Stellen Sie sich vor, Sie betreiben ein technisch sauberes Rechenzentrum, kennen Ihre Hardware, Ihre Verträge, Ihre Marge – und eines Morgens stehen die Ermittler der Finanzaufsicht vor der Tür, beschlagnahmen 800 Server, Laptops und Telefone und legen Ihnen zur Last, mit der Vermietung von Rackplatz die hybride Kriegsführung eines sanktionierten Staates unterstützt zu haben. Genau das ist Mitte Mai in den Niederlanden geschehen, und der Fall trägt eine Handschrift, die jeder kennt, der die Verfahren um Cyberbunker und das sogenannte Bulletproof Hosting verfolgt hat: Nicht mehr der einzelne Täter steht im Zentrum, sondern die Infrastruktur, auf der sich Taten Dritter abgespielt haben.
Hintergründe
Am 18. Mai nahm die niederländische Finanzermittlungsbehörde FIOD zwei Männer fest – einen 57-Jährigen aus Amsterdam und einen 39-jährigen, in den Niederlanden lebenden russischen Staatsbürger, der außerhalb der IT-Branche als Konzertpianist bekannt ist. Hinter den dürren Personalien steht ein Geflecht aus Firmen: der EU-sanktionierte Hoster Stark Industries Solutions, der gut zwei Wochen vor dem russischen Überfall auf die Ukraine auftauchte und sich rasch zu einer bevorzugten Bühne für DDoS-Angriffe, Proxy-Dienste und Desinformationskampagnen gegen europäische Ziele entwickelte.
Als die EU im Mai 2025 die moldauischen Brüder Neculiti und deren PQHosting sanktionierte, blieb eine zweite Anbindung von Stark an das offene Internet unberührt – das niederländische MIRhosting. In dem Zeitfenster, in dem die bevorstehenden Sanktionen bereits durch die Presse sickerten, wanderten die Netzassets von PQHosting zu einer neuen Einheit namens the.hosting unter dem Dach der Dutch entity WorkTitans BV, die wiederum ihre Internetanbindung allein über MIRhosting bezog.
Der juristische Vorwurf lautet nicht „Hacking“, sondern Verstoß gegen das Sanktionsrecht: das mittelbare oder unmittelbare Bereitstellen wirtschaftlicher Ressourcen an sanktionierte Entitäten. Beide Beschuldigte bestreiten den Vorwurf; der MIRhosting-Gründer betont, die Übertragung der Hardware sei vor Inkrafttreten der Sanktionen erfolgt, sein Unternehmen unterstütze keine Cyberkriminalität und habe in den fraglichen Zeiträumen keine Auffälligkeiten im Netzverkehr festgestellt.
Sanktionsrecht als eigentlicher Hebel
Der bemerkenswerte Punkt liegt im gewählten Anknüpfungspunkt. Klassische Hoster-Verfahren mussten dem Betreiber stets eine Beziehung zur eigentlichen Tat – Beihilfe, Bandenbildung, kriminelle Vereinigung – nachweisen, also einen subjektiven Bezug zu konkreten Straftaten Dritter. Das ist notorisch schwierig, weil sich der Provider auf seine Rolle als neutraler Diensteanbieter zurückziehen und auf fehlende Kenntnis der konkreten Inhalte berufen kann. Das Sanktionsrecht kehrt diese Logik um: Es genügt der Nachweis, dass jemand einer gelisteten Person oder Gesellschaft wirtschaftliche Ressourcen verfügbar gemacht hat. Auf den Inhalt der Angriffe, ihre Urheber oder den Erfolg eines einzelnen DDoS kommt es dafür im Ausgangspunkt nicht an.
Das hat erhebliche praktische Folgen, denn wer Rackspace, Konnektivität oder Verwaltungsdienste an eine gelistete Struktur liefert – oder an eine Nachfolgegesellschaft, die nur dem Namen nach neu ist –, ist potentiell im Tatbestand, ohne dass die Ermittler die forensische Kausalkette bis zum einzelnen Angriffsserver durchziehen müssten. Die erkennbare Verteidigungslinie – die Assets seien bereits vor der Sanktionierung übertragen worden – zielt deshalb genau auf den neuralgischen Punkt: Maßgeblich wird sein, ob die Umstrukturierung auf the.hosting und WorkTitans als gezielte Umgehung der absehbaren Listung zu werten ist. Gerade die zeitliche Nähe zwischen durchgesickerter Sanktionsabsicht und Vermögensverschiebung dürfte für die Behörden der zentrale Belastungsindikator sein, während sie für die Verteidigung als bloß zufällige Parallelität erklärt werden muss.
Parallelen zu Cyberbunker mit Grenzen
Die Erinnerung an Cyberbunker drängt sich auf, und sie trägt weit, aber nicht beliebig weit. Bei der Razzia im Traben-Trarbacher Bunker 2019 ging es um klassisches Bulletproof Hosting: Darknet-Marktplätze, Betrugsforen, die Backend-Infrastruktur eines Krypto-Messengers. Das Landgericht Trier verurteilte die Betreiber 2021 wegen Bildung einer kriminellen Vereinigung, sprach sie jedoch von der Beihilfe zu den auf den Servern begangenen Taten frei – ein Befund, der das Grundproblem dieser Konstellationen offenlegt: Die Strafbarkeit des Providers lässt sich leichter über die Organisationsform als über die einzelne Fremdtat begründen.
