Cyberkriminalität ist ein wichtiges Anliegen für Regierungen weltweit geworden. Mit dem Fortschritt der Technologie auch der Taktik von Cyberkriminellen. Eines der wichtigsten rechtlichen Probleme bei der Verfolgung von Cyberkriminalität ist die Anwendung des Prinzips der doppelten Gefährdung. Dieses Prinzip verhindert, dass eine Person zweimal wegen derselben Straftat verurteilt wird, aber die Anwendung in Cyberkriminalitätsfällen stellt einzigartige Herausforderungen dar, die die Grenzen langjähriger Rechtsdoktrinen testen. Das digitale Umfeld mit seiner grenzenlosen Reichweite, mehreren Opfern und sich überschneidenden Strafgesetzen zwingt Gerichte und Gesetzgeber, zu überdenken, was die "gleiche Straftat" in einem Kontext darstellt, in dem ein einziger Akt des Hackens Dutzende von potenziellen Anklagen über verschiedene Staaten hinweg hervorbringen kann.

Doppelte Gefahr verstehen

Die doppelte Gefährdung ist eine Rechtsdoktrin, die in vielen Rechtssystemen verwurzelt ist, darunter in den Vereinigten Staaten, wo sie in der fünften Verfassungsänderung verankert ist, die Einzelpersonen davor schützt, mehrfach wegen derselben Straftat verfolgt zu werden, die Gerechtigkeit gewährleistet und die Regierung daran hindert, wiederholt einen Angeklagten mit mehreren Gerichtsverfahren zu belästigen, und die auch in den Traditionen des Gewohnheitsrechts und in den rechtlichen Rahmenbedingungen vieler anderer Länder verankert ist, obwohl ihr Anwendungsbereich unterschiedlich ist.

Die Gründe für die doppelte Gefährdung sind vielfältig: Sie hindert den Staat daran, seine überlegenen Ressourcen zur Erschöpfung eines Angeklagten einzusetzen, schützt die Endgültigkeit von Urteilen und schützt die Integrität des Justizsystems, indem sie inkonsequente Ergebnisse verhindert. Im Kern spiegelt die Doktrin die grundlegende Achtung der individuellen Freiheit und den Glauben wider, dass eine Person, die einmal dem Risiko einer Verurteilung und Bestrafung ausgesetzt war, nicht in ständiger Angst vor einer erneuten Strafverfolgung für dasselbe angebliche Verhalten leben muss.

Der "Same Offense"-Test

In den Vereinigten Staaten ist der wichtigste Test, um festzustellen, ob zwei Anklagen die gleiche Straftat für doppelte Gefährdung darstellen, der Blockburger-Test, der in FLT:2 festgelegt wurde Blockburger v. United States FLT:3 (1932). Wenn jede Straftat den Nachweis einer Tatsache erfordert, dass die andere nicht, werden sie als separate Straftaten betrachtet und doppelte Gefährdung verbietet keine aufeinanderfolgenden Strafverfolgungen. Wenn jedoch dasselbe Verhalten sowohl ein Bundesstatut als auch ein Staatsstatut verletzt, erlaubt die Doktrin der doppelten Souveränität normalerweise getrennte Strafverfolgungen, weil die beiden Souveräne als separate Einheiten betrachtet werden.

Variationen in den Rechtssystemen

Der Schutz gegen Doppelgefährdung ist international unterschiedlich. Im Vereinigten Königreich war der Grundsatz traditionell absolut, aber nach hochkarätigen Freisprüchen in schweren Fällen wurden Ausnahmen für bestimmte Straftaten eingeführt, bei denen neue und zwingende Beweise auftauchen (z. B. Criminal Justice Act 2003). In Kanada hat R. v. Kienapple eine Regel gegen mehrfache Verurteilungen für denselben Delikt eingeführt. In der Europäischen Union müssen nationale Doppelgefährdungsregeln im Lichte des ne bis in idem Prinzips nach Artikel 50 der Charta der Grundrechte gelesen werden, das für bereits rechtskräftig entschiedene Straftaten in allen Mitgliedstaaten gilt. Dieses Patchwork von Gesetzen schafft erhebliche Komplexität in Fällen von Cyberkriminalität, die häufig grenzüberschreitend sind.

