Читать книгу: «Report Darknet»

Name: Report Darknet
ISBN: 9783956144189

Шрифт:

Zum Buch

2020. Die Freiräume im Internet verschwinden und das anonyme Darknet gilt als eines der letzten Refugien. Wer bewegt sich in der digitalen Unterwelt, wem nützt es – davon berichtet dieses kenntnisreiche und spannend erzählte Buch.

Seit Jahren verfolgen Daniel Mützel und Theresa Locker die Aktivitäten im Darknet. Sie tauchen ein in die verborgenen Winkel der digitalen Unterwelt und erzählen die großen Kriminalfälle, die aus dem dunklen Netz ans Licht gekommen sind: von einem Studenten aus der deutschen Provinz, der Waffen und Munition bis nach Australien verschiffte, vom 19jährigen »Kinderzimmerdealer«, der ein millionenschweres Drogenimperium hochzog, von einem Rechtsradikalen, der in einem »Forum gegen Meinungskontrolle« eine Pistole erwarb und damit neun Menschen ermordete, von vier Männern, die Deutschlands größte Kinderporno-Plattform betrieben. In spannenden und akribisch recherchierten Reportagen erzählen Mützel und Locker von einer neuen Generation von Cyberkriminellen, die am Laptop Millionen verdienen, und von Dissidenten, für die das Darknet eine Frage von Freiheit oder Folter ist. Und sie machen deutlich, warum – trotz des Ansturms der neuen Internetkriminellen – das Darknet für eine offene Gesellschaft unverzichtbar ist.

Über die Autoren

Daniel Mützel ist freier Reporter. Seine Artikel, Radio- und Videobeiträge erscheinen u.a. bei VICE, Tagesspiegel, Süddeutsche Zeitung, taz, Deutsche Welle, tagesschau.de und Die Welt. Er lebt und schreibt in Berlin und Unterfranken.

Theresa Locker ist Technologie-Redakteurin und verantwortet nach Zwischenstopps bei der Tagesschau und der Deutschen Welle investigative Recherchen bei VICE Deutschland. Sie lebt in Berlin.

Daniel Mützel | Theresa Locker

REPORT DARKNET

Verlag Antje Kunstmann

INHALT

1. Freiheit oder Finsternis [D. Mützel]

2. Cybercrime-Foren in Deutschland: Das Berufsnetzwerk für Darknet-Täter [T. Locker]

3. Die Geschichte von Shiny Flakes [T. Locker]

4. Die Geschichte von Chemical Love [T. Locker]

5. Kalaschnikow und Kryptogeld: Der Aufstieg der Darknet-Waffenhändler [D. Mützel]

6. Dunkle Biotope [D. Mützel]

7. Wutbürger im Waffenrausch [D. Mützel]

8. Dissidenten im Darknet [D. Mützel]

9. Die Geburt des Darknets aus dem Geist der Cyberanarchisten [D. Mützel]

10. Der Kampf gegen Kinderpornografie im Darknet – und warum der Begriff nicht passt [T. Locker]

11. Ausblick: Das Darknet als negative Freiheit [D. Mützel]

Anhang

1. FREIHEIT ODER FINSTERNIS

Auf den ersten Blick sieht der Brief nicht aus, als käme er von einem verurteilten Waffenhändler: Blaue Luftblasen schmücken den Briefkopf, unten schwimmt ein Fisch mit Glubschaugen über den Meeresboden. Er will reden, schreibt er, aber er darf nicht. Sein letztes Schreiben, dem er einen Besucherschein beigelegt hatte, wurde von der Gefängnisleitung zurückgehalten. »Anscheinend befürchtet man Kritik.«

Der Verfasser des Briefes heißt Philipp K. Vier Jahre zuvor, im Mai 2016, hatte K. einem 18-Jährigen im Darknet eine Pistole verkauft, der damit neun Menschen erschoss. Die Opfer hatten alle einen Migrationshintergrund, die meisten von ihnen gingen noch zur Schule.

Das Münchner OEZ-Attentat am 22. Juli 2016 war eines der schwersten politischen Verbrechen der jüngeren deutschen Geschichte, für das jedoch nicht nur der rechte Attentäter David S. die Verantwortung trägt: Den Abzug drücken, das Schmieden seines Plans, sein Hass auf Migranten – das alles war S.’ alleiniges Tun. Doch es gab Menschen, die ihm die Tat erst ermöglichten: ein Forenbetreiber, der Waffenfreaks aus ganz Deutschland eine Plattform bot und rechte Umtriebe im Forum duldete; eine Darknet-Community, die den Handel mit Feuerwaffen mal als harmlosen Freizeitspaß abtat, mal als rebellischen Akt gegen den Überwachungsstaat feierte; und den Waffenhändler Philipp K., der von der großen Schmugglerkarriere träumte und David die Tatwaffe verkaufte.

K. schreibt, seine »Naivität« und »Scheißegal-Haltung« seien schuld, dass der Anschlag passieren konnte. Doch das erfasst nicht die Dimension des Falls. In zwei Gerichtsverfahren versuchte man, das Verbrechen zu rekonstruieren, suchte nach möglichen Komplizen des Attentäters, stritt um Anträge und geheime Akten, es flogen Stühle im Gerichtssaal, Drohungen wurden ausgesprochen. Den Hinterbliebenen blieben am Ende nur Trauer, Wut und die bis heute nicht geklärte Frage, warum K. so lange seinen Geschäften nachgehen konnte und die Behörden nicht früher einschritten.

***

»Bevor ich hier reingehe, werf’ ich mich vor einen Zug«, Neil* nippt an seiner Cola und zeigt auf die dicken Mauern der Justizvollzugsanstalt Berlin-Moabit, an der wir vorbeilaufen.

Die vier Meter hohen Gefängnismauern mit der Natodrahtkrone wirken in der Dunkelheit ein wenig Furcht einflößend, vor allem für jemanden wie Neil, der nach bestehender Rechtslage eigentlich drinnen sitzen müsste. Der junge Mann arbeitet in der wachsenden Branche Cybercrime, die in Deutschland pro Jahr rund 60 Millionen Euro Schaden verursacht.

Für den mittlerweile abgeschalteten Online-Drogenshop »Webdealer« hatte er die Seite designt und wurde prozentual am Drogengeschäft beteiligt. Für sein aktuelles Projekt, den größten deutschen Online-Schwarzmarkt Crimenetwork (CNW), zieht er als technischer Admin die Fäden im Hintergrund. CNW ist der Platzhirsch der Szene: Gehandelt werden Falschgeld, geklaute Kreditkarten, Erpressungstrojaner, Drogen, Services für SMS-Bomben und Telefonterror. Das Board ist riesig und konkurrenzlos, unterhält Dependancen im Darknet und Clearnet. Die Deals laufen seit Jahren in aller Öffentlichkeit ab, die Polizei kommt bis heute nicht an die Hintermänner heran.

Während wir die Knastmauern entlangschlendern, erzählt Neil von seiner Ex, die ihn für einen Anabolika-Dealer aus dem Fitnessclub verlassen hat, von der ganzen Kohle, die ihn nicht glücklich macht, und davon, wie er es immer allen recht machen will, seinen Eltern, uns Journalisten, seinem Boss von Crimenetwork. Neils damaliger Boss hieß »Sicario«, Auftragskiller.

Dass wir Neil überhaupt treffen konnten, war nicht ganz einfach. Wochenlang hatten wir das Treffen vorbereitet, Bedingungen ausgehandelt, einen Ort zum Reden (belebt, viele Fluchtwege) vereinbart und einen, wo wir unsere Handys einschließen können (öffentlich, keine Überwachungskameras). Wir bestanden auf Dokumente, die seine Rolle (und damit seine Straftaten) belegen, und mussten ihm versprechen, ihn nicht bei der Polizei zu verraten.

Auch wir wussten natürlich nicht, worauf wir uns einlassen. Hat dieser Sicario ihn auf uns angesetzt? Ist Neil nur ein Angeber, eine Luftnummer?

Als er uns wenig später am Tisch einer McDonald’s-Filiale in den Admin-Bereich von Crimenetwork.co führt, in die Schatzkammer der CNW-Bande, wo die Geschäfte, die Dealer, die illegalen Geldflüsse, im Grunde das ganze Ausmaß ihrer Straftaten verzeichnet sind, wissen wir: Wir haben den Richtigen.

***

In Pulli und Jeans sitzt Mario Rönsch auf dem braunen Polster der Anklagebank, ein Waffenschmuggler im ›casual look‹, eingerahmt von zwei Anwälten, die ihn verteidigen. Im Gegensatz zu seinen Auftritten in Internetclips, wo er wie ein Getriebener den völkischen Aufstand beschwört, wirkt Rönsch im Verhandlungssaal des Berliner Landgerichts ruhig, fast friedlich. Was soll er auch machen.

Mario Rönsch sitzt hier, weil er einen illegalen Waffenshop betrieb und Hunderte Deutsche mit Gaspistolen und Langwaffen versorgte. Migrantenschreck nannte er seine Plattform, die wenig Zweifel ließ, welchen Zweck die Waffen hatten: »60 Joule Mündungsenergie strecken jeden Asylforderer nieder«, lautete der Werbetext für einen Revolver. Gegen »Ficki-Ficki-Fachkräfte und rotzfreche Antifanten«, ein anderer. Im Netz lud er martialische Videos hoch, auf denen ein Typ mit doppelläufiger Flinte einem Pappkameraden mit schwarzer Hautfarbe ein faustgroßes Loch in die Schulter schießt. An anderer Stelle feuert ein Vermummter Hartgummiprojektile auf Poster deutscher Politiker.

In einer Zeit, als der Waffenmarkt im Darknet mit Turbulenzen kämpfte, etablierte sich Migrantenschreck als bequeme Alternative für Menschen, denen das Darknet zu kompliziert war und eine echte Schusswaffe zu heikel. Die Hartgummiknarren aus Rönschs Migrantenschreck-Arsenal waren trotzdem gefährlich. Auch sie hätten ein Leben beenden können.

Bevor ich Rönsch im Gerichtssaal wiedersehe, stand ich vor seiner Wohnung in Budapest. Ein schicker Altbau im vornehmen Viertel Pasarét. Der Rechtsextreme betrieb seinen illegalen Waffenhandel von dort aus, bis ihn im März 2018 ungarische Spezialkräfte in Abstimmung mit der Berliner Staatsanwaltschaft hochnahmen. Rönsch sagte bei seiner Festnahme, das »Merkel-Regime« sei für ihn nicht zuständig. Nach Deutschland ausgeliefert wurde er trotzdem.

***

Das Darknet hat die Art und Weise revolutioniert, wie Menschen an verbotene Güter kommen. Ein Gramm Speed, eine Glock 17, ein Imitat einer Breitling-Uhr, ein gefälschter Pass der Bundesrepublik Deutschland – oft genügen wenige Klicks, um den Deal einzutüten. Gezahlt wird in Bitcoin, Monero oder Zcash, pseudonyme Kryptowährungen, ohne die das kommerzielle Darknet nicht vorstellbar wäre. Nie war es so einfach und bequem, beim Shopping gegen das Gesetz zu verstoßen, nie war die Schwelle so niedrig, selbst Anbieter zu werden. Der Schwarzmarkt ist heute Mainstream.

Cyberkriminalität

Das Darknet hat die Struktur und Strategien der kriminellen Unterwelt auf den Kopf gestellt: Vielleicht zum ersten Mal sucht man das Licht der Öffentlichkeit, bietet Cyberattacken, Handgranaten und Toxine in offen zugänglichen Marktplätzen an, feilscht um Rabatte und gutes Feedback. Offline-Dealer verwenden viel Geld und Zeit darauf, ihr Treiben von neugierigen Blicken abzuschotten: Lieferrouten, Produktpalette und Geldflüsse waren seit jeher gut geschütztes Geheimwissen von Eingeweihten.

Heute sitzt man in der Jogginghose am Laptop und klickt sich durch die bunten Angebote der eBay- und Amazon-Klone im Darknet, legt das verbotene Produkt in den Warenkorb und geht zum Check-out. Auch wenn die Identität von Verkäufer und Käufer verborgen bleibt, haben Außenstehende einen nie da gewesenen Einblick in die Architektur der digitalen Schattenwirtschaft. Kunden nutzen Bewertungen zur Kauforientierung, Ermittler können Händler, Listings und Stückzahlen studieren, manchmal sogar Lieferwege und Geldflüsse.

Wir recherchieren seit fünf Jahren in der illegalen Halbwelt des Darknets und Clearnets. In diesem Buch erzählen wir die großen Kriminalfälle der letzten Jahre: ein Student aus der fränkischen Provinz, der Maschinenpistolen und Munition bis nach Australien exportierte; ein 18-Jähriger, der aus seinem Kinderzimmer ein millionenschweres Drogenimperium hochzog, ein Rechtsradikaler, der in einem »Forum gegen Meinungskontrolle« eine Pistole erwarb und damit neun Menschen ermordete, vier Männer aus Deutschland, die eine gigantische Kinderporno-Plattform betrieben.

Anhand von internen Dokumenten, Gerichtsakten, Interviews und verschlüsselten Chatnachrichten zeigen wir, wie das deutsche Darknet und seine ›prominenten‹ Protagonisten ticken. Es sind Geschichten über Gier und die Hoffnung auf schnellen Reichtum, über Cyberkriminelle, die am Laptop Millionen verdienen, und über politisch Verfolgte, für die das Darknet eine Frage von Freiheit oder Knechtschaft ist.

In der Öffentlichkeit genießt das Darknet keinen guten Ruf: Für viele ist es eine Projektionsfläche für alles Verkommene im Netz. Auch wenn die meisten Straftaten im Internet, nicht im Darknet begangen werden. Andere sehen es als den letzten Hort von Anarchie und Freiheit in der vollends überwachten Welt. Doch das Darknet an sich ist weder verkommener noch anarchistischer als das Internet, sondern eine Technologie, die, frei nach Habermas, ethisch unmusikalisch ist – sie kann kein Urteil fällen. Sie ist per se weder gut noch schlecht, sondern abhängig von den Menschen, die sie einsetzen. Eine saubere Trennung zwischen einem angeblich »guten« Internet und einem »bösen« Darknet wäre, wie im Verlauf des Buches deutlich wird, falsch und irreführend.

Das Darknet ist nicht die Lösung, sondern das Problem

Dass das Darknet von Kriminellen genutzt wird, sagt erst mal wenig. Tatsächlich ist dieses technologisch abgeschirmte Parallelnetz auch eine Reaktion auf Fehlentwicklungen im Internet. Das einst revolutionäre Versprechen des Netzes, die Welt zu einem besseren, freieren Ort zu machen, droht zu verpuffen. Geheimdienste überwachen große Teile des Internets. Datenkonzerne wie Amazon und Google schürfen immer tiefer in unserer Privatsphäre, erschaffen immer präzisere virtuelle Abbilder von uns. Sie kennen unsere Vorlieben, Ziele und Geheimnisse, formen daraus Werbeanzeigen oder verkaufen sie an Datenhändler. Im datengetriebenen Kapitalismus sind wir nicht mehr die Kunden der großen Plattformen, sondern ihre Produkte.

Das freie Netz ist heute, am Beginn der 2020er-Jahre, auch von anderer Seite bedroht. Weltweit arbeiten Staaten wie Russland und Iran an technischen Lösungen für ein nationales, vom globalen Internet abgekapseltes Netz, um Nutzer leichter kontrollieren zu können. Die Kommunistische Partei Chinas hat mittels Big Data und künstlicher Intelligenz den größten Überwachungs- und Kontrollapparat der Menschheitsgeschichte erschaffen. Und seit Edward Snowden wissen wir bereits seit Jahren von der Massenüberwachung durch westliche Geheimdienste.

Als Reaktion auf die beschleunigte digitale Landnahme durch Behörden und Konzerne ist das Bedürfnis nach Anonymität im Netz stetig gewachsen. Das Tor-Netzwerk, die prominenteste Darknet-Technologie, erfreut sich in der Bundesrepublik immer stärkerer Beliebtheit. Fast jeder zehnte Tor-Nutzer im vergangenen Jahr kam aus Deutschland.¹ Kaum eine Anonymisierungssoftware bietet besseren Schutz beim Surfen. Doch ob das Darknet eine adäquate Antwort auf diese Herausforderungen ist oder ob es nicht vielmehr ein Problem sichtbar macht, statt eine Lösung zu bieten – auch darum wird es auf den folgenden Seiten gehen.

Was ist das Darknet?

Die Infrastruktur des Internets lässt sich grob in drei Bereiche einteilen: Das Clearnet, Clear Web oder auch Surface Web² bezeichnet den öffentlich zugänglichen Teil des Internets, der sich mit herkömmlichen Webbrowsern erkunden lässt. Shoppingportale, Newsseiten, Streaminganbieter, Gamingplattformen – es ist der Teil des Netzes, den die meisten Menschen täglich nutzen. Das World Wide Web, der bekannteste Dienst im Clearnet, zählt mittlerweile fast zwei Milliarden Websites.³ Die Inhalte im Clearnet werden von Suchmaschinen indexiert und lassen sich daher relativ einfach finden.

