Report Darknet

Daniel Mützel | Theresa Locker

REPORT DARKNET

Verlag Antje Kunstmann

1. FREIHEIT ODER FINSTERNIS

Auf den ersten Blick sieht der Brief nicht aus, als käme er von einem verurteilten Waffenhändler: Blaue Luftblasen schmücken den Briefkopf, unten schwimmt ein Fisch mit Glubschaugen über den Meeresboden. Er will reden, schreibt er, aber er darf nicht. Sein letztes Schreiben, dem er einen Besucherschein beigelegt hatte, wurde von der Gefängnisleitung zurückgehalten. »Anscheinend befürchtet man Kritik.«

Der Verfasser des Briefes heißt Philipp K. Vier Jahre zuvor, im Mai 2016, hatte K. einem 18-Jährigen im Darknet eine Pistole verkauft, der damit neun Menschen erschoss. Die Opfer hatten alle einen Migrationshintergrund, die meisten von ihnen gingen noch zur Schule.

Das Münchner OEZ-Attentat am 22. Juli 2016 war eines der schwersten politischen Verbrechen der jüngeren deutschen Geschichte, für das jedoch nicht nur der rechte Attentäter David S. die Verantwortung trägt: Den Abzug drücken, das Schmieden seines Plans, sein Hass auf Migranten – das alles war S.’ alleiniges Tun. Doch es gab Menschen, die ihm die Tat erst ermöglichten: ein Forenbetreiber, der Waffenfreaks aus ganz Deutschland eine Plattform bot und rechte Umtriebe im Forum duldete; eine Darknet-Community, die den Handel mit Feuerwaffen mal als harmlosen Freizeitspaß abtat, mal als rebellischen Akt gegen den Überwachungsstaat feierte; und den Waffenhändler Philipp K., der von der großen Schmugglerkarriere träumte und David die Tatwaffe verkaufte.

K. schreibt, seine »Naivität« und »Scheißegal-Haltung« seien schuld, dass der Anschlag passieren konnte. Doch das erfasst nicht die Dimension des Falls. In zwei Gerichtsverfahren versuchte man, das Verbrechen zu rekonstruieren, suchte nach möglichen Komplizen des Attentäters, stritt um Anträge und geheime Akten, es flogen Stühle im Gerichtssaal, Drohungen wurden ausgesprochen. Den Hinterbliebenen blieben am Ende nur Trauer, Wut und die bis heute nicht geklärte Frage, warum K. so lange seinen Geschäften nachgehen konnte und die Behörden nicht früher einschritten.

***

»Bevor ich hier reingehe, werf’ ich mich vor einen Zug«, Neil* nippt an seiner Cola und zeigt auf die dicken Mauern der Justizvollzugsanstalt Berlin-Moabit, an der wir vorbeilaufen.

Die vier Meter hohen Gefängnismauern mit der Natodrahtkrone wirken in der Dunkelheit ein wenig Furcht einflößend, vor allem für jemanden wie Neil, der nach bestehender Rechtslage eigentlich drinnen sitzen müsste. Der junge Mann arbeitet in der wachsenden Branche Cybercrime, die in Deutschland pro Jahr rund 60 Millionen Euro Schaden verursacht.

Für den mittlerweile abgeschalteten Online-Drogenshop »Webdealer« hatte er die Seite designt und wurde prozentual am Drogengeschäft beteiligt. Für sein aktuelles Projekt, den größten deutschen Online-Schwarzmarkt Crimenetwork (CNW), zieht er als technischer Admin die Fäden im Hintergrund. CNW ist der Platzhirsch der Szene: Gehandelt werden Falschgeld, geklaute Kreditkarten, Erpressungstrojaner, Drogen, Services für SMS-Bomben und Telefonterror. Das Board ist riesig und konkurrenzlos, unterhält Dependancen im Darknet und Clearnet. Die Deals laufen seit Jahren in aller Öffentlichkeit ab, die Polizei kommt bis heute nicht an die Hintermänner heran.

