Der russische Computerkriminelle Vasiliy Gorshkov ist nach einem aufwendigen verdeckten FBI-Einsatz zu 36 Monaten Haft verurteilt worden. Das US-Justizministerium meldete die Strafentscheidung von Bundesrichter John C. Coughenour in Seattle am 4. Oktober 2002. Gorshkov war zuvor in 20 Punkten wegen Verschwörung, Computerstraftaten und Betrugs schuldig gesprochen worden. Hinzu kam eine Anordnung zur Wiedergutmachung von annähernd 700.000 US-Dollar für Schäden bei Speakeasy und PayPal. Der tatsächliche Strafausspruch lag damit weit unter der zuvor genannten rechnerischen gesetzlichen Höchstgrenze.
Der Fall verbindet Angriffe auf amerikanische Unternehmen, gestohlene Finanzdaten und eine vom FBI aufgebaute Scheinfirma. Die Ermittler brachten Gorshkov und den gesondert verfolgten Alexey Ivanov dazu, aus Russland zu einem vermeintlichen Geschäftstreffen nach Seattle zu reisen. Dort wurden beide im November 2000 festgenommen. Anschließend kopierte das FBI Daten von Rechnern in Russland. Die Frage, ob diese Informationen für das Verfahren verwendet werden durften, wurde noch vor dem Schuldspruch gerichtlich angegriffen.
Gorshkov-Verfahren betrifft Unternehmen in mehreren US-Bundesstaaten
Gorshkov stammte nach den Bekanntgaben aus Tscheljabinsk in Russland. Bei der Meldung des Schuldspruchs war er 26 Jahre alt, bei der späteren Strafentscheidung 27. Der ebenfalls aus Tscheljabinsk stammende Ivanov war zum Zeitpunkt der Mitteilung von 2001 zwanzig Jahre alt. Der gemeinsame Herkunftsort gehörte zum beschriebenen persönlichen Hintergrund. Die gerichtlichen Vorwürfe ergaben sich jedoch aus den konkreten Handlungen und ihrer Zuordnung zu den Beteiligten, nicht allein aus deren Herkunft.
Die amtlichen Bekanntgaben nannten vier unmittelbar vom Strafverfahren erfasste Unternehmen: den Internetanbieter Speakeasy Network in Seattle, die Nara Bank in Los Angeles, die Central National Bank in Waco im Bundesstaat Texas und den Zahlungsdienst PayPal in Palo Alto. Der räumliche Schwerpunkt des späteren Prozesses lag in Seattle. Die beschriebenen Eingriffe betrafen jedoch verschiedene Geschäftsbereiche und mehrere Regionen der Vereinigten Staaten. Ein einzelner örtlicher Computervorfall bildete das Verfahren deshalb nicht vollständig ab.
Die Ermittlungen waren Teil einer landesweiten Untersuchung des FBI zu Angriffen auf Internetanbieter, Unternehmen des elektronischen Handels und Onlinebanken. Nach der im Prozess verwendeten Darstellung verschafften sich die Täter unbefugten Zugang zu fremden Systemen und entwendeten Kreditkarten- sowie weitere persönliche Finanzinformationen. Die Bekanntgaben beschreiben darüber hinaus Erpressungsversuche: Betroffenen wurde mit einer Veröffentlichung sensibler Daten oder mit Schäden an ihren Rechnern gedroht, falls sie nicht zahlten.
Diese Beschreibung eines größeren Ermittlungskomplexes darf nicht als Feststellung gelesen werden, Gorshkov habe persönlich jede damals untersuchte russische Computerstraftat begangen. Sein Schuldspruch bezog sich auf die konkreten 20 im Verfahren behandelten Anklagepunkte. Auch die Nennung mehrerer Unternehmen bedeutet nicht, dass bei allen dieselben Datenbestände oder identische Schadenssummen betroffen waren. Die amtlichen Mitteilungen liefern keine vollständige, nach jedem einzelnen Unternehmen getrennte Schadensabrechnung.
