Executive Summary

• Kernpunkt: Ein Arbeitnehmer, der eine Sicherheitslücke («Oracle») ausnutzt, um sich Administratorrechte zu verschaffen und ein Treiberprogramm zu installieren, erfüllt den Tatbestand des unbefugten Eindringens in ein Datenverarbeitungssystem (Art. 143bis StGB), auch wenn er auf seinem eigenen Arbeitsplatz handelt.
• Entscheidung: Die Verurteilung wird bestätigt; das Bundesgericht präzisiert, dass auch ein Teilsystem (Sous-System) innerhalb eines Arbeitgebersystems ein «fremdes» Datenverarbeitungssystem sein kann. Der Anklagegrundsatz (Art. 9 StPO) ist nicht verletzt. Hingegen wird das Urteil teilweise aufgehoben, weil die kantonale Instanz ihre Kosten- und Entschädigungsentscheidung ungenügend begründet hat (Verletzung des rechtlichen Gehörs, Art. 29 Abs. 2 BV).
• Bedeutung: Leitentscheid zur Auslegung von Art. 143bis StGB im Kontext von Privilegientausch (Privilege Escalation) und zum Schutz von Unterverwaltungssystemen im Arbeitsverhältnis. Erste umfassende dogmatische Entfaltung des Begriffs «Datenverarbeitungssystem» als Oberbegriff für physische und virtuelle Teilsysteme.

Sachverhalt

Ausgangslage und erstinstanzliches Verfahren

Gegen A.________ (nachfolgend: der Beschwerdeführer) richtete sich eine Strafuntersuchung der Staatsanwaltschaft des Kantons Waadt. Diese betraf unter anderem den Versuch des Datendiebstahls, der Datenbeschädigung, der Erpressung und der treuwidrigen Geschäftsführung im Zusammenhang mit Plänen für den Einsatz von Ransomware gegen das Informationssystem von U.________. Diese Punkte wurden von der Staatsanwaltschaft durch Ordonnanz vom 5. Oktober 2023 teilweise eingestellt, da keine ausreichenden konkreten Handlungen für eine Versuchsstrafbarkeit festgestellt werden konnten. Die Frage der Verfahrenskosten und Entschädigungen im Zusammenhang mit dieser Teilseinstellung wurde der urteilenden Instanz überlassen (Art. 421 Abs. 1 StPO).

Das Bezirksgericht Broye-Nord vaudois sprach den Beschwerdeführer am 9. April 2025 vom Vorwurf des unbefugten Eindringens in ein Datenverarbeitungssystem (Art. 143bis StGB) frei, verurteilte ihn jedoch wegen Betrugs und Waffengesetzverstosses zu einer Freiheitsstrafe von 120 Tagen (abzüglich 55 Tage Untersuchungshaft) und einer Geldstrafe von 75 Tagessätzen zu Fr. 50.--. Die Verfahrenskosten von Fr. 24'278.30 wurden ihm auferlegt; sein Entschädigungsbegehren nach Art. 429 Abs. 1 StPO wurde abgewiesen.

Berufungsentscheid der kantonalen Instanz

Die Berufungsinstanz (Cour d'appel pénale des Kantons Waadt) wies die Berufung des Beschwerdeführers ab, gab dagegen die Berufung der Staatsanwaltschaft gut. Sie verurteilte den Beschwerdeführer zusätzlich wegen unbefugten Eindringens in ein Datenverarbeitungssystem (Art. 143bis StGB) und erhöhte die Freiheitsstrafe auf 9 Monate. Die Sachverhaltsfeststellung lautete im Kern: Der Beschwerdeführer, damals Angestellter der Richtung C.________ von U.________, habe sich «mindestens im Herbst 2018» von einem unbestimmten Ort aus unter Ausnutzung der Sicherheitslücke «Oracle» ohne Berechtigung in das Informationssystem von C.________ eingehackt und sich unrechtmässig Administratorrechte («droits-administrateur») verschafft, wodurch er insbesondere die Software «PC PROX» (zur Verwaltung von Fernzugriffen) installieren konnte.

