Sachverhalt
Am 14. Juli 2023 stellte das Strafgericht des Kantons Zug das gegen A. angehobene Strafverfahren betreffend die Anklagepunkte Beschaffung verbotener Pornografie ein (Dispositivziffer 1); bezüglich der Vorwürfe des Zeigens von Videos und Bildern mit kinderpornografischem Inhalt im Zusammenhang mit D. ergingen Freisprüche (Dispositivziffer 2). Im Übrigen sprach es A. der sexuellen Handlung mit einem Kind gemäss Art. 187 Ziff. 1 StGB, der versuchten sexuellen Handlung mit einem Kind gemäss Art. 187 Ziff. 1 Abs. 2 i.V.m. Art. 22 Abs. 1 StGB, der mehrfachen Pornografie gemäss Art. 197 Abs. 1 StGB und der mehrfachen Pornografie gemäss Art. 197 Abs. 4 Satz 2 StGB schuldig (Dispositivziffer 3). Es bestrafte ihn mit einer Freiheitsstrafe von 23 Monaten, an die es 430 Tage erstandene strafprozessuale Haft anrechnete (Dispositivziffer 4). Auf den Widerruf des vom Kreisgericht Toggenburg mit Urteil vom 2. November 2020 bedingt gewährten Vollzugs einer Geldstrafe wurde verzichtet (Dispositivziffer 5). Gestützt auf Art. 63a Abs. 3 StGB und damit wegen Begehung einer Straftat während der ambulanten Therapie hob es die mit Urteil des Obergerichts des Kantons Thurgau vom 29. April 2019 angeordnete ambulante Massnahme inkl. der dazugehörigen Weisungen und Bewährungshilfe auf (Dispositivziffer 6.1). Auf die Anträge der Staatsanwaltschaft, wonach die vom Obergericht des Kantons Thurgau am 29. April 2019 wegen mehrfacher sexuellen Handlungen mit Kindern, mehrfacher Pornografie und Begünstigung bedingt ausgesprochene Freiheitsstrafe von 20 Monaten zu vollziehen und ab Entlassung eine Bewährungshilfe anzuordnen sei, trat das Strafgericht nicht ein (Dispositivziffern 6.2 f.). Es ordnete eine stationäre therapeutische Massnahme an und sprach ein lebenslängliches berufliches und organisiertes ausserberufliches Tätigkeitsverbot samt Bewährungshilfe aus (Dispositivziffern 7 f.). Schliesslich regelte es die Kosten- und Entschädigungsfolgen (Dispositivziffern 9 f.) und befand über die Herausgabe beschlagnahmter Gegenstände (Dispositivziffer 11). Gegen dieses Urteil erhob A. Berufung.
Instanzenzug
Das Obergericht des Kantons Zug stellte mit Urteil vom 27. Oktober 2023 die Rechtskraft der erstinstanzlichen Dispositivziffern 1, 2, 5, 6.1-6.3, 10.1 und 11 fest. Im Übrigen bestätigte es sowohl die erstinstanzlich ergangenen Schuldsprüche und die ausgefällte Freiheitsstrafe von 23 Monaten (unter Anrechnung der erstandenen strafprozessualen Haft von 535 Tagen [11. Mai 2022 bis 27. Oktober 2023]), als auch deren Aufschub zugunsten der anzuordnenden stationären Massnahme und das lebenslängliche Tätigkeitsverbot samt Bewährungshilfe. Es regelte die Kosten- und Entschädigungsfolgen, wobei es den von A. gestellten Antrag auf Entschädigung abwies und entschied, dass die Sicherheitshaft bis zum Antritt der stationären therapeutischen Massnahme verlängert werde.
Dabei erachtet es die Vorinstanz als erstellt, dass A. am 6. August 2020 in T. in einem Kinderschwimmbecken der vier Jahre alten B.B. unter Wasser an die Vagina gefasst hat (Anklageziffer 1.1); er zwischen dem 9. Oktober und dem 7. November 2021 dem 12 Jahre alten D. aus Deutschland via Internet kinderpornografische Erzeugnisse gezeigt und ihn aufgefordert hat, sich auszuziehen und sich rektal einen Stift einzuführen (Anklageziffer 1.2); er am 28. November 2021 via die Plattform J. Kontakt zu E., F. und G. aus Österreich hatte und diesen als auch anderen J. -Nutzern gegenüber kinderpornografische Erzeugnisse gestreamt hat (Anklageziffer 1.3); schliesslich, dass er am 19. Februar 2022 via die Plattform J. Kontakt zu H. aus Deutschland hatte und er auch dabei kinderpornografische Erzeugnisse gestreamt hat (Anklageziffer 1.4).
Weiterzug ans Bundesgericht
Der A. führt Beschwerde in Strafsachen. Er beantragt, das Urteil des Obergerichts des Kantons Zug vom 27. Oktober 2023 sei aufzuheben und die Sache zur Neubeurteilung an die Vorinstanz zurückzuweisen. Eventualiter sei das Urteil des Obergerichts vollumfänglich aufzuheben und er sei vollumfänglich freizusprechen und umgehend aus der Sicherheitshaft zu entlassen; alles unter Kosten und Entschädigungsfolgen. Ferner ersucht er um Gewährung der unentgeltlichen Rechtspflege und Verbeiständung. Mit Eingabe vom 22. April 2024 verlangt A. Einsicht in die „CompCour“-Protokolle bezüglich der „Auswahl des Spruchkörpers, des Referenten etc.“
Ausführungen des Bundesgerichts im Urteil 6B_1353/2023 vom 6. November 2024
Auf die meisten der zahlreichen Rügen (vgl. u.a. E.3, E.6 ff.) wird hier nicht eingegangen. Wir schauen uns hier «nur» die vor dem Bundesgericht erfolgreichen Rügen an:
Unverwertbarkeit der im Ausland erhobenen Beweise und Ausführungen zur Cyber Crime Convention (CCC [SR.0.311.43])
In Bezug auf den im Zusammenhang mit E., F. und G. aus Österreich und anderen Benützern der Plattform J. ergangenen Schuldspruch (Pornografie im Sinne von Art. 197 Abs. 4 Satz 2 und Art. 197 Abs. 1 StGB) macht der Beschwerdeführer vor Bundesgericht die Unverwertbarkeit der durch die österreichischen Behörden bei J. erlangten Beweise respektive der auf die Hochschule S. lautenden IP-Adresse geltend (E.4).
