Cybercrime

Apr.

2021

CEO Fraud – Phänomen und strafrechtliche Bewertung

Als schwächstes Glied lässt sich in der Informations- und Kommunikationssicherheit wohl der Mensch ausmachen, dessen sind sich Cyberkriminelle bewusst. Durch psychologische Manipulation können Täter z.B. durch Fernkommunikationsmedien Mitarbeiter von Unternehmen gezielt zu Handlungen verleiten. Dazu geben sich die Täter beispielsweise als Geschäftsführer aus und veranlassen über ausgewählte Mitarbeiter Geldtransfers ins Ausland.[1] Der vorliegende Beitrag beschäftigt sich mit dieser Betrugsart, dem sog. CEO Fraud. Ziel ist es, eine umfassende Darstellung über die vielschichtigen Vorgehensweisen der Täter aufzuzeigen und die Handlungen der Täter im Lichte des deutschen Strafrechts zu würdigen. Dieser Untersuchung kommt auch in Hinblick auf die derzeitige Covid-19-Pandemie eine hohe Bedeutung in der Praxis zu, da das BDI im Zuge der Pandemie verschiedene Kampagnen beobachtet, die sich die komplexe Gesamtsituation um Covid-19 bei betrügerischen Vorgehensweisen zunutze machen.[2] Die bisherigen Behandlungen der Thematik in der Literatur beurteilten insbesondere die zivilrechtlichen Haftungsfragen zwischen Unternehmen und Kreditinstituten.[3] Eine strafrechtliche Beurteilung des Phänomens ist bisweilen nur im begrenzten Maße – in der Konstellation eines nicht erfolgreich durchgeführten CEO Frauds – geschehen.[4] Der Beitrag schließt diese Lücke und soll als Leitfaden für die strafrechtliche Beurteilung und Sanktionsmöglichkeiten der CEO Fraud-Fälle im Allgemeinen dienen. Insbesondere wird betrachtet werden, inwieweit die Strafbarkeit nach deutschem Recht beurteilt werden kann, wenn die Täter aus dem Ausland agieren.

Phänomen CEO Fraud – Die Vorgehensweisen der Täter

Es gibt eine Vielzahl an erprobten betrügerischen Vorgehensweisen, deren sich Täter immer wieder erfolgreich bedienen. Der Enkeltrick ist wohl eine der bekanntesten Betrugsarten. Hierbei missbraucht der Täter regelmäßig die Identität einer nahestehenden Person des Opfers, um dieses unter Vorspielen falscher Tatsachen zu einer Zahlung bzw. zu einer Vermögensdisposition zu verleiten. Dieses Konzept wird bei einem CEO Fraud gegenüber Unternehmen in modifizierter Art und Weise angewendet. Dabei fordert jedoch der „Geschäftsführer“ anstatt des „Enkels“ eine Überweisung oder Herausgabe von Informationen.[5] Das Grundprinzip bleibt jedoch gleich, sodass die Fälle auch als digitaler Enkeltrick bezeichnet werden.[6] Der typische Ablauf eines CEO Frauds zeichnet sich durch ein mehraktiges Tatgeschehen aus und soll folglich dargestellt werden.

Phase 1: Informationsgewinnung

Voraussetzung für die erfolgreiche und gezielte Manipulation ist eine fundierte Kenntnis über das Unternehmen und seine Mitarbeiter. Relevante Informationen sind beispielsweise die Kontaktdaten des CEO, dessen Unterschrift, Unternehmensstrukturen- und Prozesse, Angaben zu Geschäftspartnern, künftige Investments und Mitarbeiterbefugnisse.[7] In dieser Phase müssen insbesondere solche Mitarbeiter identifiziert werden, die Transaktionen eigenständig durchführen können, unter Umständen auch unter Umgehung von innerbetrieblichen Kontrollmechanismen.[8] Die Informationsgewinnung erfolgt über öffentlich zugängliche Websites, Geschäftsberichte und Presseerklärungen sowie durch die Auswertung von Social-Media-Kanälen des Unternehmens und seiner Mitarbeiter.[9] Zudem können relevante Informationen über das sog. Darknet[10], durch technische Maßnahmen, wie Schadsoftware oder durch belanglose, scheinbar gefahrlose Kommunikation mit den Mitarbeitern, durch sog. Social Engineering, beschafft werden.[11]

