§ 263a StGB Computerbetrug: CEO-Fraud, Phishing und BEC in der Strafverfolgung
Kurz und klar
§ 263a StGB stellt Computerbetrug unter Strafe: die unbefugte Beeinflussung eines Datenverarbeitungsvorgangs mit dem Ziel, sich oder einem anderen einen rechtswidrigen Vermögensvorteil zu verschaffen. Bei CEO-Fraud, Business Email Compromise (BEC) und den meisten Phishing-Varianten liegt aber in der Regel nicht § 263a, sondern der klassische Betrug (§ 263 StGB) vor – weil ein Mensch getäuscht wird, nicht ein Automat. Die Abgrenzung ist entscheidend, weil beide Normen unterschiedliche Tatbestände, Verjährungsfristen und Qualifikationen (Bandenbetrug, gewerbsmäßiger Betrug) haben. In der Praxis werden Verfahren häufig nebeneinander mit beiden Normen geführt – die Verteidigung muss die Abgrenzung präzise beherrschen.
Inhaltsverzeichnis
2. Die vier Tatvarianten des § 263a StGB
3. CEO-Fraud: Warum in der Regel § 263 statt § 263a
4. Phishing: Zwei-Stufen-Betrug und die Abgrenzung
5. Business Email Compromise (BEC)
6. Qualifikationen: Bandenmäßig, gewerbsmäßig, besonders schwer
8. Praxis-Insight aus der Cybersecurity-Perspektive
1. Wortlaut und Schutzzweck
Der Wortlaut lautet:
§ 263a StGB – Computerbetrug
(1) Wer in der Absicht, sich oder einem Dritten einen rechtswidrigen Vermögensvorteil zu verschaffen, das Vermögen eines anderen dadurch beschädigt, dass er das Ergebnis eines Datenverarbeitungsvorgangs durch unrichtige Gestaltung des Programms, durch Verwendung unrichtiger oder unvollständiger Daten, durch unbefugte Verwendung von Daten oder sonst durch unbefugte Einwirkung auf den Ablauf beeinflusst, wird mit Freiheitsstrafe bis zu fünf Jahren oder mit Geldstrafe bestraft.
§ 263a StGB wurde 1986 geschaffen, um Betrugsvarianten zu erfassen, in denen kein Mensch, sondern ein automatisierter Datenverarbeitungsvorgang beeinflusst wird. Damit schließt er die Regelungslücke, die klassischer Betrug (§ 263 StGB) mit dem Merkmal „Irrtum bei einem Menschen" ließ.
Schutzgut ist das Vermögen. Anders als bei § 263 fehlt das Merkmal des Irrtums – der Automat kann nicht irren. Erforderlich ist stattdessen die unbefugte Beeinflussung eines Datenverarbeitungsvorgangs mit vermögensschädigender Wirkung. Der Strafrahmen ist mit dem des klassischen Betrugs identisch: bis zu fünf Jahre Freiheitsstrafe.
2. Die vier Tatvarianten des § 263a StGB
Das Gesetz nennt vier Handlungsalternativen. Jede kann eigenständig zur Strafbarkeit führen.
2.1 Unrichtige Gestaltung des Programms
Manipulation der Software selbst. Praxisrelevant bei manipulierten Kassensystemen (Zapper-Software), gefälschten Buchhaltungssystemen, manipulierten Slot-Machines-Algorithmen. Historisch der klassische Anwendungsfall – heute ergänzt durch modernere Manipulationsformen.
2.2 Verwendung unrichtiger oder unvollständiger Daten
Eingabe falscher Daten in ein funktionierendes System. Klassiker: falsche Angaben in Online-Kreditanträgen, gefälschte Rechnungsdaten in Ausgangs-Systemen, manipulierte Steuererklärungen in ELSTER. Die Software ist korrekt – die Eingabe ist falsch.
2.3 Unbefugte Verwendung von Daten
Die praktisch häufigste Variante. Wer sich Zugangsdaten fremder Personen verschafft und mit diesen agiert, verwendet Daten unbefugt. Klassische Anwendungsfälle: Nutzung gestohlener Kreditkartendaten, Zugriff auf fremdes Online-Banking mit erbeuteten Zugangsdaten, unberechtigte Nutzung fremder PayPal-Konten. In den meisten Phishing-Folgeverfahren zentral.
