Cybercrime: Illegales Crypto-Mining ist strafbar und kann teuer werden – Einziehung von Bitcoins

Die Kehrseite von Cybercrime sind zivilrechtliche Forderungen – Straftäter können hier schnell erheblich belastet sein. Beim illegalen Crypto-Mining erscheint das auf den ersten Blick schwer – hier geht es darum, dass unbemerkt Rechner von Opfern genutzt werden, um beispielsweise Bitcoins zu schürfen. Dabei einen Schaden zu beziffern ist recht schwer: Rechnerzeit, verbrauchter Strom … wie will man das beziffern? Es scheint so, als würde man hier am Ende seinen Erlös behalten können. Doch weit gefehlt, Der Bundesgerichtshof macht deutlich, dass derart erlangte Bitcoins einzuziehen sind.

Hinweis: Der BGH hatte die Sache nach alter Rechtslage zu beurteilen, weswegen hier noch vom Verfall die Rede ist. Heute wurde der Begriff im neuen §73 StGB reformiert und man spricht einheitlich von einer Einziehung, hier “Einziehung von Taterträgen”. Inhaltlich sind die Ausführungen des BGH aus meiner Sicht auch auf das neue Recht zu übertragen.

Illegales Crypto-Mining durch Malware ist strafbar

Zumindest grundsätzlich gab es immer wieder Diskussionen zur Frage, inwieweit ein illegales Crypto-Mining durch Malware überhaupt strafbar sein könne. Im Kern kann man es hier kurz machen, da in jedem Fall §303a StGB einschlägig sein wird. Nach dieser Norm macht sich derjenige strafbar, der rechtswidrig Daten “löscht, unterdrückt, unbrauchbar macht oder verändert”. Durch diese Vorschrift wird das Interesse des Verfügungsberechtigten an der “unversehrten Verwendbarkeit der gespeicherten oder übermittelten Daten” geschützt (so der BGH).

Da die Malware Veränderungen auf dem System vornehmen muss – zumindest um automatisch gestartet zu werden – reicht dies für eine Strafbarkeit, selbst wenn nur in der Registry eines Windows-Systems geschrieben wird:

Der Angeklagte und seine Mittäter haben vorliegend durch den Eingriff in die Registry-Dateien und der Datei nt.user.dat der geschädigten Computersysteme Daten im Sinne des § 303a Abs. 1 StGB verändert (…) Durch das Hinzufügen der Einträge in der Registry-Datei und die damit verbundene Veränderung des in der Datei nt.user.dat hinterlegten Benutzerprofils, ist eine solche Funktionsbeeinträchtigung der Daten eingetreten. Denn die Schadsoftware startete beim Hochfahren des Rechners automatisch, ohne dass der Computernutzer hiervon Kenntnis bekam.

BGH, 1 StR 412/16

Es spielt mithin keine Rolle, ob Bitcoins unmittelbar auf dem Rechner erzeugt werden, (teilweise) dort gespeichert werden etc. – bereits der Einsatz der Malware als solche ist strafbar.

Bitcoins als Tatertrag

Hintergrund ist, dass Taterlöse, also das was aus einer Straftat erlangt ist, einzuziehen sind (bis zur Reform der Einziehung in der StPO sprach man noch von “Verfall”). Fraglich ist dabei alleine, ob derart generierte Bitcoins “aus der Tat erlangt” wurden. Dies macht der BGH kurz und stellt klar, dass es sich hier natürlich um Taterträge handelt:

Die mittels des Botnetzes generierten Bitcoins sind im Sinne des § 73 Abs. 1 Satz 1 aF StGB aus der Tat erlangt. Aus der Tat sind danach alle Ver- mögenswerte erlangt, die dem Täter unmittelbar aus der Verwirklichung des Tatbestandes selbst in irgendeiner Phase des Tatablaufs zufließen (…) Durch die Datenveränderung wurde auf dem betroffenen Computersys- tem eine Verbindung zum Command-and-Control-Server über das Internet her- gestellt, die vor dem Eingriff durch die Schadsoftware nicht stattgefunden hätte und auch nicht möglich gewesen wäre. Diese Internetverbindung wurde ge- nutzt, um nach 120 Sekunden Inaktivität durch den Computersystemnutzer die Rechnerleistung von dessen Grafikkarte für die Rechenoperationen zu nutzen, die dem Schürfen der Bitcoins dienten. Durch die Nutzung der Rechenleistung erwarb der Angeklagte auch nicht lediglich eine Chance zum Schürfen von Bit- coins, die er erst später realisierte (…) Vielmehr flossen ihm die 1.816 Bit- coins ohne jeden weiteren Zwischenschritt, mithin unmittelbar durch die – während der Nutzung der fremden Rechnerkapazitäten – andauernde Verwirkli- chung des Tatbestandes der Datenveränderung gemäß § 303a Abs. 1 StGB zu.

