Ermittlungen gegen Betreiber und Nutzer der Plattform
Im Jahr 2024 haben Ermittlungsbehörden eine im sogenannten Darknet betriebene Plattform mit dem Namen „Alice in Wonderland“ entdeckt und nach eigenen Angaben zerschlagen. Im Zuge der internationalen Zusammenarbeit zwischen dem Bundeskriminalamt (BKA), verschiedenen Landeskriminalämtern und ausländischen Behörden sollen mehrere mutmaßliche Betreiber festgenommen worden sein – erste Verfahren laufen derzeit unter anderem in Mönchengladbach. Gleichzeitig sollen die Ermittler nach übereinstimmenden Medienberichten in den Besitz von tausenden Datensätzen einzelner Nutzerinnen und Nutzer gelangt sein. Diese Daten werden nun schrittweise ausgewertet, wodurch im Laufe des Jahres 2025 zahlreiche neue Ermittlungsverfahren eingeleitet worden sind.
Dieser Artikel soll Einblick in das Vorgehen der Ermittlungsbehörden geben und Betroffenen aufzeigen, was auf sie zukommt und welche Verteidigungsmöglichkeiten bestehen.
Zweck und Funktionsweise des Forums
Nach Darstellung der Ermittlungsbehörden soll Alice in Wonderland ausschließlich dem Austausch kinderpornografischer und jugendpornografischer Inhalte gedient haben. Das Forum ist über das Tor-Netzwerk erreichbar gewesen und habe über eine interne Benutzerstruktur verfügt – mit Administratoren, Moderatoren und einem großen Kreis registrierter Mitglieder. Aus hier vorliegenden Ermittlungsakten ergibt sich eine „klassische“ Forenstruktur, auf der insbesondere Links und Passwörter zu anderswo gespeicherten Dateipaketen zu erhalten waren.
Ermittler wollen Hinweise darauf haben, dass sich Teile der Community nicht nur auf den Austausch von Dateien beschränkt, sondern auch zur Kontaktaufnahme und Verabredung realer Taten genutzt worden sein könnten. Diese Angaben beruhen auf Chatprotokollen, deren Authentizität im Rahmen der laufenden Verfahren noch geprüft werden müsse. Dies lässt sich von hier nicht überprüfen.
Technischer Ermittlungsansatz
Nach Angaben des BKA habe sich das Forum technisch durch hohe Sicherheitsmaßnahmen ausgezeichnet. Dazu sollen mehrschichtige Verschlüsselungen und der Einsatz anonymer Kryptowährungen gehört haben. Die Ermittler behaupten, Server seien über mehrere Länder verteilt gewesen, was die Strafverfolgung erheblich erschwert habe. Erst durch internationale Kooperation – insbesondere durch Datenlieferungen ausländischer Sicherheitsbehörden – sei es gelungen, die Plattform im Jahr 2024 vom Netz zu nehmen und die angeblichen Hauptverantwortlichen zu identifizieren.
Aus Darknet-Verfahren wissen wir, dass das BKA tatsächlich Wege gefunden haben muss , um an IP-Adressen von Verantwortlichen zu gelangen. In den Ermittlungsakten wird dieser Weg nicht beschrieben, was auf ein Geheimhaltungsinteresse der Behörden zurückzuführen ist. Auffällig ist, dass offensichtlich Zeitpunkte der Nutzung in Zusammenhang mit intensiver Datenübermittlung festgestellt werden können. Dies könnte ein Hinweis darauf sein, dass das BKA eine sogenannte Timing-Analyse nutzt. Vereinfacht gesagt, könnte die Überwachung einer Vielzahl an Servern im Tor-Netzwerk, verbunden mit einer Analyse der Datenströme und gezielter Überwachung von Einwahlknoten, dazu führen, dass die IP-Adresse von Nutzern ermittelt werden kann.
Die Verwendung von VPN-Lösungen vor der Tor-Einwahl kann für Nutzer eine weitere Sicherheitsschicht bedeuten: Dann kommt es bei Ermittlungen darauf an, ob der VPN-Anbieter die Daten (rechtzeitig) herausgibt – das dürfte bei einer Vielzahl von Verfahren nicht der Fall sein.
Was Nutzer von „Alice in Wonderland“ für Ermittlungen im Jahr 2025 erwarten können – Strafverteidiger erklärt
Als erfahrener Verteidiger in Darknet-Verfahren sehe ich, dass die Polizei die sichergestellten Daten nicht liegen lässt. Nach den mir bekannten Ermittlungsakten ist versucht worden sämtliche erbeuteten Datensätze eine IP-Adresse zuzuordnen und diese mittels Abfragen von Bestandstadten mit Realpersinalien zu verknüpfen. Diese Informationen liegen inzwischen bei den zuständigen Landeskriminalämtern, wo sie Stück für Stück abgearbeitet werden.
Der Ablauf folgt einem klaren Muster: Zunächst erfolgt die technische Zuordnung: Vor der Übergabe lassen lässt von den jeweiligen Internetanbietern übermitteln, welchem Anschluss eine bestimmte IP-Adresse zugeordnet war.
In den LKAs oder Spezialabteilungen der Polizei wird nach meiner Erfahrung bei männlichen Anschlussinhabern regelmäßig ein Ermittlungsverfahren gegen diese Person eingeleitet. Bei weiblichen Anschlussinhaberinnen unterbleibt dies in vielen Fällen. Bei beiden Varianten erfolgt eine Abfrage beim zuständigen Einwohnermeldeamt, um festzustellen, welche Personen im Haushalt leben. Fast immer werden daraufhin gegen alle männlichen Jugendlichen und Erwachsenen im Haushalt Ermittlungsverfahren eröffnet. Belastbare Erfahrungsätze für diverse Personen gibt es hier nicht.
