Tausende Kunden im Visier: Polizei schnappt noch immer reihenweise Shiny Flakes-Nutzer
Seit Jahren gehen Ermittler deutschlandweit gegen Kunden des ehemaligen Drogen-Shops vor. Dabei wurde eine rekordverdächtige Zahl von Verfahren eröffnet und noch ist kein Ende in Sicht.
Es war einer der spektakuläreren Fälle der jüngeren deutschen Kriminalgeschichte: Ein 20-jähriger Kellnerlehrling vertreibt fast eine Tonne Drogen aus seinem Jugendzimmer, setzt bis zu 200.000 Euro im Monat um und narrt die Ermittler knapp anderthalb Jahre. Bis ihm ein Team der sächsischen Polizei im Februar 2015 die Tür einrennt und die Fahnder sein florierendes Drogen-Start-Up zerschlagen, konnte Shiny Flakes knapp 600 Kilo Drogen an Kunden von hier bis nach Australien verticken.
Inzwischen ist Maximilian S., der Drahtzieher hinter dem Drogen-Shop Shiny Flakes, längst hinter Gittern – und wird dort auch noch für mehrere Jahre bleiben. Tausende seiner Kunden zwischen Flensburg und Berchtesgaden müssen allerdings bis zum heutigen Tag bangen, dass sie Post vom Staatsanwalt bekommen – oder einen Hausbesuch von der Polizei.
Der Grund dafür, dass der Fall Shiny Flakes die Justiz auch zweieinhalb Jahre nach Zerschlagung des Shops beschäftigt, ist nur wenige Kilobyte groß und endet auf das Kürzel xls. Die Excel-Datei "Bestellungen.xls" hält genau das, was sie verspricht: eine umfassende Liste von Käufern, die sich illegale Drogen und Arzneien bei Shiny Flakes bestellt hatten. Die Excel-Tabelle befand sich auf dem Laptop von Maximilian S., als die Polizei sein Zimmer stürmte – ein absoluter Glückstreffer für die Fahnder: Eine sauber aufbereitete, lückenlose Auflistung tausender Straftaten samt Täter und Wohnadressen. Selten dürften Ermittler über einen solchen Fund gestolpert sein – zum Ärger von vielen Kunden heute. Die Tabelle, durch die sich seitdem ein Heer von Cyberermittlern und Staatsanwälten ackert, befand sich unverschlüsselt auf dem Computer des Shiny-Flakes-Betreibers. Auch war sie nicht sonderlich gut versteckt: Ermittler entdeckten das sensible Dokument auf dem Pfad \users\admin\desktop\bestellungen.xlsx – sie lag also sofort sichtbar auf dem Schreibtisch des Shiny Flakes-Betreibers. Einfacher hätte es Maximilian S. der Polizei kaum machen können.
Die Datei namens "Bestellungen.xls" ist der feuchte Traum jedes Drogenfahnders
Laut Motherboard-Recherchen enthielt die Tabelle zunächst rund 14.000 Einträge zu Kunden und Lieferadressen. Auf Basis dieser Liste konnten knapp 5.500 Verfahren begonnen werden, wie die Staatsanwaltschaft Leipzig gegenüber Motherboard bestätigt. Neben der Zerschlagung des Drogenshops Chemical Love ist es weltweit der größte öffentlich bekannte Fall, bei dem der Polizei durch die Festnahme eines einzelnen Online-Dealers eine solche Menge an Kundendaten in die Hände gefallen ist. Anders als bei Chemical Love ist aber hier jetzt schon klar, dass tausende Fälle auch tatsächlich ausermittelt werden.
Als der Shiny-Flakes-Shop noch auf Hochtouren lief, hatte der Betreiber gegenüber seinen Kunden geprahlt, die Daten seien bei ihm in sicheren Händen. Alle zwei Tage würden sie gelöscht. Es war eine Lüge. Tatsächlich speicherte Maximilian S. so ziemlich alle Informationen über seine Kunden, die er in die Finger kriegen konnte: Namen, Adressen, Bestellstatus, Bezahldaten – der feuchte Traum eines jeden Drogenfahnders.
Es war eine Art privat geführte Vorratsdatenspeicherung, die im Dezember 2013 begonnen hatte und bis Februar 2015 im Gange war. Die Daten wollte Maximilian S. wohl wie ein typischer Webshop-Betreiber dazu nutzen, sein Angebot zu optimieren und den Umsatz zu steigern. Am Ende landete der reich gefütterte Datentopf allerdings bei der Polizei. Bis heute beschäftigt er Justizbehörden im gesamten Bundesgebiet.
Außerdem erfreulich für die Staatsanwaltschaft: Shinys Kundenliste enthält nicht nur eine Liste an Straftaten mit klar zugeordneten Personen, sondern liefert die Beweiskette gleich mit: Eine weitere Spalte der Tabelle enthält nämlich die Bitcoin-Adressen, mit denen die Käufer ihre Drogenpäckchen in Form der Kryptowährung bezahlt haben. Gelingt es den Ermittlern herauszufinden, dass die angegebene Bitcoin-Adresse tatsächlich auf den in der Tabelle erscheinenden Namen registriert ist, haben sie ein weiteres Glied in der Beweiskette: Die Ware wurde bezahlt.
Dass es entgegen einem verbreiteten Missverständnis für Ermittler häufig ein Leichtes ist, Bitcoin-Adressen zu identifizieren, haben Motherboard-Recherchen im August enthüllt: In mehreren Fällen hatte die größte deutsche Bitcoin-Plattform Bitcoin.de Nutzerdaten auf bloße polizeiliche Anfrage hin herausgegeben. Selbst die Trackingnummern des verschickten Pakets hatte Maximilian S. buchhalterisch vermerkt und der Staatsanwaltschaft so noch ein weiteres Indiz in die Hand gegeben: Denn die Tracking-ID einer Sendung können Ermittler beim Verpackungsdienstleister auf Anfrage abgleichen – wie sie es in anderen Darknet-Fällen getan haben – und damit belegen, dass nicht nur bestellt und bezahlt, sondern auch tatsächlich geliefert wurde.
Die Nachricht von Shinys buchhalterischer Präzision traf auch die Szene vollkommen unerwartet. Wie der Düsseldorfer Anwalt Niklas Hanitsch erzählt, der bereits mehrere Kunden vertreten hat, sei seinen Mandanten "alles aus dem Gesicht gefallen", als sie davon erfuhren. Trotzdem seien auch viele Besteller blauäugig und unvorsichtig gewesen, so Hanitsch. Shinys Liste sei nicht alleine Schuld daran, dass sie nun ein Verfahren am Hals hätten.
Insgesamt 4.516 Menschen in Deutschland gerieten durch die Liste ins Visier deutscher Strafverfolger. Laut der Leipziger Staatsanwaltschaft, die 2015 den Shiny-Flakes-Betreiber vor Gericht brachte, ist dies die Gesamtzahl der Ermittlungen, die im Zusammenhang mit deutschen Kunden des Webshops eröffnet wurden. Etwa 1.000 weitere Ermittlungsverfahren wurden im europäischen und außereuropäischen Ausland eröffnet. Von Leipzig aus ging die Kundentabelle an Staatsanwaltschaften im gesamten Bundesgebiet. Entscheidend dafür, welche Staatsanwaltschaft die Ermittlungen gegen einen mutmaßlichen Kunden führt, ist der Wohnsitz des Beschuldigten. Oberstaatsanwalt Ricardo Schulz bestätigt auf Anfrage, dass derzeit Staatsanwälte in allen 16 Bundesländern die Liste abarbeiten. Wie viele davon bereits verhandelt oder fallengelassen wurden, ist nicht bekannt.
Angesichts der Masse der Ermittlungen scheint sich rund um Shiny Flakes inzwischen auch ein florierendes juristisches Geschäft entwickelt zu haben. So haben mehrere Kanzleien prominente Anzeigen bei Google geschaltet, die dafür sorgen, dass sie als erste Ergebnisse auftauchen, wenn man "Shiny Flakes Anwalt" oder "Shiny Flakes Strafverfahren" in die Suchmaschine eintippt. Eine Suche zeigt ebenfalls, dass mehrere deutsche Kanzleien speziell ihre Websites mit dem Begriff "Shiny Flakes" für Google-Suchen optimiert haben.
Laut dem Düsseldorfer Anwalt Hanitsch können die Ermittlungen gegen Käufer noch eine Weile dauern. In Deutschland gilt das Legalitätsprinzip, nach dem die Staatsanwaltschaft verpflichtet ist, ihr zur Kenntnis gelangte Straftaten zu verfolgen und bei hinreichendem Tatverdacht Anklage zu erheben. Übersetzt hieße dies: Jeder Krümel Haschisch, der bei Shiny Flakes bestellt wurde, müsste verfolgt werden.
Doch trifft dieses Prinzip nicht selten auf eine alternative Wirklichkeit: Viele Betäubungsmittel-Dezernate in der Staatsanwaltschaft seien heillos überfordert, sagt Hanitsch. Viele der rund 200 Staatsanwälte in Nordrhein-Westfalen, die im BtM-Bereich arbeiten, habe Dutzende offene Verfahren gleichzeitig laufen, so der Anwalt. Zahlreiche Drogen-Dezernenten "ertrinken in Arbeit".
Bei geringen Mengen jedoch kann es offenbar auch mal schnell gehen. Zwei von Hanitschs Mandanten seien innerhalb eines Verhandlungstags abgeurteilt worden, so der Anwalt. Bestellt hätten sie jeweils nur wenige Pillen Ecstasy und ein Gramm Speed, beide seien mit einer Geldstrafe davongekommen.
Das Legalitätsprinzip, dass die Behörden faktisch zur Verfolgung auch geringer Bestellmengen zwingt, kennt aber auch Ausnahmen. Die wichtigste: eine Verjährung nach Paragraph 78 Strafgesetzbuch. Bei einer geringen Menge liegt sie bei drei Jahren. Wer also vor Oktober 2014 bestellt hat und noch keine Post vom Staatsanwalt bekommen hat, könnte mit etwas Glück ungeschoren davon kommen.
Quelle: Motherboard.vice.com