FBI gründet die vermeintliche Sicherheitsfirma Invita
Um die aus Russland handelnden Verdächtigen in die Vereinigten Staaten zu bringen, richtete das FBI in Seattle eine angebliche junge Firma für Computersicherheit ein. Sie trug den Namen Invita. Hinter den vermeintlichen Mitarbeitern standen verdeckt arbeitende FBI-Ermittler. Im Sommer und Herbst 2000 nahmen sie per E-Mail und Telefon Kontakt mit Gorshkov und Ivanov auf. Die beiden stimmten einem persönlichen Treffen in Seattle zu.
Zur Vorbereitung der Reise ließ das FBI ein Testnetz aufbauen, in das die Männer eindringen sollten, um ihre Fähigkeiten zu demonstrieren. Nach den amtlichen Darstellungen gelang ihnen der Zugang zu diesem Netz. Für die Einordnung des Falls ist die Trennung wichtig: Das eigens bereitgestellte Testsystem war Teil der polizeilichen Operation. Die dem späteren Schuldspruch zugrunde liegenden Eingriffe in Systeme realer Unternehmen waren davon zu unterscheidende Vorgänge.
Die Scheinfirma erfüllte damit zwei Aufgaben innerhalb derselben Operation. Sie bot einen glaubhaften Anlass für ein Treffen auf amerikanischem Boden und schuf einen Rahmen, in dem die Ermittler mit den Verdächtigen unmittelbar sprechen konnten. Die Bekanntgaben dokumentieren diese konkrete Vorgehensweise. Sie enthalten keine allgemeine gerichtliche Erlaubnis, beliebige Personen zu Straftaten anzustiften. Eine weitergehende Aussage über die Zulässigkeit anderer verdeckter Ermittlungen lässt sich allein aus dieser Fallbeschreibung nicht ableiten.
Treffen in Seattle am 10. November 2000
Gorshkov und Ivanov kamen am 10. November 2000 in Seattle an und trafen sich in den vermeintlichen Invita-Geschäftsräumen mit den verdeckten Ermittlern. Die Besprechung wurde mit Ton und Bild aufgezeichnet. Nach der späteren Darstellung der Staatsanwaltschaft sprach Gorshkov über seine Fähigkeiten und über verschiedene frühere Eingriffe in Computersysteme. Er übernahm dabei Verantwortung für bestimmte Aktivitäten. Diese aufgezeichneten Äußerungen gehörten zum von den Behörden beschriebenen Geschehen.
Die Bekanntgaben berichteten außerdem, Gorshkov habe eine unmittelbare Gefahr durch das FBI in Russland nicht ernst genommen. Als es um den Zugang zu Kreditkartendaten ging, wollte er Einzelheiten dagegen nicht in den Vereinigten Staaten besprechen. Daraus ergibt sich ein Bild der damaligen Gesprächssituation aus Sicht der Anklagebehörde. Ein vollständiges Wortprotokoll oder eine ungekürzte Videoaufzeichnung ist Bestandteil der hier verwendeten Pressemitteilungen nicht. Zusätzliche Dialoge werden deshalb nicht nacherzählt oder erfunden.
Am Ende des Treffens nahmen die Ermittler beide Männer fest. Die Festnahme erfolgte somit in den Vereinigten Staaten nach ihrer freiwilligen Reise zu dem vorgetäuschten Geschäftstermin. Die Quellen beschreiben keine Festnahme auf russischem Staatsgebiet und keine anschließende Auslieferung von dort. Gerade der Wechsel des Aufenthaltsorts war nach der behördlichen Darstellung ein Ziel der Operation: Die Verdächtigen sollten sich für den persönlichen Zugriff auf US-Territorium befinden.
