Wie Kryptohandy-Nutzer identifiziert wurden: dokumentierte Fälle aus EncroChat, Sky ECC, ANOM, Exclu und MATRIX

Seit 2016 wurden neun Anbieter verschlüsselter Mobiltelefone von Strafverfolgungsbehörden übernommen, abgeschaltet oder von Anfang an selbst betrieben. Die Verfahren, die daraus entstanden sind, beantworten eine Frage, die sonst kaum jemand belegen kann: Woran erkennt man eigentlich, wer hinter einer anonymen Kennung steckt?

Diese Seite sammelt dokumentierte Zuordnungen aus diesen Verfahren. Ein einzelnes niederländisches Urteil aus dem Jahr 2024 beschreibt allein für sechs Beschuldigte, welche Merkmale zur Zuordnung ihrer EncroChat- und Exclu-Konten führten – von einem Anbau am eigenen Haus über eine Bordkarte im Auto bis zu einer wortgleichen Mitteilung auf Facebook. Nicht die Rechtsfragen und nicht die Urteilshöhen stehen im Mittelpunkt, sondern der jeweils öffentlich dokumentierte Zuordnungsweg, der zur Identifizierung, Verknüpfung oder Bestätigung beigetragen hat. Für jede Zeile ist die Fundstelle angegeben.

Über diese Auswertung

Die neun dokumentierten Kryptohandy-Operationen

Die Dienste unterscheiden sich technisch, im Umfang und vor allem im Zugangsweg der Behörden. Diese Unterschiede sind wichtig, weil sie regelmäßig eingeebnet werden. ANOM war keine Übernahme eines bestehenden Anbieters, sondern eine von Behörden selbst aufgebaute Plattform. Bei Ghost lief der Zugang über eine Aktualisierung der Geräte, bei Ennetcom über beschlagnahmte Server samt hinterlegter Schlüssel.

Zusammenstellung alarm.de auf Grundlage der Darstellungen von Europol, Eurojust, der niederländischen Staatsanwaltschaft sowie der Übersicht der Kryptophone-Operationen von J.-J. Oerlemans. Angaben zu Nutzer- und Nachrichtenzahlen sind Schätzungen der jeweiligen Behörden.

Der Datensatz: dokumentierte Zuordnungen

Die folgende Übersicht enthält 48 dokumentierte Zuordnungsmerkmale aus 26 eigenständigen Fallkomplexen, jedes mit einer stabilen Kennung und einem direkt anklickbaren Einzelbeleg. Namen von Beteiligten sind bewusst nicht aufgeführt; es geht um den Mechanismus, nicht um die Person.

← Tabelle seitlich scrollen →

Eigene Auswertung alarm.de. Die Tabelle gibt ausschließlich wieder, welche Zuordnungsmerkmale in der jeweils verlinkten Quelle beschrieben werden. Sie enthält keine Bewertung der Verfahren und keine Aussage über Schuld oder Unschuld.

Die Dienste im Einzelnen

Die Tabelle oben fasst zusammen, was sich in Zeilen fassen lässt. Für die Einordnung einzelner Verfahren ist aber wichtig, worin sich die Dienste unterscheiden – technisch, im Geschäftsmodell und vor allem im Weg, auf dem die Behörden an die Daten kamen. Diese Unterschiede werden in der öffentlichen Diskussion regelmäßig eingeebnet, obwohl sie rechtlich und tatsächlich erheblich sind.

Ennetcom

Ein niederländischer Anbieter verschlüsselter Kommunikation auf BlackBerry-Geräten. Sichergestellt wurden rund sechs Terabyte Daten von einem Server in den Niederlanden und einem Server in Toronto; die kanadische Polizei kopierte die Daten, ein kanadisches Gericht stellte den Datensatz nach einem Rechtshilfeersuchen den niederländischen Behörden zur Verfügung. Nach Auswertung enthielten die Kopien 3,7 Millionen Nachrichten und 193.000 Notizen. Entscheidend für unser Thema: Auf dem Server lagen auch die privaten Schlüssel der Kunden. Der Anbieter verwahrte also genau das Material, dessen Alleinbesitz das ganze Sicherheitsversprechen ausgemacht hätte.

