Computerkriminalität nach dem Ende eines Arbeitsverhältnisses beschäftigte im Februar 2005 eine Bundes-Grand-Jury in Kalifornien. Sie klagte den früheren IT-Verantwortlichen Roman Meydbray wegen angeblicher Zugriffe auf Systeme seines ehemaligen Arbeitgebers an. Nach der am 16. Februar veröffentlichten Mitteilung des US-Justizministeriums ging es um gelesene E-Mails des Firmenpräsidenten und Schäden am Unternehmensnetz. Ein Schuldspruch lag mit dieser Bekanntgabe nicht vor. Meydbray galt bis zu einer nachgewiesenen Verurteilung als unschuldig.
Betroffen war Creative Explosions Inc. aus Scotts Valley im Silicon Valley. Das Unternehmen entwickelte und verkaufte Software, mit der Nutzer hochwertige multimediale Internetseiten erstellen konnten. Meydbray war dort nach der Anklageschrift von November 2001 bis zum 7. November 2003 beschäftigt gewesen. Zunächst arbeitete er als Information Technology Manager, später als Network Manager. Die vorgeworfenen Handlungen sollen erst nach der Beendigung dieser Beschäftigung erfolgt sein.
Computerkriminalität mit vier angeklagten Vorwürfen
Die Grand Jury erhob zwei Vorwürfe des unrechtmäßigen Zugriffs auf gespeicherte Kommunikation. Hinzu kamen jeweils ein Vorwurf der vorsätzlichen Beschädigung eines Computers und eines unbefugten Zugriffs mit leichtfertiger Schadensverursachung. Diese Punkte betrafen unterschiedliche rechtliche Bewertungen der behaupteten Handlungen. Die Bekanntgabe enthielt keine Feststellung, dass alle vier Vorwürfe vor einem Gericht bewiesen worden waren, und meldete kein Schuldbekenntnis des Angeklagten.
Nach Darstellung der Anklage soll Meydbray weniger als zwei Wochen nach seiner Entlassung unbefugt in das Computersystem eingedrungen sein. Ihm wurde vorgeworfen, Passwörter von E-Mail-Konten geändert, Nachrichten des Firmenpräsidenten gelesen und vorsätzlich beziehungsweise leichtfertig Schäden verursacht zu haben. Der genaue Tag eines einzelnen Zugriffs wurde in der Mitteilung nicht genannt. Aus der zeitlichen Beschreibung lässt sich deshalb kein bestimmtes, amtlich belegtes Tagesdatum der Tat ableiten.
Ermittler beschrieben Eingriffe in die E-Mail-Infrastruktur
Weitere Einzelheiten stammten aus einer eidesstattlichen Erklärung zur Unterstützung eines Durchsuchungsantrags. Danach soll eine Domain-Seite des Unternehmens gelöscht worden sein. Außerdem sollen geänderte Konfigurationen der E-Mail-Server dazu geführt haben, dass Nachrichten zurückgewiesen wurden. Auch diese Darstellung war ein Ermittlervorwurf. Die Mitteilung veröffentlichte weder den vollständigen Antrag noch eine technische Rekonstruktion mit sämtlichen Protokollen und individuellen Beweismitteln.
Der behauptete Schaden betraf damit nicht nur die Vertraulichkeit einzelner Nachrichten. Nach dem Ermittlungsstand sollte auch die Funktionsfähigkeit der geschäftlichen Kommunikation beeinträchtigt worden sein. Eine konkrete Gesamtschadenssumme, die Zahl zurückgewiesener E-Mails oder die Dauer einer bestimmten Unterbrechung teilte die Staatsanwaltschaft jedoch nicht mit. Solche Angaben können nicht aus der allgemeinen Beschreibung von Konfigurationsänderungen oder aus der Unternehmensgröße ergänzt werden.
Genannte Höchststrafen waren noch keine gerichtliche Strafe
Die Behörde nannte für den unrechtmäßigen Zugriff auf gespeicherte Kommunikation und die leichtfertige Computerbeschädigung gesetzliche Haftobergrenzen von fünf Jahren. Für die vorsätzliche Beschädigung wurde eine Obergrenze von zehn Jahren angegeben. Dazu kamen mögliche Geldstrafen, eine anschließende Aufsicht und gesetzliche Sonderabgaben. Diese Angaben beschrieben mögliche Rechtsfolgen bei einer Verurteilung. Sie waren keine gegen Meydbray bereits verhängte Freiheits- oder Geldstrafe.
Für die Geldstrafen nannte die Mitteilung grundsätzlich bis zu 250.000 US-Dollar je Delikt oder das Doppelte des Bruttogewinns beziehungsweise Verlusts, je nachdem, welcher Betrag höher wäre. Die Berechnungsalternative war damit eine gesetzliche Strafandrohung. Sie bedeutete nicht, dass ein Gewinn oder ein Unternehmensverlust von 250.000 Dollar festgestellt worden wäre. Eine bloße Addition der genannten Höchstgrenzen würde ebenfalls kein tatsächlich zu erwartendes Gesamtstrafmaß ergeben.
Erster Gerichtstermin war noch nicht festgelegt
Meydbrays erste Vorführung vor einem US-Magistratsrichter in San Jose wurde für Februar 2005 erwartet. Ein genauer Termin stand nach der Bekanntgabe noch nicht fest. Ob er später zu diesem Zeitpunkt erschien, sich zu den Vorwürfen äußerte oder ein weiteres Verfahren folgte, dokumentiert diese Mitteilung nicht. Der belegte historische Stand vom 16. Februar war die Erhebung der Bundesanklage mit den beschriebenen Vorwürfen.
Die Untersuchung führte die Cyber Crime Squad des FBI in Oakland. Sie wurde von der für Computerkriminalität und geistiges Eigentum zuständigen Einheit der Bundesstaatsanwaltschaft des nördlichen Bezirks von Kalifornien begleitet. Als zuständigen Anklagevertreter nannte die Quelle Mark L. Krotoski. Die Ermittlungszuständigkeit in Oakland und der angekündigte Gerichtsort San Jose sind von Scotts Valley, dem Sitz des betroffenen Unternehmens, zu unterscheiden. Ein späterer Verfahrensausgang wird hier nicht unterstellt.
Weitere Berichte: International · Historische Verbrechen
Quellen
Former IT Manager of Software Firm Indicted on Computer Crime Charges (February 16, 2005)