Für das Deep Web gilt das nicht: Dort befinden sich Inhalte, die sich den Suchalgorithmen von Google oder Bing verweigern. Einen Teil des »tiefen Webs« kann man dennoch ansteuern – wenn man die genaue Browseradresse kennt. Ein Großteil des Deep Web ist jedoch geschützt: Das können Datenbanken von Universitäten sein, Intranets von Firmen und Organisationen oder Seiten, die ihre Inhalte hinter einer Anmeldemaske verbergen, etwa der Login-Bereich auf Amazon. Schätzungen zufolge ist das Deep Web 400 bis 500 Mal größer als das Clearnet.⁴

Was das Darknet ist oder nicht, darüber streiten Forscher, Polizisten, Hacker und Kriminelle seit vielen Jahren. Der Begriff stammt aus den Anfangstagen des Internets und bezeichnete damals geheime Rechnernetze, auf die nur Eingeweihte zugreifen konnten. Eine allgemeingültige Definition des Darknets gibt es heute nicht, eine recht verbreitete lautet: Ein Darknet beschreibt jedes Netz innerhalb des Internets, das sich technologisch abschottet und in dem die Teilnehmer unsichtbar sind. Inhalte im Darknet können nicht von Suchmaschinen wie Google oder Bing gefunden werden. Befindet sich ein Nutzer in einem Darknet, kann er mit einem vergleichsweise hohen Maß an Anonymität und Privatsphäre rechnen. Aber: Kein Darknet, egal auf welcher Technologie es basiert, kann absolute Sicherheit im Netz bieten.

Das bekannteste und am weitesten verbreitete Darknet ist das Tor-Netzwerk. Wenn wir von Darknet sprechen, meinen wir ausschließlich das Tor-Darknet: ein Pool von Tausenden von Servern, die über die ganze Welt verteilt sind und sich vom Rest des Internets abschirmen. Die meisten Nutzer bekommen von der komplexen Mathematik, die hinter der Technologie von Tor und den Verschlüsselungsprotokollen steckt, nichts mit. Die ganze Technik ist handlich in ein einziges, mächtiges Werkzeug verbaut – den Tor-Browser. Der Tor-Browser ist die Pforte ins Darknet.

Die erste Version der Tor-Software entstand Ende der 90er-Jahre in einem militärischen Forschungslabor der US-Navy. Die US-Armee suchte nach einer Technologie, mit der sich amerikanische Agenten im Ausland anonym im Netz bewegen können. Doch das Programm war unausgereift und schlummerte auf alten Rechnern der Navy. Bis Tor von Netzaktivisten reaktiviert, weiterentwickelt und 2003 als Open Source veröffentlicht wurde.

Wie funktioniert das Darknet?

Ausgangspunkt von Tor ist eine Grundeigenschaft des Internets, die manche als dessen »Geburtsfehler« betrachten⁵: die IP-Adressstruktur. IP-Adressen fungieren im Internet wie digitale Meldeadressen: Wann immer ein Nutzer eine Webseite aufruft oder einen Beitrag etwa auf Facebook postet, tut er das nicht anonym, sondern unter einer digitalen Kennung – seiner IP-Adresse –, die ihm sein Internetanbieter zuteilt und die ihn identifizierbar macht. Jedes Gerät – ob Computer, Smartphone oder WLAN-Kühlschrank – besitzt eine solche IP-Adresse, sobald es sich mit dem Netz verbindet. IP-Adressen können statisch sein oder variabel, doch auch, wenn ein Nutzer heute mit der einen, morgen mit einer anderen IP-Adresse unterwegs ist, registriert sein Provider jede seiner Aktivitäten im Netz: welche Seiten er besucht, wann und wie lange, welche Inhalte er abfragt. Auch bei den besuchten Seiten hinterlässt der Nutzer Spuren, da Seitenbetreiber sehen können, welche IP-Adressen sich mit ihnen verbinden.

Tor stört diese Kommunikationsbeziehung, bei der IP-Adressen direkt miteinander sprechen. Die Idee klingt simpel: Wenn es IP-Adressen sind, die Nutzer identifizierbar machen, zugleich aber ein unhintergehbares Grundprinzip des Internets sind, muss das IP-Adressprinzip eben gegen sich selbst gewendet werden.

Und das funktioniert so: Anstatt eine Internetanfrage vom Nutzer direkt zur gewünschten Webseite zu bringen, leitet Tor sie durch einen virtuellen Tunnel, der aus drei Servern besteht, den Tor-Knoten. Innerhalb dieses Tunnels ist die Verbindung mehrfach verschlüsselt. Vom dritten Tor-Knoten, dem Endknoten, gelangt die Anfrage, nun unverschlüsselt, ins offene Internet und zur gewünschten Webseite. Das schrittweise Abtragen der Verschlüsselungsschichten an den Tor-Knoten hat die ursprünglichen Programmierer⁶ offenbar an das Schälen einer Zwiebel erinnert, was die Namensgebung von Tor (das Akronym von »The Onion Routing«) erklärt.

Bei jedem Start sucht sich der Tunnel drei neue Knoten, um die Anfrage zum Ziel zu schicken. Der Tunnel versperrt dem Internetprovider – und allen, die auf dessen Daten zugreifen können – die Sicht auf den Traffic. Knackpunkt dabei ist, dass die drei Tor-Knoten jeweils nur ihre unmittelbaren Nachbarn kennen, also den Tor-Knoten davor und danach. Woher aber die Anfrage ursprünglich kommt und wohin sie geht, lässt sich von keinem Punkt in der Kette nachvollziehen: Die aufgerufene Website sieht nur die IP-Adresse des Endknotens der Kette, nicht aber die des Nutzers; der Internetprovider sieht nur, dass sich der Nutzer ins Tor-Netzwerk einklinkt, nicht aber welche Seite er ansteuert und welche Inhalte er dort abfragt; und die Tor-Knoten kennen jeweils nur einen kleinen Ausschnitt der Route.

Die Identität des Nutzers bleibt damit verborgen. Der Tor-Browser eignet sich also auch für Leute, die bloß im Internet surfen und nicht wollen, dass an beiden Enden der Verbindung Dritte ungefragt zuschauen.

Die zweite Ebene der Tor-Sicherheitsarchitektur ist der Tor-Browser, mit dem Nutzer deutlich weniger Spuren im Netz hinterlassen (etwa durch Cookies) als mit einem herkömmlichen Internetbrowser. Wie jede Software, hat auch Tor Schwachstellen: Sogenannte »globale, passive Angreifer« wie Geheimdienste, die große Teile des Netzes überblicken, können Tor-Nutzer unter Umständen (und mit einigem Aufwand) deanonymisieren. Gegen diese »traffic correlation attacks«, bei denen ein Akteur beide Enden einer Internetverbindung sieht, kann Tor nichts ausrichten.⁷ Auch andere Angriffe, etwa über eine Sicherheitslücke im Browser, sind vorstellbar. Tor, das sollten Nutzer wissen, bietet keine 100-prozentige Anonymität.

»Hidden Services«: Die Grundpfeiler des Darknets

Wenn allerdings Politiker oder Ermittler fordern, das Darknet zu »durchleuchten« oder »Licht ins dunkle Netz« zu bringen, meinen sie in der Regel nicht die Anonymisierungssoftware des Tor-Browsers, sondern sogenannte Onion-Services oder Hidden Services. Vereinfacht gesagt sind es die Webseiten des Darknets.

Hidden Services sind kryptografisch abgesicherte und im weitesten Sinne zensurresistente Dienste, die es Betreibern möglich machen, ihre Inhalte anonym anzubieten und ihren Standort zu verschleiern. Der Kniff: Der Server, über den eine Website oder ein Forum läuft, ist selbst Teil des Tor-Netzwerks und somit nur schwer lokalisierbar. Springt die Anfrage eines Nutzers normalerweise über drei Tor-Knoten, wenn er eine Webseite im Clearnet aufruft, erhöht sich die Zahl der Knoten in der Regel auf sechs, wenn er einen Hidden Service ansteuert. Nutzer und Betreiber von Hidden Services können so miteinander sprechen, ohne zu wissen, mit wem sie es eigentlich zu tun haben. Diese Konstellation erhöht auch den Schutz für Nutzer: Da der Hidden Service die Tor-Architektur verwendet, bleibt die Internetverbindung die ganze Zeit innerhalb des Tor-Netzwerks.

Hidden Services lassen sich nicht über herkömmliche Internetbrowser ansteuern, sondern nur über den Tor-Browser. Die Adressen im Darknet enden nicht auf .de oder .com, sondern auf .onion und bestehen aus einer zufälligen Reihe von (in der Regel) 16 Buchstaben und Zahlen.

Bekannte Onion-Dienste sind etwa der anonyme E-Mail-Dienst ProtonMail (protonirockerxow.onion) oder die Google-Alternative DuckDuckGo (3g2up14pq6kufc4m.onion). Der mit Abstand populärste Onion Service ist die Darknet-Seite von Facebook, erreichbar über facebookcorewwwi.onion.

Es gibt Hidden Services, die die Öffentlichkeit suchen – Schwarzmärkte, Foren, Blogs, Linklisten – und die sich daher relativ leicht finden lassen; und es gibt Hidden Services, die nur wenige Eingeweihte kennen: »invite-only«-Shops, auf die nur ein erlesener Kundenkreis zugreifen kann, oder Ad-hoc-Foren, die nur wenige Tage oder Stunden existieren und von kriminellen Netzwerken im transnationalen Schmuggelgeschäft genutzt werden. Niemand kennt alle Hidden Services, es ist wohl eher so, dass die allermeisten Nutzer nur den kleinsten Teil des Darknets jemals sehen werden.

Cyberutopia oder Cyberfinsternis

Wenn wir auf den folgenden Seiten von Darknet-Schwarzmärkten oder Kryptomärkten sprechen, ist von Hidden Services die Rede. Die Hidden Services sind der Grund für den schlechten Ruf des Darknets: Hier haben sich Versandhäuser für Drogen, Waffen, Falschgeld und Hehlerware etabliert, bieten Kleinkriminelle und organisierte Banden Services für Hackerangriffe, Kreditkartenbetrug und Geldwäsche. Und es gibt einen noch dunkleren Bereich des Darknets: Seiten für Auftragsmorde, Verkaufsangebote für Landminen, menschliche Organe und »Snuff«-Filme, »Red Rooms« für Folter-Liveshows und Hurtcore-Foren, in denen Videos gepeinigter Kleinkinder getauscht werden.

Abgesehen von solchen Extrembeispielen ist das Tor-Netzwerk ein durchaus vielseitiger Ort, dem das Klischee virtueller Finsternis oft nicht gerecht wird: Politische Aktivisten und Dissidenten in autoritären Regimen nutzen das Darknet, um keine Spuren im Netz zu hinterlassen; Journalisten dient es als sicherer Kommunikationskanal für sensible Informationen.

Doch ob das Darknet in seiner Gesamtheit so bunt und vielfältig ist, wie manche Befürworter behaupten, ist in der Forschung umstritten. Der britische Computerwissenschaftler Gareth Owenson hatte 2015 herausgefunden, dass 80 Prozent der Nutzeranfragen im Darknet auf Missbrauchsseiten zugreifen.⁸ 2019 sank die Zahl laut Owenson auf knapp die Hälfte.⁹ Auf der Angebotsseite sieht es nicht besser aus: Über die Hälfte der Hidden Services bieten illegale Waren an, schlussfolgert eine Analyse des King’s College im Jahr 2016.¹⁰ Ein kleiner Lichtblick war eine Studie indischer Forscher vergangenes Jahr: Von 3.500 analysierten Hidden Services handelten »nur« knapp 40 Prozent mit verbotenen Gütern.¹¹

Das »Corona High«

In Zeiten von Corona gilt das umso mehr. Die weltweiten Ausgangsbeschränkungen führten zu einem regelrechten Boom des Darknet-Drogenhandels: Um bis zu 500 Prozent durchschnittlich wuchsen die Trades mit illegalen Substanzen zwischen Januar und Ende März 2020, schätzt die israelische Cybersicherheitsfirma Sixgill.¹² Der größte Kassenschlager war dabei nicht, wie man vermuten würde, Marihuana – sondern Kokain: Während sich die Menschen brav in häusliche Quarantäne begaben, schwoll zeitweise die globale Nachfrage nach dem weißen Pulver im Darknet um 1.000 Prozent an.

»Corona Weekend Deal!!«, »Keine Sorge: Papa liefert weiter«, LSD-Tickets im Virus-Design (»Protect yourself from the virus!«) – die Werbemaschinerie des Cyber-Untergrunds passte sich rasch der neuen Lage an. Während Straßendealern die Kunden wegliefen, fuhren clevere Darknet-Dealer die großen Gewinne ein: 5,2 Millionen Euro Umsatz machte allein der Marihuana-Markt Cannazon in der Hochzeit der Pandemie.¹³ Der E-Commerce im Darknet gehört wie die meisten Digitalbranchen zu den Corona-Krisenprofiteuren.

Das Darknet ist im Jahr 2020 ein eher düsterer Ort. Im Windschatten libertärer Cyberaktivisten haben es sich Drogenhändler und Waffenschmuggler gemütlich gemacht, bauen deutsche Männer einen Treffpunkt für Pädosexuelle, um ihren nächsten Missbrauch zu planen. Das birgt die Gefahr einer selbst erfüllenden Prophezeiung: Solange es düster bleibt, werden auch weiterhin nur die kommen, die sich in der Dunkelheit wohlfühlen.

Daniel Mützel, Juni 2020

* Name geändert

2. CYBERCRIME-FOREN IN DEUTSCHLAND: DAS BERUFSNETZWERK FÜR DARKNET-TÄTER

Neil ist nervös. Als er am vereinbarten Treffpunkt ankommt – rastlose Pupillen, breite Schultern –, dreht er sich alle paar Minuten um, um zu schauen, ob ihm jemand folgt.

Ein bisschen paranoid zu sein, das hat er in den letzten Jahren unter Kreditkartenbetrügern, Datendieben und auf Verschlüsselung spezialisierten Programmierern gelernt. Sein soziales Umfeld sind Nerds, die sich für robuste Verschlüsselung, Anonymität und Sicherheit im Netz interessieren, um die Technologien zu ihrem eigenen geldwerten Vorteil auszunutzen. Als Treffpunkt, Marktplatz, Ausbildungszentrum und Jobbörse dienen ihnen spezielle Plattformen, in denen Methoden des Cybercrime diskutiert und die Mittel dazu gehandelt werden – und wo Menschen nur noch »Vics« (vom englischen »victim«), also Opfer heißen. Plattformen, die Ermittler zu gerne abschalten würden, es aber meistens nicht können. Neil gibt diesen kriminellen Nerds ein Zuhause. Er betreibt zusammen mit einem Partner¹ die wohl prominenteste Plattform für Internetkriminalität der vergangenen Jahre: Crimenetwork². Mit über 300.000 Seitenaufrufen monatlich und 84.000 registrierten Nutzerkonten ist das Cybercrime-Forum das älteste, lebhafteste und größte in Deutschland.

Wir interessieren uns für Neils Crimenetwork (CNW), weil wir die Menschen, die wir dort getroffen und interviewt haben, immer häufiger auch im Darknet wiedersehen. Hier tauschen sich die Täter aus, lernen und bilden Banden. Die Cybercrime-Foren sind eine Art lokaler Kryptomarkt, an dem sich vieles erklären lässt: Die Technologien ähneln sich, die Delikte auch. Für einige unserer Protagonisten ist Crimenetwork ein unverzichtbares Sprungbrett für eine Karriere im Darknet als Drogendealer, Datenhehler oder böswilliger Hacker.

Blick in den Maschinenraum: So funktioniert ein Cybercrime-Forum in Deutschland

Im World Wide Web gibt es Cybercrime-Foren wie Crimenetwork seit Mitte der 90er-Jahre. Die Domainnamen von Cybercrime-Foren haben Endungen von weit entfernten Atollen wie den Kokosinseln (.cc) oder Vanuatu (.vu) – das soll Strafverfolgungsbehörden den Zugriff erschweren. Die Server der Foren stehen zumeist in Staaten wie Vietnam oder Russland oder werden durch ein kompliziertes System in gleich mehreren Ländern gespeichert. Wo genau, das bleibt das Geheimnis der Betreiber. Man kann die Seite zwar im Clearnet ansteuern, die Foren-Inhalte sind aber erst hinter einer Anmeldemaske zugänglich. Für manche braucht man auch eine dezidierte Einladung. Technisch gesehen liegen die Foren also im Deep Web, denn googeln kann man keinen der Einträge, Nachrichten und Unterhaltungen. CNW kann man auch im Darknet unter einer .onion-Adresse mit dem Tor-Browser erreichen.

