Phishing – Strafbarkeit, Kratos-Ermittlungen und Verteidigung bei Vorwürfen

Im Juli 2026 haben die Zentralstelle zur Bekämpfung der Internetkriminalität (ZIT) und das Bundeskriminalamt gemeinsam mit US-Behörden die zentrale Infrastruktur von „Kratos" zerschlagen – einem der weltweit verbreitetsten Phishing-Baukästen, mit dem sich täuschend echte Microsoft-Anmeldeseiten erstellen und verwalten ließen. Solche Takedowns sind mehr als eine Schlagzeile: Auf den beschlagnahmten Servern liegen regelmäßig Kunden- und Nutzungsdaten, und die Erfahrung aus vergleichbaren Aktionen – von Booter-Diensten bis zu illegalen IPTV-Plattformen – zeigt, was folgt: Ermittlungswellen gegen die Nutzer. Wer einen Phishing-Baukasten gemietet, Zugangsdaten gekauft oder „nur ausprobiert" hat, muss damit rechnen, dass Post vom BKA kommt.

Dieser Artikel erklärt, wann und wie Phishing strafbar ist – vom Versand der ersten Mail bis zur Verwertung erbeuteter Daten –, was der Kratos-Takedown für Kunden solcher Dienste bedeutet, wie die Ermittlungsbehörden vorgehen und wie eine Verteidigung ansetzt. Er richtet sich an Beschuldigte und ihre Angehörigen; für Geschädigte gehen wir am Ende kurz auf die wichtigsten Schritte ein.

Was ist Phishing – und warum ist es ein Massenphänomen?

Phishing bezeichnet das „Abfischen" von Zugangsdaten und sensiblen Informationen über gefälschte Nachrichten und Webseiten: die vermeintliche Bank-Mail mit Link zur „Verifizierung", die SMS vom „Paketdienst" (Smishing), der QR-Code auf dem manipulierten Parkautomaten (Quishing), die täuschend echte Microsoft- oder Bank-Loginseite. Moderne Kits fangen dabei nicht nur Passwörter ab, sondern in Echtzeit auch Session-Cookies und Zwei-Faktor-Codes („Adversary in the Middle") – selbst 2FA-geschützte Konten sind damit angreifbar.

Entscheidend für das Verständnis der aktuellen Ermittlungslage: Phishing ist heute arbeitsteilige, gemietete Kriminalität. Kaum ein Täter baut seine Infrastruktur selbst. Dienste wie Kratos verkaufen den kompletten Baukasten im Abo – Fake-Seiten, Hosting, Admin-Panel, Telegram-Anbindung für die erbeuteten Daten. Genau diese Dienstleistungsstruktur ist ihr strafrechtlicher Schwachpunkt: Wird die Plattform zerschlagen, kennen die Behörden ihre Kunden.

Phishing im Strafrecht: die Tatbestände entlang der Tatphasen

Einen eigenen „Phishing-Paragrafen" gibt es nicht. Strafbar ist Phishing als Bündel mehrerer Tatbestände, die den typischen Ablauf lückenlos abdecken:

Phase 1: Vorbereitung – schon der Baukasten kann strafbar sein

§ 202c Abs. 1 StGB: „Wer eine Straftat nach § 202a oder § 202b vorbereitet, indem er 1. Passwörter oder sonstige Sicherungscodes, die den Zugang zu Daten (§ 202a Absatz 2) ermöglichen, oder 2. Computerprogramme, deren Zweck die Begehung einer solchen Tat ist, herstellt, sich oder einem anderen verschafft, verkauft, einem anderen überlässt, verbreitet oder sonst zugänglich macht, wird mit Freiheitsstrafe bis zu zwei Jahren oder mit Geldstrafe bestraft."

