Im Rahmen der fortlaufenden „Operation Endgame“ haben Strafverfolgungsbehörden aus Deutschland, den Niederlanden, Dänemark, Kanada, Großbritannien und den USA gemeinsam mit dem US-Konzern Microsoft innerhalb weniger Wochen 326 Server abgeschaltet, 142 Domains gesperrt und kriminelle Krypto-Werte im Gegenwert von rund 41 Millionen Euro gesichert. Im Mittelpunkt standen drei Schadprogramm-Familien, die im Cybercrime-Untergrund seit Jahren als Standard-Werkzeuge gelten: SocGholish, Amadey und StealC.
Was diese Malware-Familien verbindet
SocGholish (im Szene-Jargon auch „FakeUpdates“ genannt) ist ein klassischer Dropper, der über kompromittierte WordPress-Seiten verbreitet wird. Besucher solcher Seiten erhalten gefälschte Browser-Update-Aufforderungen; wer klickt, installiert statt eines Updates den Schädling. Allein im Zuge dieser Operation wurden knapp 15.000 infizierte Websites saniert. Die Verbindung zur russischsprachigen Gruppe Evil Corp, die zuvor bereits für Zeus und Dridex verantwortlich war und im Bereich großangelegter Ransomware-Kampagnen operierte, ist für die strafrechtliche Einordnung nicht unerheblich.
Amadey und StealC bilden ein eingespieltes Duo, das arbeitsteilig vorgeht: Amadey verschafft den initialen Zugriff auf ein kompromittiertes System, häufig über Phishing-Kampagnen, StealC extrahiert daraus Passwörter, gespeicherte Zugangsdaten und digitale Identitäten. In nur den ersten zwei Maiwochen 2026 waren diese beiden Toolkits an mehr als 140.000 Infektionen weltweit beteiligt, wobei Deutschland nach den USA am stärksten betroffen war. Dass dieselbe Infrastruktur von der russisch-assoziierten Gruppe „Secret Blizzard“ für Angriffe auf ukrainische Ziele genutzt wurde, zeigt die geopolitische Dimension solcher Strukturen.
Technische und Rechtliche Innovation
Was diese Operation über frühere Maßnahmen hinaushebt, ist die Kombination aus KI-gestützter Codeanalyse und einem ungewöhnlichen Rechtsinstrument. Microsoft-Juristen nutzten Erkenntnisse, die durch KI-Analyse des Schadcode-Quellcodes in Minuten statt Tagen gewonnen wurden, um nachzuweisen, dass Amadey und StealC trotz unterschiedlicher Entwickler dieselbe technische Infrastruktur teilen. Darauf aufbauend wurde in den USA der RICO Act (Gesetz gegen organisierte Kriminalität) angewendet, das eine Gesamtbetrachtung des kriminellen Netzwerks erlaubt, anstatt jeden Akteur isoliert zu verfolgen. Für die deutsche Rechtspraxis ist der RICO-Ansatz zwar nicht direkt übertragbar, er zeigt aber eine Tendenz, die auch hierzulande in die Anklagestrategien einfließen wird: die Konstruktion einer einheitlichen kriminellen Vereinigung aus technisch und personell fragmentierten Akteuren.
In Deutschland werden die einschlägigen Ermittlungen nach bisherigem Stand wegen bandenmäßiger und gewerbsmäßiger Erpressung sowie Computersabotage geführt. Weiterhin kommen, je nach Tatbeitrag, Tatbestände der Datenhehlerei (§ 202d StGB), des unbefugten Zugriffs auf Computersysteme (§ 202a StGB) und der Geldwäsche in Betracht. Das BKA koordinierte den deutschen Anteil der Operation gemeinsam mit niederländischen und dänischen Behörden. Über 27 Millionen gestohlener Login-Daten wurden sichergestellt und über Plattformen wie HaveIBeenPwned sowie NL-NCSC an Betroffene kommuniziert.
Cybercrime-as-a-Service als strafrechtlicher Dreh- und Angelpunkt
Für die Strafverfolgung ist entscheidend, dass alle drei Schadprogramme nicht von einer einzigen Tätergruppe betrieben, sondern als Dienstleistung an Dritte vertrieben wurden (sogenanntes „Cybercrime-as-a-Service“-Modell). Wer als Abnehmer eine solche Dienstleistung in Anspruch nimmt, ist im deutschen Strafrecht grundsätzlich als Mittäter oder zumindest als Gehilfe in das kriminelle Gesamtgefüge einzubinden. Die strafrechtliche Konsequenz: Selbst wer technisch nur die „Customer“-Rolle einnahm, also fertige Malware-Dienste kaufte und einsetzte, kann vollumfänglich für die Folgehandlungen haften.
