Jagd auf ‘Elysium’: Das Ende der größten deutschen Kinderporno-Plattform

Eigentlich ist das Wetter im April 2017 unauffällig, doch in der Nacht auf den 20. fallen plötzlich die Temperaturen und ein Blitzfrost lässt die jungen Weinreben und Obstbaumblüten in Hessen erfrieren. Von der ungewöhnlichen Kälte bekommt Frank M., der im Internet Berndinihr heißt, an diesem Abend nichts mit. Er sitzt vorm Rechner und hat gerade bekommen, wonach er Tage zuvor hartnäckig verlangt hat: Ein Foto von einem nackten Jungen mit Skimaske. In den Händen hält er einen handgeschriebenen Zettel: “Ich bin eine Hure für Bernd”, ist darauf zu lesen. Daneben, als Beweis für die Echtheit des Bildes, das Datum: “19.04.2017”.

Der 39-Jährige klickt auf das Foto und zieht sich die Hose aus. Die Tür hat er abgeschlossen, damit er nicht gestört wird. Er sitzt in seiner Autowerkstatt in einer Kleinstadt im Taunus, aus dem Hinterzimmer steuert Frank M. heimlich eine illegale Plattform im Darknet: Elysium, eine Seite, auf der über hunderttausend Mitglieder immer neue Videos und Fotos von sexualisierter Gewalt gegen Kinder tauschen und über ihre Pädosexualität sprechen. Genau wie er.

Was Frank M. nicht weiß: In dieser kalten Nacht steht er bereits unter Beobachtung. Denn auch die Cybercrime-Ermittler des Bundeskriminalamts und die Staatsanwälte der Zentralstelle Internetkriminalität, kurz ZIT, die auf Darknet-Fälle spezialisiert sind, wissen exakt, wo sich die Zentrale der gigantischen Plattform versteckt. Schon seit Monaten beobachten sie aus der Nähe, wie der KFZ-Meister Frank M. immer wieder unter den Hebebühnen hervorkriecht und sich im Büro verschanzt. Sie analysieren den Internet-Traffic aus der Autowerkstatt und sehen, dass Frank M. die Anonymisierungssoftware Tor benutzt, mit der er Tag für Tag viele Megabyte große Datenpakete hoch- und runterlädt. Sie wissen, dass sich Frank M. im Netz Berndinihr nennt, und sie sind überzeugt, dass er der Administrator von Elysium ist. Nur zugreifen können sie noch nicht.

Aber auf der immer weiter wuchernden Plattform selbst sind die Ermittler jeden Tag unterwegs. So müssen sie lesen, wie Berndinihr von einem Nutzer namens GeilerDaddy noch mehr Bilder des Jungen verlangt – und bekommt. Sie müssen zusehen, wie Panda nach Videos von gequälten Kleinkindern sucht und sich MadMouse auf der Plattform mit einem Mann in Wien verabredet, um ein Geschwisterpärchen zu vergewaltigen.

Dieser Tag im April ist einer der vielen Tage, in denen die Ermittler die Verbrechen der Nutzer von Elysium beobachten, ihre Taten miterleben, aber sie noch nicht stoppen können. Noch quälend lange 54 Tage vergehen, bis Blendgranaten durch die Scheiben der Autowerkstatt fliegen und die Plattform für immer aus dem Netz gelöscht wird.

Kapitel 1: Deutschland wird zur globalen Schaltzentrale für Kinderpornografie

Doch die Recherchen der Ermittler begannen schon vor Jahren, als die Seite giftboxto6czglks.onion am 1. Dezember 2016 aus dem Darknet verschwindet. Für kriminelle Pädosexuelle aus aller Welt ist es ein herber Rückschlag. Denn auf der Website mit dem Namen The Giftbox Exchange hatten Zehntausende seit Juli 2015 Bilder und Videos ausgetauscht, auf denen sexualisierte Gewalt gegen Kinder zu sehen war. Für die Taskforce Argos der australischen Queensland Police ist es dagegen ein Erfolg. Sie hatten die Seite unterwandert. Als in den USA zwei mittlerweile verurteilte Betreiber der Seite verhaftet werden und “Giftbox” aus dem Netz getilgt wird, verliert die internationale Pädosexuellen-Szene einen ihrer wichtigsten Treffpunkte.

Aber mit Joachim P., der in Baden-Württemberg in einer zugemüllten Wohnung sitzt und das Sonnenlicht aussperrt, rechnet niemand.

In seiner Heimatstadt im Raum Stuttgart sieht den dürren, zurückgezogenen Mann kaum jemand je auf der Straße. Doch im Darknet ist er als Noctua weithin bekannt und eine Größe unter vernetzen Pädosexuellen, die abgeschottet von der Polizei auf der Suche nach immer neuem Material sind. P. hat keinen Job, seine Ehe ist gescheitert. Doch hinter zugezogenen Rollläden macht er eine ganz andere Karriere: Er bringt sich IT-Verschlüsselungstechnik bei und geht seinen pädosexuellen Neigungen mit Filmen und Bildern aus dem Darknet nach. Schließlich steigt er zu einem von fünf Administratoren von The Giftbox Exchange auf.

