TPF.2022.140 — Jurisdiction for Cross-Border Data Fraud Determined by Result Location

TPF 2022 140

TPF 2022 140

19. Auszug aus dem Beschluss der Beschwerdekammer in Sachen Kanton Bern gegen Kanton Solothurn und Kanton Zürich vom 28. September 2022 (BG.2021.42)

Gerichtsstandskonflikt; betrügerischer Missbrauch einer Datenverarbeitungs- anlage; Erfolgsort Art. 31 Abs. 1 StPO, Art. 147 StGB Bestimmung des Erfolgsortes bei einem durch unbekannte Täterschaft im Ausland verübten betrügerischen Missbrauch einer Datenverarbeitungsanlage (E. 3.3).

Conflit de for; utilisation frauduleuse d’un ordinateur; lieu du résultat Art. 31 al. 1 CPP, art. 147 CP Détermination du lieu du résultat en cas d’utilisation frauduleuse d’un ordinateur commise à l’étranger par des auteurs inconnus (consid. 3.3).

Conflitto di foro; abuso di un impianto per l’elaborazione di dati; luogo dell’evento Art. 31 cpv. 1 CPP, art. 147 CP

Determinazione del luogo dell’evento nel caso di abuso di un impianto per l’elaborazione di dati commesso da autori ignoti all’estero (consid. 3.3).

Zusammenfassung des Sachverhalts:

Der im Kanton Solothurn wohnhafte Kreditkarteninhaber A. erstattete am 26. Februar 2020 bei der Kantonspolizei Bern Strafanzeige und Strafantrag gegen unbekannte Täterschaft wegen unbefugter Datenbeschaffung, unbefugten Eindringens in ein Datenverarbeitungssystem und betrügerischen Missbrauchs einer Datenverarbeitungsanlage. Er brachte zusammengefasst vor, eine unbekannte Täterschaft sei unberechtigterweise an die Daten seiner von der Bank B. mit Sitz in Zürich ausgestellten Kreditkarte gelangt. Die Täterschaft habe damit am 14. Februar 2020 über die Webseite eines Reisebüros mit Sitz in Spanien einen Flug mit der russischen Fluggesellschaft C. von Shanghai via Moskau nach Zürich im

140 TPF 2022 140

Wert von Fr. 1’108.91 für zwei Personen gebucht. Schliesslich führte er aus, dass er seine Kreditkarte oft im Internet benutze und davon ausgehe, dass die Täterschaft auf diese Weise an seine Kreditkartennummer gekommen sei. Die Kantonspolizei Bern nahm verschiedene Ermittlungshandlungen vor (Abklärungen beim spanischen Reisebüro, der russischen Fluggesellschaft und der Kreditkartenausstellerin sowie Abklärungen in den Registern der Kantonspolizei Bern). Diese ergaben, dass zwei Personen (D. und E.) den vorgenannten Flug angetreten, diesen jedoch bereits in Moskau beendet hätten. Weitere Erkenntnisse im Zusammenhang mit der zur Anzeige gebrachten Tat konnten indes nicht gewonnen werden, namentlich konnte weder die Echtheit der vorgenannten Passagierdaten verifiziert noch die von der unbekannten Täterschaft verwendete IP-Adresse ermittelt werden. Die von der Polizei zusammengestellten Akten wurden in der Folge an die Staatsanwaltschaft des Kantons Bern übermittelt. Nachdem sich die Staatsanwaltschaften der Kantone Bern, Zürich und Solothurn nicht über den Gerichtsstand einigen konnten, unterbreitete die Generalstaatsanwaltschaft des Kantons Bern die Angelegenheit der Beschwerdekammer des Bundesstrafgerichts.

Die Beschwerdekammer erklärte die Strafbehörden des Kantons Zürich für berechtigt und verpflichtet, die der unbekannten Täterschaft zur Last gelegten Straftaten zu verfolgen und zu beurteilen.

Aus den Erwägungen:

2. 2.1 Für die Verfolgung und Beurteilung einer Straftat sind die Behörden des Ortes zuständig, an dem die Tat verübt worden ist. Liegt nur der Ort, an dem der Erfolg der Straftat eingetreten ist, in der Schweiz, so sind die Behörden dieses Ortes zuständig (Art. 31 Abs. 1 StPO). Hat eine beschuldigte Person mehrere Straftaten an verschiedenen Orten verübt, so sind für die Verfolgung und Beurteilung sämtlicher Taten die Behörden des Ortes zuständig, an dem die mit der schwersten Strafe bedrohte Tat begangen worden ist. Bei gleicher Strafdrohung sind die Behörden des Ortes zuständig, an dem zuerst Verfolgungshandlungen vorgenommen worden sind (Art. 34 Abs. 1 StPO).

2.2 Der Ausführungsort geht als primärer Gerichtsstand allen anderen Gerichtsständen vor (BAUMGARTNER, Die Zuständigkeit im Strafverfahren,

141 TPF 2022 140

2014, S. 58 m.w.H.; SCHWERI/BÄNZIGER, Interkantonale Gerichtsstandsbestimmung in Strafsachen, 2. Aufl. 2004, N. 59 f.). Der Erfolgsort ist bei der Bestimmung des Gerichtsstands gegenüber dem Ausführungsort subsidiär und gilt nur dann, wenn es sich um ein Erfolgsdelikt oder ein konkretes Gefährdungsdelikt handelt, der Ort des Erfolgseintritts bekannt ist und in der Schweiz liegt (vgl. Art. 31 Abs. 1 Satz 2 StPO; BGE 86 IV 222 E. 1; SCHWERI/BÄNZIGER, a.a.O., N. 61, 76, 95 ff.; siehe schon SCHOCH VON SCHAFFHAUSEN, Der Ort der Verbrechensbegehung beim Distanzdelikt nach schweizerischem Recht, 1929, S. 85 ff.). Auch Internetstraftatbestände sind grundsätzlich dort zu verfolgen, wo die Tathandlung ausgeführt wurde (TPF 2017 170 E. 2.3.3; BARTETZKO, Basler Kommentar, 2. Aufl. 2014, Art. 32 StPO N. 2; BAUMGARTNER, a.a.O., S. 65, 92; MOREILLON/PAREIN-REYMOND, Petit commentaire, 2. Aufl. 2016, Art. 31 StPO N. 4). Als örtlicher Anknüpfungspunkt gilt die Internetprotokolladresse (IP-Adresse), die sich zu einem Internetanschluss einer sich in der Schweiz befindlichen Person zurückverfolgen lässt. Ist nicht bekannt oder nicht ermittelbar, wo der tatrelevante Internetanschluss war oder von wo aus die beschuldigte Person den inkriminierten Inhalt ins Internet geladen hat, ist subsidiär auf den Ort des Erfolgseintritts zurückzugreifen (TPF 2017 170 E. 2.3.3; BAUMGARTNER, a.a.O., S. 92 f.).

3. 3.1 Der unbekannten Täterschaft werden mehrere Delikte vorgeworfen (unbefugte Datenbeschaffung [Art. 143 StGB], unbefugtes Eindringen in ein Datenverarbeitungssystem [Art. 143bis StGB], betrügerischer Missbrauch einer Datenverarbeitungsanlage [Art. 147 StGB]). Sowohl Art. 143 als auch 147 StGB sehen eine Strafandrohung von Freiheitsstrafe bis zu fünf Jahren vor. Demgegenüber kann gemäss Art. 143bis StGB lediglich eine Freiheitsstrafe von bis zu drei Jahren ausgefällt werden. Angesichts dieser Strafandrohungen ist für die Bestimmung des Gerichtsstands relevant, wo die erstgenannten Delikte (Art. 143 und Art. 147 StGB) begangen worden sind.

3.2 Die betroffenen kantonalen Behörden sind sich einig, dass gestützt auf die bisherigen Ermittlungen davon auszugehen ist, dass die unbekannte Täterschaft im Ausland gehandelt hat. Mangels Ausführungsort in der Schweiz ist zur Bestimmung des Gerichtsstands somit auf den Erfolgsort abzustellen (E. 2.2). Da Art. 143 StGB ein als Begehungsdelikt konzipiertes schlichtes Tätigkeitsdelikt ist (Beschluss des Bundesstrafgerichts

142 TPF 2022 140

BG.2013.18 vom 20. August 2013 E. 2.4 m.w.H.) und in Bezug auf dieses Delikt folglich die Möglichkeit einer subsidiären Anknüpfung am Erfolgsort entfällt (BAUMGARTNER, a.a.O., S. 93), ist letztlich massgebend, wo der Erfolgsort des der unbekannten Täterschaft vorgeworfenen betrügerischen Missbrauchs einer Datenverarbeitungsanlage gemäss Art. 147 StGB liegt.

3.3 3.3.1 Gemäss Art. 147 Abs. 1 StGB macht sich strafbar, wer in der Absicht, sich oder einen andern unrechtmässig zu bereichern, durch unrichtige, unvollständige oder unbefugte Verwendung von Daten oder in vergleichbarer Weise auf einen elektronischen oder vergleichbaren Datenverarbeitungs- oder Datenübermittlungsvorgang einwirkt und dadurch eine Vermögensverschiebung zum Schaden eines andern herbeiführt oder eine Vermögensverschiebung unmittelbar darnach verdeckt.

3.3.2 Die in Bezug auf den Betrug nach Art. 146 StGB entwickelte Rechtsprechung zum Erfolgsort hat auch für den betrügerischen Missbrauch einer Datenverarbeitungsanlage gemäss Art. 147 StGB zu gelten, zumal sich diese Bestimmung an den Tatbestand des Betruges anlehnt (Urteile des Bundesgerichts 6B_436/2014 vom 2. März 2015 E. 1.2.1; 6B_810/2007 vom 15. Mai 2008 E. 2.3). Gemäss bundesgerichtlicher Rechtsprechung ist der Betrug ein Erfolgsdelikt mit einem doppelten Erfolg (kupiertes Erfolgsdelikt). Als Ort des Erfolgs gilt sowohl der Ort der schädigenden Vermögensverfügung bzw. der Schädigung des Vermögens als auch derjenige, an dem die beabsichtigte Bereicherung eingetreten ist oder hätte eintreten sollen (BGE 125 IV 177 E. 2a; 124 IV 241 E. 4c; Urteil des Bundesgerichts 6B_127/2013 vom 3. September 2013 E. 4.2.2; Beschluss des Bundesstrafgerichts BG.2021.28 vom 24. September 2021 E. 5.1). In gerichtsstandsrechtlicher Hinsicht ergibt sich bei Art. 147 StGB demnach – neben der vorliegend nicht relevanten Anknüpfung an den Ausführungsort – die Möglichkeit, an den Ort der Vermögensverfügung, den Ort des Schadenseintritts oder den Ort, an dem die beabsichtigte Bereicherung eingetreten ist oder hätte eintreten sollen, anzuknüpfen (BAUMGARTNER, a.a.O., S. 126 f.; Beschluss des Bundesstrafgerichts BG.2016.23 vom 25. November 2016 E. 3.4).

3.3.3 Die Täterschaft und folglich der Ort, an dem die beabsichtigte Bereicherung eingetreten ist, konnte vorliegend nicht ermittelt werden, sodass zur Bestimmung des Gerichtsstandes auf den Ort der Vermögensverfügung oder den Ort des Schadenseintritts abzustellen ist. Die

143 TPF 2022 140

betroffenen kantonalen Behörden sind sich zwar einig, dass diese nicht im Kanton Bern liegen. Insofern ist auch nicht massgebend, dass die ersten (und einzigen) Verfolgungshandlungen durch die Behörden dieses Kantons vorgenommen worden sind. Uneinigkeit besteht indes darüber, ob die genannten beiden (Teil-)Erfolgsorte am Wohnsitz des Kreditkarteninhabers (Kanton Solothurn) oder am Sitz der Kreditkartenausstellerin (Kanton Zürich) liegen.

3.3.4 Für die Bestimmung des Orts der Vermögensverfügung ist relevant, dass Art. 147 StGB geschaffen wurde, um den sogenannten Computerbetrug unter Strafe zu stellen, der u.a. mangels Täuschung eines Menschen nicht unter den klassischen Betrugstatbestand (Art. 146 StGB) fällt. An die Stelle der Vermögensdisposition des Betrugsopfers tritt die von der Datenverarbeitungsanlage (Computer) vorgenommene Vermögensverschiebung zum Schaden eines andern (BGE 129 IV 315 E. 2.1; Urteil des Bundesgerichts 6B_936/2017 vom 9. Februar 2018 E. 2.3). Aus der Konzeption von Art. 147 StGB ergibt sich, dass die Vermögensdisposition gerade nicht durch menschliches Verhalten erfolgt. Deshalb kann zur Bestimmung des Ortes der Vermögensverfügung auch nicht auf den Wohnsitz des Kreditkarteninhabers abgestellt werden. Massgebend ist vielmehr der Ort des Verarbeitungszentrums der Kreditkartenausstellerin, d.h. der Ort, wo die von der Datenverarbeitungsanlage vorgenommene Vermögensverschiebung erfolgte. Die Kreditkartenausstellerin hat ihren Sitz in Zürich. Mangels anderweitiger Hinweise ist davon auszugehen, dass sich deren Verarbeitungszentrum ebenfalls dort – bzw. jedenfalls im Kanton Zürich – befindet. Folglich liegt der Ort der Vermögensverfügung im Kanton Zürich.

3.3.5 Im Zusammenhang mit der Bestimmung des Orts des Schadensein- tritts ist zu beachten, dass es bei Vermögensdelikten im Bankgeschäft oft schwierig zu bestimmen ist, ob die unmittelbar verletzte Person die Bank oder der Kunde ist (MAZZUCCHELLI/POSTIZZI, Basler Kommentar, 2. Aufl. 2014, Art. 115 StPO N. 57). In Fällen wie dem vorliegenden ergibt sich dies namentlich daraus, dass verschiedene Personen, namentlich die Kreditkartenausstellerin und der Kreditkarteninhaber, untereinander Schadenersatzansprüche haben können (Urteil des Bundesgerichts 6B_936/2017 vom 9. Februar 2018 E. 2.4.3). Gemäss den dem Gericht vorliegenden Akten hat der Kreditkarteninhaber im vorliegenden Fall die Transaktion erfolgreich beanstandet, sodass jedenfalls der effektive Schaden letztlich bei der Kreditkartenausstellerin mit Sitz in Zürich entstanden ist.

144 TPF 2022 140

Ob darüber hinaus – wie die Oberstaatsanwaltschaft des Kantons Zürich vorbringt – auch beim Kreditkarteninhaber ein (vorübergehender) Schaden eingetreten ist, lässt sich für das Gericht mangels Vorliegens der zwischen ihm und der Kreditkartenausstellerin vereinbarten Vertragsbedingungen nicht abschliessend bestimmen und kann daher in concreto zur Bestimmung des Gerichtsstandes nicht berücksichtigt werden. Entscheidend ist allein, dass die Vermögensverschiebung zum Schaden eines anderen mit der vorbehaltlosen Verrechnung im Rechenzentrum der Kreditkartenausstellerin vollzogen und der Schaden eingetreten ist, obgleich in diesem Moment noch offen sein mag, wer den Schaden als anderer im Sinne des Gesetzes schliesslich zu tragen hat.

3.3.6 Zusammenfassend liegt sowohl der Ort der Vermögensverfügung als auch der Ort des Schadenseintritts im Kanton Zürich, weshalb dessen Strafbehörden für berechtigt und verpflichtet zu erklären sind, die der unbekannten Täterschaft zur Last gelegten Straftaten zu verfolgen und zu beurteilen.

145