Mehr als 373.000 Darknet-Seiten, hunderte identifizierte Nutzer und ein weltumspannendes Ermittlungsnetz: Mit der Operation Alice ist Strafverfolgern einer der größten Schläge gegen pädokriminelle Strukturen im Internet gelungen. Hinter dem Netzwerk verbarg sich offenbar ein einziger Betreiber – und ein perfides System aus Fake-Shops, Kryptowährungen und globaler Anonymität. Der Fall zeigt, wie das Darknet funktioniert, wo seine Schwächen liegen – und welche Lehren Polizei und Justiz aus der Operation ziehen.

1. Ein Schlag, der das Darknet erschütterte#

Im März 2026 meldeten europäische und internationale Strafverfolgungsbehörden einen spektakulären Erfolg: Über 373.000 Darknet-Webseiten wurden abgeschaltet, mehr als 100 Server beschlagnahmt und hunderte Verdächtige identifiziert. Die Aktion lief unter dem Namen „Operation Alice“ und wurde von deutschen Ermittlern angestoßen, insbesondere vom Bayerischen Landeskriminalamt (BLKA) in Zusammenarbeit mit der spezialisierten Staatsanwaltschaft in Bamberg. Koordiniert wurde der internationale Zugriff von Europol, beteiligt waren Ermittlungsbehörden aus 23 Staaten, darunter die USA, Großbritannien, Spanien, Frankreich und Australien.

Das Ergebnis:

• 373.000+ abgeschaltete Darknet-Seiten
• 105 beschlagnahmte Server
• 440 identifizierte Nutzer (Verdächtige einer Straftat)
• rund 600 weltweite Verdächtige
• mehr als 10.000 Käuferkonten

Damit gehört Operation Alice zu den größten Cybercrime-Einsätzen der vergangenen Jahre.

2. Das Netzwerk: „Alice with Violence CP“#

Im Zentrum der Ermittlungen stand eine Darknet-Plattform mit dem Namen „Alice with Violence CP“. Die Seite bot angeblich große Datenpakete mit kinderpornografischem Material an – von einigen Gigabyte bis zu mehreren Terabyte. Käufer sollten zwischen 17 und 215 Euro bezahlen, meist in Bitcoin. Doch das System funktionierte anders als klassische Darknet-Marktplätze: Viele der Angebote waren Fake-Shops. Kunden zahlten – erhielten aber häufig keine Inhalte. Trotzdem generierte das Netzwerk Hunderttausende Dollar Umsatz. Nach Angaben von Ermittlern überwiesen rund 10.000 Nutzer weltweit Zahlungen. Insgesamt sollen etwa 18 Bitcoin bzw. rund 400.000 US-Dollar umgesetzt worden sein.

Das Ziel des Betreibers war offenbar zweifach: Geld verdienen und potenzielle Täter identifizieren – und ihnen weitere Angebote machen. Ein perfides Geschäftsmodell, das kriminelle Nachfrage ausnutzte.

3. Hinter 373.000 Seiten: vermutlich ein einzelner Betreiber#

Besonders erstaunlich: Hinter dem riesigen Netzwerk könnte nur ein einziger Hauptakteur gestanden haben. Die Ermittlungen deuten auf einen 35-jährigen Mann aus China hin, der das System über Jahre aufgebaut haben soll. Er soll tausende automatisch generierte Webseiten betrieben haben, Server-Infrastruktur in mehreren Ländern genutzt und Kryptowährungen zur Verschleierung eingesetzt haben.

Sein Netzwerk bestand aus einzelnen Darknet-Seiten, die teilweise identische Inhalte mit unterschiedlichen Adressen nutzten. Dieser Trick erschwerte Ermittlungen erheblich. Selbst wenn einzelne Seiten entdeckt wurden, tauchten sofort neue auf.

4. Wie Ermittler das Netzwerk enttarnten: Ermittlungsstrategien im Darknet#

Die Operation begann bereits 2021, als deutsche Ermittler erstmals auf die Plattform stießen. Der Durchbruch gelang durch mehrere technische Methoden.

1. Blockchain-Forensik
   Viele Darknet-Marktplätze verlangen Zahlungen in Kryptowährungen. Die Blockchain ist zwar pseudonym, aber öffentlich. Ermittler können daher Transaktionsketten analysieren, Wallet-Cluster identifizieren, Zahlungsflüsse zwischen Plattform und Nutzern rekonstruieren. Diese Technik war auch bei Operation Alice entscheidend, um Käufer zu identifizieren.
2. Server- und Infrastruktur-Analysen
   Darknet-Seiten nutzen sogenannte Onion-Services im TOR-Netzwerk. Trotzdem hinterlassen Betreiber Spuren: Hosting-Server, Software-Konfigurationen, Code-Signaturen, gemeinsame Datenbanken. Durch Vergleich solcher Merkmale lassen sich große Netzwerke – wie die 373.000 Seiten im Fall Alice – als zusammenhängende Infrastruktur erkennen.
3. Infiltration von Foren
   Ein klassisches Mittel bleibt die Infiltration durch Ermittler. Behörden versuchen sich in Foren einzuschleusen, Vertrauen innerhalb der Community aufzubauen und Administratorrechte zu erlangen. Dieses Vorgehen war bereits bei früheren Darknet-Operationen erfolgreich.
4. Traffic- und Metadatenanalyse
   Auch wenn TOR IP-Adressen verschleiert, können Ermittler Zeitmuster analysieren, Zugriffsdaten korrelieren oder Netzwerkanomalien erkennen. Solche Methoden liefern keine direkten Beweise, können aber Ermittlungen erheblich eingrenzen.
5. Internationale Ermittlungsplattformen
   Darknet-Kriminalität ist fast immer grenzüberschreitend. Daher spielen internationale Organisationen eine zentrale Rolle: Europol, Interpol, FBI und nationale Cybercrime-Zentren. Sie koordinieren Datenbanken, Analysen und Zugriffe. So sollte verhindert werden, dass Täter gewarnt werden.

5. Die weltweite Fahndung#

Die Operation hatte globale Auswirkungen. 440 Kunden konnten identifiziert werden, weil sie Zahlungen vorgenommen hatten. Gegen mehr als 100 Personen laufen weiterhin Ermittlungen. In Deutschland wurden 89 Verdächtige registriert.

In mehreren Ländern kam es zu Hausdurchsuchungen, Beschlagnahmungen von Computern und Datenträgern sowie Strafverfahren wegen Besitz oder Erwerb von Missbrauchsdarstellungen.

6. Warum 373.000 Seiten eine außergewöhnliche Zahl sind#

Die Zahl der abgeschalteten Seiten wirkt zunächst fast absurd. Sicherheitsforscher schätzen, dass im Darknet meist 50.000 bis 100.000 Onion-Services gleichzeitig aktiv sind. Die Operation traf also theoretisch mehr Seiten, als zeitgleich erreichbar sind. Der Grund: Viele der 373.000 Seiten waren Klon- oder Spiegelversionen, die automatisch erzeugt wurden. Jede hatte eine eigene Onion-Adresse. Dieses System machte das Netzwerk extrem schwer zu zerschlagen.

7. Das Darknet: Ein schwieriges Terrain für Ermittler#

Darknet-Dienste sind über spezielle Netzwerke wie Tor erreichbar und verschleiern IP-Adressen sowie Serverstandorte. Für Strafverfolger ergeben sich mehrere Probleme:

• Anonyme Kommunikation
• verschlüsselte Infrastruktur
• internationale Serverstandorte
• Kryptowährungen

Deshalb benötigen Ermittlungen oft Jahre.

8. Parallelen zu früheren Darknet-Operationen#

Operation Alice reiht sich in eine Serie großer internationaler Ermittlungen ein, etwa Operation Onymous (2014 – Abschaltung mehrerer Darknet-Marktplätze) oder Operation Dark HunTor (2021 – 150 Festnahmen wegen Drogenhandel im Darknet). Gemeinsam ist allen Operationen:

• internationale Zusammenarbeit
• digitale Forensik
• Blockchain-Analysen
• gezielte Infrastruktur-Zugriffe

Operation Alice gilt jedoch wegen der schieren Menge abgeschalteter Seiten als besonders spektakulär.

9. Lehren für Ermittlungsbehörden#

Der Fall liefert mehrere wichtige Erkenntnisse.

1. Internationale Kooperation ist entscheidend
   Cybercrime kennt keine Grenzen. Ohne Kooperation zwischen Dutzenden Behörden wäre die Operation nicht möglich gewesen.
2. Kryptowährungen sind nicht vollständig anonym
   Blockchain-Analysen werden immer leistungsfähiger. Viele Täter unterschätzen die Nachverfolgbarkeit von Transaktionen.
3. Infrastruktur-Angriffe sind effektiv
   Anstatt nur einzelne Täter zu verfolgen, konzentrieren sich Behörden zunehmend auf Server, Hosting-Strukturen und Domain-Netzwerke. Damit können ganze Plattformen gleichzeitig abgeschaltet werden.
4. Nachfrage bleibt ein Problem
   Selbst nach großen Operationen entstehen neue Plattformen. Ermittler warnen daher: Der Kampf gegen pädokriminelle Netzwerke im Internet ist ein dauerhaftes Wettrennen.

10. Strafrechtliche Einordnung: Darknet-Käufe und § 184b StGB in Deutschland#

Die Ermittlungen der Operation Alice werfen eine zentrale juristische Frage auf: Wie werden Nutzer strafrechtlich behandelt, die über Darknet-Plattformen Inhalte bestellen oder abrufen? In Deutschland ist die Rechtslage relativ klar – und streng.

Das deutsche Strafrecht stellt Herstellung, Verbreitung, Erwerb und Besitz kinderpornografischer Inhalte unter Strafe (§ 184b StGB). Bereits das Abrufen bzw. Betrachten entsprechender Inhalte genügt. Das gilt unabhängig davon, ob der Zugriff über normale Webseiten, Messenger, Cloud-Links oder Darknet-Plattformen wie TOR-Hidden-Services erfolgt.

Der Strafrahmen ist im Regelfall erheblich:

Diese Strafrahmen zeigen, dass der Gesetzgeber solche Delikte als besonders schwerwiegend einstuft. Selbst Versuche können strafbar sein, etwa wenn jemand versucht, Inhalte zu kaufen oder herunterzuladen.

In den vergangenen Jahren wurden die Ermittlungsbefugnisse erheblich erweitert. Beispiele:

• Online-Undercover-Ermittlungen im Darknet
• Einsatz verdeckter Ermittler in Foren
• Blockchain-Analyse bei Kryptowährungen
• internationale Datenübermittlung über Organisationen wie NCMEC

Besonders umstritten ist eine gesetzliche Regelung, die Ermittlern erlaubt, in bestimmten Fällen zur Tarnung selbst virtuelle Darstellungen zu posten, um Zugang zu geschlossenen Darknet-Foren zu erhalten.

In Fällen wie denen aus der Operation Alice läuft das Verfahren meist in mehreren Phasen:

1. Ermittlungsverfahren
   Auswertung von Serverdaten, Kryptowährungen und Nutzerkonten.
2. Hausdurchsuchungen
   Beschlagnahme von Datenträgern, Smartphones und Computern.
3. Forensische Analyse
   Untersuchung der Geräte nach entsprechenden Dateien.
4. Anklageerhebung
   Wenn ein hinreichender Tatverdacht besteht.
5. Hauptverfahren vor Gericht

Gerade bei digitalen Delikten hängt viel von der Beweisführung auf Datenträgern ab.

11. Fazit zur Operation Alice: Ein digitaler Katz-und-Maus-Krieg#

Operation Alice zeigt, dass selbst im vermeintlich anonymen Darknet große kriminelle Strukturen aufgedeckt werden können. Die Abschaltung von über 373.000 Webseiten und die Identifizierung hunderter Verdächtiger markieren einen bedeutenden Erfolg internationaler Strafverfolgung.

Doch Experten sind sich einig: Das Darknet verschwindet nicht – es verändert sich nur. Mit jeder abgeschalteten Plattform entstehen neue. Der eigentliche Wert von Operation Alice liegt daher nicht nur in den Festnahmen, sondern in den Methoden, die Ermittler entwickelt haben. Sie werden bei zukünftigen Cybercrime-Operationen eine entscheidende Rolle spielen.