Bundesgericht
Tribunal fédéral
Tribunale federale
Tribunal federal

6B 1207/2018

Urteil vom 17. Mai 2019

Strafrechtliche Abteilung

Besetzung
Bundesrichter Denys, Präsident,
Bundesrichterin Jacquemoud-Rossari,
Bundesrichter Oberholzer, Rüedi,
Bundesrichterin Jametti,
Gerichtsschreiber Boog.

Verfahrensbeteiligte
X.________,
vertreten durch Rechtsanwalt Beat Gachnang,
Beschwerdeführerin,

gegen

1. Oberstaatsanwaltschaft des Kantons Aargau,

2. A.________,
vertreten durch Rechtsanwältin Sindy Pajarola,
Beschwerdegegner.

Gegenstand
Mehrfaches unbefugtes Eindringen in ein Datenverarbeitungssystem; Verbotsirrtum,

Beschwerde gegen das Urteil des Obergerichts des Kantons Aargau, Strafgericht, 2. Kammer, vom 16. Oktober 2018 (SST.2018.29).

Sachverhalt:

A.
X.________ wird vorgeworfen, in der Zeit vom 1. Januar 2014 bis 1. Mai 2015, nach der Trennung von ihrem Ehemann A.________, von ihren damaligen Wohnorten aus mehrfach unberechtigt in dessen für sie fremden und passwortgeschützten Google Account (Gmail) eingedrungen zu sein. Dabei habe sie sich unbefugterweise, ohne Wissen und Einverständnis des Ehemannes, vorwiegend geschäftliche Daten sowie solche aus dem schriftlichen Verkehr zwischen jenem und seinem Anwalt zugänglich gemacht. Im Weiteren habe sie zwischen Dezember 2013 und Dezember 2014 mindestens 23 Bilddateien mit Aufnahmen einer jungen weiblichen Person heruntergeladen, wobei auf einer dieser Bildaufnahmen auch eine Passwortliste abgebildet gewesen sei. X.________ erlangte Zugang zum E-Mailaccount ihres Ehemannes, indem sie dessen Passwort verwendete, das sie - aufnotiert auf einem Karteikärtchen - in der Korpusschublade im gemeinsamen Büro der früheren ehelichen Wohnung aufgefunden hatte.

B.
Das Bezirksgericht Bremgarten erklärte X.________ am 13. Dezember 2017 auf Einsprache gegen den Strafbefehl der Staatsanwaltschaft Muri-Bremgarten vom 22. Februar 2017 des mehrfachen unbefugten Eindringens in ein Datenverarbeitungssystem schuldig und verurteilte sie zu einer Geldstrafe von 50 Tagessätzen zu Fr. 30.--, mit bedingtem Strafvollzug bei einer Probezeit von 2 Jahren, sowie zu einer Busse von Fr. 300.--, bei schuldhafter Nichtbezahlung umwandelbar in eine Ersatzfreiheitsstrafe von 10 Tagen. Ferner verpflichtete es die Beurteilte zur Zahlung einer Parteientschädigung von Fr. 3'499.40 an ihren Ehemann.
Hiegegen erhoben die Beurteilte Berufung und ihr Ehemann Anschlussberufung. Das Obergericht des Kantons Aargau bestätigte in Abweisung der Berufung den erstinstanzlichen Entscheid mit Urteil vom 16. Oktober 2018 im Schuld- und Strafpunkt. In teilweiser Gutheissung der Anschlussberufung verpflichtete es X.________ zur Bezahlung einer Parteientschädigung an ihren Ehemann von Fr. 9'677.-- für das erstinstanzliche Verfahren. Schliesslich entschied es über die Verlegung der ordentlichen und ausserordentlichen Kosten des zweitinstanzlichen Verfahrens.

C.
X.________ führt Beschwerde in Strafsachen, mit der sie beantragt, das angefochtene Urteil sei aufzuheben und sie sei von der Anklage des mehrfachen unbefugten Eindringens in ein Datenverarbeitungssystem freizusprechen. Eventualiter sei das angefochtene Urteil aufzuheben und die Sache zur Neubeurteilung an die Vorinstanz zurückzuweisen. Ferner ersucht sie um Gewährung der unentgeltlichen Rechtspflege.

D.
Das Obergericht und die Oberstaatsanwaltschaft des Kantons Aargau sowie A.________ haben auf Vernehmlassung verzichtet.

Erwägungen:

1.

1.1. Die Beschwerdeführerin wendet sich gegen den Schuldspruch des unbefugten Eindringens in ein Datenverarbeitungssystem gemäss Art. 143 bis Abs. 1

SR 311.0 Codice penale svizzero del 21 dicembre 1937 CP Art. 143bis - 1 Chiunque si introduce indebitamente, per mezzo di un dispositivo di trasmissione dei dati, in un sistema altrui per l'elaborazione di dati specialmente protetto contro ogni suo accesso è punito, a querela di parte, con una pena detentiva sino a tre anni o con una pena pecuniaria.
1	Chiunque si introduce indebitamente, per mezzo di un dispositivo di trasmissione dei dati, in un sistema altrui per l'elaborazione di dati specialmente protetto contro ogni suo accesso è punito, a querela di parte, con una pena detentiva sino a tre anni o con una pena pecuniaria.
2	Chiunque mette in circolazione o rende accessibili password, programmi o altri dati, sapendo o dovendo presumere che sono utilizzati allo scopo di commettere un reato secondo il capoverso 1, è punito con una pena detentiva sino a tre anni o con una pena pecuniaria.

