Staatsanwaltschaft Leipzig

Staatsanwaltschaft Leipzig

R006 VRs 616 Js 57328/​17

Strafvollstreckungsverfahren der Staatsanwaltschaft Leipzig gegen Alexander Meyer, geb. am 09.06.1993 wegen Computerbetruges u.a.

Mit Urteil des Landgerichts Leipzig vom 06.11.2019, Az. 5 KLs 616 Js 57328/​17, wegen Computerbetruges wurde u.a. die Einziehung des Wertes von Taterträgen in Höhe von insgesamt 52.367,20 € gemäß §§ 73, 73 c StGB angeordnet.

Dem genannten Urteil liegt u.a. folgender Sachverhalt zugrunde:

Um sich persönliche und geschützte Kundendaten Dritter widerrechtlich zu verschaffen, nutzte der Angeklagte Meyer beginnend ab dem Jahr 2017 – zunächst noch von der Adresse Am Schlehdorn 18 in Göttingen und später von Magdeburg, Brunnenstraße 17a, aus – die von ihm u.a. auf dem Server mit der IP-Adresse 185.185.27.112, welcher der Internet Service Provider (ISP) Droptop GmbH, Am Grashorn 8, 14548 Schwielowsee, zugeordnet ist, installierten Programme u.a. „SQLiDumper“, welche gezielt Internetadressen nach Sicherheitslücken abfragen (SQL-Injections), um unter Ausnutzung dieser Sicherheitslücken die auf den angegriffenen Internetseiten/​-shops hinterlegten Datenbanken mit Kundendatensätzen abzufragen. Die so erlangten Kombinationen aus E-Mail-Adressen und Passwörten wurden wiederrum mit weiteren auf den Servern installierten Programmen (Francis Tools, Multi Checker, Multi Grabber, Mail Grabber, Payback Grabber etc.) bei den verschiedensten Onlineanbietern – u.a. die Firmen amazon, bahn.de, 1und1, Breuninger, ebay kleinanzeigen, Packstationen/​DHL, Zalando, Bauer, bücher.de, ebay, Payback, Thalia und Telekom – automatisiert ausprobiert und die jeweiligen Ergebnisse als Textdateien verarbeitet. Der Angeklagte beabsichtigte, auf diese Weise insbesondere für eine Weiterverwertung gut geeignete Daten herauszufiltern. Aufgrund dieser Vorgehensweise griff der Angeklagte Meyer im o.g. Zeitraum mittels SQLI-Dumper 9088 Webseiten an, wobei diese Angriffe in 4649 Fälle erfolgreich waren. Dabei konnte der Angeklagte Meyer auf mindestens 62 Internetseiten insgesamt 2.916.045 unterschiedliche Datensätze (bestehend aus E-Mail und dazugehörigen Passwort) abziehen.

Dem Angeklagten Meyer war dabei bewusst, dass er zur Nutzung der Daten nicht befugt war und dadurch einen Datenverarbeitungsvorgang zu seinen Gunsten manipuliert. Es ging ihm darum sich ungerechtfertigt finanzielle Vorteile auf Kosten der Geschädigten zu verschaffen. Einen diesen entstehenden Schaden nahm er dabei um seines eigenen Vorteils willen zumindest billigend in Kauf.

Aufgrund der beschriebenen Vorgehensweise konnte der Angeklagte Meyer mindestens folgende unterschiedliche Datensätze generieren:

Dabei haben etwa die beim Angeklagten Meyer gefundenen 49.728 Payback-Accounts (Lfd.Nr. 06) einen durchschnittlichen Gesamtwert von 399.813,00 EUR.

Zudem veräußerte der Angeklagte Meyer im Zeitraum vom 18.11.2016 bis mindestens 04.09.2017 einen Teil der von ihm unter der o.g. Vorgehensweise generierten Datensätze an den andersweitig Verfolgten Bayram Aras, der dafür insgesamt EUR 4.292,30 auf das Konto des Angeklagten Meyer zahlte.

