Wer einen VPN-Dienst nutzt, weil er glaubt, damit vor Ermittlern geschützt zu sein, erlebt bisweilen eine böse Überraschung: Der Dienst existiert noch, die Verbindung funktioniert – doch die Behörden schauen schon seit Wochen mit. So lief es bei der Operation Saffron, die sicherlich für ordentlich Nachschub bei laufenden Cybercrime-Strafverfahren sorgen wird.
Die im Folgenden aufgeworfenen Fragen sind nicht neu, sondern beschäftigen mich seit Jahren – sowohl praktisch als auch wissenschaftlich. In der BeckOK-StPO kommentiere ich die telekommunikationsbezogenen Ermittlungsmaßnahmen und war in den Verfahren rund um ANOM und EncroChat als Verteidiger sowie als Berater von Verteidigungsteams tätig. Begleitend dazu sind mehrere Aufsätze in den juris Praxisreports sowie ein Kommentar bei beck-aktuell zur ANOM-Problematik entstanden, von denen einer vom Bundesgerichtshof aufgegriffen wurde (BGH, 1 StR 54/24). Aus dieser doppelten Perspektive – Kommentierung der Eingriffsnormen einerseits und Verteidigung gegen ihre praktische Anwendung andererseits – zeigt sich bei der Operation Saffron dasselbe Grundmuster: Die entscheidende juristische Auseinandersetzung verlagert sich von der Frage „Wurde überwacht?” zu der weitaus heikleren Frage „Auf welcher Rechtsgrundlage wurde die Infrastruktur infiltriert, bevor sie fiel – und wer trägt für diese Phase die Verantwortung?”.
Operation Saffron
Am 19. und 20. Mai 2026 haben französische und niederländische Behörden unter Koordination von Europol und Eurojust den VPN-Dienst „First VPN“ (1vpns.com, 1vpns.net, 1vpns.org) vom Netz genommen. 33 Server in 27 Ländern wurden beschlagnahmt, der Betreiber in der Ukraine befragt und sein Wohnort durchsucht. Die Domänennamen zeigen seitdem das Beschlagnahmebanner der Operation. Der Dienst war seit 2014 in Betrieb und verfügte über mehr als 5000 Accounts; vermarktet wurde er ausschließlich auf russischsprachigen Cybercrime-Foren – darunter Exploit.in und XSS.is – als Werkzeug zur Verschleierung krimineller Aktivitäten. Nach Europol-Angaben tauchte First VPN in nahezu jeder großen Cybercrime-Ermittlung auf, die die Behörde in den vergangenen Jahren begleitet hat. Mindestens 25 Ransomware-Gruppen, darunter Avaddon, nutzten die Infrastruktur für Netzwerk-Reconnaissance und Einbrüche.
Die Untersuchung hatte bereits im Dezember 2021 begonnen, nachdem französische Ermittler den Dienst wiederholt in Verfahren mit Bezug zu französischen Opfern identifiziert hatten. Im November 2023 wurde ein Joint Investigation Team mit Eurojust-Unterstützung eingerichtet; 16 Koordinierungstreffen bereiteten die gemeinsamen Aktionstage vor. An der Europol-Operational-Taskforce beteiligten sich Ermittler aus 16 Ländern.
Die technische Besonderheit: Vorabinfiltration
Das eigentlich Brisante an Operation Saffron liegt nicht in der Beschlagnahme selbst, sondern in dem, was ihr vorausging. Europol-Koordinatoren hatten die First-VPN-Infrastruktur heimlich kompromittiert, bevor der offizielle Takedown stattfand. In diesem Fenster sammelten die Ermittler Trafficdaten des laufenden Dienstes – also Verbindungsdaten von Nutzern, die weiterhin davon ausgingen, anonym zu surfen. Die niederländische Polizei formulierte es knapp: „Before the service went offline, the police had access to the criminal traffic of the users of the service, who mistakenly believed themselves to be safe.“ Aus dieser Phase resultierten 83 Geheimdienstpakete und die Deanonymisierung von 506 Nutzern, deren Daten international weitergegeben wurden; 21 Europol-gestützte Ermittlungsverfahren wurden hierdurch unmittelbar weitergeführt.