Die Betreiber von Plattformen für sexualisierte Gewalt gegen Kinder und Ermittlungsbehörden aus aller Welt liefern sich zu jener Zeit längst ein Katz-und-Maus-Spiel im Darknet. Im Mai 2016 übernimmt die australische Task Force Argos den Account eines in Europa verhafteten Giftbox-Moderators und ermittelt unter seinem Pseudonym weiter. So wollen sie an die Hintermänner der Seite herankommen – ohne Erfolg.

Kapitel 2: Das Fiasko – Der Polizei-Hack, der niemanden aufhält

In Europa fahren Ermittler derweil eine technische Operation gegen Giftbox. An ihr lässt sich erkennen, wie viel Aufwand die Strafverfolgungsbehörden im Kampf gegen die Verbreitung von Kinderpornografie im Darknet betreiben: Mit einem sogenannten Zero-Day-Exploit wollen die Cybercrime-Ermittler die Computer von Giftbox-Mitgliedern hacken. Zero-Day-Exploits sind die wertvollste Form von Hacking-Angriffen, da sie öffentlich nicht bekannte Software-Sicherheitslücken ausnutzen, um ihren Zielen Schadsoftware unterzujubeln. Die Ermittler nutzen als Einfallstor eine mittlerweile behobene Sicherheitslücke im Tor-Browser, dem weltweit populärsten Programm für anonymes Surfen. Wer sich auf The Giftbox Exchange einloggt, dem soll durch die Lücke unbemerkt eine kleine Schadsoftware auf den Windows-Rechner geladen werden, die die IP-Adresse des Nutzers an die Polizei verrät.

Entwickelt hat den Exploit die US-amerikanische Firma Exodus Intelligence, die sich darauf spezialisiert hat, Sicherheitslücken zu entdecken und ihr Wissen zu verkaufen. Das ist lukrativ: Manche Zero-Day-Exploits werden für mehrere Millionen Euro gehandelt, im Fall des Giftbox-Angriffs bekam eine europäische Behörde das Hacking-Tool aber wohl gratis.

Welche Behörde den Exploit eingesetzt hat, ist bisher nicht bekannt. Klar ist nur, dass die Schadsoftware so eingestellt war, dass sie sich mit einem Server verband, der beim französischen Webhoster OVH angemeldet war. Motherboard-Recherchen hatten gezeigt, dass es eine Behörde im europäischen Raum sein muss, weil Europol Dokumente dazu besitzt. Mehr will auch Exodus-Intelligence-Chef Logan Brown nicht verraten, wohl aber lässt er sich auf einer öffentlichen Veranstaltung zu einer kleinen Manöverkritik hinreißen. “Sechs Stunden nachdem wir sie mit dem Tool versorgt haben, haben sie es eingesetzt und den Typen geschnappt, den sie haben wollten”, erzählt er. Beim Einsatz hätte die beschenkte Behörde jedoch “eher einen Schrotflinten-Ansatz verfolgt”, so Brown. Im Klartext: Die Lücke enttarnte womöglich viel mehr TOR-Nutzer, als für die Ermittlung nötig war.

Dass staatliche Stellen Zero-Day-Exploits einsetzen, ist unter Sicherheitsforschern umstritten. Statt dass der Staat seine Bürger vor möglichen Hackerangriffen schützt und die unbekannten Sicherheitslücken schließen lässt, werden so schließlich auch unschuldige Nutzer gefährdet.

Zwar ist der Exploit so gebaut, dass er ausschließlich eingeloggte Giftbox-Nutzer ins Visier nimmt, doch von der dahinterliegenden Sicherheitslücke im Tor-Browser waren theoretisch alle Nutzer betroffen – auch die, die nicht auf illegalen Darknet-Seiten unterwegs sind, sondern sich mit dem Browser vor Überwachung in repressiven Regimen oder dem Tracking durch Unternehmen schützen wollen.

Und die Ermittler haben ein weiteres Problem: Ihr Angriff mit dem Zero-Day-Exploit bleibt nicht unentdeckt. Am 29. November warnt ein anonymer Tippgeber in einem Newsletter für Menschen, die sich für Tor interessieren: “Diese JavaScript-Schadsoftware wird JETZT gerade gegen Tor-Nutzer eingesetzt” und postet den gesamten Code. Direkt am nächsten Tag schließt der Entwickler des Browsers die Lücke – das aufwändige Hacking-Tool ist damit wertlos.