253. – 1204.
In Umsetzung seines Tatentschlusses – sich durch die wiederholte Begehung der nachfolgend beschriebenen Straftaten eine erhebliche Einnahmequelle von nicht nur vorübergehender Dauer zu verschaffen – nutzte der Angeklagte Meyer die von ihm durch die o.g. Straftaten gewonnenen Daten, um diese im Rahmen von Onlinebestellungen – zunächst noch von der Adresse Am Schlehdorn 18 in Göttingen und später von Magdeburg, Brunnenstraße 17a, aus – zu verwerten. Infolge der oben beschriebenen Phishingkampagnen verfügte der Angeklagte Meyer über die Möglichkeit, mittels dieser Daten diverse Dienstleistungen online unter missbräuchlicher Nutzung der Zahlungsinformationen Dritter (Paypal, Kreditkarte, Handy-Pay, etc.) in Anspruch zu nehmen. Darüber hinaus verarbeitete der Angeklagte die mittels Phishing bzw. SQL-Injection erlangten E-Mail:Passwort-Kombinationen durch automatisierte Prüfung bei namhaften Onlineanbietern von amazon bis Zalando. Somit verfügte er auch über die Möglichkeit, durch Missbrauch bestehender Accounts Bestellungen auszulösen. Zur Verschleierung seiner Identität nutzte der Angeklagte erfundene Namen sowie unterschiedlichen Kontakt-E-Mail-Adressen. Zur Bezahlung verwendete der Angeklagte die im Zuge des Phishings missbräuchlich erlangten Paypal-Accounts und Kreditkartendaten. Dementsprechend täuschte er entweder die mit der Bearbeitung seiner Bestellungen jeweils betrauten Mitarbeiter des betroffenen Unternehmens in allen Fällen über seine Identität und seine nicht vorhandene Zahlungsbereitschaft, woraufhin diese die Bestellungen jeweils entsprechend der Vorstellung des Angeklagten Meyer im Vertrauen auf die Identität des Kunden und dessen Zahlungswilligkeit ausführten; oder soweit eine Bestellung im Internet ohne Tätigkeit einer Person automatisch verarbeitet wurde, beeinflusste der Angeklagte durch die unbefugte Verwendung der Personen- und Zahlungsdaten den zur Ausführung der Bestellung veranlassten Datenverarbeitungsvorgang, indem er bestellte Leistung aufgrund der von dem Angeklagten – wie er wusste zu Unrecht – eingegebenen Daten freigegeben wurde, um sich unrechtmäßig zu bereichern.