2.4 Sonstige unbefugte Einwirkung auf den Ablauf
Auffangtatbestand. Erfasst Sachverhalte, in denen keiner der ersten drei Fälle passt, aber eine vergleichbare Beeinflussung vorliegt – etwa Manipulation von Automaten durch physische Einwirkung ohne Programmveränderung, Ausnutzung technischer Fehler in Zahlungssystemen, ausgeklügeltes Timing-Ausnutzen bei Handelssystemen.
3. CEO-Fraud: Warum in der Regel § 263 statt § 263a
CEO-Fraud, auch Fake-President-Fraud, ist eine Betrugsvariante, bei der Täter im Namen einer Führungsperson (typischerweise CEO oder CFO) eine dringende Überweisung eines Unternehmensmitarbeiters veranlassen. Die Kommunikation läuft per E-Mail, gefälschtem Telefonat oder gefälschter Chat-Nachricht.
Strafrechtlich ist das in aller Regel § 263 StGB, nicht § 263a. Der Grund: Getäuscht wird ein Mensch (der Buchhalter oder Finance-Mitarbeiter), nicht ein Automat. Die klassischen Betrugstatbestandsmerkmale sind erfüllt:
Täuschung: durch vorgespiegelte Identität und konstruierten Geschäftsvorfall
Irrtum: beim getäuschten Mitarbeiter über die Echtheit der Anweisung
Vermögensverfügung: die durchgeführte Überweisung
Vermögensschaden: in Höhe der Überweisung
Wann kommt zusätzlich § 263a ins Spiel? Wenn die Täter parallel oder nachfolgend automatisierte Zahlungssysteme oder Bank-APIs manipulieren. In der Praxis ist das aber die Ausnahme.
Anwendbares deutsches Strafrecht auch bei Auslandstätern: Nach dem Ubiquitätsprinzip (§ 9 Abs. 1 Var. 3 StGB) gilt deutsches Strafrecht auch, wenn die Täter aus dem Ausland agieren – wenn der Erfolgsort in Deutschland liegt (Zahlungseingang, Schadenseintritt).
Was das für die Verteidigung heißt: Beschuldigte in CEO-Fraud-Verfahren müssen sich gegen § 263 StGB verteidigen – und häufig zusätzlich gegen § 269 StGB (Fälschung beweiserheblicher Daten) sowie § 270 StGB (Täuschung im Rechtsverkehr bei Datenverarbeitung), wenn digitale Signaturen, gefälschte Rechnungen oder ähnliche digitale Beweismittel im Spiel waren.
4. Phishing: Zwei-Stufen-Betrug und die Abgrenzung
Phishing ist juristisch selten ein einzelnes Delikt, sondern ein zweistufiger Sachverhalt:
Stufe 1: Erlangung der Zugangsdaten. Der Empfänger einer Phishing-Mail wird auf eine gefälschte Website gelockt und gibt dort Zugangsdaten ein. Rechtlich einschlägig sind hier – je nach Konstruktion – § 202a StGB (Ausspähen von Daten), § 263 StGB (klassischer Betrug: der Nutzer wird getäuscht) und ggf. § 269 StGB (Fälschung beweiserheblicher Daten für die gefälschte Website).
Stufe 2: Verwendung der Zugangsdaten. Erst hier greift § 263a StGB regelmäßig – wenn die Täter mit den erbeuteten Daten Online-Banking-Transaktionen ausführen, PayPal-Zahlungen tätigen, Kreditkartenkäufe abwickeln. Die Datenverarbeitungssysteme der Bank / des Zahlungsdienstleisters werden durch die unbefugte Verwendung fremder Daten (Alternative 3) beeinflusst.
Kombinationsstrafbarkeit: In vielen Verfahren stehen § 202a, § 263, § 263a, § 269 und § 270 StGB nebeneinander. Der Vorwurf und die Verteidigungsstrategie müssen dies antizipieren.
Vorbereitungshandlungen: § 263a Abs. 3 stellt bereits das Herstellen, Verschaffen, Zugänglichmachen oder Feilhalten von Computerprogrammen zur Vorbereitung des Computerbetrugs unter Strafe. Für Beschuldigte, die Phishing-Kits, Malware oder Zugangsdaten-Datenbanken vertreiben oder besitzen, praxisrelevant.
