Cybercrime | Ermittlungen | TK & Internet | Literatur | intern | Impressum |
Skimming |
|
|
||||||
erste Tathandlungen beim Skimming |
Großansicht |
Zuletzt
habe ich im Dezember 2008 über die
Strafbarkeit des Skimmings berichtet. Die
Stellungnahme des Generalbundesanwalts zu einer Verurteilung wegen
Skimmings lässt den Schluss zu, dass die Strafbarkeit in den ersten
Tathandlungen (Herstellen, Feilbieten und Verwahren von Skimming-Hardware)
erheblich schärfer ist, als
ich bislang angenommen habe. |
|
||||||||||||||||||||||
öffentliche Handlungen und Hinterleute | ||||||||||||||||||||||||
Aufsatz für das Auslesen von Zahlungskarten (1) |
Die erste Tätigkeit von Agenten besteht in dem Ausspähen der Daten von Zahlungskarten und den Persönlichen Identifikationsnummern - PIN - der Bankkunden mit verschiedenen Methoden. Ihr direktes Ziel ist das Ausspähen von Dumps, also vollständigen Kartendaten einschließlich PIN. Dazu werden in aller Regel elektronische Lesegeräte - Skimmer, siehe links - verwendet, die dieser Kriminalitätsform den Namen gegeben haben. Diese Agenten werde ich hier ebenfalls als "Skimmer" bezeichnen.
Der zweite
Arbeitsschritt in der Öffentlichkeit ist der Missbrauch gefälschter
Zahlungskarten an Geldautomaten. Im IT-geprägten Jargon werden die
hierbei tätigen Agenten auch
als
Casher
bezeichnet, also die, die das Bargeld beschaffen. Die im Hintergrund
stattfindende Fälschung von Zahlungskarten wird vereinzelt als das Tun
von
Cardern
bezeichnet - die, die die Karten herstellen. |
|
||||||||||||||||||||||
Einstiegshandlungen | ||||||||||||||||||||||||
rückwärtige Seite (2) |
Dieser Arbeitsschritt untergliedert sich seinerseits in verschiedene Handlungsschritte, die im Wesentlichen danach unterschieden werden müssen, dass die Skimming-Hardware zunächst hergestellt und dann zum Ausspähen eingesetzt werden muss ( Grafik oben links und Großansicht). Je mehr handwerklicher Aufwand für die Herstellung betrieben wird, desto mehr ist zu erwarten, dass die Handwerker und die Skimmer arbeitsteilig vorgehen und die Handwerker ihre Produkte schlicht an Skimmer oder andere Auftraggeber verkaufen (3). Beim Herstellen der Skimming-Hardware ist ferner zu unterscheiden nach dem Herstellen der Geräte als reiner Produktionsprozess, dem Verwahren (Vorhalten) der fertigen Geräte und ihr Zum-Verkauf-Anbieten (Feilbieten). Auch das Ausspähen untergliedert sich noch feiner in mehrere Handlungsschritte ( Tabelle oben rechts). Die Handlungen 1. bis 3. sind typische Rüsthandlungen und nach der strafrechtlichen Handlungslehre als straflose Vorbereitungshandlungen anzusehen. Nur die Nr. 4 ist eine selbständige Straftat nach § 202a StGB, soweit es um das Auslesen der Zahlungskartendaten geht.
Meine zurückhaltende Formulierung ist dem Problem geschuldet, dass die
Kartendaten und die PIN unterschiedlich betrachtet werden müssen. |
Sobald die ersten Kartendaten ausgelesen sind, greift die Strafbarkeit nach § 202a StGB. Alle davor liegenden Handlungen sind jedenfalls vom Hackerstrafrecht nicht umfasst. Auch das Ausspähen der PIN ist isoliert betrachtet strafbar, aber nur mit Hilfe einer komplizierteren Argumentation. Führt die unübersichtliche Gesetzeslage möglicherweise zum Verbotsirrtum beim Täter, weil er das Verbot nicht erkennen konnte ( § 17 StGB)? Das ist bei Skimmern nicht zu erwarten. Sie wissen ganz genau, dass sie fremde persönliche Daten "klauen", um sie zu verkaufen oder durch ihren Missbrauch zu Geld zu machen. Dass sie etwas "Böses" tun, ist ihnen geläufig, sonst würden sie den Aufwand der ersten drei Handlungsstufen nicht betreiben.