Bundesgerichtliches Verfahren

Der Beschwerdeführer beantragt beim Bundesgericht seinen Freispruch vom Vorwurf nach Art. 143bis StGB, die Reduktion der Strafe auf das erstinstanzliche Mass, die Auferlegung der erstinstanzlichen Verfahrenskosten an den Staat, die Gewährung von Entschädigungen nach Art. 429 Abs. 1 StPO in der Höhe von insgesamt Fr. 479'418.45 sowie die Auferlegung der Berufungskosten an B.________ und den Staat. Eventualiter beantragt er die Rückweisung an die kantonale Instanz.

Erwägungen

1. Sachverhaltsrügen und Unschuldsvermutung

Das Bundesgericht bekräftigt seine konstante Rechtsprechung, dass es keine Berufungsinstanz ist, in der die Sachverhaltsfeststellung frei überprüft werden kann. Es ist an die festgestellten Tatsachen gebunden (Art. 105 Abs. 1 BGG), ausser diese wären in Verletzung des Bundesrechts oder willkürlich festgestellt worden (Art. 97 Abs. 1, Art. 105 Abs. 2 BGG; Art. 9 BV). Eine willkürliche Beweiswürdigung liegt nur vor, wenn die Vorinstanz ein Beweismittel, das die Entscheidung ändern könnte, ohne ernsthaften Grund ausser Acht lässt oder aus den erhobenen Beweisen unhaltbare Schlussfolgerungen zieht (BGE 150 IV 360 E. 3.2.1; BGE 148 IV 409 E. 2.2). Appellatorische Kritik ist unzulässig.

Der Beschwerdeführer macht geltend, er habe die Rechteerhöhung nur auf seinem eigenen Arbeitsplatz vorgenommen, sich mit seinem eigenen Identifikator und Passwort in seine eigene Sitzung eingeloggt. Das Bundesgericht erachtet dies als unerheblich: entscheidend sei nicht, mittels welches physischen Computers der Beschwerdeführer gehandelt habe, sondern ob die informationstechnischen Räume («emplacements liés au système d'exploitation»), zu denen er Zugang erlangte, ein Datenverarbeitungssystem im Sinne von Art. 143bis StGB darstellen. Der Beschwerdeführer anerkennt, dass er die «Oracle»-Lücke ausgenutzt hat, um seine Privilegien zu erhöhen, und dass er die übliche Prozedur (Erhöhung der Rechte via IT-Service und Eröffnung eines Tickets) nicht eingehalten hat. Die Willkürrügen werden als unbegründet erachtet.

2. Auslegung von Art. 143bis StGB

2.1 Schutzgut und systematische Einordnung

Das Bundesgericht legt Art. 143bis StGB in der bis zum 30. Juni 2023 geltenden Fassung an. Die Norm schützt Datenverarbeitungssysteme gegen Eindringlinge («Hacker»), die Sicherheitsvorkehrungen umgehen, um in geschützte Systeme einzudringen. Der Gesetzgeber hat die Strafbarkeit bewusst davon abhängig gemacht, dass ein Schutzsystem umgangen wird (BGE 145 IV 185 E. 2.1; BGer 6B_615/2014 vom 2. Dezember 2014 E. 4.3), was der Schweizer Vorbehalt zur Cybercrime-Konvention des Europarats (CCC; SR 0.311.43) verlangt. Analog zum Hausfriedensbruch (Art. 186 StGB) schützt die Norm den sogenannten Computerfrieden — das Recht des Berechtigten, den Zugang zum Datenverarbeitungssystem zu kontrollieren (BGer 6B_456/2007 vom 18. März 2008 E. 4.2; BGE 145 IV 185 E. 2.1).

Art. 143bis Abs. 1 StGB (SR 311.0) «Wer auf dem Wege von Datenübertragungseinrichtungen unbefugterweise in ein fremdes, gegen seinen Zugriff besonders gesichertes Datenverarbeitungssystem eindringt, wird, auf Antrag, mit Freiheitsstrafe bis zu drei Jahren oder Geldstrafe bestraft.»

