Computerbetrug (§ 263a StGB) – Strafverteidigung in Bonn

Einleitung

Der Computerbetrug nach § 263a StGB ist das digitale Pendant zum klassischen Betrug. Die Vorschrift wurde 1986 durch das Zweite Gesetz zur Bekämpfung der Wirtschaftskriminalität eingeführt, um eine Strafbarkeitslücke zu schließen: Beim herkömmlichen Betrug (§ 263 StGB) muss ein Mensch getäuscht werden — bei automatisierten Datenverarbeitungsvorgängen fehlt jedoch ein menschliches Gegenüber, das getäuscht werden könnte. § 263a StGB stellt daher die unbefugte Einwirkung auf den Ablauf eines Datenverarbeitungsvorgangs unter Strafe, wenn dadurch ein Vermögensschaden entsteht.

Mit der zunehmenden Digitalisierung des Wirtschaftslebens hat der Computerbetrug enorm an praktischer Bedeutung gewonnen. Die Fallzahlen steigen seit Jahren kontinuierlich an und umfassen ein breites Spektrum von Delikten: vom missbräuchlichen Einsatz gestohlener Kreditkartendaten über das Manipulieren von Online-Banking-Systemen bis hin zu komplexen Betrugsszenarien im E-Commerce. Auch das sogenannte Phishing — das Erlangen von Zugangsdaten durch gefälschte E-Mails oder Webseiten — und der Einsatz von Schadsoftware zur Umleitung von Zahlungsströmen fallen unter § 263a StGB.

Die Ermittlungen in Computerbetrugsverfahren sind häufig komplex und erfordern spezialisierte IT-forensische Kenntnisse. Für Beschuldigte ergeben sich daraus besondere Verteidigungschancen, da technische Beweismittel einer eingehenden Überprüfung bedürfen und die Zuordnung einer Tathandlung zu einer bestimmten Person keineswegs immer zweifelsfrei möglich ist.

Gesetzestext

§ 263a StGB — Computerbetrug

(1) Wer in der Absicht, sich oder einem Dritten einen rechtswidrigen Vermögensvorteil zu verschaffen, das Vermögen eines anderen dadurch beschädigt, dass er das Ergebnis eines Datenverarbeitungsvorgangs durch unrichtige Gestaltung des Programms, durch Verwendung unrichtiger oder unvollständiger Daten, durch unbefugte Verwendung von Daten oder sonst durch unbefugte Einwirkung auf den Ablauf beeinflusst, wird mit Freiheitsstrafe bis zu fünf Jahren oder mit Geldstrafe bestraft.

(2) § 263 Abs. 2 bis 6 gilt entsprechend.

(3) Wer eine Straftat nach Absatz 1 vorbereitet, indem er Computerprogramme, deren Zweck die Begehung einer solchen Tat ist, herstellt, sich oder einem anderen verschafft, feilhält, verwahrt oder einem anderen überlässt, wird mit Freiheitsstrafe bis zu drei Jahren oder mit Geldstrafe bestraft.

(4) In den Fällen des Absatzes 3 gilt § 149 Abs. 2 und 3 entsprechend.

Tatbestandsmerkmale im Einzelnen

Datenverarbeitungsvorgang

Tatobjekt des Computerbetrugs ist ein Datenverarbeitungsvorgang. Darunter ist jeder technische Vorgang zu verstehen, bei dem Daten durch eine EDV-Anlage erhoben, gespeichert, verarbeitet oder übermittelt werden. Dies umfasst sämtliche computergestützten Prozesse — vom Geldautomaten über Online-Banking-Systeme bis hin zu Kassensystemen im Einzelhandel, Bestell- und Abrechnungssystemen im E-Commerce sowie automatisierten Zugangskontrollen. Auch Smartphone-basierte Zahlungsvorgänge und Blockchain-Transaktionen können erfasst sein. Nicht ausreichend sind rein mechanische Vorgänge ohne elektronische Datenverarbeitung.

Unrichtige Gestaltung des Programms

Die erste Tatvariante betrifft die Manipulation des Computerprogramms selbst. Der Täter verändert den Programmcode oder die Programmlogik, sodass der Datenverarbeitungsvorgang ein anderes als das beabsichtigte Ergebnis liefert. Praktische Beispiele sind das Einschleusen von Schadcode in Buchhaltungssoftware, die Manipulation von Abrechnungsalgorithmen oder die Veränderung von Software, die Zahlungsströme steuert. Es kann sich auch um die Erstellung eines von vornherein fehlerhaft programmierten Systems handeln, das systematisch zu Gunsten des Täters rechnet.

Verwendung unrichtiger oder unvollständiger Daten

Diese Variante erfasst die Eingabe falscher oder unvollständiger Daten in ein an sich korrekt arbeitendes System. Der häufigste Anwendungsfall ist die Eingabe gestohlener Kreditkartendaten bei Online-Käufen. Auch die Verwendung gefälschter Identitätsdaten bei der Eröffnung von Online-Konten, die Eingabe manipulierter Rechnungsdaten oder die Angabe falscher Bestandsdaten in Warenwirtschaftssystemen fallen unter diese Tatmodalität. „Unrichtig“ sind die Daten, wenn sie nicht der Realität entsprechen; „unvollständig“ sind sie, wenn entscheidungserhebliche Informationen bewusst weggelassen werden.