StGB. Sie macht geltend, für die Erfüllung des Tatbestandes sei entscheidend, auf welche Weise die Täterschaft eine elektronische Zugangsschranke überwinde. Der Tatbestand erfordere eine erhöhte kriminelle Energie, um in ein fremdes, gegen den Zugriff unberechtigter Personen besonders gesichertes Datenverarbeitungssystem einzudringen, wie es etwa beim Hacking oder bei sog. Phishing-Mails zum Ausdruck komme. Im vorliegenden Fall hätten sich die auf Karteikärtchen aufnotierten Passwörter und Zugangsdaten zum E-Mail-Account des Beschwerdegegners frei zugänglich in der Korpusschublade des Büroschreibtisches in der früheren ehelichen Wohnung befunden. Der Beschwerdegegner habe diese Kärtchen bei seinem Auszug zurückgelassen und die Zugangsdaten zu seinem E-Mail-Account in der Folge auch nicht geändert. Sie sei mithin ohne irgendwelche kriminelle Machenschaften in den Besitz des Passwortes zum Gmail-Konto des Beschwerdegegners gelangt. Es liege ein bloss ungehöriges Eindringen in dessen Rechtssphäre vor, das nicht strafbar sei (Beschwerde S. 8 ff.).

1.2. Die kantonalen Instanzen stellen in tatsächlicher Hinsicht fest, die Beschwerdeführerin habe sich, nachdem der Beschwerdegegner aus der ehemaligen ehelichen Wohnung ausgezogen sei, im Anklagezeitraum insgesamt 15 Mal Zugang zu dessen Gmail-Konto verschafft, indem sie das vom Beschwerdegegner versehentlich zurückgelassene und von ihr aufgefundene Passwort verwendet habe. Der Beschwerdegegner sei der alleinige Zugangsberechtigte über den fraglichen Google-Account gewesen (angefochtenes Urteil S. 8 f., 10; erstinstanzliches Urteil S. 9).
In rechtlicher Hinsicht nimmt die Vorinstanz an, das Gmail-Konto des Beschwerdegegners stelle ein von Art. 143 bis Abs. 1

SR 311.0 Codice penale svizzero del 21 dicembre 1937 CP Art. 143bis - 1 Chiunque si introduce indebitamente, per mezzo di un dispositivo di trasmissione dei dati, in un sistema altrui per l'elaborazione di dati specialmente protetto contro ogni suo accesso è punito, a querela di parte, con una pena detentiva sino a tre anni o con una pena pecuniaria.
1	Chiunque si introduce indebitamente, per mezzo di un dispositivo di trasmissione dei dati, in un sistema altrui per l'elaborazione di dati specialmente protetto contro ogni suo accesso è punito, a querela di parte, con una pena detentiva sino a tre anni o con una pena pecuniaria.
2	Chiunque mette in circolazione o rende accessibili password, programmi o altri dati, sapendo o dovendo presumere che sono utilizzati allo scopo di commettere un reato secondo il capoverso 1, è punito con una pena detentiva sino a tre anni o con una pena pecuniaria.

StGB erfasstes Datenverarbeitungssystem dar. Dieses sei für die Beschwerdeführerin aufgrund der fehlenden Zugangsberechtigung ein fremdes gewesen. Der Zugang zum Konto des Beschwerdegegners sei durch ein Passwort gesperrt gewesen, was als Sicherheitsmassnahme ausreichend gewesen sei und dem üblichen technischen Sicherheitsstandard entspreche. Der Account stelle somit ein gegen den unberechtigten Zugriff der Beschwerdeführerin besonders gesichertes Datenverarbeitungssystem dar. Die Überwindung des mit einem Passwort gesicherten Zugangs zum Konto erfülle den Tatbestand des unbefugten Eindringens in ein Datenverarbeitungssystem. Dabei sei ohne Bedeutung, wie sich die Beschwerdeführerin das Passwort vorgängig verschafft habe. Diese sei sich aufgrund der gegebenen Umstände bewusst gewesen, dass der Zugriff unbefugt bzw. gegen den Willen des Beschwerdegegners erfolgt sei. Dass dieser die Tatbegehung durch sein unvorsichtiges Verhalten erleichtert habe, indem er das Passwort in der Wohnung zurückliess, führe zu keinem anderen Ergebnis (angefochtenes Urteil S. 11 f., 14; erstinstanzliches Urteil S. 8). Die
Beschwerdeführerin habe bei der Tatbegehung indes keine besondere kriminelle Energie bewiesen (angefochtenes Urteil S. 20/21).

2.

2.1. Gemäss Art. 143 bis Abs. 1

SR 311.0 Codice penale svizzero del 21 dicembre 1937 CP Art. 143bis - 1 Chiunque si introduce indebitamente, per mezzo di un dispositivo di trasmissione dei dati, in un sistema altrui per l'elaborazione di dati specialmente protetto contro ogni suo accesso è punito, a querela di parte, con una pena detentiva sino a tre anni o con una pena pecuniaria.
1	Chiunque si introduce indebitamente, per mezzo di un dispositivo di trasmissione dei dati, in un sistema altrui per l'elaborazione di dati specialmente protetto contro ogni suo accesso è punito, a querela di parte, con una pena detentiva sino a tre anni o con una pena pecuniaria.
2	Chiunque mette in circolazione o rende accessibili password, programmi o altri dati, sapendo o dovendo presumere che sono utilizzati allo scopo di commettere un reato secondo il capoverso 1, è punito con una pena detentiva sino a tre anni o con una pena pecuniaria.

