Print Friendly
Illegales Crypto-Mining – Rechtliche Herausforderungen digitaler Währungen
Fabia von Hauff, Universität Hamburg

 

Digitale Kryptowährungen sind seit einigen Jahren im Vordringen begriffen, die mit Abstand bekannteste unter ihnen ist Bitcoin. Einheiten dieser Währung werden nicht von Staaten oder Banken ausgegeben, sondern von den Nutzern in einem als „Mining“ bezeichneten Prozess selber generiert. Werthaltigkeit und immer weiter zunehmende Akzeptanz von Kryptowährungen als Zahlungsmittel bei gleichzeitig steigenden technischen Anforderungen an den Mining-Prozess machen es zunehmend lukrativ, das Mining auf Kosten Dritter zu betreiben. In diesem Zusammenhang werden Fragen nach der strafrechtlichen Relevanz von illegalem Crypto-Mining aufgeworfen, die im Folgenden in den Blick genommen werden sollen.

System und Funktionsweise digitaler Währungen am Beispiel von Bitcoin

Bei Bitcoin handelt es sich um elektronische Werteinheiten, die bislang keine Währung im Rechtssinne darstellen. Stattdessen werden sie gemäß KWG (Kreditwesengesetz) als Rechnungseinheiten eingestuft.[1] Sie sind Teil eines weltweiten, dezentral organisierten Zahlungssystems, in dem Übertragungen innerhalb eines peer-to-peer-Netzwerkes zwischen den beteiligten Nutzern vorgenommen werden. Alle existierenden Bitcoins sind in der sog. Blockchain[2] gespeichert, die als eine Art öffentliches Register fungiert und die Rückverfolgung und Überprüfung jeder getätigten Transaktion ermöglicht. Eine neue Transaktion muss von den Nutzern des Netzwerks zunächst als gültig bestätigt werden, bevor sie als ausgeführt gelten kann. Für die Authentifizierung ist entscheidend, dass die neuen Informationen nicht im Widerspruch zur bisherigen Transaktionshistorie stehen dürfen. Auf diese Weise wird gewährleistet, dass die verwendeten Bitcoins nicht bereits anderweitig transferiert worden sind und der Veranlasser der Transaktion auch tatsächlich deren Inhaber ist.

In praktischer Hinsicht wird der Zahlungsvorgang mithilfe eines kryptografischen Schlüsselpaares abgewickelt. Ein Schlüssel ist öffentlich und fungiert als Empfängeradresse zum Erhalt neuer Bitcoin. Öffentliche Schlüssel lassen sich beliebig häufig und für jede Transaktion neu generieren. Der zweite Schlüssel ist privat und nur dem Inhaber der jeweiligen Bitcoins bekannt. Mit ihm wird eine Übertragung autorisiert. Jeder Vorgang wird sodann in der Blockchain abgespeichert und bleibt so nachvollziehbar.

Der Blockchain kommt aber nicht nur eine Verifizierungsfunktion zu, sondern sie ist gleichzeitig auch Quelle neuer Bitcoins. Um der Blockchain neue Transaktionen dauerhaft und unveränderlich hinzuzufügen, müssen kryptografische Aufgaben gelöst werden. Dies erfordert den Einsatz der Rechenleistung der Nutzergemeinschaft, denen für die Durchführung der notwendigen Rechenoperationen eine gewisse Anzahl (bzw. Bruchteile) neuer Bitcoins gutgeschrieben werden. Die Blockchain wird durch die Validierung von Transaktionen also um neue Blöcke ergänzt, wobei deren Fortschreibung gleichzeitig neue Geldeinheiten generiert. Dieser Vorgang wird als „Mining“ bezeichnet.

Schwierigkeiten des Bitcoin-Minings

Die Erzeugung neuer Bitcoins durch Mining ist degressiv gestaltet. Dies bedeutet, dass die Menge der generierten Bitcoins pro Block in bestimmten Zeitabständen verringert wird. Mit steigender Anzahl ausgegebener Einheiten erhöht sich die Komplexität der zu lösenden Algorithmen, sodass stetig mehr Rechenkapazität benötigt wird. Auf diese Weise wird das mögliche Gesamtvolumen der im Umlauf befindlichen Einheiten auf ca. 21 Millionen begrenzt. Das Erreichen dieser systembedingten Maximalmenge wird derzeit für das Jahr 2030 prognostiziert.