2.2 Begriff des Datenverarbeitungssystems und Teilsystem-Doktrin

Der zentrale dogmatische Beitrag des Urteils liegt in der Entfaltung des Begriffs «Datenverarbeitungssystem». Das Bundesgericht bestätigt und vertieft die in BGE 145 IV 185 E. 2.2.1 entwickelte Doktrin, wonach auch ein «Teil eines Datenverarbeitungssystems» («ein fremder Teil des gesamten Datenverarbeitungssystems») als geschütztes System im Sinne von Art. 143bis StGB qualifizieren kann. Das Gericht stützt sich auf eine breite Literaturgrundlage (Donatsch/Graf/Jean-Richard-dit-Bressel, Strafrecht III, 12. Aufl. 2025; Monnier, Commentaire romand; Weissenberger, Basler Kommentar; Schlegel, Handkommentar; Stratenwerth/Bommer, 8. Aufl. 2022; Trechsel/Jenal, Praxiskommentar, 5. Aufl. 2025; Pfister, Hacking in der Schweiz, 2008).

Diese Auslegung wird mit mehreren Argumenten gestützt:

• Gesetzgeberischer Wille: Der Gesetzgeber ersetzte das Wort «Computer» durch «Datenverarbeitungssystem», um den Schutz auf Daten an sich auszuweiten und eine Anpassung an technologische Entwicklungen zu ermöglichen (BBl 1991 II 948 ff.).
• Cybercrime-Konvention: Art. 2 CCC bestraft den «Zugang ohne Recht auf das ganze oder einen Teil eines Informationssystems» («tout ou partie d'un système informatique»). Auch nach der CCC ist es eher das Zugriffsrecht als das System selbst, das «einem anderen gehören» muss (Müller, sic! 6/2016, 333; Schwarzenegger, 2002, 316).
• Analogie zum Hausfriedensbruch: Wie bei der Verletzung des Hausfriedens (Art. 186 StGB) verschiedene Räume desselben Gebäudes unterschieden werden, können auch innerhalb eines Datenverarbeitungssystems verschiedene virtuelle Räume mit differenzierten Zugriffsrechten geschützt sein (Computerfrieden deckt jeden virtuellen Raum des Systems ab).

Das Bundesgericht wendet diese Doktrin auf den konkreten Fall an: Der informationstechnische Raum, der die Installation von Treibern («drivers») ermöglicht und nur Inhabern von Administratorrechten zugänglich ist, stellt ein Teilsystem dar, das in Ausführung eines Programms automatisierte Datenverarbeitung gewährleistet und dessen Zugriff auf eine bestimmte Personengruppe (Administratoren) beschränkt ist. Da das Informationssystem des Arbeitgebers in verschiedene Bereiche mit differenzierten Zugriffsrechten unterteilt ist, qualifiziert dieser virtuelle Raum als geschütztes Teilsystem («sous-système informatique») im Sinne von Art. 143bis StGB.

2.3 «Fremdheit» des Teilsystems

Das Teilsystem gehört «einem anderen» («fremd») im Sinne von Art. 143bis StGB, wenn die Zugriffsrechte einer bestimmten Person oder Gruppe vorbehalten sind, zu welcher der Täter nicht gehört. Der Beschwerdeführer hatte Administratorrechte nicht erhalten und sollte sie auf seinem Arbeitsplatz nicht haben. In der von ihm unterzeichneten Vertraulichkeitsvereinbarung verpflichtete er sich, nicht zu versuchen, auf Programme oder Daten zuzugreifen, für die er keine formellen Berechtigungen hat. Das Argument des Beschwerdeführers, er habe sich in seine eigene Sitzung eingeloggt und sei auf seiner eigenen Maschine tätig geworden, verfängt nicht, da das Teilsystem von seiner eigenen Sitzung zu unterscheiden ist.