Während wir die Knastmauern entlangschlendern, erzählt Neil von seiner Ex, die ihn für einen Anabolika-Dealer aus dem Fitnessclub verlassen hat, von der ganzen Kohle, die ihn nicht glücklich macht, und davon, wie er es immer allen recht machen will, seinen Eltern, uns Journalisten, seinem Boss von Crimenetwork. Neils damaliger Boss hieß »Sicario«, Auftragskiller.

Dass wir Neil überhaupt treffen konnten, war nicht ganz einfach. Wochenlang hatten wir das Treffen vorbereitet, Bedingungen ausgehandelt, einen Ort zum Reden (belebt, viele Fluchtwege) vereinbart und einen, wo wir unsere Handys einschließen können (öffentlich, keine Überwachungskameras). Wir bestanden auf Dokumente, die seine Rolle (und damit seine Straftaten) belegen, und mussten ihm versprechen, ihn nicht bei der Polizei zu verraten.

Auch wir wussten natürlich nicht, worauf wir uns einlassen. Hat dieser Sicario ihn auf uns angesetzt? Ist Neil nur ein Angeber, eine Luftnummer?

Als er uns wenig später am Tisch einer McDonald’s-Filiale in den Admin-Bereich von Crimenetwork.co führt, in die Schatzkammer der CNW-Bande, wo die Geschäfte, die Dealer, die illegalen Geldflüsse, im Grunde das ganze Ausmaß ihrer Straftaten verzeichnet sind, wissen wir: Wir haben den Richtigen.

***

In Pulli und Jeans sitzt Mario Rönsch auf dem braunen Polster der Anklagebank, ein Waffenschmuggler im ›casual look‹, eingerahmt von zwei Anwälten, die ihn verteidigen. Im Gegensatz zu seinen Auftritten in Internetclips, wo er wie ein Getriebener den völkischen Aufstand beschwört, wirkt Rönsch im Verhandlungssaal des Berliner Landgerichts ruhig, fast friedlich. Was soll er auch machen.

Mario Rönsch sitzt hier, weil er einen illegalen Waffenshop betrieb und Hunderte Deutsche mit Gaspistolen und Langwaffen versorgte. Migrantenschreck nannte er seine Plattform, die wenig Zweifel ließ, welchen Zweck die Waffen hatten: »60 Joule Mündungsenergie strecken jeden Asylforderer nieder«, lautete der Werbetext für einen Revolver. Gegen »Ficki-Ficki-Fachkräfte und rotzfreche Antifanten«, ein anderer. Im Netz lud er martialische Videos hoch, auf denen ein Typ mit doppelläufiger Flinte einem Pappkameraden mit schwarzer Hautfarbe ein faustgroßes Loch in die Schulter schießt. An anderer Stelle feuert ein Vermummter Hartgummiprojektile auf Poster deutscher Politiker.

In einer Zeit, als der Waffenmarkt im Darknet mit Turbulenzen kämpfte, etablierte sich Migrantenschreck als bequeme Alternative für Menschen, denen das Darknet zu kompliziert war und eine echte Schusswaffe zu heikel. Die Hartgummiknarren aus Rönschs Migrantenschreck-Arsenal waren trotzdem gefährlich. Auch sie hätten ein Leben beenden können.

Bevor ich Rönsch im Gerichtssaal wiedersehe, stand ich vor seiner Wohnung in Budapest. Ein schicker Altbau im vornehmen Viertel Pasarét. Der Rechtsextreme betrieb seinen illegalen Waffenhandel von dort aus, bis ihn im März 2018 ungarische Spezialkräfte in Abstimmung mit der Berliner Staatsanwaltschaft hochnahmen. Rönsch sagte bei seiner Festnahme, das »Merkel-Regime« sei für ihn nicht zuständig. Nach Deutschland ausgeliefert wurde er trotzdem.

