Jerome T. Heckenkamp hat sich am 29. Januar 2004 vor einem US-Bundesgericht in San Jose wegen unerlaubter Computerzugriffe mit verursachten Schäden schuldig bekannt. Der damals 24-Jährige räumte Eingriffe in Systeme von eBay und Qualcomm ein, die er 1999 als Informatikstudent an der University of Wisconsin begangen hatte. Sein Schuldbekenntnis verband zwei zuvor getrennte kalifornische Verfahren. Über die konkrete Strafe sollte Bundesrichter James Ware erst später entscheiden.
Nach der Mitteilung der Bundesstaatsanwaltschaften für den nördlichen und südlichen Gerichtsbezirk Kaliforniens bekannte sich Heckenkamp zu jeweils einem Anklagepunkt aus den beiden Verfahren schuldig. Beide betrafen unbefugten Computerzugriff mit rücksichtslos verursachten Schäden nach der damals bezeichneten US-Vorschrift 18 U.S.C. 1030(a)(5)(B). Die ursprünglich deutlich umfangreicheren Anklageschriften sind damit von den beiden tatsächlich eingeräumten Punkten zu unterscheiden.
Computerzugriffe bei eBay und Qualcomm eingeräumt
Heckenkamp gestand unberechtigten Zugriff auf eBay-Rechner im Februar und März 1999. Nach seinem Eingeständnis veränderte er eine eBay-Webseite und verwendete dabei den Namen MagicFX. Außerdem installierte er verdeckte Schadprogramme, die Benutzernamen und Passwörter aufzeichneten. Die gewonnenen Zugangsinformationen nutzte er nach der Mitteilung für weitere unbefugte Zugriffe innerhalb des Unternehmens. Konkrete Zugangsdaten oder ausführbare Programme sind für die historische Einordnung nicht erforderlich.
Ein weiterer Teil des Schuldbekenntnisses betraf Eingriffe bei Qualcomm in San Diego gegen Ende des Jahres 1999. Heckenkamp nutzte dafür nach der amtlichen Darstellung einen Rechner aus seinem Studentenwohnheim an der University of Wisconsin-Madison. Auch bei Qualcomm installierte er nach seinem Eingeständnis Programme zum heimlichen Erfassen von Zugangsinformationen. Die Mitteilung enthielt keinen Vorwurf, die Universität habe die Angriffe als Institution unterstützt oder genehmigt.
Der Name des Studentenwohnheims und private Anschriften werden hier nicht ergänzt. Entscheidend war der Zusammenhang zwischen dem von Heckenkamp genutzten Rechner und den angegriffenen Unternehmenssystemen in Kalifornien. Die Bekanntgabe dokumentierte zwei räumlich verschiedene Unternehmenskomplexe. Daraus folgt nicht, dass sämtliche betroffenen Rechner mit demselben technischen Fehler oder auf genau demselben Weg kompromittiert wurden; eine vollständige technische Fallakte lag der Mitteilung nicht bei.
Zwei Anklagen wurden 2003 zusammengeführt
Eine Grand Jury im nördlichen Gerichtsbezirk hatte am 13. März 2002 eine Anklage mit 16 Punkten erhoben. Sie betraf Computereinbrüche, unrechtmäßiges Abfangen elektronischer Kommunikation und Zeugenbeeinflussung. Am 5. September 2002 folgte im südlichen Gerichtsbezirk eine zehn Punkte umfassende Anklage wegen Computerzugriffen und unerlaubtem Kommunikationsabfangen. Im März 2003 wurden die Verfahren beim Bundesgericht für den nördlichen Gerichtsbezirk zusammengeführt.
Die Vereinbarung über das Schuldbekenntnis wurde von den Staatsanwaltschaften beider Gerichtsbezirke getragen. Heckenkamp räumte jedoch nicht automatisch sämtliche ursprünglich angeklagten 26 Punkte ein. Die Bekanntgabe nannte ausdrücklich je einen Punkt aus beiden Anklageschriften. Ein gesonderter Schuldspruch wegen aller übrigen Vorwürfe wurde darin nicht mitgeteilt. Insbesondere wäre es unzutreffend, aus der früheren Aufzählung allein eine bestätigte Verurteilung wegen Zeugenbeeinflussung abzuleiten.
Weitere angeklagte Schäden konnten bei der Strafe berücksichtigt werden
Heckenkamp stimmte nach der Vereinbarung zu, dass das Gericht bei der Strafzumessung auch Schäden aus anderen angeklagten Vorgängen berücksichtigen konnte. Genannt wurden Zugriffe bei Exodus Communications, Juniper Networks, Lycos und Cygnus Solutions. Diese Zustimmung zur Berücksichtigung bei der Strafe ist von einem zusätzlichen eigenständigen Schuldbekenntnis zu sämtlichen genannten Fällen zu unterscheiden. Die Mitteilung bezifferte keinen abschließenden Gesamtverlust und keine bereits festgesetzte Wiedergutmachungssumme.
Als Termin für die Strafzumessung wurde der 10. Mai 2004 angekündigt. Die Behörde nannte mögliche gesetzliche Höchststrafen und erläuterte, dass die konkrete Entscheidung unter Berücksichtigung der maßgeblichen Strafzumessungsregeln erfolgen würde. Eine bloße Addition möglicher Höchststrafen wäre deshalb kein zutreffender Bericht über eine bereits verhängte Strafe. Ob die Verhandlung später am angekündigten Termin stattfand, ist mit dieser Quelle nicht belegt.
Mehrjährige FBI-Ermittlungen in beiden Gerichtsbezirken
Die Verfahren beruhten auf mehrjährigen Ermittlungen der FBI-Einheiten für Computereingriffe in Nord- und Südkalifornien. Nach der Zusammenführung betreute die auf Computerkriminalität und geistiges Eigentum spezialisierte Einheit der Staatsanwaltschaft den Fall. Zuständiger Ankläger war Mark L. Krotoski. Die betroffenen Unternehmen wirkten nach der Bekanntgabe an der Untersuchung mit. Der belegte Stand vom Januar 2004 war das Schuldbekenntnis samt Vereinbarung und dem vorgesehenen weiteren Gerichtstermin.
Weitere Berichte: International · Historische Verbrechen