2.4 Besondere Schutzmassnahmen und Sicherheitslücken

Das Bundesgericht bestätigt, dass die eingesetzten Schutzmassnahmen den technischen Sicherheitsstandards entsprechen. Dass eine Sicherheitslücke («Oracle») existierte, schliesst das Vorliegen einer besonderen Schutzmassnahme nicht aus. Sicherheitslücken sind vielmehr fast die Regel, wie die extensive Doktrin bestätigt (Weissenberger, Basler Kommentar, N. 15 ad Art. 143bis StGB; Monnier, sic! 2009, 145). Wer eine Sicherheitslücke ausnutzt und in ein fremdes System eindringt, verwirklicht den Tatbestand. Das Erfordernis der Wirksamkeit der Schutzmassnahme ist relativ: sie muss nicht technisch optimal sein, sondern angemessen und vernünftig in der konkreten Situation (Pfister, 2008, 107 f.; Métille/Meyer, Informatique et droit, 2. Aufl. 2025, 200).

2.5 Eindringen («Eindringen»)

Das Ausnutzen einer Sicherheitslücke mittels eines Skripts (das der Beschwerdeführer erstellt oder aus einem Audit-Bericht übernommen hat) stellt ein Eindringen dar: es handelt sich um ein Verhalten, das geeignet ist, die eingesetzte Sicherheit zu deaktivieren. Die Verwendung eines Skripts entspricht zudem der Benützung einer Datenübertragungseinrichtung im Sinne von Art. 143bis StGB.

2.6 Vorsatz

Die Vorsatzanforderungen werden bejaht: Der Beschwerdeführer wusste, dass er Rechte erlangte, die er nicht hatte, und dass er eine Prozedur (Ticket-Eröffnung, Anfrage beim IT-Service) umgangen hat. Eventualvorsatz genügt (Donatsch/Graf/Jean-Richard-dit-Bressel, 216; Weissenberger, N. 25 ad Art. 143bis StGB). Die Motivation des Täters (hier: Zeitgewinn) ist ebenso wenig massgeblich wie sein Ziel, Daten zu stören oder zu stehlen — der Vorsatz muss sich auf alle objektiven Tatbestandsmerkmale beziehen, namentlich auf das Bewusstsein, ein geschütztes System zu betreten, zu dem der Zugang verwehrt ist.

3. Anklagegrundsatz (Art. 9 StPO)

Art. 9 StPO (SR 312.0) Kommentierung auf glossagens.ch

«1 Eine Straftat kann nur gerichtlich beurteilt werden, wenn die Staatsanwaltschaft gegen eine bestimmte Person wegen eines genau umschriebenen Sachverhalts beim zuständigen Gericht Anklage erhoben hat. 2 Das Strafbefehls- und das Übertretungsstrafverfahren bleiben vorbehalten.»

Der Beschwerdeführer rügt eine Verletzung des Anklagegrundsatzes (Art. 9 und 350 StPO). Das Bundesgericht stellt fest, dass die von der kantonalen Instanz festgestellten Tatsachen wörtlich mit dem Inhalt der Anklageschrift übereinstimmen. Die Anklageschrift erwähnt das Eindringen mittels der «Oracle»-Lücke in das Informationssystem von C.________ sowie die unbefugte Verschaffung von Administratorrechten. Damit sind die objektiven Tatbestandsmerkmale in der Anklage enthalten. Eine Verletzung des Anklagegrundsatzes — sowohl in seiner Abgrenzungs- als auch in seiner Informationsfunktion — liegt nicht vor (Bestätigung von BGE 149 IV 128 E. 1.2; BGE 143 IV 63 E. 2.2). Das Gericht kann sich von der rechtlichen Würdigung der Staatsanwaltschaft lösen (Art. 350 Abs. 1 StPO), sofern es die Parteien informiert und anhört (Art. 344 StPO).

4. Rechtliches Gehör bei Kosten und Entschädigungen

Das Bundesgericht hält die Rüge des Beschwerdeführers für begründet, dass die kantonale Instanz ihre Begründungspflicht (Art. 29 Abs. 2 BV) bei der Entscheidung über Verfahrenskosten und Entschädigungen verletzt hat. Das Bundesgericht erinnert daran, dass die Begründungspflicht verlangt, dass der Empfänger der Entscheidung deren Tragweite erkennen und sie sachgerecht anfechten kann (BGE 146 II 335 E. 5.1; BGE 143 III 65 E. 5.2; BGE 139 IV 179 E. 2.2). Zwar muss nicht jedes Argument einzeln diskutiert werden, aber die massgeblichen Gründe müssen zumindest kurz erwähnt werden (BGE 147 IV 249 E. 2.4).