Phase 2: Planungsstadium

Unter der Würdigung aller relevanten gesammelten Informationen erstellen die Täter realistisch anmutende Szenarien. Die Szenarien spiegeln meist besonders dringliche und vertrauliche Geschäftsvorgänge wider, so z.B. ein Erwerb von Grundstücken, eine Unternehmenstransaktion oder Strafzahlungen.[12] Zudem wird die unternehmensinterne Autorität durch die Annahme der Identität einer Führungsperson ausgenutzt, um den Druck zu erhöhen.[13] Darüber hinaus wird für die Kontaktaufnahme ein Zeitpunkt identifiziert, in welchem die Arbeitsbelastung der Mitarbeiter besonders hoch und die Rückversicherungsmöglichkeiten entlang der bestehenden Kontrollprozesse möglichst gering ist.[14] Dies trifft gerade auf die aktuellen Umstände der Covid-19-Pandemie zu, in denen viele unternehmensinterne Prozesse aufgrund von Home Office und Kontaktbeschränkungen Änderungen unterworfen sind und die Interaktion nahezu ausschließlich auf Fernkommunikationsmedien wie E-Mail oder Telefon beschränkt ist. Es bleibt abzuwarten, ob sich die besonderen Umstände in höheren Fallzahlen von Cyberkriminalität widerspiegeln.

Phase 3: Vertrauensbildung

In dieser Phase erfolgt die erste Ansprache – in der Regel adressiert an einen Mitarbeiter mit operativer Tätigkeit in der Buchhaltung. Sie dient insbesondere der Vertrauensbildung und der Unterdrucksetzung. Dazu wird dem Mitarbeiter meist eine Mail mit einer kurzen Erläuterung des angeblichen Geschäftsvorgangs im Namen der Geschäftsleitung gesendet und zur Kooperation ermutigt. Mit der E-Mail wird der Mitarbeiter zudem zur Verschwiegenheit verpflichtet.[15] Dabei werden insbesondere die Angst, einen Fehler zu begehen, Erfolgsdruck, Stress, Unwissenheit sowie das vermeintlich empfangene besondere Vertrauen des Chefs und die damit empfundene Wertschätzung ausgenutzt.[16] Da die Täter auf das tatsächliche Mail-Konto des CEO in der Regel keinen Zugriff haben, nutzen diese eine ähnliche Adresse[17] unter Verwendung des richtigen Namens des CEO als Alias[18]. Zudem imitieren die Täter bei telefonischen Kontakt mit den Mitarbeitern mittlerweile Stimmen und Sprachmuster von CEOs unter Verwendung von Deep Fakes, um das Vertrauen in die Echtheit des Geschäftsvorgangs zu stärken.[19] Deep Fakes sind mittels Künstlicher Intelligenz (KI) generierte Foto-, Video- und Audioaufnahmen.[20] Dabei wird die KI mit Datensätzen von Reden, Interviews, Bildern etc. gespeist, um Gesichtsausdrücke, Bewegungen und Stimmen des CEOs zu reproduzieren.[21] Ziel ist es dabei, dem Mitarbeiter die Echtheit und Dringlichkeit des Geschäftsvorgangs zu verdeutlichen und jegliche Zweifel zu zerstreuen.