Der sogenannte Hackerparagraph erfasst bereits das Sich-Verschaffen von Phishing-Kits und fremden Zugangsdaten – also genau das, was Kunden von Diensten wie Kratos tun. Eine Parallelvorschrift (§ 263a Abs. 3 StGB) stellt die Vorbereitung des Computerbetrugs unter Strafe, etwa das Beschaffen von Programmen, deren Zweck die Begehung eines Computerbetrugs ist. Die Verteidigung setzt hier häufig an der Zweckbestimmung der Software und am Vorsatz an – für echte Dual-Use-Tools der IT-Sicherheit gilt der Paragraf nach der Rechtsprechung des Bundesverfassungsgerichts nicht uneingeschränkt. Ein gemietetes Kit für Microsoft-Loginseiten dürfte diese Verteidigungslinie allerdings selten tragen; realistischer sind Fragen der Zurechnung und des Tatumfangs (dazu unten).

Wer erbeutete Zugangsdaten-Pakete („Logs") kauft, kann sich zudem wegen Datenhehlerei strafbar machen – die Einzelheiten haben wir im Beitrag zu § 202d StGB dargestellt.

Phase 2: Versand und Fake-Seite – Fälschung beweiserheblicher Daten

Die Phishing-Mail, die eine echte Absenderin vortäuscht, und die nachgebaute Login-Seite erfüllen nach herrschender Auffassung den Tatbestand der Fälschung beweiserheblicher Daten (§ 269 StGB, Freiheitsstrafe bis zu fünf Jahren) – das digitale Gegenstück zur Urkundenfälschung. Details dazu in unserem Beitrag zu § 269 StGB.

Phase 3: Abgreifen der Daten

Je nach technischem Ablauf kommen das Ausspähen und das Abfangen von Daten (§§ 202a, 202b StGB) hinzu – etwa wenn mit den erbeuteten Zugangsdaten anschließend auf das Konto oder Postfach des Opfers zugegriffen wird. Spätestens der Login in ein fremdes Konto ist ein Zugriff unter Überwindung einer Zugangssicherung.

Phase 4: Verwertung – der Computerbetrug

Das wirtschaftliche Herzstück ist der Computerbetrug (§ 263a StGB): die unbefugte Verwendung der erbeuteten Daten – Überweisungen, Zahlungen, das Anlegen digitaler Karten in Wallets. Im gewerbsmäßigen oder bandenmäßigen Fall reicht der Strafrahmen bis zu zehn Jahren. Die Grundzüge und Verteidigungsansätze haben wir im Beitrag zum Computerbetrug nach § 263a StGB erläutert; das Weiterleiten der Beute über angeworbene Kontoinhaber führt zusätzlich in die Geldwäsche (§ 261 StGB).

In der Praxis werden diese Tatbestände selten isoliert angeklagt: Die Staatsanwaltschaft schnürt aus Vorbereitung, Fälschung, Datenzugriff und Verwertung ein Paket – oft über Dutzende oder Hunderte Einzelfälle. Genau dort, bei den Konkurrenzen und der Zahl der zurechenbaren Fälle, entscheidet sich später das Strafmaß.

Der Kratos-Takedown: Was Kunden von Phishing-Diensten jetzt wissen müssen

Mit der Beschlagnahme der Kratos-Infrastruktur haben die Behörden nach den bisherigen Veröffentlichungen Zugriff auf die zentrale Verwaltungsebene des Dienstes erhalten. Für die strafrechtliche Praxis sind drei Punkte entscheidend:

1. Kundendaten sind Ermittlungsansätze. Wer ein Kit gemietet hat, hat Spuren hinterlassen: Account-Namen, Telegram-Handles, Zahlungswege (meist Kryptowährungen), IP-Adressen, konfigurierte Kampagnen. Aus früheren Verfahren – etwa den Ermittlungswellen gegen Kunden von DDoS-Booter-Diensten und Nutzer illegaler IPTV-Plattformen – ist bekannt, dass solche Datensätze systematisch abgearbeitet werden. Zwischen Takedown und Durchsuchung können dabei viele Monate liegen.
2. Auch der „erfolglose" Kunde ist im Risiko. Strafbarkeit setzt nicht voraus, dass tatsächlich Geld erbeutet wurde. Bereits das Verschaffen des Kits (§§ 202c, 263a Abs. 3 StGB) und der Versand von Phishing-Nachrichten (§ 269 StGB) sind Straftaten; beim Computerbetrug ist auch der Versuch strafbar.
3. Für Betreiber und Administratoren solcher Dienste steht deutlich mehr im Raum: neben Beihilfe oder Mittäterschaft zu den Taten der Kunden auch das Betreiben krimineller Handelsplattformen im Internet (§ 127 StGB) und je nach Struktur der Vorwurf der kriminellen Vereinigung – mit entsprechend höheren Strafrahmen und regelmäßig Untersuchungshaft.

Die Beweisketten sind dabei keineswegs unangreifbar. Ausländische Serverdaten werfen Verwertbarkeitsfragen auf, wie sie aus den EncroChat-Verfahren bekannt sind; die Zuordnung eines Accounts zu einer realen Person ist oft der schwächste Punkt der Anklage – ein Telegram-Handle ist kein Personalausweis, und Kryptozahlungen müssen erst einmal lückenlos bis zum Beschuldigten zurückverfolgt werden.

Wie die Ermittlungsbehörden vorgehen

Phishing-Verfahren laufen heute nach einem eingespielten Muster. Am Anfang steht selten der einzelne Geschädigte – Anzeigen wegen einer einzelnen Phishing-Mail führen für sich genommen kaum je zum Täter. Die großen Verfahren entstehen von oben: Eine Plattform wird zerschlagen, ihre Datenbanken werden gesichert, und dann wird die Kundenliste abgearbeitet. Federführend sind dabei die ZIT als Cybercrime-Schwerpunktstaatsanwaltschaft und das BKA, flankiert von internationaler Rechtshilfe – die Kratos-Aktion lief gemeinsam mit US-Behörden, der Administrator wurde in Indonesien festgenommen.

Die typischen Beweisquellen im Einzelverfahren:

• Plattformdaten: Account-Registrierungen, Login-IPs, konfigurierte Phishing-Kampagnen, Support-Chats. Sie bilden das Gerüst des Tatvorwurfs.
• Zahlungsspuren: Krypto-Transaktionen werden mit Blockchain-Analyse-Tools über Wallets und Börsen verfolgt; spätestens beim Umtausch in Euro über eine Börse mit Identifizierungspflicht entsteht der Personenbezug.
• Messenger-Auswertung: Telegram-Kanäle und -Chats, in denen Kits beworben und „Logs" gehandelt werden – oft aus beschlagnahmten Geräten anderer Beschuldigter.
• Die Durchsuchung selbst: Geräte, Datenträger, Notizen mit Seed-Phrases und Zugangsdaten. Was hier gefunden wird, füllt die Lücken der Plattformdaten – oder eben nicht.

Für die Verteidigung folgt daraus eine wichtige Einsicht: Der Vorwurf ist zu Beginn oft eine Indizienkette mit Lücken. Ob die Kette trägt, zeigt sich erst in der Akte – und genau deshalb ist die Reihenfolge „erst Akteneinsicht, dann Einlassung" hier keine Förmelei, sondern der Kern der Verteidigung.

Womit müssen Beschuldigte rechnen? Strafmaß, Einziehung, Nebenfolgen

Die Spannbreite ist groß. Für den Ersttäter, dem das Verschaffen eines Kits und einzelne Versandaktionen ohne nennenswerten Schaden zur Last liegen, sind Geldstrafe oder eine Einstellung gegen Auflage realistische Ausgänge. Am anderen Ende stehen gewerbsmäßige Serientäter mit organisierten Kampagnen: Dort geht es um Freiheitsstrafen, bei bandenmäßiger Begehung des Computerbetrugs um einen Strafrahmen von bis zu zehn Jahren – und regelmäßig um Untersuchungshaft.