Dabei wendet sich der Beschwerdeführer u.a. gegen die vorinstanzliche Feststellung, gemäss welcher J. den österreichischen Strafverfolgungsbehörden über deren Auskunftsbegehren „hinausschiessende“ Informationen mitgeteilt habe. Vielmehr hätten die Strafverfolgungsbehörden einen umfassenden Dateneditionsantrag gestellt und damit Auskunft sowohl über Bestandes- als auch Randdaten erhältlich machen wollen […]. (E.4.1).
«Vorliegend seien die Beweise originär in einem ausländischen Strafverfahren nach den Vorschriften einer ausländischen Strafprozessordnung erhoben worden und hätten sich in den von den schweizerischen Behörden übernommenen Strafakten befunden. Sachgerecht erscheine, Art. 92 IRSG auf sämtliche originären Beweiserhebungen durch ausländische Strafverfolgungsbehörden anzuwenden. Dabei sei nicht ersichtlich, dass durch die Beweiserhebung der österreichischen Strafverfolgungsbehörden fundamentale internationale Verfahrensgrundsätze, Menschenrechte oder fundamentale schweizerische Rechtsgrundsätze verletzt worden wären. Letzteres umso weniger, da die schweizerische Strafprozessordnung freiwillige Beweiserhebungen zulasse, so z.B. bei Hausdurchsuchungen. Schliesslich komme der direkten Auskunftserteilung von J. keine alleinstehende Bedeutung zu, nachdem J. nach Eingang des Auskunftsersuchens von sich aus eine Meldung an das NCMEC (National Center for Missing & Exploited Children) gemacht habe, woraufhin zusätzlich auf einer „alternativen Route“ eine freiwillige Beweisübermittlung an die österreichische Polizei erfolgt sei.» (E.4.2).
Bevor das Verfahren aus Österreich von der Schweiz übernommen wurde (vgl. Ordner II act. 1/1/12), hatten die österreichischen Strafverfolgungsbehörden bei der in den USA domizilierten Plattform J. und daraufhin rechtshilfweise in der Schweiz Beweise erhoben respektive erheben lassen (E.4.3).
Das Bundesgericht äussert sich hierzu im Urteil 6B_1353/2023 vom 6. November 2024 generell-abstrakt wie folgt:
«Damit handelt es sich vorliegend um Beweise, die von den österreichischen Strafverfolgungsbehörden in den USA erhoben worden sind und in einem von der Schweiz übernommenen Strafverfahren verwertet werden sollen. Die Beweiserhebung erfolgte nicht über den Rechtshilfeweg, sondern über eine Anfrage, die von den österreichischen Strafverfolgungsbehörden direkt an J. gestellt worden war. Bei letzterer handelt es sich um eine in den USA domizilierte Anbieterin abgeleiteter Dienste. Damit stellt sich zunächst die Frage, nach welchem Recht die durch die österreichischen Strafverfolgungsbehörden in den USA vorgenommene Beweiserhebung respektive die Frage von deren Verwertung zu beurteilen ist.» (E.4.3.2).
«Über die Verwertbarkeit eines im Ausland erhobenen Beweises befindet das in der Schuldfrage entscheidende Gericht und zwar grundsätzlich nach den Vorgaben seiner Rechtsordnung (SABINE GLESS, in: Basler Kommentar StPO, 3. Aufl. 2023, N. 29 zu Art. 141 StPO [nachfolgend GLESS, StPO]; SABINE GLESS, Internationales Strafrecht, 3. Aufl. 2021, Rz. 267; CLAUDIO RIEDI, Auslandsbeweise und ihre Verwertung im schweizerischen Strafverfahren, 2018, S. 109 f.). Dies gilt unabhängig davon, ob Überwachungsergebnisse (sofern es sich denn um solche handelt, dazu nachfolgend) rechtshilfeweise gewonnen oder aber im Ausland autonom, mithin – wie vorliegend – unabhängig von einem (schweizerischen) Rechtshilfeersuchen erhoben worden sind und damit bei der Übernahme eines Strafverfahrens bereits vorliegen (vgl. [implizit] BGE 138 IV 169 E. 3.1; LEA UNSELD, in: Basler Kommentar Internationales Strafrecht, IRSG, 2015, N. 2 zu Art. 92 IRSG). Nach welchem Recht zu entscheiden ist, ob ein (allenfalls zur Unverwertbarkeit führender) Verfahrensverstoss vorliegt und damit, ob für die Verwertungsfrage auch auf das im Ausland geltende Recht abzustellen ist, gibt in der Lehre zu Diskussionen Anlass (vgl. hierzu u.a. RIEDI, der für das Vorliegen eines Verfahrensfehlers auf das Recht des ersuchten Staates abstellt und damit von einer Spaltung der zur Anwendung gelangenden Rechtsordnungen ausgeht [a.a.O., S. 112 ff. und FN 672 m.w.H.], während WOHLERS für das konsequente Abstellen auf die Vorgaben des schweizerischen Rechts plädiert [WOLFGANG WOHLERS, in: Kommentar zur Schweizerischen Strafprozessordnung, 3. Aufl. 2020, N. 10 zu Art. 141 StPO und FN 31 m.w.H.]).» (E.4.3.3).
«Der Grundsatz in dubio pro reo bedeutet, dass es Sache des Staates ist, die Schuld des Angeklagten zu beweisen und damit auch, dass Beweise rechtmässig erhoben worden sind. Entsprechend haben sich die Strafverfolgungsbehörden mit der Rechtmässigkeit vorgenommener Beweiserhebungen zu befassen. Dies gilt auch, wenn die Beweiserhebung im Ausland vorgenommen worden ist und die Beweise in einem schweizerischen Strafverfahren verwertet werden sollen. Damit kann bei der Beurteilung der Verwertbarkeit solcher Beweise nicht unbeachtet bleiben, ob die von den Behörden des ausländischen Staates durchgeführte Untersuchungshandlung gegen das (für die durchzuführende Beweiserhebung zur Anwendung gelangende ausländische) Recht verstösst (vgl. BGE 146 IV 36 E. 2.5 in fine; Urteil 6B_805/2011 vom 12. Juli 2012 E. 2.4.2, nicht publ. in BGE 138 IV 169; UNSELD, a.a.O., N. 3 zu 92 IRSG; THOMAS HANSJAKOB/UMBERTO PAJAROLA, in: Kommentar zur Schweizerischen Strafprozessordnung, 3. Aufl. 2020, N. 34 zu Art. 269 StPO). Muss ein solcher Verstoss bejaht werden, erkennt RIEDI darin zu Recht einen Anknüpfungspunkt für ein allfälliges inländisches Beweisverwertungsverbot (BGE 138 IV 169 E. 3.1; RIEDI, a.a.O., S. 112 ff., S. 149 und S.116 [FN 688 m.w.H.]).» (E.4.3.2.2).
«Über die Rechtmässigkeit der im Ausland (nach ausländischem Recht) angeordneten und durchgeführten Beweiserhebungen können die kantonalen Strafverfolgungsbehörden bei der zuständigen ausländischen Behörde einen schriftlichen Bericht einholen. Auf eine solche Erklärung kann für die Frage, ob die Massnahme nach ausländischem Recht zulässig war, grundsätzlich abgestellt werden. Liegen indes Hinweise vor, die an der Richtigkeit der Auskunft zweifeln lassen, haben sich die schweizerischen Strafverfolgungsbehörden hiermit auseinanderzusetzen (vgl. wiederum Urteil 6B_805/2011 vom 12. Juli 2012 E. 2.4.2, nicht publ. in BGE 138 IV 169; HANSJAKOB/PAJAROLA, a.a.O., N. 34 zu Art. 269 StPO und N. 22 zu Art. 272 StPO). Ergeben sich berechtigte Zweifel an der Richtigkeit der ausländischen Erklärung und damit an der Rechtmässigkeit der ausländischen Beweiserhebung, stellen sich für die Frage der nach inländischem Recht zu beurteilenden Verwertbarkeit insoweit keine Probleme, als gegen eine ausländische Regel verstossen wird, die mit dem nationalen Recht übereinstimmt, mithin gegen eine Norm, die in der Schweiz ebenfalls hätte beachtet werden müssen (GLESS, a.a.O, Rz. 266; vgl. auch SABINE GLESS, Zeitschrift Juristische Rundschau [JR] 08/2008 S. 319 ff.; RIEDI, a.a.O, S. 152). In einer solchen Konstellation kann grundsätzlich davon ausgegangen werden, dass der Verstoss durch die beiden Rechtsordnungen als gleich schwer qualifiziert und der Schutzzweck äquivalent definiert wird (BGE 138 IV 169 E. 3.1; vgl. wiederum RIEDI, a.a.O. S. 152).» (E.4.3.2.3).
Fallbezogen fährt das Bundesgericht im Urteil 6B_1353/2023 vom 6. November 2024 fort:
«Wie nachfolgend aufzuzeigen sein wird, muss davon ausgegangen werden, dass es bei der von den österreichischen Strafverfolgungsbehörden in den USA vorgenommenen Datenerhebung sowohl nach Massgabe des österreichischen, aber auch auch des schweizerischen Rechts zu Verfahrensverstössen gekommen ist.» (E.4.3.2.4).
«[…] ergibt sich daraus, dass die Auskunft über Stammdaten auf Ersuchen von Kriminalpolizei, Staatsanwaltschaft oder Gericht erteilt werden kann. Eine Auskunft über die in § 76a Abs. 2 Ziff. 1 bis 4 StPO OE genannten Zugangsdaten bedarf einer Anordnung der Staatsanwaltschaft. Die Auskunft über andere (nicht in § 76a Abs. 2 Ziff. 1 bis 4 StPO OE genannte) Zugangsdaten und die weiteren Verkehrsdaten gemäss § 160 Abs. 3 Ziff. 6 TKG) bedarf der Anordnung der Staatsanwaltschaft aufgrund einer gerichtlichen Bewilligung (§ 137 Abs. 1 StPO OE mit Verweis auf §§ 135 bis 136 StPO OE).» (E.4.3.3.3).
«Mit Blick auf die Cyber Crime Convention (CCC [SR.0.311.43]) und BGE 141 IV 108 erwägt die Vorinstanz, dass die österreichischen Behörden keinen Zwang angedroht hätten und J. freiwillig kooperiert habe. Entsprechend erscheine es auch nicht zwingend notwendig, dass das Auskunftsersuchen Österreichs an die USA über den Rechtshilfeweg gestellt worden wäre.