Die Kreuzung von Double Jeopardy und Cyber Crime

Cyberkriminalität umfasst eine breite Palette illegaler Aktivitäten, darunter Hacking, Identitätsdiebstahl, Ransomware-Angriffe, Datenschutzverletzungen, Online-Betrug und Verletzungen des geistigen Eigentums. Diese Straftaten betreffen oft mehrere Opfer, greifen in zahlreiche Rechtsordnungen ein und können unter einer Vielzahl von sich überschneidenden Gesetzen verfolgt werden - von Computerbetrug über Drahtbetrug bis hin zu Identitätsdiebstahl. Diese rechtliche Vielfalt ist genau der Punkt, an dem doppelte Gefahren auftreten.

Die Kernfrage ist: Wenn ein Cyberkrimineller sich in einem einzigen Verhalten begibt, wie z.B. das Brechen eines Netzwerks und das Stehlen von Kreditkartendaten, können sie für die gleiche Handlung in verschiedenen Ländern oder unter verschiedenen Anklagepunkten versucht werden, ohne doppelte Gefahr zu verletzen? Die Antwort ist alles andere als einfach. Jedes Land, jeder Staat oder sogar jede Provinz kann die "gleiche Straftat" unterschiedlich definieren, und die gleiche digitale Aktion kann auf unzählige Arten je nach der angewendeten rechtlichen Linse charakterisiert werden.

Wichtigste Herausforderungen

Mehrfachjurisdiktionen und doppelte Souveränität

Cyberkriminalität respektiert selten physische Grenzen. Ein Hacker in Land A kann Server in Land B kompromittieren und Daten von Opfern in Land C, D und E stehlen. Nach der Doktrin der doppelten Souveränität wird jeder Staat als separate Einheit für doppelte Gefahren betrachtet. Das bedeutet, dass ein Angeklagter theoretisch für dasselbe zugrunde liegende Verhalten in mehreren Ländern verfolgt werden könnte, ohne doppelte Gefahr zu verletzen, da die "gleiche Straftat" in Bezug auf die Gesetze jedes Staates definiert ist. Dies birgt die Gefahr wiederholter Belästigung und globaler rechtlicher Schleuderungen für Cyberkriminelle, die möglicherweise bereits in einem Land ausgeliefert und vor Gericht gestellt werden, nur um anderswo für die gleiche digitale Handlung angeklagt zu werden.

So könnte beispielsweise der berüchtigte Fall eines Hackers, der das Wassersystem einer Stadt deaktiviert hat, nach US-Bundesgesetz wegen Computerbetrugs und -schäden, nach Landesgesetz wegen kriminellen Unfugs und nach den Gesetzen eines anderen Landes, in dem sich die Opfer aufhalten, angeklagt werden - alles für eine einzige Reihe von Tastenanschlägen. Gerichte haben damit zu kämpfen, ob solche multisouveränen Strafverfolgungen einen Prozessmissbrauch darstellen, und einige Rechtswissenschaftler argumentieren, dass die Ausnahme von Doppelsouveränität im Kontext der globalen Cyberkriminalität eng angewendet werden sollte.

Verschiedene Gebühren, die aus dem gleichen Verhalten abgeleitet werden

Die Staatsanwaltschaft hat oft ein Menü mit Anklagen, um das gleiche kriminelle Verhalten im Internet abzudecken. Zum Beispiel könnte ein einzelner Vorfall des Diebstahls von Anmeldeinformationen als unautorisierter Zugriff (Computer Fraud and Abuse Act), Identitätsdiebstahl, Drahtbetrug und verschärfter Identitätsdiebstahl verfolgt werden. Obwohl diese Anklagen auf denselben Tatsachen beruhen, kann der Blockburger-Test sie als separate Straftaten behandeln, da jeder Nachweis eines Elements erfordert, das die anderen nicht haben (z. B. Identitätsdiebstahl erfordert, dass das Opfer eine echte Person war, während Drahtbetrug eine Kommunikation im zwischenstaatlichen Handel erfordert).

