Cybercrime

Landgericht Ravensburg: Nutzung von Fingerabdrücken zur Entsperrung beschlagnahmter Mobiltelefone ist rechtmäßig

Landgericht Ravensburg: Nutzung von Fingerabdrücken zur Entsperrung beschlagnahmter Mobiltelefone ist rechtmäßig

Das Landgericht Ravensburg hat mit Beschluss vom 14. Februar 2023 (Az. 2 Qs 9/23 jug, hier abrufbar bei Burhoff) bestätigt, dass die Beschlagnahme des Mobiltelefons des Beschuldigten sowie die Abnahme und Nutzung seiner Fingerabdrücke zum Entsperren des Telefons rechtmäßig sind.

Der Beschuldigte wird eines Verstoßes gegen das Betäubungsmittelgesetz verdächtigt, insbesondere der Anstiftung zur unerlaubten Einfuhr von Betäubungsmitteln in nicht geringer Menge und des versuchten unerlaubten Erwerbs von Betäubungsmitteln. Im Rahmen der Ermittlungen wurde sein Zimmer durchsucht und sein Mobiltelefon beschlagnahmt.

Gegen den Beschluss des Amtsgerichts Ravensburg legte der Beschuldigte Beschwerde ein, insbesondere gegen die Anordnung zur Abnahme und Nutzung seiner Fingerabdrücke zum Entsperren seines Telefons. Das Landgericht entschied jedoch, dass die Beschwerde unbegründet ist.

In seiner Begründung stellte das Gericht fest, dass die Voraussetzungen des § 81b Abs. 1 gegeben sind. Die angeordneten Maßnahmen sind von der einschlägigen Ermächtigungsgrundlage gedeckt und verhältnismäßig. Die Anordnung zur Abnahme von Fingerabdrücken des Beschuldigten auch gegen seinen Willen und die Anordnung zur Nutzung der hieraus resultierenden biometrischen Daten für Zwecke der Entsperrung des Mobiltelefons finden ihre Grundlage in § 81b Abs. 1 StPO.

Im Wortlaut heißt es:

Durch die offene Formulierung wird erreicht, dass sich der statische Gesetzeswortlaut an den jeweiligen Stand der Technik anpasst (vgl. Rottmeier/Eckel, NStZ 2020, S. 193 (194)). Mit der „technikoffenen“ Formulierung hat der Gesetzgeber zum Ausdruck gebracht, dass auch solche Maßnahmen gedeckt sind, die dem gesetzlichen Leitbild der Abnahme und Verwendung von äußeren körperlichen Beschaffenheitsmerkmalen zu Identifizierungs- oder Tat nachweiszwecken entsprechen (vgl. Rottrneier/Eckel, NStZ 2020, S. 193 (195)). Im weiteren Sinn kommt der Nutzung der festgestellten Fingerabdrücke zum Entsperren eines Mobiltelefons auch eine Identifizierungsfunktion zu (vgl. ebenda).

Landgericht Ravensburg, 2 Qs 9/23 jug

Das Gericht betonte, dass die Abnahme und Verwendung von Fingerabdrücken zum Entsperren des Mobiltelefons notwendig und mithin verhältnismäßig ist. Insbesondere bleibt das Grundrecht des Beschuldigten auf informationelle Selbstbestimmung hinter dem Interesse der Allgemeinheit an einer effektiven Strafrechtspflege zurück.

Die Identifizierungsfunktion wird hier im Unterschied zum klassischen Fall des § 81b StPO allerdings nicht unmittelbar zum Führen eines Tatnachweises verwendet, sondern als Zwischenziel zur Erlangung der für den Nachweis erforderlichen gespeicherten Daten. Inwieweit die Maßnahme notwendig für das Strafverfahren ist, ist eine Frage der noch zu thematisierenden Verhältnismäßigkeit. Die Verwendung von biometrischen Körpermerkmalen zur Entschlüsselung von Daten durch einen Abgleich mit den im Endgerät hinterlegten Schlüsselmerkmalen ist deshalb auch vom Wortlaut umfasst (vgl. ebenda; LG Baden-Baden Beschluss vom 26. November 2019 – 2 Qs 147/19; Goers in: BeckOK StPO, 46. Edition, 01.01.2023, § 81b Rn. 4.1).