Phase 4: Durchführung

Glauben sich die Täter des Vertrauens des Mitarbeiters sicher, wird der Sachverhalt ausführlicher dargestellt und die Kommunikation konkretisiert. Zudem werden für den Fall der fehlenden weiteren Kooperation und einer nicht erfolgenden zügigen Durchführung der geforderten Transaktion mit Vertragsstrafen oder auch behördlichen Bußgeldern für das Unternehmen gedroht sowie auch persönliche berufliche Konsequenzen für den Mitarbeiter in Aussicht gestellt. Hinzu kommt unter Umständen noch weiterer Kontakt des Mitarbeiters zu angeblichen Anwälten und Mitarbeitern z.B. der Finanzaufsichtsbehörde (BaFin) sowie angeblichen externen Beratern und weiteren Dritten, die bereits in den Geschäftsvorgang involviert sind und auf die Vornahme weiterer Schritte warten.[22] Durch eine kontinuierliche Steigerung des Drucks und eine Intensivierung der Täuschung wird der betroffene Mitarbeiter in eine psychische Zwangslage versetzt, bis das Geld unter Einbeziehung der Bank überwiesen wird oder aber die Täter aufgeben.[23]

Phase 5: Verschleierung

Einhergehend mit der Überweisung verschleiern die Täter die Transaktionen meist über ein globales Geflecht aus Konten, sodass der originäre Zahlungsbetrag automatisch verteilt und das Rückverfolgungsrisiko verringert wird.[24] Zudem wird es das Ziel der Täter sein, die (rechtswidrig) erlangten Gelder zurück in den legalen Wirtschaftskreislauf zu schleusen. So wird es regelmäßig zu Geldwäscheaktivitäten kommen, die ihrerseits strafrechtlich sanktioniert werden können.[25]

Phase 6: Beendigung

Wurde das Geld überwiesen, so beglückwünscht der angebliche CEO den Mitarbeiter für seine Kooperation und Diskretion. Mit lobenden Worten für den bisherigen Umgang mit dem Geschäftsvorfall wird der Mitarbeiter ggf. zu weiteren Transaktionen in ähnlich gelagerten – aber ebenso dringlichen sowie diskreten – Angelegenheiten ermuntert.[26]

Weiterlesen →

Juli

2020

Computergenerierte kinderpornographische Schriften zur Umgehung der Keuschheitsprobe?

Straf- und Ermittlungsverfahren im Bereich kinderpornographischer Inhalte sind stets ein über den reinen Unwertgehalt der Tat hinausgehendes hochsensibles Thema, das eine rechtliche Auseinandersetzung oft zusätzlich politisch aufbläht. Die Offenbarung eines Kinderporno-Rings im nordrhein-westfälischen Bergisch-Gladbach dürfte schwerlich unbemerkt an einem vorbeigegangen sein, zumal laut ersten Aussagen der Ermittlungen das vielleicht nur den Stamm, und nicht die Wurzeln darstellt.

Kurz vorab: (Kinderpornographische) Schriften werden im Gesetz nicht definiert. Bei Schriften (vgl. § 11 Abs. 3 StGB) handelt es sich um eine Zusammenstellung von Zeichen, die durch Augen oder Tastsinn wahrnehmbar sind und Gedankeninhalte verkörpern.[1] Ihnen gleichgestellt sind Ton- und Bildträger, Datenspeicher, Abbildungen und andere Darstellungen in denjenigen Vorschriften, die auf diesen Absatz verweisen. In § 184b Abs. 1 Nr. 1 StGB findet sich, dass dieser erweiterte Schriftenbegriff auch bei der Verbreitung, dem Erwerb und dem Besitz kinderpornographischer Schriften gilt, womit sämtliche Arten von Bildern, Tonträgern oder Videoaufnahmen (-zeichnungen) erfasst sind.

