Revierkrieg im Darknet – Jemand greift die Schwarzmärkte an

Die großen Darknet-Schwarzmärkte stehen unter Beschuss. Aber wer steckt dahinter, und wohin entwickelt sich der anonyme Handel im verschlüsselten Internet? WIRED ist auf Spurensuche gegangen.

Regelmäßig neue Updates aus dem WIRED-Kosmos!

Die großen Darknet-Schwarzmärkte stehen unter Beschuss. Aber wer steckt dahinter, und wohin entwickelt sich der anonyme Handel im verschlüsselten Internet? WIRED ist auf Spurensuche gegangen.

Die neuste Angriffswelle bemerkt Emily Wilson am frühen Montagmorgen. Es ist Mitte November, die IT-Forscherin observiert gerade den Handel in der Online-Unterwelt. Von ihrem Büro in Baltimore aus durchwühlt sie Daten auf der ganzen Welt, durchkämmt Foren, kontaktiert Insider. Die großen Plattformen im Darknet, so weiß Wilson, befinden sich seit knapp einem Monat im Ausnahmezustand. Auch heute Morgen schaut sie zu, wie das Chaos zunimmt. Jemand scheint den Handel mit Kinderpornographie, Daten- und Waffen stören zu wollen, vor allem aber das Drogengeschäft.

„Unbekannte attackieren die neun verbleibenden Großmärkte mit DDoS-Angriffen“, sagt Wilson. Die Server von Handelsplätzen wie Dream Market, Wall Street, Tochka oder Trade Route brechen überlastet zusammen. Ihre zentralen Seiten gehen immer wieder offline, interne Quellen bestätigen gegenüber Wilson: „Die Plattformen stehen unter Beschuss.“

Die Lage scheint außer Kontrolle, die Betreiber selbst teilen ihren Kunden und Verkäufern mit: „Wir tun alles, um den Handel zu sichern, aber jemand geht koordiniert gegen uns vor.“ Wilson teilt diesen Eindruck, sie arbeitet als leitende Analystin bei der Sicherheits-Firma Terbium Labs. Ihr Unternehmen sucht für seine Kunden im Darknet nach Datenleaks. Als langjährige Beobachterin der Marktplätze im Tor-Netzwerk, die Nutzer nur über eine verschlüsselte Verbindung erreichen, hat sie zahlreiche Märkte kommen und gehen sehen – dieser Aufruhr ist sogar für sie neu.

Zahlreiche Experten und Ermittler bestätigen die Aussagen der US-Forscherin gegenüber WIRED: Die DDoS-Angriffe scheinen zu einer Eskalation zu gehören, die sich bereits seit Monaten aufbaut. Der Schwarzmarkthandel ist zur Arena eines technologischen Katz-und-Maus-Spiels geworden. Ermittler und Staatsanwaltschaften kämpfen darin gegen Schwarzmarktbetreiber und Händler, und die wiederum ringen untereinander um Einfluss. Auch Geheimdienste und Sicherheitsfirmen spielen eine Rolle – die Online-Geschäfte verändern und verlagern sich ständig. Umso mehr fragen sich Forscher wie Wilson gerade: Wer steckt hinter den aktuellen Attacken? Was bezwecken sie? Und wie wirken sie sich auf die Schwarzmärkte aus? Auf die Spur einer Antwort kommt, wer sich die Plattformen im Jahr 2017 anschaut.

Am 4. Juli verschwindet der größte Darknet-Drogenmarktplatz Alphabay aus dem Netz und Chaos bricht aus. Die Plattform verwaltet Millionen von Dollar in Kryptowährungen, das meiste davon befindet sich in aktiven Transaktionen. Dealer und Käufer befürchten, was man in der Branche einen Exit Scam nennt. Betreiber machen sich dabei mit dem Geld der Nutzer aus dem Staub. „Mein Dealer hat mir Geld gegeben, um auf Alphabay Zeug zu besorgen, jetzt steckt alles in deren Wallet“, regt sich ein Alphabay-Nutzer auf Reddit auf. „Ich brauche meine 4k zurück, oder ich muss Angst um mein Leben haben.“

Aber Alphabay bleibt in den kommenden Tagen offline und die Nutzer Nutzer strömen auf andere Plattformen, wie Hansa und Dream Market, die der Andrang scheinbar überfordert. „Aufgrund des Zustroms von Alphabay-Flüchtlingen müssen wir technische Probleme beheben“, kündigen die Hansa-Betreiber auf Reddit an. Es folgt ein Aufnahmestopp.

Findet Daten im Darknet wieder. Emily Wilson erforschte früher internationale Kriegsverbrechen, heute arbeitet sie als leitende Analystin bei TerbiumLabs.

Aber die angeblichen Fehler existieren nicht. Der Zustrom soll nur langsamer ablaufen. Tatsächlich sind es Ermittler der niederländischen Polizei, die die Plattform am 20. Juni 2017 übernommen haben und jetzt zusehen, wie Nutzer verzweifelt nach einer neuen Plattform suchen. „Sie sind in Scharen auf Hansa geströmt,“ sagt Europol-Chef Rob Wainwright über das geplante Chaos. „Wir haben kurz nach dem Ausfall von Alphabay einen achtfachen Anstieg neuer Nutzer gesehen.“ Die Polizei lässt weiter Bestellvorgänge zu, damit sie noch weitere Drogen-Deals beobachten, und Großhändler identifizieren kann. Mehr als 10.000 Adressen von Hansa-Kunden geben sie später an Europol weiter.

Am 20. Juli 2017 verkünden internationale Sicherheitsbehörden offiziell das Ende von Alphabay und Hansa. Mit Razzien und Unterwanderung ist den Ermittlern ein globaler Schlag gegen den Darknet-Drogenhandel gelungen: Dem US-Justizministerium zufolge hatte allein Alphabay zuletzt mehr als 350.000 Produkte im Angebot, vor allem Drogen, aber auch gefälschte Ausweise, Fake-Waren oder Malware – auf dem ersten modernen Drogenmarktplatz „Silk Road“ waren bei seinem Ende im November 2013 gerade einmal 14.000 Produkte gelistet.

Aber der Erfolg reicht der Polizei in den Niederlanden nicht. Sie stellt, ebenfalls im Darknet, einen Online-Pranger auf. Darauf listet sie identifizierte Käufer sowie aktive oder bereits verhaftete Händler mit Nutzernamen wie „DutchMagic, „XTCExpress“ oder „Lowlands“ – zur Abschreckung. „Wir verfolgen Menschen, die auf Darknet-Marktplätzen aktiv sind und illegale Waren und Dienstleistungen anbieten“, warnt die Polizei auf der Seite. „Sind Sie einer davon? Dann haben Sie unsere Aufmerksamkeit.“

Die Fälle Alphabay und Hansa zeigen, dass Ermittler aufgeholt haben. Auch in Deutschland widmen die Behörden den Schwarzmärkten seit dem Amoklauf von München im vergangenen Jahr deutlich mehr Aufmerksamkeit als zuvor. Das bestätigten Beamte gegenüber WIRED. Der Täter damals hatte seine Waffe im Internet besorgt, und das sensibilisierte die Öffentlichkeit für das Problem des unkontrollierten Handels online.

Mittlerweile gibt es in fast jedem Bundesland spezielle Staatsanwaltschaften, die sich auf das Thema „Cybercrime“ spezialisiert haben. Gleichzeitig haben die nationalen Behörden ihre Kooperationen mit Hilfe von Euro- und Interpol ausgebaut. Seit dem Schlag gegen Silk Road 2013 sind die Wege zwischen den Ermittlungsbehörden kürzer geworden, immer häufiger gelingen Fahndungserfolge weltweit. Die Zugriffe im Juli markierten eine Stunde Null für die Online-Schwarzmärkte. Die sogenannte Underground Economy scheint sich zu zersetzen.

Denn, obwohl mittlerweile unbekanntere Plattformen die Machtlücke zu füllen versuchen, bleibt eine enorme Unsicherheit unter den Usern. Einer der größten Anbieter momentan ist Dream Market – und der läuft instabil. Es mangelt an Kundenbetreuung, viele Links enthalten Malware, die Seite funktioniert oft nicht. „Die Käufer sind verunsichert, weil die Polizei zuvor Alphabay infiltriert hat“, sagt Emily Wilson. „Sie befürchten, dass hinter jedem Ausfall und hinter jeder Unregelmäßigkeit bei Plattformen wie Dream Market in Wahrheit Ermittler stecken.“ Das destabilisiere die Märkte. Es scheint folgerichtig, dass die aktuellen DDoS-Attacken zu einer weiteren großen Kampagne von Ermittlern gehören. Paradoxerweise sind sich die Experten, mit denen WIRED gesprochen hat, einig: Das ist wahrscheinlich nicht der Fall.