Unbefugte Verwendung von Daten

Die dritte Variante — die unbefugte Verwendung von Daten — ist in der Praxis die bedeutsamste und zugleich umstrittenste Tatmodalität. Umstritten ist insbesondere der Begriff der „Unbefugtheit“. Nach der sogenannten computerspezifischen Auslegung, die der Bundesgerichtshof vertritt, liegt eine unbefugte Verwendung vor, wenn der Täter Daten einsetzt, die er zwar technisch korrekt eingibt, deren Verwendung ihm aber nicht gestattet ist — typischerweise weil er nicht der berechtigte Inhaber der Daten ist. Der Hauptanwendungsfall ist die Nutzung fremder Zugangsdaten (Benutzername und Passwort, PIN und TAN) für Online-Banking, Zahlungsdienste oder andere geschützte Systeme. Auch die unbefugte Nutzung von Kundenkarten, Rabattcodes oder digitalen Gutscheinen kann hierunter fallen.

Sonstige unbefugte Einwirkung auf den Ablauf

Die vierte Variante ist ein Auffangtatbestand, der alle Formen der Beeinflussung eines Datenverarbeitungsvorgangs erfasst, die nicht unter die ersten drei Varianten fallen. Hierunter fallen insbesondere hardwareseitige Manipulationen — etwa das Anbringen von Skimming-Geräten an Geldautomaten, die Manipulation von Kartenlesesystemen oder das Einschleusen von Trojanern, die Tastatureingaben aufzeichnen. Auch das Ausnutzen von Sicherheitslücken in Software ohne direkte Programmmanipulation kann unter diese Variante subsumiert werden.

Vermögensschaden

Wie beim klassischen Betrug muss ein Vermögensschaden eingetreten sein. Dieser liegt vor, wenn das Vermögen des Geschädigten durch die Tathandlung gemindert wird — etwa durch unbefugte Abbuchungen, die Erschleichung von Waren oder Dienstleistungen oder die Umleitung von Zahlungen. Der Vermögensschaden muss kausal auf der Beeinflussung des Datenverarbeitungsvorgangs beruhen. Ein bloßer Vermögensgefährdungsschaden kann im Einzelfall ausreichen.

Bereicherungsabsicht

Der Täter muss in der Absicht handeln, sich oder einem Dritten einen rechtswidrigen Vermögensvorteil zu verschaffen. Die Bereicherungsabsicht ist als Absicht im strafrechtlichen Sinne zu verstehen — der Vermögensvorteil muss als direktes Ziel des Handelns angestrebt werden. Der angestrebte Vorteil muss rechtswidrig sein, was ausscheidet, wenn dem Täter ein fälliger und einredefreier Anspruch auf die Leistung zustand.

Vorbereitungshandlungen (§ 263a Abs. 3 StGB)

Bereits die Vorbereitung eines Computerbetrugs ist nach § 263a Abs. 3 StGB strafbar. Erfasst ist insbesondere das Herstellen, Verschaffen, Feilhalten, Verwahren oder Überlassen von Computerprogrammen, deren Zweck die Begehung eines Computerbetrugs ist. Hierunter fallen Phishing-Kits, Skimming-Software, Banking-Trojaner und ähnliche Schadsoftware. Die Strafbarkeit setzt voraus, dass das Programm objektiv zur Begehung eines Computerbetrugs bestimmt ist.

Typische Begehungsweisen

Missbrauch gestohlener Kreditkartendaten: Der Täter erlangt — etwa durch Datenlecks, Skimming oder den Erwerb im Darknet — fremde Kreditkartendaten und verwendet diese für Online-Einkäufe oder Abhebungen am Geldautomaten.

Phishing und Online-Banking-Betrug: Durch gefälschte E-Mails oder Webseiten werden Zugangsdaten zu Online-Banking-Konten erlangt. Mit den erbeuteten Daten werden sodann unbefugte Überweisungen getätigt, häufig unter Einschaltung sogenannter Finanzagenten, die als Zwischenstation für die Geldtransfers dienen.

Manipulation von Kassensystemen: In Geschäften oder Gastronomiebetrieben werden Kassensysteme so manipuliert, dass Umsätze nicht oder nur teilweise erfasst werden, um Steuern zu hinterziehen oder Einnahmen zu unterschlagen.

Erschleichen von Online-Leistungen: Die Nutzung fremder Streaming-Zugangsdaten, die Umgehung von Bezahlschranken oder die Manipulation von In-App-Kaufsystemen können unter § 263a StGB fallen.

Skimming an Geldautomaten: Durch das Anbringen manipulierter Kartenlesegeräte und versteckter Kameras an Geldautomaten werden Kartendaten und PIN-Nummern ausgespäht, um anschließend gefälschte Karten herzustellen und Bargeld abzuheben.