Auch diesen Ausführungen kann nicht gefolgt werden. Zwar hat auch Österreich die Cyber Crime Convention ratifiziert. Im erläuternden Bericht und dort zu den Änderungen des (österreichischen) Bundesgesetzes über die justizielle Zusammenarbeit in Strafsachen mit den Mitgliedstaaten der Europäischen Union und der Änderung des (österreichischen) Auslieferungs- und Rechtshilfegesetzes [ARHG] wird im Zusammenhang mit den USA erwähnt, dass diese zur Entlastung der eigenen Ressourcen Behörden anderer Staaten dazu anregten, in bestimmten Fällen die freiwillige Kooperation mit US Dienstanbietern zu suchen, welchen sie gestatteten, Daten an andere Staaten zu übermitteln (Erl. S. 36). Indes erlaubte das innerstaatliche Recht mit § 71a ARHG in der bis am 24. Februar 2024 geltenden Fassung eine freiwillige Zusammenarbeit mit Privaten in Drittstaaten (ausserhalb der EU) nur in sehr beschränktem Umfang. Konkret ermächtigte § 71a ARHG die österreichischen Strafverfolgungsbehörden nur für Anordnungen nach § 76a Abs. 1 StPO OE, ein Ersuchen um Auskunftserteilung direkt an Private in Drittstaaten zu versenden. Dabei handelt es sich um das Einholen eben jener Auskünfte, um welche die Kriminalpolizei ersuchen kann, für die mithin weder eine Anordnung der Staatsanwaltschaft noch eine gerichtliche Bewilligung erforderlich ist. Eine gesetzliche Grundlage zur direkten Einholung anderer Datenkategorien auf freiwilliger Basis fehlte, respektive stand für die übrigen Ermittlungsmassnahmen und damit für die Einholung einer Auskunft über Zugangsdaten gemäss § 76a Abs. 2 StPO OE und die übrigen Zugangs- und Verkehrsdaten nur der Rechtshilfeweg offen (vgl. wiederum Erl. S. 35 f.). Nichts anderes ergibt sich aus den Erläuterungen zum Materien-Datenschutzanpassungsgesetz, mit dem per 25. Mai 2018 § 71a ARHG eingeführt worden war. Gemäss diesen sollte im Einklang mit der österreichischen Rechtslage klargestellt werden, dass eine derartige Vorgehensweise (direkter Austausch von Daten zwischen Drittstaaten) nur in Bezug auf Ersuchen um Übermittlung von Stammdaten, nicht jedoch auch von Verkehrsdaten und Zugangsdaten in Betracht komme, „weil bei Letzteren in der StPO eine qualifizierte Anordnung vorgesehen und sonst eine gerichtliche Bewilligung erforderlich ist […].» (E.4.3.4.2).
«Zusammenfassend ergeben sich damit erhebliche Zweifel an der Rechtmässigkeit der von den österreichischen Strafverfolgungsbehörden in den USA getätigten Beweiserhebung und damit an der Richtigkeit des eingeholten Amtsberichts. Daran vermag entgegen den vorinstanzlichen Erwägungen nichts zu ändern, „[…] dass die Daten, „welche die öffentliche IP-Adresse der Hochschule S. in Zusammenhang mit dem Sachverhalt in Österreich bringen […]“, (auch) aufgrund der Kooperation von J. mit dem NCMEC an die österreichischen Strafverfolgungsbehörden gelangt sind. So oder anders wurde die Beweissammlung von den österreichischen Strafverfolgungsbehörden initiiert (vgl. den „1. Anlass-Bericht“, Ordner III act. 2/1/10 ff.) und ist dementsprechend diesen als Hoheitsträgern zuzurechnen. Entsprechend haben die für die Strafbehörden geltenden Regeln zur Anwendung zu gelangen (vgl. für das schweizerische Recht, GLESS, in: Basler Kommentar StPO, a.a.O., N. 40b f.). Dass die österreichischen Strafverfolgungsbehörden diesbezüglich einer anderen Regelung unterliegen würden, legt die Staatsanwaltschaft nicht dar und ergibt sich auch nicht aus dem bei der Staatsanwaltschaft Ried im Innkreis eingeholten Amtsbericht.» (E.4.3.5).
Das Bundesgericht fährt im Urteil 6B_1353/2023 vom 6. November 2024 mit Ausführungen zur Lage in der Schweiz fort:
«Zur Rechtslage in der Schweiz ergibt sich Folgendes: Das Bundesgesetz betreffend die Überwachung des Post- und Fernmeldeverkehrs (BÜPF [SR 780.1]) unterscheidet zwischen Auskünften über Fernmeldedienste, mithin über Bestandesdaten (vgl. Art. 21 BÜPF) und den von den Anbieterinnen von Fernmeldediensten zu liefernden Randdaten (vgl. Art. 26 Abs. 1 lit. b BÜPF und Art. 8 lit. b BÜPF). Bei ersteren handelt es sich um Auskünfte, die nicht dem Fernmeldegeheimnis unterstehen und die im Rahmen eines vereinfachten Verfahrens (vgl. Art. 15 BÜPF) erteilt werden. Deren Beschaffung stellt keine Zwangsmassnahme dar und erfordert keine Genehmigung durch die Genehmigungsbehörde (THOMAS HANSJAKOB, Überwachungsrecht der Schweiz, Kommentar zu Art. 269 ff. StPO und zum BÜPF, 2018, N. 1615 zu Art. 21 BÜPF; Botschaft vom 27. Februar 2013 zum Bundesgesetz betreffend die Überwachung des Post- und Fernmeldeverkehrs [nachfolgend: Botschaft BÜPF] BBl 2013 2683 ff., 2733). Art. 22 BÜPF regelt die Identifikation der Täterschaft bei Straftaten, die über das Internet begangen wurden. Insoweit ein Internetbenutzer bei einer Anbieterin allenfalls nicht aufgrund einer gleichbleibenden Information (und damit einem Bestandesdatum) identifiziert werden kann (Problematik der dynamischen Zuteilung von IP-Adressen), stellt sich die Frage, ob sich Auskünfte über Internetbenutzer bewilligungspflichtigen Überwachungen „lediglich“ annähern oder aber eine solche darstellen (vgl. BGE 141 IV 108 E. 5.1 und 6.2; HANSJAKOB, a.a.O., N. 1638 und 1643 zu Art. 22 BÜPF; vgl. auch Botschaft BÜPF 2736 und 2743 [unten]. Art. 26 der Verordnung über die Überwachung des Post- und Fernmeldeverkehrs (VÜPF [SR 780.11]) nennt die verschiedenen Auskunftstypen. Bei einem Auskunftstyp handelt es sich um eine in der VÜPF näher bestimmten Art und Weise eines Gesuchs und der Erteilung von Auskünften über die Daten gemäss Art. 21 bzw. Art. 22 BÜPF im Zusammenhang mit Fernmeldediensten oder abgeleiteten Kommunikationsdiensten. Bei der Dienstkategorie Netzzugangsdienste kommen drei spezifische Auskunftstypen (Art. 36-38 VÜPF) für die Zwecke der Identifikation der Benutzerschaft bei Straftaten über das Internet (Art. 22 BÜPF) hinzu (Erläuternder Bericht zur Totalrevision der Verordnung über die Überwachung des Post- und Fernmeldeverkehrs (VÜPF; SR 780.11) S. 27 f. [nachfolgend: Erl. VÜPF] abrufbar unter: https://www.li.admin.ch/de/themen/das-buepf). Bei den genannten Auskunftstypen handelt es sich grundsätzlich um eine Bestandesdatenabfrage (HANSJAKOB, a.a.O., N. 809 zu Art. 272 StPO; vgl. wiederum auch Botschaft BÜPF 2733, 2736; Erl. VÜPF S. 26). Diesen ist gemein, dass die gesuchte Verbindung und damit die zuzuordnende IP-Adresse bereits bekannt ist (vgl. indes die Ausführungen im Erl. VÜPF zum Auskunftstyp IR_8_IP (NAT) S. 41 ff.; dazu E. 5.2.1 unten).» (E.4.4.1).
«Muss indes – wie vorliegend – zwecks Evaluierung einer „verdächtigen IP-Adresse“ anhand von erhältlich gemachten Verbindungsdetails zunächst eruiert werden, wie oft und zu welchen Zeiten welche Personen respektive IP-Adressen mit einer anderen IP-Adresse in Kontakt standen, handelt es sich zweifelsohne um eine bewilligungspflichtige Randdatenerhebung bzw. -auswertung. Dies korrespondiert mit den Ausführungen in der Botschaft BÜPF, gemäss denen es sich bei den Daten, aus welchen sich ergibt, „wie oft eine bestimmte Person eine bestimmte Website angesurft“ hat und „zu welchen Zeiten“ dies der Fall war, um Randdaten handelt, deren Erhebung einer gerichtlichen Bewilligung bedarf (vgl. Botschaft BÜPF 2743 f.). Liegt keine richterliche Genehmigung vor, dürfen die aus den fraglichen Randdaten gewonnenen Erkenntnisse nach Art. 277 Abs. 2 StPO nicht verwertet werden (BGE 143 IV 270 E. 4.5; Urteil 1B_595/2022 vom 23. Dezember 2022 E. 5.3). Da sodann der Kreis der Mitwirkungspflichtigen mit Art. 2 des revidierten BÜPF per 1. März 2018 erweitert worden ist, gelangen die Bestimmungen von Art. 269 ff. StPO namentlich auch dann zur Anwendung, wenn Randdaten bei Anbieterinnen abgeleiteter Kommunikationsdienste (lit. c) erhoben werden (zur Rechtslage vor Inkrafttreten des revidierten BÜPF vgl. BGE 143 IV 270 E. 7.1 bzw. die dort erwähnten Entscheide 143 IV 21 E. 3.1; 141 IV 108 E. 5.1.3; Urteil 1B_142/2016 vom 16. November 2016 E. 3.1).» (E.4.4.2).
«Sollen Fernmeldeüberwachungen im Ausland vorgenommen respektive Daten bei einem im Ausland domizilierten Anbieter von Internetdiensten erhältlich gemacht werden, ist ein Staat aufgrund des Grundsatzes der Territorialität nicht berechtigt, auf dem Hoheitsgebiet des ausländischen Staates eigene Strafverfolgungsmassnahmen vorzunehmen. Vorbehältlich abweichender völkerrechtlicher Bestimmungen ist der Weg der internationalen Rechtshilfe in Strafsachen zu beschreiten (BGE 146 IV 36 E. 2.2 m.H. auf 143 IV 270 E. 4.7, 143 IV 21 E. 3.2 ff. und 141 IV 108 E. 5.3). Art. 32 lit. b der Cyber Crime Convention eröffnet u.a. die Möglichkeit, dass eine Vertragspartei des Übereinkommens ohne die Genehmigung einer anderen Vertragspartei auf gespeicherte Computerdaten, die sich im Hoheitsgebiet der anderen Vertragspartei befinden, zugreifen und damit namentlich bei Anbieterinnen abgeleiteter Kommunikationsdienste direkt und in „Umgehung“ des Rechtshilfeweges eine grenzüberschreitende rückwirkende Datenerhebung vornehmen kann, sofern die hierfür erforderliche „freiwillige Zustimmung“ vorliegt (BGE 143 IV 21 E. 3.2; BGE 141 IV 108 E. 5.9 bis 5.11; vgl. in Bezug auf Anbieterinnen abgeleiteter Kommunikationsdienste Art. 2 Abs. 1 lit. c BÜPF und Art. 27 BÜPF in der seit 1. März 2018 geltenden Fassung; Botschaft BÜPF 2707 f.). Auch bei diesem Vorgehen sind indes die innerstaatlichen Regelungen über die Anordnung von Zwangsmassnahmen respektive der hierfür erforderlichen innerstaatlichen Bewilligungen und damit Art. 273 StPO zu beachten (vgl. BGE 141 IV 108 und dort E. 5.12, wo bereits – wenn auch ohne vertiefte Auseinandersetzung – für einen direkten grenzüberschreitenden Zugriff auf Internet-Kommunikationsdaten im Kontext von Art. 32 der Cyber Crime Convention auf das Erfordernis der Bewilligung des Zwangsmassnahmengerichts nach Art. 273 StPO hingewiesen worden ist; Urteil des Bundesgerichts 6B_656/2015 vom 16. Dezember 2016 E. 1.3.2 und 1.4). Ein Teil der Lehre stimmt dieser Auffassung (im Grundsatz) zu, während mit Blick auf Anbieterinnen abgeleiteter Kommunikationsdienste und das Fernmeldegeheimnis respektive den Entscheid 2C_544/2020 vom 29. April 2021 eine andere Meinung vertreten wird (vgl. DAMIAN K. GRAF, in: Onlinekommentar Übereinkommen über die Cyberkriminalität (Cyber Crime Convention) – Version 26.10.2023: https://onlinekommentar.ch/de/kommentare/ccc 32 (besucht am 21. Mai 2024), N. 17, 56 und 60 zu Art. 32 CCC und SIMON ROTH, Die grenzüberschreitende Edition von IP-Adressen und Bestandesdaten im Strafprozess Direkter Zugriff oder Rechtshilfe? Jusletter vom 17. August 2015, Rz. 17 ff. [indes vor Inkrafttreten des revidierten BÜPF]). Dabei trifft zu, dass mit dem Entscheid 2C_544/2020 vom 29. April 2021 die Einspeisung von Informationen in eine bestehende Leitungs- oder Funkinfrastruktur allein als ungenügend erachtet worden ist, um – mit Blick auf die im BÜPF geregelten Mitwirkungspflichten – eine OTT-Dienstanbieterin als Fernmeldedienstanbieterin zu qualifizieren. Daraus lässt sich indes nicht der Schluss ziehen, dass die Edition von Randdaten nur dann den Anforderungen von Art. 273 StPO zu genügen hätte, wenn sie bei Fernmeldedienstanbietern respektive bei Internetzugangsanbieterinnen erhoben werden. Damit korrespondierend geht bereits die Botschaft zum BÜPF von keiner Gleichstellung von OTT-Dienstanbieterinnen mit Fernmelddienstanbieterinnen aus (Botschaft BÜPF 2707 f.; vgl. auch Urteil 2C_544/2020 vom 29. April 2021 E. 5.1.1), um im Kontext der Pflichten der Anbieterinnen abgeleiteter Kommunikationsdienste (trotzdem) explizit auf den rechtsstaatlichen Vorteil hinzuweisen, dass die Strafverfolgung höhere Hürden zu überwinden hat, um an die gewünschten Randdaten zu gelangen, da für die Anordnung der Beschlagnahme (d.h. der Überwachungsanordnung) die Genehmigung des Zwangsmassnahmengerichts zwingend vorliegen müsse (Botschaft BÜPF 2743 f.).
Zu beurteilen gilt damit letztlich, ob eine schweizerische Staatsanwaltschaft im Rahmen einer sich auf die Cyber Crime Convention stützenden Anfrage um freiwillige Herausgabe von Randdaten ersuchen darf, die sie inländisch nur unter dem Vorbehalt einer richterlichen Genehmigung nach Art. 273 f. StPO erhältlich machen könnte (vgl. hierzu [im Zusammenhang mit Rechtshilfeersuchen] RIEDI, a.a.O., S. 89 ff.). Dies ist in Bestätigung von BGE 141 IV 108 E. 5.12 zu verneinen. Die Erhebung von Randdaten stellt nach schweizerischem Recht eine Zwangsmassnahme dar, die – wenn auch weniger stark, als wenn Kommunikationsinhalte behördlich überwacht werden (BGE 142 IV 34 E. 4.3.2; Urteil 1B_473/2021 vom 25. November 2021 E. 4.1; 1B_38/2021 vom 20. April 2021 E. 4.1) – in Art. 13 BV eingreifen kann. Entsprechend ist die Verbindungsdaten-Erhebung nach Art. 273 Abs. 1 und 2 StPO nur bei dringendem Verdacht auf ein Verbrechen oder Vergehen möglich und muss richterlich bewilligt werden (BGE 141 IV 108 E. 6.2; Urteil 1B_595/2022 vom 23. Dezember 2022 E. 5.3). Hieran vermag weder die Einwilligung des Betroffenen etwas zu ändern (vgl. BGE 142 IV 34 E. 4.5) noch der Umstand, dass ein (freiwilliger) grenzüberschreitender Datenzugriff zulässig ist. Letzterer stellt innerstaatlich trotzdem eine Zwangsmassnahme dar, die den innerstaatlichen Vorgaben zu genügen hat. Hiervon gehen auch die vom Cybercrime Convention Committee im Dezember 2014 beschlossenen Leitlinien aus. Gemäss diesen haben die Strafverfolgungsbehörden dieselben rechtlichen Standards einzuhalten, wie wenn es sich um eine innerstaatliche Herausgabe handeln würde (vgl. Europarat, Cybercrime Convention Committee (TCY), T-CY Guidance Note # 3 Transborder access to data (Article 32), S. 7, abrufbar unter: https://www.coe.int/en/web/cybercrime/guidance-notes, besucht am 27. Mai 2023). Der inländisch vorgesehene Grundrechtsschutz durch eine zwangsmassnahmengerichtliche Genehmigung muss damit auch dann gelten, wenn die Beweisabnahme im Ausland erfolgt (vgl. [zum Rechtshilfeverfahren] wiederum RIEDI, a.a.O. S. 90, m.w.H; vgl. auch S. 323 ff. [im Zusammenhang mit Art. 269 StPO] und HANSJAKOB/PAJAROLA, a.a.O., N. 38 f. zu Art. 269 StPO).» (E.4.4.3).
«Zusammenfassend ergibt sich, dass das Ersuchen um freiwillige Bekanntgabe der von den österreichischen Strafverfolgungsbehörden bei J. angefragten (Rand- bzw. Verkehrs-) Daten nach schweizerischem Recht unter dem Vorbehalt der richterlichen Bewilligung steht. Damit einher gehen erhebliche Zweifel an der Rechtmässigkeit der von den österreichischen Strafverfolgungsbehörden in den USA getätigten Beweiserhebung, respektive ist davon auszugehen, dass das österreichische Recht die Bewilligungspflicht die Erhebung von Rand- bzw. Verkehrsdaten betreffend im Grundsatz äquivalent regelt (vgl. oben E. 4.3.2.3 und 4.3.3.2 f.). Eine richterliche Bewilligung wurde zu keinem Zeitpunkt eingeholt, woraus sich aus dem für die Frage der Verwertbarkeit anwendbaren schweizerischen Recht (vgl. oben E. 4.3.2.1) die absolute Unverwertbarkeit der von den österreichischen Strafverfolgungsbehörden in den USA erhobenen Daten ergibt (Art. 277 Abs. 2 i.V.m. Art. 141 Abs. 1 StPO). Die Rüge des Beschwerdeführers erweist sich in diesem Punkt als begründet. Das vorinstanzliche Urteil ist dementsprechend aufzuheben und zur neuen Entscheidung an die Vorinstanz zurückzuweisen.» (E.4.5).
Beschaffung von Randdaten ohne richterliche Genehmigung
«Der Beschwerdeführer macht vor Bundesgericht weiter die Unverwertbarkeit der von der Hochschule S. am 4. Mai 2022 im Zusammenhang mit dem Vorfall H. (Deutschland) an die Staatsanwaltschaft Zürich gelieferten Daten geltend. Gemäss der Vorinstanz sei die täterische IP-Adresse grundsätzlich bekannt gewesen und deshalb eine Bestandesdatenabfrage erfolgt. […].
Die Staatsanwaltschaft Zürich habe bewusst Rand- und nicht Bestandesdaten ediert. Damit einhergehend habe die Vorinstanz das Recht hinsichtlich der Verwertbarkeit von Beweisen falsch angewandt. […]. Wechselten Randdaten im Rahmen dieser Auskunft trotzdem den Besitzer, sei die Umgrenzung von Art. 38 Abs. 1 VÜPF verletzt und ungeachtet der ursprünglichen Absicht der Staatsanwaltschaft die Grenze zur genehmigungspflichtigen Randdatenerhebung überschritten. Zusammenfassend habe die Staatsanwaltschaft Randdaten beschafft, ohne eine richterliche Genehmigung einzuholen. Eventualiter habe die Vorinstanz die Regeln über die nationale Rechtshilfe verletzt, rügt der Beschwerdeführer.» (E.5.1.1).
Das Bundesgericht äussert sich hierzu im Urteil 6B_1353/2023 vom 6. November 2024 wie folgt:
«Für die Abfrage von (bekannten) IP-Adressen stehen spezifische Auskunftstypen zur Verfügung (vgl. Art. 37-39 VÜPF; Erl. VÜPF S. 27 f., 40; oben E. 4.4.1). Der in Art. 37 VÜPF definierte Auskunftstyp IR_7_IP betrifft (bewilligungsfreie) Auskünfte zur Identifikation der Benutzerschaft bei eindeutig zugeteilten und damit bei statisch und eindeutig zugeteilten dynamischen IP-Adressen. Die Vereinheitlichung dieser Abfrage erfolgt, „weil man es einer IP-Adresse nicht ansieht, ob sie statisch oder dynamisch zugeteilt war“. Erst das Ergebnis dieses Auskunftstyps schafft Klarheit (Erl. VÜPV S. 39). War die fragliche IP-Adresse nicht eindeutig zugeteilt, ist ein Auskunftsgesuch IR_8_IP (NAT) gemäss Art. 38 VÜPF zu stellen. Bei der Network Address Translation (NAT) können sich bis zu vielen Tausend Benutzer und Benutzerinnen gemeinsam die gleiche öffentliche IP-Adresse teilen. Daher ist bei NAT eine Teilnehmeridentifikation nur mit erhöhtem technischen Aufwand möglich. Zudem erfordert ein solches Auskunftsgesuch die Angabe weiterer Anfragekriterien. Der Auskunftstyp IR_9_NAT dient schliesslich der Auskunft über NAT-Übersetzungsvorgänge (Erl. VÜPV S. 40 und 43). Die zum Zweck der rückwirkenden Überwachung (Art. 26 Abs. 4 BÜPF) und der Identifikation der Täterschaft bei Straftaten über das Internet (Art. 22 BÜPF) gesammelten Randdaten werden als „aufbewahrte Daten“ bezeichnet. Die zum Zweck der Identifikation gemäss Art. 22 BÜPF aufzubewahrenden respektive zu liefernden Randdaten (vgl. auch die in Art. 27 Abs. 2 BÜPF [für Anbieterinnen abgeleiteter Kommunikationsdienste], in Art. 28 Abs. 2 BÜPF [für Betreiberinnen von internen Fernmeldenetzen] und Art. 29 Abs. 2 BÜPF [für Personen, die ihren Zugang zu einem öffentlichen Fernmeldenetz Dritten zur Verfügung stellen] verankerten Lieferpflichten) wurden in der bis am 31. Dezember 2023 geltenden Fassung der VÜPF in Art. 21 Absatz 2 VÜPF bestimmt und umfassen (u.a.) gemäss lit. b die Randdaten über die Zuteilung und Übersetzung von IP-Adressen und Portnummern, um die Auskünfte gemäss den Art. 37, 38 und 39 VÜPF erteilen zu können (vgl. Erl. VÜPF S. 65 und Art. 21 Abs. 2 lit. b BÜPF in der bis 31. Dezember 2023 geltenden Fassung). Für die Herausgabe dieser Randdaten gilt, dass für die Anordnung der Beschlagnahme, d.h. der Überwachungsanordnung die Genehmigung des Zwangsmassnahmengerichts zwingend vorliegen muss (Botschaft BÜPF 2743 f.).» (E.5.2.1).
«Die Bestimmungen des 4. Kapitels „Nationale Rechtshilfe“ regeln nach Art. 43 Abs. 1 StPO die Rechtshilfe in Strafsachen von Behörden des Bundes und der Kantone zugunsten der Staatsanwaltschaften, Übertretungsstrafbehörden und Gerichte des Bundes und der Kantone. Als Rechtshilfe gilt dabei jede Massnahme, um die eine kantonale oder eidgenössische Behörde die andere im Rahmen ihrer Zuständigkeit in einem hängigen Strafverfahren ersucht (vgl. Art. 43 Abs. 4 StPO; BGE 149 IV 352 E. 1.3.2 m.H. auf Urteil 1B_231/2015 vom 15. März 2016 E. 4). Gemäss Art. 44 StPO sind die Behörden des Bundes und der Kantone zur Rechtshilfe verpflichtet, wenn Straftaten nach Bundesrecht in Anwendung dieses Gesetzes verfolgt und beurteilt werden. Die Rechtshilfeverpflichtung trifft nicht nur die Strafbehörden des Bundes und der Kantone (eingeschlossen die der Gemeinden), sondern alle Behörden und damit namentlich auch öffentlich-rechtliche Anstalten des Bundes (CLAUDIO RIEDI, in: Basler Kommentar StPO, 3. Aufl. 2023, N. 3 zu Art. 44 StPO; STEFAN HEIMGARTNER, in: Kommentar zur Schweizerischen Strafprozessordnung StPO, Art. 1-195 StPO, 3. Auflage 2020, N. 2b zu Art. 44 StPO; BGE 149 IV 352 E. 1.3.2 m.w.H.).» (E.5.2.2).