PGP Safe

Markenname für ein Kryptotelefon auf BlackBerry-Basis. Nach einem Rechtshilfeersuchen wurde ein Rechenzentrum in Costa Rica durchsucht. Die Infrastruktur befand sich in zwei Serverschränken; untersucht wurde der seit 2012 angemietete. Priorität hatten beim Sichern die virtuellen Maschinen mit kryptografischem Schlüsselmaterial und die mit den Nachrichten. Von 700.000 gesicherten Nachrichten waren zum damaligen Zeitpunkt rund 337.000 lesbar. Die Ermittlungen richteten sich zunächst auf die Wiederverkäufer, nicht auf die Nutzer.

IronChat

Eine Anwendung auf Wileyfox- oder Samsung-Geräten. Kamera, Mikrofon und WLAN waren technisch nicht nutzbar, die Verschlüsselung lief über das Off-the-Record-Protokoll, und einzelne Chats oder der gesamte Geräteinhalt ließen sich auf Kommando löschen. Der Server stand in Großbritannien. Über eine Europäische Ermittlungsanordnung erhielt das Ermittlungsteam eine Kopie des Servers; von Anfang Oktober bis Anfang November 2018 wurde live abgefangen und entschlüsselt. Gesichert wurden 258.000 Nachrichten. Bemerkenswert am Zugangsweg: Die Ermittler stießen auf den Dienst über die Lieferkette, nachdem sie in einem Geldwäscheverfahren zunächst einen Lieferanten der Geräte identifiziert hatten.

EncroChat

Modifizierte Android-Geräte mit vorinstallierter Anwendung und Abonnement. Beworben wurde nach der Darstellung von Eurojust und Europol vollständige Anonymität: keine Zuordnung von Gerät oder SIM-Karte zum Konto, Erwerb unter Bedingungen, die eine Rückverfolgung ausschließen sollten, ein zweites verstecktes Betriebssystem, entfernte Kamera, Mikrofon, Ortung und USB-Anschluss. Dazu kamen automatische Löschung beim Empfänger, ein eigener Code zum sofortigen Löschen aller Daten und die Möglichkeit, das Gerät aus der Ferne durch den Wiederverkäufer löschen zu lassen. Geschätzt wurden weltweit 55.000 bis 60.000 Geräte, davon rund 12.000 in den Niederlanden und rund 3.000 in Frankreich. Die französischen Behörden sammelten von April bis Juni 2020 Daten; gesichert wurden rund 115 Millionen Nachrichten. Am 13. Juni 2020 bemerkte das Unternehmen den Zugriff und warnte alle Nutzer mit dem Rat, die Telefone sofort wegzuwerfen.

Sky ECC

Der Dienst lief als vorinstallierte Anwendung auf iPhone-, Google-Pixel-, BlackBerry- und Nokia-Geräten, versteckt hinter einem harmlosen Symbol; Kamera, Mikrofon und Ortung waren deaktiviert. Das Unternehmen garantierte, gespeicherte Nachrichten auf Zuruf aus der Ferne zu löschen, falls ein Gerät beschlagnahmt wird. 2021 hatte der Anbieter weltweit rund 170.000 Nutzer. Gesichert wurden nach Darstellung der Behörden rund eine Milliarde Nachrichten, von denen etwa 500 Millionen entschlüsselt werden konnten.

Wie der Zugriff technisch ablief – nach der vom OLG Wien wiedergegebenen Aktenlage

Für Sky ECC liegt eine ungewöhnlich präzise gerichtliche Beschreibung des Vorgehens vor. Das Oberlandesgericht Wien hat den Ablauf in einem Beschluss vom 11. März 2025 auf Grundlage der Aktenlage wie folgt festgestellt:

1. Überwachung zwischen den Servern. Im Zuge der 2019 von französischen Behörden eingeleiteten Ermittlungen wurde im Rechenzentrum eines Unternehmens in Frankreich auf zwei von Sky ECC genutzten Servern ein sogenannter IP-Tap installiert, der den Datenverkehr zwischen den Servern überwachte. Dieser Datenverkehr war zu diesem Zeitpunkt weiterhin verschlüsselt.
2. Kopie des Arbeitsspeichers. Bei einer mit französischen Genehmigungen durchgeführten Durchsuchung im selben Rechenzentrum wurden Kopien der Arbeitsspeicher der Server erstellt. Dadurch wurde ein Verschlüsselungszertifikat erlangt.
3. Der Mittelsmann-Server. Mit diesem Zertifikat entwickelten französische, belgische und niederländische Behörden eine Entschlüsselungsmethode. Mit Genehmigung des zuständigen französischen Gremiums vom 12. November 2020 wurde in einem Rechenzentrum ein Server installiert, der den gesamten über die Sky-ECC-Server abgewickelten verschlüsselten Datenverkehr empfing.
4. Die unsichtbare Push-Nachricht. Dieser Server sendete an das jeweilige Empfängertelefon eine für den Nutzer unsichtbare Push-Nachricht. Ihr Zweck war, das Gerät zu einer Reaktion und damit zur Freigabe genau der Verschlüsselungselemente zu veranlassen, die für die Entschlüsselung der empfangenen Nachrichten nötig waren.
5. Der Stichtag. Nach Verbindung dieses Systems im Rechenzentrum am 18. Dezember 2020 konnte die über Sky ECC abgewickelte Kommunikation gespeichert und entschlüsselt werden. Im März 2021 wurden die von Sky ECC genutzten Server in Frankreich zusätzlich sichergestellt.