5. Business Email Compromise (BEC)
BEC ist der Sammelbegriff für die verschiedenen Angriffsvarianten, in denen Unternehmen über kompromittierte oder gefälschte E-Mail-Konten zu Zahlungen bewegt werden. Neben CEO-Fraud gibt es:
Invoice-Fraud / Rechnungsbetrug: Täter kompromittieren die E-Mail-Konten von Lieferanten oder Dienstleistern und schicken abgeänderte Rechnungen mit fremden Kontodaten an bestehende Kunden. Die Zahlung fließt an den Angreifer. Strafrechtlich meist § 263 StGB (Täuschung des Zahlungsanweisenden durch die manipulierte Rechnung) plus § 202a bei der Konten-Kompromittierung.
Attorney-Fraud: Täter geben sich als Anwalt einer bekannten Kanzlei aus und veranlassen Überweisungen unter Vorspiegelung dringender M&A- oder Prozesskosten. Auch hier § 263 StGB.
HR-Fraud / Gehaltsumleitung: Täter geben sich als Mitarbeiter aus und lassen die Gehaltszahlung auf ein neues Konto umleiten. Betrug plus ggf. § 269 StGB bei gefälschten Nachweisen.
Cryptocurrency-Fraud: Aufforderung zur Zahlung in Krypto-Währung. Rechtlich identische Struktur, praktisch schwerer verfolgbar.
Für die Verteidigung wichtig: In BEC-Fällen liegt die Beweisführung häufig fast ausschließlich in digitalen Spuren. E-Mail-Header-Analysen, IP-Attributionen, Wallet-Verfolgung. Ein Verteidiger, der diese technische Ebene nicht beherrscht, verschenkt Ansätze.
6. Qualifikationen: Bandenmäßig, gewerbsmäßig, besonders schwer
§ 263a Abs. 2 verweist auf § 263 Abs. 2 bis 6 – die Qualifikationen des klassischen Betrugs gelten entsprechend.
§ 263 Abs. 3 – besonders schwerer Fall:
Gewerbsmäßigkeit
Vermögensverlust großen Ausmaßes (Schwelle: 50.000 Euro, in aktueller Rechtsprechung teils höher)
Vielzahl von Menschen in wirtschaftliche Not gebracht
Ausnutzung von Amtsträger-Position
Strafrahmen: sechs Monate bis zehn Jahre Freiheitsstrafe.
§ 263 Abs. 5 – Bandenmäßiger und gewerbsmäßiger Betrug:
Zusammenschluss von mindestens drei Personen zur fortgesetzten Begehung
Gewerbsmäßiges Handeln
Strafrahmen: ein bis zehn Jahre Freiheitsstrafe.
In der Praxis von CEO-Fraud und BEC-Fällen liegt fast immer bandenmäßige und gewerbsmäßige Begehung nahe – die Angreifer sind arbeitsteilig organisiert, die Schadenshöhen überschreiten oft die 50.000-Euro-Schwelle. Konsequenz: Es geht um mehrjährige Freiheitsstrafen, nicht mehr um Geldstrafe.
7. Verteidigungsansätze
Die Verteidigung setzt an mehreren Punkten an.
7.1 Tatbestandsebene
Vermögensschaden. Bei einigen Konstellationen liegt kein tatsächlicher Vermögensschaden vor, etwa wenn Rückbuchungen erfolgen oder die Bank Regress leistet. Die Bestimmung des Vermögensschadens ist juristisch heikel und häufig unterschätzt.
Zurechnung. Wer war der Täter? Bei Online-Straftaten ist die technische Attribution häufig unsicher – IP-Adressen, VPN-Nutzung, Botnet-Einsätze machen die Zuordnung zu einer konkreten Person angreifbar.
Vorsatz und Bereicherungsabsicht. Bei mutmaßlichen Geldwäsche-Kurieren und Money-Mules ist der Nachweis der Bereicherungsabsicht häufig streitig. Viele Money-Mules werden selbst durch Fake-Job-Angebote getäuscht und agieren ohne Vorsatz zum Computerbetrug.
Gewerbsmäßigkeit und Bande. Häufiger Angriffspunkt: Wurde die Bande tatsächlich bewusst gegründet? War die Fortsetzungsabsicht konkret?
