Am 3. November 2026 haben Ermittler aus sieben Ländern ein internationales Netzwerk zerschlagen, das Betrügern fertige Fake-Trading-Plattformen lieferte. Die von der Staatsanwaltschaft bei dem Landgericht Itzehoe, Abteilung Cybercrime, geleitete Aktion wurde von Europol und Eurojust unterstützt. 17 Orte wurden durchsucht, darunter ein Callcenter im Kosovo. Mehr als 100 Server sowie weitere Beweismittel und Vermögenswerte beschlagnahmten die Behörden.

Sieben Verdächtige wurden zur Übergabe oder Auslieferung nach Deutschland festgenommen. Verurteilt ist bislang niemand, die Ermittlungen laufen weiter. Als potenzielle Opfer gelten Menschen in mindestens 50 Ländern; der bisher geschätzte Schaden liegt bei mehr als 4 Millionen Euro. Eine Aufschlüsselung nach Staaten gibt es nicht. Österreich und die Schweiz wurden als beteiligte Länder nicht genannt.

Ein Ehepaar brachte den Fall ins Rollen

Begonnen hatte das Verfahren 2022 mit der Anzeige eines deutschen Ehepaars. Die beiden hatten ihre Ersparnisse über eine Online-Plattform investiert, konnten angebliche Gewinne aber nicht auszahlen lassen. Nach mehr als vier Jahren Ermittlungen führte ein erster internationaler Aktionstag zu zwei Festnahmen und zur Beschlagnahmung umfangreicher Beweismittel. Die Auswertung identifizierte sieben weitere Verdächtige, darunter Betreiber von Callcentern, deren Mitarbeiter Opfer zu weiteren Investitionen bewegen sollten.

Bei einem weiteren internationalen Aktionstag wurden zusätzliche Verdächtige festgenommen sowie Beweismittel und Geld sichergestellt. Diese Auswertung führte zur aktuellen Operation. Im Zentrum steht ein mutmaßlicher Plattformanbieter mit Aktivitäten in Zypern und Israel. Die Behörden nannten weder den Namen des Unternehmens noch die Identitäten der Verdächtigen, der Callcenter-Betreiber oder der verwendeten Plattformen.

Beteiligt waren Deutschland, Zypern, Finnland, Albanien, Israel, Kosovo und Nordmazedonien. Auf deutscher Seite arbeiteten neben der Staatsanwaltschaft Itzehoe das Landeskriminalamt Schleswig-Holstein mit. Hinzu kamen die Polizei Zypern, Finnlands National Bureau of Investigation, die albanische Sonderstaatsanwaltschaft SPAK, deren National Bureau of Investigation und die albanische Staatspolizei.

Hier könnte Ihr Advertorial stehen
Ein Advertorial bietet Unternehmen die Möglichkeit, ihre Botschaft direkt im redaktionellen Umfeld zu platzieren

Aus Israel waren die Polizei, die nationale Cybercrime-Einheit Lahav 433 sowie die Rechtshilfeeinheit des Nachrichtendienstes beteiligt. Im Kosovo wirkten die Sonderstaatsanwaltschaft, die Polizei, deren Direktion zur Bekämpfung von Wirtschaftskriminalität und Korruption sowie der Bereich Finanzermittlungen mit. Nordmazedonien entsandte die Grundstaatsanwaltschaft zur Verfolgung organisierter Kriminalität und Korruption sowie das Innenministerium mit dem Büro für öffentliche Sicherheit und der Abteilung zur Bekämpfung organisierter und schwerer Kriminalität.

Die Bezeichnung Kosovo erfolgt dabei ohne Präjudiz für Statusfragen und gemäß Resolution 1244/1999 des UN-Sicherheitsrats sowie dem Gutachten des Internationalen Gerichtshofs zur Unabhängigkeitserklärung Kosovos.

Gefälschte Gewinne, echter Druck

Das Unternehmen soll kriminellen Gruppen gefälschte Handelswebsites, Adressen potenzieller Opfer und Callcenter-Dienste bereitgestellt haben. Die Seiten sahen aus wie Handelsplätze für Kryptowährungen, Fremdwährungen und Aktien. Auf dem Bildschirm erschienen Kontostände, Kurse und Gewinne – obwohl kein echter Handel stattfand. Das Modell nennen die Ermittler „Crime-as-a-Service“: Eine technische Infrastruktur wird einmal aufgebaut und anschließend an mehrere Tätergruppen vermietet.

Die mutmaßlichen Kunden saßen unter anderem in Albanien, Kosovo und Nordmazedonien und betrieben dort vermutlich betrügerische Callcenter. Aus dem Hörer klang es offenbar wie Beratung, tatsächlich drängten die Mitarbeiter Menschen zu Einzahlungen. Ein typischer Ablauf:

  1. Online-Werbung versprach hohe Gewinne mit Krypto, Devisen oder Aktien.
  2. Die Interessierten landeten bei einer scheinbar seriösen Plattform und einem angeblichen Broker.
  3. Nach einer kleinen Erste Einzahlung zeigte das Konto künstlich aufgeblähte Gewinne.
  4. Die sogenannten Broker setzten die Opfer psychologisch unter Druck, weitere und deutlich höhere Summen einzuzahlen.
  5. Bei Auszahlungsanträgen folgten Verzögerungstaktiken; schließlich brachen die Betreiber den Kontakt ab und verschwanden.

Die Gewinne waren also nur Zahlen auf einer Seite. Laut den Ermittlungen wurde das Geld zu keinem Zeitpunkt tatsächlich angelegt. Viele Betroffene bemerkten den Betrug trotzdem über Monate nicht, weil Plattform und Anrufe professionell wirkten. Die geschätzte Schadenssumme von mehr als 4 Millionen Euro könnte zudem zu niedrig sein: Nicht alle Opfer erstatten Anzeige.

Eurojust koordinierte die justizielle Zusammenarbeit von seinem Sitz in Den Haag aus. Unterstützt wurden Europäische Ermittlungsanordnungen, Europäische Haftbefehle, Vermögenssicherungsanordnungen, der Informationsaustausch und die gemeinsame Planung. Zwei gemeinsame Ermittlungsgruppen entstanden: eine zwischen Deutschland, Polen und Albanien, eine weitere zwischen Albanien und Kosovo. Das Western Balkan Criminal Justice Project half den albanischen und kosovarischen Behörden.

Europol führte Analysen durch, glich Daten mit eigenen Datenbanken ab, half bei der Vorbereitung gemeinsamer Maßnahmen und entsandte Experten nach Albanien und Kosovo. Dort unterstützten sie digitale Forensik und Datenbankabfragen; außerdem lief die koordinierte Intervention über einen virtuellen Führungsstab.

Server als mögliche Landkarte des Netzwerks

Die beschlagnahmten Server könnten Plattformen, Kundendatenbanken, Chats, Werbetracking, Zahlungsdaten und Protokolle enthalten. Ob daraus neue Namen und Geldflüsse sichtbar werden, hängt von der digitalen Forensik und der gerichtsfesten Aufbereitung elektronischer Beweise ab. Die Daten könnten Hinweise auf weitere Täter liefern. Kurzfristig verlieren die belieferten Gruppen möglicherweise ihre Infrastruktur und müssen neue Anbieter suchen.

Die Arbeitsteilung wirkt klar: Plattformanbieter mutmaßlich in Zypern und Israel, Callcenter und Kundengruppen unter anderem auf dem Westbalkan, Opfer in zahlreichen Ländern. Die Aktion traf damit vor allem die Infrastruktur- und Callcenter-Ebene. Zu Maßnahmen gegen Geldflüsse wurden keine Zahlen veröffentlicht. Banken, Zahlungsdienste, Hostinganbieter, Domainregistrare und Werbeplattformen bleiben wichtige Schnittstellen; auffällig können etwa zahlreiche Erstüberweisungen an neue Empfänger oder Anzeigen mit hohen Renditeversprechen sein.

Der Zugriff beendet allerdings nicht den gesamten Markt für betrügerische Handelsplattformen. Die Quellen bestätigen nicht, dass alle zugehörigen Websites oder Callcenter geschlossen wurden. Offen sind der Name des Plattformanbieters, die Identitäten der sieben Verdächtigen, die Namen der Plattformen und Callcenter, die Verteilung der Opfer nach Ländern, die genaue Schadenshöhe und die Frage, ob sämtliche Server und Websites des Netzwerks erfasst wurden. Auch der Zeitpunkt möglicher Überstellungen und Anklagen steht nicht fest. Eine Rückzahlung verlorener Gelder ist nicht zugesagt; beschlagnahmte Vermögenswerte könnten später in ein Verfahren einfließen.

Fast 10.000 Rufnummern abgeschaltet

Wie breit das Feld des Cybertrading-Frauds inzwischen ist, zeigt eine parallel bekannt gewordene Bilanz aus Baden-Württemberg: Ermittler haben in den vergangenen drei Monaten fast 10.000 Rufnummern abgeschaltet, die Cyberkriminelle genutzt hatten. Beteiligt waren das Cybercrime-Zentrum der Generalstaatsanwaltschaft Karlsruhe, das Landeskriminalamt Baden-Württemberg, das Bundeskriminalamt, die Bundesanstalt für Finanzdienstleistungsaufsicht, die Bundesnetzagentur und das österreichische Bundeskriminalamt.

Die Maßnahmen gehören zur internationalen „Operation Herakles“ gegen Cyberkriminalität und Online-Anlagebetrug. Seit ihrem Beginn wurden 13.888 Rufnummern abgeschaltet, darunter 13.397 deutsche und 491 österreichische Nummern. Gemeinsam mit Europol und weiteren internationalen Strafverfolgungsbehörden wurden außerdem weit über 2.000 illegale Domains abgeschaltet. Wer eine beschlagnahmte Domain aufruft, landet inzwischen auf einer vom LKA bereitgestellten Beschlagnahmeseite mit Behördenhinweis.

Die Bundesnetzagentur ging auch gegen verantwortliche Telekommunikationsunternehmen vor: Missbräuchlich genutzte Rufnummern wurden abgeschaltet, Registrierungsprozesse angepasst und Compliance-Kontrollen bei Vertriebspartnern und Händlern verstärkt. Diese Partner sollen intensiver überprüft werden. Die Masche hat sich laut den Ermittlern zu einem Massenphänomen entwickelt – mit ausländischen Callcenter-Mitarbeitern, die sich als Broker ausgeben und immer neue Zahlungen verlangen.

Für Betroffene heißt das zunächst: keine weiteren Zahlungen leisten, auch nicht für angebliche Steuern, Freischaltungen oder Rückholservices. Bank oder Zahlungsdienstleister sollten sofort informiert und mögliche Rückbuch