§ 263a StGB – Computerbetrug

Kurz gesagt. Computerbetrug begeht, wer das Ergebnis einer Datenverarbeitung manipuliert und dadurch einen anderen am Vermögen schädigt, um sich oder einem Dritten einen rechtswidrigen Vermögensvorteil zu verschaffen. Die Vorschrift schließt eine Lücke des Betrugstatbestands, denn eine Maschine lässt sich nicht täuschen. Die Strafe reicht bis zu fünf Jahren Freiheitsstrafe, in besonders schweren Fällen bis zu zehn Jahren. Schon die Vorbereitung ist strafbar.

Gesetzestext

§ 263a StGB Computerbetrug

(1) Wer in der Absicht, sich oder einem Dritten einen rechtswidrigen Vermögensvorteil zu verschaffen, das Vermögen eines anderen dadurch beschädigt, daß er das Ergebnis eines Datenverarbeitungsvorgangs durch unrichtige Gestaltung des Programms, durch Verwendung unrichtiger oder unvollständiger Daten, durch unbefugte Verwendung von Daten oder sonst durch unbefugte Einwirkung auf den Ablauf beeinflußt, wird mit Freiheitsstrafe bis zu fünf Jahren oder mit Geldstrafe bestraft.

(2) § 263 Abs. 2 bis 6 gilt entsprechend.

(3) Wer eine Straftat nach Absatz 1 vorbereitet, indem er

1. Computerprogramme, deren Zweck die Begehung einer solchen Tat ist, herstellt, sich oder einem anderen verschafft, feilhält, verwahrt oder einem anderen überlässt oder
2. Passwörter oder sonstige Sicherungscodes, die zur Begehung einer solchen Tat geeignet sind, herstellt, sich oder einem anderen verschafft, feilhält, verwahrt oder einem anderen überlässt,

wird mit Freiheitsstrafe bis zu drei Jahren oder mit Geldstrafe bestraft.

(4) In den Fällen des Absatzes 3 gilt § 149 Abs. 2 und 3 entsprechend.

Entstehung und Zweck

Der Betrug nach § 263 StGB setzt voraus, dass ein Mensch getäuscht wird und sich irrt. Mit Geldautomaten, Onlinebanking und automatisierten Zahlungssystemen entstanden Fälle, in denen kein Mensch mehr getäuscht wurde, sondern nur noch ein Programm. Irren ist menschlich. Eine Maschine kann sich nicht irren, weil sie keinen eigenen Willensentschluss fasst, den eine Täuschung beeinflussen könnte. Diese Lücke hat der Gesetzgeber mit dem Zweiten Gesetz zur Bekämpfung der Wirtschaftskriminalität geschlossen, das 1986 in Kraft trat. An die Stelle von Täuschung und Irrtum tritt die Beeinflussung eines Datenverarbeitungsvorgangs. Die Vorbereitungsvorschrift in Absatz 3 kam 2003 hinzu und wurde später auf Passwörter und Sicherungscodes erweitert.

Geschütztes Rechtsgut

Der Computerbetrug ist ein Vermögensdelikt. Geschützt ist wie beim Betrug das Vermögen des Einzelnen. Weil die Vorschrift den Betrug ergänzen soll, wird sie betrugsnah ausgelegt. Die Merkmale des Computerbetrugs sollen dort greifen, wo beim Einsatz eines Menschen an Stelle des Computers ein Betrug vorläge.

Der Tatbestand

Die vier Tatvarianten

  1. Unrichtige Gestaltung des Programms. Der Täter verändert die Software selbst, etwa durch eingeschleusten Code, der Buchungen umleitet.
  2. Verwendung unrichtiger oder unvollständiger Daten. Das Programm arbeitet korrekt, wird aber mit falschen Eingaben gefüttert, etwa mit erfundenen Rechnungs- oder Abrechnungsdaten.
  3. Unbefugte Verwendung von Daten. Die Daten sind richtig, der Täter darf sie aber nicht benutzen. Hierher gehören die meisten Fälle der Praxis, vor allem der Einsatz fremder Karten mit PIN und fremder Zugangsdaten beim Onlinebanking.
  4. Sonst unbefugte Einwirkung auf den Ablauf. Ein Auffangtatbestand für Manipulationen, die sich keiner der anderen Varianten zuordnen lassen, etwa das Ausnutzen von Programmfehlern.

