NCMEC-Meldung und CyberTipline – wie ein Ermittlungsverfahren nach § 184b StGB entsteht und abläuft

Die Durchsuchung kommt um sechs Uhr morgens, der Durchsuchungsbeschluss nennt § 184b StGB, und auf die Frage nach dem Anlass fällt ein Kürzel, das die wenigsten Betroffenen je gehört haben: NCMEC. Dahinter steht ein Meldeweg, der inzwischen die große Mehrheit aller Verfahren wegen kinderpornografischer Inhalte in Deutschland auslöst – automatisiert, in hoher Stückzahl und mit einem zeitlichen Abstand von oft einem Jahr und mehr zwischen dem gemeldeten Vorgang und der Durchsuchung.

Dieser Artikel erklärt sachlich, was eine NCMEC-Meldung ist, wie aus ihr ein deutsches Ermittlungsverfahren wird, welche Daten die Ermittler zu Beginn tatsächlich haben – und welche nicht –, wo die technischen und rechtlichen Schwachstellen dieser Beweiskette liegen und wie sich Beschuldigte verhalten sollten. Den Straftatbestand selbst, seine Tathandlungen und Strafrahmen behandelt unser Beitrag zu § 184b StGB; hier geht es um das Verfahren.

Was NCMEC ist und warum US-Konzerne deutsche Verfahren auslösen

Das National Center for Missing & Exploited Children (NCMEC) ist eine private, gesetzlich beauftragte Organisation in den USA. Amerikanische Anbieter elektronischer Dienste – Google, Meta (Facebook, Instagram, WhatsApp), Microsoft, Apple, Snap, Discord, Dropbox und viele andere – sind nach US-Recht verpflichtet, ihnen bekannt gewordene Darstellungen sexuellen Kindesmissbrauchs an die CyberTipline des NCMEC zu melden. Weil diese Anbieter die Dienste nutzen, mit denen auch deutsche Nutzer kommunizieren und speichern, betreffen viele Millionen dieser Meldungen jährlich Nutzer außerhalb der USA.

Das NCMEC ordnet die Meldungen nach dem mutmaßlichen Aufenthaltsland des Nutzers – meist anhand der IP-Adresse – und leitet sie an die zuständige Zentralstelle weiter. Für Deutschland ist das das Bundeskriminalamt, das die Meldungen sichtet, priorisiert und an die Landeskriminalämter beziehungsweise die örtlich zuständigen Staatsanwaltschaften verteilt.

Wie die Anbieter Inhalte erkennen: Hash-Abgleich

Die Anbieter durchsuchen ihre Dienste in aller Regel nicht durch Menschen, sondern durch Hash-Abgleich. Bekannte Missbrauchsdarstellungen sind in Datenbanken mit digitalen Fingerabdrücken erfasst – bei Microsofts PhotoDNA oder Googles CSAI Match sind das robuste Hashes, die ein Bild auch nach Skalierung, Beschnitt oder Neukompression wiedererkennen. Lädt ein Nutzer eine Datei hoch, sendet sie über einen Messenger oder speichert sie in einer Cloud, wird ihr Hash gegen diese Datenbanken geprüft; bei einem Treffer erzeugt das System eine Meldung. Ergänzend setzen einige Anbieter Klassifikatoren ein, die bislang unbekanntes Material anhand von Bildmerkmalen erkennen sollen – mit entsprechend höherer Fehlerquote.

Für die Verteidigung sind zwei Eigenschaften dieses Systems wichtig. Erstens: Ein Hash-Treffer sagt, dass eine Datei einer bekannten Datei entspricht – er sagt nichts darüber, wie sie auf das Konto gelangt ist, ob der Nutzer sie je gesehen hat oder ob sie überhaupt strafbaren Inhalt hat (die Datenbanken enthalten nach Erfahrung der Praxis auch Grenzfälle, Comics und Fehlklassifikationen). Zweitens: Der Anbieter meldet den Treffer, prüft ihn aber nicht immer inhaltlich nach; ob ein Mensch die Datei vor der Meldung angesehen hat, ergibt sich aus dem Meldedatensatz („viewed" / „not viewed") und hat für das deutsche Verfahren erhebliche Bedeutung.

Der Weg zur Durchsuchung: Schritt für Schritt

1. Meldung. Der Anbieter meldet Datei-Hash, gegebenenfalls die Datei selbst, Kontodaten (E-Mail-Adresse, Telefonnummer, Nutzername), Zeitstempel und die bei Upload oder Login verwendeten IP-Adressen an das NCMEC.
2. Weiterleitung. Das NCMEC ergänzt eine Ländereinschätzung und übermittelt den Vorgang an das BKA.
3. Bestandsdatenauskunft. Die deutschen Ermittler lassen sich vom Internetanbieter mitteilen, welchem Anschlussinhaber die IP-Adresse zum gemeldeten Zeitpunkt zugeordnet war (§ 100j StPO). Damit haben sie einen Namen und eine Adresse – den Anschlussinhaber, nicht notwendig den Nutzer.
4. Anfangsverdacht und Durchsuchungsbeschluss. Auf dieser Grundlage beantragt die Staatsanwaltschaft einen Durchsuchungsbeschluss; die Gerichte erlassen ihn in dieser Fallgruppe regelmäßig.
5. Durchsuchung und Sicherstellung. Frühmorgens, meist mit mehreren Beamten; sämtliche Datenträger und Geräte im Haushalt werden mitgenommen – auch die der Familienangehörigen. Zu Ihren Rechten in dieser Situation: Hausdurchsuchung – Rechte und Verhalten.
6. Forensische Auswertung. Die Geräte werden bei Polizei oder externen Dienstleistern ausgewertet – wegen der Überlastung der Stellen häufig über viele Monate. Erst dieses Ergebnis entscheidet, ob und was angeklagt wird.
7. Abschluss. Einstellung, Strafbefehl oder Anklage – je nach Auswertungsergebnis.

Zwischen dem gemeldeten Vorgang und der Durchsuchung liegen oft sechs bis achtzehn Monate. Das erklärt, warum Betroffene den Vorwurf häufig nicht einmal zuordnen können – und es hat rechtliche Folgen: Je größer der Abstand, desto eher stellt sich die Frage, ob der Beschluss noch auf einem aktuellen Verdacht beruht.

Was die Ermittler zu Beginn haben – und was nicht

Am Tag der Durchsuchung besteht die Beweislage typischerweise aus: einem oder wenigen Hash-Treffern, Kontodaten und einer IP-Zuordnung zum Anschluss. Das ist ein Anfangsverdacht gegen den Anschluss, nicht der Nachweis einer Tat gegen eine bestimmte Person. Häufige Konstellationen, die genau diese Lücke betreffen:

• Mehrpersonenhaushalte und geteilte Anschlüsse: Familien-WLAN, Wohngemeinschaften, Firmenanschlüsse, Gäste. Die IP-Adresse identifiziert den Anschluss, nicht den Nutzer.
• Messenger-Automatik: In WhatsApp- oder Telegram-Gruppen automatisch heruntergeladene Medien landen im Gerätespeicher und im Cloud-Backup, ohne dass der Nutzer sie geöffnet hat – und werden von dort gemeldet. Wer eine große Gruppe verlassen hat, ohne den Chat zu löschen, kann Monate später Adressat einer Meldung sein.
• Kompromittierte Konten: Gehackte oder gephishte Cloud-Konten, in die Dritte Material hochladen.
• Grenzfälle und Fehltreffer: Nicht jeder Treffer betrifft strafbares Material im Sinne des deutschen § 184b; die Einordnung muss nach deutschem Recht erfolgen, nicht nach der Datenbank eines US-Anbieters.

Keine dieser Konstellationen führt automatisch zur Einstellung – aber jede von ihnen ist ein Beweisthema, das die Verteidigung aufbereiten muss, statt darauf zu hoffen, dass es den Ermittlern von selbst auffällt.

Die Rechtsfolgen seit der Reform 2024 – kurz eingeordnet

Der Gesetzgeber hat § 184b StGB im Juni 2024 nachjustiert, nachdem die Verschärfung von 2021 zu Ergebnissen geführt hatte, die auch Praktiker als unverhältnismäßig empfanden – etwa bei Eltern oder Lehrkräften, die Material zur Anzeige weitergeleitet hatten. Besitz und Verbreitung sind seither wieder Vergehen mit abgesenkten Mindeststrafen, was dem Gericht Spielraum für minder schwere Fälle und – in engen Grenzen – Einstellungsmöglichkeiten zurückgibt. Details zu Strafrahmen und Fallgruppen finden Sie im Beitrag zum Tatbestand. Für das Verfahren bedeutet die Reform vor allem: Die Frage, welche Tathandlung mit welchem Material vorliegt, hat wieder erhebliches Gewicht für den Ausgang – und damit die forensische Detailarbeit.

Die Zeitleiste im Überblick

Für die Einordnung der eigenen Situation hilft es, die typischen Zeiträume zu kennen: vom gemeldeten Upload bis zur Meldung an das NCMEC wenige Tage; von dort bis zum Eingang beim BKA und der Verteilung an die Länder Wochen bis Monate; bis zur Durchsuchung insgesamt meist sechs bis achtzehn Monate; bis zum Auswertungsergebnis weitere Monate; bis zu einer Entscheidung der Staatsanwaltschaft nicht selten zwei Jahre nach dem gemeldeten Vorgang. Diese Dauer ist kein Zeichen dafür, dass „nichts gefunden wurde" – aber auch keines dafür, dass es schlecht steht. Sie ist der Normalfall, und sie lässt sich nutzen: für Akteneinsicht, für Herausgabeanträge und für die Vorbereitung dessen, was nach der Auswertung kommt.

Verhalten am Durchsuchungstag und danach

Kaum eine Fallgruppe ist so stark davon geprägt, dass Beschuldigte in den ersten Stunden irreparable Fehler machen – aus Scham, aus dem Wunsch, sich sofort zu erklären, oder weil sie glauben, Kooperation beweise Unschuld.

1. Keine Angaben zur Sache. Nicht an der Tür, nicht beim „Vorgespräch", nicht in den Wochen danach. Auch entlastend gemeinte Erklärungen („das muss aus einer Gruppe sein, ich habe das nie angeschaut") sind Einlassungen, die Besitz und Kenntnis einräumen können. Zu einer polizeilichen Vorladung müssen Sie nicht erscheinen.
2. Keine Passwörter, keine Entsperrung. Sie sind dazu nicht verpflichtet. Die Herausgabe des PINs verkürzt die Auswertung um Monate – zu Ihren Lasten.
3. Nichts löschen, nichts nachträglich verändern. Was nach Verfahrensbeginn gelöscht wird, ist forensisch meist sichtbar und wird als Verdunkelung gewertet.
4. Umfeld nicht einweihen, bevor die Strategie steht. Arbeitgeber, Schule oder Vereine erfahren vom Verfahren grundsätzlich nicht von Amts wegen – es sei denn, der Beschuldigte selbst oder unbedachte Äußerungen sorgen dafür. Wann und ob eine Information nötig ist (etwa bei Tätigkeiten mit Kindern), ist eine anwaltlich zu klärende Frage.
5. Verteidiger einschalten – sofort. Nicht erst, wenn die Auswertung vorliegt. Die Weichen (Akteneinsicht, Herausgabeanträge für Geräte der Angehörigen, Schweigen oder Einlassung, Umgang mit der Zeitspanne bis zur Auswertung) werden am Anfang gestellt.

Wo die Verteidigung ansetzt

• Zuordnung: Anschluss ist nicht Person. Wer hatte Zugriff, wer nutzte welches Gerät, welche Konten gehören wem? Die Ermittler müssen die Tat einer Person nachweisen – häufig können sie das zu Beginn nicht.
• Besitz und Kenntnis: Automatische Downloads, Caches, Thumbnails, Cloud-Synchronisation ohne Kenntnis – der strafrechtliche Besitzbegriff setzt Herrschaftswillen voraus. Hier ist die technische Rekonstruktion (Zeitstempel, Zugriffshistorie, App-Einstellungen) oft entscheidend.
• Einordnung des Materials: Nicht jeder Treffer ist § 184b; die Abgrenzung zu straflosen Inhalten und zu § 184c StGB (jugendpornografische Inhalte) verschiebt Strafrahmen und Verfahrensmöglichkeiten.
• Beweiskette und Verwertbarkeit: Vollständigkeit und Herkunft des NCMEC-Datensatzes, ob ein Mensch beim Anbieter das Material geprüft hat, Rechtsgrundlage und Zeitnähe der Bestandsdatenauskunft, Bestimmtheit des Durchsuchungsbeschlusses. Die Gerichte halten die Meldungen privater US-Anbieter grundsätzlich für verwertbar – das entbindet aber nicht von der Prüfung, ob im konkreten Fall die Kette lückenlos ist.
• Verfahrensdauer: Monatelange Auswertungen sind eine Belastung – und ein Argument. Herausgabeanträge für nicht relevante Geräte, Nachfragen zum Stand und die Dokumentation von Verzögerungen gehören zur Verteidigung.
• Verfahrensende: Je nach Auswertung reicht das Spektrum von der Einstellung mangels Tatverdachts über die Einstellung gegen Auflage bis zum Strafbefehl; bei belastender Auswertung geht es um Strafrahmen, minder schweren Fall, Bewährung und die Vermeidung der Nebenfolgen.

Häufige Fragen nach einer NCMEC-Durchsuchung

Wie lange dauert die Auswertung? Realistisch mehrere Monate bis über ein Jahr, abhängig von Bundesland, Datenmenge und Auslastung der Forensik. In dieser Zeit passiert aus Sicht des Beschuldigten nichts – was für Betroffene die größte Belastung ist. Der Verteidiger kann den Verfahrensstand erfragen und auf Beschleunigung drängen, etwa mit Verweis auf berufliche Folgen.

Bekomme ich meine Geräte zurück? Geräte, die für das Verfahren nicht benötigt werden – Arbeitslaptops, Geräte von Angehörigen, Smart-TVs, Spielkonsolen –, können auf Antrag herausgegeben werden; in der Praxis geschieht das nur, wenn jemand den Antrag stellt. Für relevante Geräte gilt: Sie bleiben bis zum Abschluss sichergestellt und werden bei einer Verurteilung in der Regel eingezogen. Wichtige Daten (Fotos, Dokumente) können zum Teil kopiert herausgegeben werden – auch das ist ein Antrag.

Erfährt mein Arbeitgeber davon? Nicht von Amts wegen. Es gibt keine Mitteilungspflicht der Ermittlungsbehörden an private Arbeitgeber. Anders bei Beamten und bestimmten Berufen mit Aufsichtsbehörden, wo Mitteilungen in Strafsachen vorgesehen sind – hier muss die Verteidigung den Zeitpunkt und den Inhalt möglicher Mitteilungen im Blick behalten.

Meine Familie war bei der Durchsuchung dabei – sind Angehörige jetzt auch Beschuldigte? Grundsätzlich nicht; sie sind Zeugen und haben als Angehörige ein Zeugnisverweigerungsrecht. Ihre Geräte wurden mitgenommen, weil die Ermittler zu Beginn nicht wissen, wer den Anschluss genutzt hat. Genau diese Unsicherheit ist zugleich der Punkt, an dem die Zuordnungsfrage beginnt.

Kann ich sehen, was gemeldet wurde? Über die Akteneinsicht des Verteidigers – ja. Der NCMEC-Report mit Zeitstempeln, IP-Adressen, Kontodaten und dem Vermerk, ob das Material vom Anbieter geprüft wurde, ist Teil der Akte und der Ausgangspunkt jeder Verteidigung.

Ich habe das Material aus einer Gruppe erhalten und sofort gelöscht – bin ich trotzdem strafbar? Das ist eine der häufigsten Konstellationen und zugleich eine der am stärksten vom Einzelfall abhängigen: Zeitpunkt des Löschens, Automatik-Einstellungen, Cloud-Backups und das Verhalten nach Kenntnis spielen zusammen. Der Gesetzgeber hat 2024 gerade für solche Fälle Spielraum geschaffen. Eine belastbare Antwort gibt es erst nach Akteneinsicht – und keinesfalls durch eine spontane Erklärung gegenüber der Polizei.

Nebenfolgen, an die früh gedacht werden muss

Für Betroffene wiegt oft nicht die Strafe am schwersten, sondern das, was daran hängt: der Eintrag ins erweiterte Führungszeugnis, das für jede Tätigkeit mit Kindern und Jugendlichen verlangt wird und Einträge zu Sexualdelikten unabhängig von der Strafhöhe ausweist; beamten- und berufsrechtliche Verfahren; familiengerichtliche Folgen bei eigenen Kindern; die Frage der Einziehung der Geräte. Diese Folgen hängen an Art und Höhe der Verurteilung – und sind damit ein weiterer Grund, das Verfahren nicht dem Selbstlauf zu überlassen.

Fazit

Eine NCMEC-Meldung ist ein automatisierter Anfangsverdacht gegen einen Internetanschluss, nicht der Beweis einer Tat gegen einen Menschen. Zwischen beidem liegen die Zuordnung zur Person, die technische Rekonstruktion des Besitzes und die rechtliche Einordnung des Materials – drei Felder, auf denen Verfahren entschieden werden. Wer schweigt, nichts herausgibt und die Verteidigung früh strukturiert, wahrt sich alle Möglichkeiten; wer sich in den ersten Stunden erklärt, nimmt sich die meisten.

Als Kanzlei mit Schwerpunkt IT-Strafrecht verteidigen wir in NCMEC-basierten Verfahren bundesweit – mit eigener technischer Expertise bei der Bewertung forensischer Gutachten. Kontaktieren Sie uns diskret, auch am Durchsuchungstag.

Dieser Artikel dient der allgemeinen Information und ersetzt keine Rechtsberatung im Einzelfall. Verfahren nach § 184b StGB sind in Beweislage und Rechtsfolgen hochgradig einzelfallabhängig; verbindliche Aussagen sind nur nach Akteneinsicht möglich.