Art. 429 Abs. 1 StPO (SR 312.0) Kommentierung auf glossagens.ch

«Wird die beschuldigte Person ganz oder teilweise freigesprochen oder wird das Verfahren gegen sie eingestellt, so hat sie Anspruch auf: a. eine nach dem Anwaltstarif festgelegte Entschädigung ihrer Aufwendungen für die angemessene Ausübung ihrer Verfahrensrechte, wobei beim Anwaltstarif nicht unterschieden wird zwischen der zugesprochenen Entschädigung und den Honoraren für die private Verteidigung; b. Entschädigung der wirtschaftlichen Einbussen, die ihr aus ihrer notwendigen Beteiligung am Strafverfahren entstanden sind; c. Genugtuung für besonders schwere Verletzungen ihrer persönlichen Verhältnisse, insbesondere bei Freiheitsentzug.»

Die kantonale Instanz hat zwar festgehalten, dass der Beschwerdeführer nunmehr auch wegen Art. 143bis StGB verurteilt wird, und daraus geschlossen, dass die erstinstanzlichen Kosten und die Ablehnung der Entschädigung nicht zu beanstanden seien. Sie hat sich jedoch nicht mit den Argumenten des Beschwerdeführers auseinandergesetzt, die dieser im Berufungsverfahren hinsichtlich der Kosten der ersten Instanz und der Entschädigungsansprüche nach der teilweisen Einstellung durch die Staatsanwaltschaft vorgebracht hat. Es ist unklar, ob und inwieweit das Argument der Verurteilung auch die Punkte abdeckt, für die der Beschwerdeführer von der Staatsanwaltschaft freigesprochen wurde (teilweise Einstellung). Der Beschwerdeführer ist daher nicht in der Lage, die Gründe zu verstehen und die Entscheidung sachgerecht anzufechten.

Das Bundesgericht hebt den angefochtenen Entscheid insoweit auf und weist die Sache an die kantonale Instanz zurück, damit sie neu über die Verfahrenskosten und Entschädigungen der Vor- und Erstinstanz entscheidet.

Einordnung in die Rechtsprechung

Bestätigung von BGE 145 IV 185 (Leitentscheid)

Das Urteil bestätigt den massgeblichen Leitentscheid BGE 145 IV 185, in dem das Bundesgericht erstmals entschieden hat, dass das unbefugte Einloggen in den mit einem Passwort geschützten Gmail-Account des getrennt lebenden Ehemannes den Tatbestand von Art. 143bis Abs. 1 StGB erfüllt, selbst wenn das Passwort nur zufällig gefunden wurde. BGE 145 IV 185 hatte bereits festgehalten, dass ein «fremder Teil des gesamten Datenverarbeitungssystems» genügt (BGE 145 IV 185). Das vorliegende Urteil baut auf dieser Grundlage auf und wendet sie auf die Konstellation eines Arbeitnehmers an, der in ein Teilsystem des Arbeitgeber-IT-Systems eindringt.

Präzisierung der Teilsystem-Doktrin im Arbeitsverhältnis

Die dogmatische Neuerung liegt in der ausführlichen Begründung, dass auch ein durch Zugriffsrechte abgegrenzter virtueller Raum innerhalb eines einzigen Arbeitgebersystems als selbständiges «fremdes Datenverarbeitungssystem» qualifizieren kann. Das Bundesgericht stützt sich dabei auf die Monographie von Pfister (Hacking in der Schweiz, 2008, S. 105 und 122), die den Fall eines Arbeitnehmers mit beschränktem Zugriffsrecht ausdrücklich erfasst: Wenn der Arbeitnehmer, nach dem Eintritt in die ihm zur Verfügung gestellte IT-Anlage, in einen Teil des Systems (Teilsystem) eindringt, dessen Zugriff einer Gruppe von Personen vorbehalten ist, indem er eine Schutzmassnahme umgeht, verwirklicht er die objektiven Voraussetzungen von Art. 143bis StGB.

