Phishing

Überblick Definition und Bedeutung Anwendungsbereich Schutzmaßnahmen Strafrechtliche Relevanz

DEFINITION OGH 20 Ob 107/08m „Phishing = Betrügerischer Angriff Dritter, bei denen Benutzern Zugangs- bzw. Transaktionsdaten, insbesondere PIN- und TAN- Codes herausgelockt werden.“

BEDEUTUNG Phishing als Kunstwort / Password und Fishing Auch Password und Phreaking „das Angeln nach Passwörtern“

PHISHING IN SEINER ANWENDUNG Technik des Social Engineerings Phishing Mails sehr aufwendig gestaltet Identitätsübernahme und Missbrauch verschiedenster Ziele Speerphishing Smishing Vishing oder Voice-Phishing

Schutzmaßnahmen Funktion Netbanking (TAN, i-TAN…) Keine Antwort auf „verdächtige“ Mails Sicheres Passwort Verschiedene Passwörter Nicht zu viele persönliche Daten veröffentlichen

Strafrechtliche Komponente Trennung in Phishingphase ieS und Verwertungsphase Gestalten und Schreiben straflose Vorbereitung Ab Versendung verschiedene Delikte möglich Analogieverbot!!!

Täuschung (§ 108 StGB) § 108 (1) Wer einem anderen in seinen Rechten dadurch absichtlich einen Schaden zufügt, daß er ihn oder einen Dritten durch Täuschung über Tatsachen zu einer Handlung, Duldung oder Unterlassung verleitet, die den Schaden herbeiführt, ist mit Freiheitsstrafe bis zu einem Jahr zu bestrafen. (3) Der Täter ist nur mit Ermächtigung des in seinen Rechten Verletzten zu verfolgen.

Grundrecht auf Datenschutz § 1. (1) Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. […] Rückschluss von Benutzernamen und Mailadresse auf Person Verletzung in Rechten - §108 anwendbar, aber Ermächtigungsdelikt!

§ 146 (Betrug) § 146. Wer mit dem Vorsatz, durch das Verhalten des Getäuschten sich oder einen Dritten unrechtmäßig zu bereichern, jemanden durch Täuschung über Tatsachen zu einer Handlung Duldung oder Unterlassung verleitet, die diesen oder einen anderen am Vermögen schädigt […] In der Phishingphase keine Vermögensschädigung (effektiver Verlust an Vermögenssubstanz, der rechnerisch nachweisbar ist) Versuchsprüfung irrelevant

§225a StGB (Datenfälschung) § 225a. Wer durch Eingabe, Veränderung, Löschung oder Unterdrückung von Daten falsche Daten mit dem Vorsatz herstellt oder echte Daten mit dem Vorsatz verfälscht, dass sie im Rechtsverkehr zum Beweis eines Rechtes, eines Rechtsverhältnisses oder einer Tatsache gebraucht werden, ist mit Freiheitsstrafe bis zu einem Jahr zu bestrafen.

§ 225 a Tatobjekt sind Daten „Der Täter stellt immer dann falsche Daten her, wenn er den Eindruck erweckt, dass die Daten von einem anderen Aussteller stammen.“ Nur rechtserhebliche Erklärungen geschützt Erkennbarkeit des Ausstellers (2 Meinungen: Bergauer, Reindl) localpart, domainpart – Sorgfalt für Kunden?

Missbrauch von Zugangsdaten (§ 126 c StGB) § 126c. (1) Wer 1. ein Computerprogramm, das nach seiner besonderen Beschaffenheit ersichtlich zur Begehung eines widerrechtlichen Zugriffs auf ein Computersystem (§ 118a), einer Verletzung des Telekommunikationsgeheimnisses (§ 119), eines missbräuchlichen Abfangens von Daten (§ 119a), einer Datenbeschädigung (§ 126a), einer Störung der Funktionsfähigkeit eines Computersystems (§ 126b) oder eines betrügerischen Datenverarbeitungsmissbrauchs (§ 148a) geschaffen oder adaptiert worden ist, oder eine vergleichbare solche Vorrichtung oder 2. ein Computerpasswort, einen Zugangscode oder vergleichbare Daten, die den Zugriff auf ein Computersystem oder einen Teil davon ermöglichen, mit dem Vorsatz herstellt, einführt, vertreibt, veräußert, sonst zugänglich macht, sich verschafft oder besitzt, dass sie zur Begehung einer der in Z 1 genannten strafbaren Handlungen gebraucht werden, ist mit Freiheitsstrafe bis zu sechs Monaten oder mit Geldstrafe bis zu 360 Tagessätzen zu bestrafen

§ 126 c StGB Prinzipielle Anwendung gegeben (Beweisproblem) Täter muss Verwertung zumindest ernstlich für möglich halten oder/und Sich damit abfinden Prinzipielle Anwendung gegeben (Beweisproblem) (2) Nach Abs. 1 ist nicht zu bestrafen, wer freiwillig verhindert, dass das in Abs. 1 genannte Computerprogramm oder die damit vergleichbare Vorrichtung oder das Passwort, der Zugangscode oder die damit vergleichbaren Daten in der in den §§ 118a, 119, 119a, 126a, 126b oder 148a bezeichneten Weise gebraucht werden.

VERWERTUNGSPHASE Unmittelbar im Anschluss der Phishing-Phase Notwendig? Betroffene TB der § 146, 148a StGB

§ 148a StGB – BETRÜGERISCHER DATENVERARBEITUNGSMISSBRAUCH Manipulation einer automationsunterstützen Datenverarbeitungsanlage Durch Eingabe der Phishing-Daten / mögl. Problemstellung „richtige Daten“? Vermögensschädigung Bereicherungsvorsatz

DANKE FÜR DIE AUFMERKSAMKEIT! Referat und Seminararbeit downloadbar unter http://geix82.jimdo.com