ACHTUNG!! Du wunderst dich noch über die Bustwelle? Telegram das Eldorado für das Bundeskriminalamt.

[Bronko]

## Einleitung

Diese Analyse richtet sich an eine ganz bestimmte Zielgruppe: Nutzer, die früher auf deutschsprachigen Untergrundforen wie **Crimenetwork (CNW)** oder vergleichbaren "Crime Market"-Plattformen aktiv waren – und die nach deren Zerschlagung nahtlos zu Telegram gewechselt sind. Wer sich fragt, warum plötzlich so viele ehemalige Forum-Nutzer im Rahmen der aktuellen Bustwelle auffliegen, findet die Antwort genau hier: im Umzug von einem geschlossenen Forum mit eigener Infrastruktur zu einem zentralisierten Cloud-Dienst, der seit 2024 aktiv mit Behörden kooperiert.

### Der Hintergrund: Das Ende der klassischen Foren

Crimenetwork war über ein Jahrzehnt (seit 2012) einer der zentralen deutschsprachigen Handelsplätze der **** Economy, zeitweise mit über 100.000 registrierten Konten. Im Dezember 2024 schalteten BKA und ZIT die Plattform ab, der damalige Administrator wurde festgenommen und im März 2026 zu sieben Jahren und zehn Monaten Haft sowie zur Einziehung von über zehn Millionen Euro verurteilt. Eine Neuauflage tauchte kurz danach wieder auf, wurde aber im Mai 2026 erneut abgeschaltet – diesmal mit Festnahme des Betreibers in Spanien und der Sicherstellung umfangreicher Nutzer- und Transaktionsdaten von über 22.000 Nutzern. Ähnliches passierte im Januar 2025 mit den Foren Nulled und Cracked (Operation Talent): Beschlagnahmt wurden Infrastrukturen mit Daten zu rund zehn Millionen registrierten Konten.

Der Effekt für die einzelnen Nutzer: Mit jeder Forenabschaltung wandert ein Teil der Community weiter – und ein großer Teil davon landet bei Telegram, weil es dort schnell geht, keine Registrierungshürden gibt und man sofort wieder Käufer und Verkäufer findet.

---

## Teil 1: Der große Wechsel – von Forum/Jabber zu Telegram

Auf den klassischen Crime-Market-Foren lief die eigentlich sensible Kommunikation ohnehin selten über das Forum selbst, sondern über separate Kanäle – allen voran **Jabber (XMPP) mit OTR-Verschlüsselung**: dezentral, oft im Ausland gehostet, ohne Klarnamenpflicht und mit echter Ende-zu-Ende-Verschlüsselung. Das machte es für Ermittler extrem aufwendig, überhaupt an Metadaten heranzukommen.

Nach den Forenabschaltungen ist dieses Ökosystem für viele ehemalige Crimenetwork-Nutzer weggebrochen. Statt sich ein neues Forum mit eigenem Jabber-Server zu suchen, sind viele aus reiner Bequemlichkeit direkt zu Telegram gewechselt: einfache Registrierung, riesige Gruppen und Kanäle statt kleinteiliger Forenstruktur, eine bereits vorhandene Millionen-Nutzerbasis, in der sich Käufer und Verkäufer sofort wiederfinden.

Der Denkfehler: Der Ruf von Telegram als "datenschutzfreundlich" wird unreflektiert aus der alten Jabber/OTR-Logik übertragen. Anders als das dezentrale Forum-plus-Jabber-Modell ist Telegram aber zentralisiert – ein einziges Unternehmen, ein einziger rechtlicher Druckpunkt, an dem Behörden mit Gerichtsbeschlüssen ansetzen können, und Gruppen/Kanäle sind technisch nie Ende-zu-Ende-verschlüsselt.

---

## Teil 2: Die Zahlen – warum Telegram für das BKA ein Eldorado ist

### Der Wendepunkt 2024

Im August 2024 wurde Telegram-Gründer Pavel Durov in Frankreich festgenommen, weil ihm vorgeworfen wurde, bei Ermittlungen gegen kriminelle Aktivitäten auf der Plattform nicht ausreichend kooperiert zu haben. Seither gibt Telegram bei gültigem Gerichtsbeschluss IP-Adressen und Telefonnummern verdächtiger Nutzer heraus. Vorher hatte sich das Unternehmen jahrelang gerühmt, praktisch keine Daten an Behörden weiterzugeben.

### Deutschland im Detail

- **Q1–Q3 2024** (vor der Festnahme): 53 Anfragen, 115 betroffene Nutzer
- **Q4 2024** (nach der Festnahme): 892 Anfragen – ein Sprung um mehr als das 15-fache
- **Gesamtjahr 2024**: 945 Anfragen, 2.237 betroffene Nutzer
- **Q1 2025**: 1.311 Anfragen für die Daten von 3.777 Nutzern

Damit lag Deutschland im ersten Quartal 2025 auf Platz 2 weltweit – nur hinter Indien (9.197 Anfragen), noch vor den USA, Frankreich, Spanien und UK.

Konkret zum BKA: Das BKA schickte 202 Bestandsdatenanfragen an Telegram. 64 davon wurden beantwortet, in 25 Fällen gab Telegram tatsächlich Nutzerdaten heraus – unter anderem in den Bereichen Kindesmissbrauch und Terrorismus, wo die Kooperation nachweislich am besten funktioniert.

### Global

Allein im ersten Quartal 2025 wurden weltweit die Daten von 22.777 Nutzern übergeben – gegenüber 5.826 im gleichen Zeitraum 2024, also fast eine Vervierfachung innerhalb eines Jahres.

### Konkrete Ermittlungserfolge

Die Kooperation zeigt inzwischen sichtbare Ergebnisse: Telegram-Daten halfen bei Ermittlungen gegen IPTV-Piraterie (Abschaltung des Kodi-Plugins "Cristal Azul") und bei der Zerschlagung zweier großer Schwarzmarkt-Netzwerke mit einem geschätzten Handelsvolumen von 35 Milliarden US-Dollar. Bereits 2016 war es dem BKA-Kompetenzzentrum CCITÜ gelungen, in 44 Fällen Zugriff auf Telegram-Konten von Rechtsextremisten zu bekommen – ein Vorgeschmack darauf, wie lange technische Zugriffsmöglichkeiten schon existieren, auch unabhängig von freiwilliger Kooperation.

---

## Teil 3: Warum die Verschlüsselung nicht schützt, wenn man sie nicht nutzt

### Cloud-Chats sind KEINE Ende-zu-Ende-Verschlüsselung

Der zentrale technische Punkt: Telegram ist standardmäßig nicht Ende-zu-Ende-verschlüsselt.

- Normale Chats, Gruppen und Kanäle ("Cloud-Chats") sind nur zwischen Gerät und Server verschlüsselt (MTProto). Telegram selbst kann diese Inhalte auf seinen Servern technisch lesen.
- Nur "Geheime Chats" sind echt Ende-zu-Ende-verschlüsselt – aktiv zu starten, nur zwischen zwei Geräten, keine Cloud-Sync, keine Bots erlaubt.
- Gruppen und Kanäle – also exakt die Struktur des Cybercrime-Handels – können technisch nie als Geheime Chats laufen.

### Was Telegram an Metadaten speichert

Laut eigener Datenschutzrichtlinie speichert Telegram bis zu 12 Monate:

- IP-Adresse
- Gerätetyp und Betriebssystem (z. B. Hersteller, Modellklasse, OS-Version)
- App-Version
- Historie von Benutzernamensänderungen
- Zeitstempel von Anmeldungen und Sessions

Eine klassische Geräte-ID wie IMEI wird von Telegram nicht als eigene Kategorie genannt – das liegt eher beim Mobilfunkanbieter, der die SIM-Karte mit dem Gerät verknüpft. Trotzdem reicht die Kombination locker aus, um jemanden zu deanonymisieren:

- IP-Adresse plus Zeitstempel lässt sich über den Internetanbieter (Bestandsdatenauskunft) einem Anschluss oder Haushalt zuordnen.
- Gerätetyp und OS grenzen zusätzlich ein, welches physische Gerät gemeint ist – wichtig, sobald parallel ein beschlagnahmtes Handy oder Provider-Daten vorliegen.
- Die Telefonnummer, die Telegram als Identifikator nutzt, schließt die Kette meist endgültig zur realen Person.

Man braucht also keine "Geräte-ID" im engeren Sinn. IP-Adresse, Telefonnummer und Gerätetyp/OS reichen in Kombination mit Provider-Daten in den allermeisten Fällen aus.

### Virtuelle Nummern schützen nicht vor Quellen-TKÜ und Trojaner-Einsatz

In der Szene ist es verbreitet, sich mit virtuellen/anonymen Telefonnummern bei Telegram zu registrieren, um die Verknüpfung zur echten Identität zu erschweren. Das hilft aber nur gegen den einfachsten Angriffsweg – die Bestandsdatenauskunft über die Rufnummer. Es hilft nicht, wenn Ermittler auf anderem Weg direkt an das Gerät oder die laufende Kommunikation herankommen:

- **Quellen-TKÜ (Staatstrojaner/"Bundestrojaner")**: Seit einer Gesetzesänderung 2017 dürfen deutsche Strafverfolgungsbehörden bei schweren Straftaten (u. a. Bandendelikte, Computerbetrug, Drogenkriminalität, Terrorismus) mit richterlicher Anordnung Überwachungssoftware auf dem Zielgerät installieren. Diese liest die Kommunikation direkt auf dem Gerät mit – vor der Verschlüsselung beim Senden bzw. nach der Entschlüsselung beim Empfang. Welche Nummer für die Telegram-Registrierung verwendet wurde, spielt dabei keine Rolle, weil der Angriffspunkt nicht die Nummer, sondern das Endgerät selbst ist.
- **Online-Durchsuchung**: Als noch tieferer Eingriff erlaubt es Ermittlern, weitere gespeicherte Daten auf dem System auszulesen.
- **Man-in-the-Middle-Ansätze**: Auch technische Zugriffe auf Konten selbst (etwa durch Abfangen von SMS-Anmeldecodes) sind dokumentiert – bereits 2016 gelang dem BKA auf diesem Weg mehrfach der Zugriff auf Telegram-Konten von Verdächtigen.

Kurz gesagt: Eine virtuelle Nummer verschleiert nur, WER sich registriert hat – sie schützt nicht davor, WAS auf dem Gerät passiert, sobald ein Staatstrojaner installiert ist oder ein anderer technischer Zugriffsweg genutzt wird. Der rechtliche Rahmen dafür (§ 100a StPO, § 51 BKAG) existiert seit Jahren und wurde vom Bundesverfassungsgericht zwar eingeschränkt, aber nicht grundsätzlich gekippt.

---

## Fazit

Die Cybercrime-Szene hat mit dem Wechsel von dezentralen, konsequent verschlüsselten Jabber-Servern zu einem zentralisierten Cloud-Dienst wie Telegram einen strukturellen Fehler gemacht. Bequemlichkeit hat Sicherheit geschlagen – und genau das nutzen Ermittlungsbehörden wie das BKA seit der Kehrtwende 2024 systematisch aus. Ein einziges Unternehmen, ein einziger rechtlicher Druckpunkt, steigende Kooperationsbereitschaft und Millionen von Nutzern, die in unverschlüsselten Gruppen kommunizieren, weil sie glauben, geschützt zu sein – das ist im Kern das "Eldorado", das den aktuellen Bust-Wellen zugrunde liegt.

*(Quellen: Telegram Transparency Reports/Bot, netzpolitik.org, Der Spiegel, WIRED, Freedom of the Press Foundation, BKA-Pressemitteilungen, heise online, tarnkappe.info, diverse Presseberichte 2016–2025)*

[Bart]

Jabber + OTR das ist und bleibt wahre Liebe.

Danke @ Bronko

Hab schon lang nichts mehr zuende gelesen, interessant & informativ.

Telegram ist sowieso Schmutz, man used das nur fuer die Leute, die kein Plan von Jabber & OTR haben GEN Z halt..

heil sync.

[Bronko]

**Beobachtung:** Es gibt längst eine naheliegende, kostengünstige Alternative zu unverschlüsselten Telegram-Gruppen. Threema kostet einmalig nur wenige Euro, verschlüsselt standardmäßig Ende-zu-Ende (nicht nur optional wie bei Telegrams Geheimen Chats), kommt ohne Telefonnummern-Zwang aus und lässt sich über den Austausch der Threema-ID zwischen zwei Parteien nutzen.

Trotzdem wird dieser Schritt in der Praxis kaum gegangen. Selbst Nutzer, die aktiv auf Telegram kommunizieren und handeln, nehmen die paar Euro für eine Threema-Lizenz nicht in die Hand und tauschen keine Threema-IDs aus, um zumindest die sensible 1:1-Kommunikation aus den unverschlüsselten Cloud-Chats herauszuhalten. Stattdessen bleibt die komplette Kommunikation – von der ersten Anfrage bis zum Abschluss – in Telegram-Gruppen und -Kanälen, die Telegram technisch mitlesen und bei einem Gerichtsbeschluss herausgeben kann.

**Mögliche Erklärung:** Trägheit und Netzwerkeffekte. Ein App-Wechsel erfordert, dass beide Seiten mitziehen, während Telegram durch vorhandene Reichweite und eingebaute Handelsinfrastruktur (Gruppen, Bots, große Nutzerzahl) einfach bequemer bleibt.

**Einordnung:** Die naheliegendste und günstigste Schutzmaßnahme wird aus reiner Bequemlichkeit ausgelassen, obwohl sie kaum Kosten oder Aufwand verursachen würde. Das ist ein weiterer Baustein, der erklärt, warum die aktuelle Bustwelle so erfolgreich verläuft.

---

## Technischer Hintergrund: Warum Threema für Behörden so schwer zugänglich ist

**Kryptografie auf Geräteebene, nicht auf Serverebene**

Threema nutzt die Open-Source-Bibliothek NaCl (konkret: elliptische Kurven-Kryptografie über Curve25519 für den Schlüsselaustausch, XSalsa20 als Stromverschlüsselung und Poly1305 für die Nachrichtenauthentifizierung). Der entscheidende Punkt: Die Schlüsselerzeugung, Verschlüsselung und Entschlüsselung findet ausschließlich auf den Endgeräten statt. Der private Schlüssel verlässt das Gerät nie und wird auch nicht auf Threema-Servern hinterlegt. Der Server transportiert nur bereits verschlüsselte Datenpakete – er sieht technisch niemals den Klartext.

**Kein Generalschlüssel, kein Masterzugriff**

Anders als bei Telegrams Cloud-Chats (MTProto-Verschlüsselung zwischen Gerät und Server, Entschlüsselung serverseitig möglich) gibt es bei Threema serverseitig keinen Mechanismus, um Nachrichteninhalte einzusehen. Selbst wenn Threema GmbH per Gerichtsbeschluss zur Herausgabe gezwungen würde, könnte das Unternehmen technisch nur das liefern, was auf dem Server vorhanden ist – und das ist verschlüsselter, für das Unternehmen selbst unlesbarer Ciphertext.

**Minimale Metadaten, sofortige Löschung**

Threema ist so konzipiert, dass so wenig Metadaten wie möglich anfallen: Sobald eine Nachricht erfolgreich zugestellt wurde, werden die zur Zustellung nötigen Routing-Informationen vom Server gelöscht. Bei Gruppen kennt der Server nicht einmal die Mitgliederliste – die Gruppenverwaltung läuft komplett clientseitig, jede Nachricht wird auf dem Absendergerät einzeln für jedes Mitglied verschlüsselt und verschickt.

**Keine Registrierungsdaten**

Die Threema-ID ist eine zufällig generierte 8-stellige Kennung. Eine Verknüpfung mit Telefonnummer oder E-Mail ist rein optional. Der Kauf der App-Lizenz kann anonym mit Bargeld (App-Store-Guthabenkarte) oder Kryptowährung erfolgen. Es entsteht also gar nicht erst die Art von Identifikator (Rufnummer, E-Mail), über die deutsche Behörden bei Telegram typischerweise ansetzen.

**Schweizer Serverstandort als zusätzliche Hürde**

Threemas Server stehen in der Schweiz und unterliegen Schweizer Recht. Für deutsche Behörden bedeutet das: Eine direkte Anfrage wie bei Telegram reicht nicht, es braucht ein Rechtshilfeersuchen über die Schweizer Behörden – ein deutlich langsamerer und aufwendigerer Weg als eine Bestandsdatenauskunft, und selbst danach gäbe es serverseitig keine entschlüsselbaren Inhalte zu liefern.

**Zertifikats-Pinning gegen Man-in-the-Middle**

Threema verwendet eine eigene, in der App fest hinterlegte Zertifizierungsstelle für die Verbindung zwischen App und Server (Certificate Pinning). Das verhindert klassische Man-in-the-Middle-Angriffe auf den Übertragungsweg, selbst wenn ein Angreifer eine gefälschte, an sich vertrauenswürdige Zertifizierungsstelle unterschieben könnte.

**Wichtige Einschränkung: Kein Schutz vor Zugriff auf das Endgerät selbst**

Diese Architektur macht den Fernzugriff über Server oder Netzwerk extrem schwer bis praktisch aussichtslos. Sie schützt aber nicht vor einem Angriffspunkt, der bei jedem Messenger gleich bleibt: Wird auf dem Gerät selbst ein Staatstrojaner (Quellen-TKÜ) installiert, liest dieser die Nachrichten dort mit, wo sie ohnehin unverschlüsselt vorliegen müssen – auf dem Bildschirm bzw. im Arbeitsspeicher des Geräts, vor der Verschlüsselung beim Senden oder nach der Entschlüsselung beim Empfang. Threemas starke Verschlüsselung ist also kein Schutz gegen Kompromittierung des Endgeräts, sondern gegen das Mitlesen auf dem Übertragungsweg und gegen die Herausgabe durch den Anbieter.

*(Quellen: Threema Cryptography Whitepaper, threema.com/FAQ, heise online, Wikipedia)*

[Krypton]

8 hours ago, Bart said:

+ OTR

OMEMO*

[Dutch Heaven]

Sehr gute Infos Dankeschön 

[Venividivici]

Danke für die wertvollen Informationen.

Wie sieht es aus mit SimpleX? 

[merzderhuso]

Das der @Bronko noch lebt und alle Bustwellen überstanden hat zeigt ja dass er weiß worüber er spricht. Zurecht Legendenstatus. 

Und ist dass der Grund warum nach knapp 1,5 Jahren meine komplette Jabber Liste offline ist? Sind die alle weggefisht worden?

[g1tex]

Sensibele Daten per oneklick Note und alles andere über Jabber mit otr oder Session ..

Telegramm usw ist was für Kinder

[Bronko]

Push

[BullDDoser]

Push nach oben.

LG

Bulli

[MRXOG420]

was für ein Saftladen ... 🧃

direkt gelöscht! (tg)

[5ive]

On 7/12/2026 at 2:34 PM, merzderhuso said:

Das der @Bronko noch lebt und alle Bustwellen überstanden hat zeigt ja dass er weiß worüber er spricht. Zurecht Legendenstatus. 

Und ist dass der Grund warum nach knapp 1,5 Jahren meine komplette Jabber Liste offline ist? Sind die alle weggefisht worden?

same. 99% der leute in jabber einfach tot