftware sei durch die Virenprogramme der 327.379
Nutzer ni[X.] erkannt worden (UA S.
4). Unter Zugrundelegung der zu der Schadsoftware zuletzt getroffenen Feststel-lungen
käme eine Firewall als tatbestandsmäßige Schutzvorri[X.]ung bereits dem
Grunde nach ni[X.] in Betra[X.].
Die aufgezeigten Mängel haben die Aufhebung auch der [X.] angenommenen Datenveränderung gemäß §
303a Abs.
1 StGB zur Folge (§
353 Abs.
1 StPO;
vgl. [X.], Urteil vom 20.
Februar 1997

4
StR
642/96, 11
12
13
-
7
-
[X.]R
StPO § 353
Aufhebung
1; Beschluss vom 2.
Juli 2015

2
StR
134/15). Ob sich der Tatbestand -
wofür einiges spri[X.]
-
auch auf Programmdaten wie hier die Registrierung der von der Schadsoftware befallenen Computer er-streckt, brau[X.] der Senat deshalb ni[X.] zu entscheiden.
2.
Auch die tatmehrheitlich erfolgte Verurteilung des Angeklagten wegen [X.] in 18
Fällen (§
263a Abs.
1 Var.
3 StGB) in Tateinheit mit Fälschung beweiserheblicher Daten gemäß §
269 Abs.
1 StGB (Ziffer
II.2.
der Urteilsgründe) hat keinen Bestand.
Schon auf der Grundlage der bisher getroffenen Feststellungen besorgt der Senat, dass das [X.] das konkurrenzre[X.]liche Verhältnis des [X.] (in Tateinheit mit Datenveränderung) zu dem Tatbestand der Fälschung beweiserheblicher Daten (§
269 StGB) ni[X.] zutreffend bewertet hat. Das [X.] hat ni[X.] erkennbar beda[X.], dass sich die betroffenen Tatzeiträume vom 1.
Januar 2012 bis zum 17.
März 2013 überschneiden. [X.] von den konkreten Umständen des Handlungs-
und Tatablaufs kann dies die Annahme von Tateinheit (§
52 Abs.
1 StGB) zur Folge haben (vgl. auch Fischer, StGB, 62.
Aufl., Rn.
12 zu §
269 und Rn.
18 zu §
303a). Da nach den Feststellungen nahe liegt, dass die 18 unter Ziffer
II.2.
der Urteilsgründe namentlich benannten Computernutzer bereits zu den 327.379
Geschädigten aus Ziffer
II.1.
zählen und Feststellungen zum Vorliegen möglicherweise auto-matisierter technischer Abläufe fehlen, kann der Senat eine (Teil-)Über-schneidung von [X.] und damit einer einheitlichen Tat im Re[X.]ssinne jedenfalls ni[X.] sicher ausschließen.
Die dargelegten Re[X.]sfehler führen insgesamt zur Aufhebung des
Urteils. Aufgrund des aufgezeigten Widerspruches und um dem neuen Tatrich-14
15
16
-
8
-
ter zu ermöglichen, umfassend stimmige eigene Feststellungen treffen zu [X.], waren auch die Feststellungen aufzuheben (§
353 Abs.
2 StPO).
III.
Das neue Tatgeri[X.] wird Gelegenheit haben, sich mit den Handlungsab-läufen in technischer und zeitlicher Hinsi[X.] umfassender als bislang auseinan-derzusetzen. Erst die hinreichend genaue Feststellung der technischen Gege-benheiten ermögli[X.] die strafre[X.]liche Bewertung der in Frage kommenden
-
als solche bereits zutreffend erkannten
-
Straftatbestände.
Die Sache war an eine allgemeine Strafkammer und ni[X.] an eine
[X.] zurückzuverweisen, weil sich das weitere Verfahren nur noch gegen den Erwachsenen ri[X.]et (vgl. u.a.
[X.], Urteil vom 28. April 1988
-
4 StR 33/88,
[X.]St
35, 267
f.).
Raum
Rothfuß
[X.]

Cirener
Radtke
17
18