Bei der Abwägung ist zu berücksichtigen, dass die Speicherung der Fingerabdrücke von nur kurzer Dauer ist und der Zweck der Maßnahme mit dem Entsperren des Mobiltelefons erreicht ist. Zudem ist zu beachten, dass es sich um eine offene Ermittlungsmaßnahme handelt und der Beschuldigte eine Tat vorgeworfen wird, die die Grenze eines Bagatelldelikts deutlich übersteigt.

Anmerkung:

Die Entscheidung behandelt die rechtliche Frage der biometrischen Entsperrung von Daten im Strafverfahren. Gemäß § 81b StPO ist es zulässig, Lichtbilder, Fingerabdrücke und ähnliche Maßnahmen beim Beschuldigten aufzunehmen, entweder zum Zweck des Strafverfahrens oder des Erkennungsdienstes. Der Beschuldigte muss nicht aktiv daran mitwirken, aber zwangsweise durchgeführte Maßnahmen dulden. Es ist jedoch umstritten, ob § 81b StPO auch zur Entsperrung biometrischer Verschlüsselungen verwendet werden kann. Die Ansichten in der Literatur sind geteilt. Der Normtext selbst bezieht sich eindeutig nicht auf biometrische Entschlüsselungsversuche. Einige argumentieren, dass § 81b StPO für die Entsperrung verwendet werden kann (so vertreten von Rottmeier/Eckel NStZ 2020, 193 (195 f.), während andere dies ablehnen (Nadeborn/Irscheid StraFo 2019, 274f.; Neuhaus, StV 7/2020, 489f.; Grzesiek/Zühlke, StV-S 3/2021, 117f.). Das Hauptziel der Norm ist die Identifizierung des Beschuldigten für die weitere Verwendung im Strafverfahren. Es ist jedoch fraglich, wie diese weitere Verwendung im Verfahren gestaltet werden kann und ob sie auch bei informationstechnischen Systemsperren relevant ist.

Obwohl das strafrechtliche Analogieverbot im Strafprozessrecht möglicherweise nicht gilt (umstr.), ist der Anwendungsbereich von § 81b StPO nicht eröffnet, da er ein anderes Ziel verfolgt. Auch wenn die nach § 81b StPO gestattete Entnahme von Fingerabdrücken eine scheinbare Nähe aufweist, ist zu bemängeln, dass die Fingerabdrücke zur Identifizierung des Beschuldigten und nicht zum Zugriff auf Daten erhoben werden. Es handelt sich um eine zweistufige Maßnahme, bei der das Gerät im ersten Schritt entschlüsselt wird und dann in einem zweiten Schritt auf die entsperrten Daten zugegriffen wird. Die klare Unterscheidung zwischen Identifikationsmaßnahmen und Beweissicherungsmaßnahmen ist ein zwingendes Erfordernis des Strafprozessrechts. Die nun entschlüsselten Daten dürfen nicht wie von vornherein unverschlüsselte Daten behandelt werden, da dies die betroffenen Rechtsgüter und Grundrechtspositionen nicht berücksichtigt.

Aus hiesiger Sicht fehlt es de lege lata weiterhin an einer Rechtsgrundlage für die zwangsweise biometrische Entsperrung; insbesondere § 81b StPO ermächtigt die Ermittlungspersonen nicht zum Auflegen des Fingers auf einen Fingerabdruckscanner unter Anwendung von unmittelbarem Zwang.