253. – 720.
Auf der Webseite der Deutschen Bahn AG buchte der Angeklagte Meyer – jeweils aufgrund eines neuen Tatentschlusses – gemäß der o.g. Vorgehensweise – zunächst noch von der Adresse Am Schlehdorn 18 in Göttingen und später von Magdeburg, Brunnenstraße 17a, aus – in insgesamt 468 Fällen personalisierte Tickets für konkrete Verbindungen und pauschale Gutscheine mit Nominalwerten zwischen 31 € und 240 €. Alle Buchungen haben einen Gesamtwert von 39.070,90 €. Für die Bestellungen nutzte der Angeklagte Meyer ständig wechselnde Namen, E-Mail-Adressen und Rufnummern, um über die Identität des Bestellers zu täuschen. Um einer eigenen Zahlungspflicht zu entgehen, aber dennoch einen zahlungswilligen und zahlungsfähigen Kunden vorzuspiegeln, gab der Angeklagte Meyer zur Bezahlung widerrechtlich genutzte fremde Paypal-Accounts und Kreditkartendaten Geschädigter an, obwohl er wusste, dass diese Konten entsprechend belastet werden und er zur Nutzung dieser Zahlungsdaten nicht berechtigt war. Die Daten verwendete der Angeklagte Meyer dennoch, um sich eigene Aufwendungen zu ersparen und ungerechtfertigte finanzielle Vorteile zu verschaffen. Die Buchungen wurden aufgrund der Eingabe plausibler Kunden- und Zahlungsdaten automatisch verarbeitet, so dass der Angeklagte Meyer durch die unbefugte Verwendung der Personen- und Zahlungsdaten den zur Ausführung der Bestellung veranlassten Datenverarbeitungsvorgang beeinflusste, indem die bestellte Leistung aufgrund der von ihm – wie er wusste zu Unrecht – eingegebenen Daten jeweils freigegeben wurde. Die Gutscheine/​Tickets nutzte der Angeklagte Meyer zu einem geringen Teil selbst oder gab diese an die Angeklagte Tupkovic weiter und zum Großteil veräußerte er diese an unbekannt gebliebene Dritte Personen für mindestens die Hälfte ihres jeweiligen Wertes. Durch das Verhalten des Angeklagten Meyer entstand ein Gesamtschaden in Höhe von insgesamt 39.070,90 €, im Einzelnen entweder bei der Deutschen Bahn AG, dem Kreditkarteninhaber, dessen Kreditkarte unbefugt genutzt wurde oder bei der kreditkartenausgebenden Bank bzw. bei PayPal oder dem Accountinhaber. Diesen Schaden führte der Angeklagte Meyer um seines eigenen Vorteils willen bewusst herbei. Dabei handelt es sich um folgende Fälle:

721. – 786/​3.
(Zur Tatziffer 786 wurden durch einen Einschub zusätzlich die Ziff. 786/​1 – 786/​3 vergeben.)

Des weiteren veranlasste der Angeklagte Meyer – zunächst noch von der Adresse Am Schlehdorn 18 in Göttingen und später von Magdeburg, Brunnenstraße 17a, aus – im Zeitraum vom 23.04.2017 bis 31.12.2018 in 65 Fällen Essenbestellungen bei den Lieferdiensten Lieferando, Lieferheld, Pizza.de, Domino´s Pizza und Uno Pizza im Wert von mindestens 2.281,49 €. Für die Bestellungen nutzte der Angeklagte Meyer ständig wechselnde Namen, E-Mail-Adressen, Rufnummern und Auslieferungsanschriften, um über die Identität des Bestellers zu täuschen. Um einer eigenen Zahlungspflicht zu entgehen, aber dennoch einen zahlungswilligen und zahlungsfähigen Kunden vorzuspiegeln, gab der Angeklagte Meyer zur Bezahlung widerrechtlich genutzte fremde Paypal-Accounts und Kreditkartendaten Geschädigter an, obwohl er wusste, dass diese Konten entsprechend belastet werden und er zur Nutzung dieser Zahlungsdaten nicht berechtigt war. Die Daten verwendete der Angeklagte Meyer dennoch, um sich eigene Aufwendungen zu ersparen und ungerechtfertigte finanzielle Vorteile zu verschaffen. Dementsprechend täuschte er entweder die mit der Bearbeitung seiner Bestellungen jeweils betrauten Mitarbeiter des betroffenen Unternehmens in allen Fällen über seine Identität und seine nicht vorhandene Zahlungsbereitschaft, woraufhin diese die Bestellungen jeweils entsprechend der Vorstellung des Angeklagten Meyer im Vertrauen auf die Identität des Kunden und dessen Zahlungswilligkeit ausführten; oder soweit eine Bestellung im Internet ohne Tätigkeit einer Person automatisch verarbeitet wurde, beeinflusste der Angeklagte durch die unbefugte Verwendung der Personen- und Zahlungsdaten den zur Ausführung der Bestellung veranlassten Datenverarbeitungsvorgang, indem er bestellte Leistung aufgrund der von dem Angeklagten – wie er wusste zu Unrecht – eingegebenen Daten freigegeben wurde.

