Zehn Monate Strafverfolgung 2026: zuerst die Infrastruktur, dicht dahinter die Betreiber
Zehn Monate nach Beginn des Jahres 2026 wird der öffentlich sichtbare Strafverfolgungsbericht gegen Darknet- und Cybercrime-Infrastruktur nicht von spektakulären Marktplatz-Beschlagnahmen geprägt, sondern von steter Arbeit an der Technik: Server, Domains, Botnets und die Dienste, die sie vermieten. Dieser Beitrag berücksichtigt ausschließlich Maßnahmen, die bis Mitte Oktober von Behörden mit eigenen Verlautbarungen angekündigt wurden - Europol, das US-Justizministerium, das BKA, die niederländische Polizei und das FBI - und sucht das Muster dahinter. Jeder Fall verweist auf eine Quelle, die wir selbst geöffnet haben; Gerüchte und Aussagen aus einem einzigen Blog kamen nicht in die Auswahl.
Zuerst die Infrastruktur
Die größte koordinierte Aktion des Zeitraums war der Junischlag von Operation Endgame gegen die Verbreitung von Schadsoftware. Am 24. Juni verkündete die internationale Koalition hinter der langjährigen Kampagne den Angriff auf die Dropper- und Infostealer-Toolkits SocGholish, Amadey und StealC: 326 Server und 142 Domains wurden innerhalb von zwei Wochen übernommen, kriminelle Krypto-Vermögenswerte im Wert von über 41 Millionen Euro markiert und eingefroren und 27 Millionen gestohlene Zugangsdaten sichergestellt. Die Liste der Beteiligten - Kanada, Dänemark, Deutschland, die Niederlande, Großbritannien, die USA und Microsoft, koordiniert von Europol und Eurojust - zeigt, wie routiniert das öffentlich-private Format geworden ist (operation-endgame.com). Zum Größenvergleich: Allein die Novemberphase der Kampagne im Jahr 2025 hatte 1.025 Server abgeschaltet. Tage zuvor hatte die niederländische Polizei First VPN vom Netz genommen, einen kriminellen VPN-Dienst, der in Cybercrime-Foren beworben wurde. In der Aktion des Team High Tech Crime mit französischen Behörden am 19. und 20. Mai wurden 33 Server stillgelegt, der mutmaßliche Administrator in der Ukraine auf Bitte Frankreichs vernommen und die Nutzer des Dienstes benachrichtigt - im Kern darüber, dass sie die ganze Zeit beobachtet worden waren. Die Europol-Unterstützungsstelle erstellte 83 Analyseprodukte für das gemeinsame Ermittlungsteam (politie.nl). Im Juli war das FBI an der Reihe: Am 2. Juli wurden hunderte Domains beschlagnahmt, die zu NetNut gehörten, einem kommerziellen Residential-Proxy-Netzwerk, das mit dem Popa-Botnet auf mehr als zwei Millionen Verbrauchergeräten in Verbindung steht; die Startseite des Unternehmens wurde durch ein Beschlagnahme-Banner des FBI ersetzt. NetNut wird von Alarum Technologies betrieben, einem börsennotierten israelischen Unternehmen - eine Erinnerung daran, dass 'Botnet-Infrastruktur' und 'an der Nasdaq gelistetes Produkt' dieselbe Maschine beschreiben können. Laut KrebsOnSecurity zählte die Threat-Intelligence-Gruppe von Google in einer einzigen Juniwoche 316 verschiedene Akteurscluster, die NetNut-Exit-Knoten nutzten (KrebsOnSecurity).Administratoren, keine Verkäufer