Posted by Dr. Mathias Grzesiek in Cybercrime, IT-Strafrecht, Rechtsprechung
Rechtliche Voraussetzungen und praktische Umsetzbarkeit der Einziehung von Kryptowährungen im Strafverfahren

Rechtliche Voraussetzungen und praktische Umsetzbarkeit der Einziehung von Kryptowährungen im Strafverfahren

„Crime must not pay.“[1] Aus diesem Grund sollen rechtswidrig erlangte Vermögensvorteile nach den §§ 73 ff. StGB abgeschöpft werden. Doch lohnen sich Straftaten eventuell doch, wenn nicht Geld, sondern Kryptowährungen erlangt werden? Unterliegen Kryptowährungen überhaupt der Einziehung nach den §§ 73 ff. StGB und selbst wenn, können diese überhaupt eingezogen werden? Diese Fragen werden in dem folgenden Beitrag beantwortet. Dazu soll zunächst die Funktionsweise von Kryptowährungen anhand von Bitcoin untersucht und anschließend mit anderen gängigen Kryptowährungen verglichen werden. Nachdem eine rechtliche Einordnung von Kryptowährungen erfolgt ist, wird schwerpunktmäßig die Frage beantwortet, ob diese den §§ 73 ff. StGB unterfallen. Dabei werden insbesondere die mit der Einziehung von Kryptowährungen verbundenen (praktischen) Probleme herausgearbeitet. Weiterhin wird untersucht, welche Vorschriften diese aktuell am besten lösen. Abschließend werden Vorschläge für etwaige Gesetzesänderungen vorgestellt.

Mittlerweile gibt es ungefähr 5.000[2] verschiedene Kryptowährungen.[3] Die wohl bekannteste und, gemessen an der Marktkapitalisierung, bedeutendste Kryptowährung ist der Bitcoin.[4] Daher wird deren Funktionsweise zunächst am Beispiel von Bitcoin erläutert. Anschließend erfolgt ein Vergleich der Funktionsweise mit anderen gängigen Kryptowährungen.

Die Funktionsweise von Kryptowährungen am Beispiel des Bitcoin

Bei Bitcoin handelt es sich um eine dezentrale virtuelle Kryptowährung. Es gibt somit keinen zentralen Server und auch keine zentrale Aufsichtsinstitution.[5] Dies stellt einen gravierenden Unterschied zum herkömmlichen Bankverkehr dar, bei dem die Bank zwischen Absender und Empfänger zwischengeschaltet ist und die Integrität der Zahlung garantiert.[6] Es gibt zwei Möglichkeiten, Bitcoins (Währungseinheit BTC) zu erhalten. Einerseits können sie durch Transaktionen von anderen Bitcoin-Adressen erlangt werden, andererseits besteht auch die Möglichkeit, durch sogenanntes Mining[7] Bitcoins selbst zu generieren.[8]

Bei Transaktionen werden bestehende Bitcoin-Werteinheiten und keine Münzen übertragen. Das eigene Guthaben besteht nicht aus Münzen, sondern aus erlangten Transaktionen, die selbst noch nicht verwendet wurden, dem sogenannten unspent transaction output.[9] Dem entsprechend werden bei einer Transaktion lediglich wertzuweisende Informationen geändert.[10] Hierfür muss der Übertragende eine Transaktionsanfrage erstellen, welche sowohl den Betrag als auch die Absende- und Empfänger-Bitcoin-Adresse enthält.[11] Mangels zentraler Aufsichtsinstitution erfolgt die Übermittlung der Daten mittels Kryptographie. Durch die Verwendung von Kryptographie kann zudem die Integrität von den übermittelten Informationen gewährleistet werden.[12]

Bei Bitcoin erfolgt die Kryptographie asymmetrisch. Dies bedeutet, dass ein Schlüsselpaar erzeugt wird, welches aus einem privaten und einem öffentlichen Schlüssel besteht, wobei den privaten Schlüssel nur dessen „Besitzer“ kennt. Im Gegensatz zur symmetrischen Kryptographie, verfügen Absender und Empfänger also nicht über einen gemeinsamen Schlüssel.[13]