7.2 Verfahrensebene
Digitale Beweise. IT-forensische Sicherung, Chain of Custody, Verwertbarkeit gestohlener oder international beschaffter Beweismittel.
Auslandsermittlungen. Rechtshilfeersuchen, Verwertbarkeit ausländischer Beweismittel, Datenschutzimplikationen.
Durchsuchungsfehler. Bei IT-Beschlagnahme regelmäßig prüfen: Beschluss-Anforderungen, Sichtungsverfahren nach § 110 StPO, Reichweite.
7.3 Strafzumessung
Kooperation und Aufklärung
Wiedergutmachung, auch teilweise
Berufliche Konsequenzen
Lange Verfahrensdauer
Bei Money-Mules und Ersttätern mit geringem eigenem Vorteil sind Verfahrenseinstellungen nach § 153a StPO möglich – bei komplexen Bandenverfahren dagegen selten.
8. Praxis-Insight aus der Cybersecurity-Perspektive
Als Rechtsanwalt und Gründer eines Cybersecurity-Unternehmens sehe ich BEC- und CEO-Fraud-Fälle sowohl aus der Verteidiger- als auch aus der Präventionsperspektive. Drei Praxis-Beobachtungen:
Erstens: Die meisten Unternehmen unterschätzen die zivilrechtlichen Regressfragen. Wenn ein Mitarbeiter eine 200.000-Euro-Überweisung auf eine CEO-Fraud-E-Mail hin ausführt, folgt fast immer die Frage: Wer trägt den Schaden? Der Mitarbeiter persönlich? Das Unternehmen? Die Cyberversicherung? Diese Fragen laufen parallel zum Strafverfahren – und die interne Aufklärung, die zur Klärung dient, kann selbst zur strafrechtlichen Belastung führen. Wer bei Angriffs-Fällen keine klare Playbook-Struktur hat, verschlechtert oft die eigene Ausgangslage.
Zweitens: Die technische Verteidigung ist entscheidend. In einem Verfahren, in dem ich vor einigen Jahren tätig war, hing die Verurteilung an der Frage, ob eine bestimmte IP-Adresse zuverlässig einem bestimmten Endgerät zugeordnet werden konnte. Der Verteidiger muss diese Ebene technisch verstehen – E-Mail-Header-Analyse, SPF/DKIM/DMARC, VPN-Attribution, Wallet-Verfolgung. Wer das an einen Sachverständigen delegiert und die eigene Sachverhaltsrekonstruktion nicht beherrscht, tritt in Verhandlungen unvorbereitet auf.
Drittens: Prävention ist der beste Verteidiger. Unternehmen, die BEC-Schulungen dokumentieren, Vier-Augen-Prinzip bei Zahlungen ab bestimmten Schwellen implementiert haben, Rückrufe bei ungewöhnlichen Anweisungen etablieren – diese Unternehmen sind im Ernstfall zivilrechtlich in einer deutlich besseren Position. Und ihre Mitarbeiter werden nicht so leicht selbst zu Beschuldigten in einer Untreue-Verfahrenslinie.
9. Häufige Fragen
Ist CEO-Fraud § 263 oder § 263a StGB?
In aller Regel § 263 StGB – klassischer Betrug – weil ein Mensch (der Buchhalter oder Finance-Mitarbeiter) getäuscht wird. § 263a greift nur, wenn zusätzlich automatisierte Systeme manipuliert werden, was in typischen CEO-Fraud-Fällen die Ausnahme ist.
Ist Phishing § 202a oder § 263a StGB?
Beides kann vorliegen. § 202a greift bei der Erlangung der Zugangsdaten (Ausspähen), § 263a bei der Verwendung der erbeuteten Daten für Vermögensverfügungen (Online-Banking-Missbrauch). Typische Phishing-Verfahren führen mehrere Normen parallel.
Wie hoch sind die Strafen bei Computerbetrug?
Grundtatbestand: bis zu fünf Jahre Freiheitsstrafe oder Geldstrafe. Besonders schwerer Fall (etwa gewerbsmäßig, Schaden über 50.000 Euro): sechs Monate bis zehn Jahre. Bandenmäßig und gewerbsmäßig: ein bis zehn Jahre. In der Praxis werden bei mittelgroßen Bandenverfahren Freiheitsstrafen im Bereich von zwei bis fünf Jahren verhängt.