***

Das Darknet hat die Art und Weise revolutioniert, wie Menschen an verbotene Güter kommen. Ein Gramm Speed, eine Glock 17, ein Imitat einer Breitling-Uhr, ein gefälschter Pass der Bundesrepublik Deutschland – oft genügen wenige Klicks, um den Deal einzutüten. Gezahlt wird in Bitcoin, Monero oder Zcash, pseudonyme Kryptowährungen, ohne die das kommerzielle Darknet nicht vorstellbar wäre. Nie war es so einfach und bequem, beim Shopping gegen das Gesetz zu verstoßen, nie war die Schwelle so niedrig, selbst Anbieter zu werden. Der Schwarzmarkt ist heute Mainstream.

Cyberkriminalität

Das Darknet hat die Struktur und Strategien der kriminellen Unterwelt auf den Kopf gestellt: Vielleicht zum ersten Mal sucht man das Licht der Öffentlichkeit, bietet Cyberattacken, Handgranaten und Toxine in offen zugänglichen Marktplätzen an, feilscht um Rabatte und gutes Feedback. Offline-Dealer verwenden viel Geld und Zeit darauf, ihr Treiben von neugierigen Blicken abzuschotten: Lieferrouten, Produktpalette und Geldflüsse waren seit jeher gut geschütztes Geheimwissen von Eingeweihten.

Heute sitzt man in der Jogginghose am Laptop und klickt sich durch die bunten Angebote der eBay- und Amazon-Klone im Darknet, legt das verbotene Produkt in den Warenkorb und geht zum Check-out. Auch wenn die Identität von Verkäufer und Käufer verborgen bleibt, haben Außenstehende einen nie da gewesenen Einblick in die Architektur der digitalen Schattenwirtschaft. Kunden nutzen Bewertungen zur Kauforientierung, Ermittler können Händler, Listings und Stückzahlen studieren, manchmal sogar Lieferwege und Geldflüsse.

Wir recherchieren seit fünf Jahren in der illegalen Halbwelt des Darknets und Clearnets. In diesem Buch erzählen wir die großen Kriminalfälle der letzten Jahre: ein Student aus der fränkischen Provinz, der Maschinenpistolen und Munition bis nach Australien exportierte; ein 18-Jähriger, der aus seinem Kinderzimmer ein millionenschweres Drogenimperium hochzog, ein Rechtsradikaler, der in einem »Forum gegen Meinungskontrolle« eine Pistole erwarb und damit neun Menschen ermordete, vier Männer aus Deutschland, die eine gigantische Kinderporno-Plattform betrieben.

Anhand von internen Dokumenten, Gerichtsakten, Interviews und verschlüsselten Chatnachrichten zeigen wir, wie das deutsche Darknet und seine ›prominenten‹ Protagonisten ticken. Es sind Geschichten über Gier und die Hoffnung auf schnellen Reichtum, über Cyberkriminelle, die am Laptop Millionen verdienen, und über politisch Verfolgte, für die das Darknet eine Frage von Freiheit oder Knechtschaft ist.

In der Öffentlichkeit genießt das Darknet keinen guten Ruf: Für viele ist es eine Projektionsfläche für alles Verkommene im Netz. Auch wenn die meisten Straftaten im Internet, nicht im Darknet begangen werden. Andere sehen es als den letzten Hort von Anarchie und Freiheit in der vollends überwachten Welt. Doch das Darknet an sich ist weder verkommener noch anarchistischer als das Internet, sondern eine Technologie, die, frei nach Habermas, ethisch unmusikalisch ist – sie kann kein Urteil fällen. Sie ist per se weder gut noch schlecht, sondern abhängig von den Menschen, die sie einsetzen. Eine saubere Trennung zwischen einem angeblich »guten« Internet und einem »bösen« Darknet wäre, wie im Verlauf des Buches deutlich wird, falsch und irreführend.

Das Darknet ist nicht die Lösung, sondern das Problem

Dass das Darknet von Kriminellen genutzt wird, sagt erst mal wenig. Tatsächlich ist dieses technologisch abgeschirmte Parallelnetz auch eine Reaktion auf Fehlentwicklungen im Internet. Das einst revolutionäre Versprechen des Netzes, die Welt zu einem besseren, freieren Ort zu machen, droht zu verpuffen. Geheimdienste überwachen große Teile des Internets. Datenkonzerne wie Amazon und Google schürfen immer tiefer in unserer Privatsphäre, erschaffen immer präzisere virtuelle Abbilder von uns. Sie kennen unsere Vorlieben, Ziele und Geheimnisse, formen daraus Werbeanzeigen oder verkaufen sie an Datenhändler. Im datengetriebenen Kapitalismus sind wir nicht mehr die Kunden der großen Plattformen, sondern ihre Produkte.

Das freie Netz ist heute, am Beginn der 2020er-Jahre, auch von anderer Seite bedroht. Weltweit arbeiten Staaten wie Russland und Iran an technischen Lösungen für ein nationales, vom globalen Internet abgekapseltes Netz, um Nutzer leichter kontrollieren zu können. Die Kommunistische Partei Chinas hat mittels Big Data und künstlicher Intelligenz den größten Überwachungs- und Kontrollapparat der Menschheitsgeschichte erschaffen. Und seit Edward Snowden wissen wir bereits seit Jahren von der Massenüberwachung durch westliche Geheimdienste.

Als Reaktion auf die beschleunigte digitale Landnahme durch Behörden und Konzerne ist das Bedürfnis nach Anonymität im Netz stetig gewachsen. Das Tor-Netzwerk, die prominenteste Darknet-Technologie, erfreut sich in der Bundesrepublik immer stärkerer Beliebtheit. Fast jeder zehnte Tor-Nutzer im vergangenen Jahr kam aus Deutschland.1 Kaum eine Anonymisierungssoftware bietet besseren Schutz beim Surfen. Doch ob das Darknet eine adäquate Antwort auf diese Herausforderungen ist oder ob es nicht vielmehr ein Problem sichtbar macht, statt eine Lösung zu bieten – auch darum wird es auf den folgenden Seiten gehen.

Was ist das Darknet?

Die Infrastruktur des Internets lässt sich grob in drei Bereiche einteilen: Das Clearnet, Clear Web oder auch Surface Web2 bezeichnet den öffentlich zugänglichen Teil des Internets, der sich mit herkömmlichen Webbrowsern erkunden lässt. Shoppingportale, Newsseiten, Streaminganbieter, Gamingplattformen – es ist der Teil des Netzes, den die meisten Menschen täglich nutzen. Das World Wide Web, der bekannteste Dienst im Clearnet, zählt mittlerweile fast zwei Milliarden Websites.3 Die Inhalte im Clearnet werden von Suchmaschinen indexiert und lassen sich daher relativ einfach finden.

Für das Deep Web gilt das nicht: Dort befinden sich Inhalte, die sich den Suchalgorithmen von Google oder Bing verweigern. Einen Teil des »tiefen Webs« kann man dennoch ansteuern – wenn man die genaue Browseradresse kennt. Ein Großteil des Deep Web ist jedoch geschützt: Das können Datenbanken von Universitäten sein, Intranets von Firmen und Organisationen oder Seiten, die ihre Inhalte hinter einer Anmeldemaske verbergen, etwa der Login-Bereich auf Amazon. Schätzungen zufolge ist das Deep Web 400 bis 500 Mal größer als das Clearnet.4

Was das Darknet ist oder nicht, darüber streiten Forscher, Polizisten, Hacker und Kriminelle seit vielen Jahren. Der Begriff stammt aus den Anfangstagen des Internets und bezeichnete damals geheime Rechnernetze, auf die nur Eingeweihte zugreifen konnten. Eine allgemeingültige Definition des Darknets gibt es heute nicht, eine recht verbreitete lautet: Ein Darknet beschreibt jedes Netz innerhalb des Internets, das sich technologisch abschottet und in dem die Teilnehmer unsichtbar sind. Inhalte im Darknet können nicht von Suchmaschinen wie Google oder Bing gefunden werden. Befindet sich ein Nutzer in einem Darknet, kann er mit einem vergleichsweise hohen Maß an Anonymität und Privatsphäre rechnen. Aber: Kein Darknet, egal auf welcher Technologie es basiert, kann absolute Sicherheit im Netz bieten.