Durch das Verhalten des Angeklagten Meyer entstand ein Gesamtschaden in Höhe von insgesamt 2.281,49 €, im Einzelnen entweder bei dem jeweiligen Lieferunternehmen, dem Kreditkarteninhaber, dessen Kreditkarte unbefugt genutzt wurde oder bei der kreditkartenausgebenden Bank bzw. bei PayPal oder dem Accountinhaber. Diesen Schaden führte der Angeklagte Meyer um seines eigenen Vorteils Willen bewusst herbei.

Dabei handelt es sich um folgende Fälle:

787. – 1204.
Im Zeitraum vom 05.11.2016 bis 27.04.2018 erwarb der Angeklagte Meyer in 418 Fällen bei den Firmen Alphacomm (Aufladen.de, Telekomaufladen.de), Top Up B.V. (Guthaben.de) Prepaid Mobilfunkguthaben sowie Dienstleistungen/​Gutscheine u.a. bei bungeecloud, Globus Baumarkt, Zalando, Galeria Kaufhof, Kinguin, Proxymesh, Steam, Cineplex und GooglePlay im Gesamtwert von 15.168,42 €. Für den Kauf nutzte er ständig wechselnde Namen, E-Mail-Adressen und Rufnummern (darunter auch die überwachten Rufnummern), um über die Identität des Bestellers zu täuschen. Um einer eigenen Zahlungspflicht zu entgehen, aber dennoch einen zahlungswilligen und zahlungsfähigen Kunden vorzuspiegeln, gab der Angeklagte Meyer zur Bezahlung widerrechtlich genutzte fremde Paypal-Accounts und Kreditkartendaten Geschädigter an, obwohl er wusste, dass diese Konten entsprechend belastet werden und er zur Nutzung dieser Zahlungsdaten nicht berechtigt war. Die Daten verwendete der Angeklagte Meyer dennoch, um sich eigene Aufwendungen zu ersparen und ungerechtfertigte finanzielle Vorteile zu verschaffen. Die Buchungen wurden aufgrund der Eingabe plausibler Kunden- und Zahlungsdaten automatisch verarbeitet, so dass der Angeklagte Meyer durch die unbefugte Verwendung der Personen- und Zahlungsdaten den zur Ausführung der Bestellung veranlassten Datenverarbeitungsvorgang beeinflusste, indem die bestellte Leistung aufgrund der von ihm – wie er wusste zu Unrecht – eingegebenen Daten freigegeben wurde. In mindestens 25 Fällen (Ziffern 860, 881, 895, 897, 940, 941, 943, 945, 948, 949, 989, 996, 1040, 1041, 1042, 1066, 1112, 1113, 1119, 1146, 1148, 1166, 1167, 1168, 1169) waren die Käufe erfolgreich und es entstand ein Schaden von mindestens 749,79 €, den der Angeklagte um seines eigenen Vorteils Willen bewusst herbeiführte. In wiederum 8 dieser Fälle erfolgte die Einlösung der betrügerisch erworbenen Mobilfunkguthaben zur „Aufladung“ der Mobilfunkrufnummern 015773728823 und 015153332408 des Angeklagten Meyer. In den übrigen Fällen wurden die Bestellungen von den Unternehmen nicht durchgeführt. Der Angeklagte hatte jedoch auch in diesen Fällen vor, sich durch den Erhalt der Gegenleistung ohne eigene Zahlung finanzielle Vorteile im Gesamtumfang von 14.418,63 € zu verschaffen, auf die er, wie er wusste, keinen Anspruch hatte. Nach seinem Tatplan sollten die Unternehmen auch in diesen Fällen im Vertrauen auf die Redlichkeit des Bestellers die Dienstleistungen zur Verfügung stellen. Dabei handelt es sich um folgende Fälle:

