Kurz erklärt: Genesis Market war ein Handelsplatz, auf dem nicht Waren, sondern digitale Identitäten gehandelt wurden: Zugangsdaten samt gespeicherten Sitzungen, Browser-Fingerabdrücken und Gerätemerkmalen. Der Marktplatz wurde 2023 in einer international abgestimmten Aktion abgeschaltet. Für Krypto-Schadensfälle ist er das anschaulichste Beispiel dafür, wie Kontoübernahmen tatsächlich funktionieren.
Was dort gehandelt wurde
Das Angebot ging über gestohlene Passwörter hinaus. Verkauft wurden vollständige Sitzungsprofile: gespeicherte Anmeldedaten, aktive Sitzungen mit ihren Zugangsmerkmalen, Browserkennungen, Bildschirmauflösung, Zeitzone, installierte Schriftarten.
Mit diesen Merkmalen konnte ein Käufer die Umgebung des Opfers nachbilden. Für den Dienst sah der Zugriff dann aus wie ein gewohnter Zugang vom gewohnten Gerät — Sicherheitsabfragen blieben aus, weil nichts ungewöhnlich wirkte.
Damit ist eine Frage beantwortet, die viele Betroffene stellen: warum kein zusätzlicher Bestätigungsschritt ausgelöst wurde. Er wurde nicht ausgelöst, weil der Zugriff aus Sicht des Systems keiner von aussen war.
Bedeutung für Krypto-Fälle
In vielen Fällen, in denen ein Guthaben bei einer Handelsplattform abgezogen wurde, liegt kein Angriff auf die Plattform vor. Übernommen wurde das Konto des Nutzers.
Für die Aufarbeitung ist die Unterscheidung entscheidend, weil sie über die Verantwortlichkeit bestimmt. Wurde die Plattform überwunden, stellt sich die Frage ihrer Pflichtverletzung. Wurde das Endgerät des Nutzers kompromittiert, liegt der Ursprung dort — was Ansprüche gegen die Plattform nicht ausschliesst, wenn diese auffällige Vorgänge hätte erkennen müssen.
Aufzuklären ist das über die Anmeldedaten der Plattform: Zeitpunkt, Netzadresse, Gerätekennung des fraglichen Zugriffs. Diese Angaben sind bei der Plattform anzufordern — je früher, desto besser, weil auch hier Speicherfristen gelten.
Parallel gehört das eigene Gerät forensisch untersucht, bevor es weiterverwendet wird. Wird es zurückgesetzt, ist der Nachweis der Ursache verloren.
Vorsorge
Aus der Funktionsweise lassen sich wirksame Massnahmen ableiten, die über den üblichen Rat hinausgehen.
Ein zweiter Faktor über eine Anwendung oder ein Gerät, nicht über Kurznachrichten — Rufnummern lassen sich übernehmen. Getrennte Passwörter je Dienst, verwaltet in einem Passwortmanager. Abmelden nach der Nutzung, weil eine beendete Sitzung nicht übernommen werden kann.
Und der wichtigste Punkt, der sich unmittelbar aus dem Geschäftsmodell dieses Marktplatzes ergibt: Wer eine Kontoübernahme feststellt, muss sämtliche Sitzungen beenden — eine Passwortänderung allein genügt nicht, weil eine bestehende Sitzung davon unberührt bleiben kann. Die entsprechende Funktion heisst bei den meisten Diensten „von allen Geräten abmelden“.
Häufige Fragen
Warum wurde bei der Kontoübernahme kein Bestätigungsschritt ausgelöst?
Weil neben den Zugangsdaten auch Sitzungsmerkmale und Gerätekennungen übernommen wurden. Für den Dienst sah der Zugriff aus wie ein gewohnter Zugang vom gewohnten Gerät — es wirkte nichts ungewöhnlich.
Genügt eine Passwortänderung nach einer Übernahme?
Nein. Eine bestehende Sitzung kann davon unberührt bleiben. Erforderlich ist zusätzlich das Beenden sämtlicher Sitzungen — bei den meisten Diensten als Abmeldung von allen Geräten bezeichnet.
Was ist bei einem übernommenen Konto zuerst zu sichern?
Die Anmeldedaten der Plattform zum fraglichen Zugriff — Zeitpunkt, Netzadresse, Gerätekennung — und das eigene Endgerät im unveränderten Zustand. Wird das Gerät zurückgesetzt, ist der Nachweis der Ursache verloren.
Zusammenfassung
Genesis Market handelte vollständige digitale Identitäten samt Sitzungsmerkmalen und Gerätekennungen — deshalb lösten Übernahmen keine Sicherheitsabfragen aus. Für Krypto-Schäden ist das die häufigste Erklärung abgezogener Guthaben: Nicht die Plattform wurde überwunden, sondern das Nutzerkonto übernommen. Zu sichern sind Anmeldedaten der Plattform und das unveränderte Endgerät; nach einer Übernahme sind sämtliche Sitzungen zu beenden.
Weiterführende Quellen
- Europol — Abschaltung von AlphaBay und Hansa: www.europol.europa.eu
- Europol — Internet Organised Crime Threat Assessment (IOCTA): www.europol.europa.eu
- FBI Internet Crime Complaint Center — Internet Crime Report 2024 (PDF): www.ic3.gov