Wieder ist ein Coup gelungen. Wieder zeigte sich die Underground Economy erstaunt. Wieder wurde ein zweistelliger Millionenbetrag in Kryptowährungen gesichert.
Am 15. März 2023 nahmen die Zentralstelle zur Bekämpfung der Internetkriminalität (ZIT) und das Bundeskriminalamt (BKA) den weltweit größten, im Darknet gelegenen Krypto-Mixing-Dienst „ChipMixer“ vom Netz (Tagesspiegel Background berichtete).
Wer dann noch die Plattform besuchte, um seine Kryptowährungen zu mixen, sie der Rückverfolgbarkeit ein Stück weit entziehen wollte, der wurde enttäuscht. Was blieb, war eine Startseite, die darüber informierte, dass die Plattform und der kriminelle Inhalt beschlagnahmt wurden. Und zwei Hände in Gummihandschuhen, die das ChipMixer-Logo gründlich sauber machten. Mit Meister Proper bei den Geldwäschern: Wir schlagen sie mit ihren eigenen Mitteln.
Das Seizure Banner
Es steht für harte Arbeit, für schlauer sein als die anderen. Es steht für einen Etappensieg im Spiel von Räuber & Gendarm reloaded: das Seizure Banner.
Aber was muss alles zusammenkommen, bis der Vorhang einer Plattform fällt und diese neue Startseite hochgezogen wird? Die Begrifflichkeit zeigt, was es meint: das Hissen der Fahne des Siegers. Sie versinnbildlichen einen Sieg und das Vondannenziehen der Gegnerschaft. Das Seizure Banner ist nicht nur das Spiel mit der Macht. Es ist auch das Spiel mit dem Medium.
Man kann Daten nicht anfassen. Immer wieder werden für Cybercrime-Reportagen gute Hintergründe gesucht. Die gibt es aber nicht. Ein Seizure Banner hochzuladen ist der Moment, auf den lange hingearbeitet wird. In meiner Arbeitswelt können wir mit Hinweisschildern für Tatorte nichts anfangen. Keiner entrollt Absperrbänder in rot-weiß gestreift. Keiner winkt interessierte Passanten weiter. Das Seizure Banner ist die Trophäe der Strafverfolgung im Cyberraum. Sie hat ein wenig Ewigkeitscharakter. Aber sie soll ein bildliches Zeichen setzen.
Wenige Tage vor einem Takedown ist die Anspannung am Größten. Wie bei jeder anderen Projektarbeit kommen in solchen Tagen oft noch große Fragen auf, der Bitcoin-Kurs wird angespannt verfolgt, wie auch die Kommunikation im Netz. Täter können uns immer überrumpeln, sie können beginnen, Gelder zu bewegen oder ihre Infrastruktur. Zwischen der greifbaren Möglichkeit eines nächsten großen Erfolgs und der Nichtausschließbarkeit eines Misserfolgs werden Nervenstränge strapaziert. Der Take Down von „Wall Street Market“, einem der größten Ermittlungserfolge der vergangenen Jahre, hing am seidenen Faden, als die Administratoren begannen, große Kryptobestände zu bewegen und einen Exit Scam durchführten. Unsere Zeitplanung? Dahin. Dafür tagelanges Durcharbeiten an den Ostertagen 2019. Es langte.
Die Häme mit der Hybris
Als im April 2022 „Hydra Market“ als damals weltweit größter Darknet-Marktplatz vom Netz genommen wurde, sah man auf der Startseite des Marktplatzes die dreiköpfige Hydra in Handschellen gelegt (Tagesspiegel Background berichtete). Schon im Jahr 2017 ging das Logo-Schiff von „Hansa Market“, einem der sehr erfolgreichen Vorgänger von Hydra Market, im Ozean unter. Wall Street Market? Ein schlichtes Seizure Banner, es war keine Zeit für das Spiel mit dem Selbstverständnis der Täter. Sonst hätten wir vielleicht noch den Börsencrash draufgemalt. Aber nun wird ja beim weltweit größten Geldwäschedienst gründlich sauber gemacht.
Die Häme mit der Hybris solcher Marktplätze, die sich selbstbewusst über ihre Logos präsentieren, ist Sinnbild einer neuen Art der Strafverfolgung.
Das Seizure Banner ersetzt keine Handschellen
Sie übermittelt aber noch eine weitere wichtige Nachricht: Denn sie lenkt die Aufmerksamkeit auf die Plattform. Nicht auf die Täter. Phantombilder der Administratoren findet man auf ihnen nicht. Anders formuliert: Das Seizure Banner ersetzt keine echten Handschellen.