Das bekannteste und am weitesten verbreitete Darknet ist das Tor-Netzwerk. Wenn wir von Darknet sprechen, meinen wir ausschließlich das Tor-Darknet: ein Pool von Tausenden von Servern, die über die ganze Welt verteilt sind und sich vom Rest des Internets abschirmen. Die meisten Nutzer bekommen von der komplexen Mathematik, die hinter der Technologie von Tor und den Verschlüsselungsprotokollen steckt, nichts mit. Die ganze Technik ist handlich in ein einziges, mächtiges Werkzeug verbaut – den Tor-Browser. Der Tor-Browser ist die Pforte ins Darknet.

Die erste Version der Tor-Software entstand Ende der 90er-Jahre in einem militärischen Forschungslabor der US-Navy. Die US-Armee suchte nach einer Technologie, mit der sich amerikanische Agenten im Ausland anonym im Netz bewegen können. Doch das Programm war unausgereift und schlummerte auf alten Rechnern der Navy. Bis Tor von Netzaktivisten reaktiviert, weiterentwickelt und 2003 als Open Source veröffentlicht wurde.

Wie funktioniert das Darknet?

Ausgangspunkt von Tor ist eine Grundeigenschaft des Internets, die manche als dessen »Geburtsfehler« betrachten5: die IP-Adressstruktur. IP-Adressen fungieren im Internet wie digitale Meldeadressen: Wann immer ein Nutzer eine Webseite aufruft oder einen Beitrag etwa auf Facebook postet, tut er das nicht anonym, sondern unter einer digitalen Kennung – seiner IP-Adresse –, die ihm sein Internetanbieter zuteilt und die ihn identifizierbar macht. Jedes Gerät – ob Computer, Smartphone oder WLAN-Kühlschrank – besitzt eine solche IP-Adresse, sobald es sich mit dem Netz verbindet. IP-Adressen können statisch sein oder variabel, doch auch, wenn ein Nutzer heute mit der einen, morgen mit einer anderen IP-Adresse unterwegs ist, registriert sein Provider jede seiner Aktivitäten im Netz: welche Seiten er besucht, wann und wie lange, welche Inhalte er abfragt. Auch bei den besuchten Seiten hinterlässt der Nutzer Spuren, da Seitenbetreiber sehen können, welche IP-Adressen sich mit ihnen verbinden.

Tor stört diese Kommunikationsbeziehung, bei der IP-Adressen direkt miteinander sprechen. Die Idee klingt simpel: Wenn es IP-Adressen sind, die Nutzer identifizierbar machen, zugleich aber ein unhintergehbares Grundprinzip des Internets sind, muss das IP-Adressprinzip eben gegen sich selbst gewendet werden.

Und das funktioniert so: Anstatt eine Internetanfrage vom Nutzer direkt zur gewünschten Webseite zu bringen, leitet Tor sie durch einen virtuellen Tunnel, der aus drei Servern besteht, den Tor-Knoten. Innerhalb dieses Tunnels ist die Verbindung mehrfach verschlüsselt. Vom dritten Tor-Knoten, dem Endknoten, gelangt die Anfrage, nun unverschlüsselt, ins offene Internet und zur gewünschten Webseite. Das schrittweise Abtragen der Verschlüsselungsschichten an den Tor-Knoten hat die ursprünglichen Programmierer6 offenbar an das Schälen einer Zwiebel erinnert, was die Namensgebung von Tor (das Akronym von »The Onion Routing«) erklärt.

Bei jedem Start sucht sich der Tunnel drei neue Knoten, um die Anfrage zum Ziel zu schicken. Der Tunnel versperrt dem Internetprovider – und allen, die auf dessen Daten zugreifen können – die Sicht auf den Traffic. Knackpunkt dabei ist, dass die drei Tor-Knoten jeweils nur ihre unmittelbaren Nachbarn kennen, also den Tor-Knoten davor und danach. Woher aber die Anfrage ursprünglich kommt und wohin sie geht, lässt sich von keinem Punkt in der Kette nachvollziehen: Die aufgerufene Website sieht nur die IP-Adresse des Endknotens der Kette, nicht aber die des Nutzers; der Internetprovider sieht nur, dass sich der Nutzer ins Tor-Netzwerk einklinkt, nicht aber welche Seite er ansteuert und welche Inhalte er dort abfragt; und die Tor-Knoten kennen jeweils nur einen kleinen Ausschnitt der Route.