Der private Schlüssel ist eine per Zufall generierte Zahl zwischen (einschließlich) 0 und (2256) -1.[14] Diese wird jedoch nicht im gewohnten Dezimal-, sondern im Hexadezimalsystem dargestellt. Letzteres besteht nicht aus zehn Ziffern, vielmehr aus 16 Zeichen, nämlich den Ziffern 0-9 und den Buchstaben A-F (als 10, 11, 12, 13, 14, 15).[15] Somit kann ein privater Schlüssel folgendermaßen aussehen:[16]

1E99423A4ED27608A15A2616A2B0E9E52CED330AC530EDCC32C8FF C6A526AED

Der private Schlüssel steht mit dem öffentlichen Schlüssel in einem mathematischen Verhältnis.[17] So wird der öffentliche Schlüssel aus dem privaten Schlüssel berechnet. Theoretisch ist es somit auch möglich, den privaten Schlüssel aus dem öffentlichen Schlüssel zu berechnen. Hierfür müsste man jedoch alle zwei256 Kombinationen durchprobieren, sodass die Sicherheit des privaten Schlüssels praktisch gewährleistet ist.[18] Soll eine Transaktion erfolgen, so muss der Transferierende eine Transaktionsanfrage erstellen.[19] Diese wird sodann mit dem privaten Schlüssel unterzeichnet und somit verschlüsselt. Dadurch wird sichergestellt, dass die Transaktion nachträglich nicht verändert wird und vom Transferierenden stammt, da dieser der Einzige ist, der den privaten Schlüssel kennt.[20] Da der private Schlüssel demnach die Verfügungsgewalt über die eigenen Bitcoins gewährt, sollte dieser sicher aufbewahrt werden.[21] Aufgrund dessen ist es ratsam, den privaten Schlüssel mit Hilfe einer Wallet zu verwalten. Anders als der Name „Wallet“ (dt.: Brieftasche) vermuten lässt, werden in ihr also nicht die Bitcoins selbst, sondern nur die Schlüssel gespeichert,[22] denen Bitcoins zugeordnet sind.[23]

Für die Aufbewahrung gibt es nicht eine bestimmte Wallet. Vielmehr stehen dem Nutzer mehrere Möglichkeiten offen. Die Schlüssel können sowohl online als auch offline gespeichert werden.[24] So ist es beispielsweise möglich, die Schlüssel auf Servern (sog. Online-Wallet),[25] auf einem USB-Stick,[26] in Papierform (sog. Paper-Wallet) aufzubewahren oder auswendig zu lernen (sog. Brain-Wallet).[27] Somit ist, im Hinblick auf die Frage, ob Kryptowährungen eingezogen werden können, festzuhalten, dass nur der „Besitzer“ der Bitcoins den privaten Schlüssel kennt und er somit der Einzige ist, der über die Bitcoins verfügen kann.[28]

Aus dem privaten Schlüssel lässt sich der öffentliche Schlüssel berechnen. Dieser ist im Gegensatz zu dem privaten Schlüssel für jeden Netzwerkteilnehmer erkennbar.[29] Mithin kann der öffentliche Schlüssel mit der Kontonummer verglichen werden.[30] Ein öffentlicher Schlüssel kann wie folgt aussehen:[31]

MFYwEAYHKoZIzj0CAQYFK4EEAAoDQgAEt++Q+qQJqoS0QcCtL9fd2LqmLvx0N3uIY9qy7GydcpWUKwH4Maf01HM6AMMLJBQzBsIkHbdD L93EeeKKFc6GQ

Mit Hilfe des öffentlichen Schlüssels kann zum einen die Bitcoin-Adresse errechnet[32] und zum anderen kann die Transaktionsanfrage durch Teilnehmer des Netzwerks überprüft werden.[33] Eine Verifizierung erfolgt erst, wenn die Überprüfung ergibt, dass der zum öffentlichen Schlüssel passende private Schlüssel zum Signieren verwendet und die Nachricht nicht nachträglich verändert wurde.[34] Eine Transaktion gilt erst dann als ausgeführt, wenn sie von der Mehrheit der Netzwerkteilnehmer verifiziert wurde.[35]