CEO-Fraud und Business-E-Mail-Compromise: Durch gefälschte E-Mails, die scheinbar von Vorgesetzten oder Geschäftspartnern stammen, werden Mitarbeiter veranlasst, Überweisungen auf Konten des Täters vorzunehmen.

Strafmaß

Grundtatbestand (§ 263a Abs. 1 StGB): Es droht Freiheitsstrafe bis zu fünf Jahren oder Geldstrafe. Bei geringen Schäden und Ersttätern werden in der Praxis Geldstrafen verhängt. Bei höheren Schadenssummen oder professioneller Tatbegehung sind Freiheitsstrafen die Regel.

Besonders schwere Fälle (§ 263 Abs. 3 StGB analog): Über den Verweis auf § 263 Abs. 3 StGB gelten die Regelbeispiele des besonders schweren Falls auch für den Computerbetrug. Ein besonders schwerer Fall liegt insbesondere vor, wenn der Täter gewerbsmäßig oder als Mitglied einer Bande handelt, einen Vermögensverlust großen Ausmaßes herbeiführt oder seine Befugnisse oder seine Stellung als Amtsträger missbraucht. Der Strafrahmen beträgt dann Freiheitsstrafe von sechs Monaten bis zu zehn Jahren.

Vorbereitungshandlungen (§ 263a Abs. 3 StGB): Die Vorbereitung wird mit Freiheitsstrafe bis zu drei Jahren oder Geldstrafe bestraft.

Nebenfolgen: Neben der Strafe drohen Einziehung der Tatmittel (Computer, Software), Einziehung des Erlangten sowie zivilrechtliche Schadensersatzansprüche der Geschädigten. Bei gewerbsmäßiger Begehung kann zudem ein erweiterter Verfall angeordnet werden. Im Bundeszentralregister wird die Verurteilung eingetragen; bei höheren Strafen erscheint sie im Führungszeugnis.

Typische Verteidigungsstrategien

Fehlende Zuordnung der Tathandlung: Bei Internetdelikten ist die zweifelsfreie Zuordnung einer Handlung zu einer bestimmten Person eine der größten Herausforderungen für die Strafverfolgungsbehörden. IP-Adressen können verschleiert werden, mehrere Personen können Zugang zu einem Computer oder Netzwerk haben, und die bloße Inhaberschaft eines Internetanschlusses begründet noch keine Täterschaft. Eine eingehende Überprüfung der digitalen Beweismittel kann die Zuordnung erschüttern.

Kein Vorsatz oder fehlende Bereicherungsabsicht: In vielen Fällen lässt sich argumentieren, dass der Beschuldigte keinen Vorsatz hinsichtlich der unbefugten Datenverwendung hatte — etwa weil er davon ausging, zur Nutzung der Daten berechtigt zu sein, oder weil ein technisches Missverständnis vorlag. Ebenso kann die erforderliche Bereicherungsabsicht fehlen, wenn der Beschuldigte keinen Vermögensvorteil anstrebte.

Kein Vermögensschaden: Wenn kein tatsächlicher Vermögensschaden eingetreten ist — etwa weil die Transaktion rechtzeitig storniert wurde oder weil der Geschädigte keinen materiellen Verlust erlitten hat —, ist der Tatbestand nicht vollendet. Es kommt dann allenfalls eine Versuchsstrafbarkeit in Betracht.

Berechtigte Nutzung: Wenn der Beschuldigte zur Nutzung der Daten berechtigt war — etwa weil er im Auftrag des Kontoinhabers handelte oder eine wirksame Vollmacht vorlag —, liegt keine unbefugte Verwendung vor.

Anfechtung der IT-forensischen Beweisführung: Die technischen Gutachten der Ermittlungsbehörden sind einer kritischen Überprüfung zu unterziehen. Fehler bei der Sicherung digitaler Beweismittel, unzureichende Dokumentation der Beweiskette oder methodische Mängel der IT-forensischen Analyse können die Beweiskraft erheblich schwächen.

Verfahrenseinstellung bei geringem Schaden: Bei geringen Schadenssummen und Ersttätern besteht die Möglichkeit einer Verfahrenseinstellung nach § 153 oder § 153a StPO, insbesondere wenn der Schaden wiedergutgemacht wurde. Rechtsanwalt Bafteh und BAFTEH Strafverteidigung in Bonn verfügen über spezialisierte Kenntnisse im Bereich der Cyberkriminalität und setzen sich dafür ein, die Rechte Beschuldigter in Computerbetrugsverfahren konsequent zu wahren.

Verfasst von Rechtsanwalt Philip Bafteh, Strafverteidiger in Bonn. Philip Bafteh veröffentlicht regelmäßig zu strafrechtlichen und wirtschaftsrechtlichen Themen und verteidigt Beschuldigte in Ermittlungs- und Hauptverfahren.

Mehr zur Person →

Zuletzt aktualisiert: Mai 2026