BGE-145-IV-185 - 2019-05-17 - ATF - Droit pénal et procédure penale - Art. 143bis al. 1 CP; accès indu à un système informatique. La connexion indue au compte Gmail, protégé par un mot de passe,

Urteilskopf

145 IV 185

20. Auszug aus dem Urteil der Strafrechtlichen Abteilung i.S. X. gegen Oberstaatsanwaltschaft des Kantons Aargau und A. (Beschwerde in Strafsachen) 6B_1207/2018 vom 17. Mai 2019

Regeste (de):

Art. 143bis Abs. 1 StGB; unbefugtes Eindringen in ein Datenverarbeitungssystem.

Das unbefugte Einloggen in den mit einem Passwort geschützten Gmail-Account des getrennt lebenden Ehemannes erfüllt den Tatbestand von Art. 143bis Abs. 1 StGB, auch wenn die Täterin das auf einem Notizzettel notierte Passwort nur zufällig in einer Schublade im früheren gemeinsamen Büro in der ehelichen Wohnung aufgefunden hat (E. 2).

Regeste (fr):

Art. 143bis al. 1 CP; accès indu à un système informatique.

La connexion indue au compte Gmail, protégé par un mot de passe, du mari séparé remplit les éléments constitutifs de l'art. 143bis al. 1 CP, même si l'auteure a trouvé le mot de passe inscrit sur un papier découvert par hasard dans un tiroir de l'ancien bureau commun au domicile conjugal (consid. 2).

Regesto (it):

Art. 143bis cpv. 1 CP; accesso indebito a un sistema per l'elaborazione di dati.

L'accesso indebito al conto Gmail del marito, protetto da una password, adempie la fattispecie dell'art. 143bis cpv. 1 CP, anche se l'autrice ha rinvenuto casualmente il foglietto su cui erano annotati i dati di accesso in un cassetto dell'ufficio che condividevano nel vecchio domicilio coniugale prima della loro separazione (consid. 2).

Sachverhalt ab Seite 185

BGE 145 IV 185 S. 185

A. X. wird vorgeworfen, in der Zeit vom 1. Januar 2014 bis 1. Mai 2015, nach der Trennung von ihrem Ehemann A., von ihren damaligen Wohnorten aus mehrfach unberechtigt in dessen für sie fremden und passwortgeschützten Google Account (Gmail) eingedrungen zu
BGE 145 IV 185 S. 186

sein. Dabei habe sie sich unbefugterweise, ohne Wissen und Einverständnis des Ehemannes, vorwiegend geschäftliche Daten sowie solche aus dem schriftlichen Verkehr zwischen jenem und seinem Anwalt zugänglich gemacht. Im Weiteren habe sie zwischen Dezember 2013 und Dezember 2014 mindestens 23 Bilddateien mit Aufnahmen einer jungen weiblichen Person heruntergeladen, wobei auf einer dieser Bildaufnahmen auch eine Passwortliste abgebildet gewesen sei. X. erlangte Zugang zum E-Mailaccount ihres Ehemannes, indem sie dessen Passwort verwendete, das sie - aufnotiert auf einem Karteikärtchen - in der Korpusschublade im gemeinsamen Büro der früheren ehelichen Wohnung aufgefunden hatte.
B. Das Bezirksgericht Bremgarten erklärte X. am 13. Dezember 2017 auf Einsprache gegen den Strafbefehl der Staatsanwaltschaft Muri-Bremgarten vom 22. Februar 2017 des mehrfachen unbefugten Eindringens in ein Datenverarbeitungssystem schuldig und verurteilte sie zu einer Geldstrafe von 50 Tagessätzen zu Fr. 30.-, mit bedingtem Strafvollzug bei einer Probezeit von 2 Jahren, sowie zu einer Busse von Fr. 300.-, bei schuldhafter Nichtbezahlung umwandelbar in eine Ersatzfreiheitsstrafe von 10 Tagen. Ferner verpflichtete es die Beurteilte zur Zahlung einer Parteientschädigung von Fr. 3'499.40 an ihren Ehemann. Hiegegen erhoben die Beurteilte Berufung und ihr Ehemann Anschlussberufung. Das Obergericht des Kantons Aargau bestätigte in Abweisung der Berufung den erstinstanzlichen Entscheid mit Urteil vom 16. Oktober 2018 im Schuld- und Strafpunkt. In teilweiser Gutheissung der Anschlussberufung verpflichtete es X. zur Bezahlung einer Parteientschädigung an ihren Ehemann von Fr. 9'677.- für das erstinstanzliche Verfahren. Schliesslich entschied es über die Verlegung der ordentlichen und ausserordentlichen Kosten des zweitinstanzlichen Verfahrens.
C. X. führt Beschwerde in Strafsachen, mit der sie beantragt, das angefochtene Urteil sei aufzuheben und sie sei von der Anklage des mehrfachen unbefugten Eindringens in ein Datenverarbeitungssystem freizusprechen. Eventualiter sei das angefochtene Urteil aufzuheben und die Sache zur Neubeurteilung an die Vorinstanz zurückzuweisen. Ferner ersucht sie um Gewährung der unentgeltlichen Rechtspflege.
D. Das Obergericht und die Oberstaatsanwaltschaft des Kantons Aargau sowie A. haben auf Vernehmlassung verzichtet.
BGE 145 IV 185 S. 187