StGB wird auf Antrag mit Freiheitsstrafe bis zu drei Jahren oder mit Geldstrafe bestraft, wer auf dem Wege von Datenübertragungseinrichtungen unbefugterweise in ein fremdes, gegen seinen Zugriff besonders gesichertes Datenverarbeitungssystem eindringt. Der Tatbestand schützt Datenverarbeitungssysteme vor Eindringlingen (sog. Hackern), die darauf aus sind, Sicherungen zu durchbrechen und in gesicherte Datensysteme einzudringen und deren Tätigkeit sich für den ordnungsgemässen Betrieb insbesondere von Grossanlagen als sehr störend und gefährlich erwiesen hat (Botschaft über die Änderung des Schweizerischen Strafgesetzbuches und des Militärstrafgesetzes vom 24. April 1991, BBl 1991 II S. 1011 [nachfolgend: Botschaft 1991]). Der Gesetzgeber macht die Strafbarkeit nach Art. 143 bis Abs. 1

SR 311.0 Codice penale svizzero del 21 dicembre 1937 CP Art. 143bis - 1 Chiunque si introduce indebitamente, per mezzo di un dispositivo di trasmissione dei dati, in un sistema altrui per l'elaborazione di dati specialmente protetto contro ogni suo accesso è punito, a querela di parte, con una pena detentiva sino a tre anni o con una pena pecuniaria.
1	Chiunque si introduce indebitamente, per mezzo di un dispositivo di trasmissione dei dati, in un sistema altrui per l'elaborazione di dati specialmente protetto contro ogni suo accesso è punito, a querela di parte, con una pena detentiva sino a tre anni o con una pena pecuniaria.
2	Chiunque mette in circolazione o rende accessibili password, programmi o altri dati, sapendo o dovendo presumere che sono utilizzati allo scopo di commettere un reato secondo il capoverso 1, è punito con una pena detentiva sino a tre anni o con una pena pecuniaria.

StGB bewusst davon abhängig, ob eine Zugangssicherung überwunden werden muss (vgl. Botschaft vom 18. Juni 2010 über die Genehmigung und die Umsetzung des Übereinkommens des Europarates über die Cyberkriminalität, BBl 2010 4703 sowie den Vorbehalt der Schweiz zu Art. 2 des Übereinkommens vom 23. November 2001 über die Cyberkriminalität, SR 0.311.43; Urteil 6B 615/2014 vom 2. Dezember 2014 E. 4.3).
Der Tatbestand des unbefugten Eindringens in ein Datenverarbeitungssystem im Sinne von Art. 143 bis Abs. 1

SR 311.0 Codice penale svizzero del 21 dicembre 1937 CP Art. 143bis - 1 Chiunque si introduce indebitamente, per mezzo di un dispositivo di trasmissione dei dati, in un sistema altrui per l'elaborazione di dati specialmente protetto contro ogni suo accesso è punito, a querela di parte, con una pena detentiva sino a tre anni o con una pena pecuniaria.
1	Chiunque si introduce indebitamente, per mezzo di un dispositivo di trasmissione dei dati, in un sistema altrui per l'elaborazione di dati specialmente protetto contro ogni suo accesso è punito, a querela di parte, con una pena detentiva sino a tre anni o con una pena pecuniaria.
2	Chiunque mette in circolazione o rende accessibili password, programmi o altri dati, sapendo o dovendo presumere che sono utilizzati allo scopo di commettere un reato secondo il capoverso 1, è punito con una pena detentiva sino a tre anni o con una pena pecuniaria.

StGB erfasst als Vorbereitungshandlung zur unbefugten Datenbeschaffung gemäss Art. 143

SR 311.0 Codice penale svizzero del 21 dicembre 1937 CP Art. 143 - 1 Chiunque, per procacciare a sé o ad altri un indebito profitto, procura, per sé o altri, dati a lui non destinati e specialmente protetti contro il suo accesso non autorizzato, registrati o trasmessi elettronicamente o secondo un modo simile, è punito con una pena detentiva sino a cinque anni o con una pena pecuniaria.
1	Chiunque, per procacciare a sé o ad altri un indebito profitto, procura, per sé o altri, dati a lui non destinati e specialmente protetti contro il suo accesso non autorizzato, registrati o trasmessi elettronicamente o secondo un modo simile, è punito con una pena detentiva sino a cinque anni o con una pena pecuniaria.
2	L'acquisizione illecita di dati a danno di un congiunto o di un membro della comunione domestica è punita soltanto a querela di parte.

StGB - gleichsam analog zum Tatbestand des Hausfriedensbruchs (Art. 186

SR 311.0 Codice penale svizzero del 21 dicembre 1937 CP Art. 186 - Chiunque, indebitamente e contro la volontà dell'avente diritto, s'introduce in una casa, in un'abitazione, in un locale chiuso di una casa, od in uno spiazzo, corte o giardino cintati e attigui ad una casa, od in un cantiere, oppure vi si trattiene contro l'ingiunzione d'uscirne fatta da chi ne ha diritto, è punito, a querela di parte, con una pena detentiva sino a tre anni o con una pena pecuniaria.

StGB) - bereits das Eindringen in fremde Datenverarbeitungsanlagen (Botschaft 1991, 1011; PHILIPPE WEISSENBERGER, in: Basler Kommentar, Strafrecht II, 4. Aufl. 2019, N 5 zu Art. 143bis

SR 311.0 Codice penale svizzero del 21 dicembre 1937 CP Art. 143bis - 1 Chiunque si introduce indebitamente, per mezzo di un dispositivo di trasmissione dei dati, in un sistema altrui per l'elaborazione di dati specialmente protetto contro ogni suo accesso è punito, a querela di parte, con una pena detentiva sino a tre anni o con una pena pecuniaria.
1	Chiunque si introduce indebitamente, per mezzo di un dispositivo di trasmissione dei dati, in un sistema altrui per l'elaborazione di dati specialmente protetto contro ogni suo accesso è punito, a querela di parte, con una pena detentiva sino a tre anni o con una pena pecuniaria.
2	Chiunque mette in circolazione o rende accessibili password, programmi o altri dati, sapendo o dovendo presumere che sono utilizzati allo scopo di commettere un reato secondo il capoverso 1, è punito con una pena detentiva sino a tre anni o con una pena pecuniaria.