Der niederländische Fall verschiebt diese Achse: An die Stelle des privatwirtschaftlich-kriminellen Geschäftsmodells tritt der außenpolitische Vorwurf, einer staatlich gesteuerten Einflussoperation als Infrastrukturlieferant gedient zu haben; an die Stelle des Vereinigungsstrafrechts tritt das Sanktionsregime. Gemeinsam bleibt beiden Verfahren die zentrale These, dass die Bekämpfung der Infrastrukturebene wirksamer ist als die Jagd auf wechselnde, oft im Ausland sitzende Einzeltäter. Wer den Boden trockenlegt, auf dem die Angriffe gedeihen, trifft mehr als denjenigen, der einzelne Botnet-Knoten abschaltet.
Zugriff auf Infrastruktur ist Zugriff auf Beweismittel
Wer 800 Server, Datenbanken, Verwaltungsunterlagen, Laptops und Telefone in der Hand hält, hält nicht nur das Tatwerkzeug eines einzelnen Verfahrens, sondern ein Archiv. Auf solchen Maschinen liegen Kundenstämme, Abrechnungsdaten, Konfigurationen, Logfiles, virtuelle Maschinen Dritter und die Kommunikation der Betreiber untereinander. Jede dieser Spuren kann der Ausgangspunkt eines eigenständigen Verfahrens gegen Mieter, Vermittler oder weitere Anbieter werden. Bei Cyberbunker war es genau dieser Mechanismus, der nach der Razzia eine Kaskade von Folgeermittlungen gegen Marktplatzbetreiber und deren Nutzer auslöste.
Daraus erwächst zugleich das eigentliche rechtliche Spannungsfeld der kommenden Monate: Auf den beschlagnahmten Systemen liegen massenhaft Daten unverdächtiger Dritter – in den Reaktionen auf den Fall melden sich bereits legitime Kunden, die ihre Geschäftsdaten und personenbezogenen Informationen herausverlangen. Hier kollidieren das Sicherstellungs- und Verwertungsinteresse der Ermittler mit den Eigentums-, Geheimnis- und Datenschutzrechten Unbeteiligter, und es stellen sich die klassischen Fragen nach Durchsuchungsumfang, Zufallsfunden und der Verhältnismäßigkeit einer pauschalen Komplettsicherung ganzer Rechenzentren. Wer als Verteidiger oder als betroffenes Unternehmen früh agiert, sollte die Herausgabe- und Datenzugangsansprüche ebenso im Blick haben wie die Frage, welche Funde überhaupt verwertbar in andere Verfahren überführt werden dürfen.
Fazit
Der niederländische Zugriff ist mehr als eine spektakuläre Beschlagnahme und markiert die konsequente Anwendung einer Strategie, die das Sanktionsrecht als Brechstange gegen die Infrastrukturebene staatsnaher Cyberkriminalität einsetzt und sich damit der mühsamen Beihilfedogmatik entzieht. Die Verwandtschaft zu Cyberbunker liegt nicht im Tatvorwurf, sondern im Ermittlungsmuster: Wer die Hardware sichert, sichert den Schlüssel zu vielen weiteren Akten. Dass auf diese Aktion eine Reihe von Anschlussverfahren folgt, ist daher keine kühne Prognose, sondern die naheliegende Konsequenz aus der schlichten Tatsache, dass ein Hoster sein gesamtes Geschäft – und das seiner Kunden – auf den nun beschlagnahmten Maschinen mit sich führt.
Als Lehrbeauftragter an der FH Aachen (Wirtschaftsstrafrecht und IT-Compliance) doziert er zu KI-Kompetenz und strategischem Denken und publiziert regelmäßig in straf- und IT-rechtlichen Fachaufsätzen sowie in der Kommentierung im BeckOK StPO (zu IT-Strafprozessrecht und digitalen Beweismitteln). Weiterhin spricht er über die rechtsstaatlichen Grundlagen moderner Arbeit, speziell zu IT-/KI-Kompetenz und Cybersecurity-Awareness.
Wir sind hochspezialisiert, was bedeutet, dass wir im IT-Recht und Strafrecht nur bestimmte Bereiche übernehmen. So im IT-Recht nur im Softwarerecht mit darauf bezogebem IT-Vertragsrecht & Lizenzrecht und rund um Cybersicherheit. Im Strafrecht übernehmen wir nur Strafverteidigungen in Bereichen auf die wir spezialisieren: Jugendstrafrecht, Sexualstrafrecht, BtMG/KCang/AMG, Medizinstrafrecht, Cybercrime & Medienstrafrecht, Wirtschaftsstrafrecht mit Schwerpunkten Arbeitsstrafrecht und Steuerstrafrecht
- Eigene Plattformen rechtssicher betreiben … (?) – 15. Juli 2026
- Missbrauchsanleitung: Strafbarkeit fiktiver Inhalte nach § 176e StGB – 14. Juli 2026
- Lichtbildschutz und KI-Bearbeitung: reduzierter Schutzumfang beim einfachen Foto – 14. Juli 2026