Kryptowerte im Wert von rund 2,5 Millionen Euro sollen ohne Zustimmung ihres Inhabers auf andere Wallets übertragen worden sein. Dafür soll der Beschuldigte Zugangsdaten genutzt haben, die er bei der Einrichtung der Wallet selbst vergeben hatte. Ein Fall für das Computerstrafrecht? Nach dem Beschluss des OLG Braunschweig vom 18. September 2024 – 1 Ws 185/24 fehlte es unter diesen Umständen bereits am Anfangsverdacht einer Straftat.
Die Entscheidung betrifft einen empfindlichen Punkt des digitalen Vermögensschutzes: Wer technisch über Kryptowerte verfügen kann, ist dazu rechtlich nicht zwangsläufig berechtigt. Diese fehlende Berechtigung begründet aber nicht automatisch eine Strafbarkeit.
Der Fall: Bekannte Zugangsdaten, fremde Kryptowerte
Der Beschuldigte hatte für den späteren Anzeigeerstatter eine Wallet eingerichtet. Nach dem Vorwurf der Staatsanwaltschaft behielt er dabei absprachewidrig 24 Sicherheitspasswörter. Gegenüber dem Auftraggeber soll er behauptet haben, nicht mehr über diese zu verfügen.
Am 11. November 2023 soll er die Zugangsdaten verwendet haben, um auf den privaten Schlüssel zuzugreifen und insgesamt 24.973.001 „A-Coins“ auf zwei andere Wallets zu transferieren. Der damalige Marktwert: 2.497.300,10 Euro. Eine Zustimmung des Auftraggebers zu diesen Transaktionen soll nicht vorgelegen haben.
Das Amtsgericht Göttingen ordnete einen Vermögensarrest in entsprechender Höhe an. Das Landgericht hob ihn auf. Die weitere Beschwerde der Staatsanwaltschaft blieb vor dem OLG Braunschweig erfolglos.
Der Beschluss ist kein Freispruch. Gegenstand war die vorläufige Vermögenssicherung im Ermittlungsverfahren. Der Beschuldigte bestritt zudem, die Transfers vorgenommen zu haben. Ob hierfür ausreichende tatsächliche Anhaltspunkte bestanden, ließ das OLG offen: Schon das vorgeworfene Verhalten begründe aus rechtlichen Gründen keinen Anfangsverdacht.
Kein Ausspähen von Daten: Unbefugter Zugriff ist nicht gleich Überwinden einer Sicherung
§ 202a Abs. 1 StGB erfasst nicht jeden unerlaubten Zugriff auf fremde Daten. Erforderlich ist insbesondere, dass der Täter eine besondere Zugangssicherung überwindet.
Eine solche Sicherung bestand nach Auffassung des OLG. Dass dem Beschuldigten die Zugangsdaten bekannt gewesen sein sollen, änderte daran nichts. Eine Zugangssicherung verliert ihren Schutzcharakter nicht allein deshalb, weil ein Eingeweihter sie kennt.
Es fehlte jedoch am Überwinden: Der Beschuldigte soll den Passwortschutz weder ausgeschaltet noch umgangen haben. Vielmehr soll er bereits bekannte, zutreffende Passwörter auf dem vorgesehenen Zugangsweg verwendet haben.
Das Gericht unterscheidet damit zwischen einer rechtlichen Befugnis und einer technischen Zugangshürde. Der Missbrauch einer fortbestehenden Zugriffsmöglichkeit genügt nach seinem Verständnis nicht.
Daraus folgt allerdings keine allgemeine Straflosigkeit der Verwendung richtiger Passwörter. Das OLG grenzt ausdrücklich Fälle ab, in denen Zugangsdaten zuvor durch Handlungen im Sinne des § 202c StGB mit entsprechendem Tatvorsatz beschafft wurden. Die Herkunft der Zugangsdaten ist deshalb ebenso bedeutsam wie ihre spätere Verwendung.
Kein Computerbetrug: Was erklärt eine Transaktion mit dem richtigen Schlüssel?
Auch einen Computerbetrug nach § 263a Abs. 1 StGB verneinte der Senat. Nach seiner Begründung fehlt es an einem täuschungsäquivalenten Datengebrauch: Wer eine Transaktion in einem dezentralen Blockchain-Netzwerk veranlasst, erklärt damit nicht zugleich seine materielle Berechtigung zu dieser Verfügung.