Getrennte Verfahren gegen Gorshkov und Ivanov
Ivanov wurde nach der Festnahme nach Connecticut gebracht. Dort ging es um einen Computereinbruch beim Online Information Bureau in Vernon. Daneben waren beide Männer im westlichen Gerichtsbezirk des Bundesstaats Washington wegen einer Verschwörung und 19 weiterer Straftaten im Zusammenhang mit Speakeasy, den beiden Banken und PayPal angeklagt. Die verschiedenen Verfahren liefen damit nicht notwendig im gleichen Gerichtssaal und nicht im gleichen zeitlichen Stand weiter.
Die Mitteilung zum Gorshkov-Schuldspruch vom Oktober 2001 erklärte ausdrücklich, dass Ivanov in Connecticut noch auf seinen Prozess wartete und in Washington weiterhin angeklagt war. Gorshkovs damaliger Schuldspruch darf deshalb nicht als gleichzeitiges Urteil gegen Ivanov dargestellt werden. Das spätere Ergebnis von dessen gesondertem Verfahren wird hier nicht aus der Strafentscheidung gegen Gorshkov abgeleitet. Die gemeinsame Festnahme und die teilweise gemeinsamen Vorwürfe ersetzten keine individuelle gerichtliche Entscheidung.
Zugriff auf zwei Computer in Russland nach den Festnahmen
Einige Tage nach den Festnahmen griff das FBI über das Internet auf zwei Rechner der Männer in Russland zu. Nach der Mitteilung von 2001 kopierten die Ermittler umfangreiche Daten aus deren Benutzerkonten und beschafften anschließend eine richterliche Durchsuchungsanordnung. Die spätere Bekanntgabe von 2002 erläuterte, dass die Auswertung der kopierten Daten aufgrund einer von einem US-Magistratsrichter erteilten Anordnung erfolgte. Der Ablauf umfasste also eine Datensicherung und eine gesondert beschriebene richterlich genehmigte Untersuchung.
Der Ort der Festnahme und der Speicherort der Daten waren damit wiederum verschieden. Die beiden Beschuldigten befanden sich bereits in amerikanischem Gewahrsam, während die betreffenden Computer in Russland standen. Dieser Unterschied erklärt, weshalb die Sicherung digitaler Beweismittel einen eigenen Streitpunkt bildete. Die Behörden beschrieben keinen einfachen Abtransport der russischen Hardware nach Seattle, sondern das Kopieren von Informationen über eine Netzwerkverbindung.
Gorshkov griff das Kopieren und die spätere Durchsuchung der Daten vor dem Prozess an. Bundesrichter Coughenour wies seinen Antrag nach beiden amtlichen Bekanntgaben mit einer schriftlichen Entscheidung vom 23. Mai 2001 zurück. Für den weiteren Gang des Strafverfahrens bedeutete das, dass dieser Einwand die Verwendung der betreffenden Daten nicht verhinderte. Der Schuldspruch durch die Jury erging erst mehrere Monate später.
Die Pressemitteilungen geben den vollständigen Wortlaut dieser gerichtlichen Anordnung nicht wieder. Sie dokumentieren die Ablehnung des Antrags, ersetzen aber keine umfassende Darstellung sämtlicher verfassungsrechtlicher Argumente des Gerichts. Eine allgemeine Befugnis amerikanischer Ermittler zu jedem denkbaren Fernzugriff auf ausländische Computer wird hier deshalb nicht behauptet. Ebenso wenig lässt sich aus dem Ergebnis dieses Antrags allein eine abschließende Aussage über alle völkerrechtlichen Fragen des Zugriffs gewinnen.
Gestohlene Finanzdaten in den kopierten Beständen
Nach Angaben der Staatsanwaltschaft enthielten die kopierten Daten umfangreiche Sammlungen gestohlener Kreditkarteninformationen. Als eine Herkunft wurde der Internetanbieter Lightrealm aus Kirkland im Bundesstaat Washington genannt. Hinzu kamen Bankkonto- und weitere persönliche Finanzdaten von Onlinebanking-Kunden der Nara Bank und der Central National Bank in Waco. Der Beweisstoff betraf damit nicht nur technische Zugangsversuche, sondern auch Informationen über reale Kunden und deren finanzielle Beziehungen.