Weil es auf den Cybercrime-Foren fast ausschließlich um Illegales geht, zeichnen sie sich durch eine unstete Existenz aus. Seiten tauchen auf, wachsen rasant, verschwinden mehrmals im Jahr. Klar ist jedoch, dass frühe Nutzer ihren Weg in die Cybercrime-Foren aus der Warez-Szene gefunden haben. Das waren Online-Communities in den jungen Tagen des Internets, die sich auf die Beschaffung und Verbreitung von urheberrechtlich geschütztem Material spezialisiert hatten. Diese Raubkopien (»Warez«) wurden vor der Blütezeit der Filesharing-Netzwerke wie Napster oder KazaA auf Boards getauscht. Gegen Mitte der ooer-Jahre änderte sich jedoch der Fokus der Board-Mitglieder vom libertären Informationsaustausch hin zu monetarisierten Interessen. Während sich die Foren spezialisierten und Zugänge zu den Daten selbst zur Handelsware wurden, wichen die Warez-Provider zunehmend kriminellen Hackern und Betrügern, die in ihren diversen Ausprägungen in diesem Kapitel im Fokus stehen sollen.

Kreditkarten, Bulletproof Hoster und Packboxen: Die Dreh- und Angelpunkte der Underground Economy

Heute ist die Bedeutung von Cybercrime kaum zu überschätzen, denn immer mehr Bereiche unseres Lebens werden in Codes übersetzt und von Dritten verarbeitet. Mit jedem Tag, an dem wir Daten produzieren und unseren Alltag ins Netz auslagern, bieten wir auch Betrügern im Netz und böswilligen Hackern eine immer größere Angriffsfläche. Aus diesem Grund nehmen auch Straftaten wie Identitätsdiebstahl, Computersabotage und Netzwerkeinbrüche zu. Nicht mal 40 Prozent der Fälle werden aufgeklärt³. »Im Phänomenbereich Cybercrime ist – wie in kaum einem anderen Deliktsbereich – eine kontinuierlich steigende Kriminalitätsentwicklung zu verzeichnen«, schreibt das Bundeskriminalamt auf seinen Internetseiten. BKA-Abteilungsleiter Carsten Meywirth sagt sogar: »Cybercrime ist eine der größten Bedrohungen unserer Zeit.«⁴

Mit jeder vernetzten Glühbirne und jeder neuen App multiplizieren sich auch die Schauplätze für Cybercrime – und damit auch das Angebot auf Foren wie Crimenetwork. Das Herz des Forums ist der Marktplatz-Bereich. Was dort feilgeboten wird, bezeichnet Neil als »Sumpf« und die Cybercrime-Abteilung des BKA als »Crime-as-a-service« (CaaS): Hunderte spezialisierte Dienstleistungen und Produkte rund um Internetkriminalität laufen dort zusammen. Crimenetwork hat aber im Gegensatz zu einem Darknet-Markt eine noch stärkere Business-to-Business-Ausrichtung: Hier handeln – vorwiegend junge⁵ – Kriminelle mit Kriminellen. Wer sich hierhin verirrt, der sucht meistens ganz konkret ein Puzzleteil im riesigen Dienstleistungsspektrum des Cybercrime.

Sind ausländische Foren für Cybercrime-Tools und Drogen oft streng getrennt, sind auf CNW Drogen allgegenwärtig. Anbieter für Kokain, Gras und Speed sind prominent platziert. Für Verkäufer, die mit Online-Drogenhandel Fuß fassen wollen, gelten die Boards als erster Testballon: Mit dem Verkauf über CNW kann man sein Geschäft bekannt machen und sich sogar einen Ruf und einen Kundenstamm erarbeiten, ohne zunächst einen eigenen Drogen-Webshop hosten zu müssen. Wie bei allen Angeboten auf dem Forum wird in der Kryptowährung Bitcoin bezahlt, um Zahlungsströme zu verschleiern. Details der Geschäfte werden über verschlüsselte Messenger abgewickelt. Gleichzeitig findet man auf CNW Dienstleister rund um Internetkriminalität, die man für die Infrastruktur eines Online-Drogengeschäfts braucht. Auch die größten deutschen Online-Drogendealer, die unter den Namen Shiny Flakes, Chemical Love oder Chemical Revolution sehr reich werden sollten, starteten hier ihre Karriere.

Analoge Güter wie Drogen spielen trotzdem nicht die Hauptrolle auf dem CNW-Marktplatz: Der Fokus liegt viel eher auf Identitätsdiebstahl und Betrug. Als »Carding« bezeichnet man den Diebstahl von Kreditkartendaten, mit denen sich dann im Netz Waren bestellen lassen, um sie zu Geld zu machen. Carding gibt es schon seit den 80er-Jahren, doch erst das komplexe Netz von digitalen Gütern und Dienstleistungen, die dieser Art von Kriminalität zuarbeiten, hat diese Betrugsschiene so explodieren lassen.⁶ Im Jahr 2019 wurden insgesamt 290.707 Waren- und Warenkreditbetrugsfälle polizeilich erfasst. Die erfolgreichsten unter den Internet-Cardern haben sich im Darknet ein zweites Standbein aufgebaut. Ein Kreditkartenbetrüger unter dem Pseudonym Alpha02 zog später einen der größten Darknet-Schwarzmärkte aller Zeiten auf und bewarb ihn mit seinem Namen – AlphaBay.

Am Anfang der Carding-Wertschöpfungskette stehen die Daten fremder Leute. Die erbeuten Kriminelle unter anderem durch Phishing-E-Mails – betrügerische Nachrichten, die Menschen dazu bringen sollen, sich auf einer gefälschten Login-Seite anzumelden und unter einem Vorwand ihre Adresse, vielleicht auch ihre Kreditkartendaten an die Täter zu verraten. Auf dem CNW-Markplatz gibt es in der »Phishing«-Kategorie vorgefertigte Fake-E-Mails, aber auch ganze Datenbanken mit E-Mail-Adressen möglicher Opfer zu kaufen. Hat jemand eine größere Anzahl Zahlungsdaten erbeutet, schnürt er daraus ein Paket und verkauft die Daten auf Crimenetwork in der Rubrik »CC«. Die teuersten dieser Datensätze heißen »Fullz« und bestehen nicht nur aus gültigen Kreditkartendaten inklusive des Codes auf der Rückseite der Karte, sondern auch aus Adressen und anderen persönlichen Daten. Je umfangreicher der Datensatz, desto größer das Missbrauchspotenztial.

Wieder andere Nutzer spezialisieren sich darauf, die mit gestohlenen Daten gekauften Produkte zum Täter zu bringen. Da man mit gestohlenen Zahlungsdaten nicht auf seinen echten Namen an seine eigene Adresse bestellen sollte, bieten CNW-Nutzer gegen Geld sogenannte »Hausdrops« an. Das kann zum Beispiel ein Zugang zu Häusern mit hoher Mieterfluktuation sein, bei denen man ergaunerte Produkte unter falschem Namen in Empfang nehmen kann. Andere Kreditkartenbetrüger überkleben ihr Briefkastenschild einfach mit einem falschen Namen und lassen sich die Ware dorthin liefern. Mindestens genauso beliebt ist der »Packstation-Drop«. Kriminelle organisieren sich auf CNW gestohlene Zugangsdaten für eine Paketbox und holen die Ware dort ab. Das Bundeskriminalamt meldet in den vergangenen fünf Jahren jedes Jahr eine steigende Tendenz von Vergehen, die über Packstationen abgewickelt werden. In vielerlei Hinsicht bilden die öffentlich zugänglichen Packstationen der Post ein Rückgrat der Underground Economy – und haben auch deutschen Darknet-Händlern geholfen, ihr Geschäft etwas größer aufzuziehen.

Auch die Post weiß mittlerweile, wofür ihre Paketboxen missbraucht werden. DHL versucht, den Betrug einzudämmen, indem sich Neukunden per Post-Ident-Verfahren verifizieren müssen. Doch es sind eben nicht nur die Postfilialen, die solche Identifizierungs-Dienste anbieten – auch in Kiosken oder Schreibwarenläden kann man seine Identität überprüfen lassen. Und manche von ihnen bieten auf CNW an, für 200 – 300 Euro bei der Ausweisüberprüfung nicht so genau hinzugucken.⁷

Neben geklauten Daten werden auch jedes Jahr mehr Schadprogramme in Form von Viren und Trojanern auf den Boards gehandelt.⁸ Die kleinen Programme verstecken sich zum Beispiel in E-Mail-Anhängen oder Word-Dokumenten, nisten sich unbemerkt auf dem PC ein und stellen eine Verbindung zwischen einem infizierten Rechner und dem Täter her. Das Schadprogramm läuft dann im Hintergrund mit und kann zum Beispiel Passwörter, Login-Daten und Lizenzschlüssel stehlen. Andere Trojaner knipsen in regelmäßigen Abständen Screenshots oder schalten heimlich die Webcam ein. Das wird nicht nur zum Betrug, sondern auch zur Erpressung eingesetzt.

Damit Antivirenprogramme diese Trojaner nicht erkennen und außer Gefecht setzen können, gibt es auf Crimenetwork Programme, die die Schadsoftware verschleiern sollen – sogenannte Crypter⁹. Programmierer haben außerdem eine Möglichkeit entwickelt, mit der man die verdächtigen Dateien in eine andere Datei »einpackt« und so die Dateiendung fälscht¹⁰. All das funktioniert aber nur, solange die Antivirensoftware des Ziel-Rechners nicht auf dem neuesten Stand ist und die Infektion rückgängig macht. Es ist also ein recht zähes Katz- und-Maus-Spiel zwischen der automatisierten Updatefunktion der gängigsten Antivirensoftware und der manuellen Umrüstung einer Schaddatei – alles in allem viel Aufwand für kriminelle Coder.

Auch der Online-Handel hat in Sachen Sicherheit aufgerüstet. 2-Faktoren-Authentifizierung und ein neues System namens 3-D-Secure spielen nicht nur bei Kreditkarten eine immer größere Rolle und machen es Dieben schwerer, an die Daten zu gelangen. Im Großen und Ganzen ist der Betrug schwieriger geworden. Doch wenn die Cybercrime-Szene eins auszeichnet, dann ist es ihre schier endlose Flexibilität und Anpassungsfähigkeit. Die kriminelle Antwort auf die verbesserten Sicherheitsstandards einzelner Firmen: Automatisierte Angriffe durch sogenannte Botnets. Ein Botnet ist ein virtueller Zusammenschluss aus Rechnern oder internetfähigen Geräten, die zentral von einem Server gesteuert werden.

Wie gewaltig solche Botnets werden können, zeigt ein Fall aus Deutschland. Ende November 2016 ging für 1.250.000 Telekom-Kunden urplötzlich nichts mehr: Es war ein Internetausfall, wie ihn deutsche Telekommunikationsanbieter in Jahrzehnten nicht gesehen hatten. Doch schnell stellte sich heraus, dass hier keine Störung vorlag – sondern eine weitaus dramatischere Ursache dahintersteckte. Hacker hatten den Totalausfall zu verantworten – in einem Versuch, das größte Botnet aller Zeiten zu schaffen.

Kurz vor dem Telekom-Desaster hatte sich ein Hacker namens BestBuy den frei verfügbaren Quellcode der Schadsoftware Mirai heruntergeladen und ihn umprogrammiert. Mirai scannt das Internet nach leichter Beute in Form von schlecht gesicherten Geräten wie vernetzten Thermostaten oder Routern, infiziert die Geräte und bringt sie dazu, Ziele im Internet gebündelt mit Anfragen zu bombardieren oder Spam zu verschicken – oft bekommen die Besitzer der Geräte gar nicht mit, dass ihr Router ferngesteuert wird. BestBuys Ziel: Er wollte zahlenden Kunden auf Cybercrime-Foren einen Teil des Botnets zur Miete anbieten, damit diese die infizierten Geräte für mächtige DDoS-Angriffe auf die Websites ihrer Rivalen ausnutzen können.

Der Ausfall der Telekom-Geräte war BestBuys Versuch, Hunderttausende schlecht gesicherte Speedport-Router der Telekom in sein Botnet einzugliedern. Er scheiterte: Sie stürzten allesamt vorher ab. Während die Cybercrime-Abteilung des BKA den Mann hinter dem Alias BestBuy von Proxy-Server zu Proxy-Server durchs Netz jagte, gab er Motherboard US ein anonymes Interview. »Ich möchte mich bei den Telekom-Kunden entschuldigen«, gab sich BestBuy zerknirscht. »Das war nicht meine Absicht.«¹¹ BestBuy führte die Ermittler letztlich durch einen Link in seinem Code zu einem Instagram-Foto auf seine Spur. So konnten die Behörden ihn als einen Briten namens Daniel K. identifizieren und in Deutschland vor Gericht stellen. Acht Monate nach seinem Angriff wurde K. vom Landgericht Köln zu einer Haftstrafe von einem Jahr und acht Monaten auf Bewährung verurteilt, auch, weil er während des Prozesses ein umfassendes Geständnis abgelegt hatte.

Ein Botnet kann aber nicht nur Websites überlasten, sondern auch Krypto-Erpressersoftware verteilen. Die sogenannte Ransomware verschlüsselt die Festplatte eines Nutzers, bis er ein Bitcoin-Lösegeld an eine kryptische Adresse überwiesen hat. Genau deshalb ist Ransomware zu einem heißen Thema auf den Boards geworden – verspricht sie doch einen automatisierten digitalen Beutezug mit geringem Aufwand. Im Februar 2016 katapultierte eine solche Erpressersoftware rund 150 deutsche Krankenhäuser vorübergehend zurück in die 50er-Jahre: Ein beiläufiger Klick auf einen E-Mail-Anhang hatte die Systeme mit einem Erpressungstrojaner infiziert und die wichtigsten Daten verschlüsselt. In der Notfallambulanz in Neuss mussten Patientendaten per Hand aufgenommen werden, die Befunde stapelten sich als Zettel auf den Schreibtischen, komplizierte Eingriffe wie Herz-OPs konnten gar nicht mehr durchgeführt werden. Ob die Krankenhäuser tatsächlich an Kriminelle gezahlt haben, um den Betrieb wieder aufzunehmen, oder anderweitig wieder an ihre Daten kamen, ist nicht bekannt. Wer die Ransomware verteilt hatte, ebenfalls nicht.

Damit ein Botnet seine Wirkung entfalten kann, muss der zentrale Server »kugelsicher« gehostet werden, um schwerer nachweisen zu können, wo der Angriff mit den infizierten Geräten seinen Ursprung hat. Um bei kriminellen Geschäften im World Wide Web unsichtbar zu bleiben, braucht man spezielle Verschleierungstechniken, auf die sich andere CNW-Nutzer in der Kategorie »Hosting« spezialisiert haben – oder ganze Firmen, die sich als »Bulletproof Hoster« anbieten, wie der folgende Fall zeigt.

Im September 2019 rücken 650 Polizisten in das Weinstädtchen Traben-Trarbach an der Mosel vor. Ihr Ziel ist ein unwirklicher, versteckter Ort im Inneren des Stadtbergs Mont Royal. Die knapp 6.000 Einwohner von Traben-Trarbach nennen den Ort liebevoll »unseren Bunker«. Früher war hier mal die NATO, danach die Bundeswehr stationiert.¹² Fünf Jahre nach dem endgültigen Auszug der Truppen mietete ein gewisser Herman X. aus den Niederlanden sich im Jahr 2012 in die fünf »Solen« genannten Stockwerke tief unter der Erde ein. X.s Geschäft ist das Vermieten von Online-Speicherplatz. Er wollte den Bunker haben, weil er eine Festung ist. Autarke Notstromaggregate sichern die Energieversorgung, rein kommt man nur über eine militärisch gesicherte Schleuse. Und das Bundesamt für Liegenschaften suchte dringend einen Abnehmer für das teure Grundstück und die Instandhaltung von Grundwasserpumpen, Öltanks, Schiffsdieselmotoren und Lüftungen.

X. bekam den Zuschlag und verschanzte sich dort mit einer bunten Truppe an Mitarbeitern. Er zog Erdwälle um den Bunker hoch, ließ Rottweiler ums Gelände streifen, Besucher sahen nicht mehr als eine Schranke, Überwachungskameras und dichte Bäume. Niemand sollte wissen, was X. im Inneren trieb.

Der »Cyberbunker« wurde die wohl wichtigste Schaltzentrale für organisierte Cybercrime- und Darknet-Geschäfte in Deutschland. Der zweitgrößte Darknet-Drogenmarkt Wall Street Market soll hier seine Daten gespeichert haben, aber oft genug tauchten die im Bunker gesicherten Websites auch im Clearnet auf – die rechtsextreme Gruppierung Identitäre Bewegung mietete sich für ihren Webauftritt angeblich sogar zum Sonderpreis ein.¹³

Etwa sechs Jahre lang soll Herman X. unter der Erde in Traben-Trarbach unzählige illegale Cybercrime-Websites gehostet haben. Der Gerichtsprozess dazu steht noch aus.¹⁴ Er selbst behauptet nach seiner Festnahme, über die digitalen Inhalte seiner Kunden nicht Bescheid gewusst zu haben. In jedem Fall bewarb der Cyberbunker die schrankgroßen Server, die dort standen, mit der Garantie, dass die darauf gehosteten Inhalte vor Strafverfolgung geschützt seien. »No matter what«, wie es auf der Website kompromisslos hieß. Kompromisslos war auch die Betreiber-Policy: Jeder konnte Kunde werden und seinen Daten im Cyberbunker ein Zuhause hinter dicken Mauern bieten, solange er nichts mit Pädophilie oder Terrorismus am Hut hatte. Es war nicht weniger als eine herzliche Einladung für die Organisierte Kriminalität im World Wide Web.

Die Razzia im Cyberbunker traf auch die Daten des Cybercrime-Forums Fraudsters, den damals größten Konkurrenten von Neils CNW. Das gesamte Angebot ging vom Netz. Wo genau CNW gehostet ist, das behält Neil natürlich für sich.

Nur so viel verrät er: Das neue Crimenetwork hat aktuell keine nennenswerte Konkurrenz, und das Geld, das in diesem Unternehmen steckt, macht nicht nur die CNW-Händler, sondern vor allen Dingen den Betreiber Neil¹⁵ sehr reich.

Es scheint zunächst erstaunlich, dass man mit einem einfachen Internetforum zu so viel Geld kommen kann. Doch hinter dem simplen, pechschwarzen Layout steckt ein aufwendiges Geschäftsmodell, bei dem sich die Betreiber am Handel ihrer Mitglieder bereichern. Es stützt sich im Wesentlichen auf drei Säulen: Werbung, Lizenzen und Treuhandgebühren.

Genau wie bei legalen Websites können Nutzer Werbung auf CNW schalten – nur eben für ihr Kokain, Falschgeld oder für gestohlene Kreditkarten. Ein winziges Werbebanner kostet mehrere Tausend Euro im Monat.¹⁶ Das Geld, bezahlt in Bitcoin, geht direkt an die Forenbetreiber. Zweitens können Verkäufer illegaler Dienstleistungen ihre Handlungsspielräume auf CNW erweitern, indem sie sich eine Monopol-Lizenz kaufen. Damit sichern sie sich gegen eine monatliche Gebühr von 2.000 Euro bis 10.000 Euro ¹⁷je nach Produkt an die Führung das alleinige Recht, innerhalb des Forums eine bestimmte Ware anzubieten.

Damit Spezialisten im Datendiebstahl, böswillige Hacker und Online-Betrüger überhaupt irgendwie »sicher« miteinander handeln können, hat Neil als dritte Säule ein sogenanntes Treuhandsystem programmiert. Dieses System zur Absicherung von Transaktionen hat er sich von Darknet-Kryptomärkten abgeschaut – und es ist der Grund, weshalb der Laden läuft. Möchte A etwas von B kaufen, überweist er Bitcoin an Neils System auf der Seite, bis B die Ware an A geliefert hat. Ist das geschehen, zahlt Neils Treuhandsystem dem Verkäufer der Ware das Geld aus. Von jeder Transaktion zweigt sich Neil fünf Prozent ab. Neil, der sich selbst als »geldgeil« bezeichnet, zeigt uns bei einem Treffen, wie viel Geld er mit seinem System verdient hat. Allein 150.000 Euro hat er nach wenigen Monaten bereits in Bitcoin geparkt, eine Viertelmillion Euro in Bitcoin ist durch sein Treuhandsystem gesickert. »Aktuell verdiene ich das Dreifache meines regulären Jobs. Nebenher. Steuerfrei«, sagt er. Im Backend der Seite zeigt er uns, dass jeden Tag 255 GB Traffic über das Board laufen. Je mehr Traffic, desto länger halten sich die Nutzer auf CNW auf, je mehr Leute handeln und das Treuhandsystem nutzen, desto reicher wird Neil.

Neil versteht sich als Architekt einer komplexen verschlüsselten Infrastruktur und nicht unbedingt als Anbieter eines illegalen Angebots. Seine Ausgaben sind im Vergleich zu seinen Einnahmen gering. »Rechnet man grob alle Systeme zusammen, die CNW aktuell hat – Back-up der Maschinen, Backend der Maschinen, Frontend –, kostet das pro Monat 400 bis 600 Euro für den reinen technischen Betrieb«, sagt Neil.¹⁸

Es steckt also viel Krypto-Geld im Marktplatz auf CNW. Treuhand-Gelder sind einer der Gründe, warum die Führungsriege mehrere Male in den letzten Jahren gewechselt hat. Bevor es Neils System gab, übernahmen nämlich die jeweiligen Forenbetreiber die Verwaltung von Geldern persönlich – wer handeln wollte, musste ihnen schlicht vertrauen. Einer, der sich sync nannte, verschwand vor vier Jahren mit mehreren Millionen einbehaltener Gebühren und Treuhandgeldern der Nutzer.¹⁹ Ob aus Angst vor den Behörden, zur Vernichtung von Beweismitteln oder einfach aus Kalkül und Geldgier, weiß bis heute niemand. Wie sein Nachfolger unter dem Nutzernamen Mr. White verschwand, wissen wir mittlerweile: Der ehemalige CNW-Administrator, ein damals 23-jähriger Student der Wirtschaftswissenschaften, wurde 2017 in Köln festgenommen. Nach neunmonatiger Untersuchungshaft und der polizeilichen Beschlagnahmung von rund einer Million Euro in Bitcoin legte er letztlich ein Geständnis ab.²⁰ Ende Januar verurteilte ihn das Landgericht Köln zu einer Freiheitsstrafe von zwei Jahren auf Bewährung.

Die nächste Reinkarnation des Forums Crimenetwork unter neuer Domain und neuer Führung ließ nicht lange auf sich warten. Bei unserem ersten Treffen mit Neil hieß der CNW-Boss, dem Neil technisch zuarbeitete, noch Sicario – wenige Monate später verschwand auch er. Und Neil rückte von seinem Job als Techmin nach ganz oben in die Führungsriege auf, die er sich nun mit einem Nutzer unter dem Alias inigo teilt.²¹

Cybercrime als Sprungbrett ins Darknet

Regulär arbeiten zu gehen und von seinem Einkommen Steuern an den Staat abdrücken – das hält Neil für sinnlos und ungerecht, er nennt es sogar »Betrug«. Eine Einstellung, die auf CNW weithin geteilt wird. Schließlich legitimiert man damit, andere Menschen abzuzocken. Aufhören ist für Neil jedenfalls keine Option. »Mir tun Leute leid, die nur arbeiten gehen«, sagt er. »Ich selbst habe einen super Job mit wahrscheinlich einem besseren Verdienst und mehr Verantwortung als die meisten in meinem Alter. Aber mir fehlt der Kick. Mein Leben ist langweilig. Wirklich loyal bin ich nur dem Board gegenüber.«

Also häuft Neil Geld an. Statt in Urlaub zu fahren, sitzt er Tag und Nacht am Backend von Crimenetwork, zieht die Fäden im Hintergrund und optimiert die Geldflüsse. Wir sehen Neil noch ein paar Mal wieder. Bei unseren späteren Treffen traut er sich, sein Handy mitzubringen. Es summt ständig und gibt ihm per Push-Nachricht im Minutentakt Meldung darüber, wie sein Vermögen durch Bitcoin-Trades und Anteile an illegalen Geschäften der CNW-Nutzer wächst. »Das macht mich stolz«, sagt er. Aber was nutzt einem der ganze Schotter, wenn er nur virtuell auf einer Festplatte abhängt? »Gestern hab ich mir Gründungsdokumente für eine Firma in den Arabischen Emiraten durchgelesen und mich bezüglich einer Offshorefirma erkundigt«, erzählt Neil.²² Und wieso? »Um Teile der Bitcoin dort auszahlen zu können. Vielleicht.«

Denn Neil hat wie so viele Cybercrime-Täter ein Problem, das ihn nicht schlafen lässt: Er kommt nicht unbemerkt an sein Geld, denn das Zurückwechseln in Euro wirft unangenehme Fragen auf. Auscash-Optionen, ohne Spuren zu hinterlassen, gibt es immer weniger, selbst in der Angebotswelt des Deep-Web-Forums. Er überlegte, das Geld bei einem persönlichen Treffen mit einer Darknet-Bekanntschaft gegen Bares zu tauschen, verwarf die Idee aber wieder, weil ihm das zu riskant und die Gebühren zu hoch waren. Auch ein Gespräch mit einer Anwältin ließ ihn ratlos zurück. »Das eigentliche Problem, ›was machen Sie dann mit dem ganzen Bargeld‹, war mir vorher auch noch nicht so bewusst. Da wusste ich wirklich nicht weiter. Das kann ich unmöglich einzahlen auf mein Bankkonto.«

Was die Akteure des Cybercrime eint, ist nicht nur eine Besessenheit von Technologie. Es ist die Liebe zum Geld und ein äußerst flexibler moralischer Kompass. »Wenn der Admin nun umsatteln würde und CNW der Waffenhandel Nr. 1 in Deutschland sein würde … ich würde lügen, würde ich sagen, ich wäre nicht dabei«, sagt Neil.²³ Er zögert. »Ich habe, wie ein großer Teil der Fraudszene, einen psychischen Schaden.« Viel weiter kommt er in seiner Analyse aber nicht. »Auf der einen Seite schreibt mir eine alleinerziehende Mutter E-Mails: ›Wie soll ich jetzt die ganzen Rechnungen bezahlen?‹, und ich schreib zurück: ›Sieh zu wie du klarkommst‹²⁴, auf der anderen Seite bin ich absolut loyal gegenüber dem Admin des Forums – ja, da ist schon ein Widerspruch.«

Die Boards sehen unsere Quellen auch als Sprungbrett ins Darknet, wo es noch mehr Geld zu verdienen gibt. Schließlich sind Darknet-Märkte beliebte Handelsplätze für verbotene Substanzen, geklaute Daten und andere CaaS-Puzzleteile. Immer wieder machen sich einzelne Mitglieder von CNW mit eigenen Geschäften selbstständig – ganz besonders, wenn es um Online-Drogenverkauf geht. Zuletzt ging der internationale Drogenshop Chemical Revolution (CR) aus Crimenetwork hervor. An dem soll auch Neils Boss Sicario beteiligt gewesen sein. Die Hauptverdächtigen kannten sich von Crimenetwork und hatten von dort Betrugswebsites mit Ferienwohnungen aufgezogen, die es nicht gab.

2017 gegründet, verkaufte CR im Clearnet, im Darknet und auf dem Darknet-Kryptomarkt Wall Street Market in einem Jahr Drogen im Wert von zwei Millionen Euro. Die Ermittlungen des BKA stockten lange, doch dann gelang es der Polizei, einen Überläufer zu finden. Er identifizierte einen 26-jährigen Münchner, der mittlerweile auf Mallorca lebte, als Kopf der Bande. Am 28. Mai 2019 nahmen die Behörden den Mann bei der Wiedereinreise aus Mallorca fest.²⁵ So gelang es, Chemical Revolution zu zerschlagen. Elf Verdächtige wurden festgenommen, die Server abgeschaltet und sichergestellt.²⁶

Neil ist »zu hundert Prozent« überzeugt, dass es sich dabei um seinen ehemaligen CNW-Boss Sicario handelt. »Er hätte nie mit dem Drogenshop anfangen sollen«, erzählt er Ende August 2019.²⁷ »Nun haben inigo und ich seit knapp drei Monaten das Baby in unseren Händen und ich merke bei jeder monatlichen Abrechnung, wie ich mehr will – obwohl ich pro Monat mit meiner aktuellen Beteiligung über 10.000 Euro als Gewinn verbuchen kann.«²⁸ Der Prozess gegen Chemical Revolution ist für den Sommer 2020 angesetzt und verspricht ein Spektakel zu werden: Weil es in Gerichten keinen Saal gibt, der genug Kapazität für alle Beteiligten hat, wird die Verhandlung vermutlich in einer Kongresshalle abgehalten.²⁹

Im Sommer 2020 stellt sich heraus, dass Neil recht hatte. »Heute hat’s gekracht. Aber nicht bei mir«, schreibt er mir am 23. Juni. Mit »gekracht« meint er eine bundesweite Razzia.³⁰ gegen Crimenetwork-Tatverdächtige, an der 1.400 Polizisten beteiligt waren und 32 Personen vorläufig festgenommen wurden. Einen früheren, 26-jährigen Administrator des Forums, heißt es in der Pressemitteilung zum »Action Day«, habe man am 28. Mai 2019 bei der Einreise nach Deutschland bereits festgenommen. Neil weiß mittlerweile auch, dass die Behörden die Datenbank des Forums im vergangenen Jahr ergattert und gespiegelt haben – »alle Threads, alle Privatnachrichten«, schreibt er. Er macht trotzdem weiter.

Auch die Protagonisten unseres nächsten Kapitels haben CNW als Hochschule für eine Karriere in millionenschweren Darknet-Geschäften besucht. Sie haben Chemical Revolution gezeigt, dass so etwas überhaupt möglich ist. So wie ein junger Programmierer namens Statine: Er schlug sich mit kleinen illegalen Jobs rund um Phishing und gestohlene Kreditkarten durch, bis er eine schicksalhafte Bekanntschaft auf dem CNW macht, die sein Leben verändern sollte. Sie führt ihn weg von billigen Abzock-Methoden mitten in den organisierten Darknet-Drogenhandel, der organisch auf den Foren mitgewachsen war.

3. DIE GESCHICHTE VON SHINY FLAKES
Die neue Seidenstraße: Wie Silk Road den Drogenhandel digitalisierte

Wenn man davon ausgeht, dass der Handel ganz generell durch das Internet komplett umstrukturiert wurde, dann gilt das seit dem Darknet insbesondere für den Drogenhandel. Das geringe Gewicht bei kleinen Mengen, die weltweit hohe Nachfrage, zuverlässige Postsysteme und der immense Profit, der mit Drogen erzielt werden kann, machen sie zum idealen Produkt für die Schattenwirtschaft im Darknet.

Seit es vernetzte Computer gibt, hat das den Drogenhandel vereinfacht. Schon über das ARPANET, dem Vorläufer des Internets, versuchten US-Studenten, ein bisschen Cannabis zu verkaufen, in den Internetforen der 80er-Jahre boten Internet-Pioniere LSD und Marihuana an (auch wenn man sich für die Übergabe noch persönlich treffen musste).¹ In den 90er-Jahren kamen Drogen-Diskussionsforen wie The Hive im Internet hinzu, auf denen man sich nicht nur über das beste High austauschte, sondern in blumiger Code-Sprache die hauseigenen Züchtungen für Interessenten in der Nähe anpries.²

2009 trat dann ein junger Kalifornier auf den Plan. Er war ein brillanter Programmierer und glühender Verfechter unregulierter Märkte und uneingeschränkten Handels. Im Netz trat er unter dem Pseudonym DreadPirateRoberts (DPR) als Pionier einer neuen, technologisch geprägten libertären Ära auf und scharte in Diskussionsforen eine wilde Mischung aus Sicherheitsforschern, Hippies, Drogendealern und politischen Extremisten um sich.³

Er hatte die Idee für den ersten Kryptomarkt im Darknet: Silk Road. Frei von staatlicher Einmischung und durch die Anonymität des Darknets überhaupt erst möglich gemacht, sollte man auf Silk Road ungehindert, anonym und vor allem sicher jede Droge der Welt – und andere illegale Güter – handeln dürfen.

Silk Road war das, was Forscher und Ermittler als »kriminelle Innovation« beschreiben⁴, eine völlig neue Art, Straftaten zu begehen – und zu verwischen: Denn sowohl die Identität als auch der Standort der Beteiligten waren durch den Tor-Browser verschleiert. Die Deals konnten weitgehend anonym abgewickelt werden, ohne dass Verkäufer und Käufer Strafverfolgung fürchten mussten. Gleichzeitig war Silk Road relativ einfach zugänglich, man muss nur die Onion-Adresse wissen. Auf Silk Road waren erstmals Substanzen verfügbar, die offline selbst in Großstädten nicht immer einfach zu bekommen sind. Ein Bewertungssystem ähnlich wie bei eBay schaffte Vertrauen zwischen anonymen Parteien und regulierte den Markt. Bewertet wurde, neben der Qualität der Ware, auch der Service der Händler. Das gab den Kunden Orientierung in der Angebotsflut und schaffte das nötige Vertrauen.

Silk Road entwickelte sich rasant. Der im Februar 2011 gegründete virtuelle Schwarzmarkt setzte schon Ende 2012 jede Woche umgerechnet rund 1,3 Millionen Euro um.⁵ Das blieb nicht lange unbemerkt. »Silk Road ist um Lichtjahre dreister als alles bisher Dagewesene«, schimpfte US-Senator Chuck Schumer 2011 in seiner eindringlichen Aufforderung an US-Fahnder, das »hochkriminelle« Projekt endlich zu zerschlagen.⁶ Das war leichter gesagt als getan. Es gelang nur durch die Zusammenarbeit mehrerer Strafverfolgungsbehörden, Testkäufe und die Infiltrierung der Seite durch verdeckte Ermittler.

Fast drei Jahre währte die Saga um die unbesiegbar scheinende Silk Road und ihren mysteriösen Gründer. Am 2. Oktober 2013 gelang es dem FBI, den 29-jährigen Chemie-Ingenieur Ross Ulbricht in der Science-Fiction-Abteilung einer öffentlichen Bibliothek in San Francisco zu verhaften, während er auf seinem Laptop als Administrator des Marktes unter dem Namen DreadPirateRoberts eingeloggt war.

