Ein Angestellter einer kantonalen Verwaltungsdirektion im Kanton Waadt nutzte im Herbst 2018 eine bekannte Sicherheitslücke im Oracle-System seines Arbeitgebers aus. Mithilfe eines Skripts verschaffte er sich sogenannte Administratorrechte – also erweiterte Zugriffsrechte, die ihm nicht zustanden – und installierte anschliessend ein Softwareprogramm zur Fernzugriffsverwaltung. Für eine solche Rechteerweiterung wäre eigentlich eine formelle Anfrage beim IT-Dienst nötig gewesen. Diesen Weg umging der Angestellte bewusst.
Das Waadtländer Kantonsgericht verurteilte ihn unter anderem wegen unbefugten Zugriffs auf ein Computersystem zu einer Freiheitsstrafe von neun Monaten. Der Angestellte zog den Fall ans Bundesgericht und argumentierte, er habe lediglich auf seinen eigenen Arbeitsrechner zugegriffen und keine Daten gestohlen oder das System beschädigt. Das Bundesgericht wies diese Argumentation zurück. Entscheidend sei nicht, auf welchem physischen Gerät er gehandelt habe, sondern dass er in einen abgeschotteten Bereich des Computersystems eingedrungen sei, zu dem er keinen Zugang gehabt habe.
Die Richter in Lausanne hielten fest, dass ein Computersystem auch aus verschiedenen virtuellen Teilbereichen bestehen kann, die jeweils unterschiedlichen Personengruppen vorbehalten sind. Der Bereich, in dem Systemtreiber installiert werden können, war ausschliesslich Personen mit Administratorrechten zugänglich. Indem der Angestellte eine Sicherheitslücke ausnutzte, um sich diese Rechte zu verschaffen, habe er eine Zugangssperre umgangen – unabhängig davon, ob er dabei böswillige Absichten verfolgte oder lediglich Zeit sparen wollte.
Einzig in einem Nebenpunkt gaben die Bundesrichter dem Angestellten recht: Das Kantonsgericht hatte nicht ausreichend begründet, wie es die Verfahrenskosten und allfällige Entschädigungen im Zusammenhang mit einem früheren, teilweise eingestellten Verfahren berechnet hatte. In diesem Punkt wurde der Fall zur Neubeurteilung an die Vorinstanz zurückgewiesen. Die Verurteilung wegen unbefugten Systemzugriffs bleibt hingegen rechtskräftig.