Dabei handelt es sich nicht um den ersten Fall dieser Art: Operation Saffron ist nach Einschätzung von Beobachtern bereits die dritte große Strafverfolgungsoperation innerhalb von 18 Monaten, bei der eine vermeintlich anonymisierende Infrastruktur infiltriert wurde, noch ehe sie abgeschaltet wurde. Das Muster ähnelt dem Vorgehen bei EncroChat oder ANOM: Behörden schalten sich in die laufende Kommunikationsinfrastruktur ein, sammeln Daten im Verborgenen und nutzen sie anschließend – oder zeitgleich – für den formellen Zugriff.
Rechtliche Einordnung: Wessen Recht gilt, und auf welcher Grundlage?
Für die strafrechtliche Praxis ist die entscheidende Frage, auf welcher Ermächtigungsgrundlage die Vorabinfiltration beruht und ob die so gewonnenen Daten in deutschen oder europäischen Strafverfahren verwertbar sind. Eine einheitliche Antwort gibt es nicht – und genau darin liegt das Problem.
Nach deutschem Recht unterscheidet die StPO zwischen der Quellen-Telekommunikationsüberwachung (§ 100a Abs. 1 Satz 2 und 3 StPO) und der Online-Durchsuchung (§ 100b StPO). Das Bundesverfassungsgericht hat in seinem Beschluss vom 24. Juni 2025 (1 BvR 180/23, „Trojaner II“) klargestellt, dass der Einsatz von Staatstrojanern einen besonders schwerwiegenden Grundrechtseingriff darstellt und auf die Aufklärung schwerer Straftaten beschränkt sein muss. Die Quellen-TKÜ darf außerdem – so der BGH in einem Beschluss vom 20. Januar 2026 (3 StR 495/25) – ausschließlich laufende Kommunikation ab dem Anordnungszeitpunkt erfassen; der Zugriff auf retrograde Daten ohne gesonderten § 100b-Beschluss ist rechtswidrig und führt zu einem Beweisverwertungsverbot.
Ob diese nationalen Maßstäbe auf die Vorabinfiltration bei First VPN überhaupt anwendbar sind, ist eine andere Frage. Europol selbst hat keine eigenen Befugnisse zur operativen Infiltration; die technischen Maßnahmen wurden durch die beteiligten nationalen Behörden – insbesondere Frankreich und die Niederlande – durchgeführt. Die Server standen in 27 verschiedenen Staaten. Für jeden einzelnen Standort gilt grundsätzlich das Recht des jeweiligen Territorialstaats. Was in einem Land mit richterlicher Anordnung und engem Katalogsdelikt zulässig ist, kann in einem anderen ohne jede Rechtsgrundlage vorgenommen worden sein.
Das BVerfG hat in einem Verfahren zu ANOM (Trojan Shield) klargemacht, dass der ersuchende Staat nicht verpflichtet ist, deutsches Recht auf im Ausland durchgeführte Beweiserhebungen anzuwenden – Grenzen bilden lediglich eklatante rechtsstaatliche Verstöße oder Verstöße gegen den ordre public. Dieser Maßstab ist großzügig; er schützt jedoch nicht vor der Frage, ob und wie die Erkenntnisse aus der Infiltrationsphase konkret in laufende Ermittlungsverfahren eingespeist wurden und ob dabei nationale Verfahrensrechte eingehalten wurden.
Was die Deanonymisierung von 506 Nutzern bedeutet
Die Zahl von 506 deanonymisierten Nutzern ist nicht die Zahl der Gesamtkunden – es ist die Teilmenge, bei der die Infiltrationsphase ausreichend klare und gerichtsfeste Zuordnungen ergeben hat, um ein Geheimdienstpaket zu schnüren. Jedes dieser 83 Pakete adressiert mindestens eine identifizierte Person und enthält Trafficdaten aus dem Zeitraum, in dem die Behörden bereits Zugriff hatten, der Dienst aber noch lief. Diese Pakete wurden international geteilt – also auch an deutsche, österreichische oder schweizerische Behörden weitergegeben, die daraus eigenständige Ermittlungen ableiten können.
Für Verteidiger in laufenden Verfahren ergibt sich daraus ein konkreter Ansatzpunkt: Wenn eine Telekommunikationsüberwachungsmaßnahme oder ein Ermittlungsansatz auf Erkenntnissen aus der First-VPN-Infrastruktur beruht, ist der Ursprung dieser Erkenntnisse sorgfältig zu prüfen. Ist die Infiltrationsmaßnahme selbst die eigentliche Quelle, stellen sich dieselben Fragen, die EncroChat und ANOM aufgeworfen haben – und bei denen die Antworten bis heute nicht vollständig konsolidiert sind: Wann wurde infiltriert? Auf welcher nationalen Rechtsgrundlage? War ein Richter beteiligt? Wurden Katalogdelikte eingehalten?
Verhältnismäßigkeit umfangreicher Früh-Ermittlungen
Das strukturelle Problem bei behördlichen Vorabreservierungsmaßnahmen dieser Art liegt in ihrer Weite: Der Dienst hatte mehr als 5000 Accounts. Die Behörden hatten während der Infiltrationsphase potenziell Zugriff auf den gesamten Traffic – also auch auf Verbindungen, die nicht mit Straftaten in Zusammenhang standen. Dass nur 506 Nutzer förmlich deanonymisiert wurden, bedeutet nicht, dass nur dieser Traffic eingesehen wurde.
Der Grundsatz der Verhältnismäßigkeit verlangt nicht nur eine Abwägung im Vorfeld, sondern auch technische und organisatorische Vorkehrungen, die sicherstellen, dass das Ausmaß der Datenerhebung auf das Notwendige beschränkt bleibt … ein Grundsatz, den das BVerfG in seiner Entscheidung zu Quellen-TKÜ und Online-Durchsuchung explizit betont hat. Ob diese Vorkehrungen bei der Infiltration einer VPN-Infrastruktur, die über 33 Server und 27 Länder verteilte Verbindungsdaten verarbeitet, überhaupt technisch umsetzbar sind, ist eine offene Frage – und keine rhetorische.
Für Betroffene in laufenden Ermittlungsverfahren empfiehlt sich die sorgfältige Überprüfung, ob Ermittlungsansätze oder TKÜ-Maßnahmen auf Daten aus der First-VPN-Infrastruktur zurückzuführen sind. Die Rechtmäßigkeit der zugrundeliegenden Infiltrationsmaßnahme und die Frage der Verwertbarkeit daraus gewonnener Erkenntnisse sollten frühzeitig, spätestens in der Tatsacheninstanz, ausdrücklich gerügt werden.
Als Lehrbeauftragter an der FH Aachen (Wirtschaftsstrafrecht und IT-Compliance) doziert er zu KI-Kompetenz und strategischem Denken und publiziert regelmäßig in straf- und IT-rechtlichen Fachaufsätzen sowie in der Kommentierung im BeckOK StPO (zu IT-Strafprozessrecht und digitalen Beweismitteln). Weiterhin spricht er über die rechtsstaatlichen Grundlagen moderner Arbeit, speziell zu IT-/KI-Kompetenz und Cybersecurity-Awareness.
Wir sind hochspezialisiert, was bedeutet, dass wir im IT-Recht und Strafrecht nur bestimmte Bereiche übernehmen. So im IT-Recht nur im Softwarerecht mit darauf bezogebem IT-Vertragsrecht & Lizenzrecht und rund um Cybersicherheit. Im Strafrecht übernehmen wir nur Strafverteidigungen in Bereichen auf die wir spezialisieren: Jugendstrafrecht, Sexualstrafrecht, BtMG/KCang/AMG, Medizinstrafrecht, Cybercrime & Medienstrafrecht, Wirtschaftsstrafrecht mit Schwerpunkten Arbeitsstrafrecht und Steuerstrafrecht
- Eigene Plattformen rechtssicher betreiben … (?) – 15. Juli 2026
- Missbrauchsanleitung: Strafbarkeit fiktiver Inhalte nach § 176e StGB – 14. Juli 2026
- Lichtbildschutz und KI-Bearbeitung: reduzierter Schutzumfang beim einfachen Foto – 14. Juli 2026