Die Bitcoin-Adresse wird mit Hilfe einer Hashfunktion aus dem öffentlichen Schlüssel abgeleitet. Dies ist insbesondere deswegen sinnvoll, da die Länge der Signatur und somit auch die zu übertragende Datenmenge umso mehr zunimmt, je länger die zu verschlüsselnde Nachricht ist. Die komprimierte Datenmenge (sog. Hashwert) ist sodann die Bitcoin-Adresse.[36] Man kann sich den Hashwert als eine Art digitalen Fingerabdruck vorstellen.[37] Bei der Hashfunktion handelt es sich um eine Einwegfunktion, sodass sich aus dem Hashwert der öffentliche Schlüssel nicht errechnen lässt.[38] Eine Bitcoin-Adresse kann wie folgt aussehen:[39]

1J7mdg5rbQyUHENYdx39WVWK7fsLpEoXZy

Genauso wie an den öffentlichen Schlüssel können an die Bitcoin-Adresse Zahlungen adressiert werden. Diese kann demnach ebenfalls mit der Kontonummer verglichen werden.[40]

Da es sich bei Bitcoin um eine dezentrale Kryptowährung handelt, existiert keine zentrale Aufsichtsinstitution. Demnach wird also keine Bank zwischen Absender und Empfänger zwischengeschaltet, wie dies bei herkömmlichen Banküberweisungen der Fall ist.[41] Bei Bitcoin erfolgt die Transaktion deswegen Peer-to-Peer. Die Bitcoin-Werteinheiten werden also ohne Umweg von Rechner zu Rechner übertragen, da die Netzwerkteilnehmer unmittelbar miteinander verbunden sind.[42] Die Aufsicht über die Transaktionen obliegt somit allen Netzwerkteilnehmern, insbesondere den sogenannten Minern.[43]

Krypto-Mining und das Pirnzip des Proof-of-Work

Wurde eine Transaktionsanfrage signiert, so gelangt sie in einen Memory Pool und wird somit an alle Miner des Netzwerks verteilt. Die Miner nehmen die ihnen angebotenen Transaktionen in Blöcke auf, um sie bestätigen zu können. Hierbei wird die Transaktion auf ihre Richtigkeit[44] überprüft.[45] Damit die Transaktion jedoch als bestätigt gilt, muss der Block zunächst entschlüsselt werden, was dadurch geschieht, dass ein Miner eine kryptografische Rechenaufgabe löst (sog. Mining).[46] Dies erfordert einen großen Rechenaufwand, sodass ein Block erst nach ungefähr zehn Minuten gelöst wird.[47] Ist dies geschehen, so wird er der sogenannten Blockchain hinzugefügt.[48]

Bei der Blockchain handelt es sich um die Kette der Transaktions-Blöcke. Sie enthält sämtliche Transaktionen und kann deshalb wie ein Kontenbuch angesehen werden.[49] Dadurch übernimmt sie die (bei Bitcoin fehlende) zentrale Instanz.[50] Die Blockchain wird jedoch nicht zentral, sondern dezentral auf allen Rechnern abgespeichert.[51] Sie ist öffentlich einsehbar, sodass jeder sehen kann, welcher Adresse welche Beträge zugeordnet sind.[52] Die bei Bitcoin verwendete Blockchain ist somit eine Distributed-Ledger-Technologie.[53] Die Blöcke sind so aneinandergereiht, dass man von einer Verkettung sprechen kann. Jeder Block verweist auf den vorherigen Block in Form eines Hashwertes.[54] Der Hashwert lässt sich durch mehrere Konstanten und Variablen errechnen. Zu diesen gehört auch der Hashwert des Vorgänger-Blocks.[55] Dadurch wird die Sicherheit, beziehungsweise die Unveränderbarkeit der Blockchain und somit der dort gespeicherten Transaktionen sichergestellt.[56] Eine Veränderung von Daten wäre nur möglich, sofern jeder nachfolgende Block erneut berechnet würde. Dies würde einen großen Rechenaufwand erfordern, sodass sich der Aufwand, verglichen mit dem Ertrag, nicht rentiert.[57] Darüber hinaus wird bei der Fortführung der Blockchain immer die längste Kette an Blöcken verwendet, sodass nicht nur die Folgeblöcke neu berechnet, sondern auch noch die anderen Miner überholt werden müssten.[58]

