Natürlich, aber das setzt schon mal vorraus, dass man überhaupt auf dem Radar erscheint. Das ist in kleinem Kreis nahezu ausgeschlossen.
Wenn du erwischt wirst, weil ein PayServer deine Daten gespeichert hast, mag das anders aussehen, aber da ist ja auch eine klare Grenze überschritten. Hier machen sich die Kunden zweifelsohne strafbar. Aber auch hier wird nicht an die Kunden herangetreten, einfach, weil der Aufwand zu groß wäre und die Erfolgschancen enorm gering sind. IP-Logs sind nach wenigen Tagen wertlos und solche Ermittlungen ziehen sich hin. Da kommt nichts bei raus.