Computerbetrug (§ 263a StGB): Tatbestand, Strafrahmen, Verteidigung

Computerbetrug nach § 263a StGB begeht, wer das Ergebnis eines Datenverarbeitungsvorgangs beeinflusst und dadurch das Vermögen eines anderen schädigt, um sich oder einem Dritten einen rechtswidrigen Vermögensvorteil zu verschaffen. Die Vorschrift schließt die Lücke, die § 263 StGB lässt: Betrug setzt einen getäuschten Menschen voraus; wo eine Maschine „entscheidet”, greift § 263a. Strafrahmen: Freiheitsstrafe bis zu fünf Jahren oder Geldstrafe, in besonders schweren Fällen bis zu zehn Jahren. Der Versuch ist strafbar.

Die vier Tathandlungen

§ 263a Absatz 1 StGB nennt vier Wege, auf denen das Ergebnis der Datenverarbeitung beeinflusst werden kann:

Unrichtige Gestaltung des Programms — der Code selbst wird so verändert, dass er falsche Ergebnisse liefert, etwa eine Buchungslogik, die Beträge umleitet.
Verwendung unrichtiger oder unvollständiger Daten — falsche Angaben werden in ein System eingegeben, das sie ungeprüft verarbeitet, etwa erfundene Rechnungsdaten in einem automatisierten Zahlungslauf.
Unbefugte Verwendung von Daten — die in der Praxis wichtigste Variante: richtige Daten werden von jemandem benutzt, der dazu nicht berechtigt ist. Fremde Zugangsdaten beim Online-Banking, eine fremde Kartennummer im Online-Shop, die abgefangene TAN.
Sonstige unbefugte Einwirkung auf den Ablauf — der Auffangtatbestand für Manipulationen, die sich den ersten drei Varianten nicht zuordnen lassen.

Bei der dritten Variante legt die Rechtsprechung das Merkmal „unbefugt” betrugsspezifisch aus: Die Verwendung ist nur dann tatbestandsmäßig, wenn sie gegenüber einem gedachten Menschen eine Täuschung wäre. Wer eine fremde Karte mit der richtigen PIN am Automaten einsetzt, täuscht über seine Berechtigung; wer mit seiner eigenen Karte das Konto überzieht, täuscht niemanden, auch wenn die Bank das nicht wollte. Diese Abgrenzung entscheidet viele Verfahren.

Vermögensschaden und Vorsatz

Wie beim Betrug muss ein Vermögensschaden eintreten, und zwar unmittelbar durch den Verarbeitungsvorgang, nicht erst durch eine spätere Handlung. Eine bloße Gefährdung genügt nur, wenn sie wirtschaftlich schon einem Verlust gleichkommt. Erforderlich ist außerdem Vorsatz auf alle Merkmale und die Absicht, sich oder einem Dritten einen rechtswidrigen Vermögensvorteil zu verschaffen. Wer glaubt, zur Nutzung berechtigt zu sein — etwa weil der Kontoinhaber die Zugangsdaten früher selbst überlassen hat —, handelt möglicherweise ohne Vorsatz. Solche Konstellationen sind im Familien- und Beziehungsumfeld häufig.

Typische Fallgruppen

Online-Banking mit fremden Zugangsdaten, meist nach Phishing: Die Verwendung der erbeuteten Daten ist Computerbetrug; das vorangegangene Abfangen kann zusätzlich §§ 202a, 202b StGB erfüllen.
Fremde Kartendaten im Online-Handel: Variante 3; der Schaden liegt bei Händler oder Kartenherausgeber, nicht zwingend beim Karteninhaber.
Geldautomat mit entwendeter Karte und PIN: nach der Rechtsprechung Computerbetrug, nicht Diebstahl des Geldes.
Manipulierte Bestell- oder Gutscheinlogik, etwa das mehrfache Einlösen eines Einmalcodes durch Ausnutzen eines Programmfehlers: Streitig ist, ob eine Täuschung vorliegt oder nur ein Fehler ausgenutzt wird; hier lohnt die technische Analyse.
Finanzagenten, die ihr Konto für den Empfang und die Weiterleitung erbeuteter Gelder zur Verfügung stellen: Oft nicht Täter des Computerbetrugs, aber Beschuldigte wegen Geldwäsche (§ 261 StGB) oder Beihilfe.