Die Identität des Nutzers bleibt damit verborgen. Der Tor-Browser eignet sich also auch für Leute, die bloß im Internet surfen und nicht wollen, dass an beiden Enden der Verbindung Dritte ungefragt zuschauen.

Die zweite Ebene der Tor-Sicherheitsarchitektur ist der Tor-Browser, mit dem Nutzer deutlich weniger Spuren im Netz hinterlassen (etwa durch Cookies) als mit einem herkömmlichen Internetbrowser. Wie jede Software, hat auch Tor Schwachstellen: Sogenannte »globale, passive Angreifer« wie Geheimdienste, die große Teile des Netzes überblicken, können Tor-Nutzer unter Umständen (und mit einigem Aufwand) deanonymisieren. Gegen diese »traffic correlation attacks«, bei denen ein Akteur beide Enden einer Internetverbindung sieht, kann Tor nichts ausrichten.7 Auch andere Angriffe, etwa über eine Sicherheitslücke im Browser, sind vorstellbar. Tor, das sollten Nutzer wissen, bietet keine 100-prozentige Anonymität.

»Hidden Services«: Die Grundpfeiler des Darknets

Wenn allerdings Politiker oder Ermittler fordern, das Darknet zu »durchleuchten« oder »Licht ins dunkle Netz« zu bringen, meinen sie in der Regel nicht die Anonymisierungssoftware des Tor-Browsers, sondern sogenannte Onion-Services oder Hidden Services. Vereinfacht gesagt sind es die Webseiten des Darknets.

Hidden Services sind kryptografisch abgesicherte und im weitesten Sinne zensurresistente Dienste, die es Betreibern möglich machen, ihre Inhalte anonym anzubieten und ihren Standort zu verschleiern. Der Kniff: Der Server, über den eine Website oder ein Forum läuft, ist selbst Teil des Tor-Netzwerks und somit nur schwer lokalisierbar. Springt die Anfrage eines Nutzers normalerweise über drei Tor-Knoten, wenn er eine Webseite im Clearnet aufruft, erhöht sich die Zahl der Knoten in der Regel auf sechs, wenn er einen Hidden Service ansteuert. Nutzer und Betreiber von Hidden Services können so miteinander sprechen, ohne zu wissen, mit wem sie es eigentlich zu tun haben. Diese Konstellation erhöht auch den Schutz für Nutzer: Da der Hidden Service die Tor-Architektur verwendet, bleibt die Internetverbindung die ganze Zeit innerhalb des Tor-Netzwerks.

Hidden Services lassen sich nicht über herkömmliche Internetbrowser ansteuern, sondern nur über den Tor-Browser. Die Adressen im Darknet enden nicht auf .de oder .com, sondern auf .onion und bestehen aus einer zufälligen Reihe von (in der Regel) 16 Buchstaben und Zahlen.

Bekannte Onion-Dienste sind etwa der anonyme E-Mail-Dienst ProtonMail (protonirockerxow.onion) oder die Google-Alternative DuckDuckGo (3g2up14pq6kufc4m.onion). Der mit Abstand populärste Onion Service ist die Darknet-Seite von Facebook, erreichbar über facebookcorewwwi.onion.

Es gibt Hidden Services, die die Öffentlichkeit suchen – Schwarzmärkte, Foren, Blogs, Linklisten – und die sich daher relativ leicht finden lassen; und es gibt Hidden Services, die nur wenige Eingeweihte kennen: »invite-only«-Shops, auf die nur ein erlesener Kundenkreis zugreifen kann, oder Ad-hoc-Foren, die nur wenige Tage oder Stunden existieren und von kriminellen Netzwerken im transnationalen Schmuggelgeschäft genutzt werden. Niemand kennt alle Hidden Services, es ist wohl eher so, dass die allermeisten Nutzer nur den kleinsten Teil des Darknets jemals sehen werden.