Da das Mining einen großen Rechenaufwand erfordert, ist es energieintensiv und dementsprechend kostspielig. Deshalb bedarf es eines Anreizes beziehungsweise einer Belohnung für die Miner.[59] Dies geschieht bei Bitcoin auf zwei Wegen. Zum einen können Miner Transaktionsgebühren erhalten und zum anderen entstehen durch die Verlängerung der Blockchain neue Bitcoins, welche dem Miner gutgeschrieben werden.[60] Transaktionsgebühren sind nicht verpflichtend. Jedoch können sich die Miner die Transaktionen im Memory-Pool aussuchen, die sie in ihren Block aufnehmen. Somit erhöht sich die Wahrscheinlichkeit, dass eine Transaktion in einen Block aufgenommen wird, sofern eine Gebühr hinzugefügt wird.[61] Damit dem Miner neu generierte Bitcoins gutgeschrieben werden, muss er beweisen, dass er den Rechenaufwand geleistet hat. Dieser Arbeitsbeweis wird Proof-of-Work genannt und durch die oben beschriebene Berechnung des Hashwertes erbracht.[62] Diese Belohnung halbiert sich nach jeweils 210.000 Mining-Vorgängen[63] bis alle Bitcoins ausgeschüttet wurden, was voraussichtlich im Jahr 2140 der Fall sein wird.[64] Die Anzahl der Bitcoins ist auf 21 Millionen BTC begrenzt, sodass nach vollständiger Ausschüttung nur noch die Transaktionsgebühren als Anreiz dienen werden.[65]

Weiterlesen →

Posted by Nikolas Czypull in Cybercrime, IT-Strafrecht, Kryptowährungen
CEO Fraud – Phänomen und strafrechtliche Bewertung

CEO Fraud – Phänomen und strafrechtliche Bewertung

Als schwächstes Glied lässt sich in der Informations- und Kommunikationssicherheit wohl der Mensch ausmachen, dessen sind sich Cyberkriminelle bewusst. Durch psychologische Manipulation können Täter z.B. durch Fernkommunikationsmedien Mitarbeiter von Unternehmen gezielt zu Handlungen verleiten. Dazu geben sich die Täter beispielsweise als Geschäftsführer aus und veranlassen über ausgewählte Mitarbeiter Geldtransfers ins Ausland.[1] Der vorliegende Beitrag beschäftigt sich mit dieser Betrugsart, dem sog. CEO Fraud. Ziel ist es, eine umfassende Darstellung über die vielschichtigen Vorgehensweisen der Täter aufzuzeigen und die Handlungen der Täter im Lichte des deutschen Strafrechts zu würdigen. Dieser Untersuchung kommt auch in Hinblick auf die derzeitige Covid-19-Pandemie eine hohe Bedeutung in der Praxis zu, da das BDI im Zuge der Pandemie verschiedene Kampagnen beobachtet, die sich die komplexe Gesamtsituation um Covid-19 bei betrügerischen Vorgehensweisen zunutze machen.[2] Die bisherigen Behandlungen der Thematik in der Literatur beurteilten insbesondere die zivilrechtlichen Haftungsfragen zwischen Unternehmen und Kreditinstituten.[3] Eine strafrechtliche Beurteilung des Phänomens ist bisweilen nur im begrenzten Maße – in der Konstellation eines nicht erfolgreich durchgeführten CEO Frauds – geschehen.[4] Der Beitrag schließt diese Lücke und soll als Leitfaden für die strafrechtliche Beurteilung und Sanktionsmöglichkeiten der CEO Fraud-Fälle im Allgemeinen dienen. Insbesondere wird betrachtet werden, inwieweit die Strafbarkeit nach deutschem Recht beurteilt werden kann, wenn die Täter aus dem Ausland agieren.