Strafrahmen und besonders schwere Fälle

Der Grundtatbestand reicht bis zu fünf Jahren Freiheitsstrafe. Über § 263a Absatz 2 gelten die Regelbeispiele des Betrugs: gewerbsmäßiges Handeln, Handeln als Mitglied einer Bande, ein Vermögensverlust großen Ausmaßes (nach der Rechtsprechung ab etwa 50.000 Euro) oder die Absicht, eine große Zahl von Menschen zu schädigen. Dann droht Freiheitsstrafe von sechs Monaten bis zu zehn Jahren. Gewerbsmäßigkeit wird schnell angenommen, wenn mehrere Taten über einen Zeitraum nachweisbar sind.

Zwei Nebenfolgen prägen die Praxis oft mehr als die Strafe: die Einziehung des Erlangten (§§ 73 ff. StGB), die auch den Wertersatz erfasst und gegen das gesamte Vermögen vollstreckt werden kann, und zivilrechtliche Rückforderungen der Geschädigten.

Bei geringwertigen Schäden und unter Angehörigen gelten über § 263a Absatz 2 die Antragserfordernisse der §§ 247, 248a StGB; ansonsten ist Computerbetrug ein Offizialdelikt, das ohne Strafantrag verfolgt wird. § 263a Absatz 3 stellt zusätzlich die Vorbereitung unter Strafe, etwa das Herstellen oder Verschaffen von Programmen, die zum Computerbetrug bestimmt sind.

Woran die Verteidigung ansetzt

Zurechnung. Die Ermittlungen stützen sich auf technische Spuren: IP-Adressen, Geräte-Kennungen, Zahlungsempfänger, Lieferadressen, Kontobewegungen. Jede dieser Spuren belegt zunächst nur ein Gerät, einen Anschluss oder ein Konto, nicht die Person am Bildschirm. Gerade bei Konten, die von mehreren genutzt werden, oder bei kompromittierten Geräten ist die Zuordnung die erste Frage.

Täuschungsäquivalenz. Ob die Verwendung der Daten „unbefugt” im Sinne des Tatbestands war, ist eine Rechtsfrage, die in den Ermittlungsakten häufig nicht gestellt wird. Das Ausnutzen von Fehlern in der Software ist nicht automatisch Computerbetrug.

Schaden und Vorteil. Höhe und Zeitpunkt des Schadens bestimmen Strafrahmen und Einziehung. Rückbuchungen, Versicherungsleistungen und Teilrückzahlungen müssen sauber abgebildet sein.

Verfahren. Bei Ersttätern und überschaubaren Beträgen kommen Einstellungen nach §§ 153, 153a StPO in Betracht; Schadenswiedergutmachung wirkt sich erheblich aus. Vor jeder Einlassung steht die Akteneinsicht (§ 147 StPO): Erst sie zeigt, welche Spuren die Ermittler haben und welche nicht.

Kurzfassung

§ 263a StGB erfasst die Manipulation automatisierter Abläufe zum Vermögensnachteil anderer, am häufigsten durch unbefugte Verwendung fremder Zugangs- oder Kartendaten. Strafrahmen bis fünf Jahre, bei Gewerbsmäßigkeit oder Bande bis zehn Jahre, Versuch strafbar, Einziehung des Erlangten. Verteidigung heißt: Zurechnung prüfen, Täuschungsäquivalenz prüfen, Schaden beziffern, nicht vor der Akteneinsicht reden.

Dieser Beitrag unterrichtet allgemein über die Rechtslage und ersetzt keine Beratung im Einzelfall.