Zahnpasta, Waffen und Autodiebstähle: „Rico“ und die Glock des David S.

Am 16. August kam es am Marburger Busbahnhof zum Zugriff. Eine Spezialeinheit des Zollkriminalamts Köln nahm einen 31-Jährigen fest, dem die Staatsanwaltschaft vorwirft, einen illegalen Waffenhandel im Darknet betrieben zu haben. Was die Festnahme unter den in den vergangenen Monaten zahlreicher werdenden Festnahmen von Darknet-Dealern besonders macht: Der nun in Untersuchungshaft sitzende Philipp K. soll David S. jene Glock verkauft haben, mit der der 18-Jährige in München am 22. Juli neun Menschen und sich selbst tötete.

Weder das bayrische LKA noch die Frankfurter Staatsanwaltschaft wollen sich momentan dazu äußern, unter welchen Namen die Verdächtigen online agierten oder wo und wie im Darknet die Verkäufe abgewickelt wurden. Dennoch rückt nun ein spezielles Online-Forum zunehmend in den Fokus der Öffentlichkeit: Bei der Plattform, auf der Philip K. und David S. im Juni ihren Deal angebahnt haben sollen, dürfte es sich um die Seite „Deutschland im Deep Web" (DIDW) handeln. Hinweise auf das Forum tauchten schon wenige Tage nach dem Amoklauf auf, nachdem bayrische Ermittler die Computer von David S. ausgewertet hatten und den Verdacht öffentlich machten, dass die Tatwaffe aus dem Darknet stamme. Auch wenn Ermittler es nicht offiziell bestätigten, spricht viel dafür, dass der 18-Jährige auf DIDW unter dem Namen „Maurächer" agierte.

Die Nutzer des wohl größten deutschen Online-Forums für Darknet-Themen sind sich jedenfalls sicher: Der Verkäufer der Glock, der mittlerweile in Untersuchungshaft sitzt, war jahrelang gemeinsam mit ihnen auf der Seite unterwegs und agierte unter dem Pseudonym „Rico". Von Motherboard archivierte Forumsnachrichten zeigen, dass der Kauf zwischen Philip K. und David S. durchaus unter für das Darknet unüblichen Bedingungen ablief.

Analysiert man die Beiträge des seit 2013 angemeldeten Users (Motto: „Zeit ist Geld"), ergibt sich das Bild eines Verkäufers, der mit den Konventionen des Darknet-Handels (vermeintliche Anonymität durch digitale Bezahlung in Bitcoin und Postversand) bricht und als nicht besonders vertrauenswürdig galt.

Ricos Vorlieben sind vielfältig: „Rape videos? die habe ich schon als 12 Jähriger mit Kazaa runtergeladen und war davon gelangweilt", behauptet er mit Verweis auf eine Mitte der 2000er-Jahre populäre Filesharing-Plattform. Dass er Gewalt nicht abgeneigt ist, lässt sich nicht nur erkennen, als er seine Vorliebe für Vergewaltigungsvideos raushängen lässt, er gibt auch gerne mal Tipps für die besten Websites und Stichworte für Gore-Clips weiter („sucht nach "cartel" dann findet ihr krasses zeugs") oder beteuert, mit dem Beginn des 3. Weltkriegs würde ein „Lebenstraum" in Erfüllung gehen, gibt sich dann jedoch wieder realistisch: „Am Ende wird einer der Seiten den Schwanz einziehen und das wars. Leider wird's nicht zum Krieg kommen."

Rico, der überraschend viel Persönliches über sich preiszugeben scheint (er sei Lagerarbeiter, habe eine Freundin, gehe ins Fitnessstudio, wohne in Köln, ballere dort manchmal am Autobahnkreuz herum) ist aus zwei Hauptgründen im dem Forum unterwegs: „Ich wollte nur mit Leuten in Kontakt kommen die wie ich Waffen sammeln um eventuell Informationen bzw Ware untereinander verkaufen/tauschen.", schreibt er. Aber auch an KFZ-Diebstählen sei er interessiert, ließ er die Darknet-Community wissen, allerdings sei er trotz alledem „kein Krimineller".

Auch im Bereich Drogen macht er im Forum erste Gehversuche und bietet den geneigten Informationskontrollverweigerern eine ganz besonders heiße Ware an: eine größere Menge Fluorid-Zahnpasta, mit der nur leider kein Drogenkoch etwas anfangen kann—der Anbieter wird ausgelacht.

Doch nicht nur wegen seiner Ahnungslosigkeit in Sachen illegaler Substanzen kommt Rico bei den anderen Mitstreitern eher schlecht an—auch seine Vorliebe für Treffen im echten Leben (im Forum werden die Real Life-Treffs RLT genannt) werden unter den anonymitätsbewusten Forenmitgliedern missbilligt. „Deshalb nimmt ihn hier keiner ernst", schreibt einer, der einen potentiellen Kunden anschließend vor Rico warnt: „Es ist schon verdächtig, dass der mit seinen wenigen Beiträgen seit 3 Jahren hier ist und noch nicht gebusted wurde." (Rico kontert den Verdacht so: „Warum? Weil ich ein reallife habe, so mit Arbeiten, Fitnesstudio und Frauen daten.") Sogar als verdeckter Ermittler—als „Uwe"—wird Rico bezeichnet.

Ironischerweise sind es tatsächlich verdeckte Ermittler, die ein Treffen mit Philipp K. anbahnten, das schließlich zu seiner Festnahme führt. Seine Präferenz für persönliche Treffen wird ihm so in der vergangenen Woche zum Verhängnis.