Zu kritisieren ist nur der Gesetzgeber, der die Rechtsanwendung unnötig
erschwert hat. Er siedelt das
schlichte Ausspähen von Kartendaten und PINs in dem Bereich der
leichten Kriminalität an. |
||||||||||||||||||||||
Entwicklungsgeschichte des Skimming | Identitätsdiebstahl. Mischformen | |||||||||||||||||||||||
(4) |
Das älteste Sicherheitsmerkmal auf den Kreditkarten ist der erhabene Prägedruck (Embossing), der noch heute verwendet wird. Seit Jahrzehnten wird er von Betrügern kopiert, um mit seinem Abdruck Scheinrechnungen bei den ausgebenden Banken geltend zu machen. Die heutigen Sicherheitsmerkmale von Zahlungs- und Kreditkarten nutzen elektronische Trägermedien wie Magnetstreifen, Chips und das modulierte Merkmal - MM - im Kartenkörper. Verbreitet ist das Auslesen des Magnetstreifens mit einem handelsüblichen Lesegerät, das entweder am Geldautomaten oder an der Eingangstür zur Bank installiert wird. Die Geldautomaten lassen sich leichter vor Manipulationen schützen, so dass inzwischen viele Banken dazu übergegangen sind, keine Eingangskontrolle mit einer Zahlungskarte durchzuführen.
Das Ausspähen der PIN erfolgt auf verschiedene Weisen, entweder durch
direktes Beobachten, mit Hilfe von
Kameras oder mit
Tastaturaufsätzen, die das
Tastenfeld oder ganze
Teile
des Automaten überdecken (auch beim
Kartenlesegerät). |
Dies zeigt vor allem ein Beispiel aus 2008, bei dem die Täter sich zunächst in die Datenbank eines Finanzdienstleisters gehackt und die Dumps von 100 Zahlungskarten ausgespäht haben ( Skimming-Coup). Die Dubletten wurden dann am 08.11.2008 weltweit und zeitgleich an 130 Geldautomaten in 49 Städten eingesetzt. Sie erbeuteten dadurch rund 9 Millionen Dollar. Skimming und Phishing sind spezialisierte Erscheinungsformen des Identitätsdiebstahls, bei dem es allgemein gesprochen darum geht, persönliche Daten über Konten bei Banken, Handelsplattformen, Warenhäuser usw. auszuforschen und dann in aller Regel betrügerisch zu missbrauchen. Weniger bekannt sind Missbräuche im Zusammenhang mit Stoßbetrügereien (5), zum Beispiel bei eBay, Warenbestellungen oder Aktienkursmanipulationen.
Das Verschmelzen der
Erscheinungsformen wird noch dadurch unterstützt,
dass sich die
Organisation der Cybercrime modularisiert. Ihre leitenden
Orientierungspunkte sind der Aufwand, der vorgeschossen werden muss, der
kriminelle Gewinn und das Verfolgungsrisiko (
Messlatte), nicht aber das Vorgehen im einzelnen. |
||||||||||||||||||||||
Skimming an der Quelle | ||||||||||||||||||||||||
Großansicht (6) |
Seit 2008 herrscht als bevorzugte Methode das POS-Skimming vor und es weitet sich aus. Dazu werden in Handelsmärkten, Einkaufszentren oder Tankstellen zunächst die Point of Sale-Terminals an den Kassen gestohlen, umgebaut und bei einem zweiten Einbruch wieder installiert. Sie funktionieren dann wie ein Splitter und übermitteln die vom Kunden eingegebenen Daten als vollständigen Dump sowohl an die Clearingstelle wie auch an die Täter.
Jüngst ist
gemeldet worden, dass - jedenfalls in Russland -
manipulierte Geldautomaten entdeckt worden seien, die die Dumps
unmittelbar an die Täter melden. |
|
||||||||||||||||||||||
Strafbarkeit der Hersteller von Skimming-Hardware | ||||||||||||||||||||||||
Kameraleiste, Kamera in Rauchmelder (7) |
Eine selbstständige Strafbarkeit habe ich nur aus der Datenveränderung gemäß § 303a Abs. 3 in Verbindung mit § 202c Abs. 1 Nr. 1 StGB herleiten können, was wenig hilft, wenn sich die Täter im Ausland befinden und ihr Handeln nicht dem Weltstrafrecht unterworfen ist ( § 6 StGB). Eine fälschungsstrafrechtliche Strafbarkeit habe ich bislang nicht in Betracht gezogen. Das auch deswegen, weil der BGH noch 2003 Kartenlesegeräte nicht als "ähnlichen Vorrichtungen" im Sinne von § 149 Abs. 1 Nr. 1 StGB angesehen hat [ siehe Zitat links, (8), S. 10 UA]. Mit Wirkung vom 30.08.2003 wurde § 149 Abs. 1 Nr. 1 StGB geändert und hat jetzt die rechts wiedergegebene Fassung.