Phänomen CEO Fraud – Die Vorgehensweisen der Täter

Es gibt eine Vielzahl an erprobten betrügerischen Vorgehensweisen, deren sich Täter immer wieder erfolgreich bedienen. Der Enkeltrick ist wohl eine der bekanntesten Betrugsarten. Hierbei missbraucht der Täter regelmäßig die Identität einer nahestehenden Person des Opfers, um dieses unter Vorspielen falscher Tatsachen zu einer Zahlung bzw. zu einer Vermögensdisposition zu verleiten. Dieses Konzept wird bei einem CEO Fraud gegenüber Unternehmen in modifizierter Art und Weise angewendet. Dabei fordert jedoch der „Geschäftsführer“ anstatt des „Enkels“ eine Überweisung oder Herausgabe von Informationen.[5] Das Grundprinzip bleibt jedoch gleich, sodass die Fälle auch als digitaler Enkeltrick bezeichnet werden.[6] Der typische Ablauf eines CEO Frauds zeichnet sich durch ein mehraktiges Tatgeschehen aus und soll folglich dargestellt werden.

Phase 1: Informationsgewinnung

Voraussetzung für die erfolgreiche und gezielte Manipulation ist eine fundierte Kenntnis über das Unternehmen und seine Mitarbeiter. Relevante Informationen sind beispielsweise die Kontaktdaten des CEO, dessen Unterschrift, Unternehmensstrukturen- und Prozesse, Angaben zu Geschäftspartnern, künftige Investments und Mitarbeiterbefugnisse.[7] In dieser Phase müssen insbesondere solche Mitarbeiter identifiziert werden, die Transaktionen eigenständig durchführen können, unter Umständen auch unter Umgehung von innerbetrieblichen Kontrollmechanismen.[8] Die Informationsgewinnung erfolgt über öffentlich zugängliche Websites, Geschäftsberichte und Presseerklärungen sowie durch die Auswertung von Social-Media-Kanälen des Unternehmens und seiner Mitarbeiter.[9] Zudem können relevante Informationen über das sog. Darknet[10], durch technische Maßnahmen, wie Schadsoftware oder durch belanglose, scheinbar gefahrlose Kommunikation mit den Mitarbeitern, durch sog. Social Engineering, beschafft werden.[11]

Phase 2: Planungsstadium

Unter der Würdigung aller relevanten gesammelten Informationen erstellen die Täter realistisch anmutende Szenarien. Die Szenarien spiegeln meist besonders dringliche und vertrauliche Geschäftsvorgänge wider, so z.B. ein Erwerb von Grundstücken, eine Unternehmenstransaktion oder Strafzahlungen.[12] Zudem wird die unternehmensinterne Autorität durch die Annahme der Identität einer Führungsperson ausgenutzt, um den Druck zu erhöhen.[13] Darüber hinaus wird für die Kontaktaufnahme ein Zeitpunkt identifiziert, in welchem die Arbeitsbelastung der Mitarbeiter besonders hoch und die Rückversicherungsmöglichkeiten entlang der bestehenden Kontrollprozesse möglichst gering ist.[14] Dies trifft gerade auf die aktuellen Umstände der Covid-19-Pandemie zu, in denen viele unternehmensinterne Prozesse aufgrund von Home Office und Kontaktbeschränkungen Änderungen unterworfen sind und die Interaktion nahezu ausschließlich auf Fernkommunikationsmedien wie E-Mail oder Telefon beschränkt ist. Es bleibt abzuwarten, ob sich die besonderen Umstände in höheren Fallzahlen von Cyberkriminalität widerspiegeln.