Erwägungen

Aus den Erwägungen:

2.

2.1 Gemäss Art. 143bis Abs. 1 StGB wird auf Antrag mit Freiheitsstrafe bis zu drei Jahren oder mit Geldstrafe bestraft, wer auf dem Wege von Datenübertragungseinrichtungen unbefugterweise in ein fremdes, gegen seinen Zugriff besonders gesichertes Datenverarbeitungssystem eindringt. Der Tatbestand schützt Datenverarbeitungssysteme vor Eindringlingen (sog. Hackern), die darauf aus sind, Sicherungen zu durchbrechen und in gesicherte Datensysteme einzudringen, und deren Tätigkeit sich für den ordnungsgemässen Betrieb insbesondere von Grossanlagen als sehr störend und gefährlich erwiesen hat (Botschaft vom 24. April 1991 über die Änderung des Schweizerischen Strafgesetzbuches und des Militärstrafgesetzes, BBl 1991 II 1011 [nachfolgend: Botschaft 1991]). Der Gesetzgeber macht die Strafbarkeit nach Art. 143bis Abs. 1 StGB bewusst davon abhängig, ob eine Zugangssicherung überwunden werden muss (vgl. Botschaft vom 18. Juni 2010 über die Genehmigung und die Umsetzung des Übereinkommens des Europarates über die Cyberkriminalität, BBl 2010 4703 sowie den Vorbehalt der Schweiz zu Art. 2 des Übereinkommens vom 23. November 2001 über die Cyberkriminalität [SR 0.311.43]; Urteil6B_615/2014 vom 2. Dezember 2014 E. 4.3). Der Tatbestand des unbefugten Eindringens in ein Datenverarbeitungssystem im Sinne von Art. 143bis Abs. 1 StGB erfasst als Vorbereitungshandlung zur unbefugten Datenbeschaffung gemäss Art. 143 StGB - gleichsam analog zum Tatbestand des Hausfriedensbruchs (Art. 186 StGB) - bereits das Eindringen in fremde Datenverarbeitungsanlagen (Botschaft 1991, a.a.O., 1011; PHILIPPE WEISSENBERGER, in: Basler Kommentar, Strafrecht, Bd. II, 4. Aufl. 2019, N. 5 zu Art. 143bis StGB). Angriffsobjekte sind die Datenverarbeitungssysteme bzw. -anlagen, nicht jedoch - im Gegensatz zu Art. 143 StGB - die darin gespeicherten Daten. Geschützt wird die Freiheit des Berechtigten, darüber zu entscheiden, wem der Zugang zu einer gesicherten Datenverarbeitungsanlage und den dort gespeicherten Daten gewährt wird (Urteil 6B_456/2007 vom 18. März 2008 E. 4.1 und 4.2, in: Pra 2008 Nr. 96 S. 610 mit Hinweisen). Wer sich über ein Passwort in ein E-Mail-Konto einloggt, gelangt gleichzeitig auch in das Datenverarbeitungssystem als solches. Das Passwort gibt dem Inhaber somit nicht nur die Befugnis, über den Zugang zum geschützten E-Mailkonto, sondern auch über den Zutritt zur Datenverarbeitungsanlage als solcher zu bestimmen (Urteile 6B_456/2007
BGE 145 IV 185 S. 188

vom 18. März 2008 E. 4.3, in: Pra 2008 Nr. 96 S. 610; 6B_615/2014 vom 2. Dezember 2014 E. 4.3; je mit Hinweisen).
2.2

2.2.1 Im zu beurteilenden Fall ist unbestritten, dass die Beschwerdeführerin nicht berechtigt war, sich in den Gmail-Account des Beschwerdegegners einzuloggen, und sich demnach unbefugt in einem fremden Datenverarbeitungssystem bewegt hat. Die elektronische Post fremder Personen ist für andere Nutzer ein fremder Teil des gesamten Datenverarbeitungssystems (WEISSENBERGER, a.a.O., N. 13/19 a.E. zu Art. 143bis StGB). Das Zurücklassen des Passwortes in der vormals ehelichen Wohnung lässt sich nicht so verstehen, dass der Beschwerdegegner mit dem Zugriff der Beschwerdeführerin auf seinen Gmail- Account einverstanden gewesen wäre, zumal jener die Karteikärtchen mit den aufnotierten Passwörtern nach den tatsächlichen Feststellungen der Vorinstanz nicht bewusst zurückgelassen, sondern bloss vergessen hat.
2.2.2 Zu entscheiden ist indes, ob die Beschwerdeführerin, indem sie das zufällig aufgefundene Passwort zum Einloggen in den Account des Beschwerdegegners missbraucht hat, im Sinne der Strafbestimmung von Art. 143bis Abs. 1 StGB in ein fremdes, gegen unberechtigten Zugriff besonders gesichertes Datenverarbeitungssystem eingedrungen ist. Soweit die Vorinstanz dies bejaht, verletzt sie kein Bundesrecht. Die Tathandlung des Eindringens umschreibt die Überwindung von Zugangsschranken zur Datenverarbeitung wie Codes oder Verschlüsselungen mittels drahtverbundener Wege oder drahtloser Kanäle der Datenfernübermittlung, welche den Täter von den Daten fernhalten sollen (WEISSENBERGER, a.a.O., N. 17 zu Art. 143bis StGB; ANDREAS DONATSCH, Delikte gegen den Einzelnen, 11. Aufl. 2018, S. 206; TRECHSEL/CRAMERI, in: Schweizerisches Strafgesetzbuch, Praxiskommentar, 3. Aufl. 2018, N. 6 zu Art. 143bis StGB). Die Verwendung eines Zugangscodes oder eines Passwortes gilt als ausreichender Schutz im Sinne der Strafbestimmung (vgl. WEISSENBERGER, a.a.O., N. 15 zu Art. 143bis StGB; GILLES MONNIER, in: Commentaire romand, Code pénal, Bd. II, 2017, N. 7 f. zu Art. 143bis und N. 6 zu Art. 143 StGB; DONATSCH, a.a.O., S. 206 i.V.m. S. 201; TRECHSEL/CRAMERI, a.a.O., N. 6 zu Art. 143 StGB; NIKLAUS SCHMID, Computer- sowie Check- und Kreditkarten-Kriminalität, 1994, § 5/StGB 143bis N. 20 i.V.m. § 4/StGB 143 N. 37). Ohne Bedeutung ist grundsätzlich, auf welche
BGE 145 IV 185 S. 189

Weise die elektronische Sicherung ausgeschaltet wird (SCHMID, a.a.O., § 5/Art. 143bis StGB N. 21). Als Angriff genügt, gleichsam analog zum Tatbestand des Hausfriedensbruchs gemäss Art. 186 StGB (BGE 130 III 28 E. 4.2; Botschaft 1991, a.a.O., 1011), jede Handlung, die geeignet ist, die jeweilige Sicherung auszuschalten, ohne dass ein besonderer zeitlicher oder technischer Aufwand erforderlich wäre. Im vorliegenden Fall ist die Beschwerdeführerin in ein fremdes E-Mailkonto eingedrungen, indem sie die ihr nicht zustehende E-Mailadresse angewählt und das zugehörige Passwort über die Tastatur in den Computer eingegeben hat, über das zu verfügen sie nicht berechtigt war. Damit hat sie die elektronische Sicherung des Accounts des Beschwerdegegners umgangen und die Zugangsschranken des Datenverarbeitungssystems überwunden. Dass die Beschwerdeführerindas Passwort nicht durch aktives, auf die Überwindung der Zugangsschranken des Datenverarbeitungssystems gerichtetes Handeln erlangt, sondern dieses im früheren gemeinsamen Büro bloss zufällig aufgefunden hat, ändert daran nichts. Die Art und Weise, wie der Täter sich das Passwort für einen unbefugten Zugang zu einer Datenverarbeitungsanlage verschafft hat, ist für die Würdigung der Tat als Hackerangriff ohne Bedeutung. So werden von der Strafbestimmung auch Fälle erfasst, in denen sich der Täter einen Zugangscode von einem Dritten beschafft (WEISSENBERGER, a.a.O., N. 16 zu Art. 143bis StGB). Es liegt hier insofern gleich wie in den Fällen, in denen der Täter die Zugangshürden durch Täuschung oder List überwindet, namentlich etwa, indem er das für den Zugang zum Konto notwendige Passwort dadurch erlangt, dass er die ihm bekannte "Geheimfrage" im Account richtig beantwortet und ihm anschliessend ein neues Passwort angezeigt wird (Urteil 6B_456/2007 vom 18. März 2008 E. 2 und 4.3, in: Pra 2008 Nr. 96 S. 610 [zur Antragsberechtigung];WEISSENBERGER, a.a.O., N. 19 zu Art. 143bis StGB). Es verhält sich hier nicht wie beim blossen Missbrauch eines Passwortes im Sinne einer Datenveruntreuung (vgl. MONNIER, A.A.O., N. 7 zu Art. 143bis mit Hinweis auf N. 7 zu Art. 143 StGB; ders., Le piratage informatique en droit pénal, sic! 2009, S. 144 f.). Der Schuldspruch der Vorinstanz verletzt daher kein Bundesrecht. Die Beschwerde erweist sich in diesem Punkt als unbegründet.

SR 311.0 Code pénal suisse du 21 décembre 1937 CP Art. 143^bis - 1 Quiconque s'introduit sans droit, au moyen d'un dispositif de transmission de données, dans un système informatique appartenant à autrui et spécialement protégé contre tout accès de sa part, est, sur plainte, puni d'une peine privative de liberté de trois ans au plus ou d'une peine pécuniaire.
¹	Quiconque s'introduit sans droit, au moyen d'un dispositif de transmission de données, dans un système informatique appartenant à autrui et spécialement protégé contre tout accès de sa part, est, sur plainte, puni d'une peine privative de liberté de trois ans au plus ou d'une peine pécuniaire.
²	Quiconque met en circulation ou rend accessible un mot de passe, un programme ou toute autre donnée dont il sait ou doit présumer qu'ils doivent être utilisés dans le but de commettre une infraction visée à l'al. 1 est puni d'une peine privative de liberté de trois ans au plus ou d'une peine pécuniaire.

SR 311.0 Code pénal suisse du 21 décembre 1937 CP Art. 143^bis - 1 Quiconque s'introduit sans droit, au moyen d'un dispositif de transmission de données, dans un système informatique appartenant à autrui et spécialement protégé contre tout accès de sa part, est, sur plainte, puni d'une peine privative de liberté de trois ans au plus ou d'une peine pécuniaire.
¹	Quiconque s'introduit sans droit, au moyen d'un dispositif de transmission de données, dans un système informatique appartenant à autrui et spécialement protégé contre tout accès de sa part, est, sur plainte, puni d'une peine privative de liberté de trois ans au plus ou d'une peine pécuniaire.
²	Quiconque met en circulation ou rend accessible un mot de passe, un programme ou toute autre donnée dont il sait ou doit présumer qu'ils doivent être utilisés dans le but de commettre une infraction visée à l'al. 1 est puni d'une peine privative de liberté de trois ans au plus ou d'une peine pécuniaire.

SR 311.0 Code pénal suisse du 21 décembre 1937 CP Art. 143^bis - 1 Quiconque s'introduit sans droit, au moyen d'un dispositif de transmission de données, dans un système informatique appartenant à autrui et spécialement protégé contre tout accès de sa part, est, sur plainte, puni d'une peine privative de liberté de trois ans au plus ou d'une peine pécuniaire.
¹	Quiconque s'introduit sans droit, au moyen d'un dispositif de transmission de données, dans un système informatique appartenant à autrui et spécialement protégé contre tout accès de sa part, est, sur plainte, puni d'une peine privative de liberté de trois ans au plus ou d'une peine pécuniaire.
²	Quiconque met en circulation ou rend accessible un mot de passe, un programme ou toute autre donnée dont il sait ou doit présumer qu'ils doivent être utilisés dans le but de commettre une infraction visée à l'al. 1 est puni d'une peine privative de liberté de trois ans au plus ou d'une peine pécuniaire.

SR 311.0 Code pénal suisse du 21 décembre 1937 CP Art. 143^bis - 1 Quiconque s'introduit sans droit, au moyen d'un dispositif de transmission de données, dans un système informatique appartenant à autrui et spécialement protégé contre tout accès de sa part, est, sur plainte, puni d'une peine privative de liberté de trois ans au plus ou d'une peine pécuniaire.
¹	Quiconque s'introduit sans droit, au moyen d'un dispositif de transmission de données, dans un système informatique appartenant à autrui et spécialement protégé contre tout accès de sa part, est, sur plainte, puni d'une peine privative de liberté de trois ans au plus ou d'une peine pécuniaire.
²	Quiconque met en circulation ou rend accessible un mot de passe, un programme ou toute autre donnée dont il sait ou doit présumer qu'ils doivent être utilisés dans le but de commettre une infraction visée à l'al. 1 est puni d'une peine privative de liberté de trois ans au plus ou d'une peine pécuniaire.

SR 311.0 Code pénal suisse du 21 décembre 1937 CP Art. 143^bis - 1 Quiconque s'introduit sans droit, au moyen d'un dispositif de transmission de données, dans un système informatique appartenant à autrui et spécialement protégé contre tout accès de sa part, est, sur plainte, puni d'une peine privative de liberté de trois ans au plus ou d'une peine pécuniaire.
¹	Quiconque s'introduit sans droit, au moyen d'un dispositif de transmission de données, dans un système informatique appartenant à autrui et spécialement protégé contre tout accès de sa part, est, sur plainte, puni d'une peine privative de liberté de trois ans au plus ou d'une peine pécuniaire.
²	Quiconque met en circulation ou rend accessible un mot de passe, un programme ou toute autre donnée dont il sait ou doit présumer qu'ils doivent être utilisés dans le but de commettre une infraction visée à l'al. 1 est puni d'une peine privative de liberté de trois ans au plus ou d'une peine pécuniaire.

SR 311.0 Code pénal suisse du 21 décembre 1937 CP Art. 143 - 1 Quiconque, dans le dessein de se procurer ou de procurer à un tiers un enrichissement illégitime, soustrait, pour lui-même ou pour un tiers, des données enregistrées ou transmises électroniquement ou selon un mode similaire, qui ne lui sont pas destinées et qui sont spécialement protégées contre tout accès indu de sa part, est puni d'une peine privative de liberté de cinq ans au plus ou d'une peine pécuniaire.
¹	Quiconque, dans le dessein de se procurer ou de procurer à un tiers un enrichissement illégitime, soustrait, pour lui-même ou pour un tiers, des données enregistrées ou transmises électroniquement ou selon un mode similaire, qui ne lui sont pas destinées et qui sont spécialement protégées contre tout accès indu de sa part, est puni d'une peine privative de liberté de cinq ans au plus ou d'une peine pécuniaire.
²	La soustraction de données commise au préjudice des proches ou des familiers n'est poursuivie que sur plainte.