Erstaunlich ist an diesem Fall, dass Ulbricht ein ganz neuer Tätertypus zu sein schien – meilenweit entfernt von dem Bild eines skrupellosen Drogen-Kingpins, das die US-Behörden gern zeichneten.

Doch selbst als Silk Road noch florierte, bekam das Image vom friedliebenden »Hugs & Drugs«-Libertären DreadPirateRoberts erste Risse. »Bestellseite neu programmiert. Böswilligem Hacker 50.000 Dollar wöchentliches Schutzgeld gezahlt. Die [US-Drogenvollzugsbehörde] DEA hat zwei Millionen Dollar von meinem Konto gestohlen.« – So lesen sich die Tagebucheinträge des Silk-Road-Gründers Ende Mai 2013, die das FBI später veröffentlichte. DreadPirate-Roberts, der zum Schluss eine Million Nutzer auf der Onion-Website versammelte, stand unter gewaltigem Druck. Als seine engsten Vertrauten ihren Guru betrogen, zeigte der vermeintlich friedliebende, fürsorgliche Tech-Revolutionär seine andere Seite: DPR wollte, wie sich später herausstellte, zwei Menschen ermorden lassen, von denen er annahm, dass sie die Plattform bestohlen hatten.

Dass es keine Toten gab, lag letztlich nur daran, dass Ulbricht seine Mordaufträge bereits unwissentlich bei verdeckten US-Sonderermittlern per Chat aufgegeben hatte. Die Ermittler weihten das Opfer, einen abtrünnigen Mitarbeiter, ein und inszenierten mit seinem Einverständnis dessen »Mord« – mithilfe von Theaterblut und einer Dose Hühnersuppe mit Nudeln, um Ulbricht im Glauben zu lassen, den Mord durchgeführt zu haben. Im Laufe der weiteren Ermittlungen gegen die Plattform bedienten sich die Beamten selbst großzügig am Bitcoin-Schatz von Silk Road.⁷ Später wurde Special Agent Carl Force IV dafür zu sechseinhalb Jahren Gefängnis verurteilt.⁸

Seine Festnahme zementierte Ulbrichts Status als Ikone für seine Nutzer, die ihn als »Erlöser« feierten und schworen, ihn aus der Haft zu befreien. Das ist bis heute zwar nicht gelungen, aber auch wenn Ross Ulbricht lebenslang in Haft bleiben sollte – seine kriminelle Innovation lässt sich nicht mehr aus der Welt schaffen. Sie hat Cyberkriminelle und Drogenhändler auf dem ganzen Globus inspiriert. Auch in Deutschland.

Die Geschichte von Shiny Flakes

»Was soll ich sagen, so kauft man heute Drogen. Freitag bestellt, Montag war’s da, Quali und Kontakt 10/10. Ich bin jetzt immer nur noch hier, ihr seid die Besten!!!«

Nutzerbewertung für Shiny Flakes

Donnerstag, 26. Februar 2014. Zhivko Z. lenkt seinen roten Astra langsam auf den Parkplatz eines tristen Mehrfamilienblocks im Leipziger Gründerzeit-Viertel Gohlis und wartet.

Es war ein einfacher Auftrag gewesen. Eine Kneipenbekanntschaft hatte ihn gefragt, ob er sich nicht etwas dazuverdienen möchte. Jemand suche einen Fahrer, um Kosmetikartikel über die deutsche Grenze zu bringen. Warum nicht? Viel Geld war es nicht, aber 400 Euro und 200 Euro Spesen konnte er gut gebrauchen. Als Wirtschaftstechniker verdiente man in seinem Heimatland Mazedonien nicht gut, und in den Niederlanden hatte er durch die Sprachbarriere nie richtig Fuß fassen können.⁹ Mit so einer Fahrt ab und an konnte er sich und seiner kleinen Familie das ein oder andere Extra leisten. Zhivko begann zu rechnen: Sechs Stunden von Amsterdam bis Leipzig für 600 Euro, minus 70 Euro Sprit und Brötchen an der Tanke. Bleiben noch über 500 Euro.

Zhivkos Kontaktmann in Leipzig ist ein kurz angebundener Typ, höchstens halb so alt wie er. Handschlag. Zusammen leeren sie den Kofferraum, heben die sieben schweren Kisten, die Zhivko in Amsterdam erhalten hatte, auf den Asphalt und verabschieden sich. Im Rückspiegel sieht Zhivko noch, wie sein junger Geschäftspartner die Lieferung nur mit Mühe vom Parkplatz schleppt. Er ist gerade um die Ecke gebogen, als aus dem Nichts Männer auftauchen und auf sein Auto zurennen.

Für Max S., 19 Jahre alt, beginnt jetzt die Arbeit. Vor ihm stehen in Kartons 27,6 Kilo Amphetamine, 24.850 Ecstasy-Tabletten, 20 Kilo Haschisch und 10.000 LSD-Trips. Das reicht gerade mal für ein paar Tage. Es ist eine eher kleine Lieferung. Vergangene Woche waren es 300 Kilo.¹⁰ Wie jedes Mal muss er mehrmals gehen, um die Ware aus den Niederlanden in die Wohnung seiner Mutter um die Ecke, in sein Zimmer, zu befördern.

Ihm bleibt nicht viel Zeit. Seine Mutter sitzt im Wohnzimmer und Max will ihr möglichst nicht begegnen. Sein Zimmer schließt er ab, sobald er drin ist, die Mutter darf es nicht betreten. Dort tut er, was er jeden Tag macht: Drogen portionieren und verpacken.

Immerhin war der Kurier diesmal wieder pünktlich. Und vor allen Dingen billig. Die Zeiten, in denen er einen zuverlässigen Mann hatte, der die Ware aus Holland kurz über die Grenze gebracht und in Deutschland in eine Packstation geworfen hatte, sind leider vorbei. Der Mann ist untergetaucht. Andererseits ist die Ware auch viel zu wichtig, um sie per Post zu empfangen. Sie per Post zu verschicken ist etwas ganz anderes.

Ein Polizeibeamter, der vor dem Haus im Auto sitzt, observiert Max schon länger. Die Regelmäßigkeit, mit der seine Zielperson die wöchentliche Lieferung aus Holland bekommt – jeden Donnerstagnachmittag direkt ans Haus –, ist schon fast zu akkurat, um wahr zu sein. So, wie andere Leute kegeln gehen, macht der Junge, den er beobachtet, einmal wöchentlich einen Ausflug auf den Parkplatz und bringt jedes Mal mehr hellgraue Kartons mit.

Dass sein Kurier wenige Hundert Meter weiter in Handschellen an ein Auto eines mobilen Einsatzkommandos gedrückt wird, ahnt Max nicht. Zu Hause öffnet er die Kisten und schaltet den Großbildfernseher an. Unten wartet das SEK. Das Go für den Zugriff kommt um 15.45 Uhr. Max erinnert sich später, dass er sich gefragt habe, wer um diese Zeit im Haus bohrt. »Polizei!«, brüllt jemand im Treppenhaus. Die Beamten bohren das Wohnungsschloss auf, Max weiß, dass ihm kaum Zeit bleibt. Er schafft es gerade noch, die Stromzufuhr an seinem Arbeitsrechner zu kappen und damit alle Inhalte der Festplatte beim Neustart hinter einer Passwort-Eingabemaske zu verschlüsseln. Nur Sekunden später kracht ein knappes Dutzend schwer bewaffneter SEK-Leute mit dem Rammbock durch die Wohnungstür von Max’ Mutter Carmen S. in Leipzig-Gohlis. Sie zertrümmern die abgeschlossene Tür des Jugendzimmers und sehen Max, der mit erhobenen Händen im Raum steht, zum ersten Mal in die Augen. Und staunen.

Vollgestopfte meterhohe Regale und Schränke, davor, darauf und daneben prall gefüllte Kisten: Bis auf ein Bett und einen Computer scheint dieses Zimmer bis unter die Decke mit Drogen bestückt zu sein.

Der Monitor ist noch angeschaltet, doch auf dem Rechner tut sich nichts. Vergebens rüttelt der SEK-Beamte an der Maus. »Das Passwort!«, verlangen die Polizisten. Max weigert sich. »›Wieso sollte ich?‹, hab ich damals gedacht«, sagt Max.¹¹

Die Asservatenliste, die die Spurensicherung angefertigt hat, liest sich, als hätte die Polizei an diesem Abend nicht ein kleines Zimmer, sondern ein Großlager auseinandergenommen:

88.749 Ecstasy-Tabletten »Mortal Kombat«

60.670 Ecstasy-Tabletten »Burger King«

28.004 Ecstasy-Tabletten »Chupa Chups«

56.971 Ecstasy-Tabletten »UPS«

650 Fentanyl-Pflaster,

2.450 Diazepam-Tabletten im Blister

2.262 Tramadol-Tabletten im Blister,

Clomazepam,

Testosteron,

Ketamin,

Fluoxetin ¹²

Und so weiter.

Max’ Mutter Carmen, die im Wohnzimmer mit einer Maschinenpistole in Schach gehalten wird, habe gezittert und geschluchzt, erzählt Max. Es ist das erste Mal seit Jahren, dass sie die Zimmertür ihres Sohnes geöffnet sieht, wird sie später vor Gericht sagen. Der Fußboden ist voller Kartons, ihr Sohn liegt lädiert und gefesselt im Flur. »Ich brauche einen guten Anwalt«, ist das Letzte, was Max zu seiner Mutter sagen kann, bevor er abgeführt wird.¹³

Treffen im Café

»Ich weiß immer noch nicht, wie ich die Geschichte erzählen soll«, sagt Max und starrt ins Leere. »Wie willst du einem Normalsterblichen vermitteln, was ich getan habe?« Es ist Oktober 2018 und wir sitzen in einem sonnigen Café in Berlin. Max hat von diesem Stadtalltag in den vergangenen vier Jahren nicht viel mitbekommen, weil er im Gefängnis war. Mittlerweile ist er im offenen Vollzug in Leipzig und hat sich zu einem Treffen bereit erklärt, um seine Sicht der Dinge darzulegen. Dafür ist er an einem Sonntagmittag in die Hauptstadt gekommen. Viel Zeit haben wir nicht: Um 22 Uhr ist in Max’ JVA wieder Einschluss.

»Zur Begrüßung haben sie mir eine Maschinenpistole durchs Gesicht gezogen«, erzählt er.

»Ich sah übel aus. Mein Anwalt hat später Fotos von meinem zerbeulten Gesicht gemacht, aber wir haben das nie zur Anzeige gebracht«, sagt er. Wieso denn nicht?, will ich wissen. Max winkt ab. »Die waren zu acht oder neunt. Sie hätten einfach gesagt, ich hätte mich gewehrt.«

Die Polizei rechtfertigt ihren bewaffneten Einsatz vor Gericht mit der möglichen Gefahrenlage: Man habe anhand der gigantischen Menge Drogen, mit der hier gehandelt wurde, mindestens mit Handgranaten und anderem schwerem Geschütz gerechnet. Doch bis auf ein Teppichmesser zum Zerschneiden von Kartons wurde keine andere Waffe gefunden. »Na, ich glaube, ich hatte irgendwo ’ne Schere«, ergänzt Max lakonisch.

»Auf jeden Fall: Maschinenpistole durchs Gesicht, Kabelbinder um die Handgelenke, dann lag ich da, während sie die Wohnung gesichert haben und mir ständig wie zufällig auf die Knöchel getreten sind. Sie haben den zweiten Monitor einfach nicht angekriegt, also hab ich gesagt: ›Ihr seid zu blöd dafür. Gebt mir einfach die Fernbedienung und ich mach das.‹ Dafür hab ich mir direkt noch eine gefangen.«

Max wird auf eine Polizeiwache gebracht und nach einer Nacht in einer Zelle dem Haftrichter vorgeführt. Dort lernt er auch seinen Anwalt Stefan Costabel kennen, den ihm seine Familie organisiert hat.

Den Haftrichter beschreibt Max als moralisierenden Unsympath. Mitten in der Befragung durch den Haftrichter habe er zu seinem Anwalt gesagt: »Muss ich die Fragen von dem Arschloch da beantworten?« Die erste Einschätzung der ebenfalls anwesenden Jugendgerichtshilfe vor Ort sei dementsprechend nicht zu seinen Gunsten ausgefallen: »Völlig kaputter Typ.« Für Max geht es direkt weiter in die U-Haft.

Max vergeht das Lachen, wenn er an diesen Tag zurückdenkt. »Ich konnte wegen der Wunden von der Razzia kaum geradeaus gucken. Die Polizisten standen feixend hinter dem Haftrichter und meine Mutter hat nur noch geheult«, sagt er.

Frühjahr 2013 in Leipzig. Max ist 18 Jahre alt, hängt nach seiner Mittleren Reife in einer Ausbildung zum Restaurantfachmann fest¹⁴ und poliert lustlos jeden Abend Gläser. Sobald er Feierabend hat, geht er nach Hause und sitzt an seinem Rechner. Max feilt an einem Geschäftsmodell.

Wer dem unauffälligen und mürrischen Max nichts zutraut, irrt sich. Er ist einfallsreich, diszipliniert und besitzt einen untrüglichen Geschäftssinn. Außerdem kann er mit Computern umgehen.

Von seinem Ausbildungsgehalt hat er sich 2.000 Euro zusammengespart. In diesem Jahr will er sie endlich investieren – in einer Welt, die ihm vertrauter ist und hoffnungsvoller erscheint als die Zukunft als Restaurantfachmann: im Internet.

Einer seiner regelmäßigen Anlaufpunkte ist das Cybercrime-Forum Crimenetwork. Dort tauscht er sich mit anderen Usern aus. »Projekte« hat dort jeder am Laufen. Legal sind die wenigsten. »Ich war da schon länger angemeldet wegen … so Sachen«, sagt Max bei unserem Treffen und schüttelt unwirsch den Kopf. Weiter ins Detail will er nicht gehen.

2013 ist ein turbulentes Jahr in Sachen Online-Kriminalität. Die Geschichte von Silk Roads Aufstieg und Fall kennen Max und seine Chatpartner auf Crimenetwork natürlich und diskutieren sie rauf und runter. Im Forum waren sich alle einig, sagt Max:¹⁵ Dieser Ross Ulbricht hat ein paar echt dumme Fehler gemacht. Vielleicht wäre es ja vermeidbar gewesen, dass Ulbricht aufflog? Max ist einer von vielen, der behauptet, es tausendmal besser hinzukriegen. Aber der Einzige, der es auch durchziehen wird.

Nach Silk Roads Niedergang erlebten Kryptomärkte im Darknet einen regelrechten Boom. Mithilfe des Tor-Browsers analysiert Max nun nach Feierabend systematisch, wie sich die Verkäufer illegaler Waren dort über Wasser halten. Max’ Anwalt Stefan Costabel wird später sagen, sein Mandant sei »beeindruckt gewesen, was es auf den Märkten so alles gab«: sämtliche psychoaktiven Substanzen von Amphetamin bis Xanax, Handgranaten, Schusswaffen, Pornos, gefälschte Ausweispapiere, Falschgeld, gehackte Daten und gestohlene Elektronik. Doch die mit Abstand beliebteste Produktkategorie sind Drogen.

Ulbrichts Festnahme und der schlagartige Ruhm des Gründers von Silk Road haben Max überhaupt erst angespornt, erzählt er mir bei unserem Treffen. Er entscheidet, dass die Welt des Online-Drogenhandels auch seine Welt werden soll. »Die Nachfrage war da und die Marge hoch« – so erklärt Max Jahre später seinen Entschluss, in diesem Milieu völlig ohne Erfahrung mitmischen zu wollen. Ein paar Wochen später ist er bereits im Geschäft.

Vom Tellerwäscher zum Darknet-Meister

Im echten Leben gilt Max als Eigenbrötler, der anderen unfreundlich gegenübertritt und keine besonderen Fähigkeiten hat. In der Schule war er ein Außenseiter.¹⁶ Im Internet ist Max ein unbeschriebenes Blatt. Was er jetzt braucht, ist ein erster Vertrauensvorschuss. Auf Agora, einem Kryptomarkt, findet er Anschluss im Chat. Einer der wenigen deutschen Drogenhändler im Darknet nimmt ihn als Mentor unter seine Fittiche und führt ihn in die Kunst des Online-Drogenhandels ein: RedBull.

RedBull ist eine Art Pionier unter den Darknet-Dealern. Als den meisten Ermittlern das Wort Darknet noch nicht mal richtig über die Zunge ging, verschickte er schon 2010 von einer Wohnung in Westberlin aus gefälschte Ausweispapiere, Kokain und Ecstasy. Erst Silk Road, dann Pandora, Agora, Evolution und Hydra: RedBull hat alle diese Kryptomärkte erlebt – und überlebt. Mit 830 abgeschlossenen Deals ist er der ideale Chatpartner für den wissbegierigen Max, der sich im Darknet zunächst DonCamillo nennt – nach seiner Ausbildungsstätte.