Letztlich führt ein ganz anderer Ansatz Ermittler des US-Ministeriums für Innere Sicherheit auf die Spur eines Giftbox-Betreibers. Es ist ein simpler Fehler: Er hat die Server für die Plattform zwar in der anonymen Digitalwährung Bitcoin bezahlt, aber das Konto mit seiner persönlichen E-Mail-Adresse registriert.

Als The Giftbox Exchange schließlich verschwindet, ist die Szene in Aufruhr. Doch während die Ermittler sich noch dafür feiern, den Treffpunkt für Pädosexuelle im Darknet eliminiert zu haben, chattet Joachim P. alias Noctua schon intensiv mit einem anderen Deutschen, der das Ende der Seite ebenso betrauert: Berndinihr.

Kapitel 3: Elysiums Expansion – Dreistigkeit ist der beste Köder

Die beiden kennen einander nicht persönlich, trotzdem zählen sie als technisch versierte Administratoren zum Kernteam auf The Giftbox Exchange, reden täglich miteinander und arbeiten eng zusammen: Sie betreuen Mitglieder, kümmern sich um technische Probleme und sichten neue Bilder sexualisierter Gewalt, die die Nutzer als Teil der Foren-Regeln monatlich hochladen müssen.

Noctua hat einen Plan. Er habe sich jeden Tag ein Backup der Seite gezogen, erzählt er Berndinihr. Alles sei noch da. Wenn man wolle, könne man eine noch bessere, noch größere Plattform fast augenblicklich wieder aufsetzen. Das Einzige, was P. jetzt für seinen Plan fehle, sei ein guter, fähiger Mann, der die Server betreut, sagt er. Jemand, der als Betreiber auch wirklich sicher hosten kann. Frank M., Besitzer einer Autowerkstatt, selbst Vater zweier Kinder, stimmt zu.

P. alias Noctua programmiert den Forenbereich neu, die Chatbereiche wie die für “Girl Lovers” und “Tiny Lovers” übernimmt er von Giftbox. Am 19. November 2016 registrieren sich M. und P. als Administratoren auf einer neuen Seite und werden zu Betreibern. Sie nennen ihr Nachfolgeprojekt “Elysium”. So heißt in der griechischen Mythologie die “Insel der Seligen” in der Unterwelt. Im Darknet ist Elysium ein Ort, an dem hinter jedem Bild das Leid eines oder mehrerer Kinder steht. Bis zuletzt war das riesige Forum in “Boys”- und “Girls”-Bereiche aufgeteilt. Weit über 3.000 Threads stellen sexualisierte Gewalt in Text, Videos und Bildern sogar gegen Kleinkinder in allen erdenklichen Formen dar, das jüngste abgebildete Missbrauchsopfer ist gerade mal zwei Jahre alt.

So abgründig die Spannbreite der Themen, so offen und weltgewandt gibt sich die Seite nach außen. Der Chatbereich läuft in sechs Sprachen, und wer neu ist, kann sich in Sekunden anmelden. Zwei weitere Deutsche werden gleich zu Beginn an Bord geholt: Panda moderiert die Chats, in denen sich zwar rege über die Penetration von Kleinkindern ausgetauscht wird, aber rausfliegt, wer nicht anständig grüßt. MadMouse erstellt als Grafiker saisonal angepasste Banner aus seiner gigantischen Bildersammlung, die keinen Zweifel daran lassen, um was es auf der Seite geht.

Elysium soll noch viel größer und umfangreicher werden als The Giftbox Exchange – und es sieht ganz danach aus, als ginge der Plan auf. Pädosexuelle aus aller Welt strömen in Scharen auf Elysium; 111.907 Mitglieder zählt die Plattform 18 Monate später. “So gut wie jeder in der europäischen Pädophilen-Szene im Internet war auf Elysium”, sagen später ermittelnde Staatsanwälte.

Ist die Seite wirklich so anonym gebaut, dass ihre Funktionen keinerlei Rückschlüsse auf die Menschen hinter den Nicknames bieten? Oder gibt es eine Lücke?

Dass es so viele sind, ist einer Entscheidung der Administratoren geschuldet: Anders als bei den meisten ähnlichen Seiten im Darknet müssen neue Nutzer hier kein neues kinderpornografisches Material mit dem Rest der Gemeinschaft teilen. Eigentlich setzen Betreiber von entsprechenden Darknet-Plattformen auf solche zynischerweise “Keuschheitsproben” genannten Eingangshürden, so war es auch bei The Giftbox Exchange. Der Hintergedanke: Deutsche Ermittler wären damit außen vor, denn mit so einem Upload würden sie sich selbst strafbar machen.

Es ist genau jene Offenheit von Elysium, die den Betreibern letztlich zum Verhängnis werden soll. Denn während die Seite rasant wächst, lesen verdeckte Ermittler wie Jens M. vom BKA längst alles mit.