StGB). Angriffsobjekte sind die Datenverarbeitungssysteme bzw. -anlagen, nicht jedoch - im Gegensatz zu Art. 143

SR 311.0 Codice penale svizzero del 21 dicembre 1937 CP Art. 143 - 1 Chiunque, per procacciare a sé o ad altri un indebito profitto, procura, per sé o altri, dati a lui non destinati e specialmente protetti contro il suo accesso non autorizzato, registrati o trasmessi elettronicamente o secondo un modo simile, è punito con una pena detentiva sino a cinque anni o con una pena pecuniaria.
1	Chiunque, per procacciare a sé o ad altri un indebito profitto, procura, per sé o altri, dati a lui non destinati e specialmente protetti contro il suo accesso non autorizzato, registrati o trasmessi elettronicamente o secondo un modo simile, è punito con una pena detentiva sino a cinque anni o con una pena pecuniaria.
2	L'acquisizione illecita di dati a danno di un congiunto o di un membro della comunione domestica è punita soltanto a querela di parte.

StGB - die darin gespeicherten Daten. Geschützt wird die Freiheit des Berechtigten, darüber zu entscheiden, wem der Zugang zu einer gesicherten Datenverarbeitungsanlage und den dort gespeicherten Daten gewährt wird (Urteil 6B 456/2007 vom 18. März 2008 E. 4.1 und 4.2, in: Pra 2008 Nr. 96 S. 610; mit Hinweisen).
Wer sich über ein Passwort in ein E-Mail-Konto einloggt, gelangt gleichzeitig auch in das Datenverarbeitungssystem als solches. Das Passwort gibt dem Inhaber somit nicht nur die Befugnis, über den Zugang zum geschützten E-Mailkonto, sondern auch über den Zutritt zur Datenverarbeitungsanlage als solcher zu bestimmen (Urteile 6B 456/2007 vom 18. März 2008 E. 4.3, in: Pra 2008 Nr. 96 S. 610; 6B 615/2014 vom 2. Dezember 2014 E. 4.3; je mit Hinweisen).

2.2.

2.2.1. Im zu beurteilenden Fall ist unbestritten, dass die Beschwerdeführerin nicht berechtigt war, sich in den Gmail-Account des Beschwerdegegners einzuloggen, und sich demnach unbefugt in einem fremden Datenverarbeitungssystem bewegt hat. Die elektronische Post fremder Personen ist für andere Nutzer ein fremder Teil des gesamten Datenverarbeitungssystems (WEISSENBERGER, a.a.O., N 13/19 a.E. zu Art. 143bis

SR 311.0 Codice penale svizzero del 21 dicembre 1937 CP Art. 143bis - 1 Chiunque si introduce indebitamente, per mezzo di un dispositivo di trasmissione dei dati, in un sistema altrui per l'elaborazione di dati specialmente protetto contro ogni suo accesso è punito, a querela di parte, con una pena detentiva sino a tre anni o con una pena pecuniaria.
1	Chiunque si introduce indebitamente, per mezzo di un dispositivo di trasmissione dei dati, in un sistema altrui per l'elaborazione di dati specialmente protetto contro ogni suo accesso è punito, a querela di parte, con una pena detentiva sino a tre anni o con una pena pecuniaria.
2	Chiunque mette in circolazione o rende accessibili password, programmi o altri dati, sapendo o dovendo presumere che sono utilizzati allo scopo di commettere un reato secondo il capoverso 1, è punito con una pena detentiva sino a tre anni o con una pena pecuniaria.

StGB). Das Zurücklassen des Passwortes in der vormals ehelichen Wohnung lässt sich nicht so verstehen, dass der Beschwerdegegner mit dem Zugriff der Beschwerdeführerin auf seinen Gmail-Account einverstanden gewesen wäre, zumal jener die Karteikärtchen mit den aufnotierten Passwörtern nach den tatsächlichen Feststellungen der Vorinstanz nicht bewusst zurückgelassen, sondern bloss vergessen hat.

2.2.2. Zu entscheiden ist indes, ob die Beschwerdeführerin, indem sie das zufällig aufgefundene Passwort zum Einloggen in den Account des Beschwerdegegners missbraucht hat, im Sinne der Strafbestimmung von Art. 143 bis Abs. 1

SR 311.0 Codice penale svizzero del 21 dicembre 1937 CP Art. 143bis - 1 Chiunque si introduce indebitamente, per mezzo di un dispositivo di trasmissione dei dati, in un sistema altrui per l'elaborazione di dati specialmente protetto contro ogni suo accesso è punito, a querela di parte, con una pena detentiva sino a tre anni o con una pena pecuniaria.
1	Chiunque si introduce indebitamente, per mezzo di un dispositivo di trasmissione dei dati, in un sistema altrui per l'elaborazione di dati specialmente protetto contro ogni suo accesso è punito, a querela di parte, con una pena detentiva sino a tre anni o con una pena pecuniaria.
2	Chiunque mette in circolazione o rende accessibili password, programmi o altri dati, sapendo o dovendo presumere che sono utilizzati allo scopo di commettere un reato secondo il capoverso 1, è punito con una pena detentiva sino a tre anni o con una pena pecuniaria.