Was „unbefugt“ bedeutet

Um das Merkmal „unbefugt“ in der dritten und vierten Variante wird seit Einführung der Vorschrift gestritten. Nach der betrugsnahen Auslegung, der die Rechtsprechung folgt, ist eine Verwendung von Daten nur dann unbefugt, wenn sie gegenüber einem Menschen, der an Stelle des Computers entscheiden würde, eine Täuschung wäre. Nicht jede Verwendung gegen den Willen des Berechtigten oder unter Verstoß gegen Vertragsbedingungen reicht also aus. Diese Abgrenzung ist in vielen Verfahren der eigentliche Streitpunkt, etwa wenn jemand mit Wissen des Karteninhabers dessen Karte benutzt und dabei den erlaubten Rahmen überschreitet.

Vermögensschaden

Die Beeinflussung muss das Ergebnis des Datenverarbeitungsvorgangs verändern, und dieses Ergebnis muss unmittelbar zu einer Vermögensminderung führen. Das entspricht der Vermögensverfügung beim Betrug. Maßgeblich ist das manipulierte Arbeitsergebnis des Computers, nicht die einzelne Manipulationshandlung. Geschädigter muss nicht der Betreiber der Anlage sein. Kosten für die Beseitigung von Systemschäden, die nach einer Manipulation zurückbleiben, zählen nach überwiegender Ansicht nicht zum Schaden im Sinne des § 263a StGB. Sie können aber eine Datenveränderung oder Computersabotage begründen.

Vorsatz und Bereicherungsabsicht

Der Täter muss vorsätzlich handeln und die Absicht haben, sich oder einem Dritten einen rechtswidrigen Vermögensvorteil zu verschaffen. Der Vorteil muss stoffgleich mit dem Schaden sein, also die Kehrseite desselben Vermögensverlusts.

Abgrenzung zum Kartenmissbrauch

Wer seine eigene Zahlungskarte einsetzt, obwohl er weiß, dass er die Zahlung nicht ausgleichen kann, begeht keinen Computerbetrug. Für ihn kommt der Missbrauch von Scheck- und Kreditkarten nach § 266b StGB in Betracht. § 263a StGB erfasst den Einsatz von Karten und Zugangsdaten, die dem Täter nicht zustehen.

Vorbereitung nach Absatz 3

Nach Absatz 3 macht sich strafbar, wer einen Computerbetrug vorbereitet, indem er Computerprogramme, deren Zweck die Begehung einer solchen Tat ist, oder Passwörter und sonstige Sicherungscodes, die zur Begehung geeignet sind, herstellt, sich oder einem anderen verschafft, feilhält, verwahrt oder einem anderen überlässt. Anders als § 202c StGB nennt die Vorschrift auch das Verwahren. Schon das Aufbewahren erbeuteter Zugangsdaten kann deshalb strafbar sein, bevor ein Euro geflossen ist. Über Absatz 4 gilt die tätige Reue nach § 149 Abs. 2 und 3 StGB entsprechend.

Strafrahmen und Konkurrenzen

  • Grundtatbestand. Freiheitsstrafe bis zu fünf Jahren oder Geldstrafe. Der Versuch ist über § 263 Abs. 2 StGB strafbar.
  • Besonders schwere Fälle. Über § 263 Abs. 3 StGB Freiheitsstrafe von sechs Monaten bis zu zehn Jahren, in der Regel bei gewerbs- oder bandenmäßigem Handeln oder bei einem Vermögensverlust großen Ausmaßes. Bei geringwertigem Schaden scheidet ein besonders schwerer Fall nach § 263 Abs. 4 in Verbindung mit § 243 Abs. 2 StGB aus.
  • Gewerbsmäßiger Bandencomputerbetrug. Über § 263 Abs. 5 StGB Freiheitsstrafe von einem Jahr bis zu zehn Jahren. Die Tat ist dann ein Verbrechen.
  • Vorbereitung nach Absatz 3. Freiheitsstrafe bis zu drei Jahren oder Geldstrafe.