Bei der Größenordnung verwenden die beiden Bekanntgaben leicht unterschiedliche Formulierungen. Im Oktober 2001 waren mehr als 56.000 Kreditkarten genannt worden; die Strafmitteilung vom Oktober 2002 sprach allgemeiner von mehr als 50.000. Beide Angaben beschreiben eine sehr große Sammlung, sind aber nicht als zwei voneinander unabhängige Bestände zu addieren. Die Quellen erklären die abweichende Genauigkeit nicht. Für die Darstellung des Falls werden die jeweiligen Zahlen deshalb ihrem Veröffentlichungsstand zugeordnet.
Auch die Zahl der aufgefundenen Kreditkarteninformationen ist nicht automatisch die Zahl vollendeter Abbuchungen oder nachgewiesener einzelner Geschädigter. Die amtlichen Mitteilungen unterscheiden nicht für jeden Datensatz zwischen bloßem Besitz, tatsächlicher Verwendung und einem realisierten Vermögensverlust. Solche Daten sind zudem keine geeigneten Illustrationen für einen historischen Bericht. Namen, Kontonummern und Kartendaten aus den Beständen werden hier weder veröffentlicht noch durch erfundene vermeintliche Beweisauszüge ersetzt.
PayPal-Betrug und die Nutzung fremder Rechner
Die Auswertung zeigte nach der behördlichen Darstellung außerdem, dass fremde Computersysteme für weitere Betrugshandlungen genutzt wurden. Genannt wurden unter anderem Rechner eines Schulbezirks im St. Clair County in Michigan. Deren Rolle war eine andere als die eines unmittelbar finanziell geschädigten Zahlungsdienstes: Die kompromittierten Geräte wurden als Teil der technischen Infrastruktur für weitere Handlungen verwendet. Die Mitteilungen sagen nicht, dass Beschäftigte des Schulbezirks wissentlich daran mitwirkten.
Im Zahlungsverkehr ging es um den Missbrauch gestohlener Kreditkartenangaben in Verbindung mit PayPal-Konten und manipulierten Onlineauktionen bei eBay. Die Täter konnten dadurch nach der im Prozess verwendeten Darstellung scheinbare Käufe und Verkäufe zu eigenen Gunsten abwickeln. Das diente der Erlangung von Geld und dem Erwerb von Computerteilen bei amerikanischen Händlern. Eine Anleitung oder die verwendeten Programme enthält dieser Bericht nicht; für die Einordnung genügen die beschriebenen Funktionen innerhalb des Betrugsgeschehens.
Die Rolle von eBay in diesem Ablauf ist von der Aufzählung der vier unmittelbar im Gorshkov-Verfahren genannten geschädigten Unternehmen zu unterscheiden. Die amtlichen Texte beschreiben die Auktionsplattform als Bestandteil der verwendeten Abwicklung. Die Wiedergutmachungsanordnung von 2002 bezog sich dagegen ausdrücklich auf Verluste von Speakeasy und PayPal. Eine gleich hohe Forderung zugunsten jedes weiteren genannten Unternehmens wäre damit nicht belegt.
Schuldspruch 2001 und Strafentscheidung 2002
Die zwanzig Punkte des Schuldspruchs waren außerdem nicht mit zwanzig einzeln benannten Unternehmen gleichzusetzen. Der Anklagekomplex umfasste eine Verschwörung und verschiedene Computer- und Betrugsdelikte. Ein zusammenhängendes Geschehen konnte damit unter mehreren strafrechtlichen Gesichtspunkten behandelt werden. Die amtlichen Bekanntgaben enthielten keine vollständige Auflistung jedes einzelnen Jurybefunds samt allen dazugehörigen Beweismitteln. Eine zusätzliche Zuordnung bestimmter Handlungen zu einem bestimmten Anklagepunkt wird deshalb ohne den vollständigen Prozessstoff nicht vorgenommen.