«Daraus ergibt sich, dass die Staatsanwaltschaft Zürich keine Bestandesdatenabfrage an die Hochschule S. gestellt hat. Stattdessen hat sie letztere mit der Editionsverfügung vom 21. April 2022 aufgefordert, die sichergestellten Log-Dateien zu edieren. Mit derselben Verfügung wurde die Polizei beauftragt, die Daten vorab zu sichten, direkt detailliertere Auskünfte einzuholen und Unterlagen und Gegenstände zu erheben (Ordner II act. 1/2/1 f.). Bei Logfiles bzw. Log-Dateien handelt es sich um dem Fernmeldegeheimnis unterliegende Randdaten (HANSJAKOB/PAJAROLA, a.a.O., N. 41 zu Art. 273 StPO; MARC JEAN-RICHARD-DIT-BRESSEL, in: Basler Kommentar StPO, 3. Aufl. 2023, N. 22 zu Art. 269 StPO). Davon, dass die von der Staatsanwaltschaft edierten und alsdann von der Hochschule S. gelieferten „Log-Files“ (auch) Randdaten enthalten, scheint denn auch die Vorinstanz auszugehen, wenn sie erwägt, dass diese nicht gegen den Beschwerdeführer verwendet werden dürfen (angefochtenes Urteil S. 22).» (E.5.2.4).
«Mit ihrem Hinweis auf eben diesen Auskunftstyp (Art. 38 VÜPF) übersieht die Vorinstanz, dass ein entsprechendes Auskunftsgesuch durch die Staatsanwaltschaft zu leistende Vorarbeiten bedingt. Diese bestehen in der Beschaffung der für ein Auskunftsgesuch gemäss Art. 38 VÜPF notwendigen Angaben, welche sich (erst) aus der vorgängigen Beschaffung der IP-History respektive der Eruierung und Auswertung der Verbindungsdetails der fraglichen Login-Ereignisse ergeben. Erst mit dem Vorliegen der für (die konkrete Konstellation notwendigen) Angaben (vgl. hierzu Art. 38 Abs. 2 lit. a bis f VÜPF) kann alsdann eine (bewilligungsfreie) Anfrage gemäss Art. 38 VÜPF gestellt werden (vgl. Erl. VÜPV S. 43). Diese vorgängig vorzunehmende Beschaffung und Auswertung der IP-History zwecks nachfolgender Abfrage stellt eine selbstständige und unter Art. 273 StPO fallende Randdatenerhebung dar und bedarf damit der Bewilligung durch das Zwangsmassnahmengericht. Damit korrespondiert der explizite Hinweis im erläuternden Bericht VÜPF, dass diese „Vorarbeit“ bzw. dieser „erste Schritt“ nicht [keine Hervorhebung im Originaltext] Teil eines Auskunftsgesuches gemäss Art. 38 VÜPF ist (vgl. wiederum Erl. VÜPV S. 43). Wie bereits erwähnt hat die Hochschule S. die fraglichen Daten in Nachachtung einer gestützt auf Art. 265 Abs. 3 StPO erlassenen Editionsverfügung zusammengetragen und eingereicht. Damit sind die bei der Hochschule S. edierten und von dieser ausgewerteten Randdaten als von der Staatsanwaltschaft erhobene Beweise zu betrachten (vgl. hierzu auch Urteil 1B_26/2016 vom 29. November 2016 E. 4.1 im Zusammenhang mit der Universität Zürich). Daran ändert in der konkreten Konstellation nichts, dass die Hochschule S. offenbar die Möglichkeit hat, in den bei ihr aufbewahrten Randdaten zu suchen, „wem das gesuchte Adressierungselement zum fraglichen Zeitpunkt zugeteilt war“ (vgl. Erl. VÜPF S. 43). Dies deswegen nicht, weil sie vorgängig (und soweit ersichtlich unaufgefordert) die von der Staatsanwaltschaft „lediglich“ zur Edition verlangten Randdaten (an deren Stelle) ausgewertet und anhand dieser (u.a.) die für ein Auskunftsgesuch gemäss Art. 38 VÜPF erforderlichen Angaben (selbst) bestimmt hat. Da die Staatsanwaltschaft auf den Bericht der Hochschule S. und damit einhergehend auf die diesem zugrunde liegenden, respektive anhand der ausgewerteten Randdaten evaluierten Verbindungsdetails abstellt, hat sie sich – nebst der Edition – auch die Auswertung der Randdaten zuzurechnen lassen. Eine Genehmigung des Zwangsmassnahmengerichts liegt nicht vor, weshalb die erhobenen und evaluierten Verbindungsdetails nicht verwertet werden dürfen (Art. 277 Abs. 2 i.V.m. Art. 141 Abs. 1 StPO). Offenbleiben kann damit, ob es bei den Bestimmungen, gemäss welchen Datenerhebungen über den Dienst ÜPF zu erfolgen haben (vgl. Art. 17 Abs. 1 und Art. 26 Abs. 2 VÜPV), um Ordnungs- oder Gültigkeitsvorschriften handelt; ebenso, ob es zu einer Verletzung der Regeln über die nationale Rechtshilfe gemäss Art. 43 ff. StPO gekommen ist.
Die Rüge des Beschwerdeführers erweist sich auch in diesem Punkt als begründet. Das vorinstanzliche Urteil ist dementsprechend aufzuheben und zur neuen Entscheidung an die Vorinstanz zurückzuweisen.» (E.5.2.6).
Das Bundesgericht heisst die Beschwerde im Urteil 6B_1353/2023 vom 6. November 2024 teilweise gut.