Können auch Money-Mules bestraft werden?
Ja. Wer als Money-Mule agiert – Konten für die Weiterleitung inkriminierter Zahlungen bereitstellt –, kann sich wegen Beihilfe zum Computerbetrug, Geldwäsche (§ 261 StGB) und ggf. leichtfertiger Geldwäsche strafbar machen. Auch wenn die Money-Mule selbst getäuscht wurde, ist eine Strafbarkeit oft nicht ausgeschlossen – der Vorsatzbeweis wird aber häufig streitig.
Was ist mit Auslandstätern?
Deutsches Strafrecht gilt nach § 9 StGB auch, wenn der Erfolgsort (Zahlungseingang, Schadenseintritt) in Deutschland liegt. Praktisch bedeutet das: Auch aus dem Ausland agierende Täter können in Deutschland verfolgt werden, sofern sie hier fassbar sind oder ein Rechtshilfeersuchen erfolgreich ist.
Muss das Unternehmen Anzeige erstatten?
Eine Anzeigepflicht besteht nicht (§ 138 StGB nur bei bestimmten schweren Straftaten). Häufig ist die Anzeige aber für die Versicherungsdeckung und für zivilrechtliche Regressansprüche notwendig oder ratsam. Auch aus Compliance-Sicht (Vorstands-Sorgfaltspflicht) wird die Anzeige regelmäßig empfohlen.
Was passiert mit der Cyberversicherung nach einem CEO-Fraud-Fall?
Viele Cyberversicherungen decken BEC- und CEO-Fraud-Schäden explizit ab – häufig unter separaten Bausteinen (Social Engineering Coverage). Voraussetzungen sind meist: dokumentierte Schulungen der Mitarbeiter, Vier-Augen-Prinzip für Überweisungen ab bestimmten Schwellen, unverzügliche Anzeige und Meldung. Verstöße gegen diese Obliegenheiten führen häufig zur Deckungsablehnung.
Kann ich als Mitarbeiter persönlich haftbar sein?
Ja, es besteht ein zivilrechtliches Regressrisiko – aber die Rechtsprechung ist bei grober Fahrlässigkeit zurückhaltend. Bei einfacher Fahrlässigkeit (etwa Vertrauen auf eine geschickt gefälschte E-Mail) greift regelmäßig die innerbetriebliche Haftungsprivilegierung. Anders kann es aussehen, wenn Sicherheitsregeln bewusst ignoriert wurden.
Fazit
§ 263a StGB, § 263 StGB und die flankierenden Normen (§ 202a, § 269, § 270) bilden zusammen das strafrechtliche Netz für Computerbetrug, CEO-Fraud, Phishing und Business Email Compromise. Für die Verteidigung ist die präzise Abgrenzung entscheidend – nicht jeder Cybercrime-Vorwurf ist automatisch § 263a. Für Unternehmen ist die zivilrechtliche und versicherungsrechtliche Dimension mindestens ebenso wichtig wie die strafrechtliche Verfolgung der Täter. Wer beide Ebenen zusammendenkt – und die technische Beweisführung beherrscht –, kann Verfahren erheblich beeinflussen.
Rechtlicher Hinweis
Dieser Beitrag ersetzt keine anwaltliche Beratung im Einzelfall. Die Ausführungen geben den Stand zum Veröffentlichungsdatum wieder. Für eine individuelle Einschätzung Ihres Falls vereinbaren Sie bitte ein vertrauliches Erstgespräch.
Über den Autor
Rechtsanwalt Niklas Hanitsch ist seit Ende 2016 als Strafverteidiger in wirtschaftsstrafrechtlichen Verfahren tätig, mit Schwerpunkt auf IT- und Cyber-Strafrecht sowie klassisches Wirtschaftsstrafrecht. Er ist Gründer und CEO von SECJUR, einem venture-finanzierten Unternehmen für Compliance- und Cybersicherheits-Automatisierung, das für den Google for Startups Cybersecurity Accelerator ausgewählt wurde. Mitglied der Bundesfachkommission Cybersicherheit im Wirtschaftsrat der CDU. Ausgezeichnet als Capital 40under40 (2023) und Deutscher Startup-Pokal Cybersecurity (2022). Frühere Stationen: Amazon Legal, Taylor Wessing (Deutschland und Silicon Valley), Bird & Bird.