Kapitel 4: Der Anfang vom Ende – Ein folgenreicher Fehler verrät die Hintermänner

Weihnachten 2016. Während andere Menschen essen oder feiern, lädt Noctua seit 17 Stunden Bilder von nackten Kindern auf Elysium hoch, und weiß nicht, dass er ganz genau beobachtet wird. Denn sowohl im Büro der ZIT in Gießen als auch in der BKA-Zentrale in Wiesbaden checken Ermittlerteams die Seite mittlerweile so gut wie jeden Tag und protokollieren, was passiert. Doch sie recherchieren nicht nur verdeckt auf Elysium und verfolgen die Chats – sie analysieren auch den Code der Seite. Ist die Seite wirklich so anonym gebaut, dass ihre Funktionen keinerlei Rückschlüsse auf die Menschen hinter den Nicknames bieten? Oder gibt es eine Lücke?

Einen Monat später, es ist Ende Januar 2017, entdeckt ein verdeckter Ermittler schließlich etwas, das ihn elektrisiert: Die Seite verrät ihre IP-Adresse, wenn ein User ein Avatarbild auf sein Profil hochlädt. Eigentlich wird die wahre IP-Adresse einer Seite im Darknet durch eine lange Kette von Servern verschleiert. Doch die Betreiber haben bei der Programmierung der Datenbank einen Fehler gemacht. Der Datenverkehr wird beim Bildupload kurz auf eine Seite im offenen Internet geleitet.

Um herauszufinden, wo das Zentrum von Elysium genau liegt, fragen die Ermittler jetzt deutsche Internet-Provider nach der entdeckten IP-Adresse, ein Routinevorgang. Volltreffer: Der Server steht nicht irgendwo angemietet auf einer weit entlegenen Pazifikinsel, wie es bei illegalen Darknet-Seiten oft der Fall ist, sondern in einer hessischen Kleinstadt, eine Autostunde vom Gießener Büro der ZIT entfernt. Für die Behörde ist es ein Glücksfall, denn in der Regel müssen die Cybercrime-Ermittler ihre Verfahren an eine zuständige Staatsanwaltschaft abgeben, sobald sie zu einem Internet-Fall einen Ort ermittelt haben. “Und da stand der Server hier direkt um die Ecke”, erinnert sich ZIT-Staatsanwalt Ungefuk im Gespräch mit Motherboard. “Kaum zu glauben.” Die Gießener Staatsanwältin Julia Bussweiler nimmt das Verfahren an sich. Schon bald weiß sie, wer den Server bezahlt.

Von all dem ahnen Noctua und Berndinihr zu diesem Zeitpunkt noch nichts. Letzterer hat sich inzwischen mehr Bandbreite und eine Firewall für 400 Euro gekauft, um die Plattform stabiler zu machen. Vor den Ermittlern schützt ihn das jedoch nicht. Den Betrieb von Elysium haben die beiden inzwischen effizient und arbeitsteilig organisiert. Um die Entwicklung und Struktur kümmert sich Noctua, den täglichen Betrieb übernimmt Berndinihr. Außerdem kümmert er sich um die sechssprachigen Chats. “Der P. hat mir ein Skript geschrieben, ich war viel zu blöd, um das selbst zu posten”, wird M. später über die Arbeitsteilung vor Gericht sagen.

Obwohl die Ermittler der ZIT schon viel über die Seite wissen, können sie noch nicht zuschlagen. Um sicherzugehen, dass Elysium tatsächlich von dort aus betrieben wird, wo auch der Server steht, schicken sie zunächst ein Observationsteam los. Ab jetzt wird es regelmäßig den Datenverkehr und die Aktivitäten rund um die Autowerkstatt im Taunusstädtchen überwachen.

Kapitel 5: MadMouse – Aus Chats werden echte Vergewaltigungen

Lange denken die Ermittler, dass Noctua den Server von Elysium betreibe – er war es schließlich, dem auch schon die Infiltration von The Giftbox Exchange früh aufgefallen war. Doch dann observieren die Ermittler die KfZ-Werkstatt. Weil sie auch den Datenverkehr analysieren, bemerken sie, dass nicht Noctua auf Elysium eingeloggt ist, wenn sich der Meister gerade in sein Büro zurückzieht, sondern ein Account mit dem Namen Berndinihr.

Von außen können sie erkennen, dass sich der Anschlussinhaber mit dem Tor-Netzwerk verbindet und riesige Datenpakete überträgt. Den Inhalt der Daten können sie wegen der Anonymisierung nicht erkennen. Sie sehen allerdings, was in Echtzeit auf der Darknet-Seite erscheint, während der Anschluss Daten überträgt. Am 11. Juni 2017 lädt Berndinihr zum Beispiel ein Video mit dem Titel “11-jährige Süße mit Besen” hoch.

