Wie Darknet-Märkte auffliegen – obwohl sie Tor nutzen

Kurz gesagt: Darknet-Märkte fliegen selten auf, weil jemand Tor „knackt“. Fast immer sind es Spuren außerhalb der Verschlüsselung: ein alter Forenbeitrag unter echtem Namen, ein beschlagnahmter Server voller Nutzer- und Zahlungsdaten, eine Kryptowährung, die irgendwann in Euro getauscht werden muss, oder in Einzelfällen eine aufwendige Zeitanalyse des Datenverkehrs. Dazu kommt Geduld: Viele Verfahren laufen über Jahre und Ländergrenzen hinweg.

Wie Tor technisch funktioniert, steht im vorigen Teil dieser Reihe: Tor verständlich erklärt. Hier geht es um die Gegenseite — so, wie Behörden und Gerichte sie öffentlich beschreiben. Eine Anleitung zum Unentdecktbleiben ist das bewusst nicht.

Aktueller Anlass: Anklage im Fall Archetyp #

Im Juni 2025 wurde Archetyp Market abgeschaltet — laut BKA zu diesem Zeitpunkt der weltweit größte Darknet-Marktplatz für Drogen. Die Ermittlungen führten das Bundeskriminalamt (BKA) und die Zentralstelle zur Bekämpfung der Internetkriminalität (ZIT) bei der Generalstaatsanwaltschaft Frankfurt am Main. Im August 2026 erhob die ZIT Anklage gegen einen 31-jährigen Deutschen, der den Markt gegründet und betrieben haben soll; laut BKA liefen von November 2022 bis Juni 2025 rund 2,3 Millionen Bestellungen mit einem Umsatz von etwa 330 Millionen Euro über die Plattform, bezahlt wurde ausschließlich in der Kryptowährung MoneroBelegt. Bis zu einem rechtskräftigen Urteil gilt die Unschuldsvermutung — laut BKA ausdrücklich auch dann, wenn der Angeschuldigte, wie hier, ein Geständnis abgelegt hat.

Archetyp ist kein Einzelfall. Im Mai 2026 schalteten ZIT und BKA auch die Neuauflage der Plattform „Crimenetwork“ ab, nahmen einen mutmaßlichen Administrator auf Mallorca fest und sicherten nach eigenen Angaben Nutzer- und TransaktionsdatenBelegt. Genau solche Daten sind der rote Faden der folgenden Abschnitte.

Spur 1: Menschliche Fehler #

Fachleute sprechen von OPSEC (Operational Security): alle Gewohnheiten, die verhindern, dass jemand die eigene digitale Identität mit der echten Person verknüpft. Tor schützt die IP-Adresse — aber nicht vor dem, was jemand vor Jahren unter seinem Namen geschrieben hat.

Das bekannteste Beispiel ist der erste große Darknet-Markt Silk Road. Im Prozess 2015 sagte ein Ermittler der US-Steuerbehörde IRS aus, er habe per Google nach den frühesten Erwähnungen von Silk Road gesucht, sei auf Forenbeiträge von Anfang 2011 gestoßen und habe über den Nutzernamen eine E-Mail-Adresse gefunden, die dem späteren Angeklagten zugeordnet wurdeBelegt. Keine Hacker-Magie, sondern Archivarbeit. Der Fall zeigt das Grundprinzip: Ermittler suchen nach dem einen Moment, in dem jemand vor der Anonymisierung aktiv war — oder sie vergessen hat.

Spur 2: Server, die Ermittlern in die Hände fallen #

Ein Marktplatz braucht Rechner, die irgendwo stehen und Strom ziehen. Wer diese Hardware findet und beschlagnahmt, bekommt im besten Fall die Datenbank: Nutzerkonten, Nachrichten, Bestellungen, Zahlungsadressen.

Beim russischsprachigen Marktplatz Hydra stellten ZIT und BKA im April 2022 die in Deutschland stehende Serverinfrastruktur sicher; die Plattform hatte rund 17 Millionen Kundenkonten, über 19.000 Verkäuferkonten und allein 2020 mindestens 1,23 Milliarden Euro Umsatz, dazu wurden 543 Bitcoin im damaligen Wert von rund 23 Millionen Euro beschlagnahmtBelegt.

Daten aus einer Abschaltung sind oft der Anfang weiterer Verfahren — gegen Händler und Käufer. Europol meldete bei der koordinierten Operation RapTor 270 Festnahmen von Händlern und Käufern auf vier KontinentenBelegt. Wer glaubt, als Kunde unsichtbar zu sein, übersieht, dass seine Bestellungen in genau dieser Datenbank liegen.

Spur 3: Das Geld #

Bitcoin gilt vielen als anonym, ist es aber nicht: Jede Überweisung steht dauerhaft in einem öffentlichen Kassenbuch, der Blockchain. Namen stehen dort zwar nicht, aber Adressen, Beträge und Zeitpunkte. Spezialisierte Analysewerkzeuge verfolgen solche Ketten über viele Stationen.

Kriminelle reagieren darauf mit Mixern (Diensten, die Zahlungen vieler Nutzer vermengen) und mit sogenannten Privacy Coins wie Monero, die Absender, Empfänger und Betrag verschleiern sollen. Hydra bot laut BKA einen eigenen Mixer an, der Kryptoermittlungen stark erschwerteBelegt. Europol beschreibt im Lagebericht IOCTA 2026 einen Trend zu solchen schwer verfolgbaren Coins und zu Börsen in Ländern mit laxen Geldwäsche-Regeln; Wechselstuben, die Kryptowährung in Bargeld tauschen, bleiben demnach ein zentraler Dienst, um Beute in normales Geld zu verwandelnBelegt.

Das ist der Knackpunkt: Wer mit illegalen Einnahmen leben will, muss sie irgendwann ausgeben. Gerade dieser Übergang ins normale Finanzsystem — Börse, Bankkonto, Luxuskauf — ist deshalb ein naheliegender Ansatzpunkt, auch wenn der Weg dorthin verschleiert wurdeEvidenz: Theorie. Im Fall Archetyp stellten die Behörden laut BKA Kryptowährungen, Bargeld und Luxusfahrzeuge im Wert von knapp zehn Millionen Euro vorläufig sicher.

Spur 4: Zeitanalysen im Netz #

Die technisch spannendste Methode greift Tor tatsächlich an — allerdings nicht seine Verschlüsselung, sondern seine Geschwindigkeit. Weil Tor Daten mit wenig Verzögerung weiterreicht, lassen sich Pakete am Eingang und am Ausgang zeitlich einander zuordnen, wenn jemand genügend Knoten beobachtet.

Laut heise, das sich auf Recherchen von Panorama zu Akten aus dem Boystown-Verfahren stützt, schickten Ermittler einem Verdächtigen über ein Tor-Chatprogramm gezielt Nachrichten, beobachteten passende Muster an Tor-Knoten und grenzten so seinen Eingangsknoten ein; anschließend fragten sie bei seinem Internetanbieter ab, welche Kunden zu dieser Zeit mit diesem Knoten verbunden warenBelegt. heise betont, dass das allein kein Schuldbeweis ist, sondern die Liste der Verdächtigen verkürzt; die eigentliche Beweisführung bleibe klassische Polizeiarbeit.

Das Tor Project wertete den Fall als Angriff auf eine veraltete Version des Chatprogramms Ricochet ohne die Schutzfunktion „Vanguards“, die solche Angriffe erschwertHerstellerangabe. Für normale Nutzer des Tor Browsers ändert das wenig. Es zeigt aber, dass ein Gegner mit langem Atem, vielen beobachteten Knoten und Zugriff auf Anbieterdaten Grenzen verschieben kann.

Warum trotzdem immer neue Märkte entstehen #

Abschaltungen stören den Handel, beenden ihn aber nicht. Europol beobachtet, dass Darknet-Märkte immer kürzer leben, Nutzer nach einer Abschaltung schnell dorthin wechseln, wo die meisten Angebote stehen, und Betreiber zunehmend mit dem Geld ihrer Nutzer verschwinden, sobald Ermittlungsdruck spürbar wirdBelegt. Dieser Exit-Scam — der Betreiber schließt den Laden und behält die Guthaben — ist für Kunden oft das größere Risiko als die Polizei. Ein im Juli 2025 gestarteter Markt listete laut Europol sofort knapp 42.000 Angebote und Ende November 2025 bereits fast 64.000Belegt.

Rechtlicher Rahmen in Deutschland #

Vereinfacht und ohne Rechtsberatung: Für Betreiber gibt es in Deutschland einen eigenen Straftatbestand. Strafbar ist bereits das Betreiben einer Handelsplattform im Internet, deren Zweck darauf ausgerichtet ist, bestimmte rechtswidrige Taten zu ermöglichen oder zu fördernBelegt. Auf diesen Paragrafen stützt sich etwa der Vorwurf gegen den mutmaßlichen Crimenetwork-Betreiber, zusätzlich zum Vorwurf des DrogenhandelsBelegt. Wer kauft, macht sich unabhängig davon nach den jeweiligen Gesetzen strafbar — etwa beim Erwerb von Betäubungsmitteln.

Was heißt das für dich? #

Die meisten Leser kaufen nicht im Darknet. Relevant ist das Thema trotzdem: Dort landen gestohlene Zugangsdaten, Kreditkarten und ganze Datenbanken.

• Gestohlene Daten entwerten: Ein eigenes Passwort pro Dienst, ein Passwortmanager und Zwei-Faktor-Anmeldung sorgen dafür, dass ein geleaktes Passwort nicht gleich alle Konten öffnet.
• Nicht auf „sichere“ Darknet-Shops hereinfallen: Exit-Scams und Betrug sind dort Alltag, und Kundendaten liegen nach einer Abschaltung bei den Behörden.
• Kryptowährung ist nicht anonym: Wer Zahlungen in Bitcoin empfängt oder sendet, hinterlässt eine dauerhafte, öffentliche Spur.
• Im Homelab nichts für Fremde anonym hosten: Einen eigenen Dienst nur für dich selbst zu betreiben, ist unproblematisch. Sobald andere darüber anonym Inhalte austauschen können, bist du die erste Adresse, wenn dort etwas Illegales passiert. Für den eigenen Fernzugriff ist ein VPN der bessere Weg — siehe Tailscale vs. WireGuard.
• Backups ernst nehmen: Untergrundforen sind laut Europol ein zentraler Ort, an dem erbeutete Daten angeboten werden, und Erpressungstrojaner bleiben eine der größten Bedrohungen in der EU. Eine saubere Backup-Strategie sorgt dafür, dass du wenigstens deine eigenen Daten nicht freikaufen musst.

Morgen: Was die großen PlayStation-Hacks über Konsolensicherheit verraten.