Danach liegt es nahe, dass jedenfalls das Herstellen, Feilhalten
(Anbieten) und Überlassen (Verleihen, Vermieten, Verkaufen) von Skimmern
(Lesegeräte) bereits im frühen Stadium strafbar ist und die Hersteller
und die Skimmer (Agenten) bereits trifft, bevor ein einziger Dump
ausgespäht wurde (Sich-Verschaffen, Verwahren). |
|
||||||||||||||||||||||
|
||||||||||||||||||||||||
Vorverlagerung für Hersteller und Skimmer | ||||||||||||||||||||||||
|
Ohne den Rückgriff auf den in der Rechtsprechung entwickelten Bandenbegriff leitet der GBA aus der Mittäterschaft des Skimmers an der Haupttat des Fälschens ( § 152b StGB) die Strafbarkeit aus der Verbrechensnorm ab [ GBA (linke Spalte)]. Zur Abgrenzung zwischen
Vorbereitung und Versuch stellt der GBA zunächst auf die
Strafbarkeit der Vorbereitungshandlung gemäß
§ 149 StGB
ab [
GBA (linke Spalte)]. Insoweit vertritt er im Anschluss an die
herrschende Kommentarliteratur die Auffassung, dass jedenfalls das für das Skimming bestimmte Kartenlesegeräte und die mit ihm verwendeten
Computerprogramme nach der geltenden Gesetzesfassung
Computerprogramme oder ähnliche Vorrichtungen gemäß
§ 149 Abs. 1 Nr. 1 StGB
sind. Daraus folgert er,
dass in dem
Auslesen und Speichern unter Einsatz der Kartenlesegeräte bereits ein
über die bloße Vorbereitung hinaus gehendes unmittelbares Ansetzen zum
Fälschungsvorgang zu sehen ist [
GBA (rechte Spalte)], also der Beginn des Versuchsstadiums. |
Ich schließe daraus, dass der BGH der Begründung des GBA gefolgt ist. Andererseits hätte er wahrscheinlich einen größeren Begründungsaufwand betrieben. Eine sichere Erkenntnis ist das hingegen nicht. Die vom GBA vertretene Meinung muss sich in der Rechtsprechung noch weiter verfestigen. Das gilt nicht für die Kommentarliteratur, aus der sie kenntnisreich abgeleitet ist. Die Konsequenz daraus wird sein, dass die Hersteller von Skimming-Hardware und die Skimmer selber einer weiteren Strafbarkeit unterliegen, als ich bislang angenommen habe.
|
||||||||||||||||||||||
Skimmer als Fälschungsmittel | ||||||||||||||||||||||||
Auch für diese Tathandlungen gilt das Weltrechtsprinzip, weil § 6 Nr. 7 StGB den § 149 StGB ausdrücklich nennt, so dass Auslandstaten auch nach deutschem Strafrecht verfolgt werden können.
Wie wird
aus einem normalen Kartenlesegerät, das es frei im Handel gibt
(11),
ein zum Skimming bestimmtes? Einfach gesagt: Durch die besondere
Verarbeitung. Der
oben abgebildete Einbau-Schlitzleser wurde am Rahmen so bearbeitet,
dass er auf den
Leseschlitz eines Geldautomaten gesetzt oder festgeklebt werden
kann. Das gilt offensichtlich auch für
Fassaden, die ganze Teile des Geldautomaten abdecken, für
Aufsatzteile, die die
Bauelemente des Originalgerätes nachahmen, und für manipulierte
POS-Terminals. |
Dieselben Folgen treffen auch die Skimmer selber, die die Skimming-Hardware kaufen oder sich anderweitig verschaffen. Die Strafbarkeit beginnt somit deutlich vor dem Zeitpunkt des ersten Ausspähens von Kartendaten ( siehe zur Strafbarkeit nach § 202a StGB). Im Anschluss an die Argumentation des GBA beginnt mit dem ersten Ausspähen von Kartendaten auch der Versuch der Fälschung von Zahlungskarten mit Garantiefunktion gemäß § 152b StGB.
Als
Konsequenz daraus ist zu folgern, dass sich die Täter, die sich darauf
verständigen, eine Skimming-Attacke durchzuführen und dazu geeignete
Banken auswählen, zu einem Verbrechen verabreden (
§ 30 Abs. 2 StGB in Verbindung mit
§ 152b StGB). Das jedenfalls dann der Fall, wenn sie verabreden,
dass sie nicht nur die Kartendaten, sondern auch die Persönlichen
Identifikationsnummern der Bankkunden ausspähen wollen. Die PINs sind
erforderlich, um die Codierung der Zahlungskarten zu überwinden (siehe
Autorisierung im POS-Verfahren). |
|||||||||||||||||||||||
Ausspähen von PINs | ||||||||||||||||||||||||
Nach kriminalistischer Betrachtung sind die PINs ein zwingend erforderlicher Bestandteil der auszuspähenden Daten, um den Missbrauch von gefälschten Zahlungskarten mit Garantiefunktion überhaupt betreiben zu können. Wegen des Fälschungsgegenstandes, also die Zahlungskarte, geht die hier entwickelte Argumentation sehr weit, hält sich jedoch streng am Gesetzeswortlaut. Das materielle Strafrecht lässt das zu, weil es auslegungsfähig ist. Es ist jedoch nicht analogiefähig (keine Strafe ohne Gesetz, § 1 StGB). Damit greift die von Larenz bekannte Regel, dass die absolute Grenze der Auslegung der Wortlaut des Gesetzes ist.
