Der „Kryptodiebstahl“ – eine Lücke im deutschen Strafrecht?

Wenn jemand Bitcoins klaut, dann ist das ein Diebstahl vor dem Gesetz. Sollte man zumindest meinen. Dr. Sebastian Ludes, Richter am Amtsgericht erklärt, wie die juristische Wirklichkeit aussieht. Es wird überraschend!

MiCAR I, MiCAR II, die Travel-Rule der „Financial Action Task Force“ – derzeit geistern diverse Regulierungsszenarien umher. Die Bekämpfung von Geldwäsche und Unterbindung von Cyber-Kriminalität, so scheint es, steht auf der to-do-Liste der Europäischen Union an oberster Stelle.

Keine Sorge, in diesem Artikel soll kein weiteres Klagelied auf die (vielleicht übermotivierten) Regulierungsbemühungen angestimmt werden. Stattdessen soll einmal ein Blick auf die strafrechtliche Lage innerhalb Deutschlands geworfen werden, weniger global, aber mindestens genauso interessant.

Der Alptraum eines jeden Bitcoin Hodlers

Stellt Euch vor – das sollte nicht schwer fallen – jemand setzt Eure privaten Schlüssel ohne Euer Wissen ein und verfügt nun über Euer hart erspartes Krypto-Vermögen. Nehmen wir das folgende, frei erfundene Szenario:

Ihr sitzt auf Eurer Terrasse und transferiert gemäß dem Grundsatz „not your keys – not your coins“ die kürzlich erworbenen Bitcoins von der Börse. Sicherheitsbewusst wie Ihr seid, nutzt Ihr ein „Paper-Wallet“ und notiert euch sorgfältig die jeweiligen privaten und öffentlichen Schlüssel.

Da schaut Euer Nachbar Thomas auf einen spontanen Kaffee vorbei. Während Ihr ihm gastfreundlich einen Espresso zubereitet, erhascht er einen Blick auf die offen herumliegenden Schlüssel. Thomas wittert die große Chance, an Geld zu kommen und fotografiert mit seinem Smartphone die Schlüssel , ohne dass Ihr es mitbekommt, verabschiedet sich nach dem Kaffee fluchtartig, um kurze Zeit später mit Hilfe der Schlüssel Euren Bitcoin-Bestand – immerhin 203 Bitcoins – auf eine von ihm kontrollierte öffentliche Adresse zu transferieren.

Der Alptraum eines jeden Bitcoin Hodlers wird für Euch Realität.

Diebstahl oder nicht?

Wie steht nun Thomas strafrechtlich dar? Hat er sich strafbar gemacht? Na klar, werden sich nun einige von Euch denken. Der hat doch einen Diebstahl begangen!

So nahe der Gedanke liegt, so offensichtlich ist der Tatbestand des Diebstahls – geregelt in § 242 Abs.1 des Strafgesetzbuches (im Folgenden: „StGB“) – nicht erfüllt. Grundvoraussetzung für die Annahme eines Diebstahls ist nämlich die Wegnahme einer beweglichen „Sache“. Sachen können aber nur körperliche Gegenstände sein. Bitcoins in Gestalt von Programmcode mag vieles sein, ein körperlicher Gegenstand aber wohl auf keinen Fall. Ein Diebstahl an Euren Bitcoins scheidet damit aus.

Der Idee, Bitcoins – also den Programmcode in Gestalt der In- und Outputs – einer Sache gleichzusetzen, diese also wie eine Sache zu behandeln, wird ein Riegel vorgeschoben. Im deutschen Strafrecht gilt das sogenannte „Analogieverbot“. Dieses verbietet es ausnahmslos, zu Lasten einer Person Sachverhalte, die dem Sachverhalt einer Strafnorm nicht entsprechen, aber ihr ähnlich erscheinen, gleichzusetzen. Aus einem Bitcoin eine Sache zu machen, weil man so gerne einen Diebstahl bejahen möchte und ein Bitcoin einer Sache doch irgendwie ähnlich erscheint, ist also tabu. Ohne Wenn und Aber.

Wenn kein Diebstahl – was war es dann?

Bei der Suche nach weiteren Straftatbeständen, die Thomas verwirklicht haben könnte, wird es jetzt schon ein bisschen eng. Wenn Ihr die Schlüssel freiwillig an Thomas herausgegeben hättet, weil er Euch irgendwie getäuscht hätte, könnte man vielleicht einen Betrug nach § 263 Abs.1 StGB (und bei einem hohen finanziellen Schaden auch einen Betrug im besonders schweren Fall) bejahen. Wenn Thomas Euch bedroht hätte, damit ihr ihm die Schlüssel aushändigt, dann könnte eine Erpressung nach § 253 Abs.1 StGB verwirklicht worden sein. Hat er aber beides nicht.

Die Lösung könnte in dem Tatbestand des „Ausspähens von Daten“ gemäß § 202a StGB liegen. Dieser stellt die unbefugte Zugangsverschaffung zu Daten – also auch zu privaten Schlüsseln – unter Strafe, aber nur dann, wenn diese Daten gegen den unbefugten Zugang besonders gesichert waren. Hätte Thomas also eine Passwortsicherung Eurer Wallet oder Eures Computers überwunden, um an die privaten Schlüssel zu gelangen, dann hätte er sich wegen Ausspähens von Daten wohl strafbar gemacht. Die Vorschrift sieht zwar „nur“ eine Höchstfreiheitsstrafe von zwei Jahren vor, aber immerhin haben wir eine strafbare Handlung. Die Schlüssel in unserem Beispiel lagen aber ungesichert herum, so dass auch der Tatbestand des § 202a StGB nicht verwirklicht ist.

Was bleibt nun?

Vielleicht könnte man über die Verwirklichung eines Computerbetruges gemäß § 263a Abs.1 StGB nachdenken. So ganz einfach ist das mit dem Computerbetrug nicht und es ist hilfreich, einmal zu schauen, was denn in der Vorschrift überhaupt steht:

„Wer in der Absicht, sich oder einem Dritten einen rechtswidrigen Vermögensvorteil zu verschaffen, das Vermögen eines anderen dadurch beschädigt, dass er das Ergebnis eines Datenverarbeitungsvorgangs durch unrichtige Gestaltung des Programms, durch Verwendung unrichtiger oder unvollständiger Daten, durch unbefugte Verwendung von Daten oder sonst durch unbefugte Einwirkung auf den Ablauf beeinflusst, wird mit Freiheitsstrafe bis zu fünf Jahren oder mit Geldstrafe bestraft.“

Man könnte nun annehmen, dass hier die Variante erfüllt wäre, als dass unser Nachbar Thomas das Ergebnis eines Datenverarbeitungsvorganges – bei Bitcoin die Ausführung eines Unlocking-Skripts – durch die unbefugte Verwendung von Daten – nämlich die erbeuteten privaten Schlüssel – beeinflusst hat. Dafür müsste also die Verwendung der privaten Schlüssel unbefugt geschehen sein.

Und genau hier hakt es bei der Prüfung ganz gewaltig. Wieso das?

Die Anaogie mit dem Geldautomaten

Ganz früher, als die Menschen noch über Festnetz telefoniert und Briefe statt E-Mails versendet haben, gab es noch keine Geldautomaten, an denen man sich mit Geld versorgen konnte. Man musste zum Schalter der jeweiligen Bank gehen, und sich das Geld über den Schalterbediensteten besorgen. Wenn man dort den Bankmitarbeiter über seine Identität getäuscht hat, um an Bargeld zu kommen, dann war das strafrechtlich kein Problem: Man hatte einen Betrug nach § 263 Abs.1 StGB begangen.

Problematisch wurde es, als man die ersten Geldautomaten aufgestellt hatte: Wenn man dort die Geldkarte einer anderen Person unter gleichzeitiger Eingabe der jeweiligen PIN eingesetzt hat, dann hat man den Automaten nicht getäuscht, also bei dem Automaten einen Irrtum erregt, da man per Definition nur Lebewesen täuschen kann, jedoch keine Maschinen. Ein Betrug kam in solchen Fällen also nicht in Betracht. Es musste ein eigener Straftatbestand geschaffen werden, damit solche Fälle der „Automatentäuschung“ vom Strafrecht erfasst werden konnten. Das Ergebnis ist der Computerbetrug. Und da der Computerbetrug so nahe an dem Betrug im herkömmlichen Sinn angelehnt ist, verlangt der Computerbetrug, dass die Verwendung der Daten „unbefugt“ geschieht.

Damit ist gemeint, dass im Rahmen des Datenverarbeitungsprogrammes an irgendeiner Stelle die Identität des vermeintlichen Verwenders der Daten abgeglichen, also überprüft wird.

