Der Computerbetrug nach § 263a StGB bestraft die Manipulation eines automatisierten Datenverarbeitungsvorgangs, mit der sich der Täter oder ein Dritter auf Kosten fremden Vermögens einen rechtswidrigen Vorteil verschafft. Die Vorschrift ist das maschinelle Gegenstück zum Betrug und erfasst allein, was einer Täuschung gleichsteht. Praktisch relevant ist sie vor allem beim Einsatz fremder Bank- und Kreditkarten an Automaten und Terminals, beim Bezahlen mit fremden Kartendaten im Netz und bei Eingabemanipulationen in automatisierten Online-Prozessen.
§ 263 StGB setzt voraus, dass ein Mensch getäuscht wird und einem Irrtum unterliegt. Wo an die Stelle des Menschen ein Automat, ein Bankterminal oder ein Serverprozess tritt, fehlt es an einem Getäuschten, der irren könnte.
§ 263a StGB schließt genau diese Lücke — aber nur sie. Daraus folgt der Gedanke, der die gesamte Vorschrift trägt: Erfasst wird allein, was einer Täuschung gleichsteht. Nicht jede unerwünschte oder vertragswidrige Nutzung von Daten ist ein Computerbetrug.
Welche Voraussetzungen hat der Computerbetrug?
Der Tatbestand des Computerbetrugs zählt vier Tathandlungen auf, die alle dasselbe Ziel haben: das Ergebnis eines Datenverarbeitungsvorgangs zu beeinflussen.
Die unrichtige Gestaltung des Programms meint die Programmmanipulation, also das Verändern, Löschen oder Einrichten von Programmen, damit die Anlage ein unzutreffendes Ergebnis liefert — praktisch etwa manipulierte Abrechnungs- oder Warenwirtschaftssoftware.
Die Verwendung unrichtiger oder unvollständiger Daten erfasst die Eingabe- oder Input-Manipulation: Falsche Daten gelangen in ein System, damit es fehlerhaft rechnet. Typische Fälle sind gefälschte Bestellungen, manipulierte Überweisungsdaten oder erfundene Angaben in automatisierten Online-Anträgen.
Die unbefugte Verwendung von Daten ist die praktisch wichtigste Variante. Die Daten sind hier inhaltlich richtig, aber ihr Einsatz ist nicht gedeckt — etwa beim Einsatz einer fremden Bank- oder Kreditkarte am Automaten oder von Kartendaten im Netz. Was „unbefugt“ bedeutet, ist der entscheidende Streitpunkt und wird sogleich behandelt.
Die sonstige unbefugte Einwirkung auf den Ablauf ist eine Auffangvariante für Manipulationsformen, die sich unter die ersten drei nicht fassen lassen. Sie ist eng auszulegen, damit sie nicht zu einem uferlosen Tatbestand gerät.
Alle vier Handlungen müssen dieselbe Wirkung haben: Sie müssen das Ergebnis des Datenverarbeitungsvorgangs beeinflussen und dadurch unmittelbar das Vermögen eines anderen schädigen. Der Aufbau entspricht dem Betrug — die Manipulation tritt an die Stelle der Täuschung, der beeinflusste Rechenvorgang an die Stelle des Irrtums, und am Ende muss ein Vermögensschaden stehen. Auf der inneren Seite muss der Handelnde vorsätzlich und in der Absicht handeln, sich oder einem Dritten einen rechtswidrigen Vermögensvorteil zu verschaffen. Fehlt es an dieser Absicht oder am Schaden, scheidet der Computerbetrug aus.
Wer ist geschädigt? Bei Abhebungen am Geldautomaten ist das nicht der Kontoinhaber, sondern die auszahlende Bank: Das Bargeld wird aus dem Vermögen des Geldinstituts ausgefolgt, und einen Aufwendungsersatzanspruch nach §§ 670, 675 Abs. 1 BGB hat die Bank gegenüber dem Kontoinhaber nicht, weil die Auszahlung nicht auf einer wirksamen Weisung des Berechtigten beruht (BGH, Urt. v. 18.07.2007 – 2 StR 69/07). Die Frage entscheidet über die Schadenshöhe, die Nebenklagebefugnis und die Adressaten der Einziehung.
