An der Aktion beteiligt waren nach Angaben von Europol Behörden aus Albanien, Zypern, Finnland, Deutschland, Israel, dem Kosovo und Nordmazedonien. Durchsucht wurden 17 Objekte, darunter ein Callcenter im Kosovo. Dabei beschlagnahmten die Ermittler rund 100 Server und nahmen sieben Verdächtige fest. Den Schaden beziffern die Ermittler auf mehr als vier Millionen Euro.

Ausgangspunkt war ein Hinweis aus dem Jahr 2022: Ein deutsches Ehepaar zeigte an, dass es über eine Online-Handelsplattform investiertes Geld nicht mehr abheben konnte. Daraus entwickelte sich ein mehrjähriges Verfahren mit zwei vorangegangenen Aktionstagen – einem 2022 mit zwei Festnahmen und der Sicherstellung von Beweismitteln sowie einem weiteren 2025 mit zusätzlichen Festnahmen und der Beschlagnahme von Geld und Beweismaterial. „Die Auswertung des sichergestellten Materials legte den mutmaßlichen Infrastrukturanbieter und seine Verbindungen zu den Betreibern der Callcenter offen und ebnete den Weg für die jüngste Aktion", heißt es bei Europol.

Nach Darstellung von Eurojust brachte die Auswertung der beim zweiten Aktionstag sichergestellten Beweismittel ein Unternehmen mit Sitz in Zypern und Israel zum Vorschein. Es soll kriminellen Gruppen betrügerische Webseiten zur Verfügung gestellt haben, über die Interessenten in das zentrale Anlagebetrugssystem geleitet wurden. Die Daten potenzieller Opfer, die diese Seiten besuchten und Interesse bekundeten, wurden demnach als Leads an Callcenter verkauft. Deren Mitarbeiter riefen die Betroffenen an, überredeten sie zu Einzahlungen und forderten anschließend immer wieder weitere Investitionen. Mutmaßliche Kunden des Unternehmens, die solche Callcenter betrieben, identifizierten die Behörden in Albanien, im Kosovo und in Nordmazedonien.

Beworben wurden den Angaben von Europol zufolge garantierte hohe Renditen aus dem Handel mit Kryptowährungen, Devisen oder Aktien. Tatsächlich wurden die scheinbar seriösen Plattformen von „Brokern" betrieben, die mit fingierten Gewinnanzeigen und Social-Engineering-Methoden dafür sorgten, dass die Opfer weiter Geld nachschossen. Zusätzlich setzten die Betreiber laut den Ermittlungen auf Affiliate-Marketing-Dienste und irreführende Werbeanzeigen, um neue Interessenten anzulocken.

Das Muster ist für Betroffene von Anlagebetrug typisch: Eine Online-Werbung verspricht schnelle Gewinne, nach der Dateneingabe meldet sich ein Mitarbeiter telefonisch und überzeugt die Betroffenen, zunächst einen kleinen Betrag auf eine Plattform zu überweisen. Frühe, scheinbare Gewinne führen zu immer größeren Einzahlungen. Wer dann Geld auszahlen lassen will, wird hingehalten, bis der Kontakt schließlich abbricht.

Austin Anderson, Director of Threat Intelligence beim auf die Störung von Cyberkriminalität spezialisierten Unternehmen Netcraft, sieht im Vorgehen gegen vorgelagerte Dienstleister einen wirksamen Hebel. „Betrüger haben sich zunehmend auf einzelne Glieder der Angriffs-Lieferkette spezialisiert, wie in diesem Fall, in dem Webseiten persönliche Daten sammelten, die an Callcenter verkauft wurden, um den Opfern am Ende Geld abzupressen", sagt er. Das erzeuge zwar Professionalität in der jeweiligen Nische, mache das Gesamtsystem aber anfällig, wenn eine große Abhängigkeit wie das Callcenter wegbreche. „Letztlich werden solche Operationen ohne Festnahmen, die Betrüger dauerhaft aus dem Markt nehmen, nur vorübergehend gestört, während die Akteure ihre Infrastruktur wieder aufbauen."