Hauptkommissar Peter Vahrenhorst ist schon von der Frage irritiert. Seit 10 Jahren arbeitet er als IT-Ermittler beim LKA in Nordrhein-Westfalen. Mit 200 Mitarbeitern eines Cybercrime-Kompetenzzentrums in Düsseldorf spürt er den Verbrechern online hinterher. „Wir wollen die Täter erwischen“, sagt er. „Warum sollten wir als deutsche Behörde versuchen, deren Server abzuschießen?“ Für Vahrenhorst ergibt der Zusammenhang zwischen Ermittlern und DDoS-Angriffen kaum einen Sinn. Generell funktioniere die Polizeiarbeit im Darknet anders, als es die Öffentlichkeit wahrnehme.

Es geht um einen ständigen Wettlauf: Technologische Innovation auf Seiten der Underground Economy und Aufholjagd der Ermittler. „Das TOR-Netzwerk entwickelt sich immer weiter“, sagt Vahrenhorst. Auch die Bandbreiten, Rechenleistungen und die Leitungsqualitäten werden besser. „Diesen Kontext nutzen die Anbieter, um neue Sicherheitsschachteln zwischenzuschalten.“

Auch die Nutzer ließen sich durch Ermittlungserfolge, Pranger und Angriffswellen nur kurzfristig verunsichern, ist der Hauptkommissar überzeugt. „Zusehends weicht der Handel auf andere Kanäle aus“, sagt er. Wer in der Vergangenheit eine Beziehung zu einem Dealer aufgebaut hat, der braucht jetzt kein Darknet mehr, sondern nur noch einen Messenger. Außerdem poppen seit kurzem Angebote auf, die auf eine direkte Verbindung zwischen Anbieter und Kunden setzen (P2P) – statt auf eine zentrale Plattform.

Ein Beispiel wäre das Open Source-Projekt OpenBazaar: Die Software lässt eine direkte Verbindung zwischen Käufer und Verkäufer zu. OpenBazaar richtet sich nicht an Schwarzmarktkunden, wie Entwickler Sam Patterson betont, sondern an Nutzer, die ohne Kontrolle durch Konzerne oder den Staat handeln wollen. „Es gibt keinen zentralen Server, der den Marktplatz kontrolliert, keine zentrale Organisation, keinen Middle Man“, so Patterson. „Ob OpenBazaar ein Dark Market ist, hängt davon ab, wie man es nutzt.“ Illegale Produkte wie Drogen finden sich durchaus: Die Suchmaschine listet Produkte wie „10 g El Chapo Cocaine“ zum Preis von 800 Dollar, auch Kokain, Ecstasy-Pillen im 10-er oder 200-er-Pack, Crystal Meth oder verschreibungspflichtige Medikamente wie Ketamin werden angeboten. Doch die illegalen Waren bleiben bisher deutlich in der Unterzahl.

Ermittlern bereitet das Aufkommen solcher Netzwerke neue Probleme: Je dezentraler der Handel, desto schwieriger wird es, ihn zu verfolgen – weil es unmöglich ist, einen zentralen Server abzuschalten. Außerdem passen sich die Nutzer an. Plattformen von Kinderpornographie haben etwa damit begonnen, sogenannte „Keuschheitstests“ einzuführen, um der Unterwanderung von Ermittlern zuvorzukommen. Sie zwingen ihre Mitglieder regelmäßig dazu, selbst kinderpornographisches Material hochzuladen. Eine Straftat, die Ermittler selbst in den meisten Staaten nicht begehen dürfen, um sich zu tarnen. Es ist eins von vielen Beispielen. Es zeigt: Die internationale Strafverfolgung könnte den Anschluss verlieren, auch wenn sie gerade erst so viele Erfolge gefeiert hat.

„Ja, die Ermittler und Staatsanwaltschaften sind immer besser aufgestellt. Nein, der Schwarzmarkt ist nicht am Ende“, sagt Christian Rückert. Er ist Experte für Cybercrime an der Uni Erlangen und forscht in der dortigen International Criminal Law Research Unit zum Thema Darknet. Auch er bezweifelt, dass die DDoS-Angriffe von Polizisten kommen. „Nur Ermittler im jeweiligen Land selbst können gegen dortige Verbrecher vorgehen, einen Server von einem fremden Land anzugreifen, bleibt völkerrechtswidrig“, sagt er. Auch EuroPol und InterPol hätten keine Befugnisse für solch einen Schritt, höchstens Geheimdienste könnten verantwortlich sein.

Comments are closed, but trackbacks and pingbacks are open.