StGB in ein fremdes, gegen unberechtigten Zugriff besonders gesichertes Datenverarbeitungssystem eingedrungen ist. Soweit die Vorinstanz dies bejaht, verletzt sie kein Bundesrecht.
Die Tathandlung des Eindringens umschreibt die Überwindung von Zugangsschranken zur Datenverarbeitung wie Codes oder Verschlüsselungen mittels drahtverbundener Wege oder drahtloser Kanäle der Datenfernübermittlung, welche den Täter von den Daten fernhalten sollen (WEISSENBERGER, a.a.O., N 17 zu Art. 143bis

SR 311.0 Codice penale svizzero del 21 dicembre 1937 CP Art. 143bis - 1 Chiunque si introduce indebitamente, per mezzo di un dispositivo di trasmissione dei dati, in un sistema altrui per l'elaborazione di dati specialmente protetto contro ogni suo accesso è punito, a querela di parte, con una pena detentiva sino a tre anni o con una pena pecuniaria.
1	Chiunque si introduce indebitamente, per mezzo di un dispositivo di trasmissione dei dati, in un sistema altrui per l'elaborazione di dati specialmente protetto contro ogni suo accesso è punito, a querela di parte, con una pena detentiva sino a tre anni o con una pena pecuniaria.
2	Chiunque mette in circolazione o rende accessibili password, programmi o altri dati, sapendo o dovendo presumere che sono utilizzati allo scopo di commettere un reato secondo il capoverso 1, è punito con una pena detentiva sino a tre anni o con una pena pecuniaria.

StGB; ANDREAS DONATSCH, Strafrecht III, 11. Aufl. 2018, S. 206; TRECHSEL/CRAMERI, Schweizerisches Strafgesetzbuch Praxiskommentar, 3. Aufl., 2018, N 6 zu Art. 143bis). Die Verwendung eines Zugangscodes oder eines Passwortes gilt als ausreichender Schutz im Sinne der Strafbestimmung (vgl. WEISSENBERGER, a.a.O., N 15 zu Art. 143 bis

SR 311.0 Codice penale svizzero del 21 dicembre 1937 CP Art. 143bis - 1 Chiunque si introduce indebitamente, per mezzo di un dispositivo di trasmissione dei dati, in un sistema altrui per l'elaborazione di dati specialmente protetto contro ogni suo accesso è punito, a querela di parte, con una pena detentiva sino a tre anni o con una pena pecuniaria.
1	Chiunque si introduce indebitamente, per mezzo di un dispositivo di trasmissione dei dati, in un sistema altrui per l'elaborazione di dati specialmente protetto contro ogni suo accesso è punito, a querela di parte, con una pena detentiva sino a tre anni o con una pena pecuniaria.
2	Chiunque mette in circolazione o rende accessibili password, programmi o altri dati, sapendo o dovendo presumere che sono utilizzati allo scopo di commettere un reato secondo il capoverso 1, è punito con una pena detentiva sino a tre anni o con una pena pecuniaria.

StGB; GILLES MONNIER, in: Commentaire Romand, Code pénal II, 2017 N 7 f. zu Art. 143bis und N 6 zu Art. 143; DONATSCH, a.a.O., S. 206 i.V.m. S. 201; TRECHSEL/CRAMERI, a.a.O., N 6 zu Art. 143; NIKLAUS SCHMID, Computer- sowie Check- und Kreditkarten-Kriminalität, 1994, § 5/StGB 143bis N 20 i.V.m. § 4/StGB 143 N 37). Ohne Bedeutung ist grundsätzlich, auf welche Weise die elektronische Sicherung ausgeschaltet wird (SCHMID, a.a.O., § 5/Art. 143 bis

SR 311.0 Codice penale svizzero del 21 dicembre 1937 CP Art. 143bis - 1 Chiunque si introduce indebitamente, per mezzo di un dispositivo di trasmissione dei dati, in un sistema altrui per l'elaborazione di dati specialmente protetto contro ogni suo accesso è punito, a querela di parte, con una pena detentiva sino a tre anni o con una pena pecuniaria.
1	Chiunque si introduce indebitamente, per mezzo di un dispositivo di trasmissione dei dati, in un sistema altrui per l'elaborazione di dati specialmente protetto contro ogni suo accesso è punito, a querela di parte, con una pena detentiva sino a tre anni o con una pena pecuniaria.
2	Chiunque mette in circolazione o rende accessibili password, programmi o altri dati, sapendo o dovendo presumere che sono utilizzati allo scopo di commettere un reato secondo il capoverso 1, è punito con una pena detentiva sino a tre anni o con una pena pecuniaria.

StGB N 21). Als Angriff genügt, gleichsam analog zum Tatbestand des Hausfriedensbruchs gemäss Art. 186

SR 311.0 Codice penale svizzero del 21 dicembre 1937 CP Art. 186 - Chiunque, indebitamente e contro la volontà dell'avente diritto, s'introduce in una casa, in un'abitazione, in un locale chiuso di una casa, od in uno spiazzo, corte o giardino cintati e attigui ad una casa, od in un cantiere, oppure vi si trattiene contro l'ingiunzione d'uscirne fatta da chi ne ha diritto, è punito, a querela di parte, con una pena detentiva sino a tre anni o con una pena pecuniaria.

StGB (BGE 130 III 28 E. 4.2; Botschaft 1991, 1011), jede
Handlung, die geeignet ist, die jeweilige Sicherung auszuschalten, ohne dass ein besonderer zeitlicher oder technischer Aufwand erforderlich wäre.
Im vorliegenden Fall ist die Beschwerdeführerin in ein fremdes E-Mailkonto eingedrungen, indem sie die ihr nicht zustehende E-Mailadresse angewählt und das zugehörige Passwort über die Tastatur in den Computer eingegeben hat, über das zu verfügen sie nicht berechtigt war. Damit hat sie die elektronische Sicherung des Accounts des Beschwerdegegners umgangen und die Zugangsschranken des Datenverarbeitungssystems überwunden. Dass die Beschwerdeführerin das Passwort nicht durch aktives, auf die Überwindung der Zugangsschranken des Datenverarbeitungssystems gerichtetes Handeln erlangt, sondern dieses im früheren gemeinsamen Büro bloss zufällig aufgefunden hat, ändert daran nichts. Die Art und Weise, wie der Täter sich das Passwort für einen unbefugten Zugang zu einer Datenverarbeitungsanlage verschafft hat, ist für die Würdigung der Tat als Hackerangriff ohne Bedeutung. So werden von der Strafbestimmung auch Fälle erfasst, in denen sich der Täter einen Zugangscode von einem Dritten beschafft (WEISSENBERGER, a.a.O., N 16 zu Art. 143bis

SR 311.0 Codice penale svizzero del 21 dicembre 1937 CP Art. 143bis - 1 Chiunque si introduce indebitamente, per mezzo di un dispositivo di trasmissione dei dati, in un sistema altrui per l'elaborazione di dati specialmente protetto contro ogni suo accesso è punito, a querela di parte, con una pena detentiva sino a tre anni o con una pena pecuniaria.
1	Chiunque si introduce indebitamente, per mezzo di un dispositivo di trasmissione dei dati, in un sistema altrui per l'elaborazione di dati specialmente protetto contro ogni suo accesso è punito, a querela di parte, con una pena detentiva sino a tre anni o con una pena pecuniaria.
2	Chiunque mette in circolazione o rende accessibili password, programmi o altri dati, sapendo o dovendo presumere che sono utilizzati allo scopo di commettere un reato secondo il capoverso 1, è punito con una pena detentiva sino a tre anni o con una pena pecuniaria.

StGB). Es liegt hier insofern gleich, wie in den Fällen, in denen der Täter die Zugangshürden durch Täuschung oder List überwindet, namentlich etwa, indem er das für den Zugang zum Konto notwendige
Passwort dadurch erlangt, dass er die ihm bekannte "Geheimfrage" im Account richtig beantwortet und ihm anschliessend ein neues Passwort angezeigt wird (Urteil 6B 456/2007 vom 18. März 2008 E. 2 und 4.3, in: Pra 2008 Nr. 96 S. 610 [zur Antragsberechtigung]; WEISSENBERGER, a.a.O., N 19 zu Art. 143 bis

SR 311.0 Codice penale svizzero del 21 dicembre 1937 CP Art. 143bis - 1 Chiunque si introduce indebitamente, per mezzo di un dispositivo di trasmissione dei dati, in un sistema altrui per l'elaborazione di dati specialmente protetto contro ogni suo accesso è punito, a querela di parte, con una pena detentiva sino a tre anni o con una pena pecuniaria.
1	Chiunque si introduce indebitamente, per mezzo di un dispositivo di trasmissione dei dati, in un sistema altrui per l'elaborazione di dati specialmente protetto contro ogni suo accesso è punito, a querela di parte, con una pena detentiva sino a tre anni o con una pena pecuniaria.
2	Chiunque mette in circolazione o rende accessibili password, programmi o altri dati, sapendo o dovendo presumere che sono utilizzati allo scopo di commettere un reato secondo il capoverso 1, è punito con una pena detentiva sino a tre anni o con una pena pecuniaria.

StGB). Es verhält sich hier nicht wie beim blossen Missbrauch eines Passwortes im Sinne einer Datenveruntreuung (vgl. MONNIER, A.A.O., N 7 zu Art. 143bis mit Hinweis auf N 7 zu Art. 143; ders., Le piratage informatique en droit pénal, sic! 2009, S. 144 f.).
Der Schuldspruch der Vorinstanz verletzt daher kein Bundesrecht. Die Beschwerde erweist sich in diesem Punkt als unbegründet.

3.

3.1. Die Beschwerdeführerin macht eventualiter geltend, sie sei einem entschuldbaren Verbotsirrtum im Sinne von Art. 21

SR 311.0 Codice penale svizzero del 21 dicembre 1937 CP Art. 21 - Chiunque commette un reato non sapendo né potendo sapere di agire illecitamente non agisce in modo colpevole. Se l'errore era evitabile, il giudice attenua la pena.

StGB erlegen. Sie habe zwar zunächst Bedenken gehabt, ob ihre Absicht, sich mit dem Passwort des Beschwerdegegners in dessen E-Mail-Account einzuloggen, rechtlich zulässig sei. Diese anfänglichen Zweifel seien indes, bevor sie sich erstmals in den Gmail-Account des Beschwerdegegners eingeloggt habe, durch die Auskunft ihres Schwagers, der seit vielen Jahren in den Strafverfolgungsbehörden eines anderen Kantons - nunmehr in der Funktion als Leitender Staatsanwalt - tätig sei, vollständig ausgeräumt worden. Auf dessen profunde juristische Kenntnisse habe sie sich in guten Treuen verlassen dürfen. Sie habe somit in tatbestandsmässiger Hinsicht ohne jegliches Unrechtsbewusstsein gehandelt. Daran vermöchten ihre späteren Internetrecherchen nichts zu ändern (Beschwerde S. 11 f.).

3.2. Die Vorinstanz nimmt an, die Beschwerdeführerin habe im Berufungsverfahren eingestanden, dass sie hinsichtlich ihrer Vorgehensweise ursprünglich Bedenken gehabt habe; ihre Zweifel seien indes durch eine Anfrage bei ihrem in einem anderen Kanton als Leitender Staatsanwalt tätigen Schwager sowie durch weitere Abklärungen beseitigt worden. Die Vorinstanz stellt fest, die Internetrecherchen, etwa zu den Themen "Straftat Mailzugang", "Datenschutz private E-Mailadresse", "meine Frau kontrolliert meine E-Mails Schweiz", "unerlaubter Zugang zu einem Mailkonto strafbar? Schweiz" oder "mache ich mich strafbar, wenn ich die E-Mails meines Mannes kontrolliere?", seien durch die IT-forensische Auswertung des für den Zugriff auf das Gmail-Konto verwendeten Computers bestätigt worden. Daraus ergebe sich, dass die Beschwerdeführerin hinsichtlich der Rechtmässigkeit ihres Handelns Bedenken gehabt habe, bevor sie sich bei ihrem Schwager über die Rechtmässigkeit ihres Vorgehens erkundigt habe. Sie habe aber auch nach der Auskunftserteilung durch ihren Schwager weitere Abklärungen bei ihrem Anwalt und im Internet getroffen. Dies spreche gegen die Annahme, dass ihre Zweifel durch die Erklärung des Schwagers vollständig beseitigt worden wären. Die
Beschwerdeführerin habe mithin auch weiterhin das Gefühl gehabt, mit ihrem Eindringen in den Gmail-Account des Beschwerdegegners etwas Unrechtes zu tun. Ein Verbotsirrtum scheide daher aus (angefochtenes Urteil S. 15 ff.).

3.3. Gemäss Art. 21

SR 311.0 Codice penale svizzero del 21 dicembre 1937 CP Art. 21 - Chiunque commette un reato non sapendo né potendo sapere di agire illecitamente non agisce in modo colpevole. Se l'errore era evitabile, il giudice attenua la pena.

Satz 1 StGB handelt nicht schuldhaft, wer bei Begehung der Tat nicht weiss und nicht wissen kann, dass er sich rechtswidrig verhält, er mithin irrtümlich und aus zureichenden Gründen annimmt, sein Tun sei erlaubt. Ein Verbotsirrtum ist ausgeschlossen, wenn der Täter aufgrund seiner laienhaften Einschätzung weiss, dass sein Verhalten der Rechtsordnung widerspricht, wenn er also in diesem Sinne das unbestimmte Empfinden hat, etwas Unrechtes zu tun (vgl. BGE 130 IV 77 E. 2.4 S. 81 f.; Urteile 6B 77/2019 vom 11. Februar 2019 E. 2.1, nicht publ. in: BGE 145 IV 17; 6B 804/2018 vom 4. Dezember 2018 E. 3.2; 6B 1032/2017 vom 1. Juni 2018 E. 5.4; 6B 782/2016 vom 27. September 2016 E. 3; je mit Hinweisen). Hält der Täter sein Verhalten bloss für nicht strafbar, erliegt er einem unbeachtlichen Subsumtionsirrtum (BGE 129 IV 238 E. 3.2.2).
War der Irrtum vermeidbar, so mildert das Gericht die Strafe nach freiem Ermessen (Art. 21

SR 311.0 Codice penale svizzero del 21 dicembre 1937 CP Art. 21 - Chiunque commette un reato non sapendo né potendo sapere di agire illecitamente non agisce in modo colpevole. Se l'errore era evitabile, il giudice attenua la pena.

Satz 2 StGB). Vermeidbar ist ein Verbotsirrtum regelmässig dann, wenn der Täter selbst an der Rechtmässigkeit seines Verhaltens zweifelt oder hätte Zweifel haben müssen oder wenn er weiss, dass eine rechtliche Regelung besteht, er sich über deren Inhalt und Reichweite aber nicht genügend informiert (BGE 141 IV 336 E. 2.4.3; 129 IV 6 E. 4.1; 121 IV 109 E. 5b; 120 IV 208 E. 5b; 104 IV 217 E. 3a; 99 IV 249 E. 1; 98 IV 293 E. 4a; Urteile 6B 96/2018 vom 16. August 2018 E. 2.4.2; 6B 1019/2016 vom 24. Mai 2017 E. 2.4.1, nicht publ. in BGE 143 IV 425; je mit Hinweisen).

3.4. Das angefochtene Urteil verletzt auch in diesem Punkt kein Bundesrecht. Zunächst ist die Beschwerde unbegründet, soweit die Beschwerdeführerin geltend macht, sie habe sich auf die Auskunft ihres Schwagers verlassen dürfen. Es trifft zwar zu, dass dieser mit seiner Eingabe zuhanden der Vorinstanz vom 26. Januar 2018 bestätigt hat, er habe der Beschwerdeführerin gegenüber auf die Frage nach allfälligen strafrechtlichen Folgen ihres Handelns erklärt, ihr Verhalten sei nicht rechtswidrig; der Gmail-Account des Beschwerdegegners könne nicht als gegen unbefugte Zugriffe besonders gesichertes Datenverarbeitungssystem gelten, soweit die Beschwerdeführerin auf dem ihr überlassenen Familiencomputer Passwörter verwende, auf welche sie im früheren gemeinsamen Büro zufällig gestossen sei (Akten des Obergerichts act. 26). Nach der Rechtsprechung gilt indes, wo sich ein Rechtsunkundiger auf die Beratung durch eine rechtskundige Person, insbesondere auf einen Anwalt verlässt, ein Rechtsirrtum nur dann als unvermeidbar, wenn die Auskunft sich auf eine komplexe Rechtsfrage bezieht und die Prüfung lückenlos gewesen ist (BGE 129 IV 6 E. 4; 121 IV 109 E. 5b; Urteil 6B 460/2008 vom 26. Dezember 2008 E. 3.4). Eine derartige lückenlose Prüfung hat
der Schwager der Beschwerdeführerin im vorliegenden Fall nicht vorgenommen. Es handelt sich bei seiner Stellungnahme lediglich um eine auf der Konsultation des Gesetzestextes beruhende, in guten Treuen geäusserte Rechtsansicht, nicht um eine verbindliche Auskunft einer zuständigen Behörde. Dies gilt umso mehr, als die zur Diskussion stehenden Rechtsfragen nicht vollends geklärt sind und in der Lehre kontrovers diskutiert werden. Die Beschwerdeführerin durfte sich daher nicht ohne Weiteres auf die Rechtsauffassung ihres Schwagers verlassen. Diese bildet mithin keine ausreichende Grundlage für einen unvermeidbaren Irrtum (vgl. BGE 129 IV 6 E. 4.2; Urteil 6B 804/2018 vom 4. Dezember 2018 E. 3.3).
Wie sich aus den tatsächlichen Feststellungen der Vorinstanz ergibt, hat sich die Beschwerdeführerin im Übrigen auch gar nicht auf den Rechtsstandpunkt ihres Schwagers verlassen, sondern auch späterhin noch weitere Abklärungen bei ihrem Anwalt getroffen und über verschiedene Suchanfragen im Internet geforscht. Bei dieser Sachlage ist nicht zu beanstanden, wenn die Vorinstanz annimmt, die Beschwerdeführerin habe auch nach der Konsultation ihres Schwagers noch an der Rechtmässigkeit ihres Tuns gezweifelt und das unbestimmte Empfinden gehabt, mit ihrem Vorgehen Unrecht zu tun. Dass die Vorinstanz insoweit in Willkür verfallen wäre, ist nicht ersichtlich und macht die Beschwerdeführerin auch nicht rechtsgenüglich geltend.
Die Beschwerde ist auch in diesem Punkt unbegründet.