“Das ist, als ob sich ein trockener Alkoholiker mit zehn Schnaps in eine Kneipe setzt”

Während die Ermittler versuchen, die Puzzleteile zusammenzufügen, vernetzen sich Pädosexuelle immer intensiver auf der Darknet-Seite. Ein Strafverteidiger wird Elysium später als eine Fantasiewelt für Rollenspiele, die im echten Leben tabu sind, darstellen. Eine ungemeine Verharmlosung. Es gibt keine Aufnahmen von sexualisierter Gewalt gegen Kinder ohne Geschädigte.

Welche Taten ein solcher regelloser Raum für Pädosexuelle erst möglich macht, zeigt der Fall eines Komplizen von Noctua und Berndinihr.

Im Darknet nennt sich der Elysium-Grafiker Michael G. MadMouse und bezeichnet sich als “trockenen Pädophilen”, der sich gern mit Gleichgesinnten austauschen möchte. Nichts könnte weiter von der Wahrheit entfernt sein. “Das ist, als ob sich ein trockener Alkoholiker mit zehn Schnaps in eine Kneipe setzt”, kommentiert sein Verteidiger die Rolle seines Mandanten einmal nach einer Verhandlung. Denn G. nutzt Elysium nicht nur zur Verbreitung von Unmengen an kinderpornografischem Material. Er lernt dort auch einen pädosexuellen Österreicher kennen, der damit prahlt, die eigenen zwei Kinder zu missbrauchen, und ihm dies mit Fotos belegt.

Michael G. ist fasziniert. Die beiden verabreden sich über Elysium zu einem Treffen im echten Leben. Der 62-Jährige fährt für eine ganze Woche nach Wien, “einfach um die Kinder live kennenzulernen”, wie er später vor Gericht beteuern wird, “nicht wegen was Sexuellem”. Nicht nur der Staatsanwältin fällt es schwer, das zu glauben. Denn G. bringt nicht nur als “Gastgeschenk” einen Dildo mit, sondern vergewaltigt in den kommenden Tagen damit die Kinder – gemeinsam mit deren Vater. Sie sind vier und acht Jahre alt.

MadMouse macht Hunderte Fotos und Videos davon. Nach seiner Rückkehr schickt er sie bereitwillig an andere Pädosexuelle auf Elysium und prahlt mit seinen Taten. Für ihn sind es die Souvenirs eines aufregenden Urlaubs, an den er sich noch lange erinnern will.

Für das BKA ist diese Selbstdarstellung zumindest aus technischer und polizeilicher Sicht ein Glücksfall. Letztlich schaffen es IT-Experten des LKA Nordrhein-Westfalen im April, MadMouse über einen extrahierten Fingerabdruck in einem Bild zu identifizieren, das er selbst verbreitet hat. Sein Körper soll ihn noch ein zweites Mal verraten, denn auch auf den herumgeschickten Videos aus Wien sind Teile seines Körpers zu sehen, anhand derer die Cybercrime-Ermittler ihn als einen von zwei Tätern identifizieren.

G. macht außerdem einen technischen Fehler: Auf seinen Fotos aus Wien vergisst er, die Exif-Daten zu löschen. Diese werden von einer Kamera standardmäßig mitgespeichert und verraten, wo und wann ein Bild aufgenommen wurde. Weil Kontaktpersonen von G. auf Elysium außerdem ohne es zu wissen mit verdeckten Ermittlern gechattet haben, hat das BKA jetzt einen echten Anhaltspunkt. Sie können nicht nur MadMouse fassen, sondern auch die Kinder in Sicherheit bringen. Das BKA telefoniert mit dem österreichischen Bundeskriminalamt und bereitet ein Team vor, das für Elysium den Anfang vom Ende einläuten soll.

Kapitel 6: Der Zugriff – Blendgranaten in der Autowerkstatt

Die erste Elysium-Festnahme in Deutschland trifft also G. alias MadMouse. Er lebt in Bayern und wohnt allein in einer Art Privatmuseum vergewaltigter Kinder: 15.283 Dateien mit Aufnahmen von sexualisierter Gewalt gegen Kinder muss das BKA nach dem 18. Mai 2017 aus seinem Bestand sichten. Darunter sind heimliche Aufnahmen der Nachbarskinder und alte Videos, die G. nicht nur als Kameramann, sondern auch als Sexualstraftäter zeigen. G. hat eine schreckliche Vergangenheit, mit der er sich jeden Tag auf Elysium konfrontiert. So zumindest kann man werten, was die Ermittler finden, als sie seine Wohnung stürmen: Direkt neben G.s Computer liegt ein verjährtes Gerichtsurteil von 1985, das G. zu einer mehrjährigen Haftstrafe verurteilt. Er hat in seinem früheren Job als Betreuer mehrere, zum Teil behinderte Kinder vergewaltigt. Diese Taten hatte er damals schon gefilmt – und auch damit im Darknet geprahlt.

Als nächstes ist Moderator Panda dran. Gerichtsdokumente, die Motherboard vorliegen, zeigen, dass er über ein ganz legales Video identifiziert wird: Es dreht sich um Festplatten, die sich selbst zerstören. Die Ermittler lesen im Elysium-Chat mit, wie Berndinihr im Gespräch mit Panda einen Video-Link zu dem Thema postet, der zur Tech-Website Winfuture.de im offenen Internet führt.

Die Ermittler notieren sich die Zeit, zu der der Link gepostet wurde, und fragen bei der Website Winfuture.de an, welche Computer aus Deutschland das Video zu diesem Zeitpunkt aufgerufen haben. Winfuture schickt ihnen zwei IP-Adressen zurück. Die erste kennen sie schon: Sie gehört zu M.s Autowerkstatt. Die zweite deutsche IP, von der das Video direkt danach abgespielt wurde, führt sie zu dem Mann hinter dem Nickname Panda. Am 8. Juni durchsuchen Ermittler seine Wohnung in Tübingen und finden durch das bei ihm gehortete Material heraus, dass er offensichtlich nicht nur pädosexuell ist, sondern auch sadistische Neigungen hat. Panda, der im echten Leben Bernd M. heißt und nach eigenen Angaben “glücklich verheiratet” ist, schweigt zu den Anschuldigungen.

“Little Girl Romanian” und andere Videos: Dem Grauen der Seite begegnet der BKA-Ermittler mit maximaler Gründlichkeit.

Am Nachmittag des 12. Juni 2017 setzen die Ermittler dann zum finalen Schlag gegen Elysium an: Verdeckte Ermittler chatten auf Elysium mit Frank M., der im Hinterzimmer seiner Werkstatt sitzt, während sein nichts ahnender Mitarbeiter vorne an den Autos schraubt.

Um 16:45 Uhr dann der spektakuläre Zugriff, der eher an das Ende einer Geiselnahme erinnert: Ein gutes Dutzend maskierte Kräfte einer Spezialeinheit robben sich an die Werkstatt heran. Dann werfen sie Blendgranaten in die Halle, schmeißen die Scheiben ein und stürmen mit Maschinenpistolen bewaffnet das Hinterzimmer, wo Frank M. am Rechner sitzt. Sie müssen den mutmaßlichen Täter überrumpeln, während er eingeloggt ist, um ihm zweifelsfrei nachzuweisen, dass er Berndinihr ist. Es gelingt. Frank M. geht zu Boden, gibt seine Passwörter her, die Beamten tragen Dutzende Festplatten an dem verdutzten Mitarbeiter vorbei aus der Werkstatt. Erst um vier Uhr morgens ist die Razzia beendet. Noch am selben Tag schalten die Kollegen ein Beschlagnahmungs-Banner auf der Darknet-Adresse.

“Elysium ist nicht mehr”, wird Stunden später auf anderen Darknet-Plattformen für kinderpornografisches Material gepostet. “Geht davon aus, dass alle privaten Nachrichten, die ihr auf Elysium verschickt oder bekommen habt, sich in den Händen von Ermittlern befinden”, schreibt ein anonymer Nutzer mit dem Usernamen Elysium. Die Nachricht ist signiert mit einem Kryptoschlüssel, der zum Administrator-Account von Elysium gehören soll. Die Botschaft kann nur von Noctua stammen, dem letzten verbleibenden Chef von Elysium.

Kapitel 7: Die Falle – Eitelkeit bringt am Ende auch den Gründer ins Gefängnis

Lange bleibt er für seine Jäger von der ZIT ein Phantom, doch jetzt schaffen sie es, ihn über seine Eitelkeit zu packen. Denn Joachim P. will nach der Verhaftung seines Technikers Berndinihr gleich wieder eine neue Plattform für sexualisierte Gewalt gegen Kinder ins Netz stellen. Um sich zu schützen, sucht er im Darknet nach einem neuen Lakaien, der ihm die Server verwaltet. Doch er gerät bei der Suche nach geeigneten Kandidaten nicht an einen Pädosexuellen, sondern an einen verdeckten Ermittler, der ihm enthusiastisch technische Hilfe anbietet und ihn letztlich dazu bringt, sich zu verraten. Am 20. Juli wird auch Joachim P. zu Hause festgenommen, während er an der nächsten Pädosexuellen-Plattform herumprogrammiert.

“Die Kinder machen sich sehr oft auch selber Vorwürfe.”

Schon im Mai werden die Wiener Kinder über eine Schulfahndung identifiziert und in Sicherheit gebracht. Der 28-jährige Vater wird verhaftet. Es stellt sich heraus, dass es noch weitere 29 minderjährige Opfer aus dem Bekanntenkreis des Wiener Vaters gibt. “Die Kinder machen sich sehr oft auch selber Vorwürfe”, sagt Ewald Ebner, Ermittler des österreichischen Bundeskriminalamts, bei einer Pressekonferenz in Wien. “Jetzt wird es dem Mädchen genauso schlecht gehen, wenn wir den Papa weggenommen haben. Denn es wird trotzdem der Vater sein, auch mit seinen schädlichen Neigungen.”