Aus der Forschung weiß man, dass nicht jeder Händler auf einem Kryptomarkt bestehen kann: Nur rund 70 Prozent aller Drogen-Angebote finden überhaupt einen Abnehmer. Mehr als jeder zweite Verkäufer verdient im Jahr weniger als 10.000 US-Dollar und betreibt den Handel nur als lukrativen Nebenjob neben einer anderen Lohnarbeit, um sich den ein oder anderen Luxus leisten zu können. Diese »Nebenjobber« zwacken gerade mal 3,5 Prozent des Gesamtumsatzes des Marktes ab, stellen aber die Mehrheit der Händler. Nur fünf Prozent Topverdiener machen mehr als 200.000 US-Dollar Umsatz im Jahr.¹⁷

Doch DonCamillo denkt noch größer. Darknet-Händler, schön und gut. Auf Agora wäre er jedoch nur einer unter vielen. Was wäre, wenn man die Rivalen am Markt einfach ausschalten könnte, indem man selbst eine ganze Palette Drogen auf einer eigenen Plattform anbietet? Was wäre, wenn er der nächste Ross Ulbricht werden würde – nur ohne Konkurrenz und Stress mit anderen Händlern?

Denn auf Ärger mit anderen Dealern hat Max keine Lust. Er hat noch nicht mal besonderes Interesse an Drogen. Aber er weiß, dass sie sich verkaufen. Er sucht, wie sein Anwalt später behauptet, »einfach nach Anerkennung im Netz«.

Am 27.9.2013 meldet Max sich beim Finanzamt als Kleinunternehmer an. In das Feld »Berufssparte« trägt er ein: »Webdesign«. Er verbringt den Winter hauptsächlich zu Hause und lernt, wie man Packstationen hackt, Bitcoin-Transaktionen erledigt und seine Spuren im Netz wirklich effizient verschleiert. Und er treibt das Projekt, einen eigenen Krypto-Drogenshop aufzubauen, voran.

Sein erster Plan für einen deutschen Online-Handel mit Kokain und anderen Drogen war arbeitsteilig. RedBull soll die Drogen liefern. Um den Versand soll sich ein gemeinsamer Darknet-Bekannter kümmern. »Keine Ahnung mehr, wie der im Netz hieß«, behauptet Max bei unserem Treffen, »die Nicknames werden da ja auch gewechselt wie Unterhosen. Vor Gericht hab ich ihn dann in DummesSchwein umgetauft«, erzählt er und grinst.

»Auf jeden Fall war die Grundidee, ich mach nur den Shop. Verschicken war mir zu doof, das ist ja nicht die Kunst. Jeder kann irgendetwas klein machen und einpacken. Das ist dumme Arbeit, die man delegieren kann, soweit man jemandem vertraut«, sagt er.

Zunächst aber organisiert sich Max selbst ein Starterpack Drogen, um es im Netz zu verkaufen und an Geld zu kommen. Er tauscht seine 2.000 gesparten Euro in Bitcoin um und kauft sich bei RedBull 30 Gramm Koks und psychedelische Pilze. Max’ erste Koks-Investition ist riskant, doch es funktioniert. Ohne Internet hätte das nie geklappt, werden später Ermittler behaupten: »Der hätte keinen halben Tag am Hauptbahnhof durchgehalten.«

Ein Drogenshop entsteht

Max ist entschlossen, aus seinem Projekt das Maximum herauszuholen. In Rekordzeit bringt er sich Marketingkniffe zur Verkaufsoptimierung bei. Dazu gehört zuallererst eine ansprechende Präsentation der Ware. Das Kokain, das ihm RedBull in einem unauffälligen Umschlag per Post schickt, legt er in seinem Zimmer auf einen Spiegel und fotografiert die Kristalle mit einer teuren Spiegelreflexkamera im Close-up. Sie schimmern und glitzern auf seinem Monitor, fast wie Schneeflocken. »Shiny Flakes halt«, sagt Max später. »Liest sich gut.«

Der Name bleibt hängen:

Shiny Flakes nutzt er fortan als Namen seines Shops und zugleich als sein Admin-Pseudonym. Wer am 2. Januar 2014 auf die frisch eingerichtete Webadresse www.shiny-flakes.cc klickt, erfährt im lesefreundlichen Frage-Antwort-Format Folgendes:

»Kokain ist nicht böse. Stars wie Cristiano Ronaldo, Charlie Sheen, Paris Hilton, Robbie Williams, Eminem, Britney Spears, Justin Bieber, Lady Gaga und viele, viele mehr haben bereits zu Kokain gegriffen, sogar US-Präsident Barack Obama gab in seiner Autobiografie zu, in jungen Jahren öfters Kokain geschnupft zu haben!«

Zum Schluss folgt noch ein mütterlicher Tipp: »Nase putzen nicht vergessen.«

Was klingt wie eine Satireseite, ist der erste Prototyp eines Unternehmens, dem deutsche Ermittler über ein Jahr hilflos hinterherlaufen werden – registriert auf den Kokosinseln im Indischen Ozean, die Server unerreichbar irgendwo im Ausland, Zahlung anonym in Bitcoin, Versand per DHL. Neben dem aufmunternden Werbetext und den Fotos hat Max Kauf-Buttons für Kokain, MDMA und Crystal Meth programmiert. Der Laden läuft über die Handelssoftware Woo-Commerce, ein automatisches Warenkorbsystem legt die gewünschten Artikel mit einem Klick bequem in den Einkaufswagen. »Worauf wartest du noch? Schlag zu!«

Ohne dass es jemand mitbekommt, kauft Max sich in den kommenden Wochen ein kleines Drogensammelsurium aus dem Darknet zusammen und verkauft es mit kleinem Aufschlag wieder weiter, um sich sein eigenes Portfolio als Händler langsam, aber sicher aufzubauen. Mit jedem Pilz- und Koks-Päckchen, das er auf den Weg schickt, lernt Max dazu: wie man Drogen luft- und blickdicht in einem Brief versteckt, wie man sicher versendet und sicher abholt, und über die Kommunikation der Händler mit den Käufern.

Er versteht, welche Margen im Darknet-Handel möglich sind – und wie gern deutsche Käufer bei deutschen Händlern kaufen. Mit jeder erfolgreichen Bestellung, die beim dankbaren Kunden landet, bekommt Max ein Sternchen für seine Bewertungsseite – und sein Profil nimmt Form an.

Ihm gefällt die Nüchternheit. Für ihn sind es einfache Transaktionen, die bei Verlässlichkeit belohnt werden. Vielleicht zum ersten Mal hat er das Gefühl, etwas wirklich gut zu können.¹⁸

Gummibärchen auf der Wache

Im Frühjahr 2014 beschäftigt die Ermittler in Sachsen, genau wie die in bayerischen Randgebieten, hauptsächlich ein Meth-Problem: Über die offenen Grenzen aus Tschechien wird die Droge in Autos importiert, sie macht schnell süchtig und hat sich auch in Leipzig ausgebreitet.¹⁹ Dann stellt Oberkommissar Bernd Merbitz fest, dass plötzlich seltsame Sendungen in den Wachen der sächsischen Großstadt eintrudeln.

Leipziger Bürger haben Luftpolsterumschläge und Pakete vorbeigebracht, als sie lange bei ihnen im Treppenhaus liegen geblieben waren. Der Poststempel ist aus Leipzig, doch niemand – auch nicht die Post – kennt die Adressaten oder die Absender.

Auf der Wache öffnen Kriminalkommissare die Pakete. Pinke und grüne Pillen kullern heraus. Und dann ist da noch etwas in der Sendung, das verdächtig aussieht nach … Gummibärchen?! Die Polizisten finden keine verwertbare DNA-Spur daran. ²⁰

Erste Tests im Labor bestätigen den Verdacht: Bei den Gummibärchen handelt es sich um gezuckertes Fruchtgummi mit natürlichen Aromastoffen. Und bei den Pillen um hoch konzentriertes Ecstasy.

Das Koks-und Pillen-Franchise im Internet ist noch nicht mal richtig angelaufen, als das Trio, RedBull (Lieferant), »DummesSchwein« (Verpacken und Versand) und DonCamillo (Max), das sich nur aus verschlüsselten Chats kennt, zu einem Duo aus Lieferant und Verkäufer zusammenschrumpft.

Max hatte einen Anfängerfehler gemacht. Er hatte einen seiner Crimenetwork-Kollegen mit der Aufgabe des Verpackens beauftragt: »Ich meinte im Chat, pass auf, wenn du auch was verdienen willst, musst du nur meinen Anweisungen folgen. Du machst das klein und verschickst das«, erzählt er mir bei unserem Treffen in Berlin.

Das Organisieren der Drogen per Post, sagt er weiter, sei eigentlich ziemlich einfach gewesen. Genügend Geld zum Reinvestieren habe er vom Verkauf des Kokains gehabt. »Drei Wochen später hatte der Typ Drogen im Wert von 20.000 Euro vor sich liegen, die ich ihm besorgt hab – und sich natürlich nie wieder gemeldet.«

Max ignoriert einfach, dass er einen Partner verliert. Er habe immer an sein Projekt geglaubt, sagt er mir. »Und das bisschen Versand, dachte ich damals, krieg ich auch alleine hin.« In jeder freien Minute optimiert er seine Website. Für den Fall, dass RedBull sich plötzlich auch entscheiden sollte, nicht mehr zu liefern, sucht er sich schon mal selbst im Darknet ein paar neue und größere Lieferanten.

Um sich von anderen abzuheben, will er sich so schnell wie möglich aus der Deckung des Darknets begeben und die Drogen nicht nur über Tor, sondern durch mehrere ausländische Server getarnt auch auf einer deutschsprachigen Website im Clearnet anbieten. Dass er mit einer solchen Webadresse natürlich auch für die Behörden sichtbar wird, kalkuliert er von Anfang an ein.

Damit hat er seine Nische gefunden. Denn obwohl Kryptomärkte²¹ theoretisch globale Plattformen sind und den Verkauf rund um die Uhr ermöglichen, sind sie in der Praxis eher ein Phänomen zwischen Akteuren des globalen Nordens, sagen Drogenforscher. Kunden entscheiden sich schon deshalb lieber für einen Händler aus ihrem eigenen Land, weil dieser die Muttersprache beherrscht.²² Viel entscheidender ist jedoch, dass die Zustellung sicher abgewickelt werden kann. Wer von Deutschland verschickt und primär deutsche Kunden anspricht, muss sich um Probleme mit dem Zoll nicht kümmern – und kann davon ausgehen, dass bei der Post kaum eine Sendung hängen bleibt.

Das Darknet nutzt Max ab Winter 2014 auch als Werbefläche für seinen Shop. Auf drei verschiedenen Kryptomärkten, Agora, Pandora und Evolution, verkauft er Drogen und verschreibungspflichtige Medikamente parallel, mit dem Hinweis »Kauft lieber im Shop! www.shiny-flakes.cc«. Sein Ziel ist, die Kundschaft vom Darknet langfristig auf seine offene Internetadresse zu locken.

»Die ersten fünfzig Bewertungen auf den Darknet-Märkten hab ich mir einfach selber geschrieben«, sagt Max bei unserem Treffen. »Wäre ja dumm, wenn man das nicht macht, man muss ja erst mal sichtbar werden. Ich bestell also fünfzig Mal unter dreißig verschiedenen Accounts ein Gramm bei mir selbst, überweise mir selbst den Bitcoin-Betrag und gebe mir immer fünf Sterne. Dann lässt man das einfach laufen und die Kunden kommen von selbst. Wenn man irgendwann 500 Bewertungen hat, zögern die Leute überhaupt nicht mehr.«

Er hat mittlerweile so viele Deals über Kryptomärkte abgewickelt, dass er seinen guten Ruf und seinen exzellenten Bewertungsdurchschnitt nutzen kann, um für sein kleines Drogen-Start-Up zu werben. Das Cybercrime-Board Crimenetwork schien die ideale Adresse, um Kunden aus dem Clearnet anzulocken.

Und wenn Max schon mal dort ist, kann er auch über das Board direkt Drogen verkaufen. RedBull freut das, er liefert gern. Zahlung in Bitcoin, Bestellung per verschlüsselter E-Mail: Auf CNW spricht sich in rasend schneller Geschwindigkeit herum, dass dieser Typ namens Shiny Flakes hält, was er verspricht. Nach diesen Testimonials unter der großen Nutzerbasis von Crimenetwork hat Max gesucht. Sein Businessplan geht auf: Sobald er zum Gesprächsthema auf CNW aufgestiegen war, nutzt er seinen Ruhm, um die eigene Shop-Website www.shiny-flakes.cc zu pushen, und auf CNW kommt Max eine Idee, wie er Konkurrenten ausschalten kann: Er bezahlt den Betreiber dafür. »Ist doch blöd, wenn da noch andere Leute Drogen verkaufen«, erzählt er mir bei unserem Interview. »Also hab ich dem Boardbetreiber gesagt, ich geb dir jeden Monat 1.000 Euro und dafür sperrst du bitte alle anderen Händler hier.« Der Inhaber von Crimenetwork wittert ein gutes Geschäft. Max weiß, dass 1.000 Euro im Monat schon bald Kleingeld für ihn sein werden – und so einfach wird er zum Monopolisten auf CNW.

Der Laborant

Es sei »in einer schlaflosen Nacht« 2013 gewesen, als Michael W. die rettende Idee kommt, wie er sich sein Hobby finanzieren kann. Schon öfter habe er auf Speed oder Koks durchgemacht, als er an seiner Masterarbeit über anorganische Chemie feilt, wird er drei Jahre später vor Gericht sagen. »Mein einziges Ziel war der Masterabschluss«, erzählt er der Richterin. Doch Nachtschichten auf Koks sind teuer: »So kam ich auf die Idee mit der Reinheitsanalyse.«

Also machte Michael W. seinem Online-Dealer RedBull einen Vorschlag: Er würde die Drogen immer mal wieder per Magnetresonanz und Spektrometer im Chemielabor der Universität auf Wirkstoffe testen und im Gegenzug selbst etwas von dem Stoff bekommen. Und RedBull könnte mit dem Reinheitsgehalt seiner Drogen im Darknet Werbung machen.

Eine Win-win-Situation. RedBull empfiehlt ihn an seinen damaligen Geschäftspartner weiter, einen gewissen »Shiny Flakes«. Bald schickt auch der Pulver und Kristalle zur Analyse an Michael W.: Hier mal Koks, da mal Crystal Meth. Auch für Max lohnte sich der Tauschhandel, Kokain hatte er genug am Start. Die stets hervorragenden Testergebnisse für die codierten Drogen wie »Stern« oder »Bolivien_01«²³ sendete sein Kontakt per E-Mail zurück; bald konnten alle Kunden direkt auf den Produktseiten sehen, was für hochqualitativen Stoff Shinys Portfolio zu bieten hatte.

Leider habe er feststellen müssen, so sagt Michael W. im Juli 2016 vor dem Landgericht München aus, dass er im Uni-Labor gar nicht die richtigen Instrumente zur Analyse hatte. Er habe deshalb den Wirkstoffgehalt einfach abgeschätzt. »Die Ergebnisse waren frei erfunden«, sagt er aus.²⁴

Tatsächlich ist der Mangel an verlässlicher Information über Inhaltsstoffe und Wechselwirkungen nicht nur für Konsumenten, sondern auch für Darknet-Händler ein großes Problem. Denn die Dealer bauen ihren Ruf auch auf dem beworbenen Reinheitsgehalt ihrer Ware auf – und haben im Gegensatz zu den Leuten, die z. B. am Bahnhof Drogen verticken, Kundschaft, die für alle sichtbare Bewertungen hinterlassen und bei schlechter Ware jederzeit zur Konkurrenz überlaufen können.

Shiny Flakes versuchte sich damit abzusichern, dass er noch an zwei andere Tester Proben verteilte. Hier kam die spanische Organisation »Energy Control« sowie ihr Schweizer Pendant »Safer Party« ins Spiel. Shiny schilderte in München und Leipzig vor Gericht, dass er seine Drogen zur Analyse dorthin einschickte. Energy Control bietet allen ausländischen Endverbrauchern an, gegen eine Gebühr von 70 Euro »vertraulich und anonym« Samples aller gängigen Drogen auf Reinhaltsgehalt und Fremdstoffe zu untersuchen; das Testergebnis gibt es per E-Mail zurück.²⁵ Welcher der Werte aus diesen mehr oder weniger verlässlichen Analysequellen es letztlich auf die Produktseiten von shiny-flakes.to schaffte, bleibt Max’ Geheimnis. Den definitiven Nachweis brachte erst ein forensisches Labor im Auftrag des LKA Sachsen nach der Beschlagnahmung: Im Gohliser Jugendzimmer gab es ausschließlich hochwirksame Ware mit Reinhaltsgehalt von bis zu 90 Prozent.

Shiny Flakes wird berühmt

Dass es eine Website gibt, auf der man sich jede erdenkliche Droge aus Deutschland liefern lassen kann, ohne dafür das Haus verlassen zu müssen, sprach sich im September 2014 rasend schnell herum. »Das war’s, was die Seite so groß gemacht hat«, sagt Max. »Die Mundpropaganda.« Hatten manche potenzielle Kunden Vorbehalte dem Darknet gegenüber oder fanden die Kryptomärkte erst gar nicht, schien das Versprechen einer rund um die Uhr erreichbaren Clearnet-Version für Hunderte, später viele Tausend Menschen die Hemmschwelle, Drogen im Netz zu bestellen, drastisch zu senken.

Shiny Flakes war mit identischem Look gleich unter mehreren Adressen erreichbar: Im Clearnet unter www.shiny-flakes.to (registriert in Tonga), www.shiny-flakes.cc (registriert auf den Kokosinseln), später www.shiny-flakes.com und die ganze Zeit über unter diversen Onion-Adressen über den Tor-Browser im Darknet. Man konnte sich also aussuchen, ob man für den Besuch des Shops den Hidden Service bevorzugte, wie man es bei einem Kryptomarkt gewohnt war – oder einfach mit einem beliebigen Webbrowser darauf zugreifen wollte.

Der Shop war aufgebaut wie ein x-beliebiger Online-Versandhandel – Warenkorbsystem, Hilfeseiten, Kontaktadressen –, nur mit besserem Design. Die Kundschaft sprach der Shopbetreiber auf Deutsch und Englisch an. Alle paar Tage verfasste er Updates zu Lieferzeiten und neuen Produkten. Violette Akzente rahmten hochauflösende Bilder von Dutzenden illegalen Substanzen ein, die ins Rampenlicht gerückt wurden wie seltene Juwelen.

Wer Shiny Flakes betrat, konnte sich nicht nur mit Kaufempfehlungen helfen lassen, die von Amazon oder eBay inspiriert waren (»Kunden, die ›SHINY FLAKES SAUBERES METH 84 Prozent Reinheit‹ kauften, kauften auch …«). Hunderte Rückmeldungen von offensichtlich unbehelligten Kunden ließen nur einen Schluss zu: dass dieser in Deutschland einmalige Dienst – ein schneller und einfacher anonymer Drogen-Kryptomarkt, ohne in den nächsten dunklen Park oder sogar das Darknet abzutauchen – ganz offensichtlich florierte und auch in Sachen Produktqualität nichts zu wünschen übrig ließ:

19.08.2014:

X-te Bestellung wieder mal erfolgreich droppen können!

Wie immer Hard-Core-Fix-Versand :D

Das Speed ist wirklich TOP ! Habe eben meine erste Nase zum testen genommen … Juhuu sag ich nur, der Tag kann beginnen :D Danke für alles :D

21.08.2014:

Kann mich den anderen nur anschliessen. So hochprozentiges Speed ist mir noch nie untergekommen, locker 5 mal so potent wie der Rotz der auf der Strasse gängig ist und das auch noch zum mehr als fairen

Preis!

21.08.2014:

das zeug ist pervers. verkaufe bei mir 1g für 10 euro und ich habe das beste speed in meiner stadt danke shiny. lass dich nicht packen.

»Moin. Uns fliegt hier gerade der Kopf weg vom Pulver. Hammer.«

»Shiny ist Gott.«²⁶

Shiny steigt nicht nur in den Liebes- und Treuebekundungen auf seinen Websites, sondern auch in der Parallelwelt der Underground Economy nach und nach zur Legende auf. Besonders die Tatsache, dass der Shop vor den Augen der Ermittler im Darknet und im Internet operiert und die Post zum Drogenhändler macht, löst in kriminellen Kreisen Begeisterung aus. Da musste sich jemand offenbar sehr sicher fühlen und seine eigene sowie die Anonymität seiner Kunden perfekt schützen können. »Lass dich nicht erwischen!«, wünschen ihm Kunden und sogar manche Konkurrenten anerkennend²⁷ – und empfahlen ihn fleißig weiter.

Im August 2014 wissen auch Drogenfahnder, dass es da diese deutsche Internetseite gibt, die sich als ein Amazon für Drogen aufspielt und nicht nur in anonymen Netzwerken unter einer Onion-Adresse via Tor, sondern auch mit jedem x-beliebigen Browser im Internet zu erreichen ist.

Nicht nur können die Ermittler sehen, dass Drogenkäufer schnell und einfach zwei Tage nach ihrer Bestellung das Mittelchen in der Hand halten – die Betreiber brüsten sich sogar mit »exklusiven Produkten«:

SHINY FLAKES XTC – EXCLUSIVE 250mg green Chupa Chups.

Genau diese Pillen mit Chupa-Chups-Logo hatten die Beamten im Frühjahr schon mal selbst in der Hand – sie waren aus den verwaisten Paketen gefallen, die Leipziger Mieter in Treppenhäusern gefunden hatten.

»Bei den Pressern in Amsterdam kann man Formen und Farben von Pillen exklusiv herstellen lassen«, erzählt Max. »Das wollte ich unbedingt, weil dann die Leute googeln, woher ihre grünen Chupa-Chups-Pillen oder ihr lila MDMA kommt. So landen mehr Kunden direkt auf meiner Seite.«

Im August 2014 eröffnet die Staatsanwaltschaft Leipzig ein Ermittlungsverfahren gegen unbekannte Täter der »Gruppierung Shiny Flakes«. Dass hinter dem beliebten Drogen-Webshop eine organisierte Bande stecken könnte, ist für die Fahnder zunächst eine valide Arbeitshypothese. Dafür scheint schon die schiere Menge der verkauften Rauschmittel (laut Käuferfeedback) zu sprechen. Überhaupt: Was dort auf der Website passiert, ist für die Strafverfolger eine pure Provokation. Da gibt jemand den Kunden sogar öffentlich Tipps, wie man möglichst stressfrei und ohne erwischt zu werden an sein Koks kommt.

»Frage: Wie kann ich meine Sendung anonym empfangen? Kann das jeder?

Antwort: Ja! – Und zuallererst möchten wir daran erinnern, dass uns deine Adressdaten nur bis zum Versand bekannt sind und anschließend gelöscht werden, des weiteren wissen wir nicht ob es sich dabei um eine geklaute Packstation oder einen toten Briefkasten handelte. Wichtig ist dabei nur, dass die Sendung per Deutsche Post/DHL zugestellt werden kann. Bei Bestellungen auf eine normale Hausadresse reicht uns zudem der Nachname, zum Beispiel: ›Meier‹ – du kannst dir die Sendung also auch ganz bequem nach Hause bestellen und änderst ganz einfach dein Briefkastenschild von ›Zimmermann‹ zu ›Zimmermann / Meier‹ bis deine Bestellung eintrifft.«

Doch noch tappen die Ermittler völlig im Dunkeln. Sie probieren es zunächst per E-Mail bei der angegebenen Kontaktadresse, service@shiny-flakes.cc, geben sich begeistert und versuchen, die Betreiber zu einem Treffen zu überreden – oder ihnen wenigstens eine Spur zu entlocken. Doch die vermeintliche Gruppe geht auf die Versuche der Kontaktaufnahme gar nicht erst ein.

Auch die sächsischen Ermittler lesen die begeisterten Rückmeldungen auf Crimenetwork und auf Shiny Flakes. Viel mehr, als sich die Nutzernamen der Leute zu notieren, die sich als enthusiastische Kunden ausgeben, können sie aber vorerst nicht machen. Sie wissen, der Absender scheint direkt vor ihrer Nase im Raum Leipzig zu operieren, technisch kommen sie ihm und seiner auf mehreren Wegen erreichbaren Website aber nicht bei: Die Bitcoin-Zahlungsströme können sie nicht nachverfolgen.

Die Onion-Domains sind darauf ausgelegt, ihren Standort zu verschleiern, sodass er unmöglich zu lokalisieren ist. Und bei der Clearnet-Version seines Shops hatte Shiny Flakes den amerikanischen DNS-Provider Cloudflare vorgeschaltet, der die Seite nach außen hin genauso anonymisierte wie einen Hidden Service. Der Anbieter des sogenannten Bulletproof Hosting wirbt explizit damit, den tatsächlichen Serverstandort seiner Kunden gegen potenzielle Angreifer – oder neugierige Strafverfolger – zu verschleiern. Die Registrierung der Shop-Adressen unter einem Fake-Namen im Inselkönigreich Tonga und auf den Kokosinseln im Südpazifik hilft bei der Ermittlung der eigentlichen IP des Shops da auch nicht weiter.

Die Beamten müssen vorerst hilflos zusehen, wie Shiny Flakes im Internet wächst und gedeiht – und sich immer weiter aus der Deckung traut.

Packstation 145: Ein heißer Tipp von der Post

Im Sommer 2014 finden Beamte bei Hausdurchsuchungen im Rahmen von anderen Drogenfällen mittlerweile im ganzen Bundesgebiet Post von Shiny Flakes mit Drogen und Leipziger Poststempel.

Im Winter 2014 feiert Max seinen 20. Geburtstag, die berauschten Kunden feiern seine Cleverness, die Polizei einen klitzekleinen Durchbruch in der analogen Welt: Durch Nachforschungen bei der Post stellt sich heraus, dass alle zuvor in Leipzig gestrandeten Päckchen durch ein Sortierzentrum der DHL im sächsischen Radefeld liefen. Leider ist es gigantisch groß. Die Fahnder müssen vor Ort die Post in Radefeld händisch nach weiterer Shiny-Flakes-Post untersuchen, bevor sie bei Kunden landet – ähnliche Adressaufkleber, vielleicht die gleichen fiktiven Absenderadressen. Gegen diese Maßnahme stellt sich die Post erstaunlich lange quer. Erst nach wochenlangem Hin und Her und richterlichen Beschlüssen wird diese Inspektion zugelassen. In den riesigen Hallen des Sortierzentrums stehen im Winter 2014 nun tagein, tagaus Polizisten, die an den Fließbändern jede Sendung oberflächlich checken, in der Hoffnung, auf verdächtige Luftpolsterumschläge zu stoßen und sie nach weiteren Hinweisen auf den Absender zu durchforsten. Das Problem: Selbst wenn sie etwas finden, dürfen sie in die Umschläge nicht hineinsehen. »Das ist das Briefgeheimnis«, sagt Max. »Und das steht im Grundgesetz und gilt bis zum Maxibrief.«

Max’ Geschäftsvolumen steigt Tag für Tag. Seit mehr als einem Jahr verschickt er Drogen durch Deutschland – und gibt öffentlich damit an: »Wir sind sehr schnell gewachsen«, behauptet Max in einem Interview.²⁸ »Es gibt da eine gewisse 50.000-Einwohner-Stadt, die beliefern wir, als würden wir vor Ort eine Filiale betreiben. Die örtlichen Dealer wären bestimmt sehr froh, wenn wir tot umfielen.«

Erst im Januar 2015 finden die Beamten, die die Sisyphusarbeit im Sortierzentrum leisten, endlich eine wirklich heiße Spur: Wird der Inhalt eines bestimmten Stadtviertels ins Sortierzentrum gebracht, sind unter genau diesen Päckchen immer häufiger Sendungen, die optisch ins Shiny-Flakes-Raster fallen. Sie kommen aus der Packstation 145, Dantestraße 17 in Leipzig.

Es ist der entscheidende Hinweis in der langen Fahndung. Der Täter ist jetzt nicht mehr nur ein Phantom unter Hunderttausenden in Leipzig. Sein Geschäft scheint einen klaren Dreh- und Angelpunkt zu haben.

Die Nachfrage bei Shiny Flakes wächst und wächst. Neben Drogen aller Art hat Max im Winter 2014 mittlerweile auch eine halbe Apotheke verschreibungspflichtiger Medikamente in seinem Portfolio. Red-Bull ist nur noch einer seiner vielen Lieferanten.

Jeden Donnerstagnachmittag nimmt Max kiloweise Pillen und Speed aus den Niederlanden entgegen, die ihm von seinem Kurier Zhivko Z. mit dem Auto an den Parkplatz seines Wohnhauses vorgefahren werden. Der Rest kommt per Post. Shiny verkauft aktuell über fünf verschiedene Kanäle und Märkte im Clear- und Darknet Drogen. Auf Pandora handelt er weiter als DonCamillo, auf Agora und Evolution heißt er wie seine Website, Shiny Flakes.

Er braucht jetzt schon ein eigenes Programm, um die Bestellmengen und Versandkosten pro Order zu errechnen.

Um der Bestellungen Herr zu werden, entschließt sich Max dazu, die Mindestbestellmenge zu erhöhen; erst auf 70 Euro, dann auf 200 Euro. Den Besuchern seiner Website bleibt Max’ Überlastung nicht verborgen: Aus Kundeninformationen auf shinyflakes.com werden Ende 2014 eindringliche Anweisungen zur korrekten Bestellung, schließlich barsche, militärische Kommandos in Großbuchstaben, aus denen die Frustration des Verfassers förmlich trieft:

»DO NOT USE KYRILLIC LETTERS! ADDRESS MUST NOT BE MORE THAN 5 LINES!!! WE DO NOT HAVE SPACE FOR MORE THAN 5 LINES!!! NOT 6 LINES! NOT 7 LINES! NOT 8 LINES!«

Je größer Shiny Flakes wird, desto mehr häufen sich auf Crimenetwork im Laufe des Jahres negative Kommentare über die Qualität von Shiny Flakes’ Drogen – völlig unberechtigterweise, fand zumindest Shiny Flakes.

Auch in der Internet-Economy gibt es unsaubere PR-Maßnahmen. Dazu gehört, dass sich Konkurrenten in Foren wie Crimenetwork gegenseitig schlechtreden, um die eigene Kundenbasis zu stärken. Auch beim Drogenhandel im Netz werden in den Threads Ersatz-Revierkämpfe ausgefochten, bei denen Händler versuchen, den Rivalen durch Berichte über vermeintlich schlechte Erfahrungen zu vertreiben.

Max will das nicht hinnehmen. Was er sich hier völlig allein aufgebaut hat, wollen ihm irgendwelche ignoranten Idioten kaputt machen? Auf gar keinen Fall.

Bei den negativen Beurteilungen auf seiner eigenen Website ist es einfach: die löscht er einfach selbst, Problem gelöst. Doch das Forum Crimenetwork gehört ihm nicht. Also setzt er sync, den Administrator des Forums mit 80.000 angemeldeten Usern, unter Druck, Nutzer sofort zu sperren, sollten sie sich negativ über die Qualität seiner Ware äußern. Der hat damit kein Problem. Shiny Flakes zahlt ihm schließlich jeden Monat Geld.

Das zähe Ende

RedBulls Karriere endet am 29. Januar 2015 mit einer Hausdurchsuchung in Spandau, keine zehn Kilometer Luftlinie von der Altbauwohnung entfernt, in der er seinen Drogenvorrat lagert. Als Fahnder die Altbauwohnung durchsuchen, stellen sie fest, dass Robert R. alias RedBull ein Mann mit drei Helfern und vielen Gesichtern ist. Allein 181 Aufenthaltsgenehmigungen sammelt die Polizei bei ihm ein, außerdem mehrere Pässe und Ausweise. Die Papiere halfen seinem Team, immer wieder im Ausland Medikamente und Drogen zu beschaffen. Auf manchen Dokumenten ist auch Robert R.s Gesicht zu sehen. Sein echter Name steht auf keinem.

Da auch bei Darknet-Geschäften laufend Kosten anfallen, hat sich Robert R. einen praktischen Weg ausgedacht, um die Portokasse zu schonen: Er fälscht die Briefmarken für seine Drogenpakete gleich mit den anderen Dokumenten mit. Ein riskantes Vorgehen, wenn man einen Kokainversand betreibt und Postrückläufer unbedingt vermeiden will. Und so muss sich Max’ Mentor vor dem Landgericht Berlin nicht nur wegen jahrelangen Drogenhandels im Darknet, sondern auch wegen Urkundenfälschung in 780 Fällen verantworten.

Noch interessanter finden die Fahnder aber die an die Packstation 145 in Leipzig adressierten Drogenpakete, die Lieferant RedBull noch ein paar Tage zuvor in Postfilialen aufgegeben hat.

Dass RedBull im Januar 2015 einfach verschwindet, nimmt Max kaum wahr. Er ist längst so überarbeitet, dass ihm nicht richtig klar ist, was das bedeutet.

»Da gab es eine Lieferkette, die musste eingehalten werden«, erzählt er mir später. An das niederländische Dealernetzwerk Dutchmasters überweist Max insgesamt 1,6 Millionen Euro in Bitcoin für chemische Drogen. Doch um RedBulls Ausfall zu kompensieren, braucht Max neue Quellen. Gute Großhändlerpreise auszuhandeln ist für ein Unternehmen von Shiny Flakes’ Dimension mittlerweile ein Kinderspiel, doch das Knüpfen von neuen Dealerkontakten aus einer bedürftigen Situation heraus ist immer mit einem hohen Risiko verbunden.

Im Winter wagt sich Max untypischerweise ein einziges Mal nach draußen, um für 60.000 Euro Drogen zu kaufen. Doch die Übergabe wird zum Desaster: Sein Kontaktmann, der sich als Freund RedBulls ausgegeben hatte, macht sich mit dem Geld aus dem Staub und lässt Max ohne Ware sitzen.