Die Wahrscheinlichkeit, die passende Lösung für die kryptografischen Aufgaben zu finden, verhält sich dabei proportional zur investierten Rechenleistung.

Das Mining von Kryptowährungen, insbesondere Bitcoin, ist deshalb aufgrund der immens gestiegenen technischen Anforderungen für den durchschnittlichen Anwender schon seit längerer Zeit kaum noch gewinnbringend möglich. Häufig stehen die eingesetzten Energiekosten zum Betrieb der notwendigen Hardware außer Verhältnis zu der geringen Menge generierter Bitcoins. Während sich relativ unbekannte Kryptowährungen noch mit handelsüblichen Rechnern bzw. Grafikkarten minen lassen, ist für die Erzeugung neuer Bitcoins jedoch ein extremer Ressourceneinsatz erforderlich.

Crypto-Mining und Bot-Netze

Der gestiegene Energieverbrauch hat alternative Formen des Crypto-Minings hervorgebracht. Während das konventionelle Crypto-Mining basierend auf reiner Rechenleistung aufgrund günstiger Strompreise vor allem in China floriert, ist hierzulande das Mining mithilfe von Bot-Netzen zunehmend verbreitet.

Unter einem Bot-Netz versteht man einen Zusammenschluss von Rechnern, die jeweils mit einem Programm infiziert sind, das es ermöglicht, die betroffenen Rechner fernzusteuern und für eine Vielzahl von Zwecken einzusetzen.[3] Der Verbund wird durch einen zentralen Command-and-Control-Server gesteuert, der Kontrollfunktionen innerhalb des Netzes erfüllt und mit dem sich die infizierten Rechner selbsttätig verbinden. Der Aufbau eines Bot-Netzes ist darauf gerichtet, die Rechenleistung und Bandbreite der einzelnen Computer kombiniert zu nutzen und, im Falle des Crypto-Minings, mithilfe der so entstandenen Rechenkapazität Einheiten digitaler Währungen zu erzeugen, indem automatisch iterative Aufgaben abgearbeitet werden.

Verbreitungswege von Bot-Programmen

Dies geschieht in der überwiegenden Anzahl der Fälle ohne das Einverständnis der betroffenen Nutzer. Die Bot-Programme können sich unbemerkt über das Öffnen eines Trojaners installieren, den Rechner über eine Sicherheitslücke infizieren oder aber durch den Aufruf einer manipulierten Website das System kompromittieren.

Bei der browserbasierten letzten Alternative werden die Rechenressourcen der Seitenbesucher unbemerkt für das Mining von Kryptowährungen genutzt. In Anlehnung an die Verbreitung von Malware in Form von Drive-by-Downloads, wird diese neuartige Methode als Drive-by-Mining bezeichnet. Aus ihr hat sich in den vergangenen Monaten ein starker Trend entwickelt, der die Auseinandersetzung mit der Problematik auf mehreren Ebenen erforderlich macht.

Verantwortlich für die Entstehung des Phänomens ist in erster Linie ein Skript des Anbieters Coinhive. Ursprünglich sollte es Websitebetreibern eine Alternative zum Schalten von Werbebannern bieten, indem es den Seitenbesucher als Opt-In das Mining der Kryptowährung Monero durch ihre CPU-Leistung ermöglicht. 30% der auf diese Weise erzeugten Währungseinheiten sollen an die Entwickler des Skripts fließen, die verbleibenden 70% behalten die Betreiber der jeweiligen Website. Dieses JavaScript-Mining funktioniert grundsätzlich bei allen gängigen Browsern und ist an sich nicht illegal.  Aufgrund einiger Sicherheitsmängel wurde die Anwendung aber schon unmittelbar nach ihrem Erscheinen missbräuchlich eingesetzt und zwar in der Form des sog. „Cryptojackings“. Dabei wird die komplette Rechenleistung des betreffenden Nutzers ohne dessen Kenntnis oder Einverständnis zum Mining genutzt. Klone des Coinhive-Skripts entstanden innerhalb kurzer Zeit, sodass mittlerweile Vorsicht geboten ist: Von Websites bis zu Browser-Plugins existieren zahlreiche Möglichkeiten, die Rechenleistung von Internetnutzern zweckentfremdet einzusetzen. Bemerkbar macht sich dies mit üblichen Anzeichen dafür, dass der Rechner auf Hochtouren läuft – etwa durch herabgesetzte Akkulaufzeit bei Laptops sowie Smartphones oder laute Lüftergeräusche.