Oft kommen weitere Tatbestände hinzu. Das Ausspähen der Zugangsdaten kann nach § 202a StGB strafbar sein, gefälschte Bankseiten und E-Mails können eine Fälschung beweiserheblicher Daten nach § 269 StGB darstellen, und eine Manipulation am System kann zugleich eine Datenveränderung oder Computersabotage sein, mit denen der Computerbetrug in Tateinheit stehen kann. Gegenüber dem Betrug ist § 263a StGB subsidiär, wenn neben dem Computer auch ein Mensch getäuscht wurde.

Strafantrag

Grundsätzlich wird der Computerbetrug von Amts wegen verfolgt. Ein Strafantrag ist nur erforderlich, wenn der Schaden geringwertig ist oder die Tat sich gegen Angehörige oder Hausgenossen richtet, weil § 263 Abs. 4 StGB dann auf die §§ 247 und 248a StGB verweist. Bei geringwertigen Schäden kann die Staatsanwaltschaft trotzdem wegen eines besonderen öffentlichen Interesses einschreiten.

Prüfungsschema

  1. Tatbestand
    1. Datenverarbeitungsvorgang
    2. Tathandlung, also unrichtige Gestaltung des Programms, Verwendung unrichtiger oder unvollständiger Daten, unbefugte Verwendung von Daten oder sonst unbefugte Einwirkung auf den Ablauf
    3. Beeinflussung des Ergebnisses des Datenverarbeitungsvorgangs
    4. unmittelbar dadurch verursachter Vermögensschaden eines anderen
    5. Vorsatz
    6. Absicht rechtswidriger und stoffgleicher Bereicherung
  2. Rechtswidrigkeit
  3. Schuld
  4. Strafzumessung, insbesondere besonders schwerer Fall nach § 263 Abs. 3 StGB und Qualifikation nach § 263 Abs. 5 StGB
  5. Strafantrag in den Fällen der §§ 247 und 248a StGB

Typische Verfahren

  • Abhebungen und Zahlungen mit fremder Karte und PIN
  • Überweisungen im Onlinebanking mit erbeuteten Zugangsdaten, häufig nach Phishing
  • Bestellungen und Zahlungen über fremde Kundenkonten
  • Manipulationen an Abrechnungs-, Kassen- oder Buchungssystemen im Unternehmen
  • Einsatz von Schadsoftware, die Zahlungsvorgänge umleitet

Worauf es in der Verteidigung ankommt

Ob der Tatbestand erfüllt ist, ist selten die erste Frage. Die erste Frage ist fast immer, wer die Transaktion ausgelöst hat. Die Ermittlungsbehörden stützen sich dabei auf IP-Adressen, Gerätekennungen, Protokolldaten der Banken und Zahlungsdienstleister und auf Auswertungen sichergestellter Geräte. Jede dieser Quellen hat ihre eigenen Fehlerquellen. Eine IP-Adresse benennt einen Anschluss, keinen Menschen. Ein Protokoll beweist, dass ein Zugang benutzt wurde, nicht von wem.

Daneben lohnt der Blick auf das Merkmal „unbefugt“ in seiner betrugsnahen Auslegung, auf die Unmittelbarkeit des Vermögensschadens und auf die Höhe des Schadens. Von ihr hängen nicht nur Strafrahmen und Regelbeispiel ab, sondern auch die Einziehung des Taterlangten, die für Beschuldigte oft schwerer wiegt als die Strafe selbst.

Stand September 2026. Gesetzestext nach gesetze-im-internet.de. Zurück zur Übersicht der Straftatbestände. Weiter mit § 269 StGB.