4.
Aus diesen Gründen ist die Beschwerde abzuweisen. Bei diesem Ausgang des Verfahrens wird die Beschwerdeführerin grundsätzlich kostenpflichtig (Art. 66 Abs. 1

SR 173.110 Legge del 17 giugno 2005 sul Tribunale federale (LTF) - Organizzazione giudiziaria LTF Art. 66 Onere e ripartizione delle spese giudiziarie - 1 Di regola, le spese giudiziarie sono addossate alla parte soccombente. Se le circostanze lo giustificano, il Tribunale federale può ripartirle in modo diverso o rinunciare ad addossarle alle parti.
1	Di regola, le spese giudiziarie sono addossate alla parte soccombente. Se le circostanze lo giustificano, il Tribunale federale può ripartirle in modo diverso o rinunciare ad addossarle alle parti.
2	In caso di desistenza o di transazione, il Tribunale federale può rinunciare in tutto o in parte a riscuotere le spese giudiziarie.
3	Le spese inutili sono pagate da chi le causa.
4	Alla Confederazione, ai Cantoni, ai Comuni e alle organizzazioni incaricate di compiti di diritto pubblico non possono di regola essere addossate spese giudiziarie se, senza avere alcun interesse pecuniario, si rivolgono al Tribunale federale nell'esercizio delle loro attribuzioni ufficiali o se le loro decisioni in siffatte controversie sono impugnate mediante ricorso.
5	Salvo diversa disposizione, le spese giudiziarie addossate congiuntamente a più persone sono da queste sostenute in parti eguali e con responsabilità solidale.

BGG). Ihr Gesuch um unentgeltliche Rechtspflege kann bewilligt werden, da von ihrer Bedürftigkeit auszugehen und diese ausreichend belegt ist (vgl. BGE 125 IV 161 E. 4). Zudem erschien ihre Beschwerde nicht von vornherein als aussichtslos (vgl. BGE 138 III 217 E. 2.2.4) Der Beschwerdeführerin sind deshalb keine Kosten aufzuerlegen. Ihrem Vertreter wird aus der Bundesgerichtskasse eine angemessene Entschädigung ausgerichtet (Art. 64 Abs. 2

SR 173.110 Legge del 17 giugno 2005 sul Tribunale federale (LTF) - Organizzazione giudiziaria LTF Art. 64 Gratuito patrocinio - 1 Se una parte non dispone dei mezzi necessari e le sue conclusioni non sembrano prive di probabilità di successo, il Tribunale federale la dispensa, su domanda, dal pagamento delle spese giudiziarie e dalla prestazione di garanzie per le spese ripetibili.
1	Se una parte non dispone dei mezzi necessari e le sue conclusioni non sembrano prive di probabilità di successo, il Tribunale federale la dispensa, su domanda, dal pagamento delle spese giudiziarie e dalla prestazione di garanzie per le spese ripetibili.
2	Se è necessario per tutelare i diritti di tale parte, il Tribunale federale le designa un avvocato. Questi ha diritto a un'indennità adeguata, versata dalla cassa del Tribunale, in quanto le spese di patrocinio non possano essere coperte dalle spese ripetibili.
3	La corte decide sulla domanda di gratuito patrocinio nella composizione di tre giudici. Rimangono salvi i casi trattati in procedura semplificata secondo l'articolo 108. Il gratuito patrocinio può essere concesso dal giudice dell'istruzione se è indubbio che le relative condizioni sono adempiute.
4	Se in seguito è in grado di farlo, la parte è tenuta a risarcire la cassa del Tribunale.

BGG).

Demnach erkennt das Bundesgericht:

1.
Die Beschwerde wird abgewiesen.

2.
Das Gesuch um unentgeltliche Rechtspflege wird gutgeheissen.

3.
Es werden keine Kosten erhoben.

4.
Dem Rechtsvertreter der Beschwerdeführerin wird für das bundesgerichtliche Verfahren eine Entschädigung von Fr. 3'000.-- aus der Bundesgerichtskasse ausgerichtet.

5.
Dieses Urteil wird den Parteien und dem Obergericht des Kantons Aargau, Strafgericht, 2. Kammer, schriftlich mitgeteilt.

Lausanne, 17. Mai 2019

Im Namen der Strafrechtlichen Abteilung
des Schweizerischen Bundesgerichts

Der Präsident: Denys

Der Gerichtsschreiber: Boog