Ein unbefugter Eingriff in das Computersystem ihres Arbeitgebers endete für Melissa S. Brown mit drei Jahren Bewährungsaufsicht. Bundesrichter Dan A. Polster entschied am 26. November 2001 in Akron im US-Bundesstaat Ohio. Während der ersten sieben Monate sollte Brown unter elektronischer Überwachung im Hausarrest bleiben. Außerdem ordnete das Gericht eine Wiedergutmachung von 15.346,71 US-Dollar zugunsten der Personalberatungsfirma Christian & Timbers an. Eine Gefängnisstrafe von drei Jahren meldete die Staatsanwaltschaft ausdrücklich nicht.
Brown hatte sich bereits am 14. September 2001 in dem einzigen gegen sie erhobenen Anklagepunkt schuldig bekannt. Die Anklage einer Bundes-Grand-Jury vom 6. Juli 2001 stützte sich auf 18 U.S.C. 1030(a)(5)(A). Es ging um die unbefugte Schädigung eines geschützten Computers durch die Übermittlung von Programmen, Informationen oder Befehlen. Der Fall betraf keinen in der amtlichen Mitteilung behaupteten Millionenbetrug, sondern einen konkreten Eingriff und die dadurch ausgelösten Untersuchungsaufwendungen des Unternehmens.
Computerbetrug durch einen nächtlichen Fernzugriff
Nach den beim Bundesgericht eingereichten Unterlagen räumte Brown ein, am 14. April 2001 von zu Hause aus eine Verbindung zum Netzwerk ihres Arbeitgebers hergestellt zu haben. Sie verwendete dafür einen Firmenlaptop. Die Bekanntgabe beschreibt eine Sitzung zwischen 4.04 Uhr und 5.09 Uhr. Das Unternehmen mit Sitz in Beachwood vermittelte Führungskräfte. Der Rechner, von dem aus Brown handelte, und der angegriffene Unternehmensserver befanden sich deshalb nicht am selben Ort.
Brown nutzte nach ihrem Eingeständnis die Zugangsdaten eines Kollegen, ohne dessen Wissen oder Erlaubnis. Im Unternehmenssystem änderte sie das Passwort des zuständigen IT-Leiters. Dieser befand sich nach der Darstellung der Staatsanwaltschaft im Urlaub. Durch die Änderung konnte er sich nicht mehr beim Firmencomputer anmelden. Die Bekanntgabe nennt damit eine konkrete Folge des Eingriffs: Eine berechtigte Person verlor ihren vorgesehenen Zugang zum System.
Dass für den Zugriff ein firmeneigenes Gerät benutzt wurde, machte die Handlung nicht zu einer erlaubten dienstlichen Tätigkeit. Entscheidend waren die unbefugte Verwendung fremder Zugangsdaten und die absichtlich veranlasste Änderung. Der veröffentlichte Sachverhalt ist deshalb von einem technisch erfolglosen Anmeldeversuch oder einem bloßen Versehen zu unterscheiden. Brown hatte die in den Gerichtsunterlagen beschriebenen Handlungen im Rahmen ihres Schuldbekenntnisses eingeräumt.
Unternehmen musste sein gesamtes Netzwerk untersuchen
Christian & Timbers ließ anschließend sein vollständiges Computernetz überprüfen. Dabei sollte geklärt werden, ob weitere Schäden entstanden waren oder ob Brown unzulässig Daten und Informationen erlangt hatte. Diese Reaktion ist von dem nachgewiesenen Passwortwechsel zu trennen: Die Notwendigkeit einer Untersuchung belegt noch nicht, dass tatsächlich zusätzlich Daten gestohlen oder andere Rechner beschädigt worden waren. Solche weitergehenden Ergebnisse wurden in der amtlichen Mitteilung nicht veröffentlicht.
Brown erkannte an, durch ihr Verhalten Verluste von 15.346,71 Dollar verursacht zu haben. In genau dieser Höhe wurde Wiedergutmachung angeordnet. Die Quelle bezeichnet den Betrag als Verlust des Unternehmens. Sie schlüsselt nicht auf, welche einzelnen Rechnungen, Arbeitsstunden oder technischen Dienstleistungen darin enthalten waren. Eine nachträgliche Berechnung zusätzlicher, nicht dokumentierter Schadensposten wäre daher nicht durch die Bekanntgabe gedeckt.
Bewährungsaufsicht, Hausarrest und Geldforderung
Die Strafentscheidung kombinierte drei rechtlich unterschiedliche Folgen: drei Jahre probation, elektronisch überwachten Hausarrest während der ersten sieben Monate und die Wiedergutmachungsanordnung. Die dreijährige Aufsicht war keine Haftdauer, an die sich erst danach eine Aufsichtszeit anschließen sollte. Umgekehrt war der Hausarrest eine ausdrücklich genannte besondere Bedingung dieser Aufsicht. Der Bericht über das Urteil macht keine Angaben dazu, ob Brown später gegen diese Bedingungen verstieß.
Auch die angeordnete Zahlung ist nicht mit einer bereits abgeschlossenen Erstattung gleichzusetzen. Die Mitteilung vom 26. November dokumentiert die Verpflichtung gegenüber dem geschädigten Arbeitgeber, aber keinen vollständigen Zahlungseingang. Sie erwähnt weder einen späteren Erlass der Forderung noch eine nachträgliche Änderung der gerichtlichen Sanktion. Der hier belegte historische Stand endet mit der Strafentscheidung des Bundesgerichts in Akron.
FBI in Cleveland führte die Ermittlungen
Das Verfahren beruhte auf Ermittlungen des FBI-Büros in Cleveland. Die Anklage vertrat Bundesstaatsanwalt Robert W. Kern. Die amtliche Bekanntgabe dokumentiert somit den Weg von der Anklage im Juli über das Schuldbekenntnis im September bis zur Entscheidung im November 2001. Welche organisatorischen Sicherheitsmaßnahmen Christian & Timbers anschließend dauerhaft einführte und wie sich Browns weitere berufliche Situation entwickelte, lässt sich daraus nicht ableiten.
Weitere Berichte: International · Historische Verbrechen
