Warum die Polizei Kriminellen technisch immer hinterherläuft

Polizei und Ermittlungsbehörden laufen Kriminellen technisch nicht buchstäblich immer hinterher. Die Überschrift ist bewusst zugespitzt: In schnelllebigen Bereichen des Cybercrime können Täter neue Werkzeuge häufig schneller einsetzen, während Ermittler an Recht, Zuständigkeiten und Beweissicherung gebunden sind. Dieser Beitrag erklärt, wie dieser zeitliche Vorteil entsteht, wo Ermittler inzwischen stark sind, was neue EU-Instrumente, Verschlüsselung und KI-Betrug daran ändern – und was Bürger und Unternehmen deshalb selbst tun müssen.

Wie stark KI die Angriffsseite verändert, zeigt unsere Übersicht der aktuellen Maschen.

KI-Betrug: die nächste Evolutionsstufe des CybercrimeMaschen, Warnsignale und was im Ernstfall zu tun ist

Eine Schwachstelle kann reichen – Ermittler müssen Beweise rechtmäßig sichern

Neue Technologien schaffen neben legitimen Anwendungen häufig auch neue Missbrauchsmöglichkeiten, auf die Technik, Nutzer und Regulierung unterschiedlich schnell reagieren. Beim Internet war es so, bei Kryptowährungen und heute bei künstlicher Intelligenz. Unternehmer sehen Möglichkeiten, Nutzer sehen Komfort, Investoren sehen Wachstum – und Kriminelle sehen Angriffsflächen. Das Thema gehört in die Rubrik Sicherheit, weil moderne Sicherheit nicht mehr nur Einbruchschutz bedeutet, sondern genauso Cybercrime, KI-Betrug, digitale Forensik, Identitätsdiebstahl und Datenschutz.

Das Kräfteverhältnis ist ungleich. Für einen erfolgreichen Angriff kann eine einzelne ausnutzbare Schwachstelle genügen: eine unsichere E-Mail, ein unaufmerksamer Mitarbeiter, ein schlecht geschütztes Konto, eine Person, die unter Druck zu schnell reagiert. Ermittler müssen anschließend relevante Spuren rechtmäßig erheben, sichern, dokumentieren und bewerten – und rekonstruieren, was passiert ist: Wer war beteiligt? Wo standen die Server? Welche Zahlungswege wurden genutzt? Welche Daten sind beweiskräftig – und welche dürfen überhaupt verwendet werden?

Kriminelle arbeiten mit Geschwindigkeit, Ermittler zusätzlich mit rechtssicherer Beweissicherung. Das ist der große Unterschied.

Wie das Internet Kriminalität global skalierbar macht

Viele Formen von Online-Betrug und Social Engineering lassen sich grenzüberschreitend mit vergleichsweise geringem zusätzlichem Aufwand auf sehr viele Opfer skalieren; ein Täter kann aus einem anderen Land gleichzeitig sehr viele Menschen erreichen. Andere Cybercrime-Operationen sind dagegen technisch und organisatorisch hochkomplex. Phishing, Fake-Shops, Ransomware, Anlagebetrug, Identitätsdiebstahl und Krypto-Betrug kennen keine Landesgrenzen, und die geografische Eintrittshürde ist niedrig.

Die zuständigen Behörden bleiben national und föderal organisiert; grenzüberschreitende Ermittlungen werden jedoch zunehmend über Europol, Eurojust, gemeinsame Ermittlungsgruppen und EU-Rechtsinstrumente koordiniert. Zuständigkeitsfragen, unterschiedliche Rechtssysteme und die Beschaffung von Beweisen im Ausland kosten trotzdem Zeit, während Täter ihre Infrastruktur innerhalb kurzer Zeit wechseln können. Dieser Zeitunterschied kann grenzüberschreitende Cybercrime-Ermittlungen zusätzlich erschweren.

Warum grenzüberschreitende Ermittlungen trotzdem Zeit kosten

Steht ein Server im Ausland oder liegt ein Konto bei einem ausländischen Anbieter, kann die Staatsanwaltschaft nicht einfach zugreifen. Welcher Weg offensteht, hängt vom Rechtsinstrument, der Ermittlungsmaßnahme und dem Delikt ab – und genau hier hat sich zuletzt einiges bewegt.

• EU-Verordnung über elektronische Beweismittel, anwendbar seit dem 18. August 2026: Eine Europäische Herausgabeanordnung kann bei Diensteanbietern gespeicherte elektronische Beweise über deren benannte Niederlassung oder gesetzlichen Vertreter in einem anderen teilnehmenden Mitgliedstaat anfordern – Dänemark ist nicht gebunden; auf den physischen Speicherort der Daten kommt es nicht an. Die Voraussetzungen hängen von der Datenkategorie ab: Teilnehmer- und reine Identifizierungsdaten können grundsätzlich bei allen Straftaten angefordert werden, für Verkehrs- und Inhaltsdaten gelten strengere Anforderungen, etwa eine Höchststrafe von mindestens drei Jahren oder bestimmte genannte Deliktskategorien. Jede Anordnung muss notwendig und verhältnismäßig sein und im Inland unter vergleichbaren Bedingungen ebenfalls zulässig. Regelfrist sind zehn Tage, in Notfällen acht Stunden. Daneben gibt es die Europäische Sicherungsanordnung, mit der Daten zunächst eingefroren werden.
• Europäische Ermittlungsanordnung: das etablierte Instrument für Ermittlungsmaßnahmen innerhalb der EU. Welche Ablehnungsgründe greifen und ob die Tat auch im anderen Staat strafbar sein muss, richtet sich nach der Richtlinie; für eine Reihe von Deliktskategorien einschließlich Computerkriminalität entfällt diese Prüfung unter den dort genannten Voraussetzungen.
• Klassische Rechtshilfe: bleibt gegenüber vielen Drittstaaten ein wichtiger Weg. Welches Verfahren genutzt werden kann, hängt vom betroffenen Staat, den bestehenden Abkommen, der Datenart und der Ermittlungsmaßnahme ab. Der Fall wird beschrieben, geprüft, übersetzt, weitergeleitet, dort erneut geprüft und schließlich vollstreckt. Das kann dauern – bis dahin können relevante Protokolldaten bereits gelöscht oder überschrieben sein, wenn ihre jeweilige Aufbewahrungsfrist abgelaufen ist.
• Gemeinsame Ermittlungsgruppen: Behörden mehrerer Staaten arbeiten unmittelbar in einem gemeinsamen Ermittlungsrahmen zusammen. Eurojust kann sie insbesondere rechtlich, koordinierend, praktisch und finanziell unterstützen; Europol kann sie mit kriminalpolizeilicher Analyse, Informationsaustausch und operativer Unterstützung begleiten. EncroChat ist ein bekanntes Beispiel.

Entscheidend bleibt in allen Fällen die frühe Sicherung der Daten: Sie kann für den weiteren Ermittlungsverlauf ausschlaggebend sein. Für Betroffene heißt das praktisch: Je früher eine Anzeige mit vollständigen Angaben vorliegt, desto größer die Chance, dass Spuren noch existieren.

EncroChat zeigte beides: Stärke der Ermittler und Tempo der Täter

EncroChat war ein Weckruf. Verschlüsselte Kommunikation galt in kriminellen Netzwerken lange als sicherer Raum; Täter sprachen dort über Drogenhandel, Geldwäsche, Waffen und organisierte Kriminalität im Glauben, unsichtbar zu sein. Dann gelang Ermittlern der Zugriff: Netzwerke wurden sichtbar, Chatverläufe ausgewertet, Verfahren kamen ins Rollen.

Das war ein Erfolg – und zeigte zugleich das Grundproblem. Nach der Kompromittierung solcher Kommunikationsdienste können kriminelle Gruppen auf andere Plattformen und Kommunikationswege ausweichen. Nach EncroChat folgten weitere Fälle nach demselben Muster. Wie sehr solche Verfahren die Gerichte beschäftigen, zeigt unser Beitrag zu EncroChat, Privatsphäre und OPSEC.

Kryptowährungen: Nicht anonym, aber schnell genug für Täter

Kryptowährungen werden oft pauschal als Werkzeug der Kriminalität dargestellt. Das ist zu einfach: Bitcoin, Ethereum und andere digitale Vermögenswerte dienen genauso der Selbstverwahrung, internationalen Zahlungen und finanzieller Unabhängigkeit. Attraktiv für Täter sind sie, weil sie weltweit verfügbar, schnell übertragbar und unabhängig von klassischen Banken sind – bei Ransomware, Anlagebetrug, Fake-Brokern und Erpressung spielen sie deshalb immer wieder eine Rolle.

Der Denkfehler vieler Krimineller: Blockchain bedeutet nicht Anonymität. Transaktionen sind öffentlich nachvollziehbar; Geldflüsse lassen sich analysieren und Adressen mithilfe von Heuristiken und Zusatzdaten miteinander in Beziehung setzen. Solche Zuordnungen können mit Unsicherheiten verbunden sein, und Fehler bleiben dauerhaft sichtbar. Bei regulierten Kryptodienstleistern und vielen zentralisierten Börsen können KYC-Daten eine Blockchain-Adresse einem verifizierten Kundenkonto zuordnen. Das gilt jedoch nicht für jeden Auszahlungsweg und nicht für jede Plattform. Trotzdem entsteht für Ermittler ein Zeitproblem: Werden Gelder in kurzer Zeit über mehrere Wallets, Börsen, Mixer und Plattformen bewegt, können schnelle Sicherungs-, Auskunfts- und gegebenenfalls Einfriermaßnahmen für die weitere Verfolgung entscheidend sein. Wie weit die Nachvollziehbarkeit reicht, erklärt unser Beitrag Wie anonym ist Bitcoin wirklich?

Wie KI Betrug skalierbarer und überzeugender macht

Künstliche Intelligenz verändert das Spiel erneut. Früher ließen sich viele Betrugsversuche an schlechtem Deutsch und merkwürdigen Formulierungen erkennen. Das frühere Warnsignal schlechtes Deutsch wird deutlich unzuverlässiger: Täter erzeugen sprachlich überzeugende E-Mails, realistische Webseiten, gefälschte Bewerbungen, imitierte Stimmen und Deepfake-Videos. Betrug wirkt dadurch glaubwürdiger, persönlicher und professioneller.

← Tabelle seitlich scrollen →

Das Problem ist nicht nur die Technik, sondern die Skalierung. Generative KI kann es einzelnen Tätern erleichtern, mehr Varianten zu erzeugen, Inhalte stärker zu personalisieren und Kampagnen zu skalieren. Betrug wurde schon lange automatisiert; generative KI ermöglicht es zusätzlich, Texte, Profile, Stimmen und Varianten schneller zu erzeugen und stärker zu personalisieren. Wie Angreifer mit begrenztem Können dadurch gefährlich werden, zeigt unser Beitrag zu KI als Hacker-Hilfsmittel.

Warum Behörden bei KI besonders unter Druck geraten

Bei KI-Betrug müssen Ermittler nicht nur herausfinden, wer gehandelt hat, sondern auch, woher Inhalte stammen. War der Anruf wirklich vom Geschäftsführer? Ist das Video authentisch? Stammt die Nachricht von der angegebenen Person? Bei Audio-, Bild- und Videomaterial können Authentizität, Manipulation und Herkunft Teil der forensischen Prüfung sein. Bei Texten lässt sich eine KI-Erzeugung technisch nicht in jedem Fall zuverlässig feststellen; wichtiger sind deshalb auch Herkunft, Konten, Metadaten, Kommunikationswege und weitere Beweismittel.

Diese Prüfungen können zusätzliche Zeit beanspruchen. Bei vielen Straftaten können sowohl physische als auch digitale Spuren entstehen. Bei Cybercrime sind Serverdaten, Konten, IP-Adressen, Zahlungsflüsse, Geräte und Metadaten besonders wichtig; sie liegen jedoch häufig verteilt bei verschiedenen Anbietern oder in mehreren Staaten. Während Ermittler Beweise sichern, können Täter Methode, Plattform, Infrastruktur oder verwendete Identitäten bereits wechseln. Hinzu kommt der Wettlauf um Schwachstellen, den unser Beitrag Wie KI die Suche nach Sicherheitslücken verändert beschreibt.

Was nach einer Anzeige tatsächlich passiert

Viele Betroffene erwarten eine sofortige Ermittlung und erleben dann Stille. Realistisch ist dieser Ablauf: Die Anzeige geht bei der Polizei ein und wird zugeordnet. Je nach Zuständigkeit und Umfang können Verfahren bei spezialisierten Einheiten gebündelt und Zusammenhänge zwischen mehreren Anzeigen erkannt werden – etwa über dasselbe Empfängerkonto oder dieselbe Masche. Ob Fälle zusammengeführt werden und ob daraus zusätzliche Ermittlungsansätze entstehen, entscheidet sich im Einzelfall.

• Sofort anzeigen: Geeignete Online-Betrugsfälle kannst du über die offizielle Onlinewache des zuständigen Bundeslands melden. Bei komplexen Sachverhalten, akuter Gefahr oder Gewalt gehst du direkt zu einer Polizeidienststelle, im Notfall an die 110. Bei laufender Zahlung zusätzlich die Bank informieren, damit eine Rückholung versucht werden kann.
• Beweise sichern, bevor du löschst: Screenshots mit sichtbarer Absenderadresse und Zeitstempel, vollständige Nachrichten samt Kopfzeilen, Überweisungsbelege, bei Krypto die Transaktions-IDs und Empfangsadressen.
• Nichts beschönigen: auch peinliche Details gehören ins Protokoll – Ermittler kennen die Maschen, und Lücken kosten Spuren.
• Aktenzeichen aufbewahren: Es erleichtert spätere Rückfragen und kann für Versicherungen, Banken oder weitere Meldungen relevant sein.
• Vorsicht bei angeblichen Rückholdiensten: Wer nach dem Schaden „Ihr Geld zurückholen“ verspricht und dafür Vorkasse verlangt – dahinter kann ein weiterer Betrugsversuch stecken.

Mehr Überwachung gegen Cybercrime: Nutzen und Grenzen

Nach schweren Straftaten werden regelmäßig zusätzliche Speicher- und Zugriffsrechte diskutiert: mehr Kameras, längere Speicherfristen, weitergehende Befugnisse, Zugriff auf Messenger. Befürworter zusätzlicher Ermittlungsbefugnisse argumentieren, dass sie den Zugang zu Beweismitteln erleichtern oder Verfahren beschleunigen können. Datenschutz- und Sicherheitsstellen verweisen zugleich auf Grundrechtseingriffe und auf Risiken einer Schwächung sicherer Verschlüsselung.

Strittig ist vor allem, wie tief Zugriffe reichen dürfen. Die Speicherung von Verkehrs- und Standortdaten auf Vorrat beschäftigt seit Jahren die Gerichte. Bei der Verschlüsselung stehen sich zwei dokumentierte Positionen gegenüber: Sicherheits- und Datenschutzbehörden warnen davor, Ende-zu-Ende-Verschlüsselung generell zu schwächen, weil das systemische Risiken für alle Nutzer schafft; Strafverfolgungsbehörden verweisen auf den Bedarf an rechtmäßigem Zugriff auf Beweisdaten, der die allgemeine Sicherheit nicht untergraben soll. In der politischen und fachlichen Debatte stehen unterschiedliche Ansätze nebeneinander: zusätzliche Ermittlungsbefugnisse, schnellere Datensicherung, technische Ausstattung, internationale Zusammenarbeit sowie Schutzvorgaben für Privatsphäre und Verschlüsselung. Umstritten ist, welche Maßnahmen notwendig, verhältnismäßig und technisch sicher sind. Die Debatte dazu führen wir ausführlich in Wer nichts zu verbergen hat, hat nichts zu befürchten – wirklich?

Die Polizei ist nicht machtlos

Trotz aller Kritik wäre es falsch, Ermittlungsbehörden zu unterschätzen. Sie werden digitaler, spezialisierter und international besser vernetzt. Digitale Forensik, Blockchain-Analyse, gemeinsame Datenbanken, die Auswertung großer Datenmengen und spezialisierte Cybercrime-Einheiten haben die Arbeit stark verändert; Abschaltungen krimineller Online-Marktplätze, illegaler Infrastrukturen und Botnetze gelingen regelmäßig in internationalen Aktionen.

Viele Täter überschätzen ihre Anonymität. Blockchain-Daten bleiben dauerhaft öffentlich nachvollziehbar; andere digitale Spuren wie Serverdaten, Chatverläufe, Metadaten oder Geräteinformationen können auch später noch relevant sein, sofern sie gespeichert, sichergestellt oder anderweitig erhalten geblieben sind. Bei vielen Cyberdelikten reagieren Ermittler auf bereits begangene oder bekannt gewordene Taten. In proaktiven und laufenden Ermittlungen können Behörden jedoch auch Kommunikation oder Infrastruktur beobachten, kriminelle Strukturen stören und geplante Straftaten verhindern – die Fälle EncroChat und Sky ECC zeigen das.

Was Bürger daraus lernen müssen

Der wichtigste Punkt: Niemand sollte sich darauf verlassen, dass Polizei oder Staat jede digitale Gefahr rechtzeitig verhindern. Das ist keine Beleidigung der Polizei, sondern Realität. Bei Phishing, KI-Betrug, Krypto-Betrug, Fake-Shops und Identitätsdiebstahl kann das Verhalten des Einzelnen das Risiko erheblich beeinflussen – neben den Schutzmaßnahmen von Banken, Plattformen, Arbeitgebern und anderen Dienstleistern.

• Keine Links aus verdächtigen Nachrichten anklicken
• Zahlungen und Empfängerdaten vor dem Absenden prüfen und das Ergebnis der Empfängerüberprüfung beachten: Seit Oktober 2025 gleichen Zahlungsdienstleister im Euroraum bei SEPA-Überweisungen grundsätzlich Empfängername und IBAN ab. Eine Übereinstimmung ersetzt aber nicht die Prüfung, ob die Zahlung selbst plausibel ist
• Unbekannten Anrufern nicht sofort glauben
• Bei angeblichen Notfällen über einen zweiten, selbst gewählten Kanal rückfragen
• Passwörter nicht mehrfach verwenden
• Zwei-Faktor-Anmeldung überall aktivieren, wo der Anbieter sie unterstützt
• Bei Betrugsverdacht sofort Beweise sichern, bevor Chats gelöscht werden
• Verdächtige Vorgänge früh melden, auch bei kleinen Beträgen
• Keine sensiblen Daten unter Zeitdruck herausgeben

Sicherheit beginnt nicht erst bei der Polizei, sondern beim eigenen Verhalten – und bei den Konten, an denen alles hängt.

Warum Unternehmen besonders gefährdet sind

Unternehmen sind attraktiv, weil dort Geld, Daten und Zugänge zusammenkommen. Ein einziger erfolgreicher Angriff kann hohe Schäden auslösen. Besonders sensible Funktionen sind Buchhaltung, Geschäftsführung, Assistenz, Vertrieb, Personalabteilung und IT-Support, weil dort Zahlungen, Zugänge, Bewerbungen, Rechnungen oder externe Anfragen verarbeitet werden. Ein gefälschter Anruf, eine KI-generierte E-Mail oder ein manipuliertes Dokument kann als Einstieg in einen Angriff dienen.

Software allein genügt deshalb nicht, es braucht klare Prozesse:

• Zahlungsfreigaben nie allein per E-Mail, Telefon oder Videocall
• Vier-Augen-Prinzip ab festgelegten Beträgen
• Rückbestätigung über hinterlegte, bekannte Telefonnummern – nie über die Nummer aus der Nachricht
• Kontoänderungen von Lieferanten separat verifizieren und – sofern eine Empfängerüberprüfung durchgeführt wird – deren Ergebnis auswerten. Eine Namensabweichung ist ein Warnsignal; eine Übereinstimmung beweist nicht, dass die Zahlung berechtigt ist
• Schulung gegen Phishing und Social Engineering, inklusive Deepfake-Szenarien
• Notfallplan für Cyberangriffe mit benannten Zuständigkeiten
• Regelmäßige, getrennt aufbewahrte Datensicherung und ein getesteter Wiederherstellungsweg
• Meldewege kennen: Verletzungen des Schutzes personenbezogener Daten müssen vom Verantwortlichen grundsätzlich unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden an die zuständige Datenschutzaufsicht gemeldet werden, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen

Wer erst im Schadensfall über Sicherheit nachdenkt, kann den Schaden bereits erlitten haben. Wie früh gestohlene Zugangsdaten sichtbar werden, zeigt unser Beitrag zum Dark-Web-Monitoring.

Wie sich der technische Wettlauf weiter verändert

Europol beschreibt 2026 eine zunehmende Nutzung von KI, Verschlüsselung, Proxy-Diensten und skalierbaren Betrugsmodellen. Dadurch verändern sich Aufwand und Geschwindigkeit auf Täter- und auf Ermittlerseite: Betrug lässt sich stärker automatisieren, Stimmen und Videos leichter imitieren, und gestohlene digitale Identitäten und Zugangsdaten bleiben wertvolle Ziele für Kriminelle. Ob daraus dauerhaft ein größerer Vorsprung der Täter entsteht, lässt sich nicht allgemein vorhersagen. Die von Europol beschriebenen Entwicklungen zeigen aber einen zunehmend technisch geprägten und grenzüberschreitenden Wettlauf zwischen Tätern und Ermittlungsbehörden.

Für Bürger bedeutet das, dass Prävention nicht allein an staatliche Stellen delegiert werden kann. Unternehmen sollten Cybercrime nicht ausschließlich als IT-Thema behandeln. Politik und Verwaltung stehen vor der Aufgabe, Rechtsrahmen, Ausstattung und Fachwissen an neue technische Entwicklungen anzupassen.

Fazit: Der Vorsprung der Täter ist kein Zufall

In schnelllebigen Bereichen können Kriminelle neue Technologien früher für ihre Zwecke einsetzen, als Behörden ihre Ermittlungsverfahren und Werkzeuge daran anpassen. Maßgeblich sind dabei vor allem die unterschiedlichen Spielregeln; Kapazitäts- und Kompetenzunterschiede können je nach Fall hinzukommen: Täter müssen bei der Tatausführung keine rechtsstaatlichen Verfahren einhalten, Behörden dagegen schon: rechtmäßig erheben, sichern, dokumentieren und Grundrechte beachten. Daraus entsteht ein zeitlicher Vorteil der Täterseite in bestimmten Phasen.

Ein solcher zeitlicher Vorteil kann insbesondere bei neuen Methoden entstehen. Entscheidend ist, wie schnell Polizei, Justiz, Unternehmen und Bürger darauf reagieren und diesen Vorsprung verkleinern können. Sicherheit im digitalen Zeitalter bedeutet nicht nur mehr Technik, sondern mehr Wachsamkeit, bessere Bildung, schnellere Ermittlungsstrukturen und ein realistisches Verständnis moderner Bedrohungen.

Glossar: Begriffe rund um digitale Ermittlungen

Häufige Fragen zu Cybercrime und Strafverfolgung