Die Marktplatz-Maßnahmen des Jahres 2026 waren schmal und chirurgisch. Anfang Mai schalteten die Frankfurter ZIT und das BKA den Relaunch von Crimenetwork ab, die deutschsprachige Handelsplattform, deren Vorgängerversion im Dezember 2024 gefallen war; der mutmaßliche Betreiber, ein 35-jähriger Deutscher, wurde am 6. Mai auf Mallorca auf Grundlage eines Europäischen Haftbefehls festgenommen. Der Relaunch war auf über 22.000 Nutzer und mehr als 100 Verkäufer gewachsen, akzeptierte Bitcoin, Litecoin und Monero und hinterließ Umsatzbelege, die auf mehr als 3,6 Millionen Euro hinauslaufen; rund 194.000 Euro wurden vorläufig sichergestellt. Bemerkenswert ist, was nicht geschah: keine Massenfestnahme von Verkäufern. Die Daten zu 22.000 Nutzern wurden zu Beweismitteln, nicht zu einer Pressestellen-Zahl (BKA/ZIT-Meldung). Europols Oktober-Verlautbarung zu KillSec liest sich ähnlich. Operation KillSwitch, geführt von der Hamburger Landeskriminalpolizei und der Hamburger Staatsanwaltschaft, übernahm am 30. September die Leak-Site der Ransomware-Gruppe und sicherte mindestens 110 Terabyte an Daten. Der mutmaßliche Hauptbetreiber ist sechzehn Jahre alt; der mutmaßliche Entwickler wurde im August achtzehn. Drei vorläufige Festnahmen und acht Durchsuchungen verteilten sich auf Griechenland, Rumänien, Spanien und Großbritannien, und die Domains der Gruppe leiten inzwischen auf einen Beschlagnahmehinweis weiter. Europol berichtete außerdem, die Gruppe habe KI-Werkzeuge genutzt, um ihre Infrastruktur aufzubauen und zu warten sowie potenzielle Opfer zu identifizieren - ein Detail, das ebenso viel über das Jahr 2026 aussagt wie jede Festnahmezahl (Europol).Das lange Nachspiel der Strafprozesse
Ältere Verfahren reifen weiter zu Urteilen heran. Am 7. Oktober verkündeten die Bundesstaatsanwälte in Chicago, dass Raheim Hamilton, Mitgründer des Dark-Web-Marktplatzes Empire Market, zu vierzig Jahren Bundeshaft und einer Geldstrafe von fünf Millionen Dollar verurteilt wurde. Empire war von 2018 bis 2020 aktiv und wickelte mehr als vier Millionen Transaktionen im Wert von über 430 Millionen Dollar ab. Der Einzug - rund 1.230 Bitcoin plus drei Immobilien in Virginia - kam Jahre nach dem Verschwinden des Marktplatzes selbst, und genau das ist der Punkt: Beschlagnahmen sind sofort, Rechenschaft ist langsam (justice.gov).Die stille vierte Spur: Designierungen
Sanktionen liefen parallel zur strafrechtlichen Schiene. Am 8. Oktober designierte das Vereinigte Königreich Cryptomus, eine Krypto-Zahlungsplattform, früher bekannt als Certa Payments und Xeltox, im Rahmen seines Russland-Sanktionsregimes - gemeinsam mit VexPay, TokenSpot und Tsunami Payments (KrebsOnSecurity). Die Reichweite einer Zahlungsplattform einzufrieren geschieht ohne Banner, aber für Cash-out-Infrastruktur kann eine Designierung härter zuschlagen als eine Beschlagnahme.Was die Banner sagen - und was fehlt
Die Grammatik der Beschlagnahme-Banner ist intakt: KillSecs Domains leiten auf einen Hinweis der Strafverfolgungsbehörden weiter, NetNuts Startseite trägt das FBI-Banner, Crimenetwork und First VPN verschwinden einfach. Die Abwesenheiten sind ebenso aufschlussreich wie die Aktionen. Im zusammengestellten öffentlichen Bericht für 2026 bisher:- wurde kein Darknet-Marktplatz der größten internationalen Klasse beschlagnahmt - die einzige Marktschließung war ein deutschsprachiger Relaunch, der rund anderthalb Jahre überlebt hatte;
- ist keine der hier zusammengestellten Maßnahmen eine Mixer-Designierung, und der einzige Sanktionsschritt im Set zielt auf eine Zahlungsplattform, nicht auf einen Mixing-Dienst;
- gab es keine Massenfestnahme von Verkäufern, wie sie frühere Wellen prägte.