Erlangtes Etwas im Sinne der vorgenannten Vorschrift ist die Gesamtheit des materiell aus der Tat tatsächlich Erlangten (…) Hiervon werden – ungeachtet ihrer Rechtsnatur – auch Bitcoins erfasst. Sie stellen angesichts ihres Marktwertes einen realisierbaren Vermögenswert dar, für den der Angeklagte sowohl materiell Berechtigter ist als auch die faktische Verfügungsgewalt (…) hat (…)

BGH, 1 StR 412/16

Bitcoins sind hinreichend abgrenzbar

Fraglich ist gerade hinsichtlich der Tenorierung, ob Bitcoins überhaupt hinreichend als Vermögenswert abgegrenzt werden können – auch hiermit hat der BGH keine ernsthaften Probleme:

Sie sind angesichts der Speicherung in der Blockchain und der Kombination aus öffentlichen und dem Angeklagten bekannten privaten Schlüssel der Wallet hinreichend abgrenzbar (…) und damit tauglicher, wenn auch nicht körperlicher Gegenstand einer Verfallsanordnung (…). Soweit dagegen geltend gemacht wird, Bitcoins könnten allein deswegen kein Verfallsgegenstand sein, da sie weder Sache noch Recht seien und deswegen der Wortlaut des § 73e aF StGB auf sie nicht anwendbar sei (…), kann dem nicht gefolgt werden. Die Vorschrift des § 73 Abs. 1 Satz 1 aF StGB enthält gerade keine solche Begrenzung auf Sachen oder Rechte (Fischer, StGB, 64. Aufl., § 73 aF Rn. 9; Heine aaO; Spindler/Bille aaO; vgl. auch BT-Drucks. 12/989, S. 23). § 73e aF StGB kommt demgegenüber keine einschränkende Wirkung zu.

BGH, 1 StR 412/16

Dieser Punkt ist Wichtig, denn man könnte auf die Idee kommen, ob nicht eher im Zuge eines Wertersatzes (§73c StGB) schlicht der rechnerische Wert der Bitcoins einzuziehen ist. Das hätte erhebliche Nachteile, insbesondere weil Bitcoins ständigen Schwankungen ausgesetzt sind. Dadurch, dass die Bitcoins als abgrenzbarer Vermögenswert für sich eingezogen werden ist dies nicht nur “sauberer”, da auf den unmittelbaren Tatertrag zurückgegriffen wird, sondern auch “fairer”, da auf dem Weg eine Verwertung zum realen Wert sicher gestellt ist. Noch im ersten Durchgang (die erste Entscheidung des LG wurde im Vorhinein schon einmal aufgehoben) hatte man übrigens noch den Verfall von Wertersatz angeordnet.

Schlüssel nicht bekannt – irrelevant

Ganz gleichgültig ist dem BGH, ob der private Schlüssel (den Behörden) bekannt ist – hier möchte der BGH kein Fass aufmachen und vielmehr einfach der Vollstreckung (erfolgt durch die StA) die Problematik überlassen:

Ob der private Schlüssel für die Wallet den Ermittlungsbehörden be- kannt ist, hat auf die Möglichkeit der Anordnung des Verfalls keine Auswirkung. Die Kenntnis dieses Schlüssels ist zwar Voraussetzung, um die faktische Verfügungsgewalt über die Bitcoins zu übernehmen. Dies betrifft aber allein die Vollstreckung der Verfallsentscheidung, lässt hingegen die Anordnung des Verfalls unberührt (…). Soweit der private Schlüssel zum Zeitpunkt der Entscheidung über den Verfall nicht bekannt ist, ist für die Vollstreckung der Anordnung des Verfalls die Mitwirkung des Angeklagten erforderlich. Ob diese erfolgt, kann bei der Entscheidung nicht beurteilt werden, weswegen es für die Anordnungsvoraussetzungen darauf nicht ankommen kann. Es handelt sich vielmehr um eine reine Vollstreckungsfrage.

BGH, 1 StR 412/16

Bitcoins – Teuer im Strafverfahren

Bitcoins können teuer werden als Tatgut, ich kenne sie im Cybercrime vorwiegend im Bereich digitaler Erpressung. Mit der nunmehr neuen Rechtslage sind sie vollständig einzuziehen; während nach alter Rechtslage noch zu berücksichtigen war, ob Betroffene sich beim Täter selber schadlos halten können spielt dies nun gar keine Rolle mehr. Dabei werden fachkundige Strafverfolgungsbehörden bereits im Ermittlungsverfahren die Bitcoins versuchen zu verwerten. Und heute können Tatopfer, die Ihren Schaden beziffern können, über die Staatsanwaltschaft versuchen hinsichtlich eingezogener Werte sich gütlich zu halten.

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht.