SK.2020.35

Urteil vom 22. Januar 2021 Strafkammer Besetzung

Bundesstrafrichter Stefan Heimgartner, Vorsitz Martin Stupf und Alberto Fabbri, Gerichtsschreiber David Heeb Parteien

BUNDESANWALTSCHAFT, vertreten durch a.i. Staatsanwalt des Bundes Andreas Affolter,

und

als Privatklägerschaft:

1. Bank B., 2. Finanzinstitut C., Unternehmenssicherheit, 3. D. AG, 4. E., 5. F., 6. G., 7. H., 8. I., 9. J.,

10. K.,

11. L.,

12. M.,

13. N. GmbH,

14. O., B u n d e s s t r a f g e r i c h t T r i b u n a l p é n a l f é d é r a l T r i b u n a l e p e n a l e f e d e r a l e T r i b u n a l p e n a l f e d e r a l

Geschäftsnummer: SK.2020.35

- 2 - SK.2020.35

15. P.,

16. Q.,

17. R.,

18. S.,

gegen

A., amtlich verteidigt durch Rechtsanwalt Andrea Janggen

Gegenstand

Mehrfache unbefugte Datenbeschaffung und Versuch dazu, mehrfacher gewerbsmässiger betrügerischer Missbrauch einer Datenverarbeitungsanlage, mehrfa- che bandenmässige Geldwäscherei

- 3 - SK.2020.35 Anträge der Bundesanwaltschaft: 1. A. sei schuldig zu sprechen

- der mehrfachen unbefugten Datenbeschaffung (Art. 143 Abs. 1 StGB) und des Versuchs dazu (Art. 143 Abs. 1 i.V.m. Art. 22 Abs. 1 StGB);

- des mehrfachen gewerbsmässigen betrügerischen Missbrauchs einer Datenver- arbeitungsanlage (Art. 147 Abs. 2 StGB) und

- der mehrfachen bandenmässigen Geldwäscherei (Art. 305bis Ziff. 2 StGB).

2. A. sei mit einer Freiheitsstrafe von 42 Monaten zu bestrafen.

Die ausgestandene Untersuchungshaft von 156 Tagen sei auf die Strafe anzurech- nen (Art. 51 StGB).

3. Der Kanton Basel-Stadt sei als Vollzugskanton zu bestimmen (Art. 74 Abs. 2 StBOG i.V.m. Art. 34 Abs. 1 StPO).

4. Zulasten von A. und zugunsten der Eidgenossenschaft sei eine Ersatzforderung in gerichtlich zu bestimmender Höhe zu begründen (Art. 71 Abs. 1 StGB).

5. Die Zivilklagen seien gerichtlich zu beurteilen.

6. Die Verfahrenskosten, bestehend aus den Kosten des Vorverfahrens in der Höhe von Fr. 160'314.-- (Gebühren: Fr. 20'000.--, Auslagen: Fr. 140'314.--) und den ge- richtlich zu bestimmenden Kosten des Hauptverfahrens, seien A. aufzuerlegen (Art. 426 Abs. 1 StPO).

7. Rechtsanwalt Andrea Janggen sei für die amtliche Verteidigung von A. in gerichtlich zu bestimmender Höhe aus der Bundeskasse zu entschädigen (Art. 135 Abs. 1 StPO).

A. sei zu verpflichten, dem Bund die Entschädigung zurückzubezahlen, sobald es ihre wirtschaftlichen Verhältnisse erlauben (Art. 135 Abs. 4 StPO).

8. Dem für die Führung von AFIS zuständigen Dienst sei die Zustimmung zur Löschung der von A. erhobenen biometrischen erkennungsdienstlichen Daten (PCN 41 500625 75) nach Ablauf der gesetzlichen Frist zu erteilen (Art. 17 Abs. 1 lit. e i.V.m. Art. 19 Abs. 1 der Verordnung über die Bearbeitung biometrischer erken- nungsdienstlicher Daten).

- 4 - SK.2020.35 Anträge der Privatklägerin Bank B.: 1. A. sei der mehrfachen unbefugten Datenbeschaffung (Art. 143 Abs. 1 StGB) und des Versuchs dazu (Art. 143 Abs. 1 i.V.m. Art. 22 Abs. 1 StGB), des mehrfachen gewerbsmässigen betrügerischen Missbrauchs einer Datenverarbeitungsanlage (Art. 147 Abs. 2 StGB) sowie der bandenmässigen Geldwäscherei (Art. 305bis Ziff. 2 StGB) schuldig zu sprechen.

2. Eventualiter sei A. anstelle der mehrfach begangenen versuchten unbefugten Da- tenbeschaffung (Art. 143 Abs. 1 i.V.m. Art. 22 Abs. 1 StGB) des mehrfach begange- nen versuchten betrügerischen Missbrauchs einer Datenverarbeitungsanlage (Art. 147 Abs. 1 i.V.m. Art. 22 Abs. 1 StGB) schuldig zu sprechen.

3. A. sei nach Ermessen des Gerichts zu bestrafen.

4. A. sei zu verpflichten, der Privatklägerschaft Bank B. Fr. 83'382.-- als Schaden- ersatz zu bezahlen, zzgl. Zins von 5 % auf den Betrag Fr. 11'272.-- ab 19.04.2013, auf den Betrag Fr. 2'650.-- ab 07.01.2014, auf den Betrag Fr. 20'000.-- ab 21.05.2013, auf den Betrag Fr. 3'960.-- ab 29.05.2013, auf den Betrag Fr. 7'650.-- ab 10.06.2014, auf den Betrag Fr. 18'000.-- ab 25.09.2013 und auf den Betrag Fr. 19'850.-- ab 17.02.2014 (Art. 126 Abs. 1 lit. a StPO).

5. Die Verfahrenskosten seien vollumfänglich A. aufzuerlegen (Art. 426 Abs. 1 StPO).

Anträge der Privatklägerin Finanzinstitut C.: A. sei zu verpflichten, dem Finanzinstitut C. Fr. 46'843.45 als Schadenersatz zu bezahlen, zzgl. Zins von 5 % für Fr. 8'500.-- vom 12.03.2015 bis 19.09.2017, Fr. 3'900.-- vom 25.03.2015 bis 01.05.2015, Fr. 3'108.19 ab 30.03.2015, Fr. 49'500.-- vom 26.05.2015 bis 14.03.2016, Fr. 39'500.-- ab 15.03.2016 und Fr. 3'128.76 ab 01.06.2015.

Anträge der übrigen Privatklägerschaft: D. AG

- A. sei zu verpflichten, der D. AG einen Schadenersatz von Fr. 22'885.34 zu be- zahlen. E.

- A. sei zu verpflichten, E. einen Schadenersatz von Fr. 7'173.84 und eine Genug- tuung von Fr. 1'000.-- zu bezahlen.

- 5 - SK.2020.35 F.

- A. sei zu verpflichten, F. einen Schadenersatz von Fr. 10'745.65 und eine Ge- nugtuung von Fr. 1'000.-- zu bezahlen. G.

- A. sei zu bestrafen.

- A. sei zu verpflichten, G. einen Schadenersatz von Fr. 36'000.-- zu bezahlen. H.

- A. sei zu bestrafen. I.

- A. sei zu verpflichten, I. einen Schadenersatz von Fr. 5'171.-- und eine Genugtu- ung von Fr. 1'000.-- zu bezahlen. J.

- A. sei zu verpflichten, J. einen Schadenersatz von EUR 11'000.-- zu bezahlen. K.

- A. sei zu verpflichten, K. einen Schadenersatz von Fr. 2'550.-- und eine Genug- tuung von Fr. 1'000.-- zu bezahlen. L.

- A. sei zu bestrafen.

- A. sei zu verpflichten, L. einen Schadenersatz von Fr. 18'000.-- zu bezahlen. M.

- A. sei zu bestrafen. N. GmbH

- A. sei zu verpflichten, der N. GmbH einen Schadenersatz von Fr. 2'700.-- zu be- zahlen. O.

- A. sei zu bestrafen.

- A. sei zu verpflichten, O. einen Schadenersatz von Fr. 19'850.-- sowie eine Ge- nugtuung von Fr. 5'000.-- zu bezahlen. P.

- A. sei zu bestrafen. Q.

- A. sei zu bestrafen. R.

- A. sei zu bestrafen. S.

- A. sei zu bestrafen.

- 6 - SK.2020.35 Anträge der Verteidigung: I.

A. sei freizusprechen:

1. vom Vorwurf der mehrfachen unbefugten Datenbeschaffung und des Versuchs dazu gemäss Ziff. 1.1.1 und Ziff. 1.1.2 der Anklageschrift vom 17. August 2020;

2. vom Vorwurf des mehrfachen gewerbsmässigen betrügerischen Missbrauchs einer Datenverarbeitungsanlage in den Fällen 1-39, 41, 45-48, 52, 54-58 und 61 gemäss Ziff. 1.2 der Anklageschrift vom 17. August 2020;

3. vom Vorwurf der mehrfachen bandenmässigen Geldwäscherei in mittelbarer Täter- schaft gemäss Ziff. 1.3.1 der Anklageschrift vom 17. August 2020.

II.

A. sei hingegen schuldig zu erklären:

1. des mehrfachen betrügerischen Missbrauchs einer Datenverarbeitungsanlage in den Fällen 40, 42-44, 49-50, 53, 59 und 60 gemäss Ziff. 1.2 der Anklageschrift vom

17. August 2020;

2. des versuchten betrügerischen Missbrauchs einer Datenverarbeitungsanlage im Fall 51 gemäss Ziff. 1.2.1 der Anklageschrift vom 17. August 2020;

und sie sei in Anwendung der einschlägigen Gesetzesbestimmungen

zu verurteilen:

1. zu einer bedingten Freiheitsstrafe in der Höhe von 10 Monaten;

2. zur Zahlung von höchstens einem Sechstel der anfallenden Verfahrenskosten.

III.

Privatklagen seien, mit Ausnahme allfälliger Privatklagen betreffend die Fälle 40, 42-44, 49-50, 51, 53, 59 und 60, abzuweisen.

- 7 - SK.2020.35 IV.

Weiter sei zu verfügen:

1. Das Honorar des amtlichen Verteidigers sei gestützt auf die eingereichte Honorar- note gerichtlich zu bestimmen.

2. Es seien die weiteren Verfügungen von Amtes wegen zu treffen.

Prozessgeschichte: A. Gestützt auf die Verdachtsmeldung der Meldestelle für Geldwäscherei vom

11. Februar 2013 gemäss Art. 9 des Bundesgesetzes vom 10. Oktober 1997 über die Bekämpfung der Geldwäscherei und der Terrorismusfinanzierung (GwG; SR 955.0) eröffnete die Bundesanwaltschaft am 18. Februar 2013 eine Strafunter- suchung gegen Unbekannt wegen Geldwäscherei (Art. 305bis StGB) und betrüge- rischen Missbrauchs einer Datenverarbeitungsanlage (Art. 147 StGB) (BA pag. 1- 0-1; 5-3-3, -21). Es bestand der Anfangsverdacht, dass mittels «gephishter» Daten eine unrechtmässige Zahlung von einem Kundenkonto der Bank B. zugunsten der Täterschaft ausgelöst wurde. B. Mit Verfügung vom 12. Mai 2015 dehnte die Bundesanwaltschaft das Strafverfah- ren auf A. und am 23. Juni 2015 auf T. aus (BA pag. 1-0-2 f.). C. Die Bundesanwaltschaft führte vom 1. Mai 2013 bis 17. Juli 2015 geheime Über- wachungsmassnahmen (Echtzeit und rückwirkende Telefonkontrollen; Audio- und Videoüberwachungen; Observationen; Einsatz von IMSI-Catcher) durch. Im Zeit- raum vom 18. Februar 2013 bis 4. Juni 2013 ordnete sie gegenüber der Bank B. Kontensperren an. Am 6. Mai 2013 verlangte die Bundesanwaltschaft von der Bank B. die Phishing-Daten heraus und ersuchte um Informationen über das tech- nische Vorgehen der Täterschaft. Sodann fanden am 22. Juni 2015 bzw. 1. Juli 2015 am Domizil bzw. am Arbeitsplatz von A. Durchsuchungen statt, wobei even- tuell beweisrelevante Gegenstände von der Bundesanwaltschaft sichergestellt wurden. Am 23. September 2015 verlangte die Bundesanwaltschaft von der da- maligen Arbeitgeberin der Beschuldigten die Arbeitszeitpläne heraus (BA pag. 7- 1-1-1 ff.; 7-1-4-1 f.; 7-4-0-1 f.; 8-2-6, -8; 8-2-16, -20; 9-1-11 ff., 9-24-22). D. A. wurde am 22. Juni 2015 in Basel verhaftet und befand sich bis zum 13. Novem- ber 2015 in Untersuchungshaft (BA pag. 6-1-0-1; 6-1-0-77). Mit ihr zusammen wurde auch T. verhaftet. Er wurde mit Strafbefehl der Bundesanwaltschaft vom

- 8 - SK.2020.35

17. September 2015 wegen versuchter Mittäterschaft im Rahmen eines betrügeri- schen Missbrauchs einer Datenverarbeitungsanlage (Art. 147 Abs. 1 StGB i.V.m. Art. 22 Abs. 1 StGB) sowie versuchter Geldwäscherei (Art. 305bis Ziff. 1 i.V.m. Art. 22 Abs. 1 StGB) zu einer Freiheitsstrafe von 6 Monaten verurteilt, bedingt voll- ziehbar mit einer Probezeit von zwei Jahren (BA pag. 3-0-1, -3). Der Strafbefehl ist in Rechtskraft erwachsen. E. Mit Verfügung vom 5. Juli 2018 dehnte die Bundesanwaltschaft die Strafverfolgung gegen Unbekannt und A. sachlich auf die Straftatbestände der unbefugten Daten- beschaffung (Art. 143 Abs. 1 StGB) sowie des gewerbsmässigen betrügerischen Missbrauchs einer Datenverarbeitungsanlage (Art. 147 Abs. 2 StGB) aus (BA pag. 1-0-4). F. Am 14. Juni 2019 trennte die Bundesanwaltschaft die Strafuntersuchung gegen Unbekannt vom Verfahren gegen A. ab und sistierte das entsprechende Verfahren (BA pag. 1-0-5). G. Am 17. August 2020 erhob die Bundesanwaltschaft beim hiesigen Gericht Anklage gegen A. wegen mehrfacher unbefugter Datenbeschaffung und Versuchs dazu (Art. 143 Abs. 1 StGB; Art. 143 Abs. 1 i.V.m. Art. 22 Abs. 1 StGB), mehrfachen gewerbsmässigen betrügerischen Missbrauchs einer Datenverarbeitungsanlage (Art. 147 Abs. 1 und 2 StGB) und mehrfacher bandenmässiger Geldwäscherei (Art. 305bis Ziff. 1 und 2 lit. b StGB). H. Mit Verfügung des Vorsitzenden vom 7. September 2020 wurde die Privatkläger- schaft eingeladen anhand eines beigelegten Formulars im Sinne von Art. 120 Abs. 1 StPO schriftlich mitzuteilen, ob sie an den ihnen zustehenden Rechten als Partei sowie ihren Schadenersatz- und/oder Genugtuungsforderungen festhalten oder darauf verzichten. In der Folge zogen fünf Privatkläger ihre Straf- und Zivil- klage zurück (TPF pag. 19.400.001 f.; 19.554.001; 19.558.001, 19.565.003, 15.571.002, 15.573.002). I. Mit prozessleitender Verfügung vom 7. September 2020 forderte der Vorsitzende die Bank B. und das Finanzinstitut C. auf, anhand einer tabellarischen Aufstellung mitzuteilen, welche Forderungen der Privatklägerschaft allenfalls bereits durch die Finanzinstitute gedeckt worden seien. Die Bank B. sowie das Finanzinstitut C. teil- ten mit Schreiben vom 18. September 2020 mit, bei welchen Privatklägern sie den durch das Phishing entstandenen Schaden aus Kulanzgründen aufgrund von Ent- schädigungsvereinbarungen (teilweise) entschädigt haben. Mit Eingabe vom

23. November 2020 teilte die Bank B. aufforderungsgemäss dem Gericht mit, wel- che Geldüberweisungen nach den inkriminierten Taten vor Belastung der Konten der Privatkläger gestoppt werden konnten (TPF pag. 19.400.001 f.; 19.551.001 f.; 19.551.027 f.; 19.552.005).

- 9 - SK.2020.35 J. Im Rahmen der Prozessvorbereitung holte das Bundesstrafgericht von Amtes we- gen die erforderlichen Beweismittel zu den persönlichen und finanziellen Verhält- nissen der Beschuldigten ein (Auszug aus dem Schweizerischen Strafregister vom

8. Januar 2021; Betreibungsregisterauszug des Betreibungsamtes Basel-Stadt vom 8. Januar 2021; Steuerunterlagen der Steuerverwaltung des Kantons Basel- Stadt 2019 [TPF pag. 19.231.1.002; 19.231.2.004 ff.; 19.231.3.002]). K. Die Hauptverhandlung fand am 21. Januar 2021 in Anwesenheit der Anklägerin sowie der Beschuldigten und ihrem Verteidiger am Sitz des Bundesstrafgerichts statt. Das Urteil der Strafkammer wurde am 22. Januar 2021 in Anwesenheit der erwähnten Parteien eröffnet und mündlich begründet (TPF pag. 19.720.001, -010; 19.940.003, -007). L. Am 1. Februar 2021 meldete die Beschuldigte fristgerecht Berufung gegen das Urteil an (Art. 399 Abs. 1 i.V.m. Art. 398 Abs. 1 StPO).

Die Strafkammer erwägt: 1. Prozessuales 1.1 Schweizerische Gerichtsbarkeit 1.1.1 Gemäss Territorialitätsprinzip ist der schweizerischen Strafhoheit unterworfen, wer in der Schweiz ein Verbrechen oder Vergehen verübt. Art. 3 StGB regelt den räumlichen Geltungsbereich des schweizerischen Strafgesetzes und bestimmt damit die Reichweite der nationalen Strafgewalt (BGE 128 IV 145 E. 2d). Was als inländische Tatverübung gilt, folgt aus Art. 8 StGB. Nach dessen Abs. 1 gilt ein Verbrechen oder Vergehen sowohl am Begehungs- als auch am Erfolgsort als begangen. 1.1.2 Gemäss Anklagevorwurf soll die Beschuldigte in zwei Fällen aus den Niederlan- den aus mittels Telefonanrufen die E-Banking-Zugangsdaten (PIN-Codes) von Personen in der Schweiz beschafft haben (TPF pag. 19.100.009). Mit den «ge- phishten» Daten seien von deren Konten bei der Bank B. bzw. des Finanzinsti- tuts C. mit Sitz in der Schweiz unrechtmässig Gelder auf Konten von sog. Finanz- agenten («Money-Mules») überwiesen worden. Da ein mutmasslicher Deliktser- folg in der Schweiz eingetreten ist, liegt ein örtlicher Anknüpfungspunkt in der Schweiz vor. Die schweizerische Gerichtsbarkeit ist demnach gegeben.

- 10 - SK.2020.35 1.2 Bundesgerichtsbarkeit 1.2.1 Das Gericht prüft seine Zuständigkeit von Amtes wegen. Mit Verfügung vom

18. Februar 2013 eröffnete die Bundesanwaltschaft eine Strafuntersuchung ge- gen Unbekannt wegen Geldwäscherei (Art. 305bis StGB) und betrügerischen Missbrauchs einer Datenverarbeitungsanlage (Art. 147 StGB) (BA pag. 1-0-1). Es bestand der Verdacht, dass eine international agierende Gruppierung, – de- ren Drahtzieher sich vorwiegend in den Niederlanden aufgehalten habe – mittels «gephishter» Daten unrechtmässig Zahlungen von Kundenkonten der Bank B. zu ihren Gunsten ausgelöst habe. Die Hintermänner sollen teilweise auf nieder- ländischem, schweizerischem und deutschem Territorium agiert haben. Im vorliegenden Phishing-Komplex gelangten einige kantonale Staatsanwalt- schaften mit Gerichtsstandsanfragen (Art. 39 StPO) an die Bundesanwaltschaft (BA pag. 2-0-1/-7/-10/-83). Die Bundesanwaltschaft übernahm zwecks Verfol- gung der Hintermänner diejenigen kantonalen Verfahren, welche einen internati- onalen Konnex aufwiesen (BA pag. 2-0-8; 2-0-79). 1.2.2 Gemäss Rechtsprechung der Beschwerdekammer des Bundesstrafgerichts sind die kantonalen Strafverfolgungsbehörden für die Verfolgung und Beurteilung der in der Schweiz handelnden sog. Finanzmanager («Money-Mules») zuständig, während für die Verfolgung der Hintermänner der Phishing-Fälle, welche über- wiegend aus dem Ausland operieren, Bundeszuständigkeit gegeben ist (Be- schluss der Beschwerdekammer BG.2011.27 vom 12. Oktober 2011 E. 2.3 und 2.5). Vorliegend begründete die Verdachtslage bei Eröffnung der Strafuntersu- chung die Bundeszuständigkeit. Die Bundesgerichtsbarkeit für die Beurteilung der Anklage ist somit gegeben. Im Übrigen darf die Strafkammer des Bundes- strafgerichts ihre Zuständigkeit nach Anklageerhebung nur aus besonders trifti- gen Gründen verneinen (BGE 133 IV 235 E. 7.1). Solche wurden vorliegend we- der geltend gemacht noch sind sie ersichtlich. 1.2.3 Die Kompetenz des Kollegialgerichts der Strafkammer des Bundesstrafgerichts ergibt sich aus Art. 19 Abs. 2 StPO e contrario i.V.m. Art. 36 Abs. 1 und 2 des Bundesgesetzes vom 19. März 2010 über die Organisation der Strafbehörden des Bundes (StBOG; SR 173.71). 1.3 Anwendbares Recht 1.3.1 Gemäss Art. 2 Abs. 1 StGB wird nach geltendem Recht beurteilt, wer nach des- sen Inkrafttreten eine Straftat begangen hat. Massgebend ist der Zeitpunkt der Vornahme der tatbestandsmässigen Handlung (POPP/BERKEMEIER, Basler Kom- mentar, 4. Aufl. 2019, Art. 2 StGB N. 5). Als Ausnahme bestimmt Art. 2 Abs. 2 StGB, dass eine Tat, die vor Inkrafttreten des Gesetzes begangen wurde, nach

- 11 - SK.2020.35 dem neuen Recht zu beurteilen ist, wenn dieses für den Täter milder ist (lex mitior). 1.3.2 Der Beschuldigten wird vorgeworfen, sich zwischen dem 2. November 2012 und

19. Juni 2015 der mehrfachen unbefugten Datenbeschaffung und des Versuchs dazu (Art. 143 Abs. 1 StGB; Art. 143 Abs. 1 i.V.m. Art. 22 Abs. 1 StGB) sowie des mehrfachen gewerbsmässigen betrügerischen Missbrauchs einer Datenver- arbeitungsanlage (Art. 147 Abs. 1 und 2 StGB) schuldig gemacht zu haben. Aus- serdem habe sie sich vom 25. März 2015 bis 30. März 2015, vom 26. März 2015 bis 1. April 2015 und vom 18. Juni 2015 bis 22. Juni 2015 der mehrfachen ban- denmässigen Geldwäscherei (Art. 305bis Ziff. 1 und 2 lit. b StGB) schuldig ge- macht. 1.3.3 Die im Tatzeitpunkt geltenden Straftatbestände gemäss Art. 143 Abs. 1 StGB und Art. 147 Abs. 1 und 2 StGB entsprechen – abgesehen von den mit der Re- vision des Sanktionenrechts, in Kraft seit 1. Januar 2018, einhergehenden Ände- rungen (Revision vom 19. Juni 2015; AS 2016 1249) – dem Recht im Urteilszeit- punkt. Dasselbe gilt – mit Ausnahme der vorliegend nicht interessierenden Er- gänzung um das Herrühren von Vermögenswerten aus qualifizierten Steuerver- gehen (eingeführt mit dem Bundesgesetz vom 12. Dezember 2014 zur Umset- zung der 2012 revidierten Empfehlungen der Groupe d’action financière, in Kraft seit 1. Januar 2016, AS 2015 1389) – für den Straftatbestand von Art. 305bis Ziff. 1 und Ziff. 2 lit. b StGB. Anzuwenden ist somit das im Tatzeitpunkt geltende Recht (Art. 2 Abs. 1 StGB). Auf intertemporalrechtliche Fragen, die sich angesichts der erwähnten Revision des Sanktionenrechts stellen, wird an entsprechender Stelle eingegangen (E. 6.1.1). 1.4 Würdigungsvorbehalt 1.4.1 Will das Gericht den Sachverhalt rechtlich anders würdigen als die Staatsanwalt- schaft in der Anklageschrift, so eröffnet es dies den anwesenden Parteien und gibt ihnen Gelegenheit zur Stellungnahme (Art. 344 StPO). Ein solcher Würdi- gungsvorbehalt will sicherstellen, dass das Gericht nicht eine rechtliche Würdi- gung des Sachverhalts vornimmt, zu der die Beschuldigte nicht hat Stellung neh- men können. 1.4.2 Der Vorsitzende behielt sich mit Schreiben an die Parteien vom 11. Januar 2021 gemäss Art. 344 StPO vor, den unter dem Tatbestand der mehrfachen versuch- ten unbefugten Datenbeschaffung gemäss Art. 143 Abs. 1 i.V.m. Art. 22 Abs. 1 StGB dargestellten Sachverhalt (Anklagepunkt 1.1.2 [S. 11 ff. der Anklage- schrift]) auch unter dem Tatbestand des versuchten betrügerischen Missbrauchs einer Datenverarbeitungsanlage gemäss Art. 147 Abs. 1 i.V.m. Art. 22 Abs. 1

- 12 - SK.2020.35 StGB zu würdigen. Der Würdigungsvorbehalt hatte keine wesentliche Neuaus- richtung der Verteidigung zur Folge. Der Vorsitzende gab den Parteien Gelegen- heit, sich dazu im Rahmen ihrer Parteivorträge zu äussern, so dass die Partei- rechte umfassend gewahrt wurden (TPF pag. 19.720.004). 2. Zum Modus Operandi und zur Aufgabenteilung bei den Vishing-Fällen Der Begriff «Vishing» steht vorliegend für Voice-Phishing und bezeichnet die or- ganisierte Datenbeschaffung via Telefon. Nachfolgend wird der Einfachheit hal- ber Phishing synonym für Phishing/Vishing verwendet. Der gesamte Ablauf der Phishing-Attacken erfolgte innerhalb einer international organisierten Gruppie- rung in strenger Aufgabenteilung. Im Rahmen der Angriffsvorbereitung für die Voice-Phishing-Attacken sammelten die sog. «Techniker» (IT-Spezialisten) die E-Mail-Adressen der Bankkunden aus dem Internet, an welche sie später die eigentlichen Phishing-Mails versandten. Der getäuschte Bankkunde klickte dann im Phishing-Mail den vermeintlichen Link seiner Bank an und gab auf der ge- fälschten Phishing-Webseite die verlangten Bankkundendaten ein. Sodann er- folgte in einem zweiten Schritt die Voice-Phishing Kontaktaufnahme durch die «Telefonistinnen» bzw. die «Call-Agentinnen», welche sich als Mitarbeiterinnen des entsprechenden Geldinstituts ausgaben. Sie verwickelten die Gesprächs- partner in Diskussionen um die Sicherheit im E-Banking und brachten sie dazu, vertrauliche Daten, insbesondere den Sicherheitscode, zu übermitteln. Die «Te- lefonistinnen» waren für die Phishing-Fälle unentbehrlich: Nur sie beherrschten die Muttersprache der Opfer und waren so in der Lage, das Vertrauen der ge- täuschten Bankkunden zu gewinnen und deren E-Banking-Zugangsdaten zu er- fragen. Ohne ihren Tatbeitrag wären die Phishing-Fälle nicht möglich gewesen. Mit den Informationen der «Telefonistinnen» loggten sich die weiteren «Mittäter» simultan, d.h. noch während des Telefonats, in den echten E-Mail Banking-Ac- count des Opfers ein und lösten die entsprechenden Onlinetransaktionen auf das Konto der «Money-Mules» aus. Um zu verhindern, dass der Bankkunde den in Auftrag gegebenen Transfer vor der tatsächlichen Überweisung bemerkte, wurde er telefonisch angewiesen, sich in den nächsten 24 Stunden nicht in sein E-Ban- king-Account einzuloggen, damit das angebliche Sicherheitsupdate abgeschlos- sen werden könne. Sodann stellten die «Money-Mules» der Täterschaft ihr Bank- konto zur Verfügung, um die illegalen Transaktionen zu ermöglichen. Sie wurden von der Täterschaft kurz vor der geplanten Transaktion informiert, dass ein be- stimmter Betrag auf ihr Konto überwiesen wird. Gegen eine Provision von 10 bis 15% leiteten die «Money-Mules» das Geld auf ein von der Täterschaft genanntes Konto weiter oder übergaben es in bar einem für die Täterschaft tätigen «Geld- kurier». Die sog. «Organisatoren» koordinierten die Phishing-Scripts, die Rekru-

- 13 - SK.2020.35 tierung und Betreuung der «Telefonistinnen», das Einkassieren und den Trans- port des inkriminierten Geldes durch die Kuriere sowie die Anwerbung von «Mo- ney-Mules». Es handelte sich um die sog. Hintermänner. Aus parallelen Ermitt- lungsverfahren in Deutschland, den Niederlanden und Belgien ist bekannt, dass die Täterschaft auf dieser Stufe vorwiegend nigerianischer Herkunft war (BA pag. 10-2-98, -101; 10-2-107). 3. Mehrfache unbefugte Datenbeschaffung und Versuch dazu (Art. 143 Abs. 1 StGB; Art. 143 Abs. 1 i.V.m. Art. 22 Abs. 1 StGB) 3.1 Anklagevorwurf 3.1.1 Die Bundesanwaltschaft wirft der Beschuldigten vor, sie habe zwischen dem

2. November 2012 und 19. Juni 2015 als «Call-Agentin» einer international akti- ven Tätergruppierung die vertraulichen elektronischen E-Banking-Zugangsdaten (PIN-Codes) von mindestens 57 Personen beschafft, um sich und ihre Mittäter unrechtmässig zu bereichern. Die Tätergruppierung um die Beschuldigte habe zuvor die E-Mail-Adressen der Bankkunden (geschädigten Personen) im Internet gesammelt und diese mit Phishing-E-Mails angeschrieben. Diese E-Mails seien hinsichtlich Gestaltung, Farbgebung und Inhalt den E-Mails der Bank B. oder des Finanzinstituts C. nachgeahmt gewesen. Den angeschriebenen Bankkunden sei vorgetäuscht worden, sie seien von der jeweiligen Bank im Hinblick auf ein E-Banking-Update verfasst worden. Die getäuschten Bankkunden hätten einen in den Phishing-E-Mails enthaltenen Link angeklickt, womit sie auf eine von der Tätergruppierung um die Beschuldigte zuvor installierte Phishing-Webseite um- geleitet worden seien. Die Bankkunden hätten auf der Phishing-Webseite ihre Telefonnummer sowie gewisse Bankkundendaten (Name, Geburtsdatum, Ad- resse, Kontonummer) eingegeben, welche automatisch an eine auf der Phishing- Webseite hinterlegte E-Mail-Adresse der Tätergruppierung um die Beschuldigte gesandt worden sei. Sodann habe die Beschuldigte zur telefonischen Kontakt- aufnahme mit den Bankkunden die «gephishten» Telefonnummern verwendet. Sie habe sich am Telefon gegenüber den Bankkunden als Bankangestellte «Frau Meier» der jeweiligen Bank ausgegeben und bezugnehmend auf die zuvor be- schriebenen Phishing-E-Mails vorgegeben, das angekündigte E-Banking-Update durchzuführen. Die Beschuldigte habe die Bankkunden am Telefon unter Ver- wendung der zuvor «gephishten» Bankkundendaten und mittels Social Enginee- ring (zwischenmenschlicher Manipulation) dazu gebracht, ihre geheimen E-Ban- king-Zugangsdaten (PIN-Code) zu den jeweiligen Bankkonten mitzuteilen. Sie habe auf diese Weise Kenntnis zu geschützten Daten erhalten, welche sie für ihre Zwecke bzw. zum gewerbsmässigen betrügerischen Missbrauch einer Da- tenverarbeitungsanlage habe verwenden können. Die E-Banking-Zugangsdaten

- 14 - SK.2020.35 seien nicht für die Beschuldigte bestimmt gewesen und sie sei nicht berechtigt gewesen, über diese Daten zu verfügen oder diese zu verwenden. Die Beschul- digte habe wissentlich und willentlich gehandelt. Insbesondere habe sie gewusst, dass die E-Banking-Zugangsdaten nicht für sie bestimmt und gegen ihren unbe- fugten Zugriff besonders gesichert gewesen seien. Sie habe ferner in der Absicht gehandelt, sich und ihre Mittäter sowie die «Money-Mules» unrechtmässig zu bereichern. Der Beschuldigten werden konkret die folgenden Phishing-Fälle zum Vorwurf ge- macht: (Auflistung gemäss Anklage)

Fall (pag.) Tatzeit Tatort (Tätertelefon) Geschädigte Person (Telefonnummer) Bank (Konto) Delikt- summe (Mule- Konto) 58

(10-02- 0195) 02.11.2012

(11:48 h) Stadt Basel: […]

Tel.nr. 1 „AA.“ [Sicherheitsdienst Bank B.]

Tel. […] Bank B.

[…] CHF 19'500.00

[…] 1

(B10- 02-01- 0001) 22.11.2012

(09:51 h) Hotel in Baden-Würt- temberg oder an- derswo in der Umge- bung von Basel D. AG

Bank B.

[…] CHF 37'000.00

[…] 59

(10-02- 0197) 22.11.2012

(10:56 h) „BB.“ [Sicherheitsdienst Bank B.]

Tel. […] Bank B.

[…] CHF 14'000.00

[…] 2

(B10- 02-01- 0005) 22.11.2012

(18:00 h) CC.

Tel. […] Bank B.

[…] CHF 21'000.00

[…] 60

(10-02- 0199) 06.12.2012

(15:49 h) Umgebung von Basel „DD.“ [Sicherheitsdienst Bank B.]

Tel. […] Bank B.

[…] CHF 12'700.00

[…] 61

(10-02- 0201) 18.12.2012

(09:37 h) Hotel EE. oder an- derswo in der Umge- bung von Basel „FF.“ [Sicherheitsdienst Bank B.]

Tel. […] Bank B.

[…] CHF 11'500.00

[…] 3

(B10- 02-01- 0025) 18.12.2012

(11:51 h) Hotel EE. oder an- derswo in der Umge- bung von Basel GG.

Bank B.

[…] CHF 24'000.00

[…] 4

(B10- 02-01- 0029) 18.12.2012

(13:05 h) HH.

Bank B.

[…] CHF 75'000.00

[…] 18.12.2012

(13:15 h) CHF 61'000.00

[…] 5

(B10- 02-01- 0034) 18.12.2012

(14:15 h) II.

Tel. […] Bank B.

[…] CHF 46'000.00

[…] 6

(B10- 02-01- 0057) 18.12.2012

(11:27 h) JJ.

Tel. […] Bank B.

[…] CHF 18'000.00

[…] 7

(B10- 02-01- 0064) 19.12.2012

(10:47 h) KK.

Tel. […] Bank B.

[…] CHF 8'500.00

[…]

- 15 - SK.2020.35 Fall (pag.) Tatzeit Tatort (Tätertelefon) Geschädigte Person (Telefonnummer) Bank (Konto) Delikt- summe (Mule- Konto) 8

(B10- 02-01- 0085) 27.12.2012

(09:23 h) Umgebung von Basel LL.

Tel. […] Bank B.

[…] CHF 15'500.00

[…] MM.

Bank B.

[…] CHF 3'800.00

Überwei- sung auf Konto von LL. 9

(B10- 02-01- 0122) 09.01.2013

(12:09 h) Stadt Basel: […]

Tel.nr. 2 NN.

Tel. […] Bank B.

[…] CHF 12'500.00

[…] 10

(B10- 02-01- 0126) 15.01.2013

(08:27 h) OO.

Tel. […] Bank B.

[…] CHF 45'000.00

[…] 11

(B10- 02-01- 0130) 16.01.2013

(09:58 h) Stadt Basel: […]

Tel.nr. 2 E.

Tel. […] Bank B.

[…] CHF 17'200.00

[…] 12

(B10- 02-01- 0148) 16.01.2013

(10:17 h) F.

Tel. […] Bank B.

[…] CHF 15'100.00

[…] 13

(B10- 02-01- 0157) 16.01.2013

(11:21 h) Genossenschaft PP.

Tel. […] Bank B.

[…] CHF 58'000.00

[…] 14

(B10- 02-01- 0161) 16.01.2013

(08:55 h) G.

Tel. […] Bank B.

[…] CHF 36'000.00

[…] 15

(B10- 02-01- 0176) 16.01.2013

(13:18 h) Stiftung QQ.

Tel. […] Bank B.

[…] CHF 68'000.00

[…] 16

(B10- 02-01- 0194) 16.01.2013

(15:08 h) RR.

Tel. […] Bank B.

[…] CHF 13'000.00

[…] 17

(B10- 02-01- 0198) 16.01.2013

(15:35 h) TT.

Tel. […] Bank B.

[…] CHF 52'000.00

[…] 18

(B10- 02-01- 0219) 16.01.2013

(17:09 h) AAA.

Tel. […] Bank B.

[…] CHF 17'300.00

[…] 19

(B10- 02-01- 0241) Phishing 16.01.2013 (09:25 h) BBB. †

Tel. […] Bank B.

[…] CHF 17'500.00

[…] E-Banking 23.01.2013 (15:34 h) Umgebung von Basel oder anderswo 20

(B10- 02-01- 0246)

1. Phishing 16.01.2013 (12:07 h) Stadt Basel: […]

Tel.nr. 2 I.

Tel. […] Bank B.

[…]

- 16 - SK.2020.35 Fall (pag.) Tatzeit Tatort (Tätertelefon) Geschädigte Person (Telefonnummer) Bank (Konto) Delikt- summe (Mule- Konto) 20

(B10- 02-01- 0246)

2. Phishing E-Banking 31.01.2013 (17:12 h) Umgebung von Ba- sel: Hotel CCC. in Baden-Württemberg oder anderswo in der Nähe der […]strasse

Tel.nr. 3 I.

Tel. […] Bank B.

[…] CHF 11'300.00

[…] 21

(B10- 02-01- 0260) Phishing 05.02.2013 (12:10 h) Hotel DDD. in Z. (BL) oder anderswo in der Nähe von Z. (BL), Y. (BL) oder X. (BL)

Tel.nr. 3 EEE.

Tel. […] Bank B.

[…] CHF 12'000.00

[…] E-Banking 12.02.2013 (10:23 h) Umgebung von Basel oder anderswo 22

(B10- 02-01- 0264) 12.02.2013

(11:43 h) J.

Tel. […] Bank B.

[…] CHF 11'000.00

[…] CHF 12'000.00

[…] 23

(B10- 02-01- 0274) 13.02.2013

(11:31 h) K.

Bank B.

[…] CHF 10'200.00

[…] 24

(B10- 02-01- 0291) 13.02.2013

(12:18 h) L.

Tel. […] Bank B.

[…] CHF 36'000.00

[…] 25

(B10- 02-01- 0299) 13.02.2013

(14:58 h) FFF. Bank B.

[…] CHF 16'200.00

(DE31 7002 0270 0015 0610 64) 26

(B10- 02-01- 0303) 27.02.2013

(09:41 h) Stadt Basel: […]

Tel.nr. 2 M.

Tel. […] Bank B.

[…] CHF 14'000.00

[…] 27

(B10- 02-01- 0307) 25.06.2013

(15:05 h) Stadt Basel: Hotel GGG.l oder anderswo in der Nähe der […]strasse

Tel.nr. 4 HHH.

Tel. […] Bank B.

[…] CHF 32'500.00

[…] 28

(B10- 02-01- 0312) 28.08.2013

(09:56 h) Stadt Basel: Hotel GGG. oder an- derswo in der Nähe der […]strasse

Tel.nr. 5 N. GmbH

Tel. […] Bank B.

[…] CHF 5'300.00

[…] 29

(B10- 02-02- 0001) 28.08.2013

(10:33 h) O.

Tel. […] Bank B.

[…] CHF 39'700.00

[…] 30

(B10- 02-02- 0009) 28.08.2013

(10:33 h) III. Bank B.

[…] CHF 25'000.00

Überwei- sung auf Konto von O. 31

(B10- 02-02- 0017) 28.08.2013

(12:02 h) JJJ.

Tel. […] Bank B.

[…] CHF 18'300.00

[…]

- 17 - SK.2020.35 Fall (pag.) Tatzeit Tatort (Tätertelefon) Geschädigte Person (Telefonnummer) Bank (Konto) Delikt- summe (Mule- Konto) 32

(B10- 02-02- 0021) 29.08.2013

(09:21 h) Stadt Basel: Hotel GGG. oder an- derswo in der Nähe der […]strasse

Tel.nr. 6 KKK.

Tel. […] Bank B.

[…] CHF 3'700.00

[…] 33

(B10- 02-02- 0030) 04.09.2013

(10:45 h) Stadt Basel: Hotel LLL. oder an- derswo in der Nähe der […]strasse

Tel.nr. 6 P.

Tel. […] Bank B.

[…] CHF 28'200.00

[…] 34

(B10- 02-02- 0039) 10.03.2015

(13:06 h) Hotel MMM. in Basel oder Hotel DDD in Z. (BL) oder an- derswo in der Umge- bung von Basel

Tel.nr. 7] NNN. Finanzinstitut C.

[…] CHF 251'002.0 0

[…] 35

(B10- 02-02- 0051) 10.03.2015

(14:21 h) OOO. Finanzinstitut C.

[…] CHF 8'124.00

[…] 36

(B10- 02-02- 0054) 10.03.2015

(17:23 h) PPP. Finanzinstitut C.

[…] CHF 10'900.00

[…] CHF 12'456.80

[…] 37

(B10- 02-02- 0061) 11.03.2015

(13:10 h) Q.

Finanzinstitut C.

[…] CHF 7'020.65

[…] 38

(B10- 02-02- 0083) 12.03.2015

(14:00 h) Hotel MMM. in Basel oder Hotel DDD. in Z. (BL) oder an- derswo in der Umge- bung von Basel

Tel.nr. 7 QQQ. AG,

Finanzinstitut C.

[…] CHF 8'500.00

[…] 39

(B10- 02-02- 0086) 12.03.2015

(15:39 h) R.

Finanzinstitut C.

[…] CHF 7'300.00

[…] 40

(B10- 02-02- 0093) 24.03.2015

(11:18 h) Stadt Basel: Hotel RRR. oder Ho- tel LLL. oder an- derswo SSS.

Tel. […] Finanzinstitut C.

[…] CHF 23'100.00

[…] 41

(B10- 02-02- 0129) 24.03.2015

(12:26 h) Stadt Basel: Hotel RRR. oder Ho- tel LLL. oder an- derswo AAAA. & BBBB.

Finanzinstitut C.

[…] CHF 11'820.33

[…] 42

(B10- 02-02- 0132) 25.03.2015

(13:19 h)

Stadt Basel: Hotel RRR. oder Ho- tel LLL. oder an- derswo in der Nähe der […]strasse

Tel.nr. 8 S.

Tel. […] Bank B.

[…] CHF 17'500.00

[…] 43

(B10- 02-02- 0144 25.03.2015

(15:08 h) TTT. Finanzinstitut C.

[…] CHF 15'000.00

[…] Finanzinstitut C.

[…] CHF 3'900.00

[…] 44

(B10- 02-02- 0147) 30.03.2015

(15:22 h) Stadt Basel: […]strasse oder an- derswo in der Nähe der […]strasse

Tel.nr. 8 CCCC. AG

Tel. […] Finanzinstitut C.

[…] CHF 2'982.91

[…]

- 18 - SK.2020.35 Fall (pag.) Tatzeit Tatort (Tätertelefon) Geschädigte Person (Telefonnummer) Bank (Konto) Delikt- summe (Mule- Konto) 45

(B10- 02-02- 0150) 14.04.2015

(09:18 h) Stadt Basel: Hotel DDDD. oder anderswo in der Nähe der […]strasse

Tel.nr. 9 EEEE. AG Finanzinstitut C.

[…] CHF 20'852.15

[…] 46

(B10- 02-02- 0153) 16.04.2015

(17:16 h) FFFF.

Tel. […] Finanzinstitut C.

[…] CHF 1'076.73

[…] 47

(B10- 02-02- 0160) 16.04.2015

(12:12 h) GGGG.

Tel. […] Finanzinstitut C.

[…] CHF 2'000.00

[…] 48

(B10- 02-02- 0163) 16.04.2015

(14:52 h) Stadt Basel: Hotel DDDD. oder anderswo in der Nähe der […]strasse

Tel.nr. 9 HHHH. Finanzinstitut C.

[…] CHF 10'800.00

[…] 49

(B10- 02-02- 0166) 26.05.2015

(10:48 h) Stadt Basel: Hotel MMM. oder anderswo in der Nähe der […]strasse

Tel.nr. 10 IIII. SA

Finanzinstitut C.

[…] CHF 49'500.00

[…] 51

(B10- 02-02- 0179)

1. Phishing 28.05.2015 (14:08 h) Hotel RRR. in Basel

Tel.nr. 10 JJJJ.

Tel. […] Finanzinstitut C.

[…] CHF 9'200.00

[…]

2. Phishing 01.06.2015 (11:23 h)

[…]strasse in Y. (BL)

Tel.nr. 10 E-Banking 01.06.2015 (14:18 h) 50

(B10- 02-02- 0172) Phishing E-Banking 01.06.2015

(11:46 h) […]strasse in Y. (BL)

Tel.nr. 10 KKKK.

Tel. […] Finanzinstitut C.

[…] CHF 3'002.65

[…] E-Banking (13:25 h) CHF 7'530.00

[…] 52

(B10- 02-02- 0186) 16.06.2015

(15:33 h) Amsterdam oder Umgebung LLLL. Finanzinstitut C.

[…] CHF 49'500.00 53

(B10- 02-02- 0194) 19.06.2015

(13:22 h) MMMM. AG MMMMM. Bank B.

[…] CHF 87'000.00

[…] 3.1.2 Weiter wird der Beschuldigten vorgeworfen, sie habe zwischen dem 30. März 2015 und 27. Mai 2015 bei vier Bankkunden versucht die E-Banking-Zugangs- daten (PIN-Code) zu beschaffen, indem sie die Bankkunden angerufen habe. Es sei allerdings zu keinem Telefongespräch (Phishing-Gespräch) mit den Bankkun- den gekommen. Sie habe sich und ihre Mittäter mit den «gephishten» E-Banking- Zugangsdaten unrechtmässig bereichern wollen. Der Beschuldigten werden konkret die folgenden Fälle vorgeworfen:

- 19 - SK.2020.35 Fall (pag.) Tatzeit Tatort (Tätertelefon) Geschädigte Person (Telefonnummer) Bank (Konto) Deliktsumme (Mule-Konto) 54

(B10- 02-02- 0197) 30.03.2015

(17:20 h) Stadt Basel: […]strasse oder an- derswo in der Nähe der […]strasse

Tel.nr. 8 NNNN.

Tel. […] - - 55

(B10- 02-02- 0199) 30.03.2015

(17:02 h) SSS.

Tel. […] Finanzinstitut C.

(-) - 56

(B10- 02-02- 0201) 27.05.2015

(13:48 h) Stadt Basel: Hotel RRR. oder anderswo in der Nähe der […]strasse

Tel.nr. 10 OOOO.

Tel. […] Finanzinstitut C.

(-) - 57

(B10- 02-02- 0203) 27.05.2015

(11:57 h, 13:51 h, 14:55 h, 16:47 h, 18:27 h) PPPP.

Tel. […] Finanzinstitut C.

(-) - 28.05.2015 (09:53 h, 13:57 h) 3.2 Tatsächliches 3.2.1 In tatsächlicher Hinsicht ist aufgrund der Akten erstellt und im Wesentlichen un- bestritten, dass die Gruppierung um die Beschuldigte mittels Phishing-E-Mails Bankkunden getäuscht und dazu gebracht hat, einen Link anzuklicken, der sie auf vermeintliche Webseiten ihrer Bank geleitet hat. Die Bankkunden haben in der Folge ihre Telefonnummer sowie Bankkundendaten (Namen, Geburtsdatum, Adresse, Kontonummer) in das Formular dieser Phishing-Webseite eingegeben, wodurch diese automatisch auf ein E-Mailaccount der Tätergruppe um die Be- schuldigte transferiert wurden (BA pag. 10-2-98, -100; 5-1-3 ff.; B10-2-1-1 ff.; B10-2-2-1 ff.). 3.2.2 In Bezug auf 9 Personen in 10 Fällen (Fälle 40, 42-44, 49, 50 [2 E-Bankings], 53, 59 und 60) hat die Beschuldigte anerkannt, dass sie die auf die beschriebene Weise (vgl. E. 3.2.1) erlangten Telefonnummern in der Folge angewählt hat. Sie hat sich als Bankmitarbeiterin ausgegeben und vorgegeben, dafür zuständig ge- wesen zu sein, das in den E-Mails angekündigte Systemupdate durchzuführen (TPF pag. 19.721.040; 19.731.007 ff.; BA pag. 13-1-106). Dadurch hat sie die Bankkunden dazu gebracht, ihr die geheimen E-Banking Daten (PIN-Code etc.) mitzuteilen. In Bezug auf vier weitere Personen (Fälle 54-57) soll die Gruppierung um die Beschuldigte die Bankkundendaten auf dieselbe Weise beschafft haben. Sie soll in der Folge versucht haben, telefonisch die betreffenden E-Banking-Zugangs- daten zu beschaffen. Die Beschuldigte bestreitet in den Fällen 54 und 55, dass

- 20 - SK.2020.35 sie die Person gewesen sei, welche die betreffenden Kontaktaufnahmen ver- sucht habe. Die übrigen zwei Fälle bestreitet sie zwar nicht, gestand sie indes nicht ausdrücklich ein (BA pag. 13-1-136). 3.2.3 Aufgrund des Ergebnisses in rechtlicher Hinsicht (vgl. E. 3.4 f.) kann offen blei- ben, ob der Nachweis erbracht ist, dass die Beschuldigte in sämtlichen Fällen die Täterin war. 3.3 Rechtliches 3.3.1 Gemäss Art. 143 Abs. 1 StGB macht sich strafbar, wer in der Absicht, sich oder einen anderen unrechtmässig zu bereichern, sich oder einem anderen elektro- nisch oder in vergleichbarer Weise gespeicherte oder übermittelte Daten be- schafft, die nicht für ihn bestimmt und gegen seinen unbefugten Zugriff beson- ders gesichert sind. 3.3.2 Tatobjekt: Daten

a) Der Gesetzgeber hat auf eine Legaldefinition des Begriffs «Daten» verzichtet. Während die Botschaft noch davon sprach, dass Daten «Informationen über einen Sachverhalt [sind, die] maschinell ohne weiteres in eine visuell erkennbare, vor allem lesbare Form zurückgeführt werden können», geht die herrschende Lehre mittlerweile davon aus, dass unter den Daten alle Notate verstanden wer- den, die Gegenstand menschlicher Kommunikation sein können (ACKERMANN/ VOGLER/BAUMANN/EGLI, Strafrecht, Individualinteressen, 2019, S. 156; WEISSEN- BERGER, Basler Kommentar, 4. Aufl. 2019, Art. 143 StGB N. 8; DONATSCH, StGB Kommentar, Schweizerisches Strafgesetzbuch mit V-StGB-MStG und JStG,

20. Aufl. 2018, Art. 143 StGB N. 1).

b) Zudem müssen die Daten «elektronisch oder in vergleichbarer Weise [gespei- chert] sein». Als elektronisch gespeichert können an sich nur Daten gelten, die in einem elektronischen Speicher abgelegt sind. Magnetische und optische Spei- chermedien (Beispiele Harddisk, CD-ROM) sind keine solchen elektronischen Speicher. Daten die sich auf solchen Speichern befinden, können aber als «in vergleichbarer Weise» gespeichert gelten und sind somit ebenfalls von Art. 143 StGB erfasst (ACKERMANN/VOGLER/BAUMANN/EGLI, a.a.O., S. 157).

c) Ob unter den genannten Voraussetzungen Zugangsdaten bspw. zu E-Ban- king-Konti unter den Datenbegriff subsumiert werden können, ist nicht ohne Wei- teres klar. Typischerweise sind Passwörter von Phishing-Opfern gerade nicht auf einer Festplatte gespeichert, sondern «physisch» d.h. auf Schriftstücken vorhan- den und/oder von der geschädigten Person auswendig gelernt. So wird sie meist erst durch die Phishing-Mails oder ähnliches dazu gebracht, die Zugangsdaten in eine elektronische Form zu bringen und anschliessend dem Täter elektronisch

- 21 - SK.2020.35 zu übertragen (STUCKI, Die Strafbarkeit von Phishing nach StGB, Jusletter, 9. Ja- nuar 2012, Rz. 5). Gemäss STUCKI können Zugangsinformationen nicht unter den Datenbegriff subsumiert werden, da zum Zeitpunkt, indem die Täterschaft die Phishing-Mails versendet, diese eine genaue Kombination von Sicherheits- elementen von den geschädigten Personen erhalten möchte. Erst die geschä- digte Person könne diese Informationen in brauchbarer Art und Weise zur Verfü- gung stellen. Das Ziel der Täterschaft seien also nicht primär elektronisch gesi- cherte Daten (STUCKI, a.a.O., Rz. 6).

d) Gemäss herrschender Lehre fallen unter den Datenbegriff Daten, die sich in einem automatisierten Datenverarbeitungsprozess befinden (STRATENWERTH/ JENNY/BOMMER, Besonderer Teil I, 7. Aufl. 2010, § 14 N. 26). Nach einer abwei- chenden Meinung im Schrifttum sollen digital übermittelte Tonaufnahmen wie auch Live-Töne unter den Datenbegriff subsumiert werden können (WEISSENBER- GER, a.a.O., Art. 143 StGB N. 10). Indes soll dies nur unter der Voraussetzung der Fall sein, dass die betreffenden Daten auf dem Weg der automatisierten Da- tenverarbeitung verwertbar sind oder in eine sinnlich wahrnehmbare Form über- führt werden können (WEISSENBERGER, a.a.O.).

e) Die Daten dürfen weiter nicht für die Täterschaft «bestimmt» sein. Ausschlag- gebend ist dabei, ob nach dem Willen der berechtigten Person, die Daten der Täterschaft für ihre Zwecke zur Verfügung stehen sollen oder nicht (GISIN, Phishing, Kriminalistik 2008, S. 6; WEISSENBERGER, a.a.O., Art. 143 StGB N. 14). Weiter müssen die Daten gegen den Zugriff von unberechtigten besonders ge- schützt sein (etwa durch Zugangscode, Verschlüsselung). In anderen Worten wird vom Datenberechtigten verlangt, dass er im Rahmen des Zumutbaren und des in der konkreten Situation Üblichen, Massnahmen getroffen hat, um die Da- ten vor einem unerlaubten Zugriff zu schützen (DONATSCH, a.a.O., Art. 143 StGB N. 4). 3.3.3 Tathandlung: Überwindung eines Hindernisses

a) Von einem tatbestandsmässigen Beschaffen ist nach herrschender Lehre dann auszugehen, wenn die Täterschaft die Zugriffsschranken überwunden oder umgangen hat und auf die Daten zugreifen kann (WEISSENBERGER, a.a.O., Art. 143 StGB N. 23; STRATENWERTH/JENNY/BOMMER, a.a.O., § 14 N. 31). Inso- fern hängt die erforderliche Tathandlung eng mit der Notwendigkeit der Siche- rung der Daten zusammen.

b) Social Engineering Unter Social Engineering versteht man die zwischenmenschliche Beeinflussung mit dem Ziel, eine Person zu bestimmten Verhaltensweisen zu veranlassen, zum

- 22 - SK.2020.35 Beispiel zur Preisgabe von vertraulichen Informationen (REICHART, Betrugsver- suche im Zahlungsverkehr im digitalen Zeitalter, SZW/RSDA 2019, S. 392). Da- bei wird zum Beispiel die Hilfsbereitschaft und Gutgläubigkeit einer Person aus- genutzt, mit dem Ziel an Daten zu gelangen oder die Person zu bestimmten Ak- tionen zu bewegen (Bericht BKP vom Januar 2020, National Risk Assessment [NRA], Betrug und Phishing zwecks betrügerischen Missbrauchs einer Datenver- arbeitungsanlage als Vortat zur Geldwäscherei, S. 23). Ob die Täterschaft, welche mittels Social Engineering Daten erhältlich macht, einen Schutzmechanismus überwindet, ist umstritten. Gemäss WEISSENBERGER soll der Tatbestand von Art. 143 StGB auch eine Überwindung von Zugangs- schranken mittels Täuschung, Kniffe, List oder dergleichen erfassen. So sei es unerheblich, auf welche Weise eine Sicherung ausgeschaltet werde, sofern eine solche überhaupt bestehe (WEISSENBERGER, a.a.O., Art. 143 StGB N. 24). Ähn- lich argumentieren auch GERMANN und WICKI-BIRCHLER: Sofern die mittels Social Engineering erlangten Daten dazu dienen würden, im Nachgang eine technische Schranke zu überwinden, falle das Verhalten unter Art. 143 StGB (GERMANN/WI- CKI-BIRCHLER, Hacking und Hacker im Schweizer Recht, AJP 2020, S. 87; ähn- lich MÜLLER, La cybercriminalité économique au sens étroit, Analyse approfondie du droit suisse et aperçu de quelques droits étrangers, Genève 2012, S. 83). AMMANN hingegen geht davon aus, dass kein Schutzmechanismus überwunden werde, wenn die geschädigte Person freiwillig, aufgrund eines Irrtums die Daten bekannt gebe (AMMANN, Sind Phishing-Mails strafbar?, AJP 2006, S. 197). Wie auch PIETH setzt er ein informatikspezifisches Überwinden der Zugangsschran- ken voraus (AMMANN, a.a.O; PIETH, Strafrecht Besonderer Teil, 2. Aufl. 2018, S.166). 3.4 Subsumtion

a) Die Täterschaft beschaffte sich in einer ersten Vorbereitungsphase die Perso- nendaten wie Namen, Telefonnummer, Vertragsnummer, Geburtsdatum und das E-Banking Passwort bei den Bankkunden mittels Spam-E-Mails. Obschon Mittä- ter diese Daten beschafft haben, ist bei vorliegender Konstellation und auch auf- grund der Formulierung der Anklage nicht ganz klar, ob auch der Beschuldigten dieses Beschaffen der Daten vorgeworfen wird. Die Anklage bei vier Delikten wegen blossen Versuchs der Beschaffung deutet eher daraufhin, dass diese Vor- bereitungshandlungen der Mittäter der Beschuldigten nicht mitvorgeworfen wer- den. Aufgrund des Ergebnisses in rechtlicher Hinsicht kann diese Frage indessen offenbleiben, ob die Vorbereitungshandlungen mitangeklagt sind.

b) Die Eingaben der Kontonummern etc. durch die geschädigten Personen auf der Phishing-Website führten dazu, dass die betreffenden Daten (Name, Tele- fonnummer, Vertragsnummer, Geburtsdatum und E-Banking Passwort) sich in

- 23 - SK.2020.35 elektronischer Form auf dem Cache des Computers der Betroffenen und gleich- zeitig auf einem Server bzw. auf dem E-Mailaccount der Täterschaft befanden. Insoweit handelt es sich bei den eingegebenen Personen- und Kontodaten um elektronische Daten im Sinne des Tatbestands (vgl. E. 3.3.2). Anders verhält es sich indes in Bezug auf die per Telefon durch List erlangten E-Banking Zugangs- daten (Benutzername, Passwort und PIN-Code). In dieser zweiten Konstellation dem sog. Social Engineering (vgl. E. 3.3.3b) wurden die PIN-Codes mündlich in einem Telefongespräch übermittelt, sodass als Angriffsobjekt nicht die vom Tat- bestand geforderten elektronischen Daten vorliegen. Diesbezüglich mangelt es an der erforderlichen elektronischen Speicherung resp. Übermittlung der betref- fenden Daten. Obschon aufgrund der Digitalisierung die Gesprächsinhalte auf digitale Weise übermittelt wurden, fehlt es an dem nach der ratio legis vom Tat- bestand erforderlichen Datenverarbeitungsprozess (vgl. STRATENWERTH/JENNY/ BOMMER, a.a.O., § 14 N. 26). Selbst wenn man der Mindermeinung folgt, die auch digital übermittelte Live-Töne als elektronische Daten betrachtet (vgl. E. 3.3.2d), fehlt es in casu an der von dieser Doktrin diesbezüglich geforderten digitalen Transformation der Daten, damit diese als Angriffsobjekt des Tatbestands in Be- tracht kommen. Hat doch die Beschuldigte die betreffenden Daten rein akustisch durch ihren Telefonanruf bzw. im Gespräch erlangt.

c) In Bezug auf die Tatbestandsvoraussetzung der Überwindung einer besonde- ren Sicherung wurden in der ersten Konstellation die Daten durch die Betroffenen bewusst auf einem Webformular eingegeben, wobei sie irrtümlicherweise davon ausgingen, dass sie die Daten auf einem Server der Bank eingeben. Tatsächlich gaben sie die Daten indes freiwillig – im falschen Glauben sie seien auf der Web- seite ihrer Bank – in ein Formular ein, welches die Daten unmittelbar auf elektro- nische Weise auf einen Server der Täterschaft transferierte. Insofern fehlt es bei diesem Modus Operandi an dem vom Tatbestand geforderten Beschaffen von elektronisch gespeicherten Daten, die gegen den unbefugten Zugriff besonders gesichert sind. Die Informationen wurden erst zu elektronischen Daten, als sie in den Computer eingegeben wurden. Da die Geschädigten die Daten durch die Eingabe selber auf den Server der Täterschaft übertrugen, waren sie zu keinem Zeitpunkt besonders gesichert. Der Tatbestand von Art. 143 Abs. 1 StGB ist so- mit in der ersten Konstellation – sofern man diese als angeklagt betrachtet – des- halb nicht erfüllt, weil keine besondere Sicherung durch die Täterschaft überwun- den wurde. Selbst wenn man in der zweiten Konstellation die Ansicht vertreten würde auch Live-Töne am (digitalen) Telefon, die rein technisch betrachtet bei jedem Emp- fänger nur automatisiert in eine sinnlich wahrnehmbare Form übertragen wer- den – würde es sich um tatbeständliche Angriffsobjekte im Sinne von Daten han- deln –, fehlte es vorliegend an der Überwindung einer besonderen Sicherung.

- 24 - SK.2020.35 Obschon die erforderlichen Sicherungsmechanismen nicht zwingend elektro- nisch sein müssen, sondern diese auch physischer Art (z.B. physische Schran- ken wie Hardware) sein können, fällt eine quasi «intellektuelle Sicherung» im Ge- dächtnis von Geschädigten, wie sie in casu durch Täuschung überwunden wurde, nach der ratio legis nicht darunter.

d) Im Übrigen sei in Bezug auf die in unmittelbarer Folge im Hinblick auf die Durchführung des betrügerischen Missbrauchs einer Datenverarbeitungsanlage verwendeten Daten darauf hingewiesen, dass diesbezüglich ohnehin ein Fall von unechter Konkurrenz vorliegen würde. Zwischen Art. 143 und Art. 147 StGB kann zwar u.U. echte Konkurrenz vorliegen. Zum einen liegt echte Konkurrenz vor, wenn den unbefugt beschafften Daten selber ein ökonomischer Wert zukommt (vgl. FIOLKA, Basler Kommentar, 4. Aufl. 2019, Art. 147 StGB N. 47), was vorlie- gend nach dem juristisch-ökonomischen Vermögensbegriff offensichtlich nicht der Fall wäre. Zum anderen liegt echte Konkurrenz vor, wenn Daten «zeitlich und ablaufmässig abgeschichtet» zunächst von einem Computersystem entnommen werden, um sie dann in einer Datenverarbeitungsanlage i.S.v. Art. 147 StGB ein- zusetzen (vgl. FIOLKA, a.a.O., m.Hinw.). Da vorliegend die Daten unmittelbar nach der Erlangung verwendet wurden, würde es hier an der erforderlichen zeit- lichen Distanz fehlen. Nach dem Gesagten wäre in Fällen wie diesen die mehr- fach unbefugte Datenbeschaffung bereits als mitbestrafte Vortat zum betrügeri- schen Missbrauch einer Datenverarbeitungsanlage abgegolten.

e) In Bezug auf die lediglich versuchten Delikte (Fälle 54-57) wäre der Tatbestand von Art. 143 Abs. 1 i.V.m. Art. 22 Abs. 1 StGB grundsätzlich relevant, sofern die Vorgehensweise des Täters nicht bereits als versuchter betrügerischer Miss- brauch einer Datenverarbeitungsanlage zu werten wäre. Wie nachfolgend aufzu- zeigen ist, verbietet indes vorliegend der Anklagegrundsatz – trotz Würdigungs- vorbehalts – eine Verurteilung nach Art. 147 Abs. 1 i.V.m. Art. 22 Abs. 1 StGB (vgl. E. 4.6.1). 3.5 Da die in Bezug auf Art. 143 Abs. 1 StGB umschriebenen Lebenssachverhalte, die in einem betrügerischen Missbrauch einer Datenverarbeitungsanlage (Art. 147 Abs. 1 StGB) münden – bis auf zwei Fälle (siehe nachfolgend E. 4.4.6.2 [Fälle 26 und 27]) –, zu einer diesbezüglichen Verurteilung führen, hat lediglich in Bezug auf vier Fälle (Fälle 54-57), – die nur als mehrfach versuchte unbefugte Datenbeschaffungen angeklagt sind – ein Freispruch zu erfolgen. 3.6 Im Ergebnis ist die Beschuldigte in Bezug auf Anklageziffer 1.1.2 vom Vorwurf der mehrfachen versuchten unbefugten Datenbeschaffung im Sinne von Art. 143 Abs. 1 i.V.m. Art. 22 Abs. 1 StGB freizusprechen.

- 25 - SK.2020.35 4. Mehrfacher gewerbsmässiger betrügerischer Missbrauch einer Datenver- arbeitungsanlage (Art. 147 Abs. 1 und 2 StGB) 4.1 Anklagevorwurf Die Beschuldigte soll zwischen den beiden Deliktszeiträumen vom 2. November 2012 bis 4. September 2013 und vom 10. März 2015 bis 19. Juni 2015 die bei den Bankkunden durch Voice-Phishing erfragten E-Banking-Zugangsdaten di- rekt an ihre anwesenden Mittäter weitergegeben haben, welche diese Daten zeit- gleich dazu verwendet hätten, um am Computer den E-Banking-Zahlungsauftrag zugunsten des jeweiligen «Mule-Kontos» zu erteilen. Sie habe in Mittäterschaft in mindestens 57 Fällen durch unbefugte Verwendung von Daten auf elektroni- sche Datenverarbeitungsvorgänge eingewirkt und soll dadurch versucht haben, Vermögensverschiebungen im Gesamtbetrag von Fr. 1'585'768.22 bei 57 Bank- kunden herbeizuführen. Effektiv sei bei 27 Personen ein Schaden von insgesamt Fr. 616'685.56 verursacht worden. In 26 Fällen hätten die Banken die Überwei- sungen nach den ausgeführten Zahlungsaufträgen gestoppt, bevor die Gelder auf den «Mule-Konten» hätten gutgeschrieben werden können. In fünf Fällen hät- ten die Banken die erteilten Zahlungsaufträge nicht ausgeführt. Durch die jeweils erteilten Zahlungsaufträge seien die Vermögen der Bankkunden in einer Weise gefährdet worden, dass sie unter wirtschaftlichen Gesichtspunkten zumindest vorübergehend vermindert gewesen seien. Die Beschuldigte soll gewerbsmässig gehandelt haben. Am Verbrechenserlös sei sie anteilsmässig mit mindestens 2-3 % beteiligt gewesen. Sie sei darauf eingerichtet gewesen, mit ihrer delikti- schen Tätigkeit relativ regelmässige Einnahmen zu erzielen, die einen namhaften Beitrag an ihren Lebensunterhalt dargestellt hätten. 4.2 Rechtliches 4.2.1 Gemäss Art. 147 Abs. 1 StGB macht sich des betrügerischen Missbrauchs einer Datenverarbeitungsanlage schuldig, wer in der Absicht, sich oder einen andern unrechtmässig zu bereichern, durch unrichtige, unvollständige oder unbefugte Verwendung von Daten oder in vergleichbarer Weise auf einen elektronischen oder vergleichbaren Datenverarbeitungs- oder Datenübermittlungsvorgang ein- wirkt und dadurch eine Vermögensverschiebung zum Schaden eines anderen herbeiführt oder eine Vermögensverschiebung unmittelbar darnach verdeckt. Handelt die Täterschaft gewerbsmässig, so wird sie nach Abs. 2 derselben Be- stimmung strenger bestraft. 4.2.2 Der Tatbestand wurde geschaffen, um den sog. Computerbetrug, bei welchem nicht ein Mensch, sondern eine Maschine getäuscht wird und der daher nicht unter den klassischen Betrugstatbestand fällt, erfassen zu können. Die Bestim- mung von Art. 147 StGB lehnt sich stark an den Tatbestand des Betruges an.

- 26 - SK.2020.35 Dabei tritt an die Stelle der arglistigen Täuschung und der Erweckung eines Irr- tums beim Täuschungsopfer die Datenmanipulation und an die Stelle der Ver- mögensdisposition des Betrugsopfers die vom Computer vorgenommene Ver- mögensverschiebung zu Lasten Dritter. 4.2.3 Mit der Variante der «unbefugten Verwendung von Daten» will das Gesetz den Fall erfassen, wo Daten zwar richtig, und dementsprechend unverfälscht, aber von einer unberechtigten Person, welche nicht über die Daten verfügen darf, ver- wendet werden (BBI 1991 II 1021; TRECHSEL/CRAMERI, Schweizerisches Straf- gesetzbuch, Praxiskommentar, 3. Aufl. 2018, Art. 147 StGB N. 6). Typischer An- wendungsfall ist die Benutzung einer Codekarte an einem Geldausgabeautoma- ten durch den Nichtberechtigten (vgl. BGE 129 IV 315 E. 2.2.1). Weiter erfüllt den Tatbestand gemäss herrschender Lehre auch, wer durch Phishing-Mails gesam- melte Daten verwendet, um Überweisungen vom Konto der geschädigten Person zu seinen oder zugunsten eines Dritten zu veranlassen (TRECHSEL/CRAMERI, a.a.O., Art. 147 StGB N. 6; AMMAN, a.a.O., S. 200). 4.2.4 Gemäss bundesgerichtlicher Rechtsprechung sowie herrschender Lehre ist es irrelevant auf welche Art und Weise die Täterschaft die für die Manipulation ver- wendeten Daten erlangte (Urteil des Bundesgerichts 6B_606/2015 vom 7. Okto- ber 2015 E. 3.3.2; DONATSCH, Strafrecht III, 11. Aufl. 2018, S. 256; FIOLKA, a.a.O., Art. 147 StGB N. 11). 4.2.5 Die Tatvarianten müssen – analog zum Tatbestandsmerkmal des Irrtums beim Betrug – in der Folge zu einem unrichtigen Ergebnis des Datenverarbeitungsvor- gangs führen (ungeschriebenes Tatbestandsmerkmal; vgl. FIOLKA, a.a.O., Art. 147 StGB N. 36). 4.2.6 Die durch das unrichtige Ergebnis ausgelöste Vermögensverschiebung kann in der Auszahlung eines Barbetrages oder etwa in der Gutschrift auf ein Konto lie- gen. Die Vermögensverschiebung muss wie beim Betrug nach Art. 146 StGB einen Vermögensschaden bewirken (BGE 129 IV 315 E. 2.1; Urteil des Bundes- gerichts 6B_606/2015 vom 7. Oktober 2015 E. 3.3.1 m.w.H.). Gemäss konstanter bundesgerichtlicher Rechtsprechung liegt ein Vermögensschaden in einer Ver- minderung der Aktiven bzw. Vermehrung der Passiven; dasselbe gilt, wenn das Vermögen in einem Masse gefährdet wird, dass es in seinem wirtschaftlichen Wert vermindert ist. Letzteres ist der Fall, wenn der Gefährdung im Rahmen einer sorgfältigen Bilanzierung durch Wertberichtigung oder Rückstellung Rechnung getragen werden muss (BGE 129 IV 124 E. 3.1 m.Hinw.). 4.2.7 Über den Vorsatz hinaus wird in Anlehnung an den Betrug nach Art. 146 StGB im subjektiven Tatbestand zudem noch eine Bereicherungsabsicht gefordert (FIOLKA, a.a.O., Art. 147 StGB N. 40).

- 27 - SK.2020.35 4.2.8 Gewerbsmässigkeit Inhaltlich wird die Gewerbsmässigkeit gleich wie beim Betrug nach Art. 146 StGB umschrieben (FIOLKA, a.a.O., Art. 147 StGB N. 42). Gemäss bundesgerichtlicher Rechtsprechung handelt die Täterschaft gewerbsmässig, wenn sich aus der Zeit und den Mitteln, die sie für die deliktische Tätigkeit aufwendet, aus der Häufigkeit der Einzelakte innerhalb eines bestimmten Zeitraums sowie aus den angestreb- ten und erzielten Einkünften ergibt, dass die deliktische Tätigkeit nach der Art eines Berufes ausgeübt wird. Die Täterschaft muss die Tat mehrfach begangen haben und dabei die Absicht verfolgen, ein Erwerbseinkommen zu erlangen. Aus ihren Taten muss geschlossen werden können, sie sei weitergehend zu einer Vielzahl von unter den fraglichen Tatbestand fallenden Taten bereit gewesen. Entscheidend ist, ob durch deliktische Handlungen Einkünfte angestrebt werden, die einen namhaften Beitrag an die Kosten zur Finanzierung der Lebensgestal- tung darstellen; dann ist die erforderliche soziale Gefährlichkeit gegeben (vgl. Ur- teile des Bundesgerichts 6B_290/2016 vom 15. August 2016 E. 1.2 m.w.H. und 6B_1302/2020 vom 3. Februar 2021 E. 2.4.1). Dabei kann bereits eine quasi «nebenberufliche» Tätigkeit als Voraussetzung für die Gewerbsmässigkeit genü- gen (BGE 119 IV 129 E. 3a). Die im gewerbsmässigen Handel liegende erhöhte soziale Gefährlichkeit ist auch gegeben, wenn die deliktische Tätigkeit nicht die einzige oder die hauptsächliche Einnahmequelle des Täters bildet, sondern schon dann, wenn damit lediglich ein Nebenerwerb erzielt wird. Nicht relevant ist die Relation der deliktischen Einnahmen zum ordentlichen Erwerbseinkommen (Urteil des Bundesgerichts 6B_1302/2020 vom 3. Februar 2021 E. 2.4.1). Bei der Gewerbsmässigkeit im Sinne von Art. 147 Abs. 2 StGB handelt es sich um ein persönliches Merkmal im Sinne von Art. 27 StGB (Urteil des Bundesgerichts 6B_207/2013 vom 10. September 2013 E. 1.3.2). Subjektiv setzt Gewerbsmässigkeit insbesondere eigennütziges Handeln voraus und kommt bei fremdnützigem Handeln nur in Betracht, wenn der Täter zumin- dest mittelbar auch eigene finanzielle Vorteile anstrebt. Entscheidend ist der Nachweis der für die Gewerbsmässigkeit kennzeichnenden Absicht als innere Tatsache. Die Absicht muss auf eine nicht unbedeutende und fortlaufende Ein- kommensquelle gerichtet sein, weshalb Gewerbsmässigkeit nicht allein aufgrund mehrfacher Tatbegehung hergeleitet werden kann. Damit die Voraussetzungen sachlich-rechtlich überprüft werden können, sind die Umstände, aus denen auf die Absicht gewerbsmässigen Handelns – wie beispielsweise Umfang und Dauer der Tatgewinne, die der Täter erzielen wollte – zu schliessen ist, in den Urteils- gründen präzise darzulegen (Urteil des Bundesgerichts 6B_3/2016 vom 28. Ok- tober 2016 E. 3.4).

- 28 - SK.2020.35 4.3 Beweismittel 4.3.1 Personalbeweise

a) In der Hafteinvernahme vom 23. Juni 2015 wollte sich die Beschuldigte nicht zum Tatvorwurf äussern. Als sie gefragt wurde, ob sie noch etwas beizufügen habe, stellte sie die Gegenfrage: «Haben Sie Beweise»? (BA pag. 13-1-3).

b) Bei der Einvernahme vom 24. Juni 2015 sagte sie aus, sie habe an drei «Sit- zungen» teilgenommen. Weiter gab sie an, sie habe (am Telefon) «immer» den Aliasnamen «Frau Meier» verwendet und sei am Verbrechenserlös mit 2-3 % beteiligt gewesen (BA pag. 13-1-10 f.).

c) In der Einvernahme vom 7. Juli 2015 wurden der Beschuldigten die Telefon- aufnahmen in den Phishing-Fällen 58-61 vorgespielt. Im Fall 58 erkannte sie die Stimme, wollte aber dazu nichts sagen. Zu Fall 59 wollte sie gar nichts sagen. Bei den Fällen 60 und 61 glaubte sie, ihre eigene Stimme zu erkennen. Sodann wurden ihr die in den Fällen 42, 44 und 40 geführten Telefongespräche mit den Bankkunden vorgehalten, wobei sie sich als Sprecherin erkannte (BA pag. 13-1- 16 ff.).

d) Bei der Einvernahme vom 19. August 2015 gab sie den Phishing-Fall 51 zu, nachdem ihr die Protokolle der Audioüberwachung aus dem Hotel RRR. in Basel vom 28. Mai 2015 vorgelegt wurden. Sie gestand auch ein, in den ein bis zwei vorangehenden Tagen Phishings getätigt zu haben (Fälle 49 und 50). Sie stritt ab, in der Zeit vom 10. bis 12. März 2015 Phishings begangen zu haben (Fälle 34-39). Auf Vorlage einer Liste mit Fällen, bei welchen eine «Frau Meier» als Telefonistin in Erscheinung getreten sein soll, gestand die Beschuldige ein, dass sie die Täterin in den Fällen 2, 6, 8, 11 f., 20, 22, 24, 27, 29, 30, 33 f., 36-39, 42, 45 und 46-48 «sein könnte» (BA pag. 13-1-31 ff.33/ -53 ff.).

e) In der Schlusseinvernahme vom 5. Juli 2018 hat die Beschuldigte die Phishing- Fälle 40, 42-51 und 53-57 zugegeben sowie den ihr und ihren Mittätern vorge- worfenen Modus Operandi bestätigt. Die Fälle 1-8, 11-33, 41, 50 und 52 bestritt sie zwar nicht, gestand diese aber auch nicht ausdrücklich ein. Die Fälle 9, 10, sowie 34-39 stritt sie ab. Im Zusammenhang mit dem beim Voice-Phishing ver- wendeten Aliasnamen erklärte die Beschuldigte, den Namen «Meier» und «Mül- ler» hätten alle «Telefonistinnen» benützt. Sie bejahte, dass ihr Tatbeitrag, d.h. das telefonische Beschaffen der E-Banking-Zugangsdaten für die Tatausfüh- rung, d.h. das Bewirken der unbefugten Geldüberweisungen derart wesentlich gewesen sei, dass die Tat damit gestanden oder gefallen sei. An der Tatplanung sei sie aber nicht «gross» beteiligt gewesen (BA pag. 13-1-105 ff.).

- 29 - SK.2020.35 Zur ihrem Beweggrund befragt, gab die Beschuldigte zu, dass sie mit der Absicht gehandelt habe, die erfragten E-Banking-Zugangsdaten zum Bewirken von un- befugten Geldüberweisungen auf «Mule-Konten» zu verwenden. Sie war ausser- dem geständig, beim Bewirken der unbefugten Geldüberweisungen mit Berei- cherungsabsicht gehandelt zu haben, d.h. insbesondere in der Absicht, zuerst (unmittelbar) die «Money-Mules» und danach (mittelbar) sich selber und ihre Komplizen zu bereichern (BA pag. 13-1-117). Abschliessend zu den beim Voice-Phishing deliktisch verwendeten SIM-Karten befragt, sagte die Beschuldigte aus, sie habe die SIM-Karten für die Phishings immer von ihren Mittätern erhalten; diese seien auch an andere Telefonistinnen weitergegeben worden. (BA pag. 13-1-108/114 f./117/121)

f) Bei der ergänzenden Schlusseinvernahme vom 25. Juni 2020 nahm die Be- schuldigte Abstand von ihren vorgängigen Geständnissen in den Fällen 44-48, 51 und 53-57. Sie habe den Namen «Frau Meier» benutzt, aber damit hätten auch andere gearbeitet. Es könne sein, dass sie auch den Namen «Müller» ver- wendet habe (BA pag. 13-1-129/136/143).

g) An der Hauptverhandlung vom 21. Januar 2021 war die Beschuldige in Bezug auf 9 geschädigte Personen in 10 Phishing-Fällen (Fälle 40, 42-44, 49, 50 [2 E- Bankings], 53, 59 und 60) geständig. Als sie nach der Tatausführung gefragt wurde, sagte sie aus, es sei ihr jeweils von den «Bossen» drei Wochen im Voraus ein Datum für das Phishing genannt worden. Es habe mehrere «Bosse» gege- ben. Sie sei mit den «Bossen» QQQQ. und RRRR. freundschaftlich verbunden gewesen und habe diese auch privat getroffen. Der eine sei Nigerianer. Auf Frage, wie QQQQ. richtig heisse, sagte sie aus, sie wisse den richtigen Namen nicht mehr. Die «Bosse» hätten meistens in Basel Wohnungen oder ein Hotel- zimmer gemietet. Manchmal sei sie die einzige Telefonistin gewesen. Zum Mo- dus Operandi befragt, sagte sie aus, neben ihr seien Leute gewesen, welche die Phishing-Mails versandt hätten. Sie habe dann eine Liste mit Personennamen und Telefonnummern erhalten, welche sie angerufen habe. Es habe Leute gege- ben, welche auf dem Laptop nach Erhalt der Codes die Transfers gemacht hät- ten. Sie wisse aber nicht, ob sie am Telefon den Namen «Frau Meier» oder «Frau Müller» benutzt habe. Alle Telefonistinnen hätten die Namen benutzt. Es bedeute übrigens nicht, dass sie «gephisht» habe, wenn sie frei gehabt habe. So sei es vorgekommen, dass sie sich mit den «Bossen» getroffen habe und zum selben Zeitpunkt habe eine andere «Call-Agentin» «gephisht». Sie selber habe die de- liktisch verwendeten SIM-Karten nie selber gekauft. Zu ihrem deliktischen Ge- winn befragt, bestätigte die Beschuldigte, dass sie 2-3 % des deliktisch erlangten Geldes als Lohn erhalten habe. Das Geld sei natürlich ein Motiv gewesen (TPF pag. 19.731.005-7/10-12/14-16/18/22).

- 30 - SK.2020.35 4.3.2 Sachbeweise 4.3.2.1 Das Beweismaterial besteht vorliegend im Wesentlichen aus den erhobenen technischen Daten im Zusammenhang mit den Phishing-Attacken (Antennen- standorte, IP-Adressen, Gerätekonfigurationen), Überwachungsmassnahmen (rückwirkende und aktive Telefonüberwachungen, Audio- und Videoüberwachun- gen), Arbeitszeitnachweisen, SIM-Karten, Bankbelegen sowie sichergestellten elektronischen Datenträgern der Beschuldigten (Mobiltelefon und iPad) (BA pag. 10-2-122/124-126/134). Auf den Inhalt der einzelnen Beweismittel wird im einschlägigen Kontext näher eingegangen (siehe unten E. 4.4.5.1 f.). 4.3.2.2 Die polizeilichen Ermittlungen ergaben, dass die Beschuldigte mit QQQQ., von Sierra Leone, und RRRR., von Nigeria, «zusammengearbeitet» hat. Es handelt sich bei den beiden um die Organisatoren im vorliegenden Phishing-Komplex. Die Tätergruppierung hat spätestens ab August 2012 versucht, mit Phishing-E- Mails Kunden der Bank B. und ab Dezember 2014 Kunden des Finanzinstituts C. zur Datenherausgabe zu veranlassen. Die Täter trafen sich in unregelmässigen Abständen in Hotelzimmern oder anderen geeigneten Räumlichkeiten, vorwie- gend in der Stadt Basel, um die Voice-Phishings durchzuführen. Es traten bei den Phishing-Fällen verschiedene unbekannte, Schweizerdeutsch sprechende Frauen als Telefonistinnen im Namen der Finanzinstitute auf. In der Schweiz hat sich die Täterschaft von August 2012 bis Juni 2015 unrechtmässig Zugang zu mindestens 210 Konten der Bank B. und 37 Konten des Finanzinstituts C. be- schafft und unrechtmässig Transaktionen ausgelöst, wobei die Gesamtsumme der schweizweit ausgelösten Transaktionen ca. Fr. 6,8 Mio betragen hat. Die an- gerufenen Kunden schöpften in einigen Fällen Verdacht und meldeten sich nach dem Telefongespräch bei ihrem Finanzinstitut, welches die Informationen betref- fend den illegalen Zugriff, zusammen mit den verfügbaren technischen Daten (Geschäftskonto, «Mule-Konto», IP-Adresse, Gerätekonfiguration und den Zeit- punkt des Onlinezugriffs der Täterschaft auf die betreffenden Konten) an die Bun- deskriminalpolizei (nachfolgend: BKP) übermittelte. Bei den Ermittlungen fiel schon bald eine baseldeutsch sprechende Telefonistin auf, welche den getäusch- ten Bankkunden gegenüber als «Frau Meier» auftrat, und meistens aus Basel telefonierte. Die BKP beantragte bei einigen der Nummern die aktive Telefon- überwachung sowie die rückwirkenden Verbindungsdaten an. Eine Baseldeutsch sprechende Telefonistin, welche sich bei einer Vielzahl von Voice-Phishings als Mitarbeiterin der Bank B. und des Finanzinstituts C. ausgegeben und unter dem Namen «Meier» die Zugangscodes der Bankkunden erschlichen hat, konnte mit- tels Telefonüberwachung als A. (Beschuldigte) identifiziert werden. Die gesamte

- 31 - SK.2020.35 Deliktsserie in der Schweiz brach ab, als die Beschuldigte am 22. Juni 2015 ver- haftet wurde (BA pag. 10-2-101 f.; 10-2-167). 4.4 Beweiswürdigung 4.4.1 Das Gericht würdigt die Beweise frei nach seiner aus dem gesamten Verfahren gewonnenen Überzeugung (Art. 10 Abs. 2 StPO). Das Gebot soll sicherstellen, dass der Richter nicht verpflichtet ist, etwas als erwiesen zu erachten, wenn es dies nach seiner Überzeugung nicht ist, oder umgekehrt etwas als nicht erwiesen anzusehen, worüber für ihn kein Zweifel besteht (HOFER, Basler Kommentar,

2. Aufl. 2014, Art. 10 StPO N. 58). Überzeugt zeigen darf sich das Gericht nur, wenn es jeden vernünftigen Zweifel ausschliessen kann. Die Überzeugung muss durch gewissenhaft festgestellte Tatsachen und logische Schlussfolgerungen be- gründet werden; dadurch wird die Herleitung des Beweisergebnisses objektiv nachvollziehbar (HOFER, a.a.O., Art. 10 StPO N. 61). Gemäss Art. 10 Abs. 3 StPO geht das Gericht von der für die beschuldigte Person günstigeren Sachlage aus, wenn unüberwindliche Zweifel daran bestehen, dass die tatsächlichen Voraus- setzungen der angeklagten Tat erfüllt sind. Diese Bestimmung konkretisiert den verfassungsmässigen Grundsatz der Unschuldsvermutung (in dubio pro reo; Art. 32 Abs. 1 und Art. 6 Ziff. 2 EMRK). Sie verbietet es, bei der rechtlichen Wür- digung eines Straftatbestands von einem belastenden Sachverhalt auszugehen, wenn nach objektiver Würdigung der gesamten Beweise ernsthafte Zweifel be- stehen, ob sich der Sachverhalt tatsächlich so verwirklicht hat, oder wenn eine für die beschuldigte Person günstigere Tatversion vernünftigerweise nicht aus- geschlossen werden kann. Indes kann keine absolute Gewissheit verlangt wer- den; abstrakte und theoretische Zweifel sind kaum je ganz auszuräumen (BGE 144 IV 345 E. 2.2.1 m.w.H.). 4.4.2 Liegen keine direkten Beweise vor, ist nach der Rechtsprechung auch ein indi- rekter Beweis zulässig. Beim Indizienbeweis wird aus bestimmten Tatsachen, die nicht unmittelbar rechtserheblich, aber bewiesen sind (Indizien), auf die zu be- weisende, unmittelbar rechtserhebliche Tatsache geschlossen. Eine Mehrzahl von Indizien, welche für sich allein betrachtet nur mit einer gewissen Wahrschein- lichkeit auf eine bestimmte Tatsache oder Täterschaft hindeuten oder insofern Zweifel offen lassen, können in ihrer Gesamtheit ein Bild erzeugen, das den Schluss auf den vollen rechtsgenügenden Beweis von Tat oder Täter erlaubt (Ur- teil des Bundesgerichts 6B_1302/2020 vom 3. Februar 2021 E. 1.2.3 mit Hinwei- sen). Der Indizienbeweis ist dem direkten Beweis gleichgestellt (BGE 144 IV 345 E. 2.2.3.4). Sachverhaltsalternativen sind nur zu prüfen, wenn die Indizienlage widersprüchlich oder ambivalent ist (BGE 144 IV 345 E. 2.2.3.7).

- 32 - SK.2020.35 4.4.3 Im Vorverfahren bestritt die Beschuldigte einige Sachverhalte, an eine Vielzahl von Vorgängen konnte oder wollte sie sich nicht erinnern oder sie bestritt die Begehung beziehungsweise die Beteiligung daran explizit ab. In der ergänzen- den Schlusseinvernahme nahm sie wieder Abstand von ihren vorgängigen Ge- ständnissen in den Fällen 44-48, 51-57 (BA pag. 13-1-27/32 f./-109/-112/-114- 117/-144/-146). Zudem wollte sie – trotz ihrer vielen intensiven Kontakte zur ni- gerianischen Diaspora in Basel – die Namen der Hintermänner nicht kennen, ob- wohl sie mit ihnen in Hotelzimmern «phishte» und ihnen die durch das Voice- Phishing erlangten PIN-Codes für die Zahlungsaufträge an die Banken übergab (TPF pag. 19.731.006). Ihre Aussagen erfolgten stets zielgerichtet und passten sich im Laufe des Verfahrens ständig der Beweislage an (vgl. oben E. 4.3.1). Dies spricht gegen die Glaubhaftigkeit der Aussagen der Beschuldigten. Insge- samt gestand sie diejenigen Sachverhalte ein (Fälle 40, 42-44, 49-50, 53, 59 und 60), in welchen eine erdrückende Beweis- bzw. Indizienlage vorliegt. Sie ist eben- falls geständig, was den Modus Operandi betrifft. So kann als erstellt gelten, dass die Tätergruppierung durch die unbefugte Verwendung von Bankdaten auf elekt- ronische Datenverarbeitungsanlagen eingewirkt und dadurch Vermögensver- schiebungen zulasten von Bankkunden ausgelöst bzw. auszulösen versucht hat. 4.4.4 Direkte Sach- oder Personalbeweise von Zeugen oder Auskunftspersonen, dass die Beschuldigte in den nicht eingestandenen Fällen «gephisht» hat, liegen nicht vor. Mangels direkter objektiver Beweise bedarf es somit zum Nachweis der Tä- terschaft einer Indizienkette, die in ihrer Gesamtheit ein Bild erzeugt, das Zweifel ausschliesst, dass sie die Täterin war. 4.4.5 Die Täterschaft der Beschuldigten stützt sich auf folgende Indizien: 4.4.5.1 Allgemeines

a) Beweisrelevant sind zunächst die erhobenen Arbeitszeitnachweise bei der da- maligen Arbeitgeberin der Beschuldigten, der SSSS. AG. Ein Vergleich der De- liktzeitpunkte mit den Arbeitszeitnachweisen ergibt, dass die Phishing-Telefonate in 60 Fällen erfolgten, als die Beschuldigte arbeitsfrei hatte. Es wäre lebensfremd anzunehmen, dass es eine Koinzidenz sein soll, dass die Beschuldigte – bis auf Fall 50 – immer am Deliktzeitpunkt arbeitsfrei hatte. Vielmehr ist es naheliegend, dass die Beschuldigte nach der jeweiligen Ankündigung der «Sessions» jeweils für die betreffenden Termine freigenommen hat (BA pag. 7-4-0-4, -79; 10-2-171; 10-2-186, -192).

b) Als gewichtiges Indiz ist auch der Umstand zu werten, dass sich die Beschul- digte als «Telefonistin» mit dem Aliasnamen «Frau Meier» bei den Bankkunden meldete und ihre Stimme in den aufgezeichneten deliktischen Telefonaten auch erkannt wurde. Die Stimme der Beschuldigten konnte bei insgesamt neun

- 33 - SK.2020.35 Phishing-Telefonaten aufgezeichnet werden. Vier Aufnahmen stammen dabei von der Ermittlungsabteilung der Bank B. (Fälle 58-61 [BA pag. 5-1.28; 13-1-28]), viermal konnten Voice-Phishing-Gespräche (Fälle 42, 44, 54, 55) auf der aktiven Telefonüberwachung mitgeschnitten werden (Beilage 32, CD 19-20) und ein Te- lefongespräch (Fall 51) konnte via Audioüberwachung im Hotel RRR. in Basel aufgezeichnet werden. Gemäss den Erkenntnissen aus der Überwachung des Fernmeldeverkehrs und den Aussagen der Geschädigten hat die Beschuldigte bei den Phishing-Telefonaten stets den Namen «Meier» verwendet und nie einen anderen Namen benutzt. Die Geschädigten, welche sich an den Aliasnamen «Meier» der «Telefonistin» erinnern konnten, haben deren Dialekt als Basel- deutsch beschrieben, was dem Dialekt der Beschuldigten entspricht (Fälle 6, 11 f., 24, 44; BA pag. B10-2-1-59/132/293; B10-2-148). Ausserdem gibt es kei- nen Fall, bei welchem sich die Geschädigten an den Namen «Meier» erinnern konnten und gleichzeitig Hinweise vorliegen, welche gegen die Täterschaft der Beschuldigten sprechen würden. Vielmehr bestehen in diesen Fällen – nebst dem Baseldeutsch – verschiedene weitere Indizien, welche für die Beschuldigte als Täterin sprechen: Die überwachten Telefongespräche der «Call-Agentinnen» ergaben keine Hinweise, dass andere «Telefonistinnen» den gleichen Aliasna- men verwendet hätten. Auch konnte die Beschuldige nie einen (echten) Namen einer anderen «Frau Meier» nennen oder nur schon eine konkrete Beschreibung abgeben. Der Einwand der Beschuldigten, es hätten andere «Telefonistinnen» den Aliasnamen «Meier» verwendet ist daher unglaubhaft. Es ist mithin als er- stellt zu betrachten, dass sich ausschliesslich die Beschuldigte mit dem Aliasna- men «Meier» bei den Bankkunden meldete (BA pag. 7-4-0-1 ff.; 7-5-0-4 ff.; 10-2- 166 f./170 f./186 ff.).

c) Ein weiteres Indiz für die Täterschaft der Beschuldigten ist die zeitliche Häu- fung der Taten an einzelnen oder darauffolgenden Tagen, welche von ihr als «Sessions» bezeichnet wurden. Deliktscharakteristisch wurden in einer Vielzahl von Phishing-Fällen übereinstimmende IP-Adressen, Geräte (PC, iPad)-Konfigu- rationen und dieselbe Rufnummer verwendet (gleiche IP-Adressen: Fälle: 1 und 2; Fälle: 3, 6 und 7; Fälle: 11 und 12; Fälle: 16 und 18; Fälle: 29 und 30; Fälle: 35 und 36; Fälle: 37 und 38; Fälle: 40 und 41; Fälle: 46 und 48; Fälle: 44 und 50; gleiche Geräte-Konfigurationen: Fälle: 1 und 2; Fälle 3-6, 11 f., 15 f., 17 und 20; Fälle 7 und 8; Fälle 9, 22 f. und 25; Fälle 14 und 18; Fälle 19, 21 und 24; Fälle 28-30 und 32; Fälle 35, 37, 39 und 41; Fälle 46 f.; gleiche Rufnummern: Fälle: 9- 19 und 26; Fälle: 28-31; Fälle 32 f.; Fälle: 34 f., 37, 39 und 41; Fälle: 42 und 44; Fälle: 46 und 47; Fälle: 50 f. und 57). Da die Beschuldigte in den genannten Fäl- len 2, 6, 8, 11 f., 20, 22, 24, 29 f., 33, 36, 39, 42, 44 und 51 nachweislich den Aliasnamen «Meier» verwendete, ist die Täterschaft in diesen Phishing-Fällen ebenfalls erstellt (vgl. E. 4.4.5.1 b). Sodann hatten die Organisatoren in den Phishing-Fällen 3-7, 28-31, 33, 35-39 und 49 in Hotels in Basel eingecheckt. Die

- 34 - SK.2020.35 Hotels lagen jeweils im Umkreis der Antennenstandorte, über welche die für die Phishing-Anrufe verwendeten Rufnummern verbunden waren. In diesen Fällen konnte aufgrund des Antennenstandortes nachgewiesen werden, dass sich die Beschuldigte zum Tatzeitpunkt am Tatort befand (BA pag. 10-1-129 ff.). Ferner hat aufgrund der Überwachung des Fernmeldeverkehrs als erstellt zu gelten, dass sie ab dem 10. März 2015 (Fälle 34-61) als alleinige Telefonistin mit den Organisatoren «phishte». Die räumliche und zeitliche Koinzidenz sowie die fall- übergreifende Übereinstimmung der genannten Kriterien indizieren ebenfalls die (Mit-)Täterschaft der Beschuldigten.

d) Die beim Voice-Phishing verwendeten SIM-Karten wurden unter Verwendung von weiblichen, türkisch oder südländisch klingenden Phantasienamen mit Ad- ressen in der Region Basel gekauft. Die polizeiliche Auswertung der SIM-Karten ergab, dass die einzige SIM-Karte, welche auch von anderen Telefonistinnen ver- wendet wurden, diejenige mit der Rufnummer Tel.nr. 3 im Fall 20 ist. Alle übrigen SIM-Karten / Rufnummern wurden einzig von der Beschuldigten für die Vishing- Telefonate benutzt (BA pag. 10-2-168; B10-2-3-44/46/48/50/53/96/101/122 f.). Der Einwand der Beschuldigten, sie habe keine SIM-Karten gekauft und andere Telefonistinnen hätten diese auch gebraucht, ist daher als Schutzbehauptung einzustufen.

e) Weitere gewichtige Indizien für die Täterschaft bilden Printscreens von Bu- chungen von Hotelzimmern, in welchen die Phishing-Sessions durchgeführt wur- den (Fälle 45-48) sowie von abgeschlossenen Phishing-Vorgängen bzw. erfolg- reich durchgeführten Finanztransaktionen (Fälle 56 und 57), die auf dem Smart- Phone der Beschuldigten beschlagnahmt wurden. Sodann belegen WhatsApp- Chat-Protokolle zwischen der Beschuldigten und der unmittelbaren Täterschaft (Fälle 34-39), dass sie mit diesen zum Tatzeitpunkt im Hotel beim «Phishen» zugegen war. 4.4.5.2 Zu den einzelnen vorgeworfenen Phishing-Fällen: Fälle 1 und 2 Ein gewichtiges Indiz für die Täterschaft der Beschuldigten ist der Umstand, dass sie zum Tatzeitpunkt am 22. November 2012 von ihrer Arbeit frei genommen hatte. Der Geschädigte CC. konnte sich im Fall 2 an den Namen «Meier» der angeblichen Bankangestellten am Telefon erinnern. Erstellt ist somit die Täter- schaft in diesem Fall, weil nur die Beschuldigte diesen Aliasnamen verwendete (vgl. E. 4.4.5.1b). Da die Gerätekonfigurationen des für die unbefugten Geldüber- weisungen verwendeten Computers in den Fällen 1 und 2 identisch sind und die Phishings zeitnah erfolgten, ist ihr auch Fall 1 anzurechnen. Die Annahme, dass

- 35 - SK.2020.35 eine andere Telefonistin «gephisht» haben soll, ist lebensfremd (BA pag. 10-2- 186; B10-2-1-13 ff.). Fälle 3 bis 7 Erwiesen ist, dass der Boss bzw. Komplize QQQQ. der Beschuldigten am 17. De- zember 2012 im Hotel EE. in Basel eincheckte. Dies geht aus entsprechenden Hotelbuchungen hervor. Die Phishing-Fälle wurden unmittelbar nach der Ankunft von QQQQ. am 18./19. Dezember 2012 in Basel begangen. Auffällig ist, dass die Beschuldigte an diesen Tagen Ferien hatte. Es kann aufgrund der zeitlichen Koinzidenz als erstellt gelten, dass sie den arbeitsfreien Tag nutzte, um mit QQQQ. in Basel zu «phishen». Sodann konnte sich im Fall 6 der Geschädigte JJ. an den Namen «Meier» der angeblichen Bankangestellten am Telefon erin- nern, welcher der Beschuldigten zuzuordnen ist (vgl. E. 4.4.5.1 b). Die Täter- schaft ist somit in all denjenigen Fällen erstellt, welche einen Konnex zu Fall 6 aufweisen. Aufgrund der übereinstimmenden Konfigurationen des für die unbe- fugten Geldüberweisungen verwendeten Computers (Fälle 3-6, 11, 12, 15-17 und 20 sowie in den Fällen 7 und 8) und IP-Adressen (Fälle 3, 6 und 7) ist dies zwei- felfrei in den Fällen 3 bis 5 und 7 der Fall (BA pag. 10-2-105/128/186 f.; B10-2-1- 60; Beilage 32, CD 1). Fälle 8-10 Erstellt ist, dass die Beschuldigte in den Fällen 8 und 9 zum Tatzeitpunkt (27. De- zember 2012 bzw. 15. Januar 2013) von der Arbeit frei genommen hatte. Im Fall 10 erfolgte das Phishing am 15. Januar 2013 morgens um 08:21 Uhr, und somit vor dem Arbeitsbeginn der Beschuldigten. TTTT. konnte sich im Fall 8 explizit an den Namen «Meier» der angeblichen Bankangestellten am Telefon erinnern. Dies spricht in diesem Fall 8 für die Täterschaft der Beschuldigten, da aus- schliesslich sie sich mit diesem Aliasnamen meldete (vgl. E. 4.4.5.1 b). Ein ge- wichtiges Indiz für die Täterschaft der Beschuldigten ist ausserdem der überein- stimmende Antennenstandort in den Fällen 9 und 10. Die Konfiguration des für die unbefugten Geldüberweisungen verwendeten Computers ist im Fall 9 iden- tisch wie im Fall 22, bei welchem sich die Beschuldigte ebenfalls mit dem Alias- namen «Frau Meier» meldete. Dies spricht für die Täterschaft der Beschuldigten in den Fällen 9 und 10. Aufgrund der zusätzlich übereinstimmenden Geräte-Kon- figurationen in den Fällen 7 und 8, sowie des Umstands, dass die im Fall 9 und 10 verwendete SIM-Karte ausschliesslich von der Beschuldigten verwendet wurde, ist die Täterschaft zweifelsfrei erstellt (BA pag. 10-2-130/186/188; B10-2- 1-111; B10-2-1-304; B10-2-4-2 f.).

- 36 - SK.2020.35 Fälle 11-18 Erstellt ist, dass die Beschuldigte zum Tatzeitpunkt am 16. Januar 2013 von der Arbeit frei genommen hatte. Sodann konnten sich die Privatkläger E. und F. in den Fällen 11 und 12 an den von der Beschuldigten verwendeten Aliasnamen «Meier» erinnern. Diesen verwendete, wie bereits ausgeführt wurde, nur die Be- schuldigte (vgl. E. 4.4.5.1b). Der Beschuldigten sind somit alle übrigen Fälle zu- zurechnen, welche einen Konnex zu den beiden Fällen aufweisen. In sämtlichen Fällen wurden die gleiche SIM-Karte / Rufnummer verwendet, welche aus- schliesslich von der Beschuldigten verwendet wurde. Ausserdem sprechen die identischen IP-Adressen in den Fällen 11, 12 und 16 dafür, dass die Beschuldigte als «Telefonistin» tätig war. Schliesslich waren die Gerätekonfigurationen in den Fällen 11, 12, 15-17 identisch wie im Fall 20, bei welchem sich die Beschuldige beim Voice-Phishing mit «Frau Meier» meldete. Überdies war in den Fällen 9-10 und 26 die für die telefonische Beschaffung der E-Banking-Zugangsdaten ver- wendete Rufnummer Tel.nr. 2 identisch, welche ausschliesslich von der Beschul- digten verwendet wurde. Diese fallübergreifende Übereinstimmung der Indizien spricht klar für die Täterschaft der Beschuldigten (BA pag. 10-2-130/186, -188; B10-2-1-134/152/304; B10-2-4-2 f.). Fälle 19 und 20 Für die Täterschaft der Beschuldigten spricht, dass sie zum Tatzeitpunkt am

23. Januar 2013 (Fall 19) sowie am 31. Januar 2013 (Fall 20) Ferien bzw. arbeitsfrei hatte und sich im Fall 20 mit «Frau Meier» meldete (vgl. E. 4.4.5.1b). Sie verwendete die gleiche Rufnummer wie in den Fällen 9-18, bei welchen ihre (Mit-)Täterschaft nachgewiesen ist. Ausserdem wurde die im Fall 19 verwendete SIM-Karte / Rufnummer ausschliesslich von der Beschuldigten benutzt. Ein wei- teres gewichtiges Indiz zum Nachweis ihrer Phishing-Anrufe ist zudem, dass die Gerätekonfiguration im Fall 19 die gleiche ist wie im Fall 24, bei welchem sie mit dem Aliasnamen «Frau Meier» als «Telefonistin» agierte, welcher ihr zuzuordnen ist. Sodann ist die Gerätekonfiguration im Fall 20 dieselbe wie im Fall 12, bei welchem sie sich ebenfalls mit «Frau Meier» meldete. Beweismässig ist daher zweifelsfrei erstellt, dass die Beschuldigte in den Fällen 19 und 20 «gephisht» hat (BA pag. 10-2-130/-186, -188; B10-2-1-254; B10-2-4-2 f.). Fälle 21-25 Erwiesen ist, dass die Beschuldigte zum Tatzeitpunkt am 12./13. Februar 2013 arbeitsfrei (Ferien und Pikettruhetag) hatte. Die Privatkläger J. und L. konnten sich erinnern, dass sich die angebliche Bankangestellte in den Fällen 22 und 24

- 37 - SK.2020.35 mit dem Namen «Frau Meier» meldete. Dieser Aliasname wurde nur von der Be- schuldigten verwendet (vgl. E. 4.4.5.1b). Ausserdem ist ihr das Voice-Phishing im Fall 23 anzurechnen ist, zumal der Anruf nur 47 Minuten vor dem Phishing im Fall 24 erfolgte. Aus der unmittelbaren zeitlichen Abfolge der Taten wäre auch hier die Annahme lebensfremd, dass eine andere «Call-Agentin» «gephisht» ha- ben könnte. Erstellt ist ferner, dass die Gerätekonfigurationen in den Fällen 22, 23 und 25 dieselben sind wie im Fall 9, bei welchem ihre Täterschaft nachgewie- sen ist. Die Verknüpfung der genannten Indizien spricht klar für ihre Täterschaft der Beschuldigten (BA pag. 10-1-130/-186, -188; B10-2-1-269/-294). Fall 26 Im vorliegenden Fall sprechen lediglich zwei Indizien (arbeitsfrei am Tattag vom

27. Februar 2013; identische Rufnummer wie in den Fällen 9-20) für die Täter- schaft der Beschuldigten. Es ist nicht auszuschliessen, dass ausnahmsweise eine andere Telefonistin «gephisht» hat. Der angeklagte Sachverhalt ist daher nicht erstellt (BA pag. 13-1-118; B10-2-4-2 f.; 10-2-188). Fall 27 Im vorliegenden Fall sprechen lediglich zwei Indizien (arbeitsfrei am Tattag vom

25. Juni 2013; Antennenstandort in Basel) für die Täterschaft der Beschuldigten. Auch hier kann zugunsten der Beschuldigten nicht ausgeschlossen werden, dass ausnahmsweise eine andere Telefonistin «phishte». Der angeklagte Sachverhalt lässt sich nicht nachweisen (BA pag. 10-2-188). Fälle 28-32 Beweisrelevant ist zunächst eine WhatsApp-Nachricht, welche die Beschuldigte am 28. August 2013 um 02:37 Uhr morgens von ihrem «Boss» erhielt. Aus dieser geht hervor, dass sie am 28. August 2013 in das Hotel GGG. in Basel bestellt wurde. Es ist aus nachfolgenden Gründen als erstellt zu betrachten, dass es sich um den Treffpunkt für die fünf Phishing-Fälle vom 28./29. August 2013 handelte: Für die Täterschaft der Beschuldigten spricht, dass sie zum Tatzeitpunkt arbeits- frei hatte und sich in den Fällen 29 und 30 mit dem Aliasnamen «Frau Meier» meldete, welcher ausschliesslich ihr zuzuordnen ist (vgl. E. 4.4.5.1b). Sodann ergab die Auswertung der erhobenen technischen Daten, dass in den Fällen 28 bis 31 die gleiche SIM-Karte mit der gleichen Rufnummer Tel.nr. 5 für die Be- schaffung der E-Bankingzugangsdaten verwendet wurde, wobei der Antennen- standort beim Hotel GGG. lag. Die Rufnummer wurde ausschliesslich von der Beschuldigten verwendet. Beweismässig ist somit erstellt, dass sie zum Tatzeit- punkt im Hotel GGG. «phishte». Angesichts der zeitlichen und technischen Koin-

- 38 - SK.2020.35 zidenzen und der erwähnten Indizien kann bei realistischer Betrachtung ausge- schlossen werden, dass eine andere «Call-Agentin» in den Fällen 28 und 31 «ge- phisht» haben könnte. Schliesslich steht ausser Frage, dass sie auch im Fall 32 «phishte», verwendete sie doch die gleiche Rufnummer wie im Fall 33, bei wel- chem sie sich mit «Frau Meier» meldete (BA pag. 10-2-117/188 f.; B10-2-4-1-; B10-2-3-115; B10-2-4-6; B10-2-4-7). Fall 33 Beweismässig ist aufgrund einer WhatsApp-Nachricht zwischen der Beschuldig- ten und ihrem «Boss» vom 4. September 2013, um 05:55 Uhr, erstellt, dass sie am Tattag für das Phishing in das Hotel LLL. in Basel bestellt wurde. Auch in diesem Fall nahm sie sich für die «Phishing-Session» vom 4. September 2013 arbeitsfrei. Ein starkes Indiz für die Täterschaft der Beschuldigten ist weiter, dass sie sich als «Telefonistin» mit «Frau Meier» meldete und das Hotel im Sendebe- reich der Antennenzelle lag, über welche die ausschliesslich von ihr verwendete Rufnummer Tel.nr. 6 beim Phishing sich verband. Ausserdem stimmt die verwen- dete Rufnummer mit dem Phishing-Fall 32 überein, bei welchem die (Mit-)Täter- schaft der Beschuldigten nachgewiesen ist. Somit ist als erstellt zu betrachten, dass die Beschuldigte mit ihrem «Boss» im Hotel «phishte» (BA pag. 10-2- 110/119/177/189; B10-2-2-33; B10-2-4-1; B10-2-2-22). Fälle 34-39 Erstellt ist, dass die «Bosse» RRRR. und QQQQ. für die Zeit vom 10. bis 13. März 2015 ein Zimmer im Hotel MMM. in Basel gebucht hatten. In diesem Zeitraum wurden die Phishing-Fälle 34 bis 39 durchgeführt. Die Beschuldigte hatte an den Tatdaten vom 10. März 2015 (Fälle 34-37), 11. März 2015 (Fall 37) und 12. März 2015 (Fälle 38 und 39) arbeitsfrei, was ein gewichtiges Indiz für ihre (Mit-)Täter- schaft ist. Aufgrund eines Chats zwischen der Beschuldigten mit QQQQ. vom

10. bis 12. März 2015 liegt zunächst nahe, dass sie ihn am Tattag vom 10. März 2015 im Hotel MMM. in Basel besuchte. Es ging im Chat darum, dass ihr «Boss» einen Adapter für seinen Laptop benötigte. Die Beschuldigte antwortete, dass sie «viele davon» an ihrem Arbeitsort habe und dass sie zusammen später ein Taxi nehmen und ein solches Gerät holen gehen können. Der Chat lautet wie folgt: 10.03.2015 (07:57) Boss QQQQ.: «Hello girl yo need to buy adapter for my laptop. Hi.» 10.03.2015 (08:05) Beschuldigte: «I’m already on my way» 10.03.2015 (08.06) Beschuldigte: «I have at my work a lot we can go by taxi and get it later» 10.03.2015 (08:30) Boss QQQQ.: «Where are you? Waiting for you»

- 39 - SK.2020.35 10.03.2015 (08:44) Beschuldigte: «I’m here. Which room?» 11.03.2015 (07:58) Boss QQQQ.: «Hi» 11.03.2015 (07:59) Boss QQQQ.: «Good morning» 12.03.2015 (06:56) Boss QQQQ.: «Hi. Good morning» 12.03.2015 (06:56) Beschuldigte: «I’m there at 8.30» 12.03.2015 (06:56) Boss QQQQ.: «No 8» 12.03.2015 (06:57) Boss QQQQ.: «Pls» 12.03.2015 (06:58) Boss QQQQ.: «Please we have an appointement. Please call. Now» 12.03.2015 (07:12) Beschuldigte: «Sorry! I’m there in 10 min» Zum Aufenthaltszweck ihrer «Bosse» in Basel befragt, erklärte sie am 19. August 2015, dass RRRR. und QQQQ. in der Zeit vom 10. bis 12. März 2015 «nicht nur zum Phishing» nach Basel gekommen seien (BA pag. 13-1-32). In der Schlusseinvernahme vom 5. Juli 2018 bestritt die Beschuldigte die Taten. Sie sei zum Tatzeitpunkt nicht im Hotel MMM. in Basel gewesen. Auf Vorhalt einer WhatsApp Konversation zwischen der Beschuldigten und dem «Boss» QQQQ. vom 10.-12. März 2015 (vgl. oben), welche ihre Behauptung widerlegte, sagte sie: «Scheisse. Aber es kann immer noch sein, dass ich nicht gesphisht habe …» (BA pag. 13-1-113; 10-2-117). Anlässlich der Hauptverhandlung vom 21. Januar 2021 sagte sie weitgehend gleichbleibend aus. Auf Vorhalt der WhatsApp Kon- versation, wonach hervorgeht, dass sie die Mittäter im Tatzeitraum getroffen hat und nach einem Hotelzimmer fragt, räumte sie ein, dass sie die Beteiligten ge- troffen habe (TPF pag. 19.731.17). Es kann daher als erstellt gelten, dass sich die Beschuldigte am 10. März 2015 mit ihren «Bossen» im Hotel MMM. traf. Auf- grund der Ergebnisse der Mobiltelefonüberwachung ist ferner nachgewiesen, dass sie am 10. März 2015, um 08.50 Uhr, weiter zum Hotel DDD. in Z. (BL) fuhren. In unmittelbarer Nähe der Antenne, über welche die privaten Mobiltele- fone der Beschuldigten am 10. März 2015 zwischen 09.57 und 18:50 Uhr mit dem Netz verbunden waren, befindet sich das Hotel DDD. in Z. (BL). Dass sich die Beschuldige im Hotel DDD. in Z. (BL) befand, geht auch aus dem folgenden Chatverkehr vom 10. März 2015 mit ihrer Schwester hervor: 10.03.2015 (12:08) BBBBB.: «AAAAA.: how come? ...Muesch mir verzelle […]» […] 10.03.2015 (21:35) BBBBB.: «Wells hotel sind denn?»

- 40 - SK.2020.35 10.03.2015 (21:52) Beschuldigte: «Nei CCCCC. und 2 anderi aber mir zwei göhn in e anders in Basel. Sie sind Hotel DDD.» 10.03.2015 (21:54) BBBBB.: «Ja guet DDD. isch au scheisse. Haha» […] 10.03.2015 (21:56) Beschuldigte: «CCCCC. isch sooo lieb hey, ich dänk jedesmol nonun […]» 10.03.2015 (21:57) BBBBB.: «Guet so lieb isch er sicher nid wenn er lüt vrarscht […]. Odr ischer robin hood style? […]» 10.03.2015 (21:58) Beschuldigte: «Ja aber zu sinne lüt sich er ebe schon korräkt und teilt immer alles korräkt. Aber fremdi ver- arscht er halt, ja genau che […]» Im Ergebnis ist der Nachweis erbracht, dass die Beschuldigte mit QQQQ. im Ho- tel DDD. in Z. (BL) die Phishings in den Fällen 34-36 vollzog. Sodann sendete im Fall 37 die persönliche Mobiltelefonnummer der Beschuldig- ten am Tattag vom 11. März 2015, um 12:05 Uhr, via Antenne an der […]strasse. In dieses Sendegebiet fällt der Mobilfunkmast für das Hotel MMM. Das Phishing bzw. die Abbuchung ab dem Bankkonto des Geschädigten erfolgte um 13:10 Uhr. Es kann daher als erstellt gelten, dass die Beschuldigte das Phishing im Fall 37 im Hotel MMM. in Basel vornahm. In den Fällen 38 und 39 sandte die persönliche Mobiltelefonnummer der Beschul- digten am Tattag vom 12. März 2015 an gleicher Adresse. Die Beschuldigte be- fand sich somit wiederum am Tatort im Hotel MMM. Ein gewichtiges Indiz für die Täterschaft der Beschuldigten ist ausserdem, dass sie sich im Fall 36 mit «Frau Meier» meldete und die IP-Adressen in den Fällen 35 und 36 sowie 37 und 38 identisch sind. Ausserdem war die für die Beschaffung der E-Banking-Zugangs- daten verwendete Rufnummer in den Fällen 34, 37 und 39 identisch, was eben- falls für die Täterschaft der Beschuldigten spricht, verwendete doch ausschliess- lich sie diese (BA pag. 10-2-117 f./131/179, -181 f./190 f.; B10-2-3-38; TPF pag. 19.731.17; B10-2-4-1; B10-2-2-59). Fall 40 Die Beschuldigte ist geständig. Das Geständnis deckt sich mit belastenden Indi- zien und ist mithin glaubhaft im Sinne von Art. 160 StPO. Sie hatte am Tattag vom 24. März 2015 arbeitsfrei. Sodann wurde die gleiche IP-Adresse wie im

- 41 - SK.2020.35 Phishing-Fall 41 verwendet und die Taten am gleichen Tag begangen. Ausser- dem verwendete sie das gleiche «Mule-Konto» wie im Fall 53 [BA pag 10-2-191; B10-2-2-196]). Die (Mit-)Täterschaft der Beschuldigten ist somit erstellt. Fall 41 Erwiesen ist, dass die Beschuldigte im Tatzeitpunkt vom 24. März 2015 arbeits- frei hatte. Sodann wurde im Fall 40 die gleiche IP-Adresse wie im Fall 41 verwen- det und die Taten am gleichen Tag begangen. Da im Fall 40 ein Personalbeweis in Form eines Geständnisses vorliegt, ist als erstellt zu betrachten, dass sie beide Phishings beging. Ausserdem sprechen die identischen Geräte-Konfigurationen in den Fällen 35, 37, 49 und 41 für ihre (Mit-)Täterschaft. Dass bei einer solchen fallübergreifenden Übereinstimmung von Indizien eine andere «Call-Agentin» in Basel im Einsatz gewesen sein soll, wie es die Beschuldigte vorbringt (BA pag. 13-1-112), ist lebensfremd und ist als reine Schutzbehauptung zu werten (BA pag. 10-2-128/190 f.; B10-2-2-93). Fall 42 Die Beschuldigte ist geständig. Das Geständnis deckt sich mit mehreren belas- tenden Indizien: Sie hatte am Tattag vom 25. März 2015 arbeitsfrei und verwen- dete als «Call-Agentin» den Aliasnamen «Frau Meier». Ausserdem wurde die im Telefonat mit der Privatklägerin S. verwendete SIM-Karte / Rufnummer aus- schliesslich von der Beschuldigten verwendet. Dass sie bei der anschliessenden Kontaktaufnahme mit der «Money-Mule» DDDDD. dieselbe Telefonnummer ver- wendete, belegt ihre Täterschaft zusätzlich (BA pag. 10-2-110/191; B10-2-2- 135/139; B10-2-4-8; 10-2-3-55 ff.; B10-2-3-71; B10-2-4-9). Fälle 43 und 44 Auch diesbezüglich ist die Beschuldigte geständig. Das Geständnis deckt sich mit belastenden Indizien: Die Beschuldigte hatte an den Tattagen vom 25. und

30. März 2015 arbeitsfrei und verwendete im Fall 44 den Aliasnamen «Meier», welcher ausschliesslich von ihr verwendet wurde. Ausserdem ist auffällig, dass im Fall 44 die gleiche Rufnummer wie im Phishing-Fall 42 verwendet wurde, wel- chen die Beschuldigte eingestand (BA pag. 10-2-191; B10-2-3-72; B10-2-4-9). Die (Mit-)Täterschaft ist mithin erstellt. Fälle 45-48 Es kann aus nachfolgenden Gründen als erstellt gelten, dass die Phishings vom

14. bis 16. April 2015 während des Aufenthalts der «Bosse» QQQQ. und RRRR. im Hotel DDD. in Basel begangen wurden: Die Beschuldigte gab in der

- 42 - SK.2020.35 Schlusseinvernahme zu, in diesem Hotel Phishing-Anrufe gemacht zu haben. Ein gewichtiges Indiz für die Täterschaft der Beschuldigten ist ferner, dass sie wäh- rend der «Phishing-Sessions» Ferien hatte und auf ihrem Smartphone die Hotel- buchung für RRRR. gefunden wurde. Dass das für die Phishings verwendete Te- lefon sowie das private Mobiltelefon der Beschuldigten mit der Rufnummer Tel.nr. 11 in den Fällen 46 und 47 mit demselben Antennenstandort beim Hotel DDDD. in Basel verbunden war, beweist die (Mit-)Täterschaft der Beschuldigten, zumal auch das bei der Beschuldigten sichergestellte iPad am 16. April 2015 (Fälle 46-48) mit dem drahtlosen Netzwerk (WLAN) des Hotels DDDD. in Basel verbunden war. Sodann sprechen die identische Geräte-Konfiguration und über- einstimmend verwendete Rufnummer Tel.nr. 9 in den Fällen 46 und 47 für ihre Täterschaft. Ausserdem verwendete ausschliesslich die Beschuldigte als «Call- Agentin» diese Rufnummer. Vor diesem Hintergrund bestehen keine Zweifel da- ran, dass die Beschuldigte am 14. und 16. April 2015 in den Fällen 45-48 «ge- phisht» hat (BA pag. 10-2-116/-125/-185/191 f.; B10-2-2-154/161; B10-2-4-10; B10-2-3-98; B102-2-4-9) Fall 49 Die Beschuldigte anerkennt den Anklagesachverhalt. Das Geständnis deckt sich mit objektiven Beweismitteln: So hatte sie am Tattag vom 26. Mai 2015 arbeitsfrei und auf ihrem sichergestellten Smartphone wurde die E-Banking-Zahlungsbestä- tigung vom Phishing gefunden. Auf dem Smartphone ist überdies ein Foto mit einer online übermittelten Zahlung in der Höhe von Fr. 49'500.-- ab dem Konto der Geschädigten IIII. SA mit Fälligkeit 26. Mai 2015 ersichtlich. Die (Mit-)Täter- schaft ist erstellt (BA pag. 10-2-124/191; B10-2-4-1). Fall 50 Die Beschuldigte anerkennt den angeklagten Sachverhalt. Das Geständnis deckt sich mit objektiven Beweismitteln: Das Phishing wurde zwar am 1. Juni 2015 während der Arbeitszeit der Beschuldigten getätigt. Die verwendete Rufnummer Tel.nr. 10 war indes über eine Mobilfunkantenne verbunden, welche direkt beim Arbeitsort der Beschuldigten bei der SSSS. AG in Basel steht. Diese Rufnummer wurde ausschliesslich von der Beschuldigten beim Phishing verwendet. Sie hat überdies am 28. Mai 2015 aus Basel und nochmals am 1. Juni 2015 aus Y. (BL) unter Verwendung derselben Rufnummer wie im Fall 51 die Geschädigte KKKK. angerufen. Ausserdem ist auf dem bei der Beschuldigten sichergestellten Smart- phone ein Bild mit Bankkundendaten der Geschädigten KKKK. mit dem Vermerk «good» gespeichert. Die bei der Beschuldigten sichergestellten Bankkundenda- ten der Geschädigten beweisen eindeutig ihre (Mit-)Täterschaft (BA pag. 7-4-0- 1 ff, 7-5-0-4 ff.; 10-2-171/-192 f.; B10-2-4-14).

- 43 - SK.2020.35 Fall 51 Es kann aus nachfolgenden Gründen als erstellt gelten, dass sich die Beschul- digte in ihren Ferien am 28. Mai 2015 mit den «Bossen» QQQQ. und RRRR. im Hotel RRR. in Basel zum Phishing traf: Das Hotelzimmer im Hotel RRR. in Basel wurde gemäss Hotelschein von RRRR. für die Zeitspanne vom 26. Mai 2015 bis

29. Mai 2015 gebucht. Auf Anordnung der Bundesanwaltschaft wurde das Hotel- zimmer am 28. Mai 2015 ab 13:45 Uhr akustisch überwacht. Die Audio-Überwa- chung ergab, dass sich die «Bosse» QQQQ. und RRRR. über das Phishing un- terhielten. Als die Gespräche im Hotelzimmer live abgehört wurden hat die Be- schuldigte am 28. Mai 2015, ab 14:08 Uhr, ein Voice-Phishing-Telefonat im Na- men des Finanzinstituts C. mit dem Bankkunden JJJJ. geführt. Die Beschuldigte hat unter Verwendung derselben Rufnummer Tel.nr. 10 wie im Fall 50 und des Aliasnamens «Frau Meier» den Geschädigten angerufen und seine E-Banking- Zugangsdaten erfragt. Der Aliasname sowie die verwendete Rufnummer wurden nur von der Beschuldigten verwendet. Da ausserdem die Stimme der Beschul- digten beim audio-überwachten deliktischen Telefongespräche erkannt wurde, ist ihre (Mit-)Täterschaft eindeutig erstellt (BA pag. 10-2-105/115 f.; B10-2-3-16; B10-2-4-16; B10-2-4-14; B10-2-4-9). Fälle 52 und 53 Gemäss den Erkenntnissen aus der Überwachung des Fernmeldeverkehrs wurde die Beschuldigte am 5. Juni 2015 auf ihre überwachte Telefonnummer Tel.nr. 11 angerufen. Die Beschuldigte unterhielt sich mit einem Mann englischer Sprache mit einer niederländischen Nummer (Tel.nr. 12). Die niederländische Nummer war als WhatsApp-Kontakt «BOSS» in ihrem Mobiltelefon gespeichert. In diesem Gespräch sagte die Beschuldigte, dass sie übernächste Woche kom- men und eine Woche bleiben könne. Es ging offensichtlich um eine Reise in die Niederlande. Beweismässig ist aufgrund der auf dem sichergestellten Mobiltele- fon der Beschuldigten ersichtlichen Flugbuchung weiter erwiesen, dass sie vom

14. bis 19. Juni 2015 bei ihrem «Boss» in den Niederlanden war. Sie hatte wäh- rend der Phishings am 16. und 19. Juni 2015 Ferien (Fall 52) bzw. arbeitsfrei (Fall 53). In dieser Zeit wurden die beiden Phishing-Fälle mit dem Aliasnamen «Meier» durchgeführt. Im Fall 52 konnte sich LLLL. explizit an den von der Be- schuldigten verwendeten Namen erinnern. Die Beschuldigte hat zwar nur im Fall 53 den angeklagten Sachverhalt anerkannt. Die beiden Fälle hängen aber örtlich und zeitlich unmittelbar miteinander zusammen. Die Annahme, dass eine andere «Telefonistin» im Fall 52 aus den Niederlanden mit demselben Aliasna- men «phishte», wäre lebensfremd. Ausserdem hat die Beschuldigte nach ihrer Rückkehr aus den Niederlanden am 19. Juni 2015 im Fall 53 unter Verwendung der auf ihren Namen registrierten Rufnummer Tel.nr. 11 mit ihrem «Boss» betref-

- 44 - SK.2020.35 fend die Überweisung des «gephishten» Geldes telefoniert. Gemäss den Er- kenntnissen aus dem überwachten Fernmeldeverkehr sollte die Transaktion am folgenden Montag verbucht werden. Die Beschuldigte hoffte zudem, dass das Opfer es nicht bemerken werde. Dass sich die Beschuldigte nach dem Phishing mit ihrem «Boss» noch über die inkriminierte Geldüberweisung unterhielt, ist ein sehr gewichtiges Indiz für ihre (Mit-)Täterschaft. Ferner ergab eine Auswertung des Notebooks der Beschuldigten, dass sie am 22. Juni 2015 eine google-Suche nach «dr. MMMMM.» machte. Bei Dr. MMMMM. handelt es sich um den Geschä- digten im Fall 53, welcher von der Beschuldigten am 19. Juni 2015 von den Nie- derlanden aus angerufen wurde. Die Täterschaft ist daher erstellt (BA pag. 10-2- 103/-113/-119/-126 f./-193; B10-2-4-1; 13-1-9; B10-2-191; B10-2-3-115/117 ff.; B10-2-3-110; B10-2-4-9/14). Fälle 54 und 55 Beweismässig spricht für die Tatbeteiligung der Beschuldigten, dass sie zur Tat- zeit der Phishings am 30. März 2015 arbeitsfrei hatte und im Fall 55 den aus- schliesslich von ihr verwendeten Aliasnamen «Meier» verwendet wurde (vgl. E. 4.4.5.1 b). Am 30. März 2015 (Fall 55) wurde unter Verwendung des Aliasnamens «Meier» die Bankkundin SSS. anzurufen versucht. Gleichentags wurde (Fall 54) unter Verwendung der Rufnummer Tel.nr. 8 (gleiche Rufnummer wie beim Anruf an den «Money-Mule» EEEEE. im Fall 40) und dem Aliasnamen «Meier» NNNN. angerufen, um die telefonischen E-Banking-Zugangsdaten zu erfragen. Jedoch wurde das Gespräch kurz nach dem Verbindungsaufbau abge- brochen. Es handelt sich somit um zwei versuchte Phishing-Anrufe. Die verwen- dete SIM-Karte / Rufnummer wurde ausschliesslich von der Beschuldigten ver- wendet. Der Umstand, dass an diesem Tag dieselbe Rufnummer wie im Fall 40 verwendet wurde, ist ein weiteres Indiz für die (Mit-)Täterschaft der Beschuldig- ten. Diese fallübergreifende Übereinstimmung der Indizien spricht eindeutig für die Täterschaft der Beschuldigten, zumal sie den angeklagten Sachverhalt im Fall 40 anerkannt hat (BA pag. 10-2-193; B10-2-3-83; B10-2-3-81). Fälle 56 und 57 Weiter ist beweismässig erstellt, dass die Beschuldigte an den Deliktstagen vom 27./28. Mai 2015 arbeitsfrei hatte. Sie hat am 27. Mai 2015 (Fall 56) aus Basel- Stadt unter Verwendung derselben Rufnummer Tel.nr. 10 wie im Fall 50 – wel- chen sie anerkannte – und 51 den Geschädigten OOOO. anzurufen versucht. Am 28. Mai 2015 (Fall 57) hat sie aus Basel unter Verwendung derselben Ruf- nummer die Geschädigte PPPP. anzurufen versucht. Diese Rufnummer verwen- dete ausschliesslich die Beschuldigte als «Call-Agentin». Sodann lagen die bei- den Antennenstandorte (der vorgenannten Telefonate mit der Rufnummer

- 45 - SK.2020.35 Tel.nr. 10) zum Tatzeitpunkt am 27./28. Mai 2015 an der […]strasse in Basel. Ausserdem hat sie in beiden Fällen auf ihrem Smartphone die Bankkundendaten der Geschädigten mit dem Vermerk «good» gespeichert. Die Übereinstimmung der Indizien spricht für die Täterschaft der Beschuldigten (BA pag. 10-1-193 f.; B10-2-3-124; B10-2-4-1/14). Fälle 58-61 Ein Indiz für die Täterschaft ist der Umstand, dass sie an den Deliktstagen Ferien (Fälle 59-61 [22.11.2012; 06.12.2012; 18.12.2012]) bzw. arbeitsfrei (Fall 58 [02.11.2012]) hatte. In den Fällen 58, 59 und 61 meldete sich die «phishende» «Telefonistin» bei den «Lockvögeln» der Bank B. mit dem Aliasnamen «Meier», welchen nur sie verwendete. Sodann sprechen die identischen IP-Adressen in den Fällen 58 und 59 sowie übereinstimmenden Geräte-Konfigurationen in den Fällen 59-61 für die gleiche Täterschaft. Die Annahme, dass eine andere Telefo- nistin die Lockvögel der Bank angerufen haben könnte, ist bei lebensnaher Be- trachtung ausgeschlossen. Die Täterschaft ist erstellt (BA pag. 10-2-194). 4.4.6 Deliktssumme Die Beschuldigte bzw. ihre Mittäter vermochten nicht in allen ihr vorgeworfenen Fällen erfolgreich auf das Online-Banking der Geschädigten zuzugreifen. In vier Fällen (58-61) waren Lockvögel der Bank B. als vermeintliche Bankkunden am Telefon, sodass keine Transfers ausgelöst wurden (BA pag. 10-2-194). Ebenso wurden in den Fällen 54-57 keine Zahlungen ausgelöst, da es sich um Phishing- Anrufversuche der Beschuldigten handelte. Sodann wurde im Fall 13 – wohl we- gen der Zahlungshöhe von Fr. 58'000.-- – durch das System der Bank keine Zah- lung ausgelöst (BA pag. B10-2-1-157; 10-2-187). In 25 Fällen (3, 4, 7, 9, 16, 21, 31, 34-41, 43, 45-53) konnte die Auszahlung durch die Bank gestoppt werden. In 26 Fällen führten die Banken die unbefugt erteilten Zahlungsaufträge aus und die jeweiligen Deliktssummen wurden von den Konten der geschädigten Personen auf die «Mule-Konten» überwiesen (Fälle 1, 2, 5, 6, 8, 10-12, 14, 15, 17-20, 22-25, 28-30, 32, 33, 42, 44 und 40). Im Ergebnis bleibt ein Deliktsbetrag in Be- zug auf die vollendeten Delikte von Fr. 602'685.56 bzw. angestrebter Verbre- chenserlös von Fr. 1'539'268.22 (BA pag. 10-2-180 ff.; B10-2-1-1 ff.). 4.4.7 Die Beschuldigte war am Deliktserlös im Umfang von 2-3 % beteiligt. Sie betrieb innerhalb der zwei langen Deliktszeiträume vom 2. November 2012 bis 4. Sep- tember 2013 und vom 10. März 2015 bis zu ihrer Verhaftung am 22. Juni 2015 einen grossen Aufwand für das Phishing (Koordination mit Mittätern, Recherchen über anzurufende Bankkunden, Sammlung und Aufbereitung der via Phishing- Webseiten beschafften Bankkundendaten, Aufenthalte in Hotels, Reisen in das

- 46 - SK.2020.35 Ausland) und agierte bei den Phishing-Telefonaten äusserst professionell mittels Social Engineering. 4.4.8 In subjektiver Hinsicht wusste die Beschuldigte, dass sie keine Erlaubnis der je- weiligen Bankkunden hatte, deren E-Banking-Zugangsdaten zu verwenden und Zahlungsaufträge zu erteilen. Sie bezweckte, sich unrechtmässig zu bereichern. 4.4.9 Im Ergebnis bestehen für das Gericht keine ernsthaften Zweifel, dass die Be- schuldigte die angeklagten Sachverhalte (bis auf die Fälle 26 und 27) begangen hat bzw. als Mittäterin daran beteiligt war (vgl. E. 4.5). Der Anklagesachverhalt gemäss Ziff. 1. ist in objektiver und subjektiver Hinsicht erstellt. 4.5 Mittäterschaft 4.5.1 Nach der Rechtsprechung ist Mittäter, wer bei der Entschliessung, Planung oder Ausführung eines Deliktes vorsätzlich und in massgebender Weise mit anderen Tätern zusammenwirkt, so dass er als Hauptbeteiligter dasteht. Dabei kommt es darauf an, ob der Tatbeitrag nach den Umständen des konkreten Falles und dem Tatplan für die Ausführung des Deliktes so wesentlich ist, dass sie mit ihm steht oder fällt. Das blosse Wollen der Tat, der subjektive Wille allein genügt zur Be- gründung von Mittäterschaft jedoch nicht. Der Mittäter muss vielmehr bei der Ent- schliessung, Planung oder Ausführung der Tat auch tatsächlich mitwirken. Dar- aus folgt aber nicht, dass Mittäter nur ist, wer an der eigentlichen Tatausführung beteiligt ist oder sie zu beeinflussen vermag (vgl. BGE 125 IV 134 E. 3a mit Hin- weisen). Die Frage, ob ein Beteiligter an der Tatherrschaft teilhat und deshalb Mittäter ist, entscheidet sich nach der Art des Tatbeitrags. Dabei sind tatbe- standsmässige Ausführungshandlungen keine notwendige Voraussetzung für die Annahme von Mittäterschaft (BGE 126 IV 84 E. 2c/aa; 125 IV 134 E. 3a; 120 IV 17 E. 2d). Der Beteiligte muss jedoch – damit von Tatherrschaft ausge- gangen werden kann – in für die Tat massgebender Weise mit dem bzw. den anderen Tätern zusammenwirken. Dabei ist die Gesamtheit der Umstände des Tatgeschehens zu berücksichtigen (DONATSCH/TAG, Strafrecht I, Verbrechens- lehre, 9. Aufl. 2013, S. 175 f.). 4.5.2 Die Beschuldigte hat die angeklagten und in tatsächlicher Hinsicht erstellten Buchgeldtransfers nicht eigenhändig vorgenommen; vielmehr haben andere Per- sonen, die sich jeweils in denselben Räumlichkeiten wie die Beschuldigte auf- hielten, die Online-Banktransaktionen ausgeführt. Bei gegebener Akten- und Be- weislage ist ferner davon auszugehen, dass nicht die Beschuldigte, sondern sich in den Niederlanden aufhaltende Nigerianer den Tatentschluss fassten und den Tatplan erstellten. Neben Banken bzw. deren Kunden in der Schweiz wurden von den Drahtziehern auch solche in Österreich und Deutschland anvisiert. In Bezug

- 47 - SK.2020.35 auf vorliegenden Deliktskomplex bedurfte der Täterkreis indes für die Tatausfüh- rung einer Person deutscher Muttersprache, welche die Rolle der angeblichen Bankmitarbeiterin einnahm, die – wie im Spam-E-Mail angekündigt – telefonisch Kunden im Hinblick auf ein Systemupdate kontaktierte, um auf vertrauensvolle Weise die E-Bankingzugangsdaten erhältlich zu machen. Um vorliegenden Mo- dus Operandi erfolgreich umzusetzen, war der Beitrag der Beschuldigten inso- weit zentral und essenziell, als die Täterschaft nur durch ihre (im Basler Dialekt getätigten) Anrufe die betreffenden Daten (PIN-Codes) beschaffen konnte, die dann in der Folge unbefugt zur Vornahme von Transfers verwendet wurden. Die Beschuldigte war jeweils als «Call-Agentin» bei der Ausführung der Delikte im Deliktszeitpunkt am Tatort anwesend, damit der Zahlungsauftrag unmittelbar nach Erhalt der PIN-Codes überhaupt erfolgen konnte. Damit kommt der Be- schuldigten Tatherrschaft zu, weil mit ihrem vorbereitenden Beitrag die Durch- führung des betrügerischen Missbrauchs einer Datenverarbeitungsanlage stand oder fiel. Es liegt somit Mittäterschaft vor (vgl. E. 4.5.1). Selbst wenn noch eine weitere deutschsprachige Person zugegen war – wie es die Beschuldigte be- hauptet – bestand eine Austauschbarkeit der Rollen, so dass auch betreffende Delikte der Beschuldigten als Mittäterin angerechnet werden können. Infolgedes- sen sind die von den Mittätern vorgenommenen bzw. versuchten Geldtransfers der Beschuldigten anzurechnen (BA pag. 10-2-101 ff.). 4.6 Subsumtion 4.6.1 Die Täterschaft hatte keine Berechtigung, über die Zugangsdaten (Vertragsnum- mer, Passwort und PIN) für die fremden E-Bankingkonti zu verfügen. Dadurch wurden die Daten im Sinne der betreffenden Tatvariante unbefugt verwendet. Infolgedessen wurden die Server der Bank B. bzw. des Finanzinstituts C., welche Datenverarbeitungsanlagen im Sinne des Tatbestandes darstellen, insoweit «ge- täuscht», als bei diesen ein tatsachenwidriges Eingaberesultat ausgelöst wurde. Dieses lag darin, dass die Server fälschlicherweise annahmen, die Kontoinhaber wollten eine Zahlung über die betreffenden Beträge auf das Konto der «Money Mules» auslösen. Damit liegt auch das ungeschriebene Tatbestandsmerkmal des «unzutreffenden Ergebnisses» vor, welches als Folge der unbefugten Ver- wendung eintreffen muss. In den von den E-Bankingsystemen ausgeführten Buchgeldüberweisungen liegen ohne Weiteres Vermögensverschiebungen, wur- den doch Buchgelder auf fremde Konten übertragen. Damit wurde der Konto- stand der Kontoinhaber reduziert, mithin die Forderungen der Bankkunden ge- genüber der Bank herabgesetzt, womit in 26 Fällen ein Schaden im Betrag von Fr. 602'685.56 in Form der Minderung von Aktiven eingetreten ist, hat sich doch die Forderung der Bankkunden gegenüber der Bank in entsprechendem Umfang reduziert, soweit nach den massgeblichen Vertrags- und Rechtsgrundlagen die Kunden für den Schaden haften. In 26 Fällen liegt somit ein vollendetes Delikt

- 48 - SK.2020.35 vor. Wenn bzw. soweit die Banken die Kunden schadlos halten würden, wäre bzw. ist der Schaden bei der Bank B. resp. beim Finanzinstitut C. eingetreten. In fünf Fällen (Fälle 13, 58-61) wurden keine Zahlungen ausgelöst. Es handelt sich um versuchte betrügerische Missbräuche von Datenverarbeitungsanlagen mit einem potentiellen Deliktsbetrag von Fr. 115'700.--. Fraglich ist, ob in den 25 Fällen, in denen die Überweisungen von den Banken gestoppt werden konn- ten, der Tatbestand bereits vollendet ist. Obschon bereits eine Vermögensge- fährdung u.U. einen Vermögenschaden darstellen kann (vgl. E. 4.2.6), ist dies in vorliegenden Konstellationen jedoch gerade noch nicht der Fall, da die betreffen- den Transaktionen noch rechtzeitig gelöscht werden konnten, so dass die betref- fenden Buchgelder nie die Vermögenssphäre der Banken bzw. deren Kunden verliessen, so dass die betreffende Gefährdung sich nicht auf eine bilanzrele- vante Weise bei den Bankkunden oder bei der Bank auswirkte. Insoweit ist auch in den betreffenden 25 Fällen (mit einem potentiellen Deliktsbetrag von Fr. 867’382.66) von versuchten betrügerischen Missbräuchen von Datenverar- beitungsanlagen auszugehen. In vier Fällen (Fälle 54-57) liegen Phishing-Anrufversuche vor. Auch hier lägen versuchte betrügerische Missbräuche von Datenverarbeitungsanlagen (Art. 147 i.V.m. Art. 22 Abs. 1 StGB) vor, da mit dem Tätigen der Anrufe – aufgrund der nahen zeitlichen Abfolge – bei vorliegendem Modus Operandi der letzte entschei- dende Schritt ins Verbrechen überschritten wurde und lediglich wegen äusserer Umstände, wie die Nichtannahme des Anrufs, die Durchführung der Tat, die un- mittelbar bevorstand, nicht vollendet werden konnte. Der Anklagegrundsatz ver- bietet indes vorliegend – trotz des angebrachten Würdigungsvorbehalts (siehe E. 1.4.2) – eine Verurteilung, da die Elemente von Art. 147 i.V.m. Art. 22 Abs. 1 StGB in sachverhaltlicher Hinsicht zu wenig umschrieben sind. Insbesondere sind der Tatentschluss, ein solches Delikt zu begehen sowie der angestrebte Vermögensschaden unzureichend umschrieben. Sodann fehlt die tatsächliche Umschreibung der Tatnähe. 4.6.2 Gewerbsmässigkeit Was die zeitliche Komponente anbelangt, indizieren die Häufigkeit der Einzel- akte, dass die Beschuldigte die deliktische Tätigkeit nach der Art eines Berufes ausgeübt hat. Zwar ging sie hauptberuflich als Angestellte einer legalen Tätigkeit nach, doch in den Ferien und an den sonstigen arbeitsfreien Tagen betrieb sie die deliktische Tätigkeit quasi in Form eines Nebenerwerbs, was grundsätzlich für die Annahme einer berufsmässigen Tätigkeit ausreicht (vgl. Urteil des Bun- desgerichts 6B_253/2016 vom 29. März 2017 E. 2.4; BGE 123 IV 113 E. 2c). Entscheidend ist ferner, ob durch deliktische Handlungen Einkünfte angestrebt

- 49 - SK.2020.35 wurden, die einen namhaften Beitrag an die Kosten zur Finanzierung der Lebens- gestaltung darstellen (vgl. E. 4.2.8). Da es sich bei der Gewerbsmässigkeit im Sinne von Art. 147 Abs. 2 StGB um ein persönliches Merkmal im Sinne von Art. 27 StGB handelt (vgl. E. 4.2.8), sind – entgegen den Ausführungen der Bun- desanwaltschaft – nicht die von der Täterschaft generierten oder angestrebten Einkünfte, sondern die von der Beschuldigten persönlich erzielten bzw. ange- strebten Einkünfte massgebend. Die Beschuldigte verdiente nach eigenen Anga- ben in ihrem Beruf zwischen Fr. 5'000.-- und Fr. 7'000.-- (BA pag. 13-1-2). Sie gab im Vorverfahren sowie an der Hauptverhandlung an, 2-3 % des deliktisch erlangten Geldes erhalten zu haben (BA pag. 13-1-10; TPF pag. 19.721.018), an anderer Stelle sagte sie aus, dass sie jeweils EUR 200, 300 oder 500 (entspre- chend rund 3 %) in bar erhalten habe; wieviel sie insgesamt erhalten habe, könne sie nicht sagen (BA pag. 13-1-118). In Ermangelung anderer Nachweise, ist zu- gunsten der Beschuldigten im Sinne ihrer Angaben davon auszugehen, dass sie 3 % des Deliktserlöses von Fr. 602'685.56, mithin einen Betrag von rund Fr. 18'000.-- erhalten hat, wovon auch ihr Verteidiger ausgeht (TPF pag. 19.721. 033), indes ein Deliktserlös von über Fr. 46'000.-- (3 % von Fr. 1'539'268.22) an- gestrebt wurde. Im Zeitraum der deliktischen Tätigkeit von 14 Monaten ergibt dies monatlich einen Betrag von über Fr. 1'200.-- erzielten Erlöses bzw. Fr. 3'200.-- angestrebten Erlöses monatlich. Obschon die Beschuldigte im zweiten Delikts- zeitraum auch noch einen weiteren Nebenerwerb in Form der Vermietung von Erotikstudioräumen betrieb (BA pag. 13-1-122), reichten die erzielten bzw. beab- sichtigten deliktischen Einkünfte aus, um damit einen Teil der Lebenshaltungs- kosten mit einem namhaften Beitrag zu finanzieren. Das gewerbsmässige Han- deln ist daher gegeben. 4.6.3 In subjektiver Hinsicht bestehen am Vorsatz keine Zweifel. Die Beschuldigte wusste, dass sie keine Erlaubnis der jeweiligen Bankkunden hatte, deren E-Ban- king-Zugangsdaten für Zahlungsaufträge zu verwenden. Sie beabsichtigte, dass die Banken die unbefugt erteilten Zahlungsaufträge ausführen und die jeweiligen Deliktssummen von den Konten der (geschädigten) Bankkunden auf die «Mule- Konten» überwiesen werden. Sodann strebte sie eigene finanzielle Vorteile an und wollte sich eine nicht unbedeutende, stetige Einkommensquelle sichern. 4.6.4 Zusammenfassend ist sowohl der objektive wie auch der subjektive Tatbestand von Art. 147 Abs. 1 und 2 StGB erfüllt. 4.7

4.7.1 Begeht der Täter vollendete und versuchte gleichartige Delikte und handelt er dabei gewerbsmässig, geht der Versuch im vollendeten gewerbsmässigen (Kol- lektiv-)Delikt auf (BGE 123 IV 113 E. 2c; vgl. Urteil des Bundesgerichts

- 50 - SK.2020.35 6B_482/2017 vom 17. Mai 2017 E. 4.3). Insgesamt ist somit die von der Bundes- anwaltschaft in der Anklageschrift vorgenommene Subsumtion der versuchten Delikte unter den Tatbestand von Art. 147 Abs. 1 i.V.m. Abs. 2 StGB, also ge- werbsmässiger betrügerischer Missbrauch einer Datenverarbeitungsanlage, nicht zu beanstanden. 4.7.2 Entgegen der Anklage liegt kein mehrfacher gewerbsmässiger betrügerischer Missbrauch einer Datenverarbeitungsanlage vor. Zwar liegen zwei Deliktsserien vor, zwischen denen eine Unterbrechung von rund 17 Monaten liegt. Indes ba- sierte die zweite Deliktsserie auf demselben Tatentschluss und -plan wie die erste und auch das Handlungsmuster war im Wesentlichen deckungsgleich. Wie bei Seriendelikten üblich wurde diese nach demselben Modus Operandi durch- geführt, so dass im Kollektivdelikt alle Einzeldelikte aufgehen. Die Deliktsserien erscheinen vorliegend als Einheit im Sinne eines zusammenhängenden Gesche- hens. Insoweit ist von einem (im natürlichen und rechtlichen Sinne) einheitlich begangenen, gewerbsmässigen betrügerischen Missbrauch einer Datenverar- beitungsanlage auszugehen. 4.7.3 Kein Freispruch hat zu erfolgen, wenn im Falle von Tateinheit nicht wegen aller Delikte eine Verurteilung erfolgt. Dies gilt auch, wenn eine oder mehrere ange- klagte Taten eine rechtliche Bewertungseinheit bilden (z.B. bei Gewerbsmässig- keit), jedoch nicht alle Einzeltaten erwiesen sind (BGE 142 IV 378 E. 1.3). In den Fällen 26 und 27 erachtet das Gericht den Nachweis einer Tatbeteiligung nicht erbracht. Da aber vorliegend gewerbsmässige Tatbegehung vorliegt, erfolgt im Sinne der bundesgerichtlichen Rechtsprechung hinsichtlich dieser zwei Fälle kein Freispruch. 4.8 Rechtfertigungs- und Schuldausschlussgründe werden weder geltend gemacht noch sind solche aus den Akten ersichtlich. 4.9 Im Ergebnis ist die Beschuldigte des gewerbsmässigen betrügerischen Miss- brauchs einer Datenverarbeitungsanlage gemäss Art. 147 Abs. 1 und Abs. 2 StGB schuldig zu sprechen. 5. Mehrfache bandenmässige Geldwäscherei (Art. 305bis Ziff. 1 und 2 lit. b StGB) 5.1 Anklagevorwurf Die Anklage wirft der Beschuldigten vor, sie habe gemeinsam mit ihren Mittätern in den Fällen 40, 42 und 53 bandenmässig die «Money-Mules» über die Herkunft

- 51 - SK.2020.35 der auf ihre «Mule-Konten» überwiesenen Gelder getäuscht und diese beauf- tragt, die Gelder in bar abzuheben und – abzüglich einer «Provision» – den Geld- kurieren der Täterschaft abzugeben. Sie habe um die verbrecherische Herkunft der durch Phishing überwiesenen Gelder gewusst und mit den Handlungen der «Money-Mules» die Auffindung und Einziehung dieser Gelder vereitelt. Die einzelnen Anklagevorwürfe lauten wie folgt:

a) Fall 40: EEEEE. sei von der Tätergruppierung um die Beschuldigte als «Mo- ney-Mule» rekrutiert worden. Am 24. März 2015 sei die Deliktssumme von Fr. 23'100.-- auf das «Mule-Konto» von EEEEE. überwiesen worden. Sie habe vom 25. bis 30. März 2015 unter Verwendung der Mobiltelefonnummer Tel.nr. 8 und des Aliasnamens «Frau Marti» mindestens zweimal per Telefon mit EEEEE. telefoniert und diesen dazu bestimmt, die Deliktssumme von seinem «Mule- Konto» in bar abzuheben und einem ihm unbekannten Geldkurier zu übergeben.

b) Fall 42: DDDDD. sei von der Tätergruppierung um die Beschuldigte als «Mo- ney-Mule» rekrutiert worden. Am 25. März 2015 sei die Deliktssumme von Fr. 17'500.-- auf das «Mule-Konto» DDDDD. überwiesen worden. Sie habe vom

26. März bis 1. April 2015 unter Verwendung der Mobiltelefonnummer Tel.nr. 8 und des Aliasnamens «Frau Berger» mehrmals per SMS und per Telefon mit DDDDD. kommuniziert und diese dazu bestimmt, die Deliktssumme von ihrem «Mule-Konto» in bar abzuheben und einem ihr unbekannten Geldkurier zu über- geben.

c) Fall 53: EEEEE. sei von der Tätergruppierung um die Beschuldigte als «Mo- ney-Mule» rekrutiert worden. Am 19. Juni 2015 sei die Deliktssumme von Fr. 87'000.-- auf das «Mule-Konto» EEEEE. überwiesen worden. Sie habe vom

18. bis 22. Juni 2015 unter Verwendung der Mobiltelefonnummer Tel.nr. 13 und des Aliasnamens «Frau Berger» per Telefon mit EEEEE. kommuniziert und die- sen dazu bestimmt, die Deliktssumme von seinem «Mule-Konto» in bar abzuhe- ben und dem Geldkurier T. zu übergeben. 5.2 Rechtliches Gemäss Art. 305bis Ziff. 1 StGB macht sich der Geldwäscherei schuldig, wer eine Handlung vornimmt, die geeignet ist, die Ermittlung der Herkunft, die Auffindung oder die Einziehung von Vermögenswerten zu vereiteln, die – wie er weiss oder annehmen muss – aus einem Verbrechen herrühren. Begeht der Täter die Tat als Mitglied einer Verbrechensorganisation, als Mitglied einer Bande, gewerbs- mässig oder unter ähnlich erschwerenden Umständen, liegt ein schwerer Fall der Geldwäscherei i.S.v. Art. 305bis Ziff. 2 StGB vor.

- 52 - SK.2020.35 5.2.1 Objektiver Tatbestand Mit Blick auf den objektiven Tatbestand wird durch Geldwäscherei in erster Linie die Einziehung, d.h. der Zugriff der Strafbehörden auf eine Verbrechensbeute, vereitelt. Täter kann jedermann sein, auch der Vortäter selbst. Das strafbare Ver- halten liegt in der Sicherung der durch die Vortat unrechtmässig erlangten Ver- mögenswerte. Es handelt sich um ein typisches Anschlussdelikt. Strafbar ist die Vereitelungshandlung als solche, unbesehen eines Vereitelungserfolgs. Die Geldwäscherei setzt nicht zwingend komplizierte Finanztransaktionen voraus. Tatobjekt der Geldwäscherei nach Art. 305bis StGB sind alle Vermögenswerte, die aus einem Verbrechen herrühren (BGE 144 IV 172 E. 7.2; BGE 122 IV 211 E. 3c;129 IV 322 E. 2.2.4; 128 IV 117 E. 7a, mit Hinweisen; 126 IV 255 E. 3a; PIETH, Basler Kommentar, 4. Aufl. 2019, Art. 305bis StGB N. 9 ff. und 38 ff., mit Hinweisen). Der Geldwäschereitatbestand verlangt aufgrund seines akzessorischen Charak- ters neben dem Nachweis der Geldwäschereihandlung sowohl den Nachweis der Vortat – eines Verbrechens im Sinne von Art. 10 Abs. 2 StGB – als auch den Nachweis, dass die Vermögenswerte aus eben dieser Vortat herrühren. Gemäss Rechtsprechung des Bundesgerichts ist die verbrecherische Herkunft der Ver- mögenswerte nicht in extenso zu beweisen; das Bundesgericht fordert lediglich eine lockere Verbindung zwischen dem Delikt, aus dem die Vermögenswerte stammen, und der Geldwäscherei. Insbesondere müssen weder der Täter noch die genauen Umstände der Vortat bekannt sein. Es genügt die Gewissheit, dass die Vermögenswerte aus einem Verbrechen stammen (BGE 138 IV 1 E. 4.2.2, E 4.2.3.2; ferner PIETH, a.a.O., Art. 305bis StGB N. 36). 5.2.2 Subjektiver Tatbestand In subjektiver Hinsicht ist Vorsatz erforderlich, wobei Eventualvorsatz genügt. Der Geldwäscher muss die verbrecherische Herkunft der Vermögenswerte und die Verwirklichung des Vereitelungszusammenhangs, der ihm objektiv zur Last ge- legt wird, zumindest in Kauf nehmen, d.h. mit einer möglichen Tatbestandsver- wirklichung einverstanden sein. Sein (Eventual-)Vorsatz muss sich dabei auf alle objektiven Tatbestandsmerkmale beziehen, auch auf die Vereitelungshandlung und die Herkunft des Geldes. Dabei genügt es, wenn der Täter die einzelnen Elemente entsprechend der «Parallelwertung in der Laiensphäre» verstanden hat. So braucht er nicht zu wissen, dass die Handlung, aus welcher die Vermö- genswerte stammen, ein Verbrechen im Sinne von Art. 10 StGB ist, sondern nur, dass die Vermögenswerte aus einer schwerwiegenden Vortat stammen, die er- hebliche Sanktionen nach sich zieht; dabei genügt gemäss Botschaft des Bun- desrates zu Art. 305bis StGB, dass der Täter die Vortat für schwerwiegender hält

- 53 - SK.2020.35 als ein Bagatelldelikt (vgl. Botschaft über die Änderung des Schweizerischen Strafgesetzbuches [Gesetzgebung über Geldwäscherei und mangelnde Sorgfalt bei Geldgeschäften], vom 12. Juni 1989, BBl 1989 II, 1061, 1085). Die konkreten Umstände der Vortat braucht der Geldwäscher nicht zu kennen; vielmehr genügt es, wenn Verdachtsgründe die Möglichkeit einer strafbaren Vortat nahelegen. Er braucht auch nicht zu wissen, dass das Gesetz die entsprechende Qualifikation als Verbrechen vornimmt (z.B. Diebstahl, qualifizierte Veruntreuung, Betrug, qua- lifizierte Betäubungsmitteldelikte), jedoch muss er die für die Subsumtion erfor- derlichen Umstände kennen (BGE 138 IV 1; 129 IV 238 E. 3.2.2; 122 IV 211 E. 2e; 119 IV 242 E. 2b; Urteil des Bundesgerichts 6B_900/2009 vom 21. Okto- ber 2010 E. 6.1 [nicht publiziert in BGE 136 IV 179]; Urteil des Bundesstrafge- richts SK.2018.73 vom 8. Oktober 2019 E. 1.2.2; TRECHSEL/PIETH, Praxiskom- mentar, 3. Aufl. 2018, Art. 305bis StGB N. 21, mit Hinweisen; ACKERMANN/ZEHN- DER, in: Ackermann [Hrsg.], Kommentar Kriminelles Vermögen – Kriminelle Or- ganisationen: Einziehung, Kriminelle Organisation, Finanzierung des Terroris- mus, Geldwäscherei, Bd. Il, 2018, Art. 305bis StGB N. 672 ff.). 5.2.3 Mittäterschaftliche Tatbegehung In Bezug auf die Voraussetzungen und Rechtsprechung für Mittäterschaft kann auf Erwägung 4.5.1 verwiesen werden. 5.2.4 Qualifikation Nach Art. 305bis Ziff. 2 StGB liegt ein schwerer Fall der Geldwäscherei unter an- derem dann vor, wenn der Täter als Mitglied einer Bande handelt, die sich zur fortgesetzten Ausübung der Geldwäscherei zusammengefunden hat (lit. b). Aus der Formulierung des Gesetzes («insbesondere») ergibt sich, dass auch andere als die in Ziff. 2 lit. a–c aufgezählten schweren Fälle denkbar sind. Dabei müssen die Taten in objektiver und subjektiver Hinsicht gleich schwer wiegen wie die im Gesetz genannten Beispiele (BGE 114 IV 164 E. 2b; Urteil des Bundesstrafge- richts SK.2019.77 vom 26. Juni 2020 E. 3.4). Gemäss bundesgerichtlicher Rechtsprechung liegt Bandenmässigkeit vor, wenn sich zwei oder mehrere Täter mit dem ausdrücklich oder konkludent geäusserten Willen zusammenfinden, inskünftig zur Verübung mehrerer selbständiger im Ein- zelnen noch unbestimmter Straftaten zusammenzuwirken (Urteile des Bundes- gerichts 6B_1302/2020 vom 3. Februar 2021 E. 2.4.2 und 6B_1047/2008 vom

20. März 2009 E. 4.1). Dieser Zusammenschluss ist es, der den Einzelnen psy- chisch und physisch stärkt, ihn deshalb besonders gefährlich macht und die Be- gehung von weiteren solchen Straftaten voraussehen lässt. Das Qualifikations-

- 54 - SK.2020.35 merkmal der Bande setzt gewisse Mindestansätze einer Organisation, etwa Rol- len- oder Arbeitsteilung, und eine Intensität des Zusammenwirkens in einem Masse voraus, dass von einem stabilen Team gesprochen werden kann, auch wenn dieses nur kurzlebig ist. Ist demgegenüber schon die Zusammenarbeit der- art locker, dass von Anfang an nur ein loser und damit völlig unbeständiger Zu- sammenhalt besteht, liegt keine Bande vor. Für den Vorsatz hinsichtlich der Ban- denmässigkeit ist wesentlich, ob der Täter die Tatsachen kannte und wollte, aus denen das Gericht den rechtlichen Schluss auf bandenmässige Tatbegehung zieht. Bandenmässigkeit ist erst anzunehmen, wenn der Wille der Täter auf die gemeinsame Verübung einer Mehrzahl von Delikten gerichtet ist. Diese Begriffs- beschreibung verdeutlicht, dass es sich bei der bandenmässigen Tatbegehung gar um eine gegenüber der Mittäterschaft intensivierte Form gemeinsamen de- liktischen Vorgehens handelt, die durch ein gemeinsames, übergeordnetes Ban- deninteresse sowie einen gefestigten Bandenwillen gekennzeichnet ist (Urteil des Bundesgerichts 6B_1302/2020 vom 3. Februar 2021 E. 2.4.2; vgl. BGE 124 IV 86 E. 2b, S. 88 f.; 124 IV 286 E. 2a, S. 293 f.; 135 IV 158 E. 2 und 3.4 S. 158 ff.; TRECHSEL/PIETH, a.a.O., Art. 305bis StGB N. 25 mit Verweis auf TRECHSEL/CRA- MERI, a.a.O, Art. 139 StGB N. 16 f.; PIETH, a.a.O., Art. 305bis StGB N. 65 mit Ver- weis auf NIGGLI/RIEDO, Basler Kommentar, 4. Aufl. 2019, Art. 139 StGB N. 118 ff., je mit Hinweisen; vgl. auch Urteil des Bundesstrafgerichts SK.2019.77 vom 26. Juni 2020 E. 3.4). 5.3 Beweismittel 5.3.1 Anklagepunkt 1.3.1.1 (Fall 40) 5.3.1.1 Personalbeweise Die Beschuldigte sagte in der Schlusseinvernahme bei der Bundesanwaltschaft vom 5. Juli 2018 aus, sie habe im März 2015 nicht mit EEEEE. telefoniert. In der ergänzenden Schlusseinvernahme vom 25. Juni 2020 gab sie zu Protokoll, sie habe nie Kontakt zu den Geldkurieren gehabt. An der Hauptverhandlung vom

21. Januar 2021 sagte die Beschuldigte aus, der Name EEEEE. komme ihr be- kannt vor. Er sei der einzige oder allenfalls zweite «Money-Mule» gewesen, mit welchem sie Kontakt gehabt habe. EEEEE. habe gemeint, dass er seine Provi- sion nicht bekommen habe. Es hätte sich dabei um einen Geldtransfer gehandelt, der eine Woche oder ein paar Wochen vorher erfolgt sei. An diesem sei die Be- schuldigte nicht beteiligt gewesen (BA pag. 13-1-120/152; TPF pag. 19.731.019).

- 55 - SK.2020.35 5.3.1.2 Sachbeweise Das Beweismaterial besteht vorliegend im Wesentlichen aus Überweisungsbele- gen und den aufgezeichneten Gesprächen zwischen der Beschuldigten und EEEEE.

a) Am 24. März 2015 wurde die Deliktssumme von Fr. 23'100.-- auf das Konto von EEEEE. überwiesen, von der Bank FFFFF. jedoch wegen Unregelmässig- keiten der Empfängerangaben retourniert (pag. B10-02-02-101/104; 0115 f.).

b) Das überwachte Telefongespräch zwischen der Beschuldigten mit dem Alias- nahmen «Frau Marti» und EEEEE. vom 30. März 2015, von 17:11-17:13 Uhr, lautete wie folgt (B10-02-03-0082): Beschuldigte: «Ich habe letzte Woche schon mal telefoniert mit Ihnen.» EEEEE.: «Warum.» Beschuldigte: «Betreffend Geld, das man Ihnen geschickt hat.» EEEEE.: «Ach so, ja.» Beschuldigte: «Sie haben gesagt, ich solle am Abend noch mal anrufen, aber Ihr Handy war abgestellt.» EEEEE.: «Wenn ich keine Nummer von Ihnen habe, dann kann ich Sie auch nicht zurückrufen. Ich sehe nur anonym. Ich kann sie beruhigen. Es war nichts dagewesen. Es war kein Geldeingang da.» Beschuldigte: «Immer noch nicht.» EEEEE.: «Nein, immer noch nicht. Heute morgen hat mich die GGGGG. angerufen und sie will das noch mal überweisen.» Beschuldigte: «Ok, dann richte ich ihm das so aus.» 5.3.2 Anklagepunkt 1.3.1.2 (Fall 42) 5.3.2.1 Personalbeweise Die Beschuldigte gab in der Schlusseinvernahme bei der Bundesanwaltschaft vom 5. Juli 2018 an, sie habe mit drei «Money-Mules» Kontakt gehabt. Wenn das DDDDD. gewesen sei, dann sei es so, ansonsten nicht (BA pag. 13-1-120). In der ergänzenden Schlusseinvernahme vom 25. Juni 2020 sagte sie auf Vorhalt ihres Telefongesprächs mit der «Money-Mule» DDDDD. vom 30. März 2015, 14:29-14:31 Uhr, aus, das sei ihre Stimme. An diesem Tag habe sie notfallmässig mit «Money-Mules» telefoniert. Es sei darum gegangen, ob das Geld angekom-

- 56 - SK.2020.35 men sei, damit sie dies ihrem Komplizen habe ausrichten können. An der Haupt- verhandlung vom 21. Januar 2021 sagte sie aus, sie wisse nicht mehr, was sie mit der «Money-Mule» besprochen habe. Als sie gefragt wurde, ob es um die Übergabe des deliktischen Geldes gegangen sei, erklärte sie, das sei wahr- scheinlich (BA pag. 13-1-153; TPF pag. 19.731.020). 5.3.2.2 Sachbeweise Das Beweismaterial besteht vorliegend im Wesentlichen aus Überweisungsbele- gen sowie den aufgezeichneten Gesprächen zwischen der Beschuldigten und DDDDD.

a) Am 25. März 2015 wurde die Deliktssumme von Fr. 17'500.-- auf das Konto von DDDDD. überwiesen. Die Auszahlung konnte von der Bank B. nicht mehr gestoppt werden (BA pag. B10-2-2-132/143.).

b) Das überwachte Telefongespräch zwischen der Beschuldigten mit dem Alias- namen «Frau Berger» und DDDDD. vom 30. März 2015, von 14:29-14:31 Uhr, lautete wie folgt (B10-2-3-71): Beschuldigte: «Hier ist Berger. Sie haben mir doch geschrieben.» DDDDD.: «Ja, ich bin jetzt gerade im Zug. Ich wollte nur sagen, dass es länger dauert. Sie haben ein Problem.» Beschuldigte: «Ok, weil er sagte mir, ich müsse mit Ihnen nicht mehr telefonieren. Er sei in Kontakt mit Ihnen.» DDDDD.: «Ich hoffe, er hat das verstanden, was ich gesagt habe.» Beschuldigte: «Doch, er hat das schon verstanden.» DDDDD.: «Ich bin eben nicht sicher gewesen. Deshalb dachte ich, ich rufe Sie jetzt an.»

Weiter erklärt DDDDD., dass das Geld zwar auf ihrem Konto eingetroffen sei, sie es aber nicht abheben könne. Die Bank kläre ab, warum das so sei. 5.3.3 Anklagepunkt 1.3.1.3 (Fall 53) 5.3.3.1 Personalbeweise

a) Die Beschuldigte sagte am 24. Juni 2015 bei der Bundesanwaltschaft aus, dass sie «mit diesem Typen, welcher das Geld hätte waschen sollen …» Kontakt aufgenommen habe. Das habe sie das erste Mal gemacht. Man habe sie darum gebeten, weil niemand da gewesen sei, welche der deutschen Sprache mächtig

- 57 - SK.2020.35 war. Sie habe ihn am Freitag und Montag angerufen. Am Freitag habe er ihr ge- sagt, dass das Geld noch nicht gekommen sei. In der Schlusseinvernahme bei der Bundesanwaltschaft vom 5. Juli 2018 gab sie an, sie habe dafür gesorgt, dass das Geld gewaschen werde. Sie gestand, dass sie am 22. Juni 2015 unter Verwendung der Rufnummer Tel.nr. 10 und des Aliasnamens «Frau Berger» EEEEE. angerufen und angewiesen habe, das vom Konto des Geschädigten MMMMM. auf sein Konto überwiesene Geld abzuheben und einem gewissen HHHHH., d.h. dem Geldkurier T., in bar zu übergeben. In der ergänzenden Schlusseinvernahme sagte sie aus, dass sie am. 22. Juni 2015 mit EEEEE. tele- foniert und gefragt habe, «was mit dem Geld los sei». An der Hauptverhandlung vom 21. Januar 2021 gab die Beschuldigte zu, dass sie ein- oder zweimal die «Money-Mules» kontaktiert habe. Zu EEEEE. befragt, erklärte die Beschuldigte, dass sie mit ihm gesprochen habe. Er sei der einzige oder zweite «Money-Mule» gewesen, mit welchem sie Kontakt gehabt habe. Er habe schon einmal sein Konto «für die Leute zur Verfügung gestellt». Als die Beschuldigte gefragt wurde, ob sie die Geldübergabe koordiniert habe, sagte sie aus, koordiniert sei vielleicht ein falsches Wort. Sie habe nachgeplappert, was derjenige neben ihr gemeint habe, wie es vereinbart werden könne und wer was bekommen solle. Es habe aber nicht zu ihrer Tätigkeit gehört. Auf Frage, ob sie den Anklagevorwurf aner- kenne, sagte sie aus: «Ja.». Sie streite jedoch ab, dass dies ihre Tätigkeit gewe- sen sei und sie dies immer gemacht habe. Sie habe ihn zweimal angerufen, und dies nur ausnahmsweise (BA pag. 13-1-10/119/150; TPF pag. 19.731.19 f.).

b) Am 19. Juni 2015 meldete EEEEE. der Kantonspolizei Nidwalden, dass er von einer «Frau Berger» mit der Rufnummer Tel.nr. 10 betreffend eine Geldüberwei- sung angerufen worden sei. Eine Schweizerdeutsch sprechende Frau habe ihn telefonisch kontaktiert. Sie habe ihn gefragt, ob es möglich sei, Fr. 87'000.-- auf sein Konto zu überweisen und dieser Betrag gleich abgehoben werden könne. Am 22. Juni 2015 kontaktierte die BKP EEEEE., welcher die Angelegenheit be- stätigte. EEEEE. teilte ferner mit, dass er bereits von jemandem kontaktiert wor- den sei, welcher das Geld abholen komme. Er orientierte die BKP, dass die Über- gabe am 22. Juni 2015 in Basel, am Badischen Bahnhof, stattfinden solle (BA pag. 10-2-103 f./113; B10-2-4-14; 10-2-013). 5.3.3.2 Sachbeweise Das Beweismaterial besteht vorliegend im Wesentlichen aus Überweisungsbele- gen und den aufgezeichneten Gesprächen zwischen der Beschuldigten mit ihrem «Boss» sowie EEEEE.

a) Am 19. Juni 2015 wurde vom Konto von MMMMM. bei der Bank B. die Zahlung über einen Betrag von Fr. 87'000.-- auf das «Mule-Konto» von EEEEE. bei der

- 58 - SK.2020.35 Bank FFFFF. ausgelöst. Die Bank B. konnte die deliktische Geldüberweisung in- des stoppen (BA pag. B10-2-2-194/196).

b) Am 21. Juni 2015 rief der «Boss» die Beschuldige betreffend den Einsatz einer «Money-Mule» an. Am 22. Juni 2015 rief die Beschuldigte beim «Boss» an und erklärte, dass das Geld noch nicht da sei. Im weiteren Gespräch sagte der «Boss», dass «HHHHH.» (T.) kommen werde, um das Geld abzuholen (BA pag. 10-2-113; B10-2-3-112 f.).

c) Am 22. Juni 2015 führte die Beschuldigte mit EEEEE. unter Verwendung des Aliasnamens «Frau Berger» folgende Telefongespräche (BA pag. 10-2-3-119 ff.): Ab 11:05 Uhr Beschuldigte:

«Ja, hallo. Hier ist nochmal Berger.» EEEEE.: «Geld war noch nicht dagewesen. Ich habe um zehn nach zwölf nochmal nachgeschaut.» Beschuldigte: «Ok.» EEEEE.: «Und jetzt kann ich kurz nach vier nochmal nachschauen.» Beschuldigte: «Das ist aber komisch.» EEEEE.: «Ist also nichts da.» Beschuldigte: «Ja, ich ruf mal schnell Mr. HHHHH. an und sage es ihm. Es ist ein wenig komisch, weil sie haben es schon Freitag geschickt gehabt (…).» Ab 12:36 Uhr EEEEE. ruft die Beschuldigte an und meldet den Geldeingang. Ab 14:03 Uhr (Combox-Nachricht) EEEEE.: «Ja, Frau Berger. Ich habe jetzt das Geld geholt. Ich weiss gar nicht, was ich machen soll. Keiner meldet sich. Keiner meldet sich mehr.» 5.4 Beweiswürdigung 5.4.1 Anklagepunkte 1.3.1.1 und 1.3.1.2 (Fälle 40 und 42) 5.4.1.1 Unbestritten ist, dass die Beschuldigte mit den als «Money-Mules» fungierenden EEEEE. und DDDDD. am 30. März 2015 telefonisch Kontakt hatte und wusste, welche Funktion und Aufgabe ihnen zukam. Die beiden sehr kurzen Gespräche drehten sich im Wesentlichen darum, ob das Geld auf dem Konto des jeweiligen «Money-Mule» eingegangen sei. Dass die Beschuldigte indessen die «Money- Mules» zu einer Geldübergabe an den Geldkurier angehalten bzw. motiviert

- 59 - SK.2020.35 hätte, ist den abgehörten Gesprächen nicht zu entnehmen. Die angeklagten Sachverhalte sind mithin nicht erstellt. 5.4.1.2 Die Beschuldigte ist freizusprechen vom Vorwurf der qualifizierten Geldwäsche- rei im Sinne von Art. 305bis Ziff. 1 und 2 lit. b StGB in den Anklagepunkten 1.3.1.1 und 1.3.1.2. 5.4.2 Anklagepunkt 1.3.1.3 (Fall 53) Das Geständnis der Beschuldigten deckt sich mit objektiven Beweismitteln und ist mithin glaubhaft im Sinne von Art. 160 StPO. Es ist als erstellt zu betrachten, dass EEEEE. von der Beschuldigten am 19. Juni 2015 gefragt wurde, ob es mög- lich sei, Fr. 87'000.-- auf sein Konto zu überweisen und er den Betrag gleich ab- heben könne. Dies geht aus der Meldung von EEEEE. an die Kantonspolizei Nidwalden vom 19. Juni 2015 hervor. Die Beschuldigte wusste auch, welche Funktion dem «Money-Mule» zukam. Gleichentags wurde durch die Tätergrup- pierung um die Beschuldigte mittels Phishing vom Konto von MMMMM. bei der Bank B. die Zahlung über einen Betrag von Fr. 87'000.-- auf das Konto von EEEEE. bei der Bank FFFFF. ausgelöst. Die Bank B. konnte die deliktische Geld- überweisung indes rechtzeitig verhindern. Die Beschuldigte wusste als Vortäterin ohne Weiteres, dass das überwiesene Geld aus einem schwerwiegenden Delikt stammt. Aufgrund der Audioaufnahmen ist weiter erstellt, dass die Beschuldigte am 21. Juni 2015 von ihrem «Boss» informiert wurde, dass «HHHHH.» kommen werde. Bei «HHHHH.» handelt es sich gemäss der Beschuldigten um den Geld- kurier T. (BA pag. 13-1-10; 10-2-113). Aus dem überwachten Gespräch zwischen der Beschuldigten und dem «Money-Mule» vom 22. Juni 2015 ergibt sich deut- lich, dass sie mit ihm wegen des deliktisch überwiesenen Geldes auf das «Mule- Konto» in Kontakt stand. Sie rief ihn an, um die inkriminierte Geldübergabe an den Geldkurier zu koordinieren. Die Übergabe des deliktischen Geldes hätte am

22. Juni 2015 in Basel, Badischer Bahnhof, stattfinden sollen. Der angeklagte Sacherhalt ist beweismässig erstellt. 5.5 Subsumtion (Anklagepunkt 1.3.1.3 [Fall 53]) 5.5.1 Zur Vortat Der durch die Beschuldigte mittels Phishing begangene Tatbestand des ge- werbsmässigen betrügerischen Missbrauchs einer Datenverarbeitungsanlage gemäss Art. 147 Abs. 1 und 2 StGB als Verbrechen erfüllt die Voraussetzungen der Vortat i.S.v. Art. 305bis Ziff. 1 StGB.

- 60 - SK.2020.35 5.5.2 Zurechenbarkeit der anklagerelevanten Transaktion und Vereitelungscharakter Ausser Frage steht, dass die angeklagte Geldwäschereihandlung der Beschul- digten zurechenbar ist. Sie war als Mittäterin verantwortlich für das E-Banking bzw. den ausgelösten Geldtransfer vom Konto des Geschädigten MMMMM. auf das «Mule-Konto» von EEEEE. sowie die telefonische Kontaktaufnahme mit ihm zwecks Geldübergabe des deliktischen Geldes an den Geldkurier. Indem die Be- schuldigte mit EEEEE., der als «Money-Mule» fungierte, Kontakt aufnahm und die Geldübergabe an den Geldkurier koordinierte, beging sie eine typische geld- wäschereirelevante Vereitelungshandlung. Die Koordination war geeignet, eine Beschlagnahme der deliktischen Vermögenswerte zu erschweren. Durch die ge- plante Abhebung des Geldes vom «Mule-Konto» und die Übergabe in bar an den Geldkurier, wäre die Auffindung des deliktischen Geldes kaum mehr möglich ge- wesen. Aufgrund diesem, im Ergebnis die Einziehung erschwerenden impact, wohnt den durch die Beschuldigte vorgenommenen Handlungen ein Vereite- lungscharakter inne. 5.5.3 Deliktssumme Da es sich beim Geldwäschereitatbestand um ein abstraktes Gefährdungsdelikt in Form eines Tätigkeitsdelikts handelt, stellt die Tathandlung der Beschuldigten eine vollendete Tat dar. Es bedarf somit bei vorliegendem Straftatbestand, wel- cher generell gefährliche Handlungen erfasst, keiner konkreten Schädigung. Die Handlung der Beschuldigten in Mittäterschaft (vgl. E. 4.5.2; 5.7) sowie die Hand- lungen von EEEEE. waren bereits geeignet, die Herkunftsermittlung, Auffindung und Einziehung der Deliktssumme zu vereiteln. Die aus dem gewerbsmässigen betrügerischen Missbrauch einer Datenverarbeitungsanlage herrührende De- liktssumme belief sich auf Fr. 87'000.--. 5.6 In subjektiver Hinsicht In subjektiver Hinsicht bestehen am Vorsatz keine Zweifel. Da die Beschuldigte an der Vortat beteiligt war, wusste sie um die verbrecherische Herkunft des Gel- des (E. 5.4.2, vgl. auch E. 4.4.5.1-4.6.4). Die Kontaktaufnahme mit EEEEE. und die geplante Geldübergabe an den Geldkurier hat sie im Wissen um die Tatum- stände und mit dem Ziel vorgenommen, die Herkunft des Geldes zu verschleiern, weshalb sie in Bezug auf die Geldwäschereihandlung mit direktem Vorsatz han- delte.

- 61 - SK.2020.35 5.7 Mittäterschaft Die Beschuldigte war als Mittäterin verantwortlich für das E-Banking bzw. den Geldtransfer vom Konto des Geschädigten auf das «Mule-Konto» sowie die tele- fonische Kontaktaufnahme mit dem «Money-Mule» zwecks Geldübergabe des deliktischen Geldes an den Geldkurier. Sie war somit – auch bei diesem Delikts- komplex – bei der Ausführung der Tat in massgeblicher Weise beteiligt. Um vor- liegenden Modus Operandi erfolgreich umzusetzen, war der Beitrag der Beschul- digten insoweit zentral, als ohne ihre Koordination zwischen dem «Money-Mule» und dem Geldkurier die Vereitelungshandlung nicht möglich gewesen wäre. Die Durchführung der Geldwäschereihandlung stand oder fiel mit ihrem Tatbeitrag. Sie handelte somit in Mittäterschaft. 5.8 Zur Qualifikation Wie bereits festgehalten, hat die Beschuldigte die Geldwäschereihandlung mit- täterschaftlich vorgenommen (E. 5.7). Das Vorliegen einer Mittäterschaft führt je- doch nicht talis qualis zum Vorliegen der Bandenmässigkeit, welche ein Qualifi- kationsgrund gemäss Art. 305bis Ziff. 2 lit. b StGB darstellt. Vorliegend bestand zwar zwischen der Beschuldigten und den Mittätern ein mo- natelanges besonderes Vertrauensverhältnis. Wie die Beschuldigte aber an der Hauptverhandlung glaubhaft aussagte, hat sie lediglich ausnahmsweise mit EEEEE. Kontakt aufgenommen. Dies korrespondiert im Übrigen mit der geringen Anzahl der angeklagten Geldwäschereihandlungen. Die Fähigkeiten der Be- schuldigten waren im Phishing-Komplex gefragt. Ansonsten trug sie zum Gelin- gen des Unterfangens – des Waschens der inkriminierten Gelder – nicht bei. Es liegt somit keine Bande vor, die sich zur fortgesetzten Ausübung der Geldwä- scherei zusammengefunden hat. Bandenmässigkeit oder ein anderer Qualifika- tionsgrund gemäss Art. 305bis Ziff. 2 StGB liegt nicht vor. 5.9 Rechtfertigungs- und Schuldausschliessungsgründe liegen keine vor. 5.10 Im Ergebnis ist die Beschuldigte schuldig zu sprechen der Geldwäscherei im Sinne von Art. 305bis Ziff. 1 StGB im Anklagepunkt 1.3.1.3.

- 62 - SK.2020.35 6. Strafzumessung 6.1 Rechtliches 6.1.1 Anwendbares Recht Die verfahrensgegenständlichen Straftaten wurden im Zeitraum von November 2012 bis Juni 2015 begangen. Am 1. Januar 2018 ist das neue Sanktionenrecht in Kraft getreten (AS 2016 1249). Unter Berücksichtigung des strafrechtlichen Rückwirkungsverbots gilt das zum Tatzeitpunkt in Kraft gewesene Recht (Art. 2 Abs. 1 StGB), es sei denn, das neue Recht ist für den Täter das mildere (Art. 2 Abs. 2 StGB). Letzteres trifft in concreto nicht zu. Die Strafzumessung ist dem- nach nach dem zum Tatzeitpunkt geltenden Recht vorzunehmen. 6.1.2 Grundsätze der Strafzumessung 6.1.2.1 Gemäss Art. 47 Abs. 1 StGB bemisst das Gericht die Strafe nach dem Verschul- den des Täters. Es berücksichtigt das Vorleben und die persönlichen Verhält- nisse sowie die Wirkung der Strafe auf das Leben des Täters. Das Verschulden bestimmt sich gemäss Art. 47 Abs. 2 StGB nach der Schwere der Verletzung oder Gefährdung des betroffenen Rechtsguts, nach der Verwerflichkeit des Han- delns, den Beweggründen und Zielen des Täters sowie danach, wie weit der Tä- ter nach den inneren und äusseren Umständen in der Lage war, die Gefährdung oder Verletzung zu vermeiden (BGE 136 IV 55 E. 5.4). Im Rahmen der Strafzumessung gemäss Art. 47 StGB hat das Gericht zuerst die objektiven und subjektiven Tatumstände (Tatkomponenten) zu gewichten und die sich daraus ergebende hypothetische Strafe zu definieren (BGE 134 IV 132 E. 6.1). Die objektive Tatkomponente umfasst das Ausmass des verschuldeten Erfolgs und die Art und Weise des Vorgehens, während sich die subjektive Tat- komponente auf die Beweggründe, die Intensität des deliktischen Willens und das Mass an Entscheidungsfreiheit bezieht (BGE 129 IV 6 E. 6.1). Sodann ist die anhand der objektiven und subjektiven Tatumstände ermittelte hypothetische Strafe bei Vorliegen täterrelevanter Strafzumessungsfaktoren zu erhöhen bzw. zu reduzieren (BGE 136 IV 55 E. 5.7). Die Täterkomponente setzt sich zusam- men aus dem Vorleben, den persönlichen Verhältnissen, dem Verhalten nach der Tat und im Strafverfahren sowie der Strafempfindlichkeit des Täters (BGE 129 IV 6 E. 6.1). 6.1.2.2 Hat der Täter durch eine oder mehrere Handlungen die Voraussetzungen für mehrere gleichartige Strafen erfüllt, so verurteilt ihn das Gericht zu der Strafe der schwersten Straftat – derjenigen Tat, die mit der schwersten Strafe bedroht ist –

- 63 - SK.2020.35 und erhöht sie angemessen (Asperationsprinzip). Es darf jedoch das Höchst- mass der angedrohten Strafe nicht um mehr als die Hälfte erhöhen. Dabei ist es an das gesetzliche Höchstmass der Strafart gebunden (Art. 49 Abs. 1 StGB). Die Strafschärfungsregel von Art. 49 Abs. 1 StGB greift nur, wenn mehrere gleichartige Strafen, also z.B. mehrere Geldstrafen oder zeitige oder lebenslange Freiheitsstrafen ausgesprochen würden (BGE 137 IV 249 E. 3.4.2; 137 IV 57 E. 4.3.1; 138 IV 120 E. 5.2). Geldstrafen und Freiheitsstrafen sind ungleichartige Strafen (ACKERMANN, Basler Kommentar, 4. Aufl. 2019, Art. 49 StGB N. 90). Für den Fall, dass die konkurrierenden Tatbestände alternativ unterschiedliche Straf- arten androhen (z.B. Freiheitsstrafe oder Geldstrafe), kann das Gericht in den Grenzen des gesetzlichen Höchstmasses der Strafart eine (einzige) Gesamt- strafe nach Art. 49 Abs. 1 StGB aussprechen, sofern es der Ansicht ist, es würde für jedes dieser Delikte im Einzelfall diese gleichartige Strafe ausfällen. Hält es hingegen in einem Fall eine Freiheitsstrafe, im andern eine Geldstrafe für ange- messen, müssen die Strafen kumulativ ausgefällt werden (ACKERMANN, a.a.O., Art. 49 StGB N. 92). 6.2 Die Beschuldigte hat zwei Straftatbestände verwirklicht. Abstrakt schwerste Tat ist die Verurteilung wegen gewerbsmässigen betrügerischen Missbrauchs einer Datenverarbeitungsanlage (Art. 147 Abs. 1 und 2 StGB). Die Strafandrohung für dieses Delikt lautet auf Freiheitsstrafe bis zu zehn Jahren oder Geldstrafe nicht unter 90 Tagessätzen. Der Tatbestand der Geldwäscherei (Art. 305bis Ziff. 1 StGB) droht eine Freiheitsstrafe von bis zu drei Jahren oder Geldstrafe an. Aus- gangspunkt für die Strafzumessung bildet somit das Verbrechen nach Art. 147 Abs. 1 und 2 StGB. Wie nachfolgend (vgl. E. 6.7.4) ausgeführt, hält das Gericht für die Geldwäsche- rei nach der vom Bundesgericht anzuwendenden konkreten Methode eine Geld- strafe für schuldadäquat (siehe zur konkreten Methode BGE 144 IV 217 E. 2.2., 3.3 und 3.4). Bei der Verurteilung wegen gewerbsmässigen betrügerischen Miss- brauchs einer Datenverarbeitungsanlage kommt hingegen aufgrund des Tatver- schuldens nur eine Freiheitsstrafe in Betracht (vgl. E. 6.6). Es liegen somit keine gleichartigen Strafen vor. Die Strafen sind zu kumulieren (vgl. E. 6.1.2.2). Der obere Strafrahmen bleibt bei zehn Jahren. Andere gesetzliche Strafschärfungs- oder Milderungsgründe liegen nicht vor.

- 64 - SK.2020.35 6.3 Tatkomponenten 6.3.1 Objektive Tatkomponenten Hinsichtlich der Tatkomponenten fällt objektiv zunächst der hochgradig professi- onelle Modus Operandi ins Gewicht. Obwohl es sich beim Voice-Phishing (Vishing) im damaligen Deliktszeitraum von November 2012 bis Juni 2015 noch um ein vergleichsweise neuartiges Phänomen des Cybercrime handelte, schien die Beschuldigte mit allen Tricks und Kniffen dieser «Betrugsmasche» sehr ver- traut zu sein. Sie hat bewiesen, dass sie als angebliche Mitarbeiterin der Bank B. bzw. des Finanzinstituts C. am Telefon eine Vielzahl von nichtsahnenden Perso- nen auf sehr raffinierte Weise täuschen und zur Nennung von PIN-Codes über- zeugen konnte. Dabei ging sie in höchstem Masse entschlossen und perfid vor. Sie verwickelte die Bankkunden mit ihren ausgeprägten Fähigkeiten zum Social Engineering und mit ihrer Berufserfahrung im IT-Support in ein Gespräch. In die- sem Rahmen gab sie vor, dass ein Sicherheitsupdate ihres E-Banking-Kontos erforderlich sei und gewann so das Vertrauen ihrer Opfer, welches sie ausnützte, um diese zu «betrügen». Erst das entgegengebrachte Vertrauen hat ihr die Tat- bestandsverwirklichung ermöglicht. Ihr skrupelloses Vorgehen zeigte sich etwa darin, dass es der Beschuldigten gelang, in einem Fall den Bankkunden dazu zu bringen, zuerst den PIN-Code seines eigenen Kontos und dann gleich noch den- jenigen seiner Gattin zu nennen, sodass von beiden Konten Geld wegtransferiert wurde (BA pag. B10-2-1-134). Sie hat dabei ihre rhetorischen und fachlichen Fä- higkeiten als IT-Supporterin und ihre vertrauensbildende Art genutzt, um vor al- lem auch ältere Menschen um ihr erspartes Geld zu erleichtern. Auch der Um- stand, dass die Beschuldigte angeblich aufgrund von Skrupeln die Delinquenz aufgeben wollte und dann nach 15 Monaten weiter delinquierte, manifestiert eine hohe kriminelle Energie. Wäre sie nicht mit der Verhaftung gestoppt worden, wäre es zu keinem Abbruch der von ihrer Tätergruppierung in der Schweiz durch- geführten Deliktsserie gekommen. Mit der von ihr gewählten Vorgehensweise schaffte es die Beschuldigte, allein in der Schweiz im Zeitraum von rund 2 ½ Jahren – wobei zwischen den zwei De- liktsserien der erwähnte Unterbruch von 15 Monaten lag – für die Tätergruppie- rung einen Deliktsbetrag von über Fr. 602`000.-- zu erbeuten. Darüber hinaus wurde ein Betrag von rund Fr. 1,54 Mio angestrebt. Das Ausmass des verschul- deten Erfolges ist daher erheblich. Dass sie aus dieser deliktischen Tätigkeit per- sönlich keine hohen Gewinne erhielt und innerhalb der Hierarchie dieser Täter- gruppierung auf tiefer Stufe anzusiedeln ist, kann zwar leicht strafmindernd be- rücksichtigt werden – in der Gesamtbetrachtung überwiegt für das Gericht jedoch der Umstand, dass die Beschuldigte in eine besonders gefährliche und verwerf- liche Art eines Cybercrime-Deliktes involviert war und selbst einen wesentlichen

- 65 - SK.2020.35 Tatbeitrag leistete. Ihr kam nämlich eine Schlüsselrolle zu. Nur dank ihrem Dia- lekt, ihren professionellen Call-Center- und IT-Support-Erfahrungen sowie Sprachkompetenzen war sie in der Lage, das Social Engineering für die Täter- gruppe erfolgreich umzusetzen und an die Pin-Codes zu gelangen. Alleine da- durch konnte die Tätergruppe die Deliktsserien mit Erfolg realisieren. Der ange- richtete Schaden für die betroffenen gutgläubigen Bankkunden ist beträchtlich und auch die schweizerische Bankwirtschaft hat insgesamt (indirekt) einen be- trächtlichen Schaden erlitten. 6.3.2 Subjektive Tatkomponenten In subjektiver Hinsicht handelte die Beschuldigte, wie sie es selber eingestand, primär aus Geldgier («Man lockte mich mit Geld, ich war gierig» [BA pag. 13-1- 121]). Beim Betrachten ihrer Zeitnachweise bei ihrem damaligen Arbeitgeber wird klar, dass sie innerhalb der Deliktszeiträume einen Grossteil ihrer Freizeit dem Phishing gewidmet hat. Ihr Handeln zielte darauf ab, regelmässig möglichst hohe Einkünfte aus dem Phishing-Geschäft zu generieren. Ihre Willensrichtung war gezielt, effizient und direktvorsätzlich. Die Intensität des deliktischen Willens war daher erheblich. Erschwerend fällt ins Gewicht, dass sie sich nicht etwa in einer Verzweiflungs- und Drucksituation befand, sondern sich bewusst dafür ent- schied, neben ihrer Erwerbstätigkeit bei der SSSS. AG noch einem derart gross angelegten «Betrugsgeschäft» nachzugehen. Es wäre für sie ein Leichtes gewe- sen von der der Tat abzusehen, lebte sie doch in Basel in geordneten Verhält- nissen. 6.3.3 Im Lichte dieser Faktoren wiegt das Tatverschulden an der Schwelle zu mittel- schwer. Insgesamt erscheint eine (gedankliche) Einsatzstrafe von 36 Monaten Freiheitsstrafe angemessen. 6.4 Täterkomponenten 6.4.1 Vorleben und persönliche Verhältnisse Die Beschuldigte ist 39-jährig und schweizerische Staatsangehörige mit türki- scher Abstammung. Sie ist ledig und hat keine Kinder. Die Beschuldigte wurde in Basel geboren, wo sie noch heute wohnt. Nach der Schule absolvierte sie die kaufmännische Berufsmatura. Im Deliktszeitraum arbeitete sie bei der SSSS. AG. Ab September 2019 war sie bei der JJJJJ. AG im Bereich IT-Support tätig und betrieb nebenbei ein Erotikstudio in Basel. Momentan arbeitet sie bei der Bank KKKKK. in Basel (BA pag. 13-1-156 f.; TPF pag. 19.731.002 f.). Das jährliche Nettoeinkommen der Beschuldigten beläuft sich auf Fr. 84'000.--. Die Miete beträgt Fr. 2'700.-- und die Krankenkasse Fr. 450.-- bis Fr. 500.--. Die

- 66 - SK.2020.35 Beschuldigte hat nach eigenen Angaben Kleinkreditschulden von rund Fr. 30'000.--. Sie hat weder Vermögen noch Betreibungen (TPF pag. 19.731.003; 19.231.3.002). Die Beschuldigte ist im Schweizerischen Strafregister nicht verzeichnet (TPF pag. 19.231.1.002). Die Vorstrafenlosigkeit wirkt sich neutral aus (BGE 136 IV 1 E. 2.6.4). Eine besondere Strafempfindlichkeit ist nicht ersichtlich. Die allgemeinen persönlichen Verhältnisse und Faktoren des Vorlebens wirken sich neutral aus. 6.4.2 Nachtatverhalten und Verhalten im Strafverfahren 6.4.2.1 Das Wohlverhalten der Beschuldigten seit der Tat wirkt sich neutral aus (BGE 136 IV 1 E. 2.6.4; Urteil des Bundesgerichts 6B_638/2012 vom 15. Juli 2013 E. 3.7). 6.4.2.2 Ein Geständnis kann nach der Rechtsprechung bei der Beurteilung des Nachtat- verhaltens zugunsten des Täters berücksichtigt werden, wenn es auf Einsicht in das begangene Unrecht oder auf Reue schliessen lässt oder der Täter dadurch zur Tataufdeckung über den eigenen Tatanteil beiträgt (vgl. BGE 121 IV 202 E. 2d/cc). Damit wird dem Umstand Rechnung getragen, dass ein Geständnis zur Vereinfachung und Verkürzung des Verfahrens und zur Wahrheitsfindung beitragen kann. Erleichtert das Geständnis die Strafverfolgung indes nicht, etwa weil der Täter nur aufgrund einer erdrückenden Beweislage oder gar erst nach Ausfällung des erstinstanzlichen Urteils geständig wurde, ist eine Strafminderung nicht angebracht (vgl. Urteile des Bundesgerichts 6B_375/2014 vom 28. August 2014 E. 2.6; 6B_846/2013 vom 16. Juni 2014 E. 3; 6B_473/2011 vom 13. Okto- ber 2011 E. 5.4 und 6B_974/2009 vom 18. Februar 2010 E. 5.4). Die Beschuldigte zeigte sich teilweise wenig kooperativ, bestritt sie doch einige Tatvorwürfe trotz belastender Indizien. Da gemäss ständiger bundesgerichtlicher Rechtsprechung bloss ein hartnäckiges Bestreiten der Tatvorwürfe unter gewis- sen Umständen als fehlende Einsicht und Reue ausgelegt und straferhöhend be- rücksichtig werden darf (statt vieler: Urteil des Bundesgerichts 6B_1032/2017 vom 1. Juni 2018 E. 6.4.2; WIPRÄCHTIGER/KELLER, Basler Kommentar, 4. Aufl. 2019, Art. 47 StGB N. 173), ist vorliegend von einer Straferhöhung abzusehen. Leicht strafmindernd wirkt sich das teilweise Geständnis und die übrige Koope- rationsbereitschaft der Beschuldigten während der Strafuntersuchung und in der Hauptverhandlung aus. Ebenso ist zu Gunsten der Beschuldigten ihre teilweise

– wenn auch späte – Einsicht in das begangene Unrecht zu berücksichtigen. Es ist ihr zu glauben, wenn sie beim Schlusswort zu Protokoll gab, dass sie die Taten

- 67 - SK.2020.35 bereue und es ihr leid tue (TPF pag. 19.720.007). Es bestehen aber keine An- haltspunkte, die eine aufrichtige Reue erkennen liessen (Art. 48 lit. d StGB). 6.4.3 Zusammenfassend wirken sich die Täterkomponenten unter Einbezug aller Straf- zumessungsfaktoren mit einem Monat leicht strafmindernd aus. 6.5 Verfahrensdauer 6.5.1 Im Rahmen der Strafzumessung sind die Verfahrensdauer und deren Wirkung auf die beschuldigte Person zu berücksichtigen. Das in Art. 29 Abs. 1 BV, Art. 6 Ziff. 1 EMRK, Art. 14 Ziff. 3 lit. c UNO-Pakt II sowie in Art. 5 StPO verankerte Beschleunigungsgebot verpflichtet die Behörden, das Strafverfahren während seiner gesamten Dauer zügig voranzutreiben. Die beschuldigte Person soll nicht länger als notwendig den Belastungen des Strafverfahrens ausgesetzt sein (BGE 133 IV 158 E. 8; Urteil des Bundesgerichts 6B_1076/2009 vom 22. März 2010 E. 2.2). Die Beurteilung der Verfahrensdauer entzieht sich allerdings star- ren Regeln. Ob sich die Dauer als angemessen erweist, ist in jedem Einzelfall unter Würdigung aller konkreten Umstände zu prüfen (BGE 143 IV 373 E. 1.3.1 m.w.H.). Dabei sind insbesondere die Komplexität des Falls, dessen Behandlung durch die Behörden sowie das Verhalten der beschuldigten Person zu berück- sichtigen (BGE 130 IV 54 E. 3.3.3). Verfahrensverzögerungen, die die beschul- digte Person selber, und sei es auch durch zulässiges Prozessverhalten, verur- sacht hat, sind nicht zu berücksichtigen (WIPRÄCHTIGER/KELLER, Art. 47 StGB N. 183). Verfahrensverzögerungen oder eine überlange Verfahrensdauer kön- nen nachträglich nicht geheilt werden und führen deshalb in der Regel zu einer Strafreduktion, gegebenenfalls zu einem Verzicht auf Bestrafung oder sogar zu einer Verfahrenseinstellung (BGE 133 IV 158 E. 8). 6.5.2 Zum Zeitpunkt der Urteilseröffnung liegt die Verfahrensdauer betreffend die Be- schuldigte bei rund 5 ¾ Jahren. Die Dauer erklärt sich zum Teil objektiv durch die umfangreichen Untersuchungsmassnahmen im Zusammenhang mit den 247 Phishing-Fällen von August 2012 bis Juni 2015. Es mussten zum Nachweis der Täterschaft die zahlreichen verwendeten IP-Adressen, Gerätekonfigurationen, Telefonnummern und Antennenstandorte ausgewertet und in einen Gesamtkon- text gebracht werden. Ins Gewicht fällt zudem, dass mehrere Telefon- und Raum- überwachungen bestanden, deren Auswertung mit einem nicht unerheblichen Aufwand verbunden war. Sodann waren am Verfahren zahlreiche Privatkläger beteiligt, so dass sich die Beweiserhebungen wesentlich aufwendiger gestalteten als in Verfahren mit einem oder wenigen Beteiligten. Auch mussten Beweismittel in verschiedenen Ländern auf dem zweitaufwendigen Rechtshilfeweg erhoben werden. Die Beweiserhebungen waren insgesamt aufgrund der deliktsinhärenten

- 68 - SK.2020.35 Komplexität im Zusammenhang mit Phishing-Fällen nicht nur zeitintensiv, son- dern vor allem erforderlich. Selbst unter Berücksichtigung dieser Umstände ist jedoch die Verfahrensdauer insgesamt zu lang. Die Bundesanwaltschaft hat mit ihrem Prozessverhalten zur Verlängerung des Verfahrens beigetragen. Vor allem das Vorverfahren von rund 31 ½ Monaten ab Entlassung der Beschuldigten aus der Untersuchungshaft am 13. November 2015 bis zum Schlussbericht der BKP vom 30. Mai 2018 hat zu viel Zeit in An- spruch genommen. Aber auch das Vorverfahren nach der Schlusseinvernahme vom 5. Juli 2018 bis zur Einreichung der Anklageschrift vom 17. August 2020 wurde nicht mit der gebotenen Geschwindigkeit und Priorität geführt und hat mit rund 26 Monaten übermässig viel Zeit in Anspruch genommen. Dabei lag zwi- schen dem Ermittlungsauftrag der Bundesanwaltschaft an die BKP vom 18. Sep- tember 2018 und dem Eingang des ergänzenden Schlussberichts vom 15. Au- gust 2019 rund ein Jahr (BA pag. 10-2-163, -185 [inkl. Beilagen]). Die Verletzung des Beschleunigungsgebots hat indes auf die Beschuldigte nicht eine derart gra- vierende Wirkung, dass ein Verzicht auf Bestrafung oder gar eine Verfahrensein- stellung in Betracht zu ziehen wäre. Der Verletzung des Beschleunigungsgebots ist vorliegend mit einer wesentlichen Strafminderung Rechnung zu tragen. 6.6 In Würdigung sämtlicher Strafzumessungsfaktoren ist die Beschuldigte mit einer Freiheitsstrafe von 30 Monaten zu bestrafen. Die Untersuchungshaft von 156 Tagen ist auf den Vollzug der Freiheitsstrafe an- zurechnen. 6.7 In Bezug auf das Vergehen wegen Geldwäscherei (Art. 305bis Ziff. 1 StGB) ist die objektive und subjektive Tatschwere nicht derart, dass zwingend eine Freiheits- strafe auszusprechen ist. Nach dem Grundsatz der Verhältnismässigkeit ist für diese Tat eine separate Geldstrafe auszufällen. 6.7.1 Bezüglich des objektiven Tatverschuldens ist zu beachten, dass die Beschuldigte einmalig Gelder von Fr. 87'000.-- gewaschen hat. Das Ausmass des deliktischen Erfolges ist daher gerade noch leicht. Die Art und Weise des Vorgehens war nicht professionell, musste sie sich doch mehrmals mit dem «Money-Mule» telefonisch in Verbindung setzen, bevor dieser Verdacht schöpfte und die Polizei kontak- tierte. Beim subjektiven Tatverschulden ist zu beachten, dass die Beschuldigte mit di- rektem Vorsatz handelte. Ihr Motiv war Geldgier.

- 69 - SK.2020.35 6.7.2 In Bezug auf das Vorleben und die persönlichen Verhältnisse sowie die Strafmin- derung wegen der Verfahrensdauer kann auf die Erwägungen 6.4.1 und 6.5 ver- wiesen werden. Das Geständnis wirkt sich leicht strafmindernd aus. 6.7.3 Das Tatverschulden wiegt insgesamt leicht. 6.7.4 Im Ergebnis ist die Beschuldigte mit einer Geldstrafe von 90 Tagessätzen zu be- strafen. 6.7.5 Tagessatz Ein Tagessatz beträgt höchstens Fr. 3'000.00. Die Höhe des Tagessatzes be- stimmt sich nach den persönlichen und wirtschaftlichen Verhältnissen des Täters im Zeitpunkt des Urteils, namentlich nach Einkommen und Vermögen, Lebens- aufwand, allfälligen Familien- und Unterstützungspflichten sowie nach dem Exis- tenzminimum (Art. 34 Abs. 2 StGB). Ausgehend von einem monatlichen Netto- einkommen von Fr. 6'460.--, dem Mietzins von Fr. 2'700.--, der Krankenkassen- prämie von Fr. 450.-- sowie den Schulden von Fr. 30'000.-- ist die Höhe des Ta- gessatzes auf Fr. 80.-- festzusetzen. 6.7.6 Vollzug 6.7.6.1 Art. 43 StGB sieht vor, dass das Gericht den Vollzug einer Freiheitsstrafe von mindestens einem Jahr und höchstens drei Jahren nur teilweise aufschieben kann, wenn dies notwendig ist, um dem Verschulden des Täters genügend Rech- nung zu tragen. Der unbedingt vollziehbare Teil darf die Hälfte der Strafe nicht übersteigen. Sowohl der aufgeschobene wie auch der zu vollziehende Teil müs- sen mindestens sechs Monate betragen. Grundvoraussetzung für die teilbedingte Strafe im Sinne von Art. 43 StGB ist, dass eine begründete Aussicht auf Bewährung besteht. Zwar fehlt ein entspre- chender Verweis auf Art. 42 StGB, doch ergibt sich dies aus Sinn und Zweck von Art. 43 StGB. Wenn und soweit die Legalprognose des Täters nicht schlecht aus- fällt, verlangt die Bestimmung, dass zumindest ein Teil der Strafe auf Bewährung ausgesetzt wird. Umgekehrt gilt, dass bei einer Schlechtprognose auch ein bloss teilweiser Aufschub der Strafe nicht gerechtfertigt ist (vgl. BGE 134 IV 1 E. 5.3.1 sowie Urteil des Bundesgerichts 6B_1005/2017 vom 9. Mai 2018 E. 4.2.1). In- nerhalb des gesetzlichen Rahmens liegt die Festsetzung des bedingten und un- bedingten Teils im pflichtgemässen Ermessen des Gerichts. AIs Bemessungsre- gel ist das «Verschulden» zu beachten, dem in genügender Weise Rechnung zu tragen ist (Art. 43 Abs. 1 StGB). Gemäss Bundesgericht ist unter dem Begriff des Verschuldens nach Art. 43 StGB das Mass der Vorwerfbarkeit des Rechtsbruchs

- 70 - SK.2020.35 zu verstehen; er umfasst den gesamten Unrechts- und Schuldgehalt der konkre- ten Straftat (BGE 129 IV 6 E. 6.1). Der Begriffsinhalt richtet sich nach der Le- galdefinition von Art. 47 Abs. 2 StGB. Gemeint ist die Strafzumessungsschuld. Das Verschulden ist daher zunächst und vor allem ein Bemessungskriterium bei der Strafzumessung. Für die Beurteilung, ob eine teilbedingte Strafe wegen des Verschuldens des Täters und unter Berücksichtigung seiner Bewährungsaus- sichten als notwendig erscheint, kann es gemäss bundesgerichtlicher Rechtspre- chung nicht mehr in gleicher Weise auf die Strafzumessungsschuld ankommen. Denn im Zeitpunkt, in dem das Gericht über die Gewährung des Strafaufschubs befindet, muss die Strafhöhe bereits feststehen und es geht nur noch um die angemessene Vollzugsform. Allerdings verknüpft das Gesetz die Frage nach der schuldangemessenen Strafe und jene nach deren Aufschub insoweit, als es den bedingten Strafvollzug für Strafen ausschliesst, die zwei Jahre übersteigen. Die Notwendigkeit einer teilbedingten Freiheitsstrafe ergibt sich dann als Folge der Schwere des Verschuldens, das sich in einer Strafhöhe zwischen zwei und drei Jahren niederschlägt. Darin liegt ein Anhaltspunkt für die Bedeutung der Ver- schuldensklausel (ausführlich auch zur Gesetzgebung Urteil des Bundesgerichts 6B_328/2007 vom 6. Februar 2008 E. 6). Der Zweck der Spezialprävention findet seine Schranke am gesetzlichen Erfordernis, dass angesichts der Schwere des Verschuldens wenigstens ein Teil der Strafe zu vollziehen ist. Hierin liegt die «hauptsächliche Bedeutung» bzw. der «Hauptanwendungsbereich» von Art. 43 StGB (BGE 134 IV 1 E. 5.5.1). Das Verhältnis der Strafteile ist so festzusetzen, dass darin die Wahrscheinlichkeit der LegaIbewährung des Täters einerseits und dessen Einzeltatschuld anderseits hinreichend zum Ausdruck kommen. Je güns- tiger die Prognose und je kleiner die Vorwerfbarkeit der Tat, desto grösser muss der auf Bewährung ausgesetzte Strafteil sein. Der unbedingte Strafteil darf dabei das unter Verschuldensgesichtspunkten (Art. 47 StGB) gebotene Mass nicht un- terschreiten (BGE 134 IV 1 E. 5.6). Die objektiven Voraussetzungen des teilbedingten Strafvollzugs sind vorliegend erfüllt. Die Beschuldigte hat die Tat zwar aus egoistischen und finanziellen Grün- den begangen. Das Gericht geht aber davon aus, dass die erstmalige Bestrafung zu einer Freiheitsstrafe die Beschuldigte künftig zur Achtung der Rechtsordnung anhalten wird, da ihr damit der Ernst der Lage vor Augen geführt wird. Die Be- schuldigte weist keine Vorstrafen auf und hat sich seit der letzten Tat wohl ver- halten. Bei einer Gesamtbetrachtung, die auch die Wirkung des Strafvollzugs auf das Leben der Beschuldigten einbezieht, kann ihr keine schlechte Legalprognose gestellt werden, die einen teilbedingten Strafvollzug ausschliessen würde. Insge- samt legt das erhebliche bis mittelschwere Tatverschulden der Beschuldigten nahe, den unbedingt zu vollziehenden Teil auf 10 Monate festzusetzen. Der

- 71 - SK.2020.35 Strafaufschub ist für die restlichen 20 Monate zu gewähren, wobei der Beschul- digten diesbezüglich eine minimale Probezeit von zwei Jahren aufzuerlegen ist (Art. 44 Abs. 1 StGB). 6.7.6.2 Das Gericht schiebt den Vollzug einer Geldstrafe in der Regel auf, wenn eine unbedingte Strafe nicht notwendig erscheint, um den Täter von der Begehung weiterer Verbrechen oder Vergehen abzuhalten (Art. 42 Abs. 1 StGB). Die Voraussetzungen für eine bedingt ausgesprochene Geldstrafe sind vorlie- gend ohne Weiteres erfüllt, da der Beschuldigten, wie zuvor erwähnt, keine schlechte Prognose gestellt werden kann (vgl. E. 6.7.6.1). Die auf 90 Tagessätze à Fr. 80.-- festgesetzte Geldstrafe ist bedingt auszusprechen. Der Beschuldigten ist die minimale Probezeit von zwei Jahren aufzuerlegen (Art. 44 Abs. 1 StGB). 6.8 Vollzugskanton Als Vollzugskanton ist der Kanton Basel-Stadt zu bestimmen (Art. 74 Abs. 1 und 2 StBOG i.V.m. Art. 31 StPO). 7. Ersatzforderung 7.1 Sind die der Einziehung unterliegenden Vermögenswerte nicht mehr vorhanden, weil sie bspw. verbraucht, versteckt, veräussert oder ins Ausland verbracht wur- den (TRECHSEL/JEAN-RICHARD, Schweizerisches Strafgesetzbuch, Praxiskom- mentar, 3. Aufl. 2018, Art. 71 StGB N. 1), so erkennt das Gericht auf eine Ersatz- forderung des Staates in gleicher Höhe (Art. 71 Abs. 1 StGB). Gemäss Recht- sprechung des Bundesgerichts soll die Regelung in Art. 71 Abs. 1 StGB verhin- dern, dass derjenige, der sich einschlägiger Vermögenswerte entledigt hat, bes- sergestellt wird, als jemand, der sie behalten hat (BGE 129 IV 107 E. 3.2). Der Grund, weshalb das ursprüngliche Einziehungsobjekt nicht mehr vorhanden ist, ist bei der Festsetzung einer Ersatzforderung grundsätzlich irrelevant (TRECH- SEL/JEAN-RICHARD, a.a.O., Art. 71 StGB N. 1). Das Gericht kann von einer Er- satzforderung ganz oder teilweise absehen, wenn diese voraussichtlich unein- bringlich wäre oder die Wiedereingliederung des Betroffenen ernstlich behindern würde (Art. 71 Abs. 2 StGB). Vorliegend sind folgende Umstände nach Art. 71 Abs. 2 StGB zu berücksichtigen: Die Beschuldigte hat von der Täterschaft 3 % des Deliktserlöses von Fr. 602'685.56, mithin einen Betrag von rund Fr. 18'000.-- erhalten. Bei einem monatlichen Nettoeinkommen von Fr. 6'460.--, Schulden von Fr. 30'000.--, Scha-

- 72 - SK.2020.35 denersatzforderungen der Privatkläger von insgesamt Fr. 116'783.10 und Ver- fahrenskosten von Fr. 30'000.-- würde eine Ersatzforderung die Wiedereinglie- derung der Beschuldigten ernsthaft zu gefährden. Von einer Ersatzforderung zu- lasten der Beschuldigten und zugunsten der Eidgenossenschaft ist somit abzu- sehen. Dies auch deshalb, um damit die Durchsetzung der Schadenersatzforde- rungen der Privatkläger nicht zu konkurrenzieren. 8. Zivilklagen 8.1 Die geschädigte Person kann zivilrechtliche Ansprüche aus der Straftat als Pri- vatklägerschaft adhäsionsweise im Strafverfahren geltend machen (Art. 122 Abs. 1 StPO). Die Zivilklage wird mit der Erklärung nach Art. 119 Abs. 2 lit. b StPO rechtshängig (Art. 122 Abs. 3 StPO). Die geschädigte Person muss ihren Anspruch – soweit dies nicht in der vorgenannten Erklärung erfolgt ist – spätes- tens in der Hauptverhandlung im Parteivortrag beziffern und begründen (Art. 123 Abs. 2 StPO). Die beschuldigte Person kann sich dazu äussern (Art. 124 Abs. 2 StPO). Das mit der Strafsache befasste Gericht beurteilt den Zivilanspruch un- geachtet des Streitwertes (Art. 124 Abs. 1 StPO). Es entscheidet mit dem Urteil in der Hauptsache (Art. 81 Abs. 4 lit. b StPO), wenn es schuldig spricht oder wenn es freispricht und der Sachverhalt spruchreif ist (Art. 126 Abs. 1 StPO). Die Zivil- klage wird (u.a.) auf den Zivilweg verwiesen, wenn die Privatklägerschaft ihre Klage nicht hinreichend begründet oder beziffert hat (Art. 126 Abs. 2 lit. b StPO). Als geschädigte Person gilt die Person, die durch die Straftat in ihren Rechten unmittelbar verletzt worden ist (Art. 115 Abs. 1 StPO). Beim Straftatbestand des betrügerischen Missbrauchs einer Datenverarbeitungsanlage gilt der Inhaber des geschädigten Vermögens als geschädigte Person (MAZZUCCHELLI/POSTIZZI, Bas- ler Kommentar, 2. Aufl. 2014, Art. 115 StPO N. 56). Wer Schadenersatzanspruch beansprucht, hat den Schaden zu beweisen (Art. 42 Abs. 1 OR). Gemäss Art. 41 Abs. 1 OR wird zum Ersatze verpflichtet, wer einem anderen widerrechtlich Schaden zufügt, sei es aus Absicht, sei es aus Fahrlässigkeit. 8.2 Zivilklagen der Privatkläger 3 bis 6, 8 bis 11, 13 und 14 8.2.1 In Bezug auf die beantragten Schadenersatzforderungen der Privatkläger kann auf die Seiten 4 f. des Urteils verwiesen werden.

- 73 - SK.2020.35 8.2.2 Haftungsvoraussetzungen Die Privatkläger sind zur Zivilklage legitimiert, da sie als Kontoinhaber durch die Phishing-Attacken finanziell geschädigt wurden (Art. 115 Abs. 1 StPO). Der durch das Phishing bzw. die inkriminiert ausgelösten Überweisungen entstandene Schaden der Privatkläger ist erstellt (BA pag. B10-2-1-1 ff.; TPF pag. 19.551. 027 f.). Die Bank B. konnte indes einzelne «gephishte» Beträge vor Belastung der Konten der Privatkläger stoppen und wieder den Geschädigten zurück über- tragen. Sodann leistete sie teils Kulanzzahlungen (TPF pag. 19.551.027 f.). Der ungedeckte Schaden der Privatkläger berechnet sich wie folgt:

Privatklä- ger In Auftrag gegebene Zahlung in Franken Valuta Belasteter Betrag in Franken Wiederein- gang sei- tens Emp- fänger- konto Schaden vor Kulanz- zahlung Kulanz- zahlung seitens Bank B. Schaden in Franken PK 3: D. AG 37'000.-- 22.11.2012 37'000.-- 2'842.66 34'157.34 11'272.-- 22'885.34 PK 4: E. 17'200.-- 16.01.2013 18'000.-- 10'026.16 7'173.84 0.-- 7'173.84 PK 5: F. 15'100.-- 16.01.2013 15'100.-- 4'354.35 10'745.65 0.-- 10'745.65 PK 6: G. 36'000.-- 16.01.2013 36'000.-- 0.-- 36'000.-- 20'000.-- 16'000.-- PK 8: I. 11'300.-- 01.02.2013 11'300.-- 6'129.58 5'170.42 0.-- 5'170.42 PK 9: J. 23'000.-- 12.02.2013 23'000.-- 7'282’15 15'717.85 3'960.-- 11'757.85 PK 10: K. 10'200.-- 13.02.2013 10'200.-- 0.-- 10'200.-- 7'650.-- 2'550.-- PK 11: L. 36'000.-- 13.02.2013 36'000.-- 0.-- 36'000.-- 18'000.-- 18'000.-- PK 13: N. AG 5'300.-- 28.08.2013 5'300.-- 0.-- 5'300.-- 2'650.-- 2'650.-- PK 14: O. 39'700.-- 28.08.2013 39'700.-- 0.-- 39'700.—0 19'850.-- 19'850.--

Die Beschuldigte wurde wegen gewerbsmässigen betrügerischen Missbrauchs einer Datenverarbeitungsanlage verurteilt. Ihre Handlungen sind daher wider- rechtlich im Sinne von Art. 41 Abs. 1 OR. Die für die adhäsionsweise Geltend- machung von Zivilansprüchen erforderliche Konnexität ist somit gegeben, da sich die Forderungen auf Art. 41 Abs. 1 OR i.V.m. Art. 147 Abs. 1 und 2 StGB (sog. Schutznorm für das Vermögen) stützen. Der Schaden der Privatkläger ist im Sinne von Art. 41 Abs. 1 OR adäquat kausal auf das strafbare Verhalten der Beschuldigten zurückzuführen. Auch das Verschulden ist erwiesen (vgl. E. 4.9). Die Haftungsvoraussetzungen von Art. 41 Abs. 1 OR sind erfüllt. 8.2.2.1 Im Ergebnis ist die Beschuldigte zu verpflichten, den untenstehenden Privatklä- gern folgende Beträge als Schadenersatz zu bezahlen:

- 74 - SK.2020.35 Name Betrag D. AG Fr. 22’885.34 E. Fr. 7'173.84 F. Fr. 10'745.65 G. Fr. 16'000.-- I. Fr. 5'170.42 J. Fr. 11’757.85 K. Fr. 2’550.-- L. Fr. 18’000.-- N. GmbH Fr. 2’650.-- O. Fr. 19’850.-- 8.3 Zivilklagen der Privatkläger 1 und 2 8.3.1 In Bezug auf die beantragten Schadenersatzforderungen der Bank B. und des Finanzinstituts C. wird auf S. 4 des Urteils verwiesen. 8.3.2 Der geltend gemachte Schadenersatz der Bank B. von Fr. 83'382.-- zzgl. Zins von 5 % setzt sich aus sieben Kulanzzahlungen zusammen, welche die Bank an die Privatkläger 3, 6, 9, 10, 11, 13 und 14, deren Konten durch die Phishing- Angriffe in strafbarer Weise belastet worden sind, als Entschädigung ausgerich- tet hat (TPF pag. 19.551.030 f.). In den entsprechenden Abtretungsvereinbarun- gen haben die Privatkläger sämtliche Ansprüche, welche ihnen gegen die Be- schuldigte zustehen, vollumfänglich an die Bank B. abgetreten. Es wurde aus- drücklich festgehalten, dass die Bank B. die Kulanzzahlung ohne Anerkennung einer Rechtspflicht leistet (Ziffern 2 und 4 der Abtretungsvereinbarungen [TPF pag. 19.551.032/035/041/044/047/050]). Der beantragte Schadenersatz des Finanzinstituts C. von Fr. 46'843.45 zzgl. Zins von 5 % setzt sich aus Kulanzzahlungen zusammen, welche das Finanzinstitut C. an fünf Privatkläger, deren Konten durch die Phishing-Angriffe in strafbarer Weise belastet worden sind, als Entschädigung ausgerichtet hat. In den entspre- chenden Entschädigungsvereinbarungen haben die Geschädigten ihre Forde- rung aus dem Schadensfall gegenüber der Beschuldigten bis zur Höhe der Ent- schädigung an das Finanzinstitut C. abgetreten. Es wurde vereinbart, dass die Kulanzzahlung ohne Anerkennung einer Rechtspflicht und per Saldo aller An- sprüche erfolgt (Ziffer 3 und 4 der Abtretungsvereinbarungen [TPF pag. 19.552.006/009/012/015/018]). 8.3.3 Wer von Gesetzes wegen in die Ansprüche der geschädigten Person eingetreten ist, ist nur zur Zivilklage berechtigt und hat nur jene Verfahrensrechte, die sich unmittelbar auf die Durchsetzung der Zivilklage beziehen (Art. 121 Abs. 2 StPO).

- 75 - SK.2020.35 Aus dem deutlichen Wortlaut von Art. 121 StPO ist zu schliessen, dass der rechtsgeschäftliche Übergang von Ansprüchen strafprozessrechtlich wirkungslos ist. Art. 121 StPO ist deshalb nicht auf den Zessionar gemäss Art. 164 ff. OR anwendbar, welchem die geschädigte Person einen aus der Straftat abgeleiteten Anspruch vertraglich abgetreten hat (MAZZUCCHELLI/POSTIZZI, a.a.O., Art. 121 StPO N. 4; Urteil des Bundesgerichts 6B_549/2013 vom 24. Februar 2014 E. 3.2.1). Der Zessionar tritt im Strafverfahren nicht in die Rechte des Zedenten ein. Gemäss Art. 121 Abs. 2 StPO geht somit e contrario hervor, dass derjenige, der Zivilklagen durch Zession abgetreten erhält, diese nicht als Zivilkläger im Ad- häsionsprozess geltend machen kann. Nur wer von Gesetzes wegen durch Le- galzession anspruchsberechtigt ist, kann im Adhäsionsprozess klagen. 8.3.4 Die Bank B. sowie die das Finanzinstitut C. haben nach ihrem Dafürhalten Ku- lanzzahlungen an insgesamt 12 Privatkläger geleistet. Es ist somit unklar, ob sie zivilrechtlich für diese systemimmanenten Risiken haften oder eben die Kunden. Das Gericht sieht sich – in Ermangelung diesbezüglicher Präjudizien – nicht in der Lage zu beurteilen, ob tatsächlich die Kunden aufgrund der allgemeinen Ge- schäftsbedingungen (AGB) diese Risiken zu tragen haben und deshalb die Bank B. und das Finanzinstitut C. nicht als direkt Geschädigte zur Klage legiti- miert sind oder nicht. Müsste die Bank B. und das Finanzinstitut C. einen Teil dieser systemimmanenten Gefahr tragen, wären die Schadenersatzansprüche gutzuheissen. In den Abtretungsvereinbarungen haben die Bank B. und das Fi- nanzinstitut C. indes ausdrücklich festgehalten, dass sie die Kulanzzahlung ohne Anerkennung einer Rechtspflicht leisten. Diese nicht eindeutige Sach- und Rechtslage führt dazu, dass die Zivilklagen der Bank B. und des Finanzinsti- tuts C. gegen die Beschuldigte mangels Legitimation nicht abzuweisen, sondern analog Art. 126 Abs. 1 lit. b StPO auf den Zivilweg zu verweisen sind. 8.4 Genugtuungen 8.4.1 In Bezug auf die geltend gemachten Genugtuungsforderungen der Privatkläger E., F., I., K. und O. gegen die Beschuldigte wird auf die S. 4 f. des Urteils verwie- sen. 8.4.2 Wer in seiner Persönlichkeit widerrechtlich verletzt wird, hat Anspruch auf Leis- tung einer Geldsumme als Genugtuung, sofern die Schwere der Verletzung es rechtfertigt und diese nicht anders wiedergutgemacht worden ist (Art. 49 Abs. 1 OR i.V.m. Art. 28 Abs. 3 ZGB). Anspruchsberechtigt ist im Rahmen von Art. 49 OR, wer in seinen Persönlichkeitsrechten verletzt worden ist und dadurch eine immaterielle Unbill erlitten hat. Dabei genügt eine psychische Belastung des An- spruchstellers (BGE 112 II 220 E. 2.b ff.). Genugtuung nach Art. 49 OR ist nur geschuldet, sofern die Schwere der Verletzung es rechtfertigt, und zwar sowohl

- 76 - SK.2020.35 in objektiver als auch in subjektiver Hinsicht bzw. bezüglich des Empfindens der betroffenen Person (BGE 125 III 70 E. 3.a). Ob eine Persönlichkeitsverletzung hinreichend schwer wiegt, hängt weitgehend von den Umständen des Einzelfal- les ab. Dem Gericht steht bei der Beurteilung ein weites Ermessen zu. Auf Seiten des Haftpflichtigen ist nicht (mehr) ein schweres Verschulden erforderlich. Ein Verschulden für die Genugtuung nach Art. 49 OR ist aber im Rahmen der Ver- schuldenshaftung vorausgesetzt. Im Weiteren muss eine Persönlichkeitsverlet- zung widerrechtlich (Abwesenheit von Rechtfertigungsgründen) und adäquat kausal auf die Handlung des Haftpflichtigen zurückzuführen sein (KESSLER, Balser Kommentar, Obligationenrecht I, 7. Aufl. 2020, Art. 49 OR N. 7-15). 8.4.3 Der Privatkläger K. verlangt eine Genugtuung «für den ganzen Zeitaufwand» (BA pag. 19.562.003). Die Genugtuungsforderungen der übrigen Privatkläger sind weder belegt noch begründet, obwohl sie vom Gericht im Sinne von Art. 123 StPO auf ihre Obliegenheit aufmerksam gemacht wurden (TPF pag. 19.355.001 ff.). Vorliegend ist nicht ersichtlich, inwiefern sie durch den finanziellen Schaden eine immaterielle Unbill erlitten hätten. Das Ausmass der Rechtsgutverletzung rechtfertigt vorliegend keine Genugtuungen. Die Anspruchsvoraussetzungen für die Zusprechung von Genugtuungen sind nicht gegeben. Die Genugtuungsforderungen von E., F., I., K. und O. gegen die Beschuldigte sind somit abzuweisen. 9. Biometrische erkennungsdienstliche Daten 9.1 Der für die Führung von AFIS (automatisiertes Fingerabdruck-Identifikationssys- tem) zuständige Dienst löscht die biometrischen erkennungsdienstlichen Daten, die von einer bestimmten Person erfasst worden sind, fünf Jahre nach Ablauf der Probezeit bei bedingtem Strafvollzug (Art. 17 Abs. 1 lit. e Verordnung vom 6. De- zember 2013 über die Bearbeitung biometrischer erkennungsdienstlicher Daten; SR 361.3). Die auftraggebende Behörde holt die Zustimmung der zuständigen richterlichen Behörde ein. Diese kann die Zustimmung verweigern, wenn der kon- krete Verdacht auf ein nicht verjährtes Verbrechen oder Vergehen nicht behoben ist oder eine Wiederholungstat befürchtet wird (Art. 19 Abs. 1 Verordnung über die Bearbeitung biometrischer erkennungsdienstlicher Daten). 9.2 Die Beschuldigte wurde am 23. Juni 2015 erkennungsdienstlich erfasst (PCN 41 500625 75; BA pag. 17-1-4 ff.). Die Frage der Löschung der biometrischen er- kennungsdienstlichen Daten stellt sich erst nach Ablauf der vorgenannten Frist. Deren Beurteilung ist demnach verfrüht. Entsprechend wird die erforderliche Zu- stimmung zu gegebener Zeit einzuholen sein.

- 77 - SK.2020.35 10. Verfahrenskosten 10.1 Die Verfahrenskosten setzen sich zusammen aus den Gebühren zur Deckung des Aufwands und den Auslagen im konkreten Straffall (Art. 422 Abs. 1 StPO; Art. 1 Abs. 1 des Reglements des Bundesstrafgerichts vom 31. August 2010 über die Kosten, Gebühren und Entschädigungen in Bundesstrafverfahren [BStKR; SR 173.713.162]). Die Gebühren sind für die Verfahrenshandlungen geschuldet, die im Vorverfahren von der BKP und von der Bundesanwaltschaft sowie im erst- instanzlichen Hauptverfahren von der Strafkammer des Bundesstrafgerichts durchgeführt oder angeordnet worden sind (Art. 1 Abs. 2 BStKR). Die Höhe der Gebühr richtet sich nach Bedeutung und Schwierigkeit der Sache, der Vorge- hensweise der Parteien, ihrer finanziellen Situation und dem Kanzleiaufwand (Art. 5 BStKR); sie bemisst sich nach Art. 6 und Art. 7 BStKR. Die Auslagen um- fassen die vom Bund vorausbezahlten Beträge, namentlich die Kosten für die amtliche Verteidigung, Übersetzungen, Gutachten, Mitwirkung anderer Behör- den, Porti, Telefonspesen und andere entsprechende Kosten (Art. 422 Abs. 2 StPO und Art. 1 Abs. 3 BStKR). Die Kosten, die Anbietern von Post- und Fern- meldediensten oder Behörden im Zusammenhang mit der Überwachung des Post- und Fernmeldeverkehrs (Art. 269 ff. StPO) entstanden sind, gelten als Aus- lagen gemäss Art. 422 Abs. 2 lit. d StPO und somit als Verfahrenskosten (DOMEI- SEN, Basler Kommentar, 2. Aufl. 2014, Art. 422 StPO N. 13; Urteil des Bun- desstrafgerichts SK.2014.55 vom 9. Juni 2015 E. 10.2.3b). 10.2 Die Bundesanwaltschaft macht für das Vorverfahren Gebühren von Fr. 20‘000.-- geltend (TPF pag. 19.100.024). Die Gebühren liegen im gesetzlichen Rahmen (Art. 6 Abs. 3 lit. b, Abs. 4 lit. c und Abs. 5 BStKR), sind angemessen und daher in der beantragten Höhe festzusetzen. Die Bundesanwaltschaft beantragt die Auferlegung von Auslagen in Höhe von Fr. 140'314.-- zu Lasten der Beschuldigten (TPF pag. 19.100.024). Die ausge- wiesenen Auslagen wurden wegen der Beschuldigten verursacht und geben zu keinen Bemerkungen Anlass. 10.3 Die Gebühr für das erstinstanzliche Hauptverfahren vor der Strafkammer ist auf- grund der Bedeutung und Schwierigkeit der Sache in tatsächlicher Hinsicht sowie des angefallenen Aufwands auf Fr. 15'000.-- festzusetzen (Art. 5 i.V.m. Art. 7 lit. b BStKR). Die verrechenbaren Auslagen des Gerichts belaufen sich auf Fr. 250.-- für Post-, Telefon-, Kopier- und weitere Spesen.

- 78 - SK.2020.35 10.4 Zusammenfassend betragen die Verfahrenskosten Fr. 175'564.-- (Vorverfahren: Gebühr Fr. 20’000.--, Auslagen Fr. 140’314.--; Gerichtsgebühr Fr. 15'000.--, Aus- lagen des Gerichts Fr. 250.--). 10.5

10.5.1 Die beschuldigte Person trägt die Verfahrenskosten, wenn sie verurteilt wird (Art. 426 Abs. 1 StPO). Wird das Verfahren eingestellt oder die beschuldigte Per- son freigesprochen, so können ihr die Verfahrenskosten ganz oder teilweise auf- erlegt werden und eine Entschädigung verweigert werden, wenn sie rechtswidrig und schuldhaft die Einleitung des Verfahrens bewirkt oder dessen Durchführung erschwert hat (Art. 426 Abs. 2 i.V.m. Art. 430 Abs. 1 lit. a StPO). Bei der Kostenpflicht des freigesprochenen oder aus dem Verfahren entlassenen Beschuldigten handelt es sich nach bundesgerichtlicher Rechtsprechung nicht um eine Haftung für ein strafrechtliches Verschulden, sondern um eine an zivil- rechtliche Grundsätze angenäherte Haftung für ein fehlerhaftes Verhalten. Der aus dem Strafverfahren entlassenen Person können die Verfahrenskosten auf- erlegt werden, wenn sie in zivilrechtlich vorwerfbarer Weise gegen eine geschrie- bene oder ungeschriebene Verhaltensnorm, die aus der gesamten schweizeri- schen Rechtsordnung stammen kann, klar verstossen und dadurch das Strafver- fahren veranlasst oder dessen Durchführung erschwert hat. Dabei darf sich die Kostenauflage in tatsächlicher Hinsicht nur auf unbestrittene oder bereits klar nachgewiesene Umstände stützen (Urteile des Bundesgerichts 1B_180/2012 vom 24. Mai 2012 E. 2.2; 1B_39 und 43/2012 vom 10. Mai 2012 E. 3.3 und 1B_21/2012 vom 27. März 2012 E. 2.1, je m.w.H.; SCHMID/JOSITSCH, Schweize- rische Strafprozessordnung, Praxiskommentar, 3. Aufl. 2018, Art. 426 StPO N. 6). 10.5.2 Obwohl die Beschuldigte vom Vorwurf der mehrfachen versuchten unbefugten Datenbeschaffung sowie vom Vorwurf der qualifizierten Geldwäscherei in den Anklagepunkten 1.3.1.1 und 1.3.1.2 freizusprechen ist, sind ihr aus den nachfol- genden Gründen gestützt auf Art. 426 Abs. 2 StPO die gesamten Verfahrenskos- ten im Betrag von Fr. 175'564.-- aufzuerlegen. Wie zuvor festgestellt, beging die Beschuldigte im Rahmen der Phishing-Atta- cken unerlaubte Handlungen im Sinne von Art. 41 OR (vgl. E. 8.2.2). Durch ihr widerrechtliches Verhalten hat die Beschuldigte rechtswidrig und schuldhaft den Verdacht aufkommen lassen, dass sie unbefugt Daten beschafft sowie qualifiziert Geldwäscherei betrieben hat. Folglich war das Verhalten der Beschuldigten für die Einleitung einer Strafuntersuchung wegen unbefugter Datenbeschaffung im Sinne von Art. 143 Abs. 1 StGB sowie Geldwäscherei im Sinne von Art. 305bis

- 79 - SK.2020.35 Ziff. 1 StGB durch die Bundesanwaltschaft adäquat kausal. Die Freisprüche schliessen somit eine Kostenauflage nicht aus. Im Übrigen resultierte aus den Ermittlungen wegen des Verdachts auf unbefugte Datenbeschaffung insofern kein erheblich grösserer Aufwand, als die unter dem Titel der unbefugten Datenbeschaffung angeklagten Handlungen – bis auf Fall 26 und 27 – nach Überzeugung des Gerichts gewerbsmässige betrügerische Missbräuche einer Datenverarbeitungsanlage darstellten. Die Voraussetzungen für die Auflage der gesamten Verfahrenskosten gemäss Art. 426 Abs. 2 StPO sind demnach erfüllt. 10.6 Forderungen aus Verfahrenskosten können von der Strafbehörde gestundet oder unter Berücksichtigung der wirtschaftlichen Verhältnisse der kostenpflichtigen Person herabgesetzt oder erlassen werden (Art. 425 StPO). Diese Bestimmung ist auch bei der Festsetzung bzw. Auferlegung der Verfahrenskosten anwendbar. Angesichts der wirtschaftlichen Verhältnisse der Beschuldigten ist es angezeigt, ihr die Verfahrenskosten nur zu einem Teil aufzuerlegen. Angemessen erscheint ein Betrag von Fr. 30'000.--. 11. Entschädigung des amtlichen Verteidigers 11.1 Mit Verfügung der Bundesanwaltschaft vom 1. Juli 2015 wurde Rechtsanwalt Andrea Janggen in Anwendung von Art. 132 lit. b i.V.m. Art. 133 StPO mit Wir- kung auf den 23. Juni 2015 als amtlicher Verteidiger der Beschuldigten bestellt (BA pag. 16-1-5 f.). Die Bestellung der amtlichen Verteidigung im Vorverfahren gilt praxisgemäss auch für das gerichtliche Verfahren. Die Strafkammer ist zur Festlegung der Entschädigung der amtlichen Verteidigung zuständig (Art. 135 Abs. 2 StPO). 11.2 Die Entschädigung der amtlichen Verteidigung wird in Bundesstrafverfahren nach dem Anwaltstarif des Bundes – gemäss BStKR – festgesetzt (Art. 135 Abs. 1 StPO). Die Anwaltskosten umfassen das Honorar und die notwendigen Auslagen, namentlich für Reise, Verpflegung und Unterkunft sowie Porti und Te- lefonspesen (Art. 11 Abs. 1 BStKR). Das Honorar wird nach dem notwendigen und ausgewiesenen Zeitaufwand bemessen. Der Stundenansatz beträgt mindes- tens Fr. 200.-- und höchstens Fr. 300.-- (Art. 12 Abs. 1 BStKR). Die Auslagen werden im Rahmen der Höchstansätze aufgrund der tatsächlichen Kosten ver- gütet (Art. 13 BStKR). Bei Fällen im ordentlichen Schwierigkeitsbereich, d.h. für Verfahren ohne hohe sachliche oder rechtliche Komplexität, beträgt der Stunden- ansatz gemäss ständiger Praxis der Strafkammer Fr. 230.-- für Arbeitszeit und Fr. 200.-- für Reise- und Wartezeit (Beschluss des Bundesstrafgerichts

- 80 - SK.2020.35 BK.2011.21 vom 24. April 2012 E. 2.1; Urteil des Bundesstrafgerichts SN.2011.16 vom 5. Oktober 2011 E. 4.1). Der Stundenansatz für Praktikanten beträgt praxisgemäss Fr. 100.-- (Urteil des Bundesgerichts 6B_118/2016 vom

20. März 2017 E. 4.4.1; Urteile des Bundesstrafgerichts SK.2010.28 vom 1. De- zember 2011 E. 19.2; SK.2010.3 vom 5. Mai 2010 E. 8.4). Die Auslagen werden im Rahmen der Höchstansätze aufgrund der tatsächlichen Kosten vergütet (Art. 13 BStKR). Bei besonderen Verhältnissen kann ein Pauschalbetrag vergütet werden (Art. 13 Abs. 4 BStKR). 11.3 Rechtsanwalt Andrea Janggen beantragt mit Kostennote vom 18. Januar 2021 die Ausrichtung eines Honorars von Fr. 36'298.90 (inkl. MWST), basierend auf dem eigenen Zeitaufwand von 122.70 Stunden à Fr. 230.-- (Arbeitszeit) plus 12 Stunden Reise- und Wartezeiten à Fr. 200.--, dem Zeitaufwand für die Prakti- kantin von 13.15 Stunden à Fr. 100.-- sowie Auslagen von Fr. 1'017.70.--. Der ausgewiesene Aufwand und die Auslagen erscheinen gerechtfertigt. Die Ent- schädigung ist somit in beantragter Höhe zuzusprechen. 11.4 Die Beschuldigte ist gemäss Art. 135 Abs. 4 StPO zu verpflichten, der Eidgenos- senschaft die Entschädigung für ihre amtliche Verteidigung zurückzubezahlen, sobald es ihre wirtschaftlichen Verhältnisse erlauben. 12. Entschädigung der Beschuldigten Wird die beschuldigte Person ganz oder teilweise freigesprochen oder wird das Verfahren gegen sie eingestellt, so hat sie nach Art. 429 Abs. 1 StPO Anspruch auf Entschädigung und Genugtuung. Die Entschädigung oder Genugtuung kann insbesondere dann herabgesetzt oder verweigert werden, wenn die beschuldigte Person rechtswidrig oder schuldhaft die Einleitung des Verfahrens bewirkt oder dessen Durchführung erschwert hat (Art. 430 Abs. 1 lit. a StPO). Wie oben dargelegt (E. 10.5.2), hat die Beschuldigte die Einleitung des gegen sie wegen unbefugter Datenbeschaffung sowie qualifizierter Geldwäscherei ge- führten Verfahrens rechtswidrig und schuldhaft bewirkt. Sie hat daher keinen An- spruch auf Entschädigung.

- 81 - SK.2020.35 Die Strafkammer erkennt: I. 1. A. wird freigesprochen:

– vom Vorwurf der mehrfachen versuchten unbefugten Datenbeschaffung im Sinne von Art. 143 Abs. 1 i.V.m. Art. 22 Abs. 1 StGB;

– vom Vorwurf der qualifizierten Geldwäscherei im Sinne von Art. 305bis Ziff. 1 und 2 lit. b StGB in den Anklagepunkten 1.3.1.1 und 1.3.1.2. 2. A. wird schuldig gesprochen:

– des gewerbsmässigen betrügerischen Missbrauchs einer Datenverarbeitungsan- lage im Sinne von Art. 147 Abs. 1 und 2 StGB;

– der Geldwäscherei im Sinne von Art. 305bis Ziff. 1 StGB im Anklagepunkt 1.3.1.3. 3. A. wird bestraft mit einer teilbedingten Freiheitsstrafe von 30 Monaten, wovon 10 Mo- nate vollziehbar und 20 Monate bedingt vollziehbar, sowie mit einer bedingten Geld- strafe von 90 Tagessätzen à Fr. 80.--, jeweils mit einer Probezeit von 2 Jahren. Die Untersuchungshaft von 156 Tagen wird auf die Strafe angerechnet. 4. Als Vollzugskanton wird der Kanton Basel-Stadt bestimmt. 5. Von einer Ersatzforderung zulasten von A. und zugunsten der Eidgenossenschaft wird abgesehen. 6.

6.1 A. wird verpflichtet, den untenstehenden Privatklägern folgende Beträge als Scha- denersatz zu bezahlen:

Name Betrag

D. AG Fr. 22'885.34

E. Fr. 7'173.84

F. Fr. 10'745.65

G. Fr. 16'000.--

I. Fr. 5'170.42

J. Fr. 11'757.85

- 82 - SK.2020.35

K. Fr. 2'550.--

L. Fr. 18’000.--

N. GmbH Fr. 2'650.--

O. Fr. 19’850.--

6.2 Die Zivilklagen der Bank B. und des Finanzinstituts C. gegen A. werden auf den Zivil- weg verwiesen. 6.3 Die Genugtuungsforderungen von E., F., I., K. und O. gegen A. werden abgewiesen. 7. Die Verfahrenskosten von Fr. 175'564.-- (Vorverfahren: Gebühr Fr. 20'000.--, Ausla- gen Fr. 140'314.--; Gerichtsgebühr Fr. 15'000.--, Auslagen des Gerichts Fr. 250.--) werden A. im reduzierten Umfang von Fr. 30'000.-- auferlegt. 8. Rechtsanwalt Andrea Janggen wird für die amtliche Verteidigung von A. durch die Eidgenossenschaft mit Fr. 36'297.90 (inkl. MWST) entschädigt. A. wird verpflichtet, hierfür einen Betrag von Fr. 32'668.10 der Eidgenossenschaft zu- rückzubezahlen, sobald es ihre wirtschaftlichen Verhältnisse erlauben. 9. A. wird keine Entschädigung ausgerichtet. II.

Dieses Urteil wird in der Hauptverhandlung eröffnet und durch den Vorsitzenden mündlich begründet. Den anwesenden Parteien wird das Urteilsdispositiv ausgehändigt; den übri- gen Parteien wird es schriftlich zugestellt.

Im Namen der Strafkammer des Bundesstrafgerichts

Der Vorsitzende Der Gerichtsschreiber

- 83 - SK.2020.35 Eine vollständige schriftliche Ausfertigung wird zugestellt an: - Bundesanwaltschaft - Rechtsanwalt Andrea Janggen (Verteidiger der Beschuldigten) - Privatklägerschaft Nach Eintritt der Rechtskraft mitzuteilen an: - Bundesanwaltschaft als Vollzugsbehörde (vollständig) - Meldestelle für Geldwäscherei MROS (gemäss Art. 29a GwG [vollständig])

Rechtsmittelbelehrung Berufung an die Berufungskammer des Bundesstrafgerichts Gegen Urteile der Strafkammer des Bundesstrafgerichts, die das Verfahren ganz oder teilweise abschliessen, kann innert 10 Tagen seit Eröffnung des Urteils bei der Strafkammer des Bundesstrafgerichts mündlich oder schriftlich Berufung angemeldet werden (Art. 399 Abs. 1 i.V.m. Art. 398 Abs. 1 StPO; Art. 38a StBOG).

Mit der Berufung kann das Urteil in allen Punkten umfassend angefochten werden. Mit der Berufung können gerügt werden: Rechtsverletzungen, einschliesslich Überschreitung und Missbrauch des Ermessens, Rechts- verweigerung und Rechtsverzögerung, die unvollständige oder unrichtige Feststellung des Sachverhaltes so- wie Unangemessenheit (Art. 398 Abs. 2 und 3 StPO).

Beschränkt sich die Berufung auf den Zivilpunkt, so wird das Urteil der Strafkammer nur so weit überprüft, als es das am Gerichtsstand anwendbare Zivilprozessrecht vorsehen würde (Art. 398 Abs. 5 StPO).

Die Berufung erhebende Partei hat innert 20 Tagen nach Zustellung des begründeten Urteils der Berufungs- kammer des Bundesstrafgerichts eine schriftliche Berufungserklärung einzureichen. Sie hat darin anzugeben, ob sie das Urteil vollumfänglich oder nur in Teilen anficht, welche Abänderungen des erstinstanzlichen Urteils sie verlangt und welche Beweisanträge sie stellt. Werden nur Teile des Urteils angefochten, ist verbindlich anzugeben, auf welche sich die Berufung beschränkt (Art. 399 Abs. 3 und 4 StPO).

Beschwerde an die Beschwerdekammer des Bundesstrafgerichts Gegen Verfügungen und Beschlüsse sowie die Verfahrenshandlungen der Strafkammer des Bundesstrafge- richts als erstinstanzliches Gericht, ausgenommen verfahrensleitende Entscheide, kann innert 10 Tagen schriftlich und begründet Beschwerde bei der Beschwerdekammer des Bundesstrafgerichts geführt werden (Art. 393 Abs. 1 lit. b und Art. 396 Abs. 1 StPO; Art. 37 Abs. 1 StBOG).

Gegen den Entschädigungsentscheid kann die amtliche Verteidigung innert 10 Tagen schriftlich und begrün- det Beschwerde bei der Beschwerdekammer des Bundesstrafgerichts führen (Art. 135 Abs. 3 lit. a und Art. 396 Abs. 1 StPO; Art. 37 Abs. 1 StBOG).

Einhaltung der Fristen Eingaben müssen spätestens am letzten Tag der Frist bei der Strafbehörde abgegeben oder zu deren Handen der Schweizerischen Post, einer schweizerischen diplomatischen oder konsularischen Vertretung oder, im Falle von inhaftierten Personen, der Anstaltsleitung übergeben werden (Art. 91 Abs. 2 StPO).

Versand: 30. Juni 2021