Genau hier beginnt das rechtliche Minenfeld, das in den kommenden Monaten zu zahlreichen Verfahren führen wird: Aus meiner Praxis als auf das Cyberstrafrecht spezialisierter Anwalt mit Veröffentlichungen unter anderem in einschlägigen IT- und Strafrechts-Fachzeitschriften weiß ich, dass die Grenzen zwischen bloßer Nutzung, Mittäterschaft und Beihilfe in solchen technisch komplexen Sachverhalten regelmäßig fließend sind und von Strafverfolgungsbehörden oft zulasten des Beschuldigten gezogen werden. Die strafrechtliche Aufarbeitung erfordert deshalb eine technisch fundierte Verteidigung, die nicht nur die juristischen Normen, sondern auch die zugrunde liegende Funktionsweise der eingesetzten Werkzeuge versteht.
Was jetzt noch kommen kann
Die Abschaltung von Servern und Domains ist ein erster, medienwirksamer Schritt aber keine vollständige Zerschlagung. Historisch zeigt das Cybercrime-Milieu eine hohe Resilienz: Infrastruktur wird redundant ausgelegt, Akteure verlagern Dienste kurzfristig auf alternative Server oder neue Bulletproof-Hoster. Das Netzwerk hinter SocGholish ist in der Vergangenheit bereits mehrfach nach vermeintlichen Takedowns wiederaufgetaucht. Was hingegen nachhaltig wirkt, sind die Beschlagnahmungen krimineller Vermögenswerte und sofern Personen identifiziert werden konnten internationale Haftbefehle.
In den nächsten Wochen und Monaten ist zu erwarten, dass BKA und Partnerstaaten konkrete Beschuldigte benennen, möglicherweise zunächst über Haftbefehle und Fahndungsveröffentlichungen. Dabei werden unweigerlich auch Personen in den Fokus geraten, deren tatsächliche Tatbeiträge weit weniger eindeutig sind, als die Ermittlungsdarstellungen vermuten lassen. Angesichts der Dynamik solcher Verfahren (internationaler Rechtshilfeverkehr, parallele Ermittlungen in mehreren Ländern, umfangreiche Datenmengen als Beweismittel) ist eine frühzeitige anwaltliche Begleitung oft der einzige Weg, Weichenstellungen zu eigenen Gunsten zu beeinflussen.
Geopolitische Dimension und künftige Ermittlungsstrategien
Die Beteiligung von Evil Corp und Secret Blizzard verdeutlicht, was in der Diskussion um Cybercrime-Strafverfolgung häufig ausgeblendet wird: Die Grenzen zwischen organisierten kriminellen Strukturen und staatlich gelenkter Cyberoperation sind in diesem Milieu strukturell fließend. Für die europäische Strafverfolgung bedeutet das, dass künftige Operationen verstärkt an den Schnittstellen von Cybercrime und Cyberspionage operieren werden … mit entsprechenden Implikationen für Zuständigkeiten, Geheimhaltungsinteressen und die Verwertbarkeit von Beweisen in Strafverfahren.
Der Einsatz von KI zur Analyse krimineller Software und RICO-ähnlicher Gesamtbetrachtungen als Anklagestrategie dürfte auf europäischer Ebene Schule machen. Deutschland kennt mit dem Straftatbestand der kriminellen Vereinigung (§ 129 StGB) ein strukturell vergleichbares Werkzeug; mit zunehmender Professionalisierung der Ermittlungsmethoden ist ein häufigerer Rückgriff darauf absehbar.
Als Lehrbeauftragter an der FH Aachen (Wirtschaftsstrafrecht und IT-Compliance) doziert er zu KI-Kompetenz und strategischem Denken und publiziert regelmäßig in straf- und IT-rechtlichen Fachaufsätzen sowie in der Kommentierung im BeckOK StPO (zu IT-Strafprozessrecht und digitalen Beweismitteln). Weiterhin spricht er über die rechtsstaatlichen Grundlagen moderner Arbeit, speziell zu IT-/KI-Kompetenz und Cybersecurity-Awareness.
Wir sind hochspezialisiert, was bedeutet, dass wir im IT-Recht und Strafrecht nur bestimmte Bereiche übernehmen. So im IT-Recht nur im Softwarerecht mit darauf bezogebem IT-Vertragsrecht & Lizenzrecht und rund um Cybersicherheit. Im Strafrecht übernehmen wir nur Strafverteidigungen in Bereichen auf die wir spezialisieren: Jugendstrafrecht, Sexualstrafrecht, BtMG/KCang/AMG, Medizinstrafrecht, Cybercrime & Medienstrafrecht, Wirtschaftsstrafrecht mit Schwerpunkten Arbeitsstrafrecht und Steuerstrafrecht
- Eigene Plattformen rechtssicher betreiben … (?) – 15. Juli 2026
- Missbrauchsanleitung: Strafbarkeit fiktiver Inhalte nach § 176e StGB – 14. Juli 2026
- Lichtbildschutz und KI-Bearbeitung: reduzierter Schutzumfang beim einfachen Foto – 14. Juli 2026