Zum technischen Verständnis: Eine Wallet verwaltet insbesondere Schlüssel, mit denen Transaktionen autorisiert werden können. Die Kryptowerte liegen nicht wie Dateien in einem digitalen Geldbeutel. Ihre Zuordnung ergibt sich aus den im Netzwerk geführten Daten.
Die gültige Signatur einer Transaktion beantwortet deshalb eine andere Frage als die rechtliche Verfügungsbefugnis. Sie bestätigt nicht ohne Weiteres, dass die handelnde Person im Verhältnis zum wirtschaftlich Berechtigten über die Werte verfügen darf.
Auch eine Fälschung beweiserheblicher Daten nach §§ 269, 270 StGB schied nach dem OLG aus. Hierfür verwies es auf die fehlende Erkennbarkeit des Ausstellers. Die Zuordnung einer Transaktion zu einem Schlüssel ersetzt nicht ohne Weiteres die Identifizierung einer bestimmten Person.
Keine Datenveränderung: Wem stehen die Blockchain-Daten zu?
Besonders weitreichend ist die Begründung zu § 303a StGB. Die Vorschrift schützt Daten vor rechtswidriger Löschung, Unterdrückung, Unbrauchbarmachung und Veränderung.
Das OLG trennt zwei Ebenen:
- Wallet und Private Key: Hier fehlte es an einer tatbestandsmäßigen Handlung. Der Verlust der Verfügungsmöglichkeit über die übertragenen Kryptowerte bedeutet nicht automatisch, dass die Wallet oder der Schlüssel verändert oder unterdrückt wurden.
- Blockchain: Die neue Zuordnung der Kryptowerte bewirkt nach dem Gericht zwar eine Datenveränderung. Diese verletze aber kein fremdes Datenverfügungsrecht in der für § 303a StGB erforderlichen Weise.
Der Senat ordnet die Befugnis zur Veränderung der Blockchain-Daten den Netzwerkbetreibern zu. Diese bewirken die Speicherung unmittelbar und ergänzen die Blockchain nach ihren Regeln. Die wirtschaftlichen Inhaber der Kryptowerte sind nach dieser Begründung nicht schon deshalb verfügungsberechtigt über die zugrunde liegenden Blockchain-Daten.
Entscheidend ist damit die rechtliche Zuordnung der Daten. Aus dem Beschluss lässt sich nicht allgemein ableiten, dass eine durch automatisierte Systeme ausgeführte Datenveränderung demjenigen, der sie auslöst, niemals zugerechnet werden könnte. Das OLG verneint vielmehr für diese Konstellation die Verletzung einer fremden Datenrechtsposition.
Auch keine Untreue: Die Einrichtung einer Wallet reicht nicht aus
Naheliegend erscheint der Gedanke an Untreue: Wer für einen anderen eine Wallet einrichtet und anschließend dessen Kryptowerte transferiert, missbraucht jedenfalls das entgegengebrachte Vertrauen.
Für § 266 StGB genügt ein solcher Vertrauensbruch jedoch nicht. Erforderlich ist eine qualifizierte Vermögensbetreuungspflicht. Die bloße Pflicht, einen Vertrag einzuhalten oder auf fremde Vermögensinteressen Rücksicht zu nehmen, reicht dafür nicht aus (vgl. BVerfG, Beschluss vom 23. Juni 2010 – 2 BvR 2559/08 u. a., Rn. 108).
Das OLG verneinte eine entsprechende Pflicht im konkreten Fall. Allein die Einrichtung der Wallet und ihre Absicherung mit Passwörtern begründeten sie nicht.
Bei einer darüber hinausgehenden, eigenverantwortlichen Verwaltung fremder Kryptowerte kann die Prüfung anders ausfallen. Maßgeblich sind die tatsächlich übertragenen Aufgaben und Befugnisse. Die technische Zugriffsmöglichkeit allein ersetzt diese Prüfung nicht.
Warum „Kryptodiebstahl“ rechtlich zu kurz greift
Der Begriff „Kryptodiebstahl“ beschreibt anschaulich den wirtschaftlichen Verlust. Strafrechtlich kann er jedoch in die Irre führen.
Diebstahl und Unterschlagung setzen eine fremde bewegliche Sache voraus. Die rein digitalen Kryptowerte sind keine körperlichen Gegenstände. § 246 StGB ist deshalb kein allgemeiner Auffangtatbestand für ihre unbefugte Übertragung. Anders zu beurteilen sein kann die Wegnahme einer Hardware-Wallet als körperlichem Gerät.