Für die Frage, was ein Nutzer beeinflussen kann, ist das die aufschlussreichste Passage in dieser ganzen Auswertung. Weder das Verhalten noch die Geräteeinstellungen der Betroffenen spielten hier eine Rolle. Der entscheidende Ansatzpunkt lag damit bei der Infrastruktur und dem Kommunikationsprotokoll des Dienstes, nicht bei einer vom Nutzer installierten Schadsoftware. Das Gericht hält im Übrigen ausdrücklich fest, dass für die konkret betroffenen Überwachungsergebnisse nicht feststand, ob sie über den Mitschnitt zwischen den Servern oder über die spätere Sicherstellung der Server gewonnen wurden.

ANOM

Der einzige Fall in dieser Übersicht, der keine Übernahme eines bestehenden Anbieters war. Die Plattform wurde von Strafverfolgungsbehörden selbst aufgebaut und betrieben, nachdem mit dem Ende eines anderen Anbieters eine Lücke im Markt entstanden war. Ein früherer Beteiligter arbeitete mit den Behörden zusammen. Nach der FBI-Darstellung wurde ein Master-Key in das bestehende Verschlüsselungssystem eingebaut und unbemerkt an jede Nachricht angehängt. Für Geräte außerhalb der USA wurde zusätzlich eine verschlüsselte Blindkopie der Nachricht an einen Server in einem Drittland geleitet, dort verarbeitet und schließlich für die Ermittler zugänglich gemacht. Ein drittes Land erteilte im Oktober 2019 die dafür nötige richterliche Ermächtigung. Katalogisiert wurden über 20 Millionen Nachrichten von 11.800 Geräten aus rund 90 Ländern; insgesamt spricht die Darstellung von 27 Millionen abgefangenen Nachrichten. Die fünf am stärksten vertretenen Länder waren Deutschland, die Niederlande, Spanien, Australien und Serbien. Die Geräte hatten zwei Zugangscodes: einer öffnete ein normal aussehendes Telefon, ein zweiter, versteckt hinter einem harmlosen Symbol, den verschlüsselten Dienst.

Exclu

Eine eigene Anwendung für Nachrichten, Fotos, Notizen, Sprachmemos, Chatverläufe und Videos. Der Dienst war klein: geschätzt 3.000 Nutzer, davon rund 750 niederländischsprachig. Der Server stand bei einem deutschen Anbieter und wurde nach einem Ersuchen aus den Niederlanden durch die deutschen Behörden angegriffen; die niederländische Polizei analysierte die verwendete Verschlüsselung und machte sie rückgängig. Ab August 2022 lag eine richterliche Ermächtigung vor, fünfmal verlängert. Über fünf Monate konnten Nachrichten mitgelesen werden. Zwei Untersuchungen liefen parallel: eine gegen Betreiber und Verwalter des Dienstes, eine gegen die Nutzer.

Ghost

Die Anwendung bot drei wählbare Verschlüsselungsstandards und eine Funktion, mit der sich Nachrichten auf dem Gerät durch das Senden eines Codes vernichten ließen. Der Dienst hatte nur einige tausend Nutzer und lief auf eigener Infrastruktur in mehreren Ländern. Die australischen Behörden spielten den Geräten über eine Aktualisierung eine Software auf und erhielten so Zugang zu den Daten auf den Telefonen. Zu den einzelnen Zuordnungen ist bislang wenig veröffentlicht; deshalb steht dieser Dienst in der Falltabelle oben nicht.

MATRIX

Von den Behörden als Nachfolger der zerschlagenen Dienste eingeordnet. MATRIX bot ein ganzes Anwendungspaket an, darunter Telefonie und Videotelefonie, das Führen von Transaktionen und anonymisiertes Surfen, überwiegend auf Google-Pixel-Geräten. Mindestens 8.000 Nutzer weltweit, über 40 Server in mehreren Ländern, die wichtigsten in Frankreich und Deutschland; gesteuert wurde der Dienst aus Spanien. Über mehrere Monate wurden 2,3 Millionen Nachrichten abgefangen. Der Einstieg der Ermittler ist für unser Thema besonders aufschlussreich: Der Dienst wurde überhaupt erst entdeckt, weil die Anwendung auf einem beschlagnahmten Telefon in einem Mordverfahren gefunden wurde. Ein einzelnes Endgerät legte damit die Existenz einer kompletten Infrastruktur offen.

Wiederkehrende Zuordnungswege in den ausgewerteten Verfahren

In den ausgewerteten Entscheidungen tauchen bestimmte Zuordnungswege wiederholt auf. Sie bilden keinen allgemeinen Ermittlungsablauf ab: Die Verfahren unterscheiden sich in Rechtsgrundlage, Umfang und Reihenfolge erheblich, und mehrere der hier beschriebenen Elemente sind für einen einzelnen Dienst typisch, nicht für alle. Die folgende Reihenfolge ist deshalb eine Ordnungshilfe, keine Behauptung über den tatsächlichen Ablauf in jedem Verfahren.

Auswahl über Suchbegriffe statt über Personen

In der Exclu-Operation begann die Auswertung nicht bei einer Person, sondern bei einem Suchbegriff: Chats durften mitgelesen werden, wenn sie Wörter aus vorab festgelegten Listen enthielten. Dieses Verfahren ist für Exclu dokumentiert und lässt sich nicht ohne Weiteres auf die anderen Operationen übertragen. Der erste dokumentierte Treffer entstand über ein Wortfragment für Stempel, weil Kokainblöcke mit einem eingeprägten Logo versehen werden. Erst danach begann die Suche nach der Person hinter dem Konto. Wer eine bestimmte Vokabel benutzt, landet also in einer Auswahl, bevor irgendjemand weiß, wer er ist.

Das Konto als Ausgangspunkt

Die ausgewerteten Dienste arbeiteten mit internen Kennungen beziehungsweise Kontobezeichnungen. Deren Form unterschied sich je nach System. Bei Exclu war das eine fünfstellige Nummer, an der zusätzlich ein Spitzname hing. Bei EncroChat waren es zweiteilige Nutzernamen, bei Sky ECC eine Kennung, die in einzelnen Verfahren einem polizeilich bereits bekannten Spitznamen ähnelte. Diese Kennung ist zunächst leer. Sie füllt sich mit allem, was der Nutzer im Lauf der Zeit selbst hineinschreibt.

Metadaten als Anker

Funkmast, WLAN-Netz, IP-Adresse, Gerätekennung, Zeitpunkt. Viele dieser Daten entstehen während des normalen Betriebs automatisch oder als Begleitdaten der Nutzung; in mehreren Verfahren waren sie der erste Anhaltspunkt. In einem Exclu-Verfahren führte eine häufig genutzte feste IP-Adresse über eine behördliche Abfrage direkt zur Meldeadresse. In britischen EncroChat-Verfahren wurden Kennungen mit WLAN-Netzen und Funkmasten verknüpft.

Inhalte als Bestätigung

Inhalte spielen in mehreren Verfahren nicht als Beweis der Tat eine Rolle, sondern als Beweis der Identität. Fotos mit erkennbaren Details, Selfies, Angaben zu Angehörigen, Fahrzeugen, Orten und Terminen. In einem niederländischen Verfahren stimmte eine Badezimmerfliese auf einem Foto mit der Wohnung des Beschuldigten überein.

Abgleich mit vorhandenen Datenbeständen

Gewonnene Anhaltspunkte werden mit Beständen abgeglichen, die ohnehin existieren: Melderegister, Halter- und Versicherungsdaten, Observationsergebnisse, Kennzeichenerfassung, frühere Verfahren. In einem britischen Fall bestätigte eine Abfrage der Versicherungsunterlagen genau die Fahrzeugkonstellation, die der Nutzer im Chat beiläufig erwähnt hatte.

Auswahl- und Ermittlungsmerkmale vor der Identifizierung

Nicht jede in einem Verfahren beschriebene Spur ordnet eine Person zu. Manche bringen ein Konto überhaupt erst in den Blick, andere beschreiben nur, welche Daten den Behörden zur Verfügung standen. Diese Einträge stehen deshalb außerhalb der Haupttabelle. Sie sind für das Verständnis wichtig, weil sie zeigen, wo eine Auswertung ansetzt – aber sie sind keine Deanonymisierung.

← Tabelle seitlich scrollen →

Diese Einträge stehen bewusst getrennt: Sie beschreiben, wie ein Konto überhaupt in den Blick geriet oder welche Daten zur Verfügung standen. Eine Person wurde damit noch nicht zugeordnet.

Kategorien der Identifizierung

Ordnet man die dokumentierten Zuordnungen nach ihrem Ansatzpunkt, ergeben sich acht Kategorien. Sie unterscheiden sich vor allem darin, wie viel Einfluss eine betroffene Person darauf hat: Metadaten fallen technisch an, während ein Teil der übrigen Kategorien auf Informationen beruht, die die Betroffenen selbst geliefert haben. Die Verteilung innerhalb dieser Sammlung ist kein Abbild der Praxis, sondern der Veröffentlichungspraxis der Gerichte.

Die wichtigsten Erkenntnisse

1. Verschlüsselung und Anonymität sind zwei verschiedene Probleme. In keiner der hier ausgewerteten Zuordnungen war die Stärke des Verschlüsselungsverfahrens der entscheidende Punkt. Gearbeitet wurde an den Rändern des Systems: an der Infrastruktur, am Endgerät und am Verhalten der Nutzer.
2. Bildbezogene und selbst preisgegebene Merkmale kommen in dieser Sammlung besonders oft vor. Vom Selfie über Fingerlinien bis zur einzelnen Fliese im Hintergrund; in mehreren Fällen war nicht das Motiv ausschlaggebend, sondern ein Detail am Bildrand. Ebenfalls mehrfach dokumentiert sind beiläufige Angaben zu Reisen, Fahrzeugen, Terminen und Angehörigen. Weil die Auswahl nicht repräsentativ ist, lässt sich daraus keine Aussage über die Häufigkeit in allen Verfahren ableiten.
3. In mehreren dokumentierten Zuordnungen verhinderte ein zweites Gerät die Identifizierung nicht, weil Bewegungs- und Verbindungsdaten mit einem regulären Telefon übereinstimmten. Mehrfach wurden verschlüsseltes und reguläres Telefon über gemeinsame Funkzellen, gemeinsame Wege und gemeinsame Zeiten zusammengeführt, ohne dass ein Inhalt gelesen werden musste.
4. Mehrere einzeln harmlose Angaben können zusammen eindeutig werden. Restaurant und Sportverein ergaben zwei Namenslisten mit genau einer Schnittmenge. Fahrzeugmodell und Versicherungsnehmer ergaben zusammen mit einem Registerabgleich eine Person.
5. Wiederverwendete Kennungen verbinden getrennte Plattformen über Jahre. In den Marktplatzverfahren war eine Kennung aus dem Vorleben des Betreibers der Ansatzpunkt. Ein Pseudonym wirkt nur so lange, wie es nirgendwo sonst existiert.
6. Das soziale Umfeld kann eine Person identifizieren, die selbst keinen Namen nennt. Ein Foto eines öffentlich bekannten Angehörigen, genannte Verwandte mit Adressen und ein großer Kontaktkreis waren jeweils eigenständige Zuordnungswege.
7. Der Wechsel des Kontos ist selbst ein Zuordnungsmerkmal. In drei voneinander unabhängigen Verfahren stellten die Nutzer die Verbindung zwischen altem und neuem Konto selbst her, indem sie ihren Kontakten die neue Kennung ankündigten. In einem Fall reichte diese Kette über drei Konten und zwei verschiedene Dienste hinweg – einschließlich der Warnung an die Kontakte, die Polizei lese mit. Ein Neuanfang, der beim alten Kontaktkreis angemeldet wird, ist kein Neuanfang.
8. Vertrauen in das Werkzeug führt zu offener Sprache. In einer österreichischen Entscheidung wurde eine besonders offene und nicht codierte Kommunikation dokumentiert; deshalb ließen sich die Abläufe umfangreich und detailliert rekonstruieren. Ein als sicher empfundener Kanal kann zu offenerer Kommunikation beitragen; aus diesem Einzelfall lässt sich daraus jedoch kein allgemeiner Effekt ableiten.
9. Angekündigte Vorhaben lassen sich mit dem zweiten Telefon abgleichen. In mehreren Zuordnungen genügte es, dass ein Nutzer im verschlüsselten Chat eine Reise, einen Termin oder einen Ausflug ankündigte. Die Verkehrsdaten des regulären Telefons zeigten anschließend genau diese Bewegung. Es musste dafür keine Nachricht gelesen werden, die etwas über die Person selbst sagte.
10. Eine Suche kann statt bei einer bereits bekannten Person auch bei einem Merkmal oder Suchbegriff beginnen. In der Exclu-Operation entstand der erste Treffer über eine vorab festgelegte Wortliste. Wer eine bestimmte Vokabel benutzt, landet in einer Auswahl, bevor irgendjemand weiß, wer er ist.

Der rechtliche Rahmen der Verwertung

Für die Einordnung der Fälle ist wichtig, unter welchen Bedingungen die Daten überhaupt in Verfahren verwendet werden dürfen. Das ist nicht Gegenstand dieser Auswertung, prägt aber, was in den Entscheidungen überhaupt beschrieben wird – und damit, was hier dokumentierbar ist.

Das Vertrauen zwischen Staaten

Der niederländische Hoge Raad hat 2023 entschieden, dass es nicht Aufgabe des nationalen Strafrichters ist, zu prüfen, ob eine unter Verantwortung ausländischer Behörden durchgeführte Untersuchung den dort geltenden Rechtsregeln entspricht. Die zugrunde liegenden Entscheidungen der ausländischen Stellen werden respektiert, und es wird von rechtmäßiger Durchführung ausgegangen. Anders liegt es nur, wenn im betreffenden Land unanfechtbar feststeht, dass die Untersuchung nicht regelkonform war. Aus demselben Grundsatz folgt: Allein dass Beamte eines Landes bei einer Maßnahme anwesend sein durften oder technische Unterstützung geleistet haben, macht die Maßnahme noch nicht zu einer eigenen.

Ein Datensatz oder mehrere Beweismittel?

Eine wiederkehrende Streitfrage ist, ob ein Verfahren allein auf Chatnachrichten gestützt werden darf. Nach niederländischem Recht gelten solche Nachrichten als andere Schriftstücke, die nur im Zusammenhang mit weiteren Beweismitteln gelten können. Die Rechtsprechung stellt dabei keine hohen Anforderungen: Eine Nachricht kann ihre Stütze auch in einer weiteren Nachricht desselben Datensatzes finden. In der Praxis ziehen die Gerichte trotzdem regelmäßig zusätzliche Quellen heran – beschlagnahmte Geräte, Verbindungsdaten, Kameraaufnahmen, Observationen. Genau diese Zusatzquellen sind für unsere Fragestellung die interessanten, weil dort die Zuordnung zur Person beschrieben wird.

Verbindungsdaten und die Grenzen der Abfrage

Der Europäische Gerichtshof verlangt für den Zugang zu entsprechend aussagekräftigen Verkehrs- und Standortdaten grundsätzlich eine vorherige Kontrolle durch ein Gericht oder eine unabhängige Verwaltungsstelle. In einem niederländischen Verfahren stellte das Gericht fest, dass diese Prüfung bei der Abfrage historischer Verkehrsdaten eines Telefons unterblieben war, sah darin einen Formfehler, verband damit aber keine Folge, weil die Daten für den Tatnachweis nicht verwendet worden waren.

Die Auswertung beschlagnahmter Telefone

Für die Untersuchung eines sichergestellten Smartphones gilt in den Niederlanden eine gestufte Zuständigkeit: Bei absehbar geringem Eingriff darf ein Ermittler selbst tätig werden, bei mehr als geringem Eingriff die Staatsanwaltschaft, bei sehr weitgehendem Eingriff nur mit richterlicher Zustimmung. Ein Gericht hat 2025 im Licht einer Entscheidung des Europäischen Gerichtshofs festgestellt, dass die vollständige automatisierte Auslesung eines Telefons einen sehr schwerwiegenden Eingriff in Grundrechte darstellt – begründet unter anderem damit, dass dabei Fotos zum Familienleben, Notizen zu einer schweren Erkrankung eines Angehörigen, Reisedaten und der gesamte Browserverlauf sichtbar wurden. Für unser Thema ist daran vor allem eines bemerkenswert: Es ist die gerichtliche Beschreibung dessen, was ein durchschnittliches Telefon über einen Menschen aussagt.

Was sich daraus außerhalb der Strafverfolgung ableiten lässt

Diese Auswertung beschreibt Ermittlungsverfahren. Der Grund, sie zu führen, liegt aber außerhalb davon. Ein Teil der hier sichtbaren Mechanismen kann auch von privaten Akteuren genutzt werden – etwa wiederverwendete Kennungen, Bilder, öffentlich zugängliche Angaben, soziale Beziehungen oder Datenlecks. Andere Zuordnungswege, darunter Verkehrsdatenauskünfte, Infrastrukturzugriffe und bestimmte forensische Maßnahmen, setzen besondere rechtliche und technische Befugnisse voraus.

Vier Beobachtungen sind übertragbar:

1. Die Auswahl kann bei einem Merkmal statt bei einer bereits bekannten Person beginnen. Ein Suchwort, eine Gruppenmitgliedschaft, eine Wallet-Adresse, ein Datenleck. Wer in einer solchen Menge auftaucht, ist noch nicht identifiziert, aber ausgewählt.
2. Metadaten können einen Anker liefern; Inhalte können eine Zuordnung ergänzen oder bestätigen. Für die Zuordnung braucht es meist keinen Klarnamen, sondern eine Übereinstimmung: gleiche IP-Adresse, gleiches Zeitfenster, gleiche Umgebung im Bild.
3. Der Abgleich mit vorhandenen Datenbeständen kann eine Zuordnung herstellen oder bestätigen. Behörden nutzen Melde- und Halterdaten; private Akteure nutzen Datenhändler, Personensuchdienste, öffentliche Register und geleakte Datensätze. Das Prinzip ist dasselbe.
4. Das Umfeld ist Teil der Angriffsfläche. Angehörige im Bild, genannte Namen, gemeinsame Kontakte. Mehrere dokumentierte Zuordnungen liefen ausschließlich über Dritte.

Daraus folgt keine Handlungsanleitung für diese Seite – sie ist bewusst keine Ratgeberseite. Sie liefert die Belege, auf die sich eine solche Anleitung stützen kann.

Grenzen dieser Auswertung

Die Sammlung ist nicht repräsentativ. Sie enthält nur Fälle, in denen der Identifizierungsweg öffentlich beschrieben wurde. Genau diese Beschreibung ist die Ausnahme: In vielen veröffentlichten Entscheidungen wird lediglich mitgeteilt, dass eine Zuordnung erfolgt ist, ohne den Identifizierungsweg ausführlich zu beschreiben. Aus der Häufigkeit einer Kategorie in dieser Tabelle lässt sich deshalb nicht ableiten, wie häufig sie in der Praxis tatsächlich ist.

Hinzu kommt eine sprachliche und geografische Schieflage. Niederländische Gerichte veröffentlichen ihre Entscheidungen umfangreich und beschreiben die Beweisführung ausführlich; deutsche Entscheidungen sind in dieser Hinsicht deutlich zurückhaltender. Britische Zuordnungen sind überwiegend über Behördenmitteilungen dokumentiert, nicht über Urteilstexte. Die Verteilung in der Tabelle bildet also auch die Veröffentlichungspraxis ab.

Eine veröffentlichte Gerichtsentscheidung bildet regelmäßig nur einen Ausschnitt der gesamten Ermittlung ab und konzentriert sich auf die für die jeweilige Entscheidung relevanten Tatsachen und Beweismittel. Welche Ermittlungsansätze davor gescheitert sind oder parallel liefen, steht dort in aller Regel nicht.

Zitierhinweis

Stand und Änderungsprotokoll

Diese Seite wird laufend ergänzt, sobald neue Entscheidungen erscheinen, in denen ein Identifizierungsweg beschrieben ist. Jede Änderung wird hier mit Datum und Inhalt festgehalten.

• 2. September 2026 – Erstfassung. Übersicht der neun Kryptohandy-Operationen, 48 Zuordnungsmerkmale aus 26 Fallkomplexen und 3 getrennt ausgewiesene Auswahl- und Ermittlungsmerkmale, jeweils mit Kennung und Einzelbeleg, acht Kategorien, zehn Befunde.
• 2. September 2026 – Erweiterung. Aufnahme der gerichtlich dokumentierten Sky-ECC-Zuordnung aus dem Beschluss des OLG Wien vom 11. März 2025 sowie von siebzehn EncroChat- und Exclu-Zuordnungen aus dem Urteil der Rechtbank Gelderland vom 4. Juli 2024. Zählweise auf Merkmale und Fallkomplexe umgestellt.
• 2. September 2026 – Zweite Erweiterung. Aufnahme der ANOM- und Sky-ECC-Zuordnungen aus dem Beschluss des OLG Wien vom 15. Dezember 2025 (Geburtstag und Lebensalter, Selfie mit Abgleich gegen ein erkennungsdienstliches Lichtbild, Sprachaufnahmen und Reisepassfoto, selbst angekündigter Kennungswechsel).
• 2. September 2026 – Dritte Erweiterung. Aufnahme von sechs plattformübergreifenden Zuordnungen aus dem Urteil der Rechtbank Noord-Holland vom 31. Oktober 2023 (Wohnadresse, Todesfall in der Familie, selbst angekündigte Kontenkette, wiederverwendete Rufnummer, Profilbild mit Vereinslogo bei einem gewöhnlichen Messenger, Foto im Vereins-T-Shirt). Damit sind alle bis dahin offenen Punkte geprüft; der Abschnitt „Offene Punkte“ entfällt.
• 3. September 2026 – Endprüfung. Methodische und technische Kontrolle: Plattformzählung auf eigenständige Dienste umgestellt, Fallkomplexe, Quellen- und Befundzahlen gegengerechnet, technische Einordnungen und Sprachkorrekturen geprüft.

Häufige Fragen

Was ist ein Kryptohandy?

Als Kryptohandy oder Kryptotelefon werden Mobiltelefone bezeichnet, die von einem Anbieter für verschlüsselte Kommunikation vorbereitet wurden. Typisch waren eine eigene verschlüsselte Kommunikationsanwendung beziehungsweise eine geschlossene Kommunikationsinfrastruktur, entfernte oder deaktivierte Kamera, Mikrofon und Ortung sowie eine Funktion zum schnellen Löschen des Geräteinhalts. Die Geräte wurden über Wiederverkäufer und im Abonnement vertrieben.

Wurden die Nutzer über gebrochene Verschlüsselung identifiziert?

Nach den hier ausgewerteten Darstellungen nicht. Die Zugänge liefen über die Infrastruktur der Anbieter, über beschlagnahmte Endgeräte oder über von Behörden selbst betriebene Plattformen. Die anschließende Zuordnung einer Kennung zu einer realen Person stützte sich je nach Fall auf Metadaten, Kommunikationsinhalte, Endgeräte, Umfeldinformationen und Abgleiche mit bereits vorhandenen Datenbeständen.

Welche Kryptohandy-Operationen sind bislang bekannt?

Öffentlich dokumentiert sind Ennetcom, PGP Safe, IronChat, EncroChat, Sky ECC, ANOM, Exclu, Ghost und MATRIX. Sie unterscheiden sich technisch und rechtlich erheblich. ANOM war keine Übernahme eines bestehenden Dienstes, sondern eine von Strafverfolgungsbehörden selbst betriebene Plattform.

Darf ich diese Auswertung zitieren?

Ja. Die Übersicht darf unter Angabe der Quelle zitiert und verlinkt werden. Es gibt keine Bezahlschranke, keine Anmeldung und keinen Zwang zu einem Download. Für jede Zeile ist die Fundstelle angegeben, damit sie unabhängig geprüft werden kann.

Wie zähle ich diesen Datensatz richtig?

Eine Tabellenzeile ist ein Zuordnungsmerkmal, kein Fall. Mehrere Zeilen können dieselbe Person oder denselben Kontenkomplex betreffen, weil eine Gerichtsentscheidung oft mehrere Merkmale für dieselbe Zuordnung nennt. Wir weisen deshalb beide Zahlen getrennt aus: die Zahl der Merkmale und die Zahl der eigenständigen Fallkomplexe. Für ein Zitat sollte immer klar sein, welche der beiden gemeint ist.

Was leistet diese Auswertung nicht?

Sie bewertet keine Strafverfahren, prüft keine Rechtmäßigkeitsfragen und trifft keine Aussagen über Schuld oder Unschuld einzelner Personen. Sie sammelt ausschließlich, welche Information nach der jeweiligen Darstellung zur Zuordnung beigetragen hat, und leitet daraus allgemeine Risiken für Privatsphäre und Pseudonymität ab.

Quellen

Weiterlesen

Was die hier dokumentierten Fälle für Menschen bedeuten, die nie ein Kryptohandy in der Hand hatten, ordnet unser Beitrag EncroChat: was der Hack über deine Privatsphäre verrät ein.

Die systematische Schutzperspektive dazu steht im OPSEC-Leitfaden: Privatsphäre schützen und digitale Spuren vermeiden.

Diese Auswertung dient der Information zu digitaler Privatsphäre und Datenschutz. Sie bewertet keine Strafverfahren, trifft keine Aussagen über Schuld oder Unschuld einzelner Personen und ersetzt keine Rechtsberatung.