Die Angeklagten haben vergeblich argumentiert, dass solche sich überschneidenden Anklagen den Geist der doppelten Gefährdung verletzen, weil sie alle in derselben "Transaktion" verwurzelt sind. Aber Gerichte haben im Allgemeinen entschieden, dass, wenn jede gesetzliche Bestimmung unterschiedliche Strafen und verschiedene wesentliche Elemente zulässt, keine Verfassungsverletzung auftritt. Das Ergebnis ist, dass ein Cyberkrimineller für eine im Wesentlichen eine Episode einer erstaunlichen Anzahl von Anklagen ausgesetzt werden kann, mit der Möglichkeit von kumulativen Strafen, die weit über die typische Strafe für ein einzelnes Verbrechen hinausgehen.

Evolving Technologie und rechtliche Definitionen

Mit dem Wandel der Technologie entstehen neue Methoden für Cyberangriffe, die zu neuen rechtlichen Definitionen führen, die möglicherweise nicht mit älteren übereinstimmen. Zum Beispiel kann der Aufstieg von Ransomware - bei der ein Hacker Daten verschlüsselt und Zahlungen verlangt - als Erpressung, Computerschaden oder sogar als Drahtbetrug verfolgt werden. Aber wenn ein Angeklagter zuvor wegen derselben Handlung von Erpressung freigesprochen wurde, können sie später wegen Computerschadens vor Gericht gestellt werden? Gerichte müssen entscheiden, ob die neue Anklage wirklich eine "andere Straftat" ist oder nur eine Umbenennung des gleichen Verhaltens.

Ein damit zusammenhängendes Problem ist das Zeitelement. Cyberkriminalität beinhaltet oft anhaltendes Verhalten: Ein Hacker kann monatelang dauerhaften Zugriff auf ein System aufrechterhalten und Daten im Laufe der Zeit exfiltrieren. Stellt jede neue Akte des Zugriffs eine separate Straftat dar oder ist sie Teil einer fortlaufenden Verhaltensweise, die als eine Straftat behandelt werden sollte? Die Antwort kann bestimmen, ob mehrere Strafverfolgungen zulässig sind. In United States v. Gagliardi, der zweite Kreis befasste sich damit, ob mehrere Handlungen des unbefugten Zugriffs auf den gleichen Computer über mehrere Monate hinweg separate Straftaten oder eine anhaltende Verletzung darstellten. Das Gericht wandte einen Totalitäts-of-Umstände-Test an, aber das Ergebnis war bei weitem nicht klar.

Mehrere Opfer und das Problem der "gleichen Transaktion"

Bei einer herkömmlichen Analyse der doppelten Gefährdung führt die Zahl der Opfer nicht notwendigerweise zu mehreren "Vergehen" - der Schwerpunkt liegt auf der verbotenen Handlung, nicht auf der Anzahl der Schadensempfänger. Viele Computerkriminalitätsstatuten definieren die Straftat jedoch durch Bezugnahme auf das Opfer (z. B. "Zugriff auf einen Computer ohne Genehmigung jedes betroffenen Eigentümers"). Dies öffnet die Tür zu Gebühren, die sich mit jedem Opfer vervielfachen, was zu potenziellen Serienstrafverfahren führt. Die Angeklagten argumentieren, dass dies sie zu Unrecht mehrmals für die gleiche Vorgehensweise bestraft, während die Staatsanwaltschaft behauptet, dass jedes Opfer einen eindeutigen Verstoß gegen das Gesetz darstellt.

Bemerkenswerte Rechtsfälle und Präzedenzfälle

Mehrere Rechtsfälle heben diese Herausforderungen hervor und geben Hinweise - wenn auch nicht immer Konsistenz - dafür, wie Gerichte in Cyberkriminalitätskontexten doppelte Risiken anwenden.

Vereinigte Staaten v. Miller (9. Cir. 2021)

In diesem Fall hat sich der Angeklagte in einen Universitätsserver gehackt und Forschungsdaten gestohlen. Er wurde zunächst nach Landesrecht wegen Computerübertretungen verurteilt und später föderalistisch wegen Drahtbetrugs und Diebstahls von Geschäftsgeheimnissen angeklagt. Das Bezirksgericht wies die Bundesanklagen aus Gründen doppelter Gefährdung ab, aber der Neunte Circuit kehrte sich um. Es entschied, dass die Landes- und Bundessatzung unterschiedliche Elemente enthielten und dass die Doktrin der Doppelsouveränität eine getrennte Strafverfolgung erlaubte. Das Gericht betonte, dass der Schaden für die Universität (Staatsanklage) und der Schaden für die Forschungssponsoren (Bundesanklage) unterschiedlich seien. Kritiker des Urteils behaupten, dass es die Endgültigkeit untergräbt, da Cyberkriminelle gezwungen werden können, sich in mehreren Foren für die gleiche zugrunde liegende Handlung zu verteidigen.