Ob ein strafbares Verhalten vorliegt, hängt deshalb von zusätzlichen Umständen ab: Wie wurden die Zugangsdaten erlangt? Wurden Schutzmechanismen umgangen? Bestand eine Vermögensbetreuungspflicht? Ging der Übertragung eine täuschungsbedingte Vermögensverfügung voraus?
Einordnung: Eine Schutzlücke mit praktischen Folgen
Die Entscheidung zwingt zu einer präzisen Trennung zwischen Schlüsselkontrolle, Datenverfügungsrecht und wirtschaftlicher Berechtigung. Das ist überzeugend: Ein erheblicher Vermögensverlust kann fehlende Tatbestandsmerkmale nicht ersetzen.
Diskussionsbedürftig bleibt insbesondere die Zuordnung der Blockchain-Daten. Wenn die Befugnis zur Datenänderung bei den Netzwerkbetreibern liegt, schützt § 303a StGB den wirtschaftlich Berechtigten nicht schon deshalb, weil eine Transaktion ihm seine Kryptowerte entzieht. Hier zeigt sich die begrenzte Reichweite eines datenbezogenen Delikts gegenüber digitalen Vermögenspositionen.
Auch die Ausführungen zum Computerbetrug sollten nicht vorschnell auf sämtliche Krypto-Sachverhalte übertragen werden. Der Zugriff auf ein Kundenkonto bei einer zentralen Handelsplattform kann andere Prüf- und Berechtigungsstrukturen betreffen als eine unmittelbar im dezentralen Netzwerk veranlasste Transaktion.
Für die Strafverteidigung folgt daraus: Bereits bei einem Vermögensarrest muss der konkrete Straftatbestand sorgfältig geprüft werden. Die Bezeichnung eines Vorgangs als „Kryptodiebstahl“ und die Höhe des behaupteten Schadens tragen die Maßnahme nicht allein. Zu den Grundlagen der Vermögensabschöpfung bei digitalen Werten siehe auch den Beitrag zur Einziehung von Kryptowährungen im Strafverfahren.
Für Geschädigte bedeutet der Beschluss umgekehrt nicht, dass ein unbefugter Transfer rechtmäßig wäre. Zivilrechtliche Ansprüche sind von der strafrechtlichen Bewertung zu unterscheiden.
Was Unternehmen aus dem Beschluss mitnehmen sollten
Wer Kryptowerte durch Mitarbeiter oder Dienstleister verwalten lässt, sollte rechtliche Befugnisse und technische Zugriffsmöglichkeiten aufeinander abstimmen:
- Zuständigkeiten, Freigaben und Verwahrungsaufgaben eindeutig dokumentieren.
- Transaktionen nach Möglichkeit durch mehrere unabhängige Freigaben absichern.
- Schlüssel und Wiederherstellungsdaten vor unkontrollierten Kopien schützen.
- Beim Ausscheiden von Berechtigten tatsächliche Zugriffsmöglichkeiten überprüfen und erforderlichenfalls durch eine neue Schlüsselstruktur ersetzen.
Eine bloße Verpflichtung, bekannte Zugangsdaten künftig nicht mehr zu benutzen, beseitigt die technische Verfügungsmacht nicht.
Der Beschluss zeigt damit eine Grenze des strafrechtlichen Schutzes digitaler Vermögenswerte. Technisch wirksame Transaktionen können rechtlich unbefugt sein, ohne unter den konkreten Umständen einen Straftatbestand zu erfüllen. Für die rechtliche Bewertung entscheiden die Herkunft der Schlüssel, der Zugangsweg und die Aufgaben desjenigen, der über sie verfügt.
Entscheidung: OLG Braunschweig, Beschluss vom 18. September 2024 – 1 Ws 185/24, ECLI:DE:OLGBS:2024:0918.1WS185.24.00.
- NIS-2 in Deutschland: Was die Geschäftsleitung jetzt prüfen, entscheiden und dokumentieren muss - Oktober 29, 2026
- Durchsuchung im Unternehmen: Was Geschäftsführung und IT jetzt tun sollten - Oktober 29, 2026
- Digitales Tracking: Brauchen wir § 202e StGB-E? Pro und Contra in der CyberStR - Oktober 29, 2026