Ein Blick in die Zahlen der Polizeilichen Kriminalstatistik zeigt, dass Fälle der Verbreitung von „pornographischen Schriften im Internet“ immer häufiger werden. Die Zahl stieg von 7.421 Fällen im Jahr 2018 auf insgesamt 10.662 im Jahr 2019. Verbreitung, Erwerb, Besitz und Herstellung kinderpornographischer Schriften stieg von 7.449 auf 12.262 Fälle. Das rechtspolitische Bedürfnis einer Verschärfung der Strafen für solche „Kinderporno-Onlinebörsen“ ist also statistisch gesehen nachvollziehbar. [2]

Der politische Diskurs fordert zunehmend härtere Strafe, schaut man sich nur die Vorhaben von Justizministerin Lamprecht an[3] , die eine Mindeststrafe von einem Jahr Haft für Kindesmissbrauch oder Besitz von kinderpornographischem Material fordert. Durch den Besitz solchen Materials „mache man sich mitschuldig“. Der Schutz der ungestörten sexuellen Entwicklung von Kindern sei ein besonders hohes Gut betonte der Gesetzgeber auch in seinem ersten Entwurf zur Änderung des Strafgesetzbuches zur Versuchsstrafbarkeit von Cybergrooming. [4]

Kritiker wollen hierbei nicht außer Acht lassen, dass die verfügbaren Strafrahmen unseres Strafgesetzbuches nicht gering sind. Oft scheitere es daran, dass sich Ermittlungen im Sande verlaufen, nicht ausreichend Beweismaterial sichergestellt wurde, bei dem keine sinnvolle Verknüpfung zu den jeweiligen Tätern hergestellt wird und traurigerweise Behörden oftmals maßlos überfordert sind. Allein Dimensionen wie die aktuellen Enthüllungen von mutmaßlich 30.000 Verdächtigen im Missbrauchsfall Bergisch-Gladbach zeigen, dass ein erheblicher Arbeitsaufwand auf die ermittelnden Behörden zukommt.

Gesetzesänderungen

Der einschlägige § 184b Abs. 5 des Strafgesetzbuches (StGB) wurde zum März 2020[5] um S. 2 mit folgendem Inhalt ergänzt:

„Absatz 1 Nummer 1 und 4 gilt nicht für dienstliche Handlungen im Rahmen von strafrechtlichen Ermittlungsverfahren, wenn

die Handlung sich auf eine kinderpornographische Schrift bezieht, die kein tatsächliches Geschehen wiedergibt und auch nicht unter Verwendung einer Bildaufnahme eines Kindes oder Jugendlichen hergestellt worden ist, und
die Aufklärung des Sachverhalts auf andere Weise aussichtslos oder wesentlich erschwert wäre.“

Da es sich vorliegend nicht um Alternativen handelt („und“) wird deutlich, dass der Einsatz von computergeneriertem kinderpornographischen Material ultima ratio bleiben soll und muss. Befürworter dieses Gesetzesentwurfs versprechen sich hiervon, dass „die Effizienz der polizeilichen Ermittlungstätigkeit gesteigert“ wird. [6] Hauptproblem ist nämlich oft, dass sowohl Zugang als auch Verbleiben in solchen Foren eine sog. Keuschheitsprobe erfordert, d.h. Mitglieder müssen, um Vertrauen zu gewinnen, selbst kinderpornographische Schriften hochladen, womit sie sich strafbar machen würden. Dasselbe galt bisher für Ermittler.[7]

Im Rahmen der Diskussion um die Vorverlagerung der Versuchsstrafbarkeit bei Cybergrooming wurden auch Aspekte von Online-Tauschplattformen und deren erschwerten Zugriffsmöglichkeiten erörtert. Mithilfe dieser Ermittlungsmaßnahmen soll dazu beigetragen werden „den Markt für kinderpornographische Schriften auszutrocknen“. Der Gesetzesentwurf sprach sich bei der Abwägung zwischen rechtsstaatlichen Anforderungen einerseits und der „drängenden Aufgabe der Bekämpfung von Kinderpornographie andererseits“ zugunsten von letzterer aus. Rechtstaatlichen Anforderungen sei dahingehend genügt worden, dass wie oben bereits erwähnt der Einsatz solchen Materials stets ultima ratio bleiben soll. Darüber hinaus wurden durch die Schaffung des neuen § 110d StPO solche Ermittlungsmaßnahmen grundsätzlich unter einem Richtervorbehalt gestellt.[8]

Technische Grundlagen

Wer sich nun fragt, inwiefern bei der Herstellung computergenerierter Bilder nicht doch auch echte Aufnahmen von Kindern und Jugendlichen verwendet werden, sei beruhigt: Der Gesetzesentwurf betont nochmal, dass für die unmittelbare Herstellung solcher Schriften keine Bildaufnahmen verwendet werden dürfen, „auf denen ein Kind oder ein Jugendlicher abgebildet ist“. Somit sind Fotocollagen oder verfremdete Bilder nicht zulässig.[9]

Ein künstliches neuronales Netzwerk wird mit Beispielbildern „gefüttert“ und angewiesen, den abgebildeten Inhalt nachzuahmen. In einem zweiten separaten Netzwerk wird geschaut, wie ähnlich diese generierten Bilder sind. Sieht das Bild nicht ähnlich genug aus, so muss das erste Netzwerk ein neues Bild generieren. Man „trainiert“ sprichwörtlich ein Netzwerk dazu, realistische Bilder zu erzeugen, bis das zweite Netzwerk keine Unterschiede mehr dahingehend erkennt, ob es sich um ein echtes oder um ein Fake-Foto handelt. Der „Trainingsvorgang“ selbst ist daher noch kein Herstellen, sondern nur zeitlich vorverlagert. Die eingespeisten Trainingsbilder selbst sind kein Bestandteil der dann vollständig künstlich erzeugten Aufnahmen.[10]

Fazit

Höhere Strafandrohungen allein sind kein geeignetes Mittel, um Delinquenz verhindern oder sogar bekämpfen zu können. Zielführender ist es, die Effektivität von Ermittlungsmaßnahmen zu steigern, um das Entdeckungsrisiko potenzieller Straftäter zu erhöhen. Vor diesem Hintergrund sind die Gesetzesänderungen zu begrüßen.

Trotzdem bleiben Fragen offen, inwiefern nicht dadurch letztlich nur noch mehr kinderpornographische Schriften in Umlauf gebracht werden. Hier ließe sich entgegenhalten, dass die Schriften letztlich nur ultima ratio sein sollen und von keiner Überflutung der Server gesprochen werden kann. Der Anwendungsbereich soll stark eingegrenzt werden, um nur ermittelnden Personen ein effizientes Mittel zur Bekämpfung der Verbreitung kinderpornographischer Schriften an die Hand geben zu können.

Es soll festgehalten werden, dass durch diese Gesetzesänderung mit hoher Wahrscheinlichkeit eine „Schadensverlagerung“ stattfinden kann. Damit ist gemeint, dass mit einer konsequenten Infiltrierung solcher Netzwerke diese schneller „ausgetrocknet“ werden können, bevor „frisches“ Material seinen Weg in das Netzwerk findet. Bereits so ließen sich mittelbar der Rechtsgüterschutz hinsichtlich Kindes-Opfern reduzieren und gleichzeitig Täter schneller aufspüren. Darüber hinaus würde man zusätzlich zögernden Usern per Zufall (das Material ist als solches nicht erkennbar) zu diesen Schriften greifen lassen und nicht zum echten Material. Eine Intensivierung der Rechtsgutsverletzung eines geschädigten Opfers unterbliebe insofern auch.[11]

Fußnoten

[1] Fischer StGB, 67. Auflage 2020, § 11 Rn. 34.

[2] Polizeiliche Kriminalstatistik, Jahrbuch 2019, Band 1, Fälle, Aufklärung, Schaden [aufgerufen am 07.07.2020].

[3]https://www.faz.net/aktuell/politik/inland/lambrecht-will-kindesmissbrauch-schaerfer-bestrafen-16840973.html (aufgerufen am 01.07.2020).

[4] Vgl. BT-Drs. 19/13836, S. 8.