Bei einem Geldautomaten ist dies kein großes Problem. Der Automat gleicht bei Auslesung der Geldkarte die Identität derjenigen Person ab, welche der Karte durch die Bank zugeordnet wurde: Ist die Geldkarte auf Herrn Meier zugelassen und wird die Karte durch Herrn Müller unter Eingabe der PIN genutzt, dann überprüft der Geldautomat die Identität des Kartennutzers und kommt zu dem – unrichtigen – Ergebnis, dass Herr Meier die Karte nutzt. Die Geldkarte ist mit der Identität des Herrn Meier verbunden, so dass bei Nutzung der Karte durch eine andere Person eine täuschungsähnliche Situation bei dem Geldautomaten hervorgerufen wird.

Aber Achtung! Ein solcher Abgleich der Identität des Nutzers privater Schlüssel findet im Netzwerk von Bitcoin im Rahmen des Validierungsprozesses einer Transaktionsanweisung nicht statt! Das Netzwerk kennt keine Individuen; kein privater Schlüssel ist einer Person zugeordnet. Die einzige Überprüfung, die durch die Nodes des Netzwerkes geleistet wird, besteht darin, sicherzustellen, dass das jeweils eingesetzte Unlocking-Skript zum dazugehörigen Locking-Skript passt. Nicht mehr und nicht weniger. Ist das der Fall, wird die Transaktion freigeschaltet, es nicht der Fall, wird sie zurückgewiesen.

Mangels täuschungsähnlichen Vorgang kann ein Computerbetrug also nicht verwirklicht sein, wenn eine Person die Schlüssel einer anderen Person ohne Wissen dieser anderen Person im Netzwerk einsetzt.

Eine erhebliche Strafbarkeitslücke

Thomas kommt aus der Nummer wohl wirklich straflos raus.

Die Verwirklichung des Tatbestandes der Datenveränderung nach § 303a StGB mag man noch andenken. Immerhin verändert Thomas durch Einsatz der privaten Schlüssel und Durchführung der Transaktion die jeweiligen „unspent transaction outputs“ („UTXOs“) und verändert damit Daten, welche auf der Blockchain festgehalten sind. Jedoch wird bei diesem Tatbestand verlangt, dass Ihr als Geschädigte eine „eigentümerähnliche Verfügungsbefugnis“ über die jeweiligen UTXOs hättet. Und genau das ist mangels Zuordnung der UTXOs zu einer konkreten Person wohl nur schwerlich zu bejahen.

Zuletzt (und dann sind wir wirklich durch) hat Thomas auch keine Fälschung beweiserheblicher Daten nach § 269 Abs.1 StGB begangen. Dieser Tatbestand wurde in die Welt gesetzt, um die Urkundenfälschung nach § 267 StGB, die stets eine stoffliche Urkunde voraussetzt, in die digitale Welt zu bringen, in der man statt mit verkörperten Gedankenerklärungen mit Daten operiert. Voraussetzung für die Annahme einer Fälschung beweiserheblicher Daten ist jedoch die Vergleichbarkeit mit einer Urkundenfälschung. Diese Vergleichbarkeit ist jedoch nur dann gegeben, wenn die Daten, in physischer Form, einer Gedankenerklärung entsprechen würden, die ihren Aussteller erkennen lassen würden. Man kann viel in einen UTXO, welcher durch Thomas‘ Handeln verändert wird, hinein interpretieren, aber sicher nicht, dass er einen Aussteller zu erkennen gibt.

Wirklich ärgerlich ist, dass Thomas wohl nicht nur straffrei bleibt, sondern der Staat auch keine Möglichkeit hat, die von Thomas erlangten Bitcoins sicherzustellen. Eine solche Sicherstellung setzt nämlich eine Straftat voraus. Ich weiß nicht, wie es Euch bei der Sache geht, aber ich empfinde den Zustand als zutiefst unbefriedigend.

Bei all dem Fokus auf eine europaweite, ja globale Regulierung der Krypto-Werte, ist festzustellen, dass wir in Deutschland eine erhebliche Strafbarkeitslücke haben, die meines Erachtens nur durch die Schaffung einer neuen Strafvorschrift zu schließen ist. Überfällig ist eine solche Vorschrift jedenfalls.

—

Über den Verfasser: Dr. Sebastian Ludes ist Richter am Amtsgericht Lingen. Beruflich kommt er eher wenige in den Kontakt mit Kryptowährungen, interessiert sich seit dem Jahr 2014 dafür umso mehr für das Thema privat. Er hält Seminar für die Anwaltschaft um das Verständnis zum Thema Bitcoin, Blockchain und smart contracts in der Justiz auszubauen und arbeitet mit zwei weiteren Juristen an einem Buch zum Thema Kryptowährung und den damit verbundenen rechtlichen Fragestellungen.