Kurz erklärt: AlphaBay war nach dem Ende von Silk Road der grösste Handelsplatz im Darknet und wurde 2017 im Rahmen einer international abgestimmten Aktion abgeschaltet. Zeitgleich übernahmen Behörden den konkurrierenden Marktplatz Hansa und betrieben ihn eine Zeit lang weiter, um Nutzerdaten zu erheben.
Umfang und Sortiment
AlphaBay war grösser als sein Vorgänger und breiter aufgestellt. Neben Betäubungsmitteln wurden Zugangsdaten, gefälschte Ausweise, Schadsoftware und Anleitungen gehandelt. Bezahlt wurde in mehreren Kryptowerten, darunter solche mit stärkerer Verschleierung.
Diese Erweiterung des Sortiments ist für Wirtschaftsdelikte bedeutsam. Der Handel mit Zugangsdaten und vollständigen Identitätsdatensätzen ist die Vorstufe zahlreicher Betrugsformen — von der Kontoübernahme bis zur Eröffnung von Konten auf fremde Namen, die später zur Wäsche genutzt werden.
Für Betroffene, deren Konto bei einer Handelsplattform übernommen wurde, ist das die häufigste Erklärung: Nicht die Plattform wurde angegriffen, sondern die Zugangsdaten stammten aus einem früheren Datenabfluss und wurden auf einem solchen Marktplatz gehandelt.
Die abgestimmte Aktion
Die Abschaltung erfolgte 2017 in Abstimmung mehrerer Staaten unter Beteiligung von Europol. Bemerkenswert war das Vorgehen: Während AlphaBay abgeschaltet wurde, hatten Behörden zuvor den konkurrierenden Marktplatz Hansa übernommen und betrieben ihn weiter.
Nutzer, die nach der Abschaltung auf die Alternative auswichen, bewegten sich damit auf einer behördlich kontrollierten Plattform. In dieser Zeit wurden Nutzerdaten, Nachrichten und Adressangaben erhoben.
Der Vorgang veranschaulicht ein Muster, das für die Bewertung der Sicherheit solcher Strukturen grundlegend ist: Die grösste Schwachstelle ist der Wechsel. Wird eine gewohnte Struktur unbrauchbar, entsteht Druck, schnell auf eine andere auszuweichen — und in diesem Moment werden Sorgfaltsregeln übergangen, die vorher eingehalten wurden.
Forensische Nachwirkungen
Die aus solchen Aktionen gewonnenen Daten wirken lange nach. Sie fliessen in Zuordnungsdatenbanken ein, die kommerzielle Analyseanbieter pflegen, und in behördliche Bestände.
Praktisch heisst das: Eine Adresse, die 2017 unauffällig war, kann heute als einem Marktplatz zugehörig eingestuft sein — weil die Zuordnung nachträglich aus beschlagnahmten Daten entstand. Für die Auswertung eines älteren Sachverhalts ist das günstig.
Es begründet zugleich eine methodische Pflicht. Wird eine Adresse heute einem Marktplatz zugeordnet, ist zu unterscheiden, ob diese Zuordnung zum Zeitpunkt der fraglichen Transaktion bereits bestand oder erst später entstand. Für die Frage, ob ein Beteiligter Kenntnis haben konnte, macht das einen erheblichen Unterschied — etwa wenn einer Handelsplattform vorgeworfen wird, sie hätte eine Zahlung erkennen müssen.
Häufige Fragen
Woher stammen die Zugangsdaten, mit denen mein Konto übernommen wurde?
Häufig aus früheren Datenabflüssen bei anderen Diensten, die auf Marktplätzen gehandelt werden. Angegriffen wurde dann nicht die Handelsplattform, sondern es wurden bekannte Zugangsdaten wiederverwendet. Deshalb sind eigene Passwörter je Dienst und ein zweiter Faktor wirksam.
Warum betrieben Behörden einen Marktplatz weiter?
Um Nutzerdaten zu erheben. Nach der Abschaltung eines grossen Marktplatzes weichen Nutzer schnell auf Alternativen aus und übergehen dabei Sorgfaltsregeln. Der Wechsel ist die grösste Schwachstelle solcher Strukturen.
Kann eine Adresse nachträglich als Marktplatzadresse eingestuft werden?
Ja, häufig entstehen Zuordnungen erst aus später beschlagnahmten Daten. Für die Bewertung ist deshalb zu unterscheiden, ob die Zuordnung zum Zeitpunkt der Transaktion schon bestand — das ist entscheidend für die Frage, ob ein Beteiligter sie hätte erkennen können.
Zusammenfassung
AlphaBay war der grösste Darknet-Marktplatz nach Silk Road und wurde 2017 international abgestimmt abgeschaltet, während Behörden zugleich einen konkurrierenden Marktplatz weiterbetrieben. Der Handel mit Zugangsdaten dort ist die häufigste Erklärung für übernommene Konten. Zuordnungen von Adressen entstehen oft erst nachträglich aus beschlagnahmten Daten — für die Bewertung ist der Zeitpunkt der Zuordnung entscheidend.
Weiterführende Quellen
- US-Justizministerium — Abschaltung von AlphaBay: www.justice.gov
- Europol — Abschaltung von AlphaBay und Hansa: www.europol.europa.eu
- Europol — Internet Organised Crime Threat Assessment (IOCTA): www.europol.europa.eu