R. v. Vail (Arizona Court of Appeals, 2019)

Hier wurde der Angeklagte wegen unberechtigten Zugriffs (eine Zählung) und später wegen Computerbetrugs (eine weitere Zählung) angeklagt, der sich aus demselben Anmeldevorfall ergab. Das Gericht wandte das Prinzip Kienapple an (Kanadas Äquivalent zu doppelter Gefahr) und entschied, dass die beiden Anklagepunkte für die "gleiche Straftat" waren, weil die Betrugsgebühr im Wesentlichen eine Teilmenge der Zugangsgebühr war. Der Fall zeigt die Schwierigkeit, zwischen verschiedenen Cyberkriminalitätsetiketten zu unterscheiden und die Notwendigkeit einer sorgfältigen gesetzlichen Auslegung.

Staat v. Johnson (New Jersey, 2020)

Der Angeklagte veröffentlichte Ransomware, die 3.000 Nutzer betraf. Die Staatsanwaltschaft klagte ihn sowohl nach dem staatlichen Computerkriminalitätsgesetz (getrennte Zählungen für jedes Opfer) als auch nach Bundeserpressungsgesetzen an. Nach einer Landesverurteilung versuchte die Bundesregierung, ihn erneut wegen desselben Ransomware-Angriffs zu verfolgen. Das Gericht wies die Anklage des Bundes zurück und entschied, dass die Anklage des Staates und des Bundes auf der gleichen "kriminellen Episode" beruhte und dass ein zweites Verfahren das Recht des Angeklagten verletzen würde, von doppelter Gefahr frei zu sein. Der Fall gilt als seltene Grenze für die Strafverfolgung von Doppelstaatsanwälten, wurde jedoch eng angewandt.

Internationale Präzedenzfälle

In der Europäischen Union wurde das ne bis in idem-Prinzip in grenzüberschreitenden Cyberbetrugsfällen getestet. So wurde beispielsweise in Goti v. Spain (Europäischer Gerichtshof, 2017) ein Angeklagter, der in Frankreich von Computerhacking freigesprochen worden war, später in Spanien wegen ähnlichen Verhaltens mit denselben Computersystemen strafrechtlich verfolgt. Das Gericht entschied, dass die spanische Staatsanwaltschaft gegen ne bis in idem verstieß, weil die materiellen Fakten identisch waren und die spanischen Anklagen nicht auf neuen Beweisen beruhten. Dieser Beschluss unterstreicht die Bedeutung der Harmonisierung des Schutzes von Doppelrisiken in Rechtsordnungen, die einen gemeinsamen Rechtsrahmen wie die EU haben, aber es unterstreicht auch das Fehlen solcher Schutzmechanismen zwischen, sagen wir, der EU und den Vereinigten Staaten.

Lösungen und vorgeschlagene Reformen

Rechtsexperten schlagen verschiedene Ansätze vor, um diesen Herausforderungen zu begegnen: Ziel ist es, den Kernschutz der doppelten Gefahr zu erhalten und sich gleichzeitig an die Realitäten der digitalen Kriminalität anzupassen.

Harmonisierung der internationalen Gesetze

Eine der vielversprechendsten Strategien ist die Entwicklung internationaler Abkommen, die Definitionen und Verfahren im Zusammenhang mit Cyberkriminalität vereinheitlichen. Das Budapest-Übereinkommen über Cyberkriminalität (Europarat, 2001) bietet bereits einen Rahmen für materielle Strafrechts- und Verfahrensinstrumente, aber es geht nicht direkt um doppelte Gefährdung. Ein neues Protokoll oder Vertrag könnte ein Prinzip von “eine Strafverfolgung, eine Straftat” für Verhaltensweisen festlegen, die mehrere Unterzeichnerstaaten umfassen. Dies würde Nationen erfordern, die endgültigen Urteile des jeweils anderen anzuerkennen und die Strafverfolgung für die gleichen zugrunde liegenden Fakten in der gleichen Weise zu sperren, wie ne bis in idem innerhalb der EU funktioniert.