Nicht jeder Missbrauch von Daten ist „unbefugt“
Der Streit um den Computerbetrug entzündet sich fast immer an einem Wort: unbefugt. Der Wortlaut sagt nicht, wann eine an sich zutreffende Datenverwendung unbefugt ist, und genau hier liegt der wichtigste Ansatz der Verteidigung.
Drei Deutungen stehen sich gegenüber. Nach einer weiten, am Willen des Berechtigten orientierten Lesart wäre jede Nutzung unbefugt, die dem Willen des Kontoinhabers oder der Bank widerspricht. Nach einer rein computerbezogenen Lesart käme es allein darauf an, ob der Automat technisch ordnungsgemäß bedient wurde. Beide Extreme überzeugen nicht: Die erste macht aus dem Computerbetrug eine Art Computeruntreue und knüpft die Strafbarkeit an bloße Vertragsverstöße; die zweite ließe kaum je eine Strafbarkeit übrig.
Die Rechtsprechung folgt einem dritten, engeren Maßstab, der betrugsspezifischen Auslegung. Der Anwendungsbereich der Vorschrift ist durch Struktur- und Wertgleichheit mit dem Betrugstatbestand bestimmt; mit § 263a StGB sollte lediglich die Lücke geschlossen werden, die dadurch entstand, dass der Betrug menschliche Entscheidungsprozesse voraussetzt, die beim Einsatz von EDV-Anlagen fehlen. Unbefugt ist danach nur eine Datenverwendung, die täuschungsäquivalent ist — die also gegenüber einem Menschen eine Täuschung wäre. Das ist jedenfalls dann anzunehmen, wenn es bei dem fiktiven Prüfvorgang eines Bankmitarbeiters um dieselben Aspekte ginge, die auch der Geldautomat abarbeitet (BGH, Beschl. v. 21.11.2001 – 2 StR 260/01, BGHSt 47, 160, 162 f.).
Aus diesem Maßstab folgt eine Abstufung, die man nicht verkürzen darf.
Freiwillige Überlassung — auch täuschungsbedingt — ist nicht unbefugt. Wer Bankkarte und Geheimzahl vom Berechtigten mit dessen Willen erlangt hat, verwendet die Daten nicht unbefugt, mag die Überlassung auch auf einer Täuschung beruhen. Das betrifft die verbreitete Konstellation, in der älteren Menschen die Karte samt PIN durch eine Lügengeschichte entlockt wird: Der anschließende Abhebungsvorgang ist kein Computerbetrug. Strafbar ist ein solches Verhalten regelmäßig als Betrug zum Nachteil des Karteninhabers (BGH, Beschl. v. 12.08.2025 – 5 StR 262/25).
Verbotene Eigenmacht ist demgegenüber erfasst. Wer sich Karte und Geheimzahl durch Diebstahl oder Nötigung verschafft oder Daten ohne Wissen des Berechtigten abfängt, handelt nach der Rechtsprechung unbefugt. Genau diese Grenze zieht der Senat in der vorgenannten Entscheidung: Für eine Strafbarkeit als Computerbetrug bedürfte es bei betrugsnaher Auslegung der Erlangung von Bankkarte und PIN durch verbotene Eigenmacht. Der Satz „echte Karte plus richtige PIN gleich kein Computerbetrug“ trifft also nicht zu.
Beim kontaktlosen Bezahlen ohne PIN entfällt der Tatbestand auch bei entwendeter Karte. Der Bundesgerichtshof hat eine Verurteilung wegen Computerbetrugs zum Nachteil der kartenausgebenden Bank aufgehoben, obwohl die Girokarte geraubt worden war: Beim kontaktlosen Zahlen ohne PIN-Eingabe wird vor der Genehmigung des Zahlvorgangs lediglich geprüft, ob die Karte gesperrt ist. Ein fiktiver Schalterangestellter würde sich über die Berechtigung des Zahlenden ebenso wenig Gedanken machen wie beim Bargeldkauf über das Eigentum am Geld. Es fehlt damit an einer konkludenten Erklärung, zur Verwendung berechtigt zu sein, und folglich am Täuschungsäquivalent (BGH, Beschl. v. 03.12.2025 – 5 StR 362/25).
Der Unterschied liegt also nicht allein in der Art der Erlangung, sondern auch im eingesetzten Autorisierungsverfahren. Für die Verteidigung ist das der Ansatzpunkt: Ob mit PIN oder kontaktlos gezahlt wurde, steht in den Transaktionsdaten und ist objektiv feststellbar.
Abgrenzung: Computerbetrug, Betrug, Diebstahl oder § 266b?
Weil § 263a StGB an der Grenze zu anderen Vermögensdelikten liegt, hängt viel davon ab, welcher Tatbestand tatsächlich einschlägig ist.
Gegen den Betrug (§ 263 StGB) grenzt sich der Computerbetrug danach ab, wer am Ende getäuscht wird. Steht ein Mensch am anderen Ende, etwa ein Bankmitarbeiter, der eine Überweisung freigibt, ist § 263 StGB einschlägig; wirkt der Täter unmittelbar auf einen automatisierten Vorgang ein, kommt § 263a StGB in Betracht. In den Kartenfällen bedeutet das häufig, dass ein Betrug zum Nachteil des getäuschten Karteninhabers vorliegt, während der Computerbetrug ausscheidet.
Gegen den Diebstahl (§ 242 StGB) ist abzugrenzen, wenn der Täter die Karte oder das Bargeld zunächst wegnimmt. Der Diebstahl setzt Zueignungsabsicht voraus; ob sie bei einer Karte vorliegt, die nach der Abhebung zurückgegeben werden soll, ist eine eigene Frage. Der anschließende Einsatz am Automaten wirft die Frage nach § 263a StGB auf und wird, wie gezeigt, nur unter bestimmten Voraussetzungen zum Computerbetrug.
Gegen den Missbrauch von Scheck- und Kreditkarten (§ 266b StGB) verläuft die Grenze beim berechtigten Karteninhaber. Wer die ihm eingeräumte Möglichkeit missbraucht, den Aussteller zu einer Zahlung zu veranlassen, und diesen dadurch schädigt, unterfällt § 266b StGB — nicht § 263a StGB. Diese Abgrenzung ist kein Nebenschauplatz: Sie war der Ausgangspunkt der betrugsspezifischen Auslegung, weil die unterschiedlichen Strafrahmen und die fehlende Versuchsstrafbarkeit des § 266b StGB andernfalls zu Wertungswidersprüchen führen würden.
Gegen die Untreue (§ 266 StGB) verläuft die Grenze dort, wo jemand eine ihm eingeräumte Verfügungsmacht im Innenverhältnis überschreitet, ohne dass eine Kartenkonstellation vorliegt.
Wo entsteht der Vorwurf des Computerbetrugs in der Praxis?
Der Vorwurf des Computerbetrugs taucht in wiederkehrenden Konstellationen auf: beim Missbrauch von Bank- und Kreditkarten durch Einsatz gefälschter, kopierter oder durch verbotene Eigenmacht erlangter Karten an Automaten und Terminals; bei der Bezahlung in Online-Shops mit fremden Kredit- oder Kontodaten, häufig nach Phishing oder Skimming; bei Eingabemanipulationen in Online-Banking-, Kredit- oder Bestellprozessen, um eine automatisierte Freigabe zu erschleichen; bei der Veränderung von Abrechnungs-, Kassen- oder Warenwirtschaftssoftware; und in organisierten Formen, etwa im Zusammenhang mit dem Handel mit Kartendaten.
Strafrahmen, Vorbereitung und Nebenfolgen
Der Grundtatbestand des § 263a Abs. 1 StGB sieht Freiheitsstrafe bis zu fünf Jahren oder Geldstrafe vor. Über die Verweisung in § 263a Abs. 2 StGB gelten die Absätze 2 bis 6 des § 263 StGB entsprechend. Der Versuch ist damit strafbar. In den Fällen des § 247 StGB (Taten gegen Angehörige) ist der Strafantrag zwingend, in den Fällen des § 248a StGB (geringwertige Taten) kann ihn ein bejahtes besonderes öffentliches Interesse ersetzen.
Liegt ein besonders schwerer Fall vor, beträgt der Rahmen sechs Monate bis zehn Jahre. Als Regelbeispiele kommen insbesondere gewerbsmäßiges Handeln oder das Handeln als Mitglied einer Bande in Betracht, die sich zur fortgesetzten Begehung von Urkundenfälschung oder Betrug verbunden hat, sowie ein Vermögensverlust großen Ausmaßes — ein solcher kommt erst ab 50.000 Euro in Betracht (BGHSt 48, 360), und dieser Betrag muss je Tat erreicht sein, weshalb die Konkurrenzfrage unmittelbar durchschlägt.
Treffen bandenmäßige und gewerbsmäßige Begehung zusammen, ist die Tat über § 263a Abs. 2 i.V.m. § 263 Abs. 5 StGB Verbrechen: Freiheitsstrafe von einem Jahr bis zu zehn Jahren, in minder schweren Fällen von sechs Monaten bis zu fünf Jahren. Zu beachten ist, dass die Bandenkataloge auseinanderfallen — Absatz 5 verlangt eine Verbindung zur fortgesetzten Begehung von Straftaten nach den §§ 263 bis 264 oder 267 bis 269 StGB und damit einen anderen Katalog als das Regelbeispiel.
Eigenständig strafbar ist bereits die Vorbereitung. Nach § 263a Abs. 3 StGB in der seit dem 18.03.2021 geltenden Fassung (61. Strafrechtsänderungsgesetz, BGBl. 2021 I S. 333, zur Umsetzung der Richtlinie (EU) 2019/713) macht sich strafbar, wer Computerprogramme, deren Zweck die Begehung einer solchen Tat ist, oder Passwörter oder sonstige Sicherungscodes, die zur Begehung einer solchen Tat geeignet sind, herstellt, sich oder einem anderen verschafft, feilhält, verwahrt oder einem anderen überlässt. Der Strafrahmen beträgt bis zu drei Jahre oder Geldstrafe. Die Erweiterung um Zugangsdaten ist der praktisch bedeutsamste Teil der Norm: Sie greift bereits beim Besitz erbeuteter Kartendaten oder Zugangsdaten, und der Maßstab ist für diese Objekte mit der bloßen Eignung deutlich weiter als bei Programmen. Nach § 263a Abs. 4 StGB gilt in den Fällen des Absatzes 3 die tätige Reue entsprechend § 149 Abs. 2 und 3 StGB — wer die Ausführung freiwillig aufgibt und die Gegenstände unbrauchbar macht, beseitigt oder der Behörde anzeigt, kann Straffreiheit erlangen.
Die Verfolgung verjährt in fünf Jahren (§ 78 Abs. 3 Nr. 4 StGB); Regelbeispiele verlängern die Frist nach § 78 Abs. 4 StGB nicht.
Neben der Strafe steht regelmäßig die Einziehung des Erlangten; zu deren Sicherung kann schon im Ermittlungsverfahren ein Vermögensarrest angeordnet werden, der Konten und Vermögenswerte einfriert.
Ansätze der Verteidigung
Der stärkste Hebel liegt regelmäßig im Merkmal unbefugt. Zu klären ist zweierlei: wie der Beschuldigte an Karte und Daten gelangt ist — freiwillige, auch täuschungsbedingte Überlassung oder verbotene Eigenmacht — und in welchem Verfahren gezahlt wurde. Beides ist objektiv feststellbar und entscheidet über den Schuldspruch.