Unsere Ermittlungserfolge werden stellenweise begleitet durch den Zusatz „Tatverdächtige konnten nicht festgenommen werden“. Klingt wie ein Tadel.
Haben wir unsere Hausaufgaben nicht ordentlich gemacht? Nicht gründlich genug nachgesehen? Geht es nur noch um das Geld?
Als ich vor sechs Jahren von einer Wirtschaftsstaatsanwältin zu einer Cyberstaatsanwältin wurde, war das eine bewusste Entscheidung dafür, meine Robe häufiger im Schrank hängen zu lassen. Ermittlungsrichterinnen und -richter kennen uns gut. Und unsere Anträge auf strafprozessuale Maßnahmen, die zwar genauso im Gesetz stehen, aber sich doch so anders präsentieren als bei Ermittlungen zu einem Gewaltverbrechen oder bei der Steuerhinterziehung. Bei den Gerichten der Hauptsache sieht das schon anders aus, da sind wir seltener.
Meister des Versteckspiels
Die Täter, deren Werk Gegenstand meiner Arbeit ist, sind Meister des Versteckspiels. Ein Großteil ihrer Energie geht darauf, nicht entdeckt zu werden und sich in Ländern aufzuhalten, die es uns schwer machen ihrer habhaft zu werden. Sie mit ihren eigenen Mitteln zu schlagen, ist das Turnen am Hochreck. Es gelingt immer wieder, so zum Beispiel bei Hansa Market und Wall Street Market. Alle Betreiber dieser Marktplätze konnten identifiziert und persönlich zur Verantwortung gezogen werden, sie lebten in Deutschland. Aber bei Hydra Market und Chip Mixer, bei Übernahme der Infrastruktur des Malware-Schwergewichts Emotet: Fehlanzeige. Keiner festgenommen.
Und trotzdem sind all das bahnbrechende Ermittlungserfolge. Das Spiel von Räuber und Gendarm hat sich dramatisch gedreht. Weiterhin steht die Tat des Täters im Vordergrund. Es ist unsere Aufgabe, Straftäter zur Verantwortung zu ziehen. Aber wir müssen erkennen, womit wir es zu tun haben. Wie Strafverfolgung einen spürbaren Unterschied machen kann. Das kann sie, wenn sie Sand im Getriebe der Täter ist. Es den Tätern mit ihrer Infrastruktur schwer macht, das Verlorene an anderer Stelle wieder hochzufahren. Und Ihnen ihr Geld wegnimmt. Denn das tat schon immer am meisten weh.
Die Resilienz im Cyberraum ist enorm hoch. Die Herunternahme eines prominenten Marktplatzes oder Diensteanbieters hinterlässt ein Bedarfswesen, das wieder gedeckt werden will. Angebot und Nachfrage gelten in der Underground Economy in Reinkultur. Regulierung braucht da keiner.
Neue Bilder
Erfolgreich im Cyberraum zu ermitteln bedeutet zu erkennen, dass Etappensiege große Erfolge sind. Es bedeutet, sich im Phänomenbereich zu bewegen und genau dort zu stören, wo es wehtut.
Bei einer Cyberkonferenz im März dieses Jahres hörte ich einen Diskussionsteilnehmer hierüber sprechen und dafür plädieren, dass der Fokus nicht allein auf den Tätern liegen darf. Er sagte: „Wir müssen ihnen den Rasen zertrampeln“. Einen Grand Slam gewinnen und dabei Rasen zerstören. So in etwa müssen wir vorgehen. Wir brauchen Bilder, um unsere Arbeit zu erklären. Im März habe ich ein neues hinzugewonnen.
Jana Ringwald ist Oberstaatsanwältin bei der Zentralstelle zur Bekämpfung der Internetkriminalität (ZIT) der Generalstaatsanwaltschaft Frankfurt am Main. Sie leitet dort das Team Cybercrime im engeren Sinne sowie die Zentralstelle zur Verwertung virtueller Währungen der hessischen Justiz und vertritt aktuell den Bund im European Judicial Cybercrime Network (EJCN) bei Eurojust in Den Haag.
In unserer Reihe „Perspektiven“ ordnen unsere Kolumnist:innen regelmäßig aktuelle Entwicklungen, Trends und Innovationen im Bereich Cybersicherheit ein. Von Jana Ringwald erschien zuletzt: Cyberprävention: So wichtig wie die Steuererklärung