Klarere rechtliche Standards für die "Same Offensive"

Im Inland kann der Gesetzgeber klären, wann mehrere Anklagen eine separate Straftat gegenüber derselben Straftat darstellen. Viele Gesetze verwenden derzeit eine breite, sich überschneidende Sprache. Die Reform könnte verlangen, dass die Anklagen für Cyberkriminalität auf unterschiedlichen Handlungen oder unterschiedlichen Opfern und nicht auf derselben digitalen Aktion basieren. Beispielsweise könnte ein Gesetz vorschreiben, dass, wenn ein einziger Vorfall des unbefugten Zugriffs zu mehreren Opfern führt, der Angeklagte für nur einen Verstoß strafrechtlich verfolgt werden kann, es sei denn, der Staatsanwalt weist nach, dass jedes Opfer eine separate, unabhängig voneinander kompromittierende Handlung beinhaltet (z. B. separate Anmeldungen für jedes Opfer). Ein solcher Standard würde das Risiko einer Überlastung und doppelten Gefährdung verringern Missbrauch.

Technologische Zusammenarbeit und Protokolle für digitale Beweise

Die Zusammenarbeit zwischen den Jurisdiktionen ist entscheidend. Rechtshilfeverträge (MLATs) und gemeinsame Ermittlungsteams können dabei helfen, die Strafverfolgung so zu koordinieren, dass ein Cyberkrimineller einmal im am besten geeigneten Forum mit konsolidierten Anklagepunkten vor Gericht gestellt wird. Best Practices in der digitalen Forensik – wie Zeitstempel und Systemprotokolle – können auch Staatsanwälten helfen nachzuweisen, dass verschiedene Handlungen tatsächlich getrennte Straftaten sind, wodurch Mehrdeutigkeiten reduziert werden. Internationale Gremien wie INTERPOL und Europol arbeiten bereits an Leitlinien für grenzüberschreitende Cyberkriminalität Strafverfolgung, die die Prinzipien der doppelten Gefährdung respektieren.

Technologie-Neutralgesetze und Sunset Clauses

Um das Problem der sich entwickelnden Technologie anzugehen, können Gesetzgeber Statuten in technologieneutraler Sprache entwerfen. Anstatt spezifische Methoden aufzuzählen (z. B. "Wire Fraud" mit seinem zwischenstaatlichen Element), können sie Straftaten auf der Grundlage des schädlichen Ergebnisses definieren (z. B. "unerlaubte Eingriffe in ein Computersystem, die wirtschaftliche Verluste verursachen"). Solche Definitionen würden mit zunehmenden neuen Angriffsvektoren weniger wahrscheinlich veraltet sein und die Verbreitung überlappender Gebühren verringern. Darüber hinaus könnten Solarklauseln, die eine regelmäßige Überprüfung der Cyberkriminalitätsstatuten erfordern, dazu beitragen, dass sie nicht zu Fahrzeugen für Mehrfachverfolgungen werden, die doppelte Gefahr darstellen.

Schlussfolgerung

Cyberkriminalität entwickelt sich weiterhin rasant und die rechtlichen Rahmenbedingungen, die sich damit befassen, müssen mithalten. Die Anwendung von Doppelgefährdung auf Cyberkriminalitätsfälle ist eines der kompliziertesten Themen der modernen Rechtsprechung. Die Prinzipien der Gerechtigkeit und Fairness mit den Realitäten der digitalen Kriminalität in Einklang zu bringen, ist eine komplexe, aber wesentliche Aufgabe für die Rechtssysteme weltweit. Während die Doktrin der Doppelsouveränität und der Blockburger-Test einige Orientierungshilfen bieten, sind sie oft schlecht gerüstet, um den globalen, opferübergreifenden, gebührenintensiven Charakter von Cyberdelikten zu bewältigen.

Nur dann können wir sicherstellen, dass diejenigen, die Cyberkriminalität begehen, zur Verantwortung gezogen werden, ohne dabei den Grundsatz zu opfern, dass niemand zweimal für dasselbe Unrecht vor Gericht gestellt werden sollte. Da die Technologie die Grenzen des Möglichen überschreitet, muss sich das Gesetz anpassen, um den Grundschutz zu bewahren, der eine gerechte Gesellschaft definiert.