Die Jury sprach Gorshkov am 9. Oktober 2001 in allen 20 behandelten Punkten schuldig. Das ergibt sich aus der am 10. Oktober erschienenen Mitteilung, die den Schuldspruch als Ereignis des Vortags bezeichnete. Zu diesem Zeitpunkt war die Strafzumessung vor Richter Coughenour für den 4. Januar 2002 angekündigt. Ein solcher Terminplan ist noch keine Strafentscheidung. Die damalige Nachricht durfte daher nicht mit einer bereits verhängten Haftdauer gleichgesetzt werden.
Die spätere Mitteilung vom 4. Oktober 2002 dokumentiert den tatsächlichen Strafausspruch von 36 Monaten. Aus den beiden Bekanntgaben allein ergibt sich nicht, weshalb die abschließende Meldung erst Monate nach dem zunächst genannten Termin erschien. Sie belegen insbesondere nicht, dass am 4. Januar bereits dieselbe Strafe verhängt worden war. Der hier verwendete historische Bezugstag folgt deshalb der amtlich gemeldeten Strafentscheidung vom Oktober 2002.
Die zuvor genannte rechnerische gesetzliche Höchstgrenze von hundert Jahren war kein Urteil. Sie beruhte auf der Addition der für die einzelnen Anklagepunkte angegebenen Höchststrafen. Welche Strafe das Gericht im konkreten Verfahren festsetzte, war eine andere Frage. Die tatsächlichen 36 Monate dürfen deshalb weder als hundertjährige Verurteilung noch als ein automatisches Zusammenzählen von zwanzig Einzelhaftzeiten beschrieben werden. Die Strafmitteilung nennt eine Gesamtdauer von drei Jahren.
Wiedergutmachung von annähernd 700.000 Dollar angeordnet
Als zuständige Ermittler benannten die Mitteilungen die FBI-Spezialagenten Marty Prewett und Michael Schuler. Die Anklage führten Stephen C. Schroeder und Floyd G. Short; in der Strafmitteilung von 2002 wurde Schroeder bereits als früherer Bundesstaatsanwalt bezeichnet. Damit ist auch die institutionelle Verantwortung für die Untersuchung und die gerichtliche Anklage dokumentiert. Die im Behördenbericht enthaltene Würdigung der eigenen Ermittlungsarbeit ist davon zu trennen und ersetzt keine zusätzliche unabhängige Tatsachenfeststellung.
Zusätzlich zur Haft ordnete das Gericht eine Wiedergutmachung von nahezu 700.000 US-Dollar an. Die Staatsanwaltschaft nannte dafür die Verluste von Speakeasy und PayPal. Die Formulierung bezeichnet eine gerichtliche Verpflichtung. Sie sagt nicht, dass dieser Betrag im Oktober 2002 bereits vollständig bezahlt oder beigetrieben worden war. Auch eine genaue Aufteilung zwischen den beiden Unternehmen wurde in der Bekanntgabe nicht veröffentlicht.
Damit hat der dokumentierte Abschluss zwei voneinander zu unterscheidende Ebenen: die Freiheitsstrafe für die abgeurteilten Taten und den finanziellen Ausgleich zugunsten konkret benannter Geschädigter. Die Sammlung zahlreicher Kreditkarteninformationen, der insgesamt untersuchte Angriffskomplex und die angeordnete Wiedergutmachung sind keine austauschbaren Maßstäbe. Der historische Fall zeigt ihren Zusammenhang anhand der festgestellten Abläufe. Über spätere Zahlungen, eine Änderung der Strafe oder den tatsächlichen Entlassungstag geben die hier ausgewerteten amtlichen Mitteilungen keinen abschließenden Aufschluss.
Weitere Berichte: International · Historische Verbrechen
Quellen
U.S. Department of Justice: Russian Computer Hacker Convicted by Jury, 10. Oktober 2001
Du muss angemeldet sein, um einen Kommentar zu veröffentlichen.