Privilegientausch als Eindringen

Erstmals ausdrücklich bestätigt das Bundesgericht, dass eine sogenannte Privilegientauschhandlung («privilege escalation») mittels Skript das Eindringen im Sinne von Art. 143bis StGB darstellt. Die Dogmatik folgt der Literatur (Weissenberger, N. 15 ad Art. 143bis StGB; Monnier, sic! 2009, 145), wonach die Ausnutzung einer Sicherheitslücke die Strafbarkeit begründet. Die Analogie zum Hausfriedensbruch (Art. 186 StGB) wird dabei konsequent weiterentwickelt: Wie verschiedene Räume eines Gebäudes unterschiedlich zugänglich sein können, können auch verschiedene «virtuelle Räume» eines IT-Systems unterschiedliche Zugangsberechtigungen aufweisen, und das Eindringen in einen fremden «Raum» ist strafbar, auch wenn man sich bereits berechtigt in einem anderen «Raum» aufhält.

Anklagegrundsatz: Bestätigung der bisherigen Rechtsprechung

Die Ausführungen zum Anklagegrundsatz bestätigen die ständige Rechtsprechung (BGE 149 IV 128 E. 1.2; BGE 143 IV 63 E. 2.2; BGE 141 IV 132 E. 3.4.1), wonach die Anklageschrift die Tatbestandsmerkmale, wenn auch implizit, enthalten muss, sofern der Beschuldigte sich effektiv verteidigen kann (BGE 149 IV 128; BGE 143 IV 63).

Rechtliches Gehör: Bestätigung der Begründungspflicht bei Kostenentscheidungen

Die Aufhebung wegen ungenügender Begründung bei den Kosten- und Entschädigungsfolgen bestätigt die gefestigte Rechtsprechung zum rechtlichen Gehör (BGE 146 II 335 E. 5.1; BGE 139 IV 179 E. 2.2; BGE 146 II 335; BGE 139 IV 179), wonach die Begründung einer Entscheidung es dem Empfänger ermöglichen muss, deren Tragweite zu erkennen und sie sachgerecht anzufechten. Die Aufhebung ohne vorgängigen Schriftenwechsel entspricht BGE 133 IV 293 E. 3.4.2 (BGE 133 IV 293).

Fazit

Das Urteil 6B_120/2026 leistet einen wichtigen Beitrag zur Auslegung von Art. 143bis StGB im digitalen Arbeitsumfeld. Es bestätigt BGE 145 IV 185 als Leitentscheid und präzisiert die Teilsystem-Doktrin: Ein virtueller Bereich innerhalb eines Arbeitgeber-IT-Systems, dessen Zugriff auf Administratoren beschränkt ist, kann ein «fremdes» Datenverarbeitungssystem im Sinne der Norm sein. Die Privilegientauschhandlung («privilege escalation») mittels Skript und Ausnutzung einer Sicherheitslücke wird ausdrücklich als Eindringen qualifiziert. Das Urteil ist dogmatisch durch die konsequente Analogie zum Hausfriedensbruch (Art. 186 StGB) geprägt: der Computerfrieden erstreckt sich auf jeden virtuellen Raum mit differenzierten Zugriffsrechten. Praxisrelevant ist insbesondere die Klarstellung, dass die Motivation des Täters (z.B. Zeitersparnis) für den Vorsatz irrelevant ist — massgeblich ist allein das Bewusstsein, unbefugt in einen geschützten Bereich einzudringen.

In verfahrensrechtlicher Hinsicht erinnert das Urteil an die Bedeutung der Begründungspflicht bei Kosten- und Entschädigungsentscheidungen nach teilweiser Einstellung: Die kantonale Instanz muss sich mit den Argumenten der beschuldigten Person auseinandersetzen, insbesondere wenn es um die Tragweite einer teilweisen Einstellung durch die Staatsanwaltschaft geht. Die Aufhebung insoweit und die Rückweisung an die kantonale Instanz zeigen, dass das Bundesgericht die formellen Verfahrensgarantien auch im Kostenpunkt konsequent durchsetzt.