Weitere Ansätze betreffen den Vermögensschaden, der unmittelbar aus dem beeinflussten Rechenvorgang folgen muss und beim richtigen Geschädigten festzustellen ist, sowie die Bereicherungsabsicht, die dem Beschuldigten nachzuweisen ist.
Häufig entscheiden die Konkurrenzen über die Strafhöhe. Mehrfache Abhebungen mit derselben Karte am selben Geldautomaten innerhalb kürzester Zeit bilden bei von vornherein auf eine möglichst große Bargeldsumme gerichtetem Vorsatz eine einheitliche Tat; das gilt auch für das Zusammentreffen einer erfolgreichen Abhebung mit einem fehlgeschlagenen Versuch (BGH, Beschl. v. 23.06.2020 – 5 StR 164/20). Umgekehrt bilden längere Pausen zwischen den Abhebungen, der Wechsel der Karte oder die Nutzung eines anderen Automaten Zäsuren, die zu Tatmehrheit führen (BGH, Beschl. v. 11.03.2015 – 1 StR 50/15). Aus zwölf Einzelfällen können so wenige Taten werden — mit unmittelbarer Wirkung auf die Gesamtstrafe und auf die Frage, ob die Wertgrenze des Vermögensverlusts großen Ausmaßes je Tat überhaupt erreicht ist.
Bei Vorwürfen nach § 263a Abs. 3 StGB ist zusätzlich die tätige Reue zu prüfen.
Praktischer Hinweis
Wer den Vorwurf des Computerbetrugs erhält, sollte vor jeder Einlassung klären lassen, ob überhaupt ein täuschungsäquivalentes Verhalten vorliegt und welcher Tatbestand tatsächlich einschlägig ist. Gerade in den verbreiteten Kartenfällen entscheidet diese Einordnung darüber, ob es bei § 263a StGB bleibt, ob ein anderer Vorwurf an seine Stelle tritt oder ob ein Teilfreispruch möglich ist. Vorschnelle Angaben gegenüber den Ermittlungsbehörden verschließen Verteidigungswege, die sich sonst offengehalten hätten — insbesondere Angaben dazu, wie Karte und Geheimzahl in den Besitz des Beschuldigten gelangt sind. Wie die Kanzlei in solchen Verfahren vorgeht, beschreibt die Seite zur Verteidigung bei Betrugsvorwürfen.
Häufige Fragen
Ist das Abheben mit einer erschwindelten EC-Karte ein Computerbetrug?
Nein. Wer Karte und PIN vom Berechtigten mit dessen Willen erhalten hat, verwendet die Daten nicht unbefugt, auch wenn die Überlassung auf einer Täuschung beruhte. In Betracht kommt ein Betrug zum Nachteil des Karteninhabers.
Ist das Abheben mit einer gestohlenen Karte ein Computerbetrug?
Wer sich Karte und Geheimzahl durch verbotene Eigenmacht verschafft und mit PIN abhebt, verwendet die Daten nach der Rechtsprechung unbefugt. Anders liegt es beim kontaktlosen Bezahlen ohne PIN.
Was gilt beim kontaktlosen Bezahlen ohne PIN?
Nach der Entscheidung des Bundesgerichtshofs vom 03.12.2025 fehlt es dort am Täuschungsäquivalent, weil vor der Freigabe nur die Sperrung der Karte geprüft wird — und zwar auch dann, wenn die Karte entwendet war.
Ist schon der Besitz erbeuteter Kartendaten strafbar?
Nach § 263a Abs. 3 StGB kann bereits das Verschaffen oder Verwahren von Passwörtern und sonstigen Sicherungscodes strafbar sein, die zur Begehung eines Computerbetrugs geeignet sind. Der Strafrahmen beträgt bis zu drei Jahre.
Wie schnell verjährt der Computerbetrug?
In fünf Jahren. Ein besonders schwerer Fall verlängert die Frist nicht.