»Egal«, sagt Max heute. »Das hatte ich in ’nem halben Tag wieder drin.«

Das Geschäft ist Max inzwischen über den Kopf gewachsen. Er schläft nicht mehr. Ab und zu pfeift er sich eine angstlösende Tramadol aus seinem eigenen Vorrat ein. Manchmal ist es auch Diazepam. Aber es hilft nichts.

Die Kamera an der Max-Liebermann-Straße zeichnet jeden auf, der die Packstation benutzt. Und da ist er endlich wieder: Ein unauffälliger Typ mit schwarzer Reisetasche, der Pakete wegbringt. Ein Observationsteam der Polizei hatte ihn schon öfter dabei fotografiert. Jetzt bleiben sie ihm auf den Fersen. Tatsächlich scheint sich der Mann nach Hause aufzumachen – in einen unauffälligen Wohnblock an der Ausfallstraße direkt um die Ecke. Klick. Ein weiteres Foto vor der Haustür.

Die Fahnder vergewissern sich beim Hausmeister, wer auf diesem Foto zu sehen ist. Dann heften sie sich an die Fersen des Dealers, protokollieren penibel jeden Schritt. Eine ganze Woche lang. Doch es ist wie verhext: Ausgerechnet in dieser Woche macht der Mann überhaupt keine Anstalten, etwas Illegales zu starten.

Erst nach einer Woche Observation stellt sich heraus, dass sich der Hausmeister geirrt hat. Während die Polizei dem vermeintlichen Darknet-Drogenboss auf Schritt und Tritt folgt, sitzt der richtige Darknet-Drogenboss ein paar Stockwerke entfernt im selben Haus und kauft, verkauft, verpackt.

Ein einfacher Abgleich mit Personalausweis-Bilddaten vom Einwohnermeldeamt hätte genügt, um Maximilian zu identifizieren – doch auf diese Idee kam die Leipziger Polizei aus unerfindlichen Gründen erst mal nicht.

Am 24. Februar 2015 wuchtet Max ein schweres Paket an einen Siegburger Kunden, der sich im Netz Heisenberg1020 nennt, in die Packstation. Er bemerkt nicht, dass er dabei beobachtet wird. Die Fahnder fischen es wieder heraus und checken das Paket, das Gericht hat ihnen die Erlaubnis zur Beschlagnahmung gegeben. Bingo.

In dem Paket sind zwei große Tüten mit je 1.000 Ecstasy-Pillen vom Typ »UPS« und »Chupa Chups«, exklusiv erhältlich bei Shiny Flakes, ein gutes Kilo Speed und ein Gramm Kokain als Gratis-Betthupferl.

Bis zuletzt hatte Shiny Flakes eine treue Fanbasis, auch wenn er einen unangenehmen Ton angeschlagen hat. Welche Leute zieht eine Website, die leichte und sichere Verfügbarkeit von Drogen verspricht, eigentlich an? Zumeist sind es Einzelkonsumenten, wie zum Beispiel dieser sorglos-pragmatische Fan:

»Das einzige was man beklagen kann, sind die langen Lieferzeiten … :(Naja, wenigstens gestern Gutschein bekommen im Wert des Ketamins, da hol ich mir eben was anderes für Silvester. Wird’s wohl doch einfach wieder good old Cocaine.«²⁹

Studien, die auf der Befragung von Kunden der Kryptomärkte beruhen, zeichnen ein schärferes Bild: Etwa 80 Prozent der Kunden sind männlich, in ihren 20ern, technisch versiert, haben überdurchschnittlich oft Abitur oder einen vergleichbaren Schulabschluss.³⁰ Viele zählen sich zur Clubbing-Szene, verdienen ihr eigenes Geld und werden hauptsächlich in ihrer Freizeit high – auch wenn unter ihnen Leute sind, deren Drogenkonsum als problematisch beschrieben werden kann. Die Global Drug Survey 2017³¹, eine groß angelegte jährliche internationale Online-Umfrage unter Drogenkonsumenten, kommt zu ähnlichen Ergebnissen, was die Geschlechterverteilung angeht: Acht von zehn Akteuren auf Kryptomärkten – Händler und Käufer – sind männlich und wirtschaftlich selbstständig. In den vergangenen drei Jahren kaufte laut der freiwilligen Befragung knapp die Hälfte der Darknet-Käufer Ecstasy, dicht gefolgt von Cannabis, LSD und neuartigen Psychedelika.³² Heroin ist in dieser Auflistung nicht einmal in den Top Ten der gekauften Drogen.

Die Drogenforscher Monica Barratt und Adam Winstock³³ interviewten anonymisiert 10.000 Silk-Road-Kunden aus den größten Darknet-Bezugsländern USA, Großbritannien und Australien per verschlüsseltem Chat und hörten sich an, was die Community an Deepweb-Schwarzmärkten schätzt³⁴: die große Vielfalt, die bequeme, zeitlich und räumlich ungebundene Bezugsmöglichkeit, die Verlässlichkeit der Qualität. Viele nutzen die Foren der Darknet-Märkte als erste Informationsquelle vor einem Kauf und legen dann ihr Vertrauen in Anbieter mit guten Bewertungsdurchschnitten.

Die demografischen Charakeristika aus dieser Untersuchung sind konsistent mit einer früheren Befragung aus dem Jahr 2016, in der 3.794 Käufer auf Kryptomärkten einen Fragebogen ausfüllten. Auch wenn eine solche selbsteinschätzende, freiwillige und anonyme Untersuchung ihre methodischen Grenzen hat, kamen die Forscher zu einem ähnlichen Ergebnis: Darknet-Märkte sind stark männerdominiert (82 Prozent identifizierten sich als männlich) und voller junger Leute (das angegebene Durchschnittsalter lag bei 22 Jahren).

Ganz generell kann man sagen: Weil die Informationen über die Funktionsweise von Bitcoin-Wallets oder Darknet-Märkten nicht überall gleichmäßig verfügbar sind und sich auch nicht alle Menschen weltweit auf eine Postzustellung verlassen können, ist es vor allem der bürgerliche Freizeit-Konsument in westlichen Industrienationen, der von den Vorteilen der anonymen Märkte profitieren kann – und eher nicht der isolierte Junkie, der in prekären oder nicht permanenten Wohnverhältnissen lebt und auf einen morgendlichen Schuss angewiesen ist. Tzanetakis spricht in ihrer 2016er-Studie über AlphaBay von »digital literacy«, die für Transaktionen auf Kryptomärkten Voraussetzung ist. Die Kundschaft anonymer Drogen-Versanddienste ist also in gewisser Weise flexibel und privilegiert – nicht nur in Bezug auf ihre wirtschaftlichen Verhältnisse, sondern auch durch ihr technisches Vorwissen und ein weniger problematisches Konsummuster.

Gleichzeitig erwarten Kunden eines Drogen-Versanddienstes im Darknet oder Internet die gleiche Annehmlichkeit und Nutzerfreundlichkeit wie bei einem E-Commerce-Angebot für legale Güter. Wenn ein Anbieter diese Erwartungen nicht erfüllt, hat die Kundschaft – wie Shiny Flakes erfahren musste – auch keine Hemmungen, im Streitfall ihren Unmut öffentlich in den Reviews kundzutun:

»Wieder mal nur leere Versprechungen von Shiny, um die Leute hinzuhalten. Wer seine Kunden so belügt, der muss sich nicht wundern, wenn das die letzte Bestellung war. Alternativen gibt es mehr als genug. Diese ewige Warterei und keine persönliche Antwort auf meine E-Mail kotzt mich dermaßen an!«

»Ganz ehrlich, der Betreiber dieses Shops hat von kundenfreundlicher Betreuung nichts drauf. Man wird beleidigt und wenn es ihm mal nicht passt, dass man schreibt, dann droht er damit, die Bestellung einfach Monate später abzuschicken. Ich glaub, die ziehen zu viel vom eigenen Koks. Sehr, sehr schlecht!«

Shiny hätte entspannt und professionell mit solchen Urteilen umgehen können. Tut er aber nicht.

»Wenn jemand unzufrieden mit seinem Produkt ist, bin ich sehr direkt. Ich sage ihm, er solle sich dann eben woanders umsehen. Alle unsere Produkte sind hochklassig. Aber vor allem bei Kokain und Speed meint ja jeder, Profi zu sein. Bei diesen zwei Produkten kannst du nie alle zufriedenstellen. Damit halte ich mich also nicht weiter auf«, sagte Max in seinem Interview.³⁵

So kann man den fragwürdigen Umgang mit der eigenen Kundschaft auch schönreden. Kundensupport, das bedeutet für Shiny Flakes zuallererst: Mein Business, meine Regeln.

Eine zunehmend problematische Einstellung, denn gleichzeitig klemmt es gewaltig in der Maschine. Die meisten Kunden sind nicht unzufrieden mit dem Produkt, sondern mit dem Händler. Shiny hält nicht nur die Lieferzeiten nicht ein, sondern verliert selbst im schriftlichen Umgang mit den Käufern ständig die Nerven. Wenn er sie nicht gerade als »Meckerkrähen« oder »Nervzwerge« beleidigt, herrscht er sie in barschen E-Mails an, rastet öffentlich auf dem Schwarzmarktforum aus oder maßregelt sie in Privatnachrichten wie an diesen jungen Mann, der es gewagt hat, einmal zu oft nach seiner Bestellung zu fragen:

»c) Für deine dämliche E-Mail ›öööhh, guter Service Fehlanzeige, war dann wohl meine letzte Bestellung‹ meldest du dich am 15. Februar per Mail, vorher wird deine Piss-Bestellung nicht versendet. Bis dahin bleibt der Scheiß auf canceled, am 15. Februar schaue ich es mir an. Und danach kannst du dich verpissen.

d) Kommt noch eine dumme E-mail, verlängert sich das Ganze.«³⁶

Der schroffe Umgang mit den Käufern war riskant. Denn eigentlich zeigen die Gesetze der Kryptomärkte immer wieder, dass der Markt aussiebt, wer sein Business nicht ganz und gar in den Dienst des Kunden stellt, und dazu gehören neben schlechter Qualität der Ware eben auch schlecht gelaunte Verkäufer. Doch Max hielt sich für unantastbar.

Ein Ass für die Ermittler

Plötzlich verstummt Shiny Flakes im Netz. Tagelang taucht er nicht auf. Am 5. März bekomme ich ein paar E-Mails in das Tippgeber-Postfach der Redaktion. Die Absender sind in heller Aufruhr.

»Ich hatte gerade eine Hausdurchsuchung wegen Shiny Flakes! Wie kann das sein, die haben hier alles auf den Kopfgestellt!«

In den kommenden Tagen verbreiten sich die Gerüchte rasant. Gleich mehrere Kunden berichten im Internet von Hausdurchsuchungen. Die erklären sie sich mit einer weitverbreiteten Theorie: Shiny-Flakes.com ist ein Honeypot, also längst von Ermittlern übernommen, und würde nun von Fahndern betrieben werden, um an Kundendaten zu gelangen. Auf Reddit wird ein möglicher Hack des Webshops diskutiert. Im Schwarzmarktforum füllt die Diskussion, ob man dort noch sicher kaufen könnte, nach wenigen Stunden mehrere Dutzend Seiten. Das Cybercrime-Forum wird zu einer Konferenz von Hobbyermittlern. Pressemeldungen über jüngere Busts einer niederländischen Drogenküche werden herumgereicht, Vermutungen angestellt, abseitige Schlüsse gezogen und seitenlange Analysen erstellt. Warum hat Shiny Flakes vor Kurzem seinen PGP-Key³⁷ zum Verschlüsseln von Nachrichten geändert? Wie ist sein Verhalten der vergangenen Wochen genau zu deuten? Was, wenn Shiny sich für immer mit dem Geld davongemacht hat? Wer hat hier wen verraten? Wer ist ein Hurensohn?

Die wilden Spekulationen weichen schließlich Ernüchterung und Schock, als die Polizei am 12. März zu einer Pressekonferenz einlädt. Sie beginnt mit den Worten: »Am 20. Februar klickten in Leipzig die Handschellen.«

Die Polizei lässt sich für den Ermittlungserfolg feiern. Dass er eher ein Glücksgriff war, sagen die Behörden nicht, sondern: »Wir haben nach aufwendigen Ermittlungen das Darknet durchdrungen, keiner ist mehr sicher.« Doch das war Propaganda.

Es war ganz und gar nicht die Technik, zu der sich die Behörden mit Superhacks, Trojanern und Darknet-Fahndern Zugang verschaffen konnten. Im Gegenteil: Daran bissen sie sich bis zum Schluss die Zähne aus. Max’ Fehler lag dort, wo sich die digitale mit der analogen Welt verbindet. Es ist genau diese Schnittstelle, die Darknet-Kriminelle eben doch aus der Anonymität zerren und verraten.

Denn Max hatte ganz einfach bei der Frankierung geschlampt. Es war ein simpler Flüchtigkeitsfehler im Frühjahr 2014, der eine Handvoll Sendungen mit fünf Cent zu wenig frankiert hatte und die Drogenpäckchen zu Rückläufern machte – an Leipziger Absender, die es an den Adressen nicht gab oder die leerstehende Gebäude waren. Diese verwaisten Päckchen landeten bei der Polizei und der Poststempel aus Leipzig kreiste den Aktionsraum des Täters schnell ein.

Trotz seines elaborierten Sicherheitssystems und weitsichtigen Vorkehrungen wie z.B. jedem Kontakt ein anderes Handy zuzuweisen, brachten Max letztlich seine Routinen zu Fall, die von einer gewissen Bequemlichkeit zeugten – oder von Überforderung. So ähnlich wird ihn später auch sein Anwalt beschreiben: »Hochintelligent, aber ein bisschen faul.«

Max ist längst auf der Wache, als sich die Polizisten noch bis spätabends durch das Jugendzimmer und kistenweise Drogen arbeiten. In diesem Durcheinander findet die Polizei einen kleinen Zettel, den Max vergessen hatte. Darauf steht das lange und komplizierte Passwort für den Rechner, den Max noch schnell vom Strom getrennt hatte, bevor die Handschellen klickten.

Auf diesem Rechner befinden sich zwei Dateien, die der Schlüssel zu allen Ermittlungsmaßnahmen von Polizei und Staatsanwaltschaft sind, die später folgen sollen: Sie heißen wichtige_logins.txt und bestellungen.xls. Denn Max hatte fahrlässigerweise alle Zugänge für sein Geschäft im Klartext in ein einfaches Textdokument geschrieben und damit eine der wichtigsten Sicherheitsregeln verletzt, die Nutzer kennen müssen: Niemals alle Passwörter an einem Ort aufbewahren.

Deshalb konnte die Polizei Sachsen noch in derselben Nacht ihr Logo auf die Shiny-Flakes-Darknet- und Internetpräsenzen hochladen. Deshalb konnte sie die Drogenfotos und Angebote in Minuten vom Server fegen und durch ein lässiges »Sorry«-Emoji ersetzen. Es war schlicht egal, wie komplex die Serverstruktur aufgesetzt war, die Anfragen an die Shiny-Flakes-Website in einem technischen Verwirrspiel um den ganzen Planeten geleitet hatte. Mit diesen Logins halten die Polizisten für fast alle wichtigen Accounts den Generalschlüssel in der Hand und vernichten alles noch in derselben Nacht bequem mit ein paar Klicks.

»Die haben doch Glück gehabt!«, sagt Max’ Anwalt später. Nicht ganz zu Unrecht: Ohne das Passwort hätten die Behörden rein gar nichts gegen die Shops ausrichten können. Sie hätten Max zwar wegen des Besitzes von Hunderten Kilo Drogen anklagen, aber ohne technischen Zugang nicht zweifelsfrei nachweisen können, dass er Shiny Flakes betrieben hat.

Fast genauso ein Hauptgewinn für die Ermittler war die zweite gefundene Datei, bestellungen.xls. Max, der in unserem ersten Interview beteuerte, »alle Kundendaten zweimal am Tag zu löschen«, hat das genaue Gegenteil gemacht. Die Beamten fanden eine ordentlich geführte und farblich codierte Shiny-Flakes-Lieferliste – was an welchen Kunden, Bezahlstatus, Menge, Bearbeitungsstatus – für die Gesamtdauer von fast zwei Jahren:

87 Seiten.

Zu Heisenberg1020s Paket – dem glücklosen Siegburger Großabnehmer – sollten die Beamten später den entsprechenden Eintrag auf Shinys Computer finden. Lieferung an einen »heisenberg1020«, steht in der Tabelle, säuberlich neben dem Bestelldatum und der gewünschten Menge hat Max vermerkt:

»150g Speed, 1 Gramm Kokain erstatten. 5 kg Marke!

ALS PAKET«

Die Beamten wissen jetzt also nicht nur genau, wer da rund eine Tonne Drogen verschickt hat – sondern auch, wer in der gesamten Bundesrepublik was wann zu welchem Preis bestellt und bezahlt hat. Ein unvorstellbarer Datenschatz.

Бесплатный фрагмент закончился.