Das Phänomen des Crypto-Mining unterscheidet sich jedoch insoweit von Drive-by-Downloads, als dass am Ende des Prozesses der Rechner des Opfers nicht mit einer per se schädlichen Software infiziert wird, unabhängig davon, ob das Opfer über eine infizierte Website erreicht wird oder dessen System zuvor gezielt durch einen Bot-Trojaner infiziert wurden. Stattdessen wird legale Mining-Software installiert, die vom Benutzer des Rechners überwiegend unbemerkt bleibt. Der entstehende Schaden wirkt somit zunächst minimal.

Strafrechtliche Würdigung des illegalen Crypto-Mining

Der eigentliche Schaden für das Opfer ist in der unberechtigt genutzten Rechenleistung und den daraus resultierenden Mehrkosten für gestiegenen Energieverbrauch zu sehen. Langfristig ist auch eine Herabsetzung des Materialwerts der betroffenen Hardware infolge der dauerhaft starken CPU-Belastung denkbar. Dieses Tatunrecht der angemaßten Nutzung des betroffenen Rechners wird derzeit von keinem Straftatbestand abgedeckt.

Anknüpfungspunkt für eine mögliche Strafbarkeit könnte jedoch der Tatbestand der Datenveränderung gem. § 303a StGB sein. Tathandlungen dieser Vorschrift sind das Löschen, Unterdrücken, Unbrauchbarmachen und Verändern von Daten. Sofern zum Zwecke des Crypto-Minings zunächst Schadsoftware in das betroffene System eindringen muss, um im weiteren Verlauf den Kontakt zum Command-and-Control-Server sicherzustellen, kommt eine Veränderung[4] von Daten in Betracht. Dafür müsste es sich bei dem jeweiligen Betriebssystem um eine einzige Programmdatei handeln, die durch jede zusätzliche Information in ihrer ursprünglichen Substanz dauerhaft verändert wird. In solcherart gelagerten Fällen dürfte der Tatbestand des § 303a unproblematisch erfüllt sein.

Anders dürften auf den ersten Blick gegenwärtig Fälle zu beurteilen sein, in denen durch die Installation des Bot-Programms lediglich neue Informationen hinzugefügt werden, der Hauptspeicher des Systems ansonsten aber unverändert bleibt: Da bei diesem Vorgang der Informationswert der bereits vorhandenen Daten erhalten bleibt und eine bloße Erweiterung der Funktionseinheit des kompletten Datenbestands durch Ergänzung neuer Informationen der Tathandlung der Datenveränderung nicht genügt, wäre der Tatbestand in dieser Konstellation nicht erfüllt.

Die Zwecksetzung eines Trojaners zum Crypto-Mining erschöpft sich allerdings nicht in seiner bloßen Installation. Vielmehr muss der Bot selbsttätig aktiv werden, etwa indem vom Nutzer unbemerkt eine Verbindung zum Command-and-Control-Server hergestellt wird oder sich die für das Crypto-Mining eingesetzte Rechenleistung erhöht. Beide Vorgänge setzen denklogisch eine Veränderung in der Steuerung systemeigener Vorgänge voraus. Schließlich müssen – schon um sicherzustellen, dass die eingeschleuste Software auch nach einem Neustart im System verbleibt und insofern von einer gewissen Dauer sein kann – in aller Regel auch hierfür bereits vorhandene Daten iSd § 303a StGB dauerhaft verändert werden.[5]

Beim Eindringen eines Trojaners in das System des betroffenen Nutzers dürfte demnach in der Praxis der Tatbestand des § 303a StGB letztlich unabhängig vom jeweiligen Aufbau des befallenen Betriebssystems erfüllt sein.

Browserbasiertes Crypto-Mining als digitaler Hausfriedensbruch?

Im Weiteren drängt sich die Frage auf, wie das browserbasierte Crypto-Mining strafrechtlich einzuordnen ist. Problematisch ist dabei, dass nicht das Endgerät als solches angegriffen wird, sondern das für das Mining verantwortliche Skript allein über den aktiven Browser funktioniert. Häufig wird das Skript nach dem Aufruf einer infizierten Website als sog. „Pop-under“ gestartet, das sich unsichtbar hinter dem aktuellen Browserfenster öffnet und auch dann aktiv bleibt, wenn der Nutzer im Hauptfenster auf eine andere Seite wechselt. Wird der Browser-Prozess allerdings vollständig geschlossen, wird auch die Mining-Aktivität beendet. Vor dem Hintergrund der technischen Details dieses Ablaufs von einer Datenveränderung auszugehen, erscheint fernliegend.

Insofern könnte das Crypto-Mining mithilfe von versteckten Skripten einen möglichen Anwendungsbereich für den seit längerem diskutierten Straftatbestand des „digitalen Hausfriedensbruchs“ bieten, der in der Vergangenheit wiederholt als notwendiges Instrument zur Schließung vermeintlicher Strafbarkeitslücken insbesondere im Zusammenhang mit der Bot-Netz-Thematik gefordert wurde.[6] Strafbar wäre dem aktuellen Entwurf[7] des § 202e StGB zufolge „die unbefugte Nutzung informationstechnischer Systeme“, in der Form der Zugangsverschaffung (1), des In-Gebrauch-Nehmens (2) und des Beeinflussens oder In-Gang-Setzens eines Datenverarbeitungsprogramms (3) auf einem solchen System.

Bedenklich bleibt, trotz einer denkbaren Anwendbarkeit der Vorschrift auf Fälle des Drive-by-Minings, der unüberschaubar weite Anwendungsbereich der Regelung. Schon das unbefugte Einschalten eines Smart-TVs gegen den Willen des Berechtigten, könnte zu einer Strafbarkeit gem. § 202e Abs. 1 StGB führen: Durch Betätigen der Fernbedienung verschafft sich der Täter Zugang zu dem informationstechnischen System des Internet-Fernsehgeräts, darüber hinaus wird wohl auch von einem „In-Gebrauch-Nehmen“ auszugehen sein. Ist dieses Handeln nun auch noch geeignet, „berechtigte Interessen“ des Anschlussinhabers zu beeinträchtigen, hat sich der Betroffene möglicherweise strafbar gemacht. Das Beispiel zeigt, dass durch die tatbestandliche Weite auch eine ganze Reihe von Fallgestaltungen erfasst würden, denen kein strafwürdiges Verhalten zugrunde liegt.

Fazit

Das illegale Bitcoin-Mining über durch Trojaner geschaffene Bot-Netze ist in aller Regel geeignet, den Straftatbestand des § 303a StGB zu erfüllen. Das Drive-by-Mining, das mithilfe von versteckten Skripten über den Internetbrowser betrieben wird, unterfällt diesem Tatbestand hingegen nicht. Trotz missbräuchlicher Anwendung sollte das im Grundsatz für viele Nutzer attraktive Konzept des browserbasierten Crypto-Minings nicht pauschal kriminalisiert werden. Es könnte zum einen eine praktikable Alternative zu klassischen Werbebannern darstellen, andererseits Websitebesuchern die Möglichkeit eröffnen, ihre Rechenkapazität im Austausch gegen bestimmte Leistungen, etwa die Nutzung eines Premium-Accounts, zur Verfügung zu stellen. Notwendige Voraussetzung für die Legitimität solcher Modelle ist allerdings in jedem Anwendungsfall das verpflichtende Bereithalten einer Opt-In-Möglichkeit, sodass die Entscheidungsmacht hinsichtlich des Einsatzes seiner Rechenleistung beim jeweiligen Nutzer verbleibt.

[1] https://www.bafin.de/DE/Aufsicht/FinTech/VirtualCurrency/virtual_currency_node.html.

[2] Für eine vertiefte Darstellung siehe: http://www.goldmansachs.com/our-thinking/pages/blockchain/.

[3]https://www.bsi.bund.de/DE/Themen/ITGrundschutz/ITGrundschutzKataloge/Inhalt/_content/g/g05/g05156.html.

[4] Unter dem Begriff der „Veränderung“ von Daten ist jede Form der inhaltlichen Umwandlung bestehender Daten zu verstehen, die zu einem geänderten Informationsgehalt oder Aussagewert der betroffenen Daten führt und eine Funktionsbeeinträchtigung zur Folge hat.

[5] Heine, NStZ 2016, 443.

[6] BT-Drs. 338/16, S. 5 ff.

[7] BT-Drs. 18/10182.