Drei Punkte werden dabei häufig unterschätzt:

• Einziehung: Was durch die Taten erlangt wurde, wird nach §§ 73 ff. StGB eingezogen – nach dem Bruttoprinzip, also grundsätzlich ohne Abzug eigener Aufwendungen. Bei Phishing-Beute bedeutet das die Einziehung des vollen Transaktionsvolumens, auch wenn ein Teil bereits weitergeleitet oder verloren wurde.
• Nebenfolgen: Ein Eintrag im Führungszeugnis ab einer Verurteilung zu mehr als 90 Tagessätzen bzw. drei Monaten Freiheitsstrafe, mögliche aufenthaltsrechtliche Folgen bei ausländischen Beschuldigten und – bei einschlägiger Vortätigkeit – berufsrechtliche Konsequenzen.
• Zivilrechtliche Haftung: Neben der Strafe steht der Schadensersatzanspruch der Geschädigten, der über die Adhäsion sogar im Strafverfahren geltend gemacht werden kann.

Post vom BKA, Durchsuchung, Vorladung – was jetzt?

Wenn Sie im Zusammenhang mit einem Phishing-Vorwurf Post erhalten oder durchsucht wurden, gelten die Grundregeln jeder Cybercrime-Verteidigung – und sie gelten hier besonders, weil die Verfahren fast vollständig auf digitalen Indizien beruhen:

1. Keine Angaben zur Sache. Weder an der Tür noch am Telefon noch im Anhörungsbogen. Gerade in Massenverfahren nach Plattform-Takedowns entscheiden die ersten Einlassungen darüber, ob aus einem vagen Account-Bezug ein geständnisgestützter Fall wird. Zu einer polizeilichen Vorladung müssen Sie nicht erscheinen.
2. Keine Passwörter, keine Entsperrung. Sie sind nicht verpflichtet, Geräte zu entsperren oder Zugangsdaten zu nennen – auch nicht „zur schnellen Klärung". Was bei einer Hausdurchsuchung sonst noch gilt, haben wir gesondert zusammengefasst.
3. Nichts löschen. Hektische Löschaktionen nach Verfahrensbeginn sind forensisch meist rekonstruierbar und verschlechtern die Position erheblich – bis hin zum Verdunkelungsverdacht.
4. Früh verteidigen lassen. In Sammelverfahren wird früh sortiert: Wer sind Betreiber, wer Intensivnutzer, wer Bagatellfall? Auf welche Seite dieser Linie ein Beschuldigter fällt, ist verhandelbar – aber nur mit Akteneinsicht und bevor Fakten geschaffen sind.

Sonderfall junge Beschuldigte: Phishing aus dem Kinderzimmer

Ein erheblicher Teil der Kunden solcher Baukästen ist auffällig jung. Phishing-Kits werden in Gaming- und Discord-Communities beworben, der Einstieg ist niedrigschwellig, das nötige technische Verständnis gering – man mietet ein fertiges Produkt. Für Familien ist die morgendliche Durchsuchung beim 16- oder 19-jährigen Sohn deshalb ein wiederkehrendes Muster.

Rechtlich bedeutet das zweierlei. Zum einen greift bei Jugendlichen und häufig auch bei Heranwachsenden das Jugendstrafrecht mit seinem Erziehungsgedanken: Diversion, Weisungen und Auflagen stehen vor der Strafe, und ein früh und ruhig geführtes Verfahren endet nicht selten ohne Hauptverhandlung und ohne Eintrag. Zum anderen ist die Täterschaftszuordnung in Familienhaushalten besonders angreifbar – ein Anschluss, mehrere Nutzer, geteilte Geräte. Eltern sollten dennoch dem Impuls widerstehen, „die Sache aufzuklären" und für ihr Kind Angaben zu machen: Auch im Jugendverfahren gilt das Schweigerecht uneingeschränkt, und die Weichen für eine Diversion werden am besten anwaltlich gestellt, nicht durch ein Geständnis am Küchentisch.

Verteidigungsstrategien in Phishing-Verfahren

Die erfolgversprechenden Ansatzpunkte folgen aus der Struktur dieser Verfahren:

• Zurechnung angreifen: Verbindet die Akte den Account wirklich mit dem Beschuldigten – oder nur mit einem Anschluss, einem Gerät, einer Wohnung, die mehrere Personen nutzen? Gerade bei jungen Beschuldigten in Familienhaushalten ist die Täterschaft oft die zentrale Streitfrage.
• Tatumfang begrenzen: Zwischen „Kit gemietet und drei Tage getestet" und „monatelange Kampagnen mit fünfstelliger Beute" liegen strafzumessungsrechtlich Welten. Die Verteidigung prüft jede einzelne zugerechnete Kampagne und jeden Schadensposten.
• Verwertbarkeit prüfen: Herkunft und Übermittlungsweg der ausländischen Serverdaten, Richtervorbehalte, die Qualität der Krypto-Tracing-Analysen – all das sind angreifbare Glieder der Beweiskette.
• Rolle und Vorsatz: Beihilfe statt Mittäterschaft, fehlender Vorsatz bezüglich einzelner Taten der Abnehmer, bei § 202c die Frage der Zweckbestimmung.
• Verfahrensbeendigung: Bei Ersttätern mit begrenztem Tatumfang sind Einstellungen gegen Auflagen oder ein Strafbefehl mit Geldstrafe realistische Ziele; bei jungen Beschuldigten kommt Jugendstrafrecht mit Diversion in Betracht. Schadenswiedergutmachung ist auch hier das stärkste Argument.

Für Geschädigte: die wichtigsten Schritte

Wer auf eine Phishing-Seite hereingefallen ist, sollte sofort die Bank kontaktieren (Karten und Zugänge sperren, Rückruf der Zahlungen prüfen), Passwörter ändern, Beweise sichern (Mail, URL, Screenshots) und Strafanzeige erstatten. Ob die Bank den Schaden erstatten muss, ist eine zivilrechtliche Frage der grob fahrlässigen Pflichtverletzung – die Rechtsprechung ist hier zuletzt verbraucherfreundlicher geworden, entscheidet aber stark nach Einzelfall. Mehr zu den typischen Angriffsmustern im Beitrag Identitätsdiebstahl und Social Engineering.

Fazit: Nach dem Takedown ist vor der Ermittlungswelle

Phishing ist über §§ 202a–202c, 269, 263a und 261 StGB in jeder Tatphase strafbar – vom Mieten des Baukastens bis zur Verwertung der Beute, und zwar unabhängig davon, ob am Ende ein Schaden entstanden ist. Der Kratos-Takedown vom Juli 2026 wird nach aller Erfahrung Folgeverfahren gegen Kunden auslösen; wer betroffen sein könnte, sollte die Zeit bis zum ersten Behördenkontakt nutzen, statt sie zu verdrängen – und ab dem ersten Kontakt konsequent schweigen und verteidigen lassen.

Als Kanzlei mit Schwerpunkt IT-Strafrecht und Cybercrime verteidigen wir bundesweit in Phishing- und Plattform-Verfahren – von der ersten Vorladung bis zur Hauptverhandlung. Kontaktieren Sie uns frühzeitig, gern noch vor dem ersten Termin bei der Polizei.

Dieser Artikel dient der allgemeinen Information und ersetzt keine Rechtsberatung im Einzelfall. Ob und welche Tatbestände in einem konkreten Verfahren im Raum stehen und welche Verteidigungslinien tragen, lässt sich nur nach Akteneinsicht beurteilen.