Bundesstrafgericht 29.11.2021 CA.2021.12

Urteil vom 29. November 2021 Berufungskammer Besetzung Richter Olivier Thormann, Vorsitzender, Beatrice Kolvodouris Janett und Barbara Loppacher, Gerichtsschreiber Sandro Clausen Parteien A., amtlich verteidigt durch Rechtsanwalt Andrea Janggen, Berufungsführerin / Beschuldigte

gegen

BUNDESANWALTSCHAFT, vertreten durch Staatsanwalt des Bundes Carlo Bulletti,

Berufungsgegnerin / Anklagebehörde

sowie

1. BANK B., vertreten durch Rechtsanwalt Kaspar R. Lang, Privatklägerschaft

2. FINANZINSTITUT C., vertreten durch Roland Kurmann, Privatklägerschaft

Bundesstrafgericht Tribunal pénal fédéral Tribunale penale federale Tribunal penal federal

Geschäftsnummer: CA.2021.12

- 2 - 3. D. AG, Privatklägerschaft

4. E., Privatklägerschaft

5. F., Privatklägerschaft

6. G., Privatklägerschaft

7. H., Privatklägerschaft

8. I., Privatklägerschaft

9. J., Privatklägerschaft

10. K., Privatklägerschaft

11. L., Privatklägerschaft

12. M., Privatklägerschaft

13. N. GmbH, Privatklägerschaft

14. O., Privatklägerschaft

- 3 - 15. D., Privatklägerschaft

16. Q, Privatklägerschaft

17. R., Privatklägerschaft

18. S., Privatklägerschaft

Gegenstand

Mehrfache unbefugte Datenbeschaffung und Versuch dazu, mehrfacher gewerbsmässiger betrügerischer Missbrauch einer Datenverarbeitungsanlage, mehrfache bandenmässige Geldwäscherei

Berufung (teilweise) vom 1. Februar 2021 gegen das Urteil der Strafkammer des Bundesstrafgerichts SK.2020.35 vom 22. Januar 2021

- 4 - Sachverhalt: A. Prozessgeschichte und erstinstanzliches Urteil A.1 Am 11. Februar 2013 übermittelte die Meldestelle für Geldwäscherei der Bundesanwaltschaft eine Verdachtsmeldung im Zusammenhang mit betrügerischen Aktivitäten (BA pag. 05-03-0001 f.). Das von der Bundesanwaltschaft daraufhin wegen Geldwäscherei und betrügerischen Missbrauchs einer Datenverarbeitungsanlage eröffnete Strafverfahren (BA pag. 01-00-0001) wurde mit Verfügung vom 12. Mai 2015 auf A. (nachfolgend: Beschuldigte) sowie auf T. ausgedehnt (BA pag. 01-00-0002 und BA pag. 01-00-0003). Die Beschuldigte wurde am 22. Juni 2015 in Y. verhaftet und mit Verfügung des Kantonalen Zwangsmassnahmengerichts Bern vom 25. Juni 2015 in Untersuchungshaft versetzt (BA pag. 06-01-0001; BA pag. 06-01-00-0023). Die Untersuchungshaft wurde einmal verlängert (BA pag. 06-01-00-0069), bevor die Beschuldigte am 13. November 2015 aus der Untersuchungshaft entlassen wurde (BA pag. 06-01-00-0072; BA pag. 06-01-00-0077). Am 5. Juli 2018 wurde die Strafuntersuchung auf die Straftatbestände der unbefugten Datenbeschaffung und des gewerbsmässigen betrügerischen Missbrauchs einer Datenverarbeitungsanlage ausgedehnt (BA pag. 01-00-0004). Im Zuge der Ermittlungen erfolgten umfangreiche Überwachungen des Fernmeldeverkehrs sowie diverse Überwachungen mit technischen Überwachungsgeräten (vgl. BA pag. 09-01-0059 ff.). A.2 Am 17. August 2020 klagte die Bundesanwaltschaft die Beschuldigte beim Bundesstrafgericht wegen mehrfacher, teilweise versuchter, unbefugter Datenbeschaffung, mehrfachen gewerbsmässigen betrügerischen Missbrauchs einer Datenverarbeitungsanlage und mehrfacher bandenmässiger Geldwäscherei an (TPF pag. 19.100.001.029). Nach durchgeführter Hauptverhandlung (TPF pag. 19.720.001 ff.) fällte die Strafkammer des Bundesstrafgerichts das nachfolgende Urteil (TPF pag. 19.930.001 ff.): I. 1. A. wird freigesprochen: – vom Vorwurf der mehrfachen versuchten unbefugten Datenbeschaffung im Sinne von Art. 143 Abs. 1 i.V.m. Art. 22 Abs. 1 StGB; – vom Vorwurf der qualifizierten Geldwäscherei im Sinne von Art. 305bis Ziff. 1 und 2 lit. b StGB in den Anklagepunkten 1.3.1.1 und 1.3.1.2. 2. A. wird schuldig gesprochen: – des gewerbsmässigen betrügerischen Missbrauchs einer Datenverarbeitungsanlage im Sinne von Art. 147 Abs. 1 und 2 StGB;

- 5 - – der Geldwäscherei im Sinne von Art. 305bis Ziff. 1 StGB im Anklagepunkt 1.3.1.3. 3. A. wird bestraft mit einer teilbedingten Freiheitsstrafe von 30 Monaten, wovon 10 Monate vollziehbar und 20 Monate bedingt vollziehbar, sowie mit einer bedingten Geldstrafe von 90 Tagessätzen à Fr. 80.--, jeweils mit einer Probezeit von 2 Jahren. Die Untersuchungshaft von 156 Tagen wird auf die Strafe angerechnet. 4. Als Vollzugskanton wird der Kanton Y. bestimmt. 5. Von einer Ersatzforderung zulasten von A. und zugunsten der Eidgenossenschaft wird abgesehen. 6. 6.1 A. wird verpflichtet, den untenstehenden Privatklägern folgende Beträge als Schadenersatz zu bezahlen: Name Betrag

D. AG Fr. 22'885.34 E. Fr. 7'173.84 F. Fr. 10'745.65 G. Fr. 16'000.00 I. Fr. 5'170.42 J. Fr. 11'757.85 K. Fr. 2'550.-- L. Fr. 18’000.-- N. GmbH Fr. 2'650.-- O. Fr. 19’850.--

6.2 Die Zivilklagen der Bank B. und Finanzinstitut C. gegen A. werden auf den Zivilweg verwiesen. 6.3 Die Genugtuungsforderungen von E., F., I., K. und O. gegen A. werden abgewiesen. 7. Die Verfahrenskosten von Fr. 175'564.00 (Vorverfahren: Gebühr Fr. 20'000.--, Auslagen Fr. 140'314.--; Gerichtsgebühr Fr. 15'000.--, Auslagen des Gerichts Fr. 250.00) werden A. im reduzierten Umfang von Fr. 30'000.-- auferlegt. 8. Rechtsanwalt Andrea Janggen wird für die amtliche Verteidigung von A. durch die Eidgenossenschaft mit Fr. 36'297.90 (inkl. MWST) entschädigt.

- 6 - A. wird verpflichtet, hierfür einen Betrag von Fr. 32'668.10 der Eidgenossenschaft zurückzubezahlen, sobald es ihre wirtschaftlichen Verhältnisse erlauben. 9. A. wird keine Entschädigung ausgerichtet. Die Strafkammer eröffnete und begründete ihr Urteil am 22. Januar 2021 und händigte es den anwesenden Parteien im Dispositiv aus (TPF pag. 19.720.007 ff.). Den übrigen Parteien wurde das Urteilsdispositiv schriftlich zugestellt (TPF pag. 19.930.004; TPF pag. 19.930.006 ff.). Mit Eingabe vom 1. Februar 2021 meldete die Beschuldigte Berufung gegen das Urteil der Strafkammer an (TPF pag. 19.940.001). Das begründete Urteil wurde dem Verteidiger der Beschuldigten in der Folge am 1. Juli 2021 zugestellt (CAR pag. 1.100.097). B. Verfahren vor der Berufungskammer des Bundesstrafgerichts B.1 Am 16. Juli 2021 (Aufgabe Post am 15. Juli 2021) ging die Berufungserklärung des Verteidigers der Beschuldigten bei der Berufungskammer ein (CAR pag. 1.100.098 ff.). Mit Verfügung vom 21. Juli 2021 wurde der Bundesanwaltschaft und der Privatklägerschaft die Berufungserklärung zugestellt und eine 20tägige Frist zur Anschlussberufung, zur Beantragung des Nichteintretens und zur Stellung von Beweisanträgen angesetzt (CAR pag. 2.100.001 f.). Die Bundesanwaltschaft verzichtete mit Eingabe vom 2. August 2021 auf die Erklärung der Anschlussberufung und stellte weder Antrag auf Nichteintreten noch weitere Beweisanträge (CAR pag. 2.100.003). Mit hierorts am 9. August 2021 eingegangenem Schreiben erklärte der Privatkläger K. Anschlussberufung mit dem Antrag, es sei ihm Schadenersatz von Fr. 2'550.00 zuzusprechen (CAR pag. 2.100.005). Die übrigen Verfahrensbeteiligten liessen sich nicht vernehmen. Nach telefonischer Rücksprache mit dem Privatkläger K. und einigen Erläuterungen zur prozessualen Ausgangslage im Berufungsverfahren (CAR pag. 2.100.006 f.) zog er die Anschlussberufung zurück und erklärte, an den ihm als Privatkläger zustehenden Rechten im Berufungsverfahren festzuhalten (CAR pag. 2.100.010). Mit Beschluss vom 30. September 2021 schrieb die Berufungskammer die Anschlussberufung des Privatklägers K. als durch Rückzug erledigt ab (CAR pag. 10.100.001 ff.). In der Folge wurde zur Berufungsverhandlung vorgeladen (CAR pag. 6.301.001 ff.). Im Rahmen der Prozessvorbereitung wurden von Amtes wegen ein aktueller Strafregisterauszug sowie die erforderlichen Auskünfte und Unterlagen zu den persönlichen und finanziellen Verhältnissen der Beschuldigten eingeholt (CAR pag. 6.401.001 ff.). B.2 Zur Berufungsverhandlung am 29. November 2021 erschienen die Beschuldigte in Begleitung ihres amtlichen Verteidigers und der zuständige Leitende Staatsanwalt des Bundes als Vertreter der Bundesanwaltschaft (CAR pag. 7.200.002). An der Berufungsverhandlung wurden weder Vorfragen aufgeworfen noch

- 7 weitere Beweisanträge gestellt (CAR pag. 7.200.003). Nach der Befragung der Beschuldigten zur Person und zur Sache hielten der amtliche Verteidiger der Beschuldigten sowie die Bundesanwaltschaft die Parteivorträge (CAR pag. 7.200.003; CAR pag. 7.401.001 ff.; CAR pag. 7.200.003 ff.). Rechtsanwalt Andrea Janggen stellte namens der Beschuldigten die folgenden Anträge (CAR pag. 7.300.016 ff.): I. [Feststellung Rechtskraft des Urteils der Strafkammer] II. A. sei freizusprechen 1. vom Vorwurf des gewerbsmässigen betrügerischen Missbrauchs einer Datenverarbeitungsanlage im Sinne von Art. 147 Abs. 1 und 2 StGB in den Fällen 1- 39, 41, 45-48, 52, 54-58 und 61 der Anklageschrift; 2. vom Vorwurf der Geldwäscherei im Sinne von Art. 305bis Ziff. 1 StGB im Anklagepunkt 1.3.1.3, unter Auferlegung der darauf entfallenden erst- und zweitinstanzlichen Verfahrenskosten an die Eidgenossenschaft und unter Ausrichtung einer Entschädigung für die erst- und zweitinstanzlichen Verteidigungskosten gemäss Honorarnote. III. A. sei hingegen schuldig zu erklären 1. des mehrfachen betrügerischen Missbrauchs einer Datenverarbeitungsanlage im Sinne von Art. 147 Abs. 1 StGB in den Fällen 40, 42-44, 49-50, 53, 59 und 60 der Anklageschrift; 2. des versuchten betrügerischen Missbrauchs einer Datenverarbeitungsanlage im Sinne von Art. 147 Abs. 1 StGB i.V.m Art. 22 Abs. 1 StGB im Fall 51 der Anklageschrift, und sie sei in Anwendung der einschlägigen Gesetzesbestimmungen zu verurteilen: 1. Zu einer bedingten Freiheitsstrafe in Höhe von 10 Monaten, unter Ansetzung einer Probezeit von 2 Jahren; 2. zur Zahlung der auf die Schuldsprüche entfallenden Verfahrenskosten. IV. Sämtliche Privatklagen seien abzuweisen, unter Kosten- und Entschädigungsfolgen.

- 8 - V. Weiter sei zu verfügen 1. Das Honorar des amtlichen Verteidigers sei gestützt auf die eingereichte Honorarnote zu bestimmen. 2. Es seien die weiteren Verfügungen von Amtes wegen zu treffen. Die Bundesanwaltschaft beantragte die Bestätigung des vorinstanzlichen Urteils und die kostenfällige Abweisung der Berufung der Beschuldigten (CAR pag. 7.200.004; CAR pag. 7.300.023 f.). B.3 Das vorliegende Urteil erging im Anschluss an die Berufungsverhandlung und wurde den Parteien zunächst im Dispositiv schriftlich eröffnet (CAR pag. 11.100.001 ff.). Die Berufungskammer erwägt: I. Formelle Erwägungen 1. Eintreten / Fristen Die Beschuldigte hat ihre Berufung fristgerecht angemeldet und erklärt (Art. 399 Abs. 1-3 StPO). Sie ist durch die vorinstanzliche Verurteilung beschwert und hat ein rechtlich geschütztes Interesse an deren Aufhebung (vgl. Art. 104 Abs. 1 lit. a und c, Art. 111 Abs. 1; Art. 381 Abs. 1 und Art. 382 Abs. 1 StPO). Die Berufungskammer ist in der Besetzung mit drei Richterpersonen für die Beurteilung der vorliegenden Berufung örtlich und sachlich zuständig (Art. 21 Abs. 1 lit. a StPO; Art. 33 Iit. c, Art. 38a und 38b des Bundesgesetzes über die Organisation der Strafbehörden des Bundes [Strafbehördenorganisationsgesetz, StBOG; SR. 173.71]). Die übrigen Rechtsmittelvoraussetzungen sind erfüllt. Auf die Berufung der Beschuldigten ist einzutreten. 2. Verfahrensgegenstand und Kognition Nach Art. 402 StPO in Verbindung mit Art. 437 StPO wird die Rechtskraft des angefochtenen Urteils im Umfang der Anfechtung gehemmt. Das Berufungsgericht überprüft somit das erstinstanzliche Urteil nur in den angefochtenen Punkten (Art. 404 Abs. 1 StPO). Die Berufung der Beschuldigten richtet sich gegen den Schuldspruch wegen Missbrauchs einer Datenverarbeitungsanlage in den Anklagesachverhalten «Fälle 1-39», «Fall 41», Fälle 45-48», «Fall 52», «Fälle 54-58» und «Fall 61» einschliesslich der rechtlichen Qualifikation als gewerbsmässiges Delikt und wegen Geldwäscherei im Anklagepunkt 1.3.1.3 (Dispositiv-Ziffer I.2

- 9 des vorinstanzlichen Urteils), die Bemessung der Strafe und die Anordnungen zum Vollzug der Strafe (Dispositiv-Ziffern I.3-I.4 des vorinstanzlichen Urteils), gegen die Gutheissung einzelner Zivilansprüche bzw. deren Verweisung auf den Zivilweg (Dispositiv-Ziffern I.6.1-I.6.2 des vorinstanzlichen Urteils) sowie gegen die Kostenfolgen samt Umfang des Rückforderungsvorbehalts für die Entschädigung der amtlichen Verteidigung (Dispositiv-Ziffern I.7-I.8 des vorinstanzlichen Urteils). Bezüglich der Freisprüche vom Vorwurf der mehrfachen unbefugten Datenbeschaffung im Sinne von Art. 143 Abs. 1 i.V.m. Art. 22 Abs. 1 StGB (Dispositiv-Ziffer I.1 erster Spiegelstrich des vorinstanzlichen Urteils) und vom Vorwurf der qualifizierten Geldwäscherei im Sinne von Art. 305bis Ziff. 1 und 2 lit. b StGB in den Anklagepunkten 1.3.1.1 und 1.3.1.2 (Dispositiv-Ziffer I.1 zweiter Spiegelstrich des vorinstanzlichen Urteils) blieb das vorinstanzliche Urteil unangefochten. Das Gleiche gilt für die von der Bundesanwaltschaft nicht beanstandeten Freisprüche in den Anklagesachverhalten «Fall 26» und «Fall 27» im Anklagekomplex gewerbsmässiger Missbrauch einer Datenverarbeitungsanlage, hinsichtlich derer die Vorinstanz den Sachverhalt als nicht erstellt erachtete, was sie indessen im Urteilsdispositiv nicht zum Ausdruck gebracht hat. Dies gilt es nachzuholen, wobei die im Ergebnis bereits erstinstanzlichen Freisprüche in den Anklagesachverhalten «Fall 26» und im «Fall 27» der berufungsgerichtlichen Überprüfung nicht mehr unterliegen. Unangefochten geblieben und in Rechtskraft erwachsen ist der vorinstanzliche Urteilsspruch auch insofern, als von einer Ersatzforderung zulasten der Beschuldigten abgesehen wurde (Dispositiv-Ziffer I.5 des vorinstanzlichen Urteils) und die Genugtuungsansprüche der Privatkläger E., F., I., K. und D. abgewiesen wurden (Dispositiv-Ziffer I.6.3 des vorinstanzlichen Urteils). Im dargestellten Umfang hat der vorinstanzliche Entscheid als angefochten zu gelten und wird er im Rahmen der Berufung zu überprüfen sein. 3. Verschlechterungsverbot («reformatio in peius») Gemäss dem Verschlechterungsverbot im Sinne von Art. 391 Abs. 2 StPO darf der Entscheid der Vorinstanz nicht zum Nachteil der beschuldigten oder verurteilten Person abgeändert werden, wenn das Rechtsmittel nur zu deren Gunsten eingereicht wurde. Nachdem die Bundesanwaltschaft und die Privatkläger das vorinstanzliche Urteil durch ihren Verzicht auf Berufung und Anschlussberufung nicht angefochten haben, ist dieses einzig hinsichtlich der von der Vorinstanz gefällten Schuldsprüche und gutgeheissenen Zivilansprüche zu prüfen, die von der Beschuldigten angefochten worden sind. Unabhängig vom Ausgang des Rechtsmittelverfahrens im Schuldpunkt darf das Berufungsgericht die ausschliesslich appellierende Beschuldigte sodann nicht mit einer höheren als der von der Vorinstanz ausgesprochenen Strafe bestrafen. Vorbehalten bleibt eine Erhöhung des Tagessatzes nach Art. 391 Abs. 2 Satz 2 StPO gestützt auf nach

- 10 dem erstinstanzlichen Urteil verbesserte finanzielle Verhältnisse, welche das Verschlechterungsverbot nicht verletzt (BGE 144 IV 201 E. 5.4.3). II. Materielle Erwägungen A) Schuldpunkt 1. Gewerbsmässiger betrügerischer Missbrauch einer Datenverarbeitungsanlage (Art. 147 Abs. 1 und 2 StGB [Anklageziffer 1.2]) 1.1 Anklagevorwurf und Standpunkt der Beschuldigten 1.1.1 Die Anklage wirft der Beschuldigten im vorliegend zunächst noch interessierenden Anklagepunkt 1.2 gewerbsmässiger Missbrauch einer Datenverarbeitungsanlage vor. Im Einzelnen wird der Beschuldigten zusammengefasst vorgeworfen, zwischen 2. November 2012 und 19. Juni 2015 gemeinsam mit unbekannten Mittätern in mindestens 57 Fällen durch unbefugte Verwendung von Daten auf elektronische Datenverarbeitungsvorgänge eingewirkt und dadurch Vermögensverschiebungen im Gesamtbetrag von mindestens Fr. 1'585'768.22 zu veranlassen versucht zu haben. Dabei soll die Beschuldigte die bei Bankkunden telefonisch erfragten E-Banking-Zugangsdaten an die anwesenden Mittäter weitergegeben haben, wobei diese die Daten zeitgleich dazu verwendet hätten, um am Computer den E-Banking-Zahlungsauftrag zugunsten des jeweiligen «Mule-Kontos» zu erteilen. Das telefonische Beschaffen der E-Banking-Zugangsdaten durch die Beschuldigte und deren Weitergabe seien für die Tatausführung derart wesentlich gewesen, dass die Beschuldigte als Mittäterin zu betrachten sei. Tatsächlich seien unbefugt erteilte Zahlungsaufträge im Gesamtbetrag von Fr. 616'685.56 ausgeführt und von den Konten der geschädigten Personen auf «Mule-Konten» überwiesen worden, wobei die geschädigten Personen durch diese Geldüberweisungen in der Höhe der jeweiligen Deliktsumme am Vermögen geschädigt worden seien. Andere unbefugt erteilte Zahlungsaufträge seien entweder nicht ausgeführt oder nach der Ausführung noch gestoppt worden, wobei das Vermögen der geschädigten Personen durch die erteilten Zahlungsaufträge in einer Weise gefährdet worden seien, dass es unter wirtschaftlichen Gesichtspunkten zumindest vorübergehend als vermindert erschiene. Die Beschuldigte habe wissentlich und willentlich sowie in der Absicht gehandelt, sich unrechtmässig zu bereichern. Schliesslich habe die Beschuldigte gewerbsmässig gehandelt, indem sie sich darauf eingerichtet habe, mit ihrer deliktischen Tätigkeit relativ regelmässige Einnahmen zu erzielen, die einen namhaften Beitrag an ihren Lebensunterhalt dargestellt hätten (TPF pag. 19.100.014 ff.).

- 11 - 1.1.2 Die Beschuldigte bestreitet nicht, dass sie sich mehrfach an sogenannten «Phishing»-Angriffen beteiligt hat, indem sie gestützt auf zuvor über eine «Phishing-Website» beschaffte Telefonnummern und Bankkundendaten und unter dem Vorwand, ein E-Banking-Update durchführen zu müssen, telefonisch bei den geschädigten Personen die geheimen E-Banking-Zugangsdaten erfragt und diese an ihre Mittäter weitergegeben habe, welche diese zeitgleich dazu verwendet hätten, unbefugte Zahlungsaufträge zu erteilen. In der Anklageschrift werden der Beschuldigten in tabellarischer Form insgesamt 56 Fälle zur Last gelegt (TPF pag. 19.100.003 ff.). Die Beschuldigte anerkannte im Vorverfahren sowie an der Hauptverhandlung vor Vorinstanz und an der Berufungsverhandlung, als «Telefonistin» in den Anklagesachverhalten «Fall 40», «Fall 42», «Fall 43», «Fall 44», «Fall 49», «Fall 50», Fall 51», «Fall 53», «Fall 59» und «Fall 60» bei den «Phishing»-Angriffen mitgewirkt zu haben (BA pag. 13-01-0109 ff.; BA pag. 13- 01-0136; TPF pag. 19.721.027; CAR pag. 1.100.101; CAR pag. 7.300.008; CAR pag. 7.401.014). Anlässlich der Berufungsverhandlung wurde der Beschuldigten betreffend Anklagesachverhalt «Fall 61» ein aufgezeichnetes Telefongespräch vorgehalten, während dem eine geschädigte Person ihre Zugangsdaten für das E-Banking bekannt gab (CAR pag. 7.401.015). Die Beschuldigte führte dazu aus, dass sie schon glaube, die Anruferin gewesen zu sein (CAR pag. 7.401.015). Seitens der Verteidigung wurde zudem im Parteivortrag ausgeführt, es bestehe eine «gewisse Wahrscheinlichkeit» bzw. eine «gewisse Möglichkeit», dass die Stimme der Beschuldigten zu hören sei und die Beschuldigte dieses Telefonat geführt habe (CAR pag. 7.200.004). Mit diesen Vorbringen scheint die Beschuldigte die Täterschaft im betreffenden Fall anzuerkennen bzw. zumindest nicht mehr bestreiten zu wollen. Angesichts dieser Aussagen ist auch bezüglich dieses Anklagesachverhaltes von einem Geständnis der Beschuldigten auszugehen. In Bezug auf die übrigen Anklagesachverhalte hat die Beschuldigte die Täterschaft über das ganze Verfahren hinweg bestritten. Dabei blieb die Beschuldigte auch im Berufungsverfahren (CAR pag. 7.300.008). Ausserdem bestreitet die Beschuldigte eine gewerbsmässige Tatbegehung (CAR pag. 7.300.009; CAR pag. 7.300.017). 1.2 Sachverhaltserstellung 1.2.1 Allgemeine Beweisregeln Im Berufungsverfahren zu klären bleibt nach dem vorstehend Gesagten einerseits die von der Vorinstanz als erstellt erachtete Täterschaft der Beschuldigten in den von ihr nicht anerkannten Fällen («Fall 1» / «Fall 2» / «Fall 3» / «Fall 4» / «Fall 5» / «Fall 6» / «Fall 7» / «Fall 8» / «Fall 9» / «Fall 10» / «Fall 11» / «Fall 12» / «Fall 13» / «Fall 14» / «Fall 15» / «Fall 16» / «Fall 17» / «Fall 18» / «Fall 19» / «Fall 20» / «Fall 21» / «Fall 22» / «Fall 23» / «Fall 24» / «Fall 25» / «Fall 28» /

- 12 - «Fall 29» / «Fall 30» / «Fall 31» / «Fall 32» / «Fall 33» / «Fall 34» / «Fall 35» / «Fall 36» / «Fall 37» / «Fall 38» / «Fall 39» / «Fall 40» / «Fall 41» / «Fall 42» / «Fall 43» / «Fall 44» / «Fall 45» / «Fall 46» / «Fall 47» / «Fall 48» / «Fall 49» / «Fall 50» / «Fall 51» / «Fall 52» / «Fall 53» / «Fall 58» / «Fall 59» / «Fall 60»). Nach beweiswürdigender Feststellung der der Beschuldigten zuzurechnenden Anklagesachverhalte wird die Frage zu beantworten sein, ob der Beschuldigten die gewerbsmässige Tatbegehung rechtsgenüglich nachgewiesen werden kann. Insofern ist der massgebliche Sachverhalt nach den allgemein gültigen Beweisregeln zu erstellen. Die Regeln zur Sachverhaltserstellung und die Grundsätze der Beweiswürdigung einschliesslich des Grundsatzes «in dubio pro reo (im Zweifel für die Beschuldigte)» hat die Vorinstanz zutreffend wiedergegeben (Urteil SK.2020.35 E. 4.4.1). Darauf kann verwiesen werden. Wie die Vorinstanz des Weiteren richtig festgehalten hat (Urteil SK.2020.35 E. 4.4.4), liegen keine direkten Beweise für die Eruierung der Täterschaft in den bestrittenen Anklagesachverhalten vor. Die Täterschaft der Beschuldigten ist daher anhand von Indizien zu ermitteln. Auf die grundsätzlichen Ausführungen im vorinstanzlichen Urteil zur Indizienbeweisführung kann zur Vermeidung unnötiger Wiederholungen ebenfalls verwiesen werden (Urteil SK.2020.35 E. 4.4.2). 1.2.2 Beweismittel Zur Erstellung des Sachverhalts stehen im Wesentlichen die nachfolgend aufgeführten Beweismittel zur Verfügung: - Aussagen der Beschuldigten - Aussagen von Geschädigten - technische Erhebungen zu Antennenstandorten / IP-Adressen / Gerätekonfigurationen - diverse Überwachungsmassnahmen (Telefonüberwachung mehrerer Anschlüsse / Audio- und Videoüberwachung von Räumlichkeiten) - Auswertung von elektronischen Datenträgern der Beschuldigten (Mobiltelefon / iPad) Auf alle diese Beweismittel kann bei der Beweiswürdigung auch zulasten der Beschuldigten abgestellt werden, zumal Unverwertbarkeitsgründe weder ersichtlich sind noch geltend gemacht wurden. Die Vorinstanz hat die Aussagen der Beschuldigten im Vorverfahren sowie anlässlich der Befragung vor Vorinstanz zusammengefasst (Urteil SK.2020.35 E. 4.3.1), worauf zu verweisen ist. Auf eine integrale Wiedergabe der Aussagen der Beschuldigten wird hier ebenso verzichtet wie auf eine umfassende Darstellung der übrigen Beweismittel. Auf deren Inhalt und beweisrechtliche Relevanz wird im jeweiligen Sachzusammenhang einzugehen sein.

- 13 - 1.2.3 Allgemeine Tatumstände und Ausgangslage Hinsichtlich des grundsätzlichen Tatgeschehens steht fest und wird nicht bestritten, dass es sich bei allen der eingeklagten Vorfälle um sogenannte «Phishing»- Angriffe (vgl. zu diesem Phänomen die entsprechenden Ausführungen zum «Modus Operandi» und zur «Aufgabenteilung» im angefochtenen Urteil [Urteil SK.2020.35 E. 2] gegen Kunden der Finanzinstitute Bank B. und Finanzinstitut C. gehandelt hat. Es ist aufgrund der umfassenden technischen Auswertungen (Logfiles der betroffenen E-Banking-Sessionen / Transaktionsdetails) sodann erstellt, dass die Täterschaft sich an den jeweils in der Anklageschrift umschriebenen Zeitpunkten unberechtigten Zugang zu den E-Banking-Systemen der betroffenen Kunden verschafft und unbefugt Zahlungsaufträge veranlasst hat. Betreffend den Deliktszeitraum ist weiter erstellt, dass von August 2012 bis im Juni 2015 eine Vielzahl von nach identischer Vorgehensweise durchgeführten «Phishing»-Angriffen zu verzeichnen waren, von denen auch die genannten schweizerischen Finanzinstitute betroffen waren (vgl. die zusammenfassenden Ermittlungsberichte der Bundeskriminalpolizei und von kantonalen Polizei- und Strafuntersuchungsbehörden [BA pag. B10-02-01-0001 ff.; BA pag. B10-02-01- 0001 ff.; BA pag. 10-01-0006 ff.; BA pag. 10-02-0001 ff.]). Die Gegenstand des vorliegenden Strafverfahrens bildenden Anklagesachverhalte fallen allesamt in diesen Zeitraum. Die Beschuldigte anerkennt grundsätzlich, sich innerhalb der gleichen Tätergruppierung als «Telefonistin» an «Phishing»-Angriffen beteiligt zu haben. In Bezug auf die zentrale Frage des tatsächlichen Ausmasses der täterschaftlichen Mitwirkung der Beschuldigten nimmt die Vorinstanz die Sachverhaltserstellung anhand von Indizien vor und geht beweiswürdigend so vor, dass sie zunächst auf allgemeine Tatumstände eingeht (Urteil SK.2020.35 E. 4.4.5.1 «Allgemeines») und anschliessend für jeden der bestrittenen Anklagesachverhalte eine fallbezogene Erörterung der einzelnen Indizien vornimmt (Urteil SK.2020.35 E. 4.4.5.2 «Zu den einzelnen vorgeworfenen Phishing-Fällen»). Analog der vorinstanzlichen Vorgehensweise ist zunächst in genereller Weise zu erörtern, ob und inwiefern sich gestützt auf vorhandenen Indizien relevante Erkenntnisse bezüglich der beweisbedürftigen Frage der Täterschaft der Beschuldigten ergeben. In diesem Rahmen wird auch auf grundsätzliche Aspekte der Kritik der Beschuldigten an der vorinstanzlichen Beweiswürdigung einzugehen sein. In einem zweiten Schritt wird zu prüfen sein, ob die Akten- und Beweislage den zweifelsfreien Schluss erlauben, die Beschuldigte habe an den angeklagten «Phishing»-Angriffen täterschaftlich mitgewirkt.

- 14 - 1.2.4 Art und Beweiswert der verschiedenen Indizien 1.2.4.1 Aussagen der Beschuldigten a) Die Vorinstanz befasst sich als Erstes kurz mit den Aussagen der Beschuldigten. Dabei scheint die Vorinstanz den Ausführungen der Beschuldigten wenig Glauben zu schenken. Als unglaubhaft erachtete die Vorinstanz etwa, dass die Beschuldigte teilweise Geständnisse widerrufen habe und die Namen ihrer Mittäter nicht habe kennen wollen. Gegen die Glaubhaftigkeit der Aussagen der Beschuldigten wird im angefochtenen Urteil zudem angeführt, diese habe ihre Aussagen stets zielgerichtet deponiert und im Lauf des Verfahrens ständig der Beweislage angepasst. Darüber hinaus hält die Vorinstanz fest, aufgrund der Aussagen der Beschuldigten zum «modus operandi» könne als erstellt gelten, dass die Tätergruppierung durch die unbefugte Verwendung von Bankdaten auf elektronische Datenverarbeitungsanlagen eingewirkt und dadurch Vermögensverschiebungen zulasten von Bankkunden ausgelöst bzw. auszulösen versucht habe (Urteil SK.2020.35 E. 4.4.3). Weitere konkrete Schlüsse zieht die Vorinstanz aus der Analyse der Aussagen der Beschuldigten nicht. Es ist der Vorinstanz im Ergebnis darin zu folgen, dass die Ausführungen der Beschuldigten nicht überzeugen. Namentlich das taktische und anpasserische Aussageverhalten lässt sich wiederholt beobachten und anhand von Aussagen wie «Wenn sie das Telefon abgehört haben, dann stimmt es, dass ich es war» (BA pag. 13-01- 0111) oder Gegenfragen wie «Haben Sie Beweise?» (BA pag. 13-01-0003) belegen. Ob zutrifft, dass die Beschuldigte – wie die Vorinstanz ausserdem ausführt – nur diejenigen Sachverhalte eingestanden habe, bei denen eine erdrückende Beweis- bzw. Indizienlage vorgelegen habe, kann und muss wohl ganz am Anfang der Beweiswürdigung offenbleiben. Gewiss trifft jedoch zu, dass die Beschuldigte sich mehrheitlich nur auf Vorhalt von belastenden Beweismitteln zu Zugeständnissen durchringen konnte. Wie in den nachfolgenden Erwägungen zur Beweiswürdigung noch im Einzelnen aufzuzeigen sein wird, verstrickte sich die Beschuldigte ausserdem wiederholt in inhaltliche Widersprüche. Auf die bestreitenden Aussagen der Beschuldigten kann nicht abgestellt werden, zumal sie bezüglich einzelner Sachverhalte eine Täterschaft nicht etwa kategorisch ausgeschlossen, sondern vielmehr Erinnerungslücken geltend gemacht hat. Da im Strafprozess Beweisbedürftigkeit besteht, kann selbst unglaubhaften Aussagen bei der Beweiswürdigung keine weitergehende Bedeutung zukommen. Nicht die Beschuldigte hat ihre Unschuld zu beweisen, sondern der verfolgende Staat hat der Beschuldigten den rechtlich relevanten Sachverhalt in objektiver und subjektiver Hinsicht nachzuweisen. Aus einem unglaubhaften Aussageverhalten alleine lässt sich noch nicht rechtsgenügend schliessen, ein Anklagesachverhalt sei bewiesen.

- 15 b) Die Beschuldigte hat der Bundeskriminalpolizei einen handschriftlich verfassten Zettel übergeben, in dem sie zeitliche Angaben zu ihrer deliktischen Tätigkeit gemacht hat. Gemäss ihren Angaben war die Beschuldigte ungefähr zwischen Januar und Februar 2013, im August 2013 sowie im März 2015 an «Phishing»-Angriffen beteiligt (BA pag. 10-02-0096). Diesen Aussagen kommt bei der Beweiswürdigung erhöhtes Gewicht zu, weil sie in einem frühen Verfahrensstadium gemacht wurden, als die Beschuldigte die ihr vorgeworfenen Delikte noch nicht in ihrer Gesamtheit kennen und ihr Aussageverhalten daher noch nicht taktisch geprägt sein konnte. Die Angaben decken sich im Wesentlichen mit den sonstigen Aussagen der Beschuldigten. So führte die Beschuldigte in einer an die Bundeskriminalpolizei delegierten Einvernahme vom 19. August 2015 aus, sie sei im Jahre 2015 Ende März / Anfang April, im Mai und im Juni als «Phishing»-Anruferin tätig gewesen (BA pag. 13-01-0031). Weiter gab die Beschuldigte im Vorverfahren anlässlich der delegierten Einvernahme vom 31. August 2015 an, im Jahre 2013 ein paar Mal «gephist» und ungefähr im März/April 2015 wieder damit begonnen zu haben (BA pag. 13-01-0057; bezüglich Anfangszeitpunkt der «Phishing»-Aktivitäten leicht anders anlässlich der Einvernahme vom 5. Juli 2018: «Ich kam wahrscheinlich erst Ende 2012 dazu.» [BA pag. 13- 01-0106]). Bei der Befragung zur Sache anlässlich der Berufungsverhandlung erklärte die Beschuldigte, dass sie glaube, Anfang des Jahres 2013 mit dem «Phishing» angefangen zu haben (CAR pag. 7.401.007). 1.2.4.2 Zeitlicher Konnex zwischen einzelnen «Phishing»-Vorfällen (Deliktsserien) a) Mit Blick auf die mutmasslichen Tatzeitpunkte fällt auf, dass sich eine grössere Anzahl von «Phishing»-Angriffen gehäuft an einzelnen oder an mehreren aufeinanderfolgenden Tagen ereignet haben. Die Beschuldigte hat in dieser Hinsicht im Vorverfahren jeweils von sogenannten «Sessionen» gesprochen (vgl. BA pag. 13-01-0107). Was Regelmässigkeit und Dauer von solchen «Sessionen» anbelangt, machte die Beschuldigte hingegen grossmehrheitlich unspezifische Aussagen. Konkret äusserte sie sich im Vorverfahren zunächst betreffend «Phishing»-Tätigkeiten, die vom Ausland aus unternommen wurden. Diesbezüglich gab die Beschuldigte an, «meistens» sei sie von Montag bis Mittwoch in Holland an einer «Session» gewesen (BA pag. 13-01-0108). Angesprochen auf «Phishing»-Anrufe im Juni 2015, als sich die Beschuldigte ebenfalls in Holland aufgehalten hatte, erwähnte sie ebenfalls, sie glaube, es seien zwei Tage gewesen, an denen sie solche Anrufe gemacht habe (BA pag. 13-01-0058). Daneben erklärte die Beschuldigte im Zusammenhang mit «Phishing»-Angriffen im Zeitraum Mai 2015, dass sie mehrere «Phishing»-Anrufe «an diesen beiden Tagen» getätigt habe (BA pag. 13-01-0031 f.). An wie vielen der von der Beschuldigten so bezeichneten «Sessionen» sie insgesamt beteiligt war, konnte die Beschuldigte weder im Vorverfahren noch in den gerichtlichen Befragungen angeben.

- 16 - Auf entsprechende Frage antwortete die Beschuldigte während der Berufungsverhandlung, dass sie das nicht sagen könne (CAR pag. 7.401.021). Jedoch räumte die Beschuldigte ein, es könne vorgekommen sein, dass sie in einer Woche «an zwei Tagen» im Rahmen von «Phishing»-Angriffen entsprechende Telefonate geführt habe (CAR pag. 7.401.021). Es könne sein, dass sie an einzelnen Tagen während mehrerer Stunden zwischen zwei und fünf Personen angerufen habe (CAR pag. 7.401.021). Dass die Beschuldigte vereinzelt auch an mehreren aufeinanderfolgenden Tagen an «Phishing»-Angriffen mitgewirkt hat, ergibt sich nicht zuletzt aus den Tatzeitpunkten der von ihr anerkannten Anklagesachverhalte. So hat die Beschuldigte die Täterschaft im Anklagesachverhalt «Fall 40» (BA pag. 13-01-0143) sowie im Anklagesachverhalt «Fall 42» (BA pag. 13-01-0110; BA pag. 13-01-0143) und im Anklagesachverhalt «Fall 43» (BA pag. 13-01-0111; BA pag. 13-01-0143) eingeräumt, welche sich am 24. März 2015 und am 25. März 2015 ereignet haben (TPF pag. 19.100.008). Für sich genommen mag ein enger zeitlicher Zusammenhang zwischen den Einzeltaten wenig aussagekräftig sein. Der Vorinstanz ist aber darin beizupflichten, dass die zeitliche Häufung von «Phishing»-Vorfällen durchaus eine beweisrelevante Aussage bezüglich der Täterschaft gestattet, sofern sich diese anhand der weiteren Tatumstände als Deliktsserie erkennen und der Tätergruppierung um die Beschuldigte zurechnen lassen. b) Die Beschuldigte hat über das ganze Verfahren hinweg wiederholt ausgesagt, sie habe sich häufig mit der Täterschaft getroffen, ohne dabei «Phishing»- Anrufe zu machen (BA pag. 13-01-0114; BA pag. 13-01-0116; TPF pag. 19.721.024; TPF pag. 19.731.014; CAR pag. 7.401.019; CAR pag. 7.300.005). In diesem Zusammenhang wies die Beschuldigte überdies darauf hin, dass sie «diesen Leuten» freundschaftlich verbunden gewesen sei (vgl. TPF pag. 19.721.023; TPF pag. 19.731.007). Es lässt sich nicht widerlegen, dass es sich bei den Komplizen der Beschuldigten um Personen aus ihrem Kollegenkreis gehandelt hat. Ebenfalls ist auch aufgrund von entsprechenden Hinweisen in den Akten denkbar, dass die Beschuldigte mit einem Mitglied der Tätergruppe eine amouröse Beziehung unterhalten habe (vgl. TPF pag. 19.721.023; TPF pag. 19.731.007). Indessen muss festgestellt werden, dass die Aussagen der Beschuldigten zur Art ihrer Beziehung zu ihren Komplizen und zur Intensität des gegenseitigen Kontaktes uneinheitlich und insgesamt nicht richtig fassbar sind. Namentlich fällt auf, dass die Schilderungen der Beschuldigten je nach spezifischem Fragehintergrund variierten. Zunächst beschrieb die Beschuldigte das Verhältnis zu einzelnen Mittätern eher unspezifisch als Bekanntschaften, mit denen sie sich «ein paar Mal» hauptsächlich privat getroffen habe (BA pag. 13-01- 0018; BA pag. 13-01-0033; BA pag. 13-01-0057). Als die Beschuldigte dann mit Nachrichten zu vereinbarten Treffpunkten und weiteren Anhaltspunkten für ihre Anwesenheit an mutmasslichen Tatorten konfrontiert wurde, gab sie an, sie habe

- 17 sich «oft» mit diesen Leuten getroffen (BA pag. 13-01-0114; BA pag. 13-01- 0116). Anlässlich der vorinstanzlichen Hauptverhandlung wurde das Verhältnis von der Beschuldigten zunächst erneut als «kollegial» bzw. «freundschaftlich» bezeichnet (TPF pag. 19.731.007). Auf Frage, weshalb sie die Namen ihrer «Freunde» nicht mehr wisse, gab die Beschuldigte dann zu Protokoll, es seien eigentlich gar nicht ihre richtigen Freunde gewesen, sie habe immer eine gewisse Distanz zu «diesen Leuten» gehabt (TPF pag. 19.731.007). An der Berufungsverhandlung hat die Beschuldigte wiederum beschrieben, wie sie über ihren Bekanntenkreis mit «diesen Leuten» in Kontakt gekommen ist und sich nach und nach auch selbstständig mit ihnen verabredet hat (CAR pag. 7.401.005 f.). Sie würde sagen, dass sie sich mit «diesen Leuten» zu 80 Prozent freundschaftlich getroffen habe und in 20 Prozent der Treffen «Phishings» gemacht worden seien (CAR pag. 7.401.006). Gefragt wurde die Beschuldigte auch nach ihrem Verhältnis zu ihren Komplizen im Jahre 2014, als sie an keinen «Phishing»-Angriffen beteiligt war. Dazu erklärte die Beschuldigte, sie habe sich von ihnen distanziert und geschaut, dass sie sich mit ihnen auch privat nicht mehr treffe. Sie habe nur noch wenig Kontakt gehabt und habe sie vielleicht noch alle drei Monate einmal getroffen. Sie sei dann aber nicht mehr gross in Hotelzimmer oder Wohnungen gegangen, wo die «Phishings» stattgefunden hätten (CAR pag. 7.401.008). Das deckt sich insofern zwar mit Aussagen der Beschuldigten im Vorfahren, gemäss welchen sie sich im Jahre 2014 auch privat nicht mehr mit «diesen Leuten» getroffen habe (BA pag. 13-01-0118). Im offensichtlichen Widerspruch zu diesen Aussagen führte die Beschuldigte aber in der Berufungsverhandlung auch aus, sie sei auch während der Zeit, in der sie selber nicht «gephisht» habe, mit «diesen Leuten» auf Reisen gewesen (CAR pag. 7.401.010). Auf entsprechendes Nachfragen musste auch die Beschuldigte die Unstimmigkeit ihrer Aussagen bemerkt haben und meinte, diese auflösen zu können, indem sie kurzerhand behauptete, sie habe sich eigentlich hauptsächlich mit Freundinnen von «diesen Leuten» getroffen (CAR pag. 7.401.010). Das nicht kohärente Aussageverhalten der Beschuldigten zu ihrer persönlichen Beziehung zu ihren Komplizen soll bei der Beweiswürdigung keineswegs überbewertet werden. Die Beschuldigte hat nun aber auffallend häufig auf dieses Erklärungsmuster zurückgegriffen. Sofern sich eine zeitlich konzentrierte und in Verbindung mit der Beschuldigten zu setzende Tatausführung durch die Tätergruppierung erstellen lässt, besteht wenig Grund, stets pauschal zugunsten der Beschuldigten von einem bloss kollegialen Zusammentreffen auszugehen. In Verbindung mit anderen auf die Beschuldigte als Täterin hindeutenden Beweisanzeichen kann ein allfällig erstellbares Zusammentreffen mit der Täterschaft gegebenenfalls den Indizienwert von zeitlichen Kontexten zwischen einzelnen Delikten durchaus erhöhen. Die Vorstellung, dass sich die Beschuldigte über mehrere Jahre hinweg zuweilen tagelang mit einzelnen Exponenten der Tätergruppierung in Hotelzimmern aufgehalten haben sollte,

- 18 während diese «Phishing»-Angriffe ausführten, und dafür erst noch Ferien- oder sonstige Freitage bezogen haben sollte, erscheint denn auch geradezu abwegig. 1.2.4.3 Arbeitszeitnachweise der SSSS. (frühere Arbeitgeberin der Beschuldigten) a) Als hinsichtlich der bestrittenen Täterschaft beweisrelevant erachtet die Vorinstanz die bei der damaligen Arbeitgeberin der Beschuldigten erhobenen Arbeitszeitnachweise. Ein Vergleich der Deliktszeitpunkte mit den Arbeitszeitnachweisen ergebe, dass die «Phishing»-Telefonate in 60 Fällen erfolgt seien, als die Beschuldigte arbeitsfrei gehabt habe. Es sei lebensfremd anzunehmen, dass es eine Koinzidenz sein solle, dass die Beschuldigte bis auf einen Fall immer am Deliktszeitraum arbeitsfrei gehabt habe. Es sei vielmehr naheliegend, dass die Beschuldigte nach der jeweiligen Ankündigung der «Sessions» jeweils für die betreffenden Termine freigenommen habe (Urteil SK.2020.35 E. 4.4.5.1 a). Die Arbeitszeitnachweise der Beschuldigten können dahingehend gewürdigt werden, dass sie die Täterschaft der Beschuldigten mindestens nicht im Sinne eines Alibibeweises ausschliessen. Alleine im Hinblick auf das koinzidente Ereignis als solches bewertet, lassen sich daraus jedoch keine gesicherten Schlüsse auf die Täterschaft der Beschuldigten ziehen. Ansonsten würde letztlich von der Beschuldigten der Nachweis ihrer Unschuld verlangt und wären die von der Verteidigung diesbezüglich mitunter angebrachten Vorbehalte (vgl. CAR pag. 7.300.006) grundsätzlich nicht unberechtigt. Eine solche eingeschränkte Betrachtungsweise würde jedoch ohnehin den Blick verstellen für den gesamten indiziellen Gehalt der aus den Arbeitszeitnachweisen der Beschuldigten zu gewinnenden Erkenntnissen. Dieser liegt nämlich nicht (nur) darin, dass die angeklagten «Phishing»-Angriffe fast ausschliesslich an Tagen stattgefunden haben, an denen die Beschuldigte nachweislich nicht gearbeitet hat. Es ist damit an sich unerheblich, dass dies entgegen der Auffassung der Vorinstanz (Urteil SK.2020.35 E. 4.4.5.1 a) nicht nur bei einem «Phishing»-Angriff nicht der Fall war. Bedeutsamer als die zeitliche Übereinstimmung von Freitagen und mutmasslichen Deliktszeitpunkten sind die Modalitäten, unter denen diese Freitage von der Beschuldigten in gewissen Phasen bezogen wurden. Bei der Durchsicht der edierten Arbeitszeitnachweise lässt sich feststellen, dass die Beschuldigte während den anklagerelevanten Deliktszeiträumen jeweils häufig unter der Woche, namentlich an Dienstag, Mittwoch und Donnerstagen - teilweise auch an zwei aufeinanderfolgenden Tagen unter der Woche - frei genommen hat (BA pag. 07.04.00.0004 ff. und BA pag 07.04.00.0066 ff.). In den Zeitphasen, in denen die Beschuldigte nach eigenen Angaben keine «Phishing»-Anrufe getätigt hat, lässt sich hingegen keine solche spezifische Arrangierung der Frei- und Pikettruhetage finden. Dort hat die Beschuldigte die zusätzlichen Freitage – wie dies im Übrigen gemeinhin zu erwarten wäre – entweder unmittelbar vor oder aber unmittelbar nach den Wochenenden bezogen. Dabei handelt es sich nicht

- 19 etwa um eine sporadisch auftretende Eigenheit, welche auch an zufällige Gegebenheiten denken liesse. Vielmehr kann die Platzierung der Freitage für beide der von der Beschuldigten genannten, jeweils mehrere Monate umfassenden Deliktszeiträume in gleicher Weise beobachtet werden. b) Die Beschuldigte wurde im Verlauf des Verfahrens mehrfach mit diesen Auffälligkeiten konfrontiert. Die Beschuldigte hat dazu ausgesagt, dass sie für die Ausübung der «Phishing»-Tätigkeit in der Regel frei genommen habe (TPF pag. 19.731.015: «Ich streite nicht ab, dass ich wirklich frei genommen habe, um das zu machen. Manchmal wurde mir genug im Voraus gesagt, ich solle frei nehmen.»; TPF pag. 19.731.017: «Aber ich habe natürlich auch frei genommen, um das zu machen.»). Die Beschuldigte führte weiter aus, sie habe pro Monat «sicher» während einer oder zweier Wochen Pikettdienst gehabt, und zwar sowohl unter der Woche als auch an den Wochenenden. Sie habe immer mehrere Tage unter der Woche frei gehabt. Es sei also regelmässig vorgekommen, dass sie unter der Woche immer einen oder zwei Tage frei gehabt habe, weil sie am Wochenende gearbeitet habe. Sie habe nicht jedes Mal frei genommen, um mit diesen Leuten zu «phishen». Sie habe auch frei genommen für Arzttermine oder sonstige Termine. Sie habe wirklich regelmässig auch unter der Woche frei gehabt. Wenn an diesen Tagen «Phishings» gemacht worden seien, sei das auch bloss Zufall gewesen (CAR pag. 7.401.011 f.). Die Aussagen der Beschuldigten mögen zwar nachvollziehbar erklären, weshalb einige der bezogenen Freitage auf einen Wochentag fallen. Erklärungsbedürftig bleiben hingegen sowohl die sich ändernde Art und Weise der Verlegung der Freitage als auch die konkreten Zeitpunkte, in dem sie das tat. Darauf angesprochen, führte die Beschuldigte anlässlich der Berufungsverhandlung aus, dass sie «diese Leute» auch sonst privat getroffen habe, wenn sie in Y. oder sonst irgendwo in der Schweiz gewesen seien. Oftmals habe sie frei genommen, um sich mit ihnen oder deren Freundinnen zu treffen, die auch ihre Freundinnen gewesen seien. Wenn «diese Leute» daneben noch «Phishings» gemacht hätten, sei das wirklich ein Zufall gewesen (CAR pag. 7.401.013 f.). Diese Einlassungen beantworten die gestellte Frage nicht und wirken ausweichend. Das Gleiche gilt für die Vorbringen der Beschuldigten, wonach sie im ersten Anstellungsjahr noch keine Pikettdienste geleistet habe und gegen Ende ihrer Anstellung bei der SSSS. einige ältere Frauen beschäftigt gewesen seien, die kein Interesse an Pikettdiensten gehabt hätten, welche sie übernommen habe (CAR pag. 7.401.012). Im Vordergrund des Interesses stehen nicht die Anzahl der geleisteten Piketttage und die sie kompensierenden Freitage, sondern die terminliche Inanspruchnahme der zusätzlichen Freitage. Aufgrund der Aussagen der Beschuldigten bleibt unklar, weshalb der Bezug der Freitage über die ganze Anstellungsdauer betrachtet gerade in den beiden Zeitphasen unterschiedlich erfolgten, in denen sie gemäss eigenen Aussagen Delikte begangen hat. Anlässlich der vorinstanzlichen Befragung führte die

- 20 - Beschuldigte aus, dass sie «vielleicht» unter der Woche habe frei nehmen «müssen», weil sie die freien Tage dem Team habe anpassen müssen (TPF pag. 19.731.017). An der Berufungsverhandlung gab sie an, dass entweder ihr Vorgesetzter oder sie selber über den Bezug der Freitage entschieden habe (CAR pag. 7.401.012). Mit keiner dieser Aussagen lässt sich plausibel erklären, weshalb die Beschuldigte gerade in zwei rund ein Jahr auseinanderliegenden Phasen bei der Auswahl der Freitage über einen im Vergleich zur übrigen Anstellungsdauer nur eingeschränkten Handlungsspielraum gehabt haben soll. Dass diese beiden Zeiträume ziemlich exakt mit den beiden von der Beschuldigten bezeichneten Deliktsphasen übereinstimmen, kann entgegen den Beteuerungen der Beschuldigten kein blosser Zufall gewesen sein. Dass die Beschuldigte an nahezu ausschliesslich allen Tattagen nicht gearbeitet hat, erscheint insofern in einem indiziell besonders belastenden Licht. Im Ergebnis ist der Vorinstanz deshalb darin zu folgen, dass den Arbeitszeitnachweisen auch als täterinnenbezogenes Indiz ein nicht unerheblicher Beweiswert zukommt. 1.2.4.4 Verwendung von gleichen Computern und IP-Adressen Im Vorverfahren wurde bezüglich aller der Beschuldigten zur Last gelegten «Phishing»-Angriffe versucht, die technischen Eigenschaften der eingesetzten Computer (Gerätekonfiguration) und der ihnen bei den inkriminierten Zugriffen auf die Online-Banking-Systeme beigeordneten IP-Adresse möglichst vollständig zu erheben. Bei der sogenannten Gerätekonfiguration handelt es sich um die von den betroffenen Finanzinstituten beim Logingvorgang gespeicherten Beschreibungen des Betriebssystems und zahlreicher Angaben zum verwendeten Webbrowser (vgl. BA pag. 10-02-0130). Die sogenannte «IP-Adresse» beschreibt eine im Internet eindeutig vermittelbare Andresse eines Gerätes, welche von den Netzwerkknoten zur Weiterleitung und Versendung von Datenpaketen benutzt werden (vgl. BA pag. 10-02-0128). Die Ermittlungen haben ergeben, dass bei diversen «Phishing»-Angriffen identische Gerätekonfigurationen und/oder identische IP-Adressen verzeichnet wurden (BA pag. 10-02-0129; BA pag. 10-02-0130 f.). Darauf wird in der vorinstanzlichen Entscheidbegründung sowohl betreffend die allgemeine Indizienlage (Urteil SK.2020.35 E. 4.4.5.1 c) als auch bezüglich den einzelnen Anklagesachverhalten wiederholt Bezug genommen. Die Beschuldigte hat mit Recht darauf hingewiesen (TPF pag. 19.721.024; CAR pag. 7.300.004) und die Vorinstanz hat auch nicht übersehen, dass sich anhand solcher technischer Detailangaben letztlich einzig valide Aussagen über die übereinstimmende Beschaffenheit der verwendeten Gerätschaften treffen lassen. Bezüglich der Frage der konkreten Täterschaft handelt es sich damit um wenig gewichtige Indizien. Im Zusammenspiel mit einschlägigeren Indizien sowie zur Identifizierung gewisses Deliktszusammenhänge sind sie jedoch nicht ausser Acht zu lassen.

- 21 - 1.2.4.5 Ermittlung der Tatorte (Antennenstandorte) Im Zusammenhang mit den der Beschuldigten angelasteten «Phishing»-Anrufen wurden seitens der Bundesanwaltschaft diverse Antennenstandorterhebungen der der Täterschaft zugewiesenen Mobiltelefone veranlasst. Teilweise wurden die aufgezeichneten Antennenstandortungen mit denjenigen des von der Beschuldigten privat benutzten Mobiltelefons abgeglichen. Auch betreffend diese Ermittlungsergebnisse gilt, was bereits zuvor hinsichtlich der Gerätekonfigurationen und IP-Adressen ausgeführt wurde. Es lassen sich zwar Rückschlüsse auf die Tatorte und gegebenenfalls auch auf den Standort der Beschuldigten zu den Tatzeitpunkten ziehen. Bei der Beweiswürdigung kann diesen Befunden allerdings höchstens zusammen mit weiteren Indizien ein erhöhter Stellenwert eingeräumt. Wie die Beschuldigte zutreffend eingewendet hat (TPF pag. 19.721.023), ergäbe sich daraus allenfalls, dass sich die Beschuldigte in der Nähe von Orten aufgehalten hat, von welchem die «Phishing»-Anrufe getätigt wurden. Ein Indiz für die unmittelbare Täterschaft der Beschuldigten sind die Auswertungen der Antennenstandorte nicht. Selbst wenn im Übrigen zutreffend wäre, dass die Anwesenheit der Beschuldigten zum Tatzeitpunkt am Tatort – wovon die Vorinstanz ausgeht (Urteil SK.2020.35 E. 4.4.5.1 c) – nachgewiesen wäre, wäre damit nicht gleichzeitig gesagt, dass die Beschuldigte auch in «Phishing»-Aktivitäten involviert war. Die Ortungen der von den Tätern und der Beschuldigten verwendeten Mobiltelefone vermögen insofern nur einen beschränkten Bezug zu ihrer Beteiligung an den «Phishing»-Angriffen herzustellen, können jedoch die Indizwirkung von aussagekräftigeren Indizien ergänzen und verstärken. 1.2.4.6 Aliasnamen und Dialekt der «Telefonistin» a) Als gewichtiges Indiz für die Täterschaft der Beschuldigten wertete die Vorinstanz, wenn sich die «Telefonistin» mit dem Aliasnamen «Frau Meier» bei den Bankkunden gemeldet habe und die Geschädigten, welche sich an diesen Aliasnamen hätten erinnern können, den gesprochenen Dialekt als «[…]deutsch» beschrieben hätten, was dem Dialekt der Beschuldigten entsprochen habe. Ausserdem gebe es keinen Fall, bei welchem sich die Geschädigten an den Namen «Meier» hätten erinnern können und gleichzeitig Hinweise vorlägen, welche gegen die Täterschaft der Beschuldigten sprächen. Die überwachten Telefongespräche hätten zudem keine Hinweise darauf ergeben, dass andere «Telefonistinnen» den gleichen Dialekt gesprochen hätten. Aus diesen Gründen erachtete die Vorinstanz den Einwand der Beschuldigten, der Aliasnamen «Meier» sei auch von anderen «Telefonistinnen» benutzt worden, als unglaubhaft und schloss, dass sich ausschliesslich die Beschuldigte mit diesem Aliasnamen gemeldet habe (Urteil SK.2020.35 E. 4.4.5.1 b). In der vorinstanzlichen Beweiswürdigung zu den einzelnen Anklagevorwürfen nimmt dieses Indiz in der Folge sehr breiten

- 22 - Raum ein. Wie bereits im vorinstanzlichen Verfahren (vgl. TPF pag. 19.721.022) macht die Beschuldigte auch im Berufungsverfahren geltend, ihre Täterschaft dürfe nicht einfach bei allen «Phishing»-Angriffen unterstellt werden, bei denen sich die Anruferin als «Frau Meier» ausgegeben und mit «[…]Dialekt» gesprochen habe. Der Vorinstanz wirft die Beschuldigte in diesem Kontext aktenwidrige Feststellungen und einseitige Beweiswürdigung vor (CAR pag. 7.300.003 f.). b) Der von der Täterschaft bei den «Phishing»-Anrufen verwendete Name «Meier» (oder «Meyer» [vgl. BA pag. 15-11-0003]) und eine «[…]deutsch» sprechende «Telefonistin» gerieten im Zusammenhang mit den vorliegend zu beurteilenden «Phishing»-Angriffen bereits früh in den Fokus der Ermittlungen (vgl. BA pag. 10-02-0102). Auch die Beschuldigte erwähnte diesen Namen in ihren Erstaussagen, erklärte sie doch schon anlässlich der Hafteinvernahme, dass ihr Aliasname immer «Frau Meier» gewesen sei. Der Name «Meier» sei ihr vorgegeben wurden (BA pag. 13-01-0009). In einer späteren Einvernahme gab die Beschuldigte dann an, es stimme nicht, dass nur sie den Namen «Meier» benutzt habe. Sie sei auch schon dabei gewesen, als jemand anders den Namen «Meier» benutzt habe (BA pag. 13-01-0130). Weiter gab die Beschuldigte zu Protokoll, dass alle den Namen «Meier» benutzt hätten und auch der Name «Müller» benutzt worden sei (BA pag. 13-01-107). Diese Aussage bestätigte die Beschuldigte später insofern, als sie erklärte, der Name «Meier» sei nicht speziell für sie gewesen, sondern auch von anderen benutzt worden und sie habe neben diesem Namen auch den Namen «Müller» benutzt (BA pag. 13-01-0129; vgl. auch BA pag. 13-01-0115: «Ich war nicht die einzige ‘Frau Meier’.). Mit den anderslautenden früheren Angaben konfrontiert, führte die Beschuldiget aus, es könne sein, dass sie auch den Namen «Müller» benutzt habe (BA pag. 13-01-129; vgl. auch BA pag. 13-01-0130: «Ich kann mich nur an ‘Meier’ und ‘Müller’ erinnern.»). Anlässlich der vorinstanzlichen Hauptverhandlung gab sie zunächst an, sie wisse nicht mehr, ob sie am Telefon den Namen «Meier» oder den Namen «Müller» benutzt habe (TPF pag. 19.731.012). Später erklärte die Beschuldigte wiederum, sie habe nicht nur unter dem Namen «Meier» telefoniert, sondern auch den Namen «Müller» verwendet (TPF pag. 19.731.015). Auch an der Berufungsverhandlung gab die Beschuldigte zu Protokoll, ihrer Erinnerung zufolge nicht nur den Namen «Meier», sondern auch den Namen «Müller» verwendet zu haben. Sie hätten ihr gesagt, sie solle den Namen «Meier» oder den Namen «Müller» benutzen (CAR pag. 7.401.010). Die Aussagen der Beschuldigten zu den bei den «Phishing»-Telefonaten benutzen Falschnamen erweisen sich als nicht durchwegs konsistent und widersprechen sich bisweilen. So ist etwa schwer verständlich, weshalb die Beschuldigte sich in der tatnächsten Befragung unmittelbar nach ihrer Verhaftung auf den Namen «Meier» festgelegt haben sollte, wenn sie auch auf andere Scheinidentitäten zurückgegriffen hätte. Ihre ursprüngliche Aussage wird schliesslich durch die Tatsache gestützt, dass sich die Beschuldigte in

- 23 den aufgezeichneten und anerkanntermassen von ihr geführten «Phishing»-Gesprächen – soweit objektivierbar – ausnahmslos als «Frau Meier» vorgestellt hat. c) Angesichts der Aktenlage zweifelhaft ist auch die Darstellung der Beschuldigten, wonach alle «Telefonistinnen» unter Verwendung des Aliasnamens «Meier» operiert haben. Die Auswertung der diesbezüglich relevanten Ermittlungsergebnisse spricht deutlich für das Gegenteil. Wenn zutreffend wäre, dass mehrere «[…]deutsch» sprechende «Telefonistinnen» unter dem Aliasnamen «Meier» tätig gewesen wären, wäre zu erwarten gewesen, dass diese im Laufe der intensiven Ermittlungsbemühungen der Strafverfolgungsbehörden entsprechende Spuren hinterlassen hätten. Das ist aber nicht der Fall. Insbesondere bei den sich auf zahlreiche Rufnummern erstreckenden und längere Zeiträume umfassenden Überwachungsmassnahmen (vgl. BA pag. 09-01-0059) hätten solche Täterinnen auffallen müssen. Das gilt erst recht, wenn es sich – wie von der Beschuldigten beschrieben (vgl. BA pag. 13-01-0112) – tatsächlich so zugetragen hätte, dass diese Täterinnen mitunter gleichzeitig aktiv gewesen wären und sich sozusagen «den Hörer in die Hand gegeben» (CAR pag. 7.300.004) hätten. Über den gesamten Deliktszeitraum hinweg wurden mehrere Rufnummern teilweise während Monaten auch aktiv überwacht (vgl. BA pag. 09-01-0059). Die Ermittlungsabteilung der Bank B. zeichnete im November/Dezember 2012 zudem vier «Phishing»-Telefonate auf (BA pag. 05-01-0028; BA pag. 13-01-0028). Nie ist eine andere weibliche Person als die Beschuldigte in Erscheinung getreten, die den gleichen Dialekt sprach und den identischen Aliasnamen verwendete wie sie. Auch in den von nicht bekannten Täterinnen geführten «Phishing»-Telefonaten, die aufgezeichnet werden konnten, wurde der Name «Meier» nie genannt (BA pag. 10-02-0167). Wenn gemäss den Aussagen der Beschuldigten «mindestens zwei weitere» «Telefonistinnen» mit «[…]Dialekt» (BA pag. 13-01-0107; BA pag. 13-01-0130) beteiligt gewesen wären und alle den Namen «Meier» benutzt hätten, liessen sich diese Ermittlungsergebnisse schlechterdings nicht erklären. Selbst im relativ langen Zeitraum von anderthalb Jahren, indem die Beschuldigten nicht in «Phishing»-Aktivitäten verstrickt war, fiel keine solche «Telefonistin» auf. Soweit die Beschuldigte anlässlich der Berufungsverhandlung gar andeutete, die «Telefonistinnen» hätten sogar mehrheitlich «[…]deutsch» gesprochen (CAR pag. 7.401.022: «Die Telefonistinnen sprachen aber sowieso hauptsächlich […Dialekt.»), wäre das von den Ermittlungsbehörden mit Sicherheit bemerkt worden. Gegen die Glaubhaftigkeit der Schilderungen der Beschuldigten spricht schliesslich, dass zwar zumindest zu Beginn der anklagerelevanten Deliktsserie zwei «[…]deutsch» sprechende «Telefonistinnen» aufgetreten sind, diese jedoch die Aliasnamen «Fuchs» und «Hofer» benutzt haben (BA pag. 10-02-0168). Zusammenfassend ergibt sich einerseits, dass trotz jahrelangen und aufwändigen Ermittlungen keine «Telefonistin» ausser der Beschuldigten identifiziert werden konnte, die «[…]Dialekt» gesprochen und den Aliasnamen «Meier» verwendet

- 24 hat. Anderseits konnten mehrere weitere «Telefonistinnen» eruiert werden, die aber allesamt gerade unter anderen «Aliasnamen» tätig waren. d) Die Möglichkeit, dass eine andere Täterin unter Benutzung des gleichen Tarnnamens und mit gleichem Sprachdialekt agiert haben könnte, erscheint aus den angeführten Gründen von bloss theoretischer Natur. Daran vermag der an sich berechtigte Einwand der Beschuldigten nichts zu ändern, wonach die vorinstanzliche Feststellung, alle von einer «Frau Meier» angerufenen Geschädigten hätte deren Dialekt als «[…]deutsch» beschrieben (vgl. Urteil SK.2020.35 E. 4.4.5.1 b) unzutreffend sei (CAR pag. 7.300.003). Der angesprochene «Phishing»-Angriff (Anklagesachverhalt «Fall 8») ereignete sich im Dezember 2012 und damit zu einem Tatzeitpunkt, als sich auch nach polizeilicher Einschätzung noch verschiedene Schweizerdeutsch sprechende «Telefonistinnen» als Mitarbeiterinnen von Bankinstituten ausgegeben haben (vgl. BA pag. 10-02- 0101; BA pag. 10-02-0168). Für die spätere Deliktsphase lässt sich der Beweiswert der Verwendung des Aliasnamens «Meier» dadurch nicht massgeblich relativieren und bleiben die Aussagen der Beschuldigten unglaubhaft. Die entsprechenden Behauptungen können jedenfalls nicht zum Anlass genommen werden, um schon gestützt darauf unter Berufung auf den Grundsatz «in dubio pro reo» zu einem Freispruch zu gelangen. Die Beweisgrundsätze gebieten es dem Gericht nicht, zugunsten der Beschuldigten auch von Annahmen auszugehen, für deren Vorliegen das Beweisergebnis keine substantiellen tatsächlichen Anhaltspunkte erbracht hat. Es müsste insgesamt schlicht zu viele Zufälle gegeben haben und von einer Art Ermittlungspech ausgegangen werden, damit von den angeblich mehreren unter dem Namen «Meier» auftretenden Täterinnen über einen derart langen Zeitraum hinweg alle ausser der Beschuldigten gänzlich unentdeckt hätten bleiben können. Die Beschuldigte wäre nicht nur die einzige «Telefonistin» gewesen, die durch technische Überwachungsmassnahmen überführt werden konnte. Die Beschuldigte wäre überdies die einzige «Telefonistin» gewesen, die auch nachweislich persönlich mit den die «Phishing»-Angriffe orchestrierenden Haupttätern in Erscheinung getreten wäre. Als die beiden Komplizen QQQQ. und RRRR. am 15. April 2015 bei der Einreise in die Schweiz einer polizeilichen Kontrolle unterzogen wurden, war es die Beschuldigte, die in einem Hotel in Y. auf sie gewartet hat (BA pag. 10-02-0106). Als die Kantonspolizei Y. am 26. Mai 2015 wegen unbezahlter Rechnungen in ein Hotel in der Stadt Y. ausrückte, wurden dort QQQQ. und RRRR. in Begleitung der Beschuldigten angetroffen (BA pag. 10-02-0106). Bei allen diesen Vorzeichen ist der Vorinstanz beizupflichten, dass es sich bei der Verwendung des Aliasnamens «Meier» und des von der «Telefonistin» gesprochen Dialektes um unmittelbar täterschaftsbezogene Indizien handelt, die für die Beweiswürdigung von hoher Bedeutung sind. 1.2.4.7 Bei den «Phishing»-Angriffen registrierte Rufnummern (SIM-Karten)

- 25 a) Ein übergeordnetes Indiz für die Täterschaft der Beschuldigten erblickt die Vorinstanz schliesslich darin, dass die den angeklagten «Phishing»-Angriffen zuzuordnenden Rufnummern gemäss polizeilicher Auswertung mit einer Ausnahme einzig von der Beschuldigten verwendet worden seien. Der Einwand der Beschuldigten, sie habe keine SIM-Karten gekauft und andere «Telefonistinnen» hätten diese auch gebraucht, sei daher als Schutzbehauptung einzustufen (Urteil SK.2020.35 E. 4.4.5.1 d). Die Beschuldigte lässt die verzeichneten Rufnummern nicht als wesentliches Indiz gelten. Anlässlich der vorinstanzlichen Hauptverhandlung brachte sie unter Verweis auf Aussagen im Vorverfahren vor, dass die Mobiltelefone und SIM-Karten, mit welchen die «Phishing»-Anrufe getätigt worden seien, unter den «Telefonistinnen» weitergegeben worden seien. Es dürfe deshalb nicht leichtfertig angenommen werden, dass sie, sofern sie zugegeben habe, eine bestimmte Rufnummer für «Phishing»-Anrufe benutzt gehabt zu haben, für alle «Phishing»-Anrufe verantwortlich sei, welche von dieser Rufnummer aus getätigt worden seien (TPF pag. 19.721.023). An dieser Auffassung hielt die Beschuldigte anlässlich der Berufungsverhandlung fest. In der Einvernahme zur Sache sagte sie diesbezüglich aus, dass «diese Leute» ihr die SIM-Karten gegeben und ihr wieder entzogen hätten, sobald sie die «Phishing»-Anrufe gemacht gehabt habe. Sobald sie die «Phishing»-Anrufe gemacht gehabt habe, habe sie die SIM-Karten wieder abgegeben (CAR pag. 7.401.015; vgl. auch CAR pag. 7.401.018; BA pag. 13-01-0134; BA pag. 13-01-0147). Im Rahmen des Parteivortrages liess die Beschuldigte ergänzend ausführen, dass die «Telefonistinnen» sich in schneller zeitlicher Abfolge abgewechselt hätten (CAR pag. 7.300.005). Somit weise auch die Verwendung bestimmter Rufnummern nicht unmittelbar auf die Täterschaft der Beschuldigten hin (CAR pag. 7.300.003). b) Vorab hat die Vorinstanz zu Recht darauf hingewiesen, dass gemäss polizeilichen Erkenntnissen von den in einer grösseren Anzahl in den Kontext mit «Phishing»-Angriffen zu stellenden Rufnummern (vgl. BA pag. 10-02-0108 ff.) mit einer Ausnahme alle ausschliesslich von der Beschuldigten verwendet worden seien (BA pag. 10-02-0112). Dieses Ermittlungsergebnis wird von der Beschuldigten mehrheitlich ausgeklammert. Es ist weder ersichtlich noch schlüssig dargetan, dass und weshalb die entsprechenden Interpretationen der Polizei nicht zutreffend sein sollten. Nicht stichhaltig ist namentlich der Einwand, der Geschädigte Q. (Anklagesachverhalt «Fall 37») habe ausgesagt, er sei innerhalb von weniger als zwei Stunden von zwei verschiedenen «Telefonistinnen» angerufen worden, wobei eine davon mit «hochdeutschem Akzent» gesprochen habe (CAR pag. 7.300.005). Es trifft zu, dass der Geschädigte Q. berichtet hat, er habe innerhalb kurzer Zeit zwei verdächtige Anrufe erhalten (BA pag. 15-37-0023). Indessen haben die bei den Telekommunikationsanbietern eingeholten Abonnentauskünfte ergeben, dass diese beiden Anrufe nicht von der gleichen Rufnummer

- 26 aus erfolgten (BA pag. B10-02-02-0065). Weder die eine noch die andere Rufnummer wurde sodann der Beschuldigten zugeordnet (vgl. BA pag. B10-02-02- 0065; BA pag. 10-02-0108 ff.). Damit lassen sich die Erkenntnisse über die Verwendung der eingesetzten Rufnummern nicht als unzuverlässig ausweisen. Im Übrigen kann bezüglich der Einwände der Beschuldigten wiederholt werden, was bereits zu Aliasnamen und Dialekt der «Phishing»-Anruferin gesagt wurde. Es erscheint ausgeschlossen, dass eine andere Benutzerin der von den Überwachungsmassnahmen betroffenen Rufnummern nicht ebenfalls identifiziert worden wäre. Abgesehen davon erscheinen die Aussagen der Beschuldigten einmal mehr wenig glaubhaft. Wenn die verwendeten SIM-Karten, so die Behauptung der Beschuldigten, stets wieder zurückgegeben worden wären, ist nicht erklärbar, wie es kommen konnte, dass die Beschuldigte am 1. Mai 2015 ohne jeden Bezug zu «Phishing»-Anrufen unter Verwendung einer angeblich retournierten SIM- Karte einen Kartenlegeservice angerufen hat (vgl. BA pag. B10-02-03-0098; BA pag. B10-02-04-0009 f.). Es bleibt abschliessend festzuhalten, dass diverse Rufnummern schlüssig der Beschuldigten zugeordnet werden können und deren allfällige Verwendung als gewichtiges Indiz für ihre Täterschaft bewertet werden muss. 1.2.4.8 Weitere Beweismittel und Indizien Als weitere Beweismittel liegen zahlreiche aufgezeichnete Telefongespräche und die Aufzeichnungen aus der akustischen Überwachung von Wohn- und Hotelräumen sowie diverse auf dem Mobiltelefon der Beschuldigten sichergestellte Dokumente und Dateien bei den Akten. Darauf hat die Vorinstanz in den allgemeinen Erwägungen ebenfalls teilweise Bezug genommen (Urteil SK.2020.35 E. 4.4.5.1 e). Da diesen Beweismitteln und Indizien indessen keine über den Einzelfall hinausgehende Bedeutung zukommt, sei nicht weiter darauf eingegangen. Im Übrigen betreffen diese Beweismittel ohnehin Anklagesachverhalte, die von der Beschuldigten anerkannt wurden. 1.2.5 Beweiswürdigung zu den bestrittenen Anklagevorwürfen Nach Massgabe des vorstehend dargelegten Beweiswertes der vorhandenen Indizien sowie unter Berücksichtigung der skizzierten allgemeinen Tatumstände ist nunmehr im Einzelnen die Frage zu klären, ob es sich bei der Beschuldigten um diejenige Person handelt, die in den in der Anklage aufgeführten «Phishing»-Angriffen als «Telefonistin» fungiert hat. Sofern zur Ausleuchtung relevanter Deliktsrelationen angezeigt, wird dabei punktuell von den vorinstanzlich vorgenommenen Tatgruppierungen abgewichen.

- 27 - 1.2.5.1 Anklagesachverhalte «Fälle 1 und 2» a) In den Anklagesachverhalten «Fall 1» und «Fall 2» wird der Beschuldigten vorgeworfen, am 22. November 2012 an «Phishing»-Angriffen auf Konten der Geschädigten D.AG und CC. mitgewirkt zu haben (TPF pag. 19.100.003). Die Beschuldigte hat ihre Täterschaft bei diesen beiden «Phishing»-Angriffen nicht anerkannt (BA pag. 13-01-0117; BA pag. 13-01-0144). Geständig war die Beschuldigten insoweit, als sie im Verlauf des Verfahrens einräumte, am 22. November 2012 ein «Phishing»-Telefonat mit einem Mitarbeiter des Sicherheitsdienstes der Bank B. (Anklagesachverhalt «Fall 59») geführt zu haben (BA pag. 13-01-0016; BA pag. 13-01-0144). Nach Ansicht der Vorinstanz wird die Beschuldigte durch die Beweislage der Täterschaft bezüglich der nicht anerkannten Anklagevorwürfe überführt. Als gewichtiges Indiz bewertet die Vorinstanz den Umstand, dass die Beschuldigte zum Tatzeitpunkt am 22. November 2012 von ihrer Arbeit frei genommen habe. Der Geschädigte CC. habe sich im «Fall 2» an den Namen «Meier» der angeblichen Bankangestellten am Telefon erinnern können. Erstellt sei somit die Täterschaft in diesem Fall, weil nur die Beschuldigte diesen Aliasnamen verwendet habe. Da die Gerätekonfiguration des für die unbefugten Geldüberweisungen verwendeten Computers in den «Fällen 1 und 2» identisch gewesen sei und die «Phishings» zeitnah erfolgt seien, sei der Beschuldigten auch «Fall 1» anzurechnen. Die Annahme, dass eine andere «Telefonistin» «gephisht» habe, sei lebensfremd (Urteil SK.2020.35 E. 4.4.5.2 «Fälle 1 und 2»). b) Der Vorinstanz ist zuerst darin beizupflichten, dass die beiden Anklagesachverhalte «Fall 1» und «Fall 2» in einem engen zeitlichen und sachlichen Zusammenhang stehen. Die unautorisierten Transaktionen wurden am 22. November 2012 um 09:55 Uhr (Geschädigte D. AG [«Fall 1»]) und um 18:06 Uhr (Geschädigter CC. [«Fall 2»]) in Auftrag gegeben (BA pag. B10-02-01-0003; BA pag. B10-02-01-0009; BA pag. B10-02-01-0017). Die erhobenen technischen Daten belegen, dass beide «Phishing»-Angriffe von der gleichen Täterschaft begangen worden sein müssen. Sowohl die bei den Taten verwendeten Computer als auch die bei den Zugriffen auf das Onlinebanking-System der Bank B. zugeteilten IP-Adressen waren in beiden Fällen identisch (BA pag. B10-02-01-0002; BA pag. B10-02-01-0006; BA pag. 10-02-0129; BA pag. 10-02-0130). Das kann nur heissen, dass die gleichen Täter die beiden «Phishing»-Angriffe mit gleicher Gerätschaft und während der nämlichen Internet-Session verübt hat. Zwischen den beiden «Phishing»-Angriffen hat ausserdem auch das aufgezeichnete Telefonat zwischen der Beschuldigten und einem einen ahnungslosen Kunden imitierenden Bankmitarbeiter stattgefunden. Dadurch ist mit aller erdenklichen Klarheit erstellt, dass die Beschuldigte am Tattag des 22. November 2012 tatsächlich mit ihren Mittätern zusammen in «Phishing»-Aktivitäten involviert war. Wie im

- 28 angefochtenen Urteil zutreffend erwogen, hat die Beschuldigte im Tatzeitpunkt Ferien bezogen und nicht gearbeitet (BA pag. 07-04-00-0010). Desgleichen hat die Vorinstanz zu Recht darauf hingewiesen, dass der Geschädigte CC. (Anklagesachverhalt «Fall 2») ausgesagt hat, er sei von einer «Frau Meier» von der Bank. B angerufen worden (Polizeirapport Kantonspolizei Graubünden vom 28. Dezember 2012 [BA pag. 15.02.0003]; Einvernahme durch die Kantonspolizei Graubünden vom 30. November 2012 [BA pag. 15-02-0008]). Die Aussagen des Geschädigten waren klar und detailliert, sodass an deren Glaubhaftigkeit nicht zu zweifeln ist. Das Auftreten unter der Namenslegende einer «Frau Meier» ist ein starkes Indiz für die Täterschaft der Beschuldigten. c) Die Aussagen der Beschuldigten bezüglich der zur Diskussion stehenden Anklagesachverhalte sind uneinheitlich und eher konfus. Ein eigentliches Geständnis hat sie nie abgelegt. Gleichwohl vermitteln ihre Aussagen den Eindruck, als könne sie die eigene Täterschaft nicht mit Gewissheit ausschliessen. So erwähnte sie einerseits, es könne sein, dass sie am 22. November 2012 in einem Hotel in Deutschland ein Telefon gemacht habe (BA pag. 13-01-0117). In einer anderen Einvernahme sprach sie wiederum von Deutschland, konnte sich aber an ein bestimmtes Datum nicht mehr erinnern (BA pag. 13-01-0144). Es wirkt nicht besonders authentisch, dass die Beschuldigte in ihren Befragungen zwar namensmässig angeben konnte, in welchem Hotel in Deutschland sie sich und in welchem anderen Hotel sich andere Täter aufgehalten haben, und auch noch wusste, dass damals Schnee gelegen sei (vgl. BA pag. 13-01-0117), sich indessen nicht mehr daran erinnern will, ob sie damals abgesehen von der eingestandenen Tatbeteiligung noch an weiteren «Phishing»-Angriffen mitgewirkt hat. Obwohl sie aufgrund des tatsächlichen Zusammentreffens mit der Täterschaft an sich darüber hätte Auskunft geben können, war von der Beschuldigten nichts zu vernehmen, was als konkreter Hinweis auf die Person der eingesetzten «Telefonistin» hätte verstanden werden können. Die Beschuldigte hat insgesamt nichts vorgebracht, was dazu veranlassen könnte, die angeführten Indizien anders zu werten. Bei realistischer Betrachtung wird die Hypothese einer möglichen Dritttäterschaft durch nichts gestützt. Wie die im vorliegenden Verfahren gewonnenen Erfahrungssätze und nicht zuletzt auch entsprechende Aussagen der Beschuldigten illustrieren, sind mitunter Dutzende von Anläufen nötig, bis eine «Phishing»-Attacke tatsächlich gelingt. Genau so unwahrscheinlich ist es im umgekehrten Sinne, dass das von der Beschuldigten angeblich einzig geführte «Phishing»-Telefonat während des ganzen Tages gerade dasjenige ist, das zufälligerweise vom Sicherheitsdienst der Bank B. mitgeschnitten wird. Mit der Vorinstanz ist deshalb festzuhalten, dass eine andere Täterschaft als diejenige der Beschuldigten zwar nicht mit Absolutheit, wohl aber mit einem nach der Lebenserfahrung ausreichenden Mass an Sicherheit ausgeschlossen werden kann.

- 29 d) Nach dem Vorstehenden kommen keine vernünftigen Zweifel an der Täterschaft der Beschuldigten in den Anklagesachverhalten «Fall 1» und «Fall 2» auf. Der Sachverhalt ist mithin rechtsgenügend erstellt. 1.2.5.2 Anklagesachverhalte «Fälle 3-7» a) Gemäss Anklageschrift war die Beschuldigten an zahlreichen «Phishing»- Angriffen beteiligt, die sich am Dienstag, 18. Dezember 2012 ereignet und gegen Kunden der Bank B. gerichtet haben (TPF pag. 19.100.004). Die Beschuldigte hat den Vorwurf der Täterschaft von sich gewiesen (BA pag. 13-01-0116 f.; BA pag. 13-01-0144; CAR pag. 7.401.015). Am 18. Dezember 2012 wurde zudem ein «Phishing»-Anruf vom Sicherheitsdienst der Bank B. aufgezeichnet (BA pag. 10-02-0170). Die Vorinstanz schenkte den Bestreitungen der Beschuldigten keinen Glauben und sieht die Täterschaft der Beschuldigten in allen Anklagepunkten als erstellt. So hat die Beschuldigte denn auch anlässlich der Berufungsverhandlung anerkannt, dass sie dieses Telefongespräch geführt hat (BA pag. 7- 401-015; vgl. auch BA pag. 13-01-0017; BA pag. 13-01-0144, CAR pag. 7.401.015). Die Vorinstanz führt aus, es sei erwiesen, dass der «Boss» bzw. Komplize der Beschuldigten, QQQQ., am 17. Dezember 2012 im Hotel EE. in Y. eingecheckt habe. Die «Phishing»-Fälle seien unmittelbar nach dessen Ankunft am 18./19. Dezember 2012 in Y. begangen worden. Es sei auffällig, dass die Beschuldigte an diesen Tagen Ferien gehabt habe. Aufgrund der zeitlichen Koinzidenz könne als erstellt gelten, dass die Beschuldigte den arbeitsfreien Tag genutzt habe, um mit QQQQ. in Y. zu «phishen». Ein Geschädigter habe sich sodann an den Namen «Meier» der angeblichen Bankangestellten am Telefon erinnern können, welcher der Beschuldigten zuzuordnen sei. Somit sei die Täterschaft der Beschuldigten in all denjenigen Fällen erstellt, welche einen Konnex zu diesem Fall aufwiesen. Aufgrund der übereinstimmenden Konfigurationen des für die unbefugten Geldüberweisungen verwendeten Computers und der IP-Adressen sei dies in den «Fällen 3-5» und im «Fall 7» der Fall (Urteil SK.2020.35 E. 4.4.5.2 «Fälle 3-7»). b) Grundlage der hier zu untersuchenden Anklagevorwürfe bildet zunächst die Tatsache, dass sich sämtliche «Phishing»-Angriffe innerhalb von zwei Tagen (18. Dezember 2012 und 19. Dezember 2012) ereignet haben. Das ist aktenmässig ausreichend dokumentiert und wird von der Beschuldigten auch nicht in Abrede gestellt. Der Vorinstanz ist im Weiteren darin zu folgen, dass in Anbetracht der für die einzelnen Vorfälle ermittelten Tatumstände von einer Tatserie auszugehen ist. Übereinstimmungen hinsichtlich der einzelnen Tatmerkmale konnten in einem qualitativen und quantitativen Ausmass ermittelt werden, das diese Schlussfolgerung geradezu aufdrängt. Die Vorinstanz hat sich dazu einlässlich geäussert und zu Recht darauf hingewiesen, dass entweder die Konfiguration

- 30 der eingesetzten Computer oder die ihnen im Internet vermittelte IP-Adressen oder gleich beide Eigenschaften in zahlreichen «Phishing»-Vorfällen identisch waren. Besonders hervorzuheben ist, dass die am 18. Dezember 2012 zwischen 11:27 Uhr und 14:15 Uhr durchgeführten «Phishing»-Angriffe von einem Computer mit der gleichen Konfiguration aus erfolgten (BA pag. 10-02-0130), wobei in zwei Fällen beim Login in das Online-Banking-Portal der Bank die gleiche IP- Adresse registriert wurde (BA pag. 10-02-0123). Als relevant wirkt sich sodann aus, dass die beim «Phishing»-Angriff am 19. Dezember 2012 («Fall 7») in Form der IP-Adresse gespeicherte Verbindung mit derjenigen von zwei «Phishing»- Angriffen übereinstimmte, die einen Tag zuvor am 18. Dezember 2012 begangen wurden (BA pag. 10-02-0129). Damit steht fest, dass die einzelnen «Phishing»- Angriffe von den selben Tätern begangen worden sein müssen. Es ist durch die Erkenntnisse aus der von der Kantonspolizei Y.-Stadt durchgeführten Hotelkontrolle zudem nachgewiesen, dass am 17. Dezember 2012 und damit noch vor dem fraglichen Deliktzeitraum mit QQQQ. ein Komplize der Beschuldigten im Hotel «EE.» in Y. eingecheckt hatte (BA pag. 10-02-0106). Demnach ist davon auszugehen, dass die als Anklagesachverhalte «Fälle 3-7» zu beurteilenden «Phishing»-Angriffe der Tätergruppierung beizuordnen sind, welcher die Beschuldigte angehörte. c) Es ist unbestritten und anhand der entsprechenden Tonaufnahme auch nicht zu bestreiten, dass die Beschuldigte am Dienstag, 18. Dezember 2012 einen «Phishing»-Anruf mit einem Mitarbeiter der Bank B. geführt hat, der sich als vermeintlicher Bankkunde ausgab (BA pag. 10-02-0170; Anklagesachverhalt «Fall 61»). Nach diesem Telefonat wurde um 09:35 Uhr ein Zugriff auf das von der Bank B. erstellte fiktive Konto festgestellt (BA pag. 10-02-0170). Es handelte sich dabei um den zeitlich frühesten «Phishing»-Vorfall, der sich am 18. Dezember 2012 zugetragen hat. Damit ist erstellt, dass die Beschuldigte sich an jenem Tag zusammen mit mindestens einem ihrer Komplizen am Tatort aufgehalten hat. Der Geschädigte JJ. (Anklagesachverhalt «Fall 6») erklärte gegenüber den Strafverfolgungsbehörden, dass er von einer unbekannten Frau angerufen worden sei, die sich als «Frau Meier» vom Sicherheitsdienst der Bank B. ausgegeben und mit «[…]dialekt» gesprochen habe (Rapport der Kantonspolizei Bern vom 18. Dezember 2012 [BA pag. 15-02-0002; BA pag. B10-02-01-0060]). Mit der Vorinstanz ist aufgrund der zuverlässigen und die Beschuldigten identifizierenden Angaben des Geschädigten zu schliessen, dass sie den entsprechenden «Phishing»-Anruf gemacht hat. Gemäss den Logfile-Daten der Bank B. wurde von der Täterschaft um 11:27 Uhr auf den Account zugegriffen und um 11:36 Uhr eine Überweisung veranlasst (BA pag. B10-02-01-0062). Der zeitliche Konnex zum rund eine Stunde zuvor von der Beschuldigten geführten Telefongespräch mit dem Sicherheitsmitarbeiter der Bank B. ist evident. Angesichts der Dauer dieses der Beschuldigten an der Berufungsverhandlung erneut vorgehaltenen

- 31 - Gesprächs (CAR pag. 7.401.015) verkürzt sich der zeitliche Abstand zum «Phishing»-Angriff auf den Geschädigten JJ. noch weiter. In ähnlicher Kadenz erfolgte dann bereits der nächste «Phishing»-Angriff, wurde doch bereits um 12:00 Uhr vom Konto des Geschädigten GG. (Anklagesachverhalt «Fall 3) eine unautorisierte Transaktion ausgelöst (BA pag. B10-02-01-0027). Die weiteren «Phishing»-Angriffe ereigneten sich am 18. Dezember 2012 in einem zeitlichen Abstand von höchstens einer Stunde (BA pag. B10-02—01-0031 [Anklagesachverhalt «Fall 4»]; BA pag. B10-02-01-0039 [Anklagesachverhalt «Fall 5»]). d) Aus den vorstehenden Überlegungen ergibt sich, dass die «Phishing»-Angriffe vom Dienstag, 18. Dezember 2012 und vom Mittwoch, 19. Dezember 2012 aufgrund ihres engen Sachkonnexes und der direkt zu ihr als Täterin führenden Indizien der Beschuldigten anzurechnen sind. An diesem Beweisergebnis vermögen auch die Aussagen der Beschuldigten nichts zu ändern. Sie führte an der Berufungsverhandlung etwa aus, dass sich auf den angeblich zwischen den «Telefonistinnen» zirkulierenden Anruflisten zahlreiche Bemerkungen (erfolgte Anrufe und Anrufversuche / gewünschte Termine für Anrufe) befunden hätten. Nach dieser Darstellung müsste somit im Grund innert kürzester Zeit die Übergabe an die nachfolgende «Telefonistin» bewerkstelligt worden sein, wobei dabei auch noch diverse Angaben auf der Liste der anzurufenden Personen hätten aktualisiert werden müssen. Es erscheint als völlig unrealistisches Szenario, dass in derart geringer zeitlicher Abfolge eine andere «Telefonistin» als die Beschuldigte operiert haben könnte, auf welche darüber hinaus noch die identischen Charakteristika zutreffen. Die Beschuldigte hat denn auch keinerlei konkrete Angaben dazu gemacht, um wen es sich bei dieser angeblichen Drittperson gehandelt haben könnte. Dass sie stets angegeben hat, sich nie im Hotel «EE.» in Y. aufgehalten zu haben (vgl. BA pag. 13-01-0117) könnte sie selbst dann nicht wesentlich entlasten, wenn das zutreffend wäre. Es konnte nicht rekonstruiert werden, von welchem Tatort genau die «Phishing»-Angriffe verübt wurden. Unbehelflich sind auch ihre Schilderungen, wonach sie im November/Dezember 2012 sich einmal mit «diesen Leuten» getroffen habe, um zunächst zuzuhören und dann ihr erstes «Phishing»-Telefon zu machen (BA pag. 13-01-0117). Nachdem feststeht, dass die Beschuldigte bereits im November 2012 in «Phishing»-Aktivitäten verwickelt war, kann sich diese Aussage nicht auf die im Dezember 2012 erfolgten «Phishing»-Angriffe bezogen haben. e) Würdigt man die angeführten Indizien und Sachumstände gesamthaft, bestehen keine im Sinne von Art. 10 Abs. 3 StPO unüberwindlichen Zweifel an der Täterschaft der Beschuldigten bezüglich der Anklagevorwürfe «Fälle 3-7». Die Anklagesachverhalte sind rechtsgenügend erstellt.

- 32 - 1.2.5.3 Anklagesachverhalt «Fall 8» a) Der Anklagesachverhalt «Fall 8» befasst sich mit dem Vorwurf, die Beschuldigte habe sich am Donnerstag, 27. Dezember 2012 an einem «Phishing»- Angriff zum Nachteil der Geschädigten LL. und MM. beteiligt (TPF pag. 19.100.004). Die Beschuldigte hat ihre Täterschaft weder anerkannt noch kategorisch verneint, sondern dem Sinne nach angegeben, dass sie sich nicht mehr erinnern könne (BA pag. 13-01-0144; CAR pag. 7.401.016). Im angefochtenen Urteil wird der Sachverhalt zusammen mit den als «Fall 9» und «Fall 10» zur Anklage gebrachten «Phishing»-Angriffen geprüft und unter Querbezügen zu weiteren Anklagevorwürfen als erstellt erachtet. Soweit den vorliegend zu beurteilenden Anklagesachverhalt betreffend, erwägt die Vorinstanz, dass die Beschuldigte zum Tatzeitpunkt von der Arbeit frei genommen habe. Die Geschädigte TTTT. habe sich explizit an den Namen «Meier» der angeblichen Bankangestellten am Telefon erinnern können. Dies spreche für die Täterschaft der Beschuldigten, da ausschliesslich sie sich mit diesem Aliasnamen gemeldet habe. Aufgrund der zusätzlich übereinstimmenden Gerätekonfiguration der bei diesem «Phishing»-Angriff und demjenigen vom 19. Dezember 2012 verwendeten Computer sei die Täterschaft der Beschuldigten zweifelsfrei erstellt (Urteil SK.2020.35 E. 4.4.5.2 «Fälle 8-10»). b) Betreffend den Anklagevorwurf «Fall 8» fielen in der Strafuntersuchung vergleichsweise wenig aufschlussreiche Erkenntnisse an. Der «Phishing»-Angriff vom 27. Dezember 2012 präsentiert sich aus zeitlicher Perspektive als isolierter Vorfall, der sich in keine eigentliche Deliktsserie einreihen lässt. Sowohl am 27. Dezember 2012 wie auch an unmittelbar vorangehenden und nachfolgenden Tagen wurden keine weiteren «Phishing»-Angriffe verzeichnet. Damit lässt sich von Vornherein auch kein enger Konnex feststellen, der allenfalls indiziell für die Täterschaft der Beschuldigten sprechen würde. Fest steht im Grunde nur, dass die Täterschaft sich am 27. Dezember 2012 in missbräuchlicher Weise in das E- Banking-Konto der Geschädigten LL. und MM. eingeloggt und eine unbefugte Überweisung in Auftrag gegeben hat (BA pag. B10-02-01-0120). Verschiede wesentliche Tatumstände sind unbekannt geblieben. Weder konnte der Ort lokalisiert werden, wo die Täter gehandelt haben, noch konnte zweifelsfrei eine Rufnummer eruiert werden, von welcher aus der «Phishing»-Anruf erfolgt sein soll. Durch die Geschädigten konnte bei ihrem Telekommunikationsanbieter zwar eine Rufnummer in Erfahrung gebracht werden (BA pag. B10-02-01-0101; BA pag. B10-02-01-0111), doch wurden in dieser Hinsicht – soweit ersichtlich – keine weiteren Ermittlungen getätigt. Festgestellt werden konnte die Konfiguration des Computers, der im Rahmen des «Phishing»-Angriffs verwendet wurde (BA pag. B10-02-01-0120). Die Vorinstanz weist zutreffend darauf hin, dass diese Gerätekonfiguration identisch ist mit derjenigen des Computers, der bei

- 33 einem «Phishing»-Angriff am 19. Dezember 2012 (Anklagesachverhalt «Fall 7») zum Einsatz kam. Inwiefern dieser technische Befund jedoch spezifisch auf die Täterschaft der Beschuldigten hindeuten müsste, wird nicht begründet und erscheint angesichts des zeitlichen Abstandes zwischen den beiden Vorfällen von mehr als einer Woche auch nicht auf der Hand zu liegen. Die von der Vorinstanz im Übrigen thematisierten Übereinstimmungen bezüglich Rufnummern und Antennenstandorten bei den «Phishing»-Angriffen vom 9. Januar 2013 (Anklagesachverhalt «Fall 9») und vom 15. Januar 2013 (Anklagesachverhalt «Fall 10») sowie die Inbezugsetzung zu einem zeitlich noch späteren «Phishing»-Vorfall (Anklagesachverhalt «Fall 22» [begangen am 12. Februar 2013]) sind hinsichtlich der Täterschaft des vorliegend in Frage stehenden «Phishing»-Angriffs wenig aussagekräftig und daher kaum hilfreich. Die von der Vorinstanz herangezogenen Argumente sind insofern nicht überzeugend. c) Was die weiteren belastenden Aspekte betrifft, wird in der vorinstanzlichen Entscheidbegründung auf die Verwendung des Aliasnamens «Meier» und darauf hingewiesen, dass die Beschuldigte zum Tatzeitpunkt am 27. Dezember 2012 nicht gearbeitet habe. Im Berufungsverfahren wendet die Beschuldigte dazu einmal ein, dass die Geschädigte MM. von einer sich als «Frau Meier» ausgebenden und «Zürcher Dialekt» sprechenden Person berichtet habe (CAR pag. 7.300.003). Der Einwand ist berechtigt, wenngleich der Verteidigung bei der Referenzierung der verwiesenen Aktenstelle (BA pag. 15-08-0004) ein Versehen unterlaufen sein dürfte. In der Sache ist jedenfalls zutreffend, dass die Geschädigte MM. betreffend den «Phishing»-Vorfall vom 27. Dezember 2012 in ihrer Einvernahme durch die Zuger Polizei angegeben hat, sie sei von einer «Frau Meier» angerufen worden, welche einen «Zürcher Dialekt» gesprochen habe (BA pag. 15-08-0029 f.). Dies wurde auch im Nachtragsbericht der Bundeskriminalpolizei vom 15. August 2019 so festgehalten (BA pag. 10-02-0167). Die von der Verteidigung darauf aufmerksam gemachte Vorinstanz (vgl. TPF pag. 19.721.022) schweigt sich dazu aus. Dass die Geschädigte – wie im zitierten Ermittlungsbericht vermutet wird (BA pag. 10-02-0167) – bloss einer Verwechslung unterlegen sein könnte, ist eine nur spekulativ zu treffende Annahme. Es muss gegenteils als entlastend gewürdigt werden, dass die Geschädigte die von der Anruferin gesprochene Mundart gerade nicht als «[…]deutsch» beschrieben hat. Ebenfalls nicht nachvollziehbar ist, weshalb die Vorinstanz ausführt, die Beschuldigte habe sich für den Tatzeitpunkt von der Arbeit frei genommen, und wie sie diese Feststellung bei der Beweiswürdigung zu ihren Ungunsten berücksichtigt. Aus der bei der Arbeitgeberin SSSS. edierten Zeitnachweisliste ergibt sich, dass die Beschuldigte am 27. Dezember 2012 zwischen 09:30 Uhr und 12:00 Uhr sowie von 12:38 Uhr bis 18:17 Uhr gearbeitet hat (BA pag. 07-04-00- 0012). Gemäss den zur fraglichen Session erhobenen Login-Daten erfolgte der unautorisierte Zugriff auf das E-Banking-System am 27. Dezember 2012 um

- 34 - 09:23:56 (BA pag. B10-02-01-0092 [Angabe unter der Rubrik «Open Session»). Angesichts der ihr vorgeworfenen Funktion müsste die Beschuldigte zu diesem Zeitpunkt noch am Tatort anwesend gewesen sein. Aufgrund der zeitlichen Verhältnisse müsste die Beschuldigte danach den Tatort verlassen und nur rund 6 Minuten später am Arbeitsort eingetroffen sein. Da der Tatort nicht exakt bestimmt werden konnte («Umgebung von Y.» [TPF pag. 19.100.004]), muss zugunsten der Beschuldigten angenommen werden, dass es ihr nicht möglich war, die Distanz zwischen Tatort und Arbeitsort innert dieser kurzen Zeit zurückzulegen. Mehr oder andere belastende Erkenntnisse, die zum Nachweis der Täterschaft der Beschuldigten ausreichen würden, liegen nicht vor. d) Insgesamt verbleiben bei objektiver Betrachtung erhebliche und nicht zu unterdrückende Zweifel an der Täterschaft der Beschuldigten im als «Fall 8» angeklagten «Phishing»-Angriff. In Anwendung des Grundsatzes «in dubio pro reo» ist die Beschuldigte von diesem Vorwurf freizusprechen. 1.2.5.4 Anklagesachverhalte «Fälle 9-20» a) Der Beschuldigten wird in den Anklagesachverhalten «Fälle 9-18» einerseits vorgeworfen, sich am Dienstag, 9. Januar 2013 sowie am Dienstag, 15. Januar 2013 und am Mittwoch, 16. Januar 2013 an einer Vielzahl von «Phishing»- Angriffen auf Konten von mehreren Kunden der Bank B. beteiligt zu haben (TPF pag. 19.100.004). Die der Beschuldigten weiter angelasteten Anklagesachverhalte «Fälle 19 und 20» beinhalten andererseits zwei «Phishing»-Angriffe, welche durch eine am Mittwoch, 23. Januar 2013 («Fall 19») und am Donnerstag, 31. Januar 2013 («Fall 20») ausgelöste Geldüberweisung abgeschlossen wurden (TPF pag. 19.100.005 f.). Die Beschuldigte hat diesbezüglich jede Schuld von sich gewiesen (BA pag. 13-01-0116; BA pag. 13-01-0144). Die Vorinstanz hat diese Anklagevorwürfe separat behandelt und als Erstes den als «Fall 10» rubrizierten Anklagesachverhalt zusammen mit dem als «Fall 9» zur Anklage gebrachten «Phishing»-Angriff geprüft. Diesbezüglich hält die Vorinstanz im Wesentlichen fest, die Antennenstandorte hätten im «Fall 9» und im «Fall 10» übereingestimmt. Zudem seien die im «Fall 10» und im «Fall 11» verwendete SIM- Karte ausschliesslich von der Beschuldigten benutzt worden, weshalb ihre Täterschaft zweifelsfrei erstellt sei (Urteil SK.2020.35 E. 4.4.5.2 «Fälle 8-10»). Anschliessend wendet sich die Vorinstanz den Anklagesachverhalten «Fälle 11-18» zu und verweist darauf, dass die Beschuldigte zum Tatzeitpunkt am Mittwoch, 16. Januar 2013 von der Arbeit frei genommen habe. Die Geschädigten im «Fall 11» und im «Fall 12» hätten sich an den Aliasnamen «Meier» erinnern können, welchen nur die Beschuldigte verwendet habe. Deshalb seien der Beschuldigten auch alle übrigen Fälle zuzurechnen, welche einen Konnex zu diesen beiden Fällen aufweisen würden. In sämtlichen Fällen seien die gleiche SIM-

- 35 - Karte/Rufnummer benutzt worden, welche ausschliesslich von der Beschuldigten verwendet worden sei. Ausserdem sprächen die identischen IP-Adressen im «Fall 11», im «Fall 12» und im «Fall 16» dafür, dass die Beschuldigte als «Telefonistin» tätig gewesen sei. Zudem seien die Gerätekonfigurationen in den «Fällen 11, 12 und 15-17» identisch wie im «Fall 20», bei welchem sich die Beschuldigten beim «Voice-Phishing» mit «Frau Meier» gemeldet habe. Überdies sei in den «Fällen 9-10» und im «Fall 26» die für die telefonische Beschaffung der E- Banking-Zugangsdaten verwendete Rufnummer «Tel.nr. 2» identisch, welche ausschliesslich von der Beschuldigten verwendet worden sei. Diese fallübergreifende Übereinstimmung der Indizien spreche klar für die Täterschaft der Beschuldigten (Urteil SK.2020.35 E. 4.4.5.2 «Fälle 11-18»). Für die Täterschaft der Beschuldigten in den Anklagesachverhalte «Fälle 19 und 20» schliesslich spreche, dass sie zum Tatzeitpunkt am 23. Januar 2013 sowie am 31. Januar 2012 Ferien bzw. arbeitsfrei gehabt und sich im «Fall 20» als «Frau Meier» gemeldet habe. Sie habe die gleiche Rufnummer verwendet, wie in den «Fällen 9-18», bei welchem ihre (Mit-)Täterschaft nachgewiesen sei. Die im «Fall 19» verwendete SIM- Karte/Rufnummer sei ausserdem ausschliesslich von der Beschuldigten benutzt worden. Ein weiteres gewichtiges Indiz zum Nachweis ihrer «Phishing»-Anrufe sei zudem, dass die Gerätekonfiguration im «Fall 19» die gleiche sei wie im «Fall 24», bei welchem sie mit dem Aliasnamen «Frau Meier» als «Telefonistin» agiert habe, welche ihr zuzuordnen sei. Die Gerätekonfiguration im «Fall 20» sei dieselbe wie im «Fall 12», bei welchem sich die Beschuldigte ebenfalls mit «Frau Meier» gemeldet habe. Beweismässig sei daher zweifelsfrei erstellt, dass die Beschuldigte in den «Fällen 19 und 20» «gephisht» habe (Urteil SK.2020.35 E. 4.4.5.2 «Fälle 19 und 20»). b) In Bezug auf den vorliegend zu betrachtenden Anklagekomplex fällt zunächst auf, dass von den insgesamt elf «Phishing»-Attacken deren neun («Fälle 10-18») an zwei aufeinanderfolgenden Tagen (Dienstag, 15. Januar 2013 und Mittwoch, 16. Januar 2013) begangen wurden. Alleine für den 16. Januar 2013 wurden den Strafverfolgungsbehörden insgesamt zehn «Phishing»-Angriffe zur Kenntnis gebracht, die sich zwischen 09:58 Uhr und 17.09 Uhr ereignet haben. Anhand der Erkenntnisse aus den rückwirkend erhobenen Verbindungsnachweisen lässt sich unschwer nachzeichnen, dass alle Geschädigten in den Anklagesachverhalten «Fälle 9-19» von der Rufnummer «Tel.nr. 2» aus angerufen wurden (BA pag. 10-02-0108). Alle diese Anrufe lassen sich von ihrer Dauer her als «Phishing»-Anrufe erkennen, wobei beim Abgleich mit der unbefugten Auslösung der Kontoüberweisung stets eine zeitliche Parallelität festzustellen ist (BA pag. B10.02-01-0124; BA pag. B10-02-01-0140; BA pag. B10-02-01-0146; BA pag. B10-02-01-0155; BA pag. B10-02-01-0159; BA pag. B10-02-01-0174; BA pag. B10-02-01-0192; BA pag. B10-02-01-0196; BA pag. B10-02-01-0217; BA pag. B10-02-01-0239; Datei «[…].xls» in den rückwirkenden Verbindungsdaten).

- 36 - Die verwendeten Rufnummern sind schliesslich auch der Schlüssel zum Verständnis des zeitlichen Konnexes zu den Anklagesachverhalten «Fall 9» und «Fall 10» sowie von «Fall 19» und «Fall 20». Vom Tätertelefon mit der Rufnummer «Tel.nr. 2» erfolgte am 9. Januar 2013 um 12:04 Uhr ein Anruf auf den Festnetzanschluss des Geschädigten NN. (BA pag. 15-09-0001; BA pag. B10-02-01- 0124; Datei «[…].xls» in den rückwirkenden Verbindungsdaten). Bereits um 12:09 Uhr loggte sich die Täterschaft am 9. Januar 2013 im Online-Banking-Account ein (BA pag. B10-02-01-0124). Am 15. Januar 2013 um 08:21 Uhr wurde die Geschädigte OO. angerufen, wobei unbefugter Zugriff und betrügerische Transaktion wenige Minuten später erfolgten (BA pag. 15-10-0001; BA pag. B10- 02-01-0128; Datei «[…].xls» in den rückwirkenden Verbindungsdaten). Von der gleichen Rufnummer aus wurde am 16. Januar 2013 um 09:25 Uhr die Rufnummer des Geschädigten BBB. («Fall 19») angewählt (Datei «[…].xls» in den rückwirkenden Verbindungsdaten). Auch wenn die betrügerische Transaktion von dessen E-Banking-Account erst am 23. Januar 2013 veranlasst wurde (BA pag. B10-02-01-0244), muss der «Phishing»-Angriff in den gleichen zeitlichen Zusammenhang gestellt werden. Auch der Geschädigte I. («Fall 20») wurde am 16. Januar 2013 um 12:07 Uhr von der von der Täterschaft benutzten Rufnummer aus angerufen (Datei «[…].xls» in den rückwirkenden Verbindungsdaten). Am 31. Januar 2013 um 17:12 Uhr wurde der Geschädigte sodann von der ebenfalls von der Täterschaft benutzten Rufnummer «Tel.nr. 3» angerufen (Datei «[…].xls» in den rückwirkenden Verbindungsdaten). An eben diesem Tag erfolgte um 17:17 Uhr von dessen Konto eine unbefugte Überweisung (BA pag. B10-02-01-0258). Deshalb lässt sich die Urheberschaft für diesen «Phishing»-Angriff ebenfalls eindeutig der Tätergruppierung um die Beschuldigte zuschreiben. Damit stehen auch die Anklagesachverhalte «Fall 10», «Fall 19» und «Fall 20» in einem direkten zeitlichen Bezug zu den übrigen Fällen. c) Darüber hinaus hat die Vorinstanz in korrekter Weise eine Vielzahl von Indizien angeführt, welche den Schluss bekräftigen, dass mit den «Phishing»-Angriffen vom 15. Januar 2016 und vom 16. Januar 2016 eine eigentliche Deliktsserie vorliegt. Dazu zählt vorab der Umstand, dass die von der Täterschaft benutzten Mobiltelefone während allen «Phishing»-Anrufen mit der gleichen Mobilfunkantenne verbunden waren (BA pag. 10-02-0172 f.). Daraus ist ohne Weiteres zu folgern, dass die Delikte am gleichen Ort begangen wurden. Sodann ist auf die Verwendung von identischem Computergeräten bei der Verschaffung des unautorisierten Zugangs zu den verschiedenen Onlinebanking-Accounts hinzuweisen. Lediglich in zwei der zu beurteilenden Fälle (Anklagesachverhalte «Fall 10» und «Fall 13») wiesen die Geräte eine Konfiguration auf, die mit derjenigen von anderen «Phishing»-Angriffen nicht übereingestimmt hat. Bei einem «Phishing»-Angriff (Anklagesachverhalt «Fall 19») waren die benutzten Computer nach deren Konfiguration die gleichen, wie sie bei zwei rund einen Monat

- 37 später durchgeführten «Phishing»-Angriffen (Anklagesachverhalte «Fall 21» vom 12. Februar 2013 und «Fall 24» vom 13. Februar 2013) festgestellt wurden. Überwiegend wurden die hier zu betrachtenden Delikte jedoch unter Verwendung der gleichen Geräte begangen. Eine identische Gerätekonfiguration wurde bei sechs «Phishing»-Angriffen registriert (Anklagesachverhalte «Fall 11», «Fall 12», «Fall 15», «Fall 16», «Fall 17» und «Fall 20» [BA pag. 10-02-0130]). Zwei weiteren «Phishing»-Angriffen konnte eine weitere übereinstimmende Gerätekonfiguration zugeordnet werden (Anklagesachverhalte «Fall 14» und «Fall 19» [BA pag. 10-02-0130]). Die am häufigsten verwendete Gerätekonfiguration fiel bereits bei einer zeitlichen früheren Deliktsserie auf (Anklagesachverhalte «Fälle 3-6» [BA pag. 10-02-0130]; vgl. dazu die vorstehende Erwägung II./A.1.5.2.1). Überdies wurde bei der technischen Auswertung der «Phishing»- Angriffe anhand der erhobenen IP-Adresse festgestellt, dass mehrere Zugriffe auf das Online-Banking-Portal der betroffenen Bank vom gleichen Anschluss erfolgt sind. Bei den «Phishing»-Angriffen vom 16. Januar 2013 um 09:58 Uhr (Anklagesachverhalt «Fall 11») und vom 16. Januar 2013 um 10:17 Uhr (Anklagesachverhalt «Fall 12») wurde ebenso der gleiche Nutzer identifiziert wie bei den gleichentags um 15:08 Uhr (Anklagesachverhalt «Fall 16») und um 17:09 Uhr (Anklagesachverhalt «Fall 18») durchgeführten «Phishing»-Angriffen (BA pag. 10-02-0129; insofern unzutreffend die vorinstanzliche Erkenntnis, wonach die IP-Adresse auch beim «Phishing»-Angriff vom 16. Januar 2013 um 15:35 Uhr identisch gewesen sei). Angesichts der eher kurzen zeitlichen Abstände zwischen diesen «Phishing»-Angriffen müssen diese innerhalb der gleichen Internetsession und damit von der gleichen Täterschaft begangen worden sein. Es kann als ausgeschlossen gelten, dass innerhalb von solchen Zeiträumen die gleiche IP-Adresse bereits an einen anderen Internetnutzer vergeben wurde, der dann seinerseits auf das Online-Banking-System der Bank B. zugegriffen hat. d) Im Lichte des vorstehend Ausgeführten steht fest, dass die «Phishing»-Angriffe in den Anklagesachverhalten «Fälle 10-20»