1205. – 1318.
Im oben genannten Zeitraum löste der Angeklagte Meyer – teilweise auch gemeinsam mit der Angeklagten Tupkovic – missbräuchlich bei mindestens 114 Payback-Kundenkonten 282.635 Paybackpunkte mit einem Gegenwert von 2.826,35 € ein, die von verschiedenen Geschädigten zuvor gesammelt worden waren. Dabei ging er so vor, dass er sich Gutscheine an den dafür vorgesehenen Automaten ausdruckte, nachdem er sich auf die o.g. Payback-Konten widerrechtlich eingeloggt und damit Payback vorspiegelt hatte tatsächlicher Inhaber der Payback-Kundenkonten und zugleich berechtigt zu sein die Paybackpunkte einzulösen. Die Einlösungen der Paybackpunkte wurden aufgrund der Eingabe plausibler Kunden- und Zahlungsdaten automatisch verarbeitet, so dass der Angeklagte Meyer durch die unbefugte Verwendung der Personen- und Zugangsdaten den zur Ausführung der Einlösung veranlassten Datenverarbeitungsvorgang beeinflusste, indem die Gutscheine aufgrund der von ihm – wie er wusste zu Unrecht – eingegebenen Daten freigegeben wurden. Die Payback GmbH bietet mittels der Payback-App die Möglichkeit, die bei vorherigen Einkäufen gesammelten Payback-Punkte beim späteren Bezahlen von Waren bei ausgewählten Partnern an der Kasse einzulösen, wobei ein Punkt 1 Cent entspricht. Vorgefasster gemeinsamer Absicht entsprechend erhielten die Angeklagten die Gutscheine, so dass sie Aufwendungen in der jeweiligen Höhe ersparten und ein entsprechender Schaden bei den Payback-Karteninhabern durch Verbrauch ihrer Payback-Punkte bzw. der Payback GmbH entstand.

Insgesamt entstand durch das Verhalten des Angeklagten Meyer ein Schaden in Höhe von 2.826,35 €, den der Angeklagte Meyer um seines eigenen Vorteils Willen bewusst herbeiführte. Unter anderem nahm der Angeklagte Meyer folgende konkreten Einlösungshandlungen vor:

So löste der Angeklagte Meyer beispielsweise unter missbräuchlicher Verwendung der Payback-Kundennummer 3083426015205670 am 07.01.2017, 22:49 Uhr an der Aral Tankstelle Andreas Kessler, Widdersdorfer Str. 427, 50933 Köln, 8600 Paybackpunkte in u.a. 2 Paysafe-Gutscheine ein 20,00 € (S/​N 1644523536) und 50,00 € (S/​N 1641365858)). Der Paysafe-Gutschein 1641365858 wurde anschließend am 09. und 11.01.2017 für 2 Transaktionen vom Paysafe-Konto des Angeklagten Meyer bei VirWox zum Kauf von Bitcoins genutzt (Ziffer 1205).

Des Weiteren löste der Angeklagte Meyer unter missbräuchlicher Verwendung der Payback-Kundennummer 3083423752508752 am 12.01.2017, 09:44:54 Uhr in einer REWE Markt GmbH-Filiale in der Weender Landstr. 76, 37075 Göttingen, 5900 Paybackpunkte in u.a. ein Paysafe-Gutschein ein 25,00 € (S/​N 1646515911). Der Paysafe-Gutschein 1646515911 wurde anschließend am 12. und 20.01.2017 für 2 Transaktionen vom Paysafe-Konto des Angeklagten Meyer bei VirWox zum Kauf von Bitcoins genutzt (Ziffer 1208).

Zudem wurde am 21.01.2017 um 13:48 Uhr in einem Rewe Markt in Göttingen unter missbräuchlicher Verwendung von Paybackguthaben (9700 Punkte) der Kundennummer 3083426002708213 Paysafe-Wertkarten gekauft. Die Paysafe-Wertkarte mit der S/​N 1646543359 wurde auf dem Paysafe-Konto des Angeklagten Meyer eingezahlt (Ziffer 1209).

Insgesamt handelt es sich um folgende Fälle, bei denen in der genannten Weise widerrechtlich Paybackpunkte eingelöst wurden: