Kann man digitale Vermögenswerte mittels des Zugriffs eines privaten Schlüssels „stehlen“ ?

Der Umgang mit sogenannten „Kryptodiebstahl: Ein Beitrag zu einem Fall der freiwilligen Weitergabe der Passwort-Seedphrases – ab wann kommt es zu einem „Diebstahl“ digitaler Vermögenswerte, wenn die Entziehung allein auf dem Zugriff mittels eines privaten Schlüssels beruht?

Mit Beschluss vom 18. September 2024 (Az. 1 Ws 185/24) hat das OLG Braunschweig diese Fallkonstellation der unbefugten Token-Übertragung als einen strafrechtlich relevanten Zugriff auf digitale Vermögenswerte abgelehnt und sieht damit eine bloße zivilrechtliche Vertragsuntreue.

Ausgangspunkt war ein Ermittlungsverfahren gegen einen Beschuldigten, der einem Dritten im Rahmen eines Token-Projekts bei der Einrichtung einer Wallet geholfen und dabei Zugriff auf die für den Zugang erforderlichen 24-Passwort-Seedphrases behalten hatte. Später übertrug der Beschuldigte rund 25 Millionen „A-Coins“, die dem Geschädigten zugeordnet waren, auf zwei von diesem unabhängige Wallets.

Die Staatsanwaltschaft sah darin unter anderem einen Verstoß gegen § 202a StGB (Ausspähen von Daten), ferner einen Computerbetrug (§ 263a StGB) sowie eine strafbare Datenveränderung im Sinne des § 303a StGB. Zur Sicherung einer möglichen Wertersatzeinziehung wurde ein Arrest in Höhe von knapp 2,5 Millionen Euro angeordnet. Nach Beschwerde des Beschuldigten hob das LG Göttingen die Arrest-Anordnung auf, was das OLG Braunschweig mit Beschluss vom 18.09.2024 bestätigte.

Zentraler Prüfstein war § 202a Abs. 1 StGB, dessen Tatbestandsmerkmal des „Überwindens einer besonderen Zugangssicherung“ im Mittelpunkt stand. Zwar lag eine solche Zugangssicherung objektiv vor – die Wallet war durch ein 24-Wort-Recovery-Passwort geschützt. Das OLG verneinte jedoch eine „Überwindung“, weil der Beschuldigte die Passwörter bereits kannte und diese lediglich in der vorgesehenen Weise benutzte. Anders als etwa in der Entscheidung des BGH vom 13. Mai 2020 (5 StR 614/19) sei der Zugangsschutz nicht umgangen oder manipuliert, sondern im Rahmen seiner Funktionsweise verwendet worden. Die Strafbarkeit nach § 202a StGB setze aber voraus, dass der Täter die Schutzvorkehrung aktiv ausschaltet oder umgeht – nicht, dass er sie schlicht benutzt, obwohl ihm dies zivilrechtlich nicht zusteht.

Keine Computerbetrug nach § 263a StGB
Auch der Computerbetrug gemäß § 263a StGB scheiterte, weil im Kontext der Blockchain kein täuschungsäquivalenter Datengebrauch vorliegt. Eine auf einer Token-Transaktion beruhende Erklärung impliziert keine (konkludente) Berechtigung, weil das System selbst keine normative Identifikation vornimmt. Der Gebrauch eines privaten Schlüssels erlaubt technisch den Zugriff – unabhängig davon, ob dem Verwender eine materielle Berechtigung zukommt. Die Blockchain kennt keine Verfügungsrechte im rechtlichen Sinne, sondern nur kryptographisch verifizierte Verfügungsfähigkeit. Eine „Täuschung“ über eine Berechtigung kann daher im Rahmen des Blockchain-Protokolls gar nicht erfolgen – was § 263a StGB die Tatbestandsgrundlage entzieht.

Eine rechtswidrige Datenveränderung nach § 303a StGB ?
Zwar erkennt das OLG an, dass die Zuordnung von Token in der Blockchain durch eine Transaktion technisch gesehen eine Veränderung von Daten darstellt. Diese werde jedoch nicht durch den Beschuldigten selbst, sondern durch die konsensbasierte Handlung der Netzwerk-Betreiber vorgenommen.

Auch eine mittelbare Veranlassung reiche nicht, da die Verfügungsberechtigung über die Blockchain-Einträge bei den Netzwerk-Teilnehmern selbst liege – eine persönliche Verantwortlichkeit des Verwenders sei daraus nicht abzuleiten. Dier Frage, ob § 303a StGB zumindest dann einschlägig sein könnte, wenn ein faktisches Entziehen von Zugriffsmöglichkeiten vorliegt, verwirft das OLG: Eine Strafbarkeit könne nicht auf bloßen Vertragsverletzungen beruhen. Die vom Beschuldigten gesetzten Transaktionen berührten keine fremden Verfügungsrechte, sondern allenfalls schuldrechtliche Pflichten, deren Verletzung außerhalb des Schutzbereichs des Strafrechts liege.

Die Entscheidung des OLG Braunschweig hält an der Trennung zwischen zivil- und strafrechtlichen Schutzgütern fest. Die faktische Entziehung von Kryptowerten ist straflos, wenn sie technisch auf regulärem Weg erfolgt und keine normativ geschützten fremden Rechtspositionen verletzt.Wichtig ist die Anwendung des § 303a StGB, speziell die „fremde Datenverfügungsbefugnis“, wobei das OLG Braunschweig darauf abstellt, dass die Datenveränderung durch “das Netzwerk” verursacht wird:

Die Protokollierung einer Transaktion in der Blockchain und die damit verbundene datenmäßige Veränderung der Zuordnung der Kryptowerte (hier: A-Coins) beinhaltet zwar eine Veränderung – und zugleich auch ein teilweises Unbrauchbarmachen – von Daten; denn mit der Zuweisung der Coins zu einem anderen Public Key ist eine Änderung des Informationsgehalts bzw. Aussagewertes des zuvor die Zuweisung dokumentierenden Datensatzes verbunden.

Diese Datenveränderung ist aber nicht durch den Beschuldigten, sondern durch die Netzwerk-Betreiber und damit durch die diesbezüglich Verfügungsberechtigten selbst vorgenommen worden: Wie ausgeführt, wird die Blockchain durch ein dezentrales Netzwerk von Servern (sog. Knoten = “Nodes”) verwaltet und gesteuert. Die in der Blockchain gespeicherten Daten werden in identischer Form auf allen teilnehmenden Rechnern gespeichert. Skribent der Blockchain-Daten sind mithin die Netzwerk-Betreiber in ihrer Gesamtheit, denn (nur) diese bewirken die Speicherung der Daten unmittelbar selbst. Die “Inhaber” der Kryptowerte speichern die Blockchain-Daten hingegen weder unmittelbar selbst noch sind sie zu diesbezüglichen Veränderungen schuldrechtlich berechtigt (…)
Dass die Protokollierung einer Transaktion die Folge einer Verfügung des Nutzers unter Verwendung des zutreffenden öffentlichen und privaten Schlüssels ist und er diese damit – kausal – veranlasst hat, rechtfertigt keine andere Beurteilung. Denn hieraus folgt lediglich eine – gerade dem vorgesehenen Betrieb des Systems entsprechende – mittelbare Bewirkung der die Veränderung auslösenden Datenspeicherung. Dies genügt für den das Verfügungsrecht begründenden Skripturakt nicht. Wollte man auf die mittelbare Verursachung der Protokollierung der Transaktion abstellen, wäre im Übrigen zunächst auch (nur) der Nutzer des verwendeten Privateund Public Keys als Datenverfügungsberechtigter in den Blick zu nehmen. Denn es kann nicht außer Betracht bleiben, dass Transaktionen innerhalb der Blockchain bewusst und gewollt anonym durchgeführt werden und die Zuordnung der Kryptowerte deshalb auch nicht zu Personen, sondern nur zu “Schlüsseln” erfolgt. Zur Ausführung einer Transaktion betreffend die einem öffentlichen Schlüssel zugeordneten Kryptowerte befugt ist im Verhältnis zur Blockchain nach deren Regeln damit zunächst jede Person, die über den zutreffenden Private Key verfügt. Ob dies anders zu beurteilen wäre, wenn diese Person den zutreffenden Private Key durch rechtswidriges Handeln erlangt hätte, braucht hier nicht entschieden zu werden. Denn dem Beschuldigten wird (lediglich) zur Last gelegt, er habe den Zugriff auf den Private Key des Anzeigeerstatters durch Verwendung der ihm bereits bekannten Passwörter erlangt und mithin eine schuldrechtliche Nebenpflicht – die von ihm erstellten Passwörter nicht (mehr) zu verwenden – verletzt. Eine Kriminalisierung von Vertragsverletzungen wird von § 303a StGB jedoch nicht erfasst (…).

Januar 2025