Michael Logan hat am 18. Januar 2002 vor einem US-Bundesgericht in San Francisco einen unbefugten Zugriff auf ein Computersystem von Catholic Healthcare West eingeräumt. Der damals 34-Jährige bekannte sich in einem Anklagepunkt schuldig, durch den Zugriff auf einen geschützten Computer Schaden verursacht zu haben. Im Mittelpunkt stand eine E-Mail, die unter fremdem Namen an etwa 30.000 Beschäftigte und weitere Angehörige des Gesundheitsverbunds verschickt worden war. Über das Strafmaß war mit diesem Schuldbekenntnis noch nicht entschieden.
Eine Nachricht unter dem Namen eines Beschäftigten
Nach Logans Einlassung ereignete sich der Zugriff ungefähr am 28. November 1999. Er verschaffte sich absichtlich und ohne Berechtigung Zugang zum Computersystem von Catholic Healthcare West. Anschließend versandte er eine Nachricht, die den Eindruck erwecken sollte, von einem bestimmten Beschäftigten des Verbunds zu stammen. Ihr Inhalt richtete sich in beleidigender Weise gegen diese Person und andere Mitarbeiter. Die amtliche Mitteilung beschreibt damit sowohl einen technischen Eingriff als auch den Missbrauch einer fremden Absenderidentität.
Die Zahl von rund 30.000 bezeichnet die Empfänger beziehungsweise Adressaten der Nachricht. Sie ist keine Angabe über nachgewiesene finanzielle Schäden jedes einzelnen Betroffenen. Ebenso wenig lässt sich daraus ableiten, dass ebenso viele persönliche Datensätze entwendet worden wären. Die veröffentlichte Darstellung nennt einen unbefugten Computerzugriff und die anschließende E-Mail-Aktion. Sie berichtet weder über einen belegten Diebstahl von Patientenakten noch über eine nachgewiesene Unterbrechung der medizinischen Versorgung.
Ein Schuldbekenntnis aus einer Anklage mit drei Punkten
Eine Grand Jury hatte Logan am 25. September 2001 in drei Punkten angeklagt. Zwei davon betrafen unterschiedliche Varianten der Schädigung geschützter Computer. Der dritte betraf Belästigung durch Telekommunikation. Sein Schuldbekenntnis vom Januar 2002 bezog sich auf den zweiten Anklagepunkt, den unbefugten Zugriff mit Schadensverursachung nach der damals angewandten Bestimmung des US-Computerstrafrechts. Aus der Mitteilung folgt daher kein Schuldspruch in sämtlichen drei ursprünglich erhobenen Punkten.
Diese Unterscheidung ist für den damaligen Verfahrensstand wesentlich. Eine Anklage legt zunächst Vorwürfe vor; ein Schuldbekenntnis betrifft den konkret eingeräumten Tatbestand. Welche weiteren Entscheidungen über andere Anklagepunkte getroffen würden, lässt sich aus der veröffentlichten Meldung nicht abschließend entnehmen. Der Bericht über den 18. Januar kann deshalb weder eine spätere Gesamterledigung noch ein bereits feststehendes Strafmaß vorwegnehmen.
Mindestens 5.000 Dollar Schaden eingeräumt
Logan räumte ein, einen Schaden von mindestens 5.000 US-Dollar verursacht zu haben. Die Staatsanwaltschaft verwies daneben auf öffentliche Gerichtsunterlagen, nach denen der tatsächliche Schaden über 25.000 US-Dollar gelegen habe. Die beiden Beträge beschreiben unterschiedliche Bezugsgrößen innerhalb desselben Vorgangs. Sie dürfen nicht zu einem zusätzlichen Gesamtbetrag von 30.000 Dollar addiert werden. Der kleinere Betrag war die ausdrücklich genannte Untergrenze seines Eingeständnisses; die höhere Zahl bezog sich auf die weitergehende Darstellung in den Gerichtsakten.
Die amtliche Mitteilung enthält keine vollständige Aufschlüsselung dieser Schadenspositionen. Insbesondere nennt sie keine einzelnen Patienten oder Beschäftigten als Empfänger einer bestimmten Entschädigung. Eine abschließende Entscheidung über eine mögliche Wiedergutmachungszahlung lag zum Zeitpunkt der Bekanntgabe ebenfalls noch nicht vor. Die Trennung zwischen eingeräumter Mindesthöhe, weitergehendem Akteninhalt und späterer gerichtlicher Festsetzung verhindert, dass aus einer Schadensangabe eine bereits rechtskräftig zugesprochene Zahlung wird.
Strafzumessung war für April vorgesehen
Die Verkündung des Strafmaßes wurde vor Bundesrichterin Susan Illston für den 26. April 2002 vorgesehen. Für den eingeräumten Anklagepunkt nannte die Staatsanwaltschaft eine gesetzliche Höchststrafe von einem Jahr Freiheitsentzug und eine mögliche Geldstrafe bis 100.000 US-Dollar. Zusätzlich kam Schadenswiedergutmachung in Betracht. Diese gesetzlichen Möglichkeiten waren keine bereits verhängten Sanktionen. Welches konkrete Ergebnis der spätere Termin bringen würde, war im hier dokumentierten Verfahrensstand offen.
Die Ermittlungen führte eine auf Computereingriffe spezialisierte Einheit des FBI. Auf Seiten der Bundesstaatsanwaltschaft betreute ein Staatsanwalt der Einheit für Computerkriminalität und geistiges Eigentum das Verfahren. Der Fall zeigt anhand eines konkret eingeräumten Vorgangs, welche Reichweite ein missbrauchtes internes Kommunikationssystem haben konnte: Eine einzelne untergeschobene Nachricht erreichte sehr viele Menschen und wurde zugleich zum Gegenstand eines Bundesstrafverfahrens.
Für den Gesundheitsverbund war die fremde Absenderidentität ein zentraler Bestandteil des beschriebenen Angriffs. Die Nachricht sollte gerade als interne Äußerung einer anderen Person erscheinen. Der eingeräumte Computerzugriff und die anschließende Verbreitung bildeten deshalb einen zusammenhängenden Vorgang, ohne dass die Meldung darüber hinausgehende Datenabflüsse belegt.
Weitere Berichte: International · Historische Verbrechen