Phase 3: Vertrauensbildung

In dieser Phase erfolgt die erste Ansprache – in der Regel adressiert an einen Mitarbeiter mit operativer Tätigkeit in der Buchhaltung. Sie dient insbesondere der Vertrauensbildung und der Unterdrucksetzung. Dazu wird dem Mitarbeiter meist eine Mail mit einer kurzen Erläuterung des angeblichen Geschäftsvorgangs im Namen der Geschäftsleitung gesendet und zur Kooperation ermutigt. Mit der E-Mail wird der Mitarbeiter zudem zur Verschwiegenheit verpflichtet.[15] Dabei werden insbesondere die Angst, einen Fehler zu begehen, Erfolgsdruck, Stress, Unwissenheit sowie das vermeintlich empfangene besondere Vertrauen des Chefs und die damit empfundene Wertschätzung ausgenutzt.[16] Da die Täter auf das tatsächliche Mail-Konto des CEO in der Regel keinen Zugriff haben, nutzen diese eine ähnliche Adresse[17] unter Verwendung des richtigen Namens des CEO als Alias[18]. Zudem imitieren die Täter bei telefonischen Kontakt mit den Mitarbeitern mittlerweile Stimmen und Sprachmuster von CEOs unter Verwendung von Deep Fakes, um das Vertrauen in die Echtheit des Geschäftsvorgangs zu stärken.[19] Deep Fakes sind mittels Künstlicher Intelligenz (KI) generierte Foto-, Video- und Audioaufnahmen.[20] Dabei wird die KI mit Datensätzen von Reden, Interviews, Bildern etc. gespeist, um Gesichtsausdrücke, Bewegungen und Stimmen des CEOs zu reproduzieren.[21] Ziel ist es dabei, dem Mitarbeiter die Echtheit und Dringlichkeit des Geschäftsvorgangs zu verdeutlichen und jegliche Zweifel zu zerstreuen.

Phase 4: Durchführung

Glauben sich die Täter des Vertrauens des Mitarbeiters sicher, wird der Sachverhalt ausführlicher dargestellt und die Kommunikation konkretisiert. Zudem werden für den Fall der fehlenden weiteren Kooperation und einer nicht erfolgenden zügigen Durchführung der geforderten Transaktion mit Vertragsstrafen oder auch behördlichen Bußgeldern für das Unternehmen gedroht sowie auch persönliche berufliche Konsequenzen für den Mitarbeiter in Aussicht gestellt. Hinzu kommt unter Umständen noch weiterer Kontakt des Mitarbeiters zu angeblichen Anwälten und Mitarbeitern z.B. der Finanzaufsichtsbehörde (BaFin) sowie angeblichen externen Beratern und weiteren Dritten, die bereits in den Geschäftsvorgang involviert sind und auf die Vornahme weiterer Schritte warten.[22] Durch eine kontinuierliche Steigerung des Drucks und eine Intensivierung der Täuschung wird der betroffene Mitarbeiter in eine psychische Zwangslage versetzt, bis das Geld unter Einbeziehung der Bank überwiesen wird oder aber die Täter aufgeben.[23]

Phase 5: Verschleierung

Einhergehend mit der Überweisung verschleiern die Täter die Transaktionen meist über ein globales Geflecht aus Konten, sodass der originäre Zahlungsbetrag automatisch verteilt und das Rückverfolgungsrisiko verringert wird.[24] Zudem wird es das Ziel der Täter sein, die (rechtswidrig) erlangten Gelder zurück in den legalen Wirtschaftskreislauf zu schleusen. So wird es regelmäßig zu Geldwäscheaktivitäten kommen, die ihrerseits strafrechtlich sanktioniert werden können.[25]

Phase 6: Beendigung

Wurde das Geld überwiesen, so beglückwünscht der angebliche CEO den Mitarbeiter für seine Kooperation und Diskretion. Mit lobenden Worten für den bisherigen Umgang mit dem Geschäftsvorfall wird der Mitarbeiter ggf. zu weiteren Transaktionen in ähnlich gelagerten – aber ebenso dringlichen sowie diskreten – Angelegenheiten ermuntert.[26]

Weiterlesen →

Posted by Johannes Kloth in Cybercrime, IT-Compliance, IT-Strafrecht