[5] https://dip21.bundestag.de/dip21/btd/19/165/1916543.pdf (aufgerufen am 02.07.2020).

[6] Vgl. BT-Drs. 19/16543, S. 10.

[7] Vgl. BT-Drs. 19/16543, S. 8 f.; BT-Drs. 19/13836 S. 10.

[8] Vgl. BT-Drs. 19/13836, S. 15; BT-Drs. 19/16543 S. 10; BeckOK StGB/Ziegler, § 184b Rn. 20a-d.

[9] Vgl. BT-Drs. 19/16543, S. 11; BeckOK StGB/Ziegler, § 184b Rn. 20b.

[10] Vgl. BT-Drs. 19/16543, S. 11.

[11] Vgl. BT-Drs. 19/13836, S. 16.

Jan.

2020

Update: Anpassung des NetzDG bereits im April

Nach der Berichterstattung der Süddeutschen Zeitung (SZ) hat das BMJV den geplanten Gesetzesentwurf zur Änderung des Netzwerkdurchsetzungsgesetzes (NetzDG), welches bereits seit dem 1.10.2017 in Kraft ist, fertiggestellt. Das NetzDG verpflichtet Internet-Plattformen zu einem härteren Vorgehen gegen Hass, Hetze und Terror-Propaganda.

Gesetzesänderung soll bereits am 1. April 2020 umgesetzt werden

Die geplante Gesetzesänderung, die voraussichtlich am 1. April 2020 vom Kabinett beschlossen wird, soll es Nutzern sozialer Netzwerke in Zukunft erleichtern, Beschwerden einreichen zu können. Insbesondere soll die Möglichkeit einen rechtswidrigen Beitrag melden zu können, vereinfacht werden, indem komplizierte Klickwege vermieden werden. Die Möglichkeit zur Meldung von Beiträgen ist auf manchen Plattformen teilweise versteckt oder schwierig zu nutzen. So ist die Beschwerdemöglichkeit oftmals nicht vom Beitrag aus zugänglich, sondern kann nur über ein Meldeformular erfolgen, welches zuvor separat angesteuert werden muss.

Einführung eines Gegenvorstellungsverfahrens

Der Gesetzesentwurf umfasst ferner eine Änderung, die es betroffenen Nutzern sozialer Netzwerke in Zukunft erleichtern soll, gegen Entscheidungen der Anbieter von sozialen Netzwerken vorzugehen. Wenn ein Beitrag eines Nutzers vom sozialen Netzwerk gelöscht wurde, soll dem Nutzer ein Anspruch auf Überprüfung dieser Entscheidung gegen den Netzwerkanbieter zustehen.

Beispielsweise kann die Beschwerdefunktion genutzt werden, wenn ein Beitrag (ggf. zu Unrecht) vom Betreiber gelöscht wurde. Das BMJV will hierzu ein sog. „Gegenvorstellungsverfahren“ einführen.

Auch soll der Entwurf die Möglichkeit eröffnen, Konflikte zwischen Nutzer und Plattformbetreiber über private Schlichtungsstellen beizulegen. Nach Auffassung des Justizministeriums sollen Streitigkeiten dadurch schneller und kostengünstiger beendet werden können.

Anmerkung: Die Stärkung der Rechte von Nutzern sozialer Netzwerke ist durchaus zu begrüßen. Da es sich bei Streitigkeiten über den Inhalt von Social-Media-Beiträgen nicht selten um Bagatellfälle handeln wird, können diese mit etwas Kompromissbereitschaft beider Seiten leicht behoben werden. Vor dem Hintergrund der anhaltenden Überlastung der Justiz, erscheint die Möglichkeit eines Schiedsverfahrens daher keine abwägige Idee zu sein. Es bleibt zu hoffen, dass das geplante Gesetzes-Update mit Nachdruck weiterverfolgt wird und nicht am 1.4.2020 als „Aprilscherz“ untergeht.