Nach kriminalistischer Betrachtung ist die PIN ein zwingend notwendiger
Bestandteil, um einen Missbrauch von Zahlungskarten mit Garantiefunktion
unternehmen zu können (siehe
Autorisierung). |
Bestandteile, die der Sicherung gegen Fälschung dienen, sind die PIN als solche, der Kontrollwert auf der Zahlungskarte und die Verarbeitungsprozedur, die von der Clearingstelle oder der ausgebenden Bank verwendet werden, um die Autorisierung der Verfügung zu prüfen. Im Zusammenhang mit dem Ausspähen ist nur die PIN selber geschützt. § 149 Abs. 1 Nr. 3 StGB greift somit an demselben Zeitpunkt ein, wo auch § 303a Abs. 3 in Verbindung mit § 202c Abs. 1 Nr. 1 StGB ansetzen. Die Herstellung, Verbreitung und der Besitz von Tastaturaufsätzen und Kameras zur Ausspähung der PINs sind deshalb nicht vom Geldfälschungsstrafrecht umfasst. 2003 war das Skimming noch nicht so schmerzhaft im öffentlichen und
politischen Bewusstsein angekommen, dass diese Regelungslücke erkannt
worden ist. |
|||||||||||||||||||||||
Verabredung zu einem Verbrechen | Fazit | |||||||||||||||||||||||
Nach
§ 30
Abs. 1 StGB sind auch die Anstifter zu einem Verbrechen und die erst
nur bereitwilligen Täter strafbar. Diese vorverlagerte Strafbarkeit kann
auch die
Hersteller der Skimming-Hardware, die
Leiter
von Operation Groups,
Banden-Anführer und
Koordinatoren treffen und das Dank
§ 6
Nr. 7 StGB weltweit. |
Entgegen meiner bisherigen Annahme verlagert sie sich erheblich in das Vorbereitungsstadium hinein, wenn mit der Stellungnahme des GBA ( siehe oben) § 149 Abs. 1 Nr. 1 StGB wegen des Umgangs mit Kartenlesegeräten als strafbare Vorbereitungshandlung greift. Sollte diese Meinung zur herrschenden werden, dann ist das Skimming im engeren Sinne, also das Ausspähen der Kartendaten, auch auf dieser Argumentationsschiene der Eintritt in das Versuchsstadium zum Fälschen von Zahlungskarten mit Garantiefunktion, weil die Erfüllung der Tathandlungen des § 149 Abs. 1 StGB das Vorbereitungsstadium abschließen und daran notwendigerweise der strafbare Versuch anschließt ( §§ 22, 23 Abs. 1 StGB). Wegen der erweiterten strafrechtlichen Haftung im Zusammenhang mit
der Anstiftung und der Verabredung siehe
links. |
Anmerkungen | ||
(2)
Albstadt – Skimmer fällt runter: Datenklau missglückt,
Schwarzwälder Bote 08.03.2009 (zum
Artikel); (3) Ein gefasster Skimmer hat angegeben, die Skimming-Hardware von einem Händler erworben zu haben, der gleichzeitig die Herstellung der Dubletten anbietet. Er will anteilig an dem kriminellen Gewinn beteiligt werden, sagt der Beschuldigte.
(4)
Bilder: Manipulierte Geldautomaten, Heise Security 14.12.2007; (5) Beim Stoßbetrug werden Warengeschäfte in großem Umfang abgeschlossen, um den Kaufpreis per Vorkasse zu erlangen, ohne die Waren tatsächlich liefern zu können. (6) Manipulierter Bankautomat in Hanau, ZVT-News 29.05.2007
(7)
Fundgrube für Bildmaterial:
Bilder manipulierter Geldautomaten,
pfiffige Senioren |
(9)
Generalbundesanwalt, Stellungnahme vom 12.08.2008 - 1 StR 414/08, S. 4. (10) BGH, Beschluss vom 09.09.2008 - 1 StR 414/08 (11)
Fundstück aus 1994:
Francesco P. Volpe, Donald Hoffmann,
Safinaz Karabiyik, Streifenweise. PC liest Magnetkarten,
c't 1/1994 |
|
Cyberfahnder | ||
© Dieter Kochheim, 11.03.2018 |