Ein weiterer Online-Kontakt brachte die Polizei überhaupt erst auf die Spur des mutmaßlichen Verkäufers: Es war ein 62-jähriger Buchhalter aus Nordrhein-Westfalen, der vor einigen Wochen ein Tauschgeschäft mit Philip K. abgewickelt haben soll, bei dem eine alte Marine-Luger und eine tschechische 7,65mm-Pistole den Besitzer gewechselt hätten, wie der Spiegel in seiner aktuellen Ausgabe berichtet. Auch für die Abwicklung dieses Geschäfts gibt es im Forum passende Hinweise. Doch die Polizei kam dem Buchhalter auf die Spur und durchsuchte schließlich seine Wohnung. Dort fanden die Ermittler laut Spiegel nicht nur die eingetauschte Waffe, sondern auch die Zugangsdaten für „Deutschland im Deepweb".

So übernahm das Zollfahndungsamt Frankfurt dessen Identität und bahnte einen weiteren Deal mit Phillip K. an—8.000 Euro für ein ganzes Paket Waffen und Munition, inklusive einer Glock-Pistole. Wieder schlug der Händler vor, sich in Marburg zu treffen—jedoch nicht, ohne laut den Ermittlern vorher noch mit einem ganz besonderen Deal zu prahlen: Der Glock, die er bereits David S. auf selbem Wege in derselben hessischen Kleinstadt verkauft haben will.

Bei seiner Festnahme an einem Busbahnhof in Marburg wurden die Gegenstände sichergestellt, die die Ermittler laut eigenen Angaben zuvor in einer Scheinbestellung angefordert hatten: eine Maschinenpistole, eine Pistole und Munition im Wert von 8.000 Euro. Außerdem trug Philipp K. eine durchgeladene Pistole in einem Schulterholster bei sich. Die Ermittler glauben laut Spiegel, dass sich Phillip K. und David S. am 20. Mai in Marburg zur Waffenübergabe der Glock verabredet hatten. Tatsächlich passt der Zeitraum zu mehreren verschlüsselten Forumsnachrichten, die „Rico" und „Maurächer" kurz vorher ausgetauscht haben: Die letzte Nachricht einer Unterhaltung der beiden im Forum stammt vom 9. Mai 2016. Die Nachrichten sind verschlüsselt und könnten die Anbahnung eines Deals gewesen sein, der dann über private Direktnachrichten fertig geplant wurde—ein durchaus übliches Vorgehen in dem Forum, das keine eigenen Verkaufsmöglichkeiten wie andere Darknet-Schwarzmärkte bietet.

An seinen teilweise wirren unverschlüsselten Nachrichten lässt sich auch Ricos Schwachstelle erkennen: Der Waffenhändler, Sammler und Möchtegern-Autodieb scheint nicht allzu versiert in Sachen digitaler Sicherheit, erwähnt häufiger Probleme mit der Benutzung des verschlüsselten Nachrichtensystems Bitmessage, das von vielen Nutzern als bevorzugte Kommunikationsmethode für private Unterhaltungen außerhalb des Forums genutzt wird. Rico verteidigt häufiger die von ihm bevorzugte Übergabemethode, die ihn letztlich auch zu Fall brachte: Das persönliche Treffen. Auf sichere Nachrichtenübermittlung angesprochen, beschwert er sich noch im Januar dieses Jahres: „diese Bitmessage scheiße funktioniert nie". Ganz offensichtlich hat er das System letztlich doch in Gang bekommen.

„Dank der Plattform habe ich seit 2013 insgesamt 4 waffen dealer im rlt kennen lernen dürfen", lobt Rico seine Methode. Darunter könnte auch der Zwischenhändler clultimate gewesen sein, der noch Ende 2013 mit einem ganzen Katalog an Waffen angab und mit dem Versprechen, „offene Grenzen auf Wunsch zu vermitteln". Voraussetzung: persönliche Abholung in der Schweiz. Mit diesem Händler, so berichtet Rico, habe er schon mehrere gute Geschäfte abwickeln können, denn er biete zuverlässig „gute Ware und nicht nur mal ne Glock". Doch jede Karriere hat ein Ende, und so auch die des eidgenössischen Lieferanten. „Man so einen wie ihn gibts kein 2. mal in der Scene", trauert Rico, als von einer vermeintlichen Verhaftung des Schweizer Zwischenhändlers die Rede ist.

Besagtes Forum ist allerdings nicht mit einem Darknet-Schwarzmarkt zu vergleichen, sondern war bis vor wenigen Tagen auch im Internet über Firefox oder einen anderen Browser erreichbar. Kurz nach der Festnahme in Marburg wurde der Proxy für das Clearnet jedoch abgeschaltet und viele ausführliche Diskussionen rund um den Waffenhandel gelöscht. Die Community ist aufgebracht, den Namen „ihres" Forums ausgeschrieben zu lesen—tatsächlich dürften sich Ermittler und Journalisten jedoch schon seit Jahren als stille Mitleser im Forum tummeln. Sucht man den Namen des größten deutschen Deepwebforums „Deutschland im Deep Web" auf Google, findet man die .onion-Adresse, unter der das Forum noch heute zu erreichen ist, sehr schnell.

„Wieso bloß zieht dieses Forum so viele Spinner an?", wunderte sich der Waffen- und Zahnpastaverkäufer Rico noch vor einem Jahr. Darauf kann sich jeder mit einen Tor-Browser nun selbst einen Reim machen.