Für das BKA geht es nun an die Auswertung Hunderttausender Dateien, eine belastender als die andere. Auf dem Rechner von MadMouse G. finden Ermittler eine PDF-Datei, es ist eine Anleitung, in der erklärt wird, “wie man Kinder unter Anwendung von Schlafmitteln missbrauchen kann”. So beschreibt es ein Ermittler später vor Gericht. Die Videos, die der BKA-Cybercrime-Ermittler Jens M. in den kommenden Tagen auf den Computern von Berndinihr entdeckt, heißen “Little Jenny Romanian”, “4 year old with Dildo” oder auch “Hardcore Girl Screwdriver”.

Wie kann ein Mensch das aushalten?

Jens M. vom BKA, der Hunderte Gigabyte solcher Daten auf den Festplatten von Frank M. durchkämmen musste, distanziert sich durch das “man”, wenn er über Elysium redet: Man kennt, man hat, man ermittelt. Dem Grauen der Seite, deren Betreiber er bis ins Detail analysiert, begegnet er mit maximaler Gründlichkeit. Als die Staatsanwältin ihn im Prozess zu den beschlagnahmten Datenträgern befragt, weiß M. auch über ein Jahr später noch immer exakt, wo welcher USB-Stick mit welcher Asservatennummer gefunden wurde. Wer ihm abseits von seiner Vernehmung Fragen zu den Ermittlungen stellt, den lässt er höflich, aber effizient abblitzen. Auch später, am Rande der Verhandlungen, sagt er nicht mehr über seine Arbeit, als er unbedingt muss. Er achtet darauf, keine Emotionen zu zeigen. Nur dass er neben seiner Zeugenaussage noch mal als Zuschauer zum Gericht fahren will, verrät er. Ohne Vorladung – warum? “Zur Urteilsverkündung”, sagt er und schaut nach vorn ins Leere. “Das ist ja dann doch immer ganz interessant, wenn man da viel Arbeit reingesteckt hat.”

Kapitel 8: Showdown in Limburg – Ausreden und Ausraster

Zum Prozessauftakt vor dem Landgericht Limburg an der Lahn trifft sich die Führungsriege von Elysium im August 2018 zum ersten Mal. Über ein Jahr haben sie bereits in Untersuchungshaft gesessen. Ihre Strafverteidiger wirken unmotiviert, einer konfiguriert sich schon mal auf seinem Handy sein neues Auto. Kein Wunder, die Beweislage ist spätestens seit den Durchsuchungen erdrückend. 154 Seiten dick ist die Anklage, die die Gießener Staatsanwältin Julia Bussweiler gegen sie zusammengetragen hat. Kaum vorstellbare Verbrechen an Kindern stehen darin. Alle vier Angeklagten sagen im Laufe der 18 Prozesstage aus, doch die Rechtfertigungen und Ausflüchte, mit denen sie sich gegenseitig die Verantwortung zuschieben, sind für die Beobachter des Prozesses schwer zu ertragen.

Da ist der Strippenzieher Joachim P. alias Noctua, ein hagerer alter Mann mit fahlgrauen Haaren, der die Vorwürfe fast komplett einräumt, aber sich hauptsächlich in seiner technischen Ehre gekränkt zu fühlen scheint. Bis heute kann er sich nicht richtig erklären, wie ihm das BKA auf die Schliche gekommen ist, und liest in der Verhandlung die Akten mit, als könne er noch einen Fehler darin entdecken.

Bernd M. alias Panda sieht sich als “Anstandswauwau”, der die Seite und den Chat durch seine Moderation “sauber gehalten” habe, wie er sagt. Schließlich gebe es ja Regeln, und rassistische Sprüche und Beleidigungen hätte er in seinem Revier absolut nicht geduldet. Und die vielen gespeicherten sadistischen Bilder auf seinem Rechner? “Da wollte ich nur mal ein Programm ausprobieren, das so was automatisch speichert.” Er gibt zu, dass er selbst nach Foltervideos von Babys gefragt hat. Aber pädosexuell sei er eigentlich nicht. Warum er denn dann mitgemacht hätte, will die Staatsanwältin wissen. “Ich wurde gefragt und kann halt nicht Nein sagen”, erwidert er.

Frank M. alias Berndinihr liefert dem Gericht eine Geschichte, die die Staatsanwältin als “absolut abenteuerlich” bezeichnet. Auch er sei überhaupt nicht pädosexuell, schließlich habe er doch selber Kinder. Eigentlich sei er eine Art ethischer Hacker, ein engagierter verdeckter IT-Ermittler ohne Auftrag. Er habe die Seite nur betrieben, “um die Szene zu stören”. Gleich nach seinem Sommerurlaub habe er die ganzen Daten – im zweistelligen Terabyte-Bereich auf Dutzenden Festplatten – irgendwie anonym der Polizei zuspielen wollen. Leider sei ihm das SEK zuvorgekommen und jetzt sitze er ungerechterweise im Gefängnis. Warum er selbst so viel gepostet hat und die heruntergeladenen Videos in Ordnern mit Titeln wie “Neue heiße Löcher” auf seinem eigenen Rechner abgespeichert hat, kann er dem Gericht nicht erklären.

Und dann kommt Michael G. alias MadMouse, der als einziger auch wegen sexuellen Missbrauchs von Kindern vor Gericht steht. Der Bayer erscheint im Schlabberhemd, er treibt alle Anwesenden mit endlosen Monologen in den Wahnsinn, redet ständig dazwischen und beschwert sich, man solle doch jetzt mal “endlich richtig über meine Probleme reden”. Einmal steht sogar sein Verteidiger auf, sichtbar genervt, und fast macht es den Eindruck, als würde er gleich einpacken und gehen. Als bei der Beweisaufnahme die schrecklichen Fotos aus Wien gezeigt werden, gibt G. sich eingeschnappt: “Also, die sind aber in der falschen Reihenfolge! Außerdem war ich doch auch mal mit den Kindern auf dem Prater, warum wird das denn nicht gezeigt?”

Kapitel 9: Das Urteil

Am Donnerstag, den 7. März ist nun nach 18 Prozesstagen das Urteil am Landgericht Limburg gesprochen worden. Die Staatsanwältin Julia Bussweiler hat eine Woche zuvor in einem fast unanfechtbaren Plädoyer wegen der bandenmäßigen Verbreitung von kinderpornografischen Schriften lange Haftstrafen gefordert. Das Gericht verhängte heute Freiheitsstrafen zwischen drei Jahren und zehn Monaten und neun Jahren und neun Monaten. Michael G., der als einziger der Gruppe auch wirklich Kinder vergewaltigt hat, soll danach in einer Sicherheitsverwahrung untergebracht werden.

Die vier Männer auf der Anklagebank sind keine typischen Darknet-Täter, keine vorlauten jungen Nerd-Entrepreneure wie der Drogendealer Shiny Flakes und auch keine studentischen Waffenhändler, die mit straffem Rücken in den Saal marschieren. Es sind ältere, ungepflegte Männer mit eingefallenen Schultern, und sie haben, so viel wird im Prozess deutlich, auf ganzer Linie versagt. Sie haben versagt, als sie sich für “schlauer als die Polizei erlaubt” erklärten, wie es ein Verteidiger ausdrückt. Sie haben darin versagt, gesunde Beziehungen zu Menschen aufrechtzuerhalten. Sie haben darin versagt, sich unerkannt im Darknet zu bewegen, ohne ihrer Geltungssucht nachzugeben. Sie haben versagt, ihrer Triebe Herr zu werden und sich ihren Neigungen verantwortungsbewusst zu stellen – denn natürlich hätten sich alle über Jahre hinweg Hilfe und Unterstützung suchen können. Stattdessen haben sie sich einen Ort geschaffen, in dem sexualisierte Gewalt gegen Kinder gefeiert, gefördert, verbreitet und verherrlicht wird.

Dass dieser Ort auch außerhalb des Internets zu Gewalt und sogar zu Vergewaltigungen an Kindern im echten Leben geführt hat, ist außergewöhnlich und macht selbst die leitende Staatsanwältin “fassungslos”, wie sie am letzten Verhandlungstag sagt. Durch das verhältnismäßig lange Beobachten der Führungspositionen konnte sichergestellt werden, dass ausgesprochen viele Hintermänner wasserdicht überführt wurden, bevor sie sich gegenseitig warnen konnten. Doch nachdem der Server lokalisiert war, verging noch ein halbes Jahr, in dem Kinder wie die Geschwister aus Wien leiden mussten – so lange, bis die Scheiben in der hessischen Autowerkstatt zersplitterten und Elysium abgeschaltet wurde.

Mit diesem Dilemma müssen die Ermittler leben. Und die Überlebenden auch.

Bist du sexuell belästigt worden oder hast sexualisierte Gewalt erlebt? In Deutschland bekommst du Hilfe unter der Telefonnummer 0800 22 55 530. Mehr Infos findest du auf dem Hilfeportal der Bundesregierung . Wer in der Schweiz sexualisierte Gewalt erlebt hat, findet bei der Frauenberatung Links zu Beratungsstellen, betroffene Männer erhalten Hilfe im Männerhaus . In Österreich wird ein 24-Stunden-Hilfenotruf unter 01 71 719 angeboten. In jedem Fall gilt: Wende dich auch an die Polizei in deiner Nähe und zeige den Täter oder die Täterin an.

Wer pädosexuell veranlagt ist, kann sich an das Netzwerk “Kein Täter werden” wenden.