Alice in Wonderland: Welche Maßnahmen drohen?
Da es sich um ein Darknet-Verfahren handelt, werden diese Ermittlungen besonders intensiv geführt. In nahezu allen mir vorliegenden Fällen beantragen die Staatsanwaltschaften Telekommunikationsüberwachungsmaßnahmen (TKÜ) für sämtliche bekannten Telefonnummern, E-Mail-Adressen und Internetanschlüsse. Diese Anträge werden regelmäßig bewilligt, sodass über einen Zeitraum von mindestens einem Monat sämtliche Kommunikationsvorgänge überwacht werden. Parallel dazu erfolgen häufig Observationen: Beschuldigte werden über mehrere Tage hinweg im öffentlichen Raum, am Arbeitsplatz oder in der Nähe ihrer Wohnung observiert.
Was genau ist Telekommunikations-überwachung (TKÜ)?
Die Telekommunikationsüberwachung (TKÜ) ist das Abhören und Mitschneiden laufender Kommunikation nach richterlicher Anordnung (§ 100a StPO). Dabei werden die Daten direkt beim jeweiligen Provider erfasst und über technische Schnittstellen an die Landeskriminalämter (LKA) weitergeleitet.
Erfasst werden:
- Telefonate, SMS und E-Mails,
- Verbindungsdaten, also wann und mit wem kommuniziert wurde,
- IP-Daten, also welche IP-Adressen miteinander Daten austauschen,
- sowie die Funkzelle, in der sich ein Telefon zum Zeitpunkt der Kommunikation befindet.
Verschlüsselte Kommunikation (z. B. über Signal, Threema oder WhatsApp) kann dabei zwar erkannt, aber nicht entschlüsselt werden. Ermittlungsbehörden sehen also, dass eine Verbindung bestand, nicht aber den konkreten Inhalt oder auch Empfänger der Nachricht.
Zusätzlich werden in vielen Fällen Kontenbewegungen und Zahlungsdienstleister überprüft – insbesondere auf mögliche Verbindungen zu Kryptowährungen, die in Darknet-Zusammenhängen typischerweise verwendet werden. In Niedersachsen zeigt sich zudem ein verstärkter Einsatz von OSINT-Recherchen (Open Source Intelligence). Ermittler prüfen dort systematisch, ob Namen, E-Mail-Adressen oder Telefonnummern auch in sozialen Netzwerken, Online-Profilen, Foren oder bei anderen Diensten auftauchen.
Was ist eine polizeiliche OSINT-Recherche?
Eine OSINT-Recherche (Open Source Intelligence) bezeichnet die systematische Auswertung frei zugänglicher Informationen aus öffentlichen Quellen zur Gewinnung nachrichtendienstlich oder ermittlungsrelevanter Erkenntnisse.
Dabei werden Daten aus Medien, Internetseiten, sozialen Netzwerken, Foren, Registern und Datenbanken gesammelt, analysiert und miteinander verknüpft. Ziel ist es, aus verstreuten Einzelinformationen ein möglichst vollständiges Lagebild zu erstellen.
Erfasst und ausgewertet werden typischerweise:
- Soziale Netzwerke (z. B. Facebook, Instagram, Telegram, X)
- Foren und Darknet-Plattformen
- Domain- und IP-Datenbanken
- Handels- und Unternehmensregister
- Presseberichte und öffentliche Dokumente
Eine OSINT-Recherche liefert keine vertraulichen oder geheimen Daten, sondern nutzt ausschließlich öffentlich zugängliche Quellen. Sie kann jedoch durch geschickte Kombination von Metadaten, Zeitpunkten und digitalen Spuren sehr präzise Rückschlüsse auf Personen, Netzwerke oder Aktivitäten ermöglichen.
Die niedersächsische Polizei kann zum Beispiel Daten von Apple, Facebook, DoctoLib, Facebook, PayPal, TikTok, Signal und WhatsApp abgreifen und mit den vorliegenden Daten von Beschuldigten verknüpfen.
Quellen-TKÜ unwahrscheinlich: Verwendung eines Trojaners / Online-Durchsuchung auf dem eigenen Gerät
Rein rechtlich möglich ist die Anordnung von Quellen-TKÜ – also die Überwachung von Geräten durch eine Software – möglich. In der Praxis habe ich dieses bei einfachen Nutzern von Angeboten noch nicht erlebt, dies dürfte auch unrechtmäßig sein.
Im Jahr 2025 ist die Statistik für das Jahr 2023 veröffentlicht worden. Die Überwachung von Kommunikation auf dem Gerät ist dabei selten: 104 richterliche Anordnungen zur Quellen-TKÜ sind angeordnet worden, davon wurden 62 durchgeführt. Bei der Online-Durchsuchung: waren es 26 Anordnungen und 6 Durchführungen. Fast alle Verfahren sollen die Bildung terroristischer Vereinigungen betroffen haben.
Im Vergleich dazu wurden 13.206 Telekommunikationsüberwachungen angeordnet. Hier liegt der Schwerpunkt, insbesondere bei Betäubungsmittelverfahren.
Die Zahlen zeigen: Es ist um ein Vielfaches wahrscheinlicher über den Dienstanbieter abgehört zu werden, als dass tatsächlich eine Software gegen einen eingesetzt wird.
Diese Form der Ermittlungsintensität ist für Betroffene belastend und mit erheblichen Eingriffen in die Privatsphäre verbunden. Die Überwachung und Auswertung erfolgt fast immer, ohne dass Beschuldigte davon erfahren, bis eine Durchsuchung stattfindet.
Worauf müssen Sich Darknet-Beschuldigte bei einer Durchsuchung einstellen?
Beschuldigten denen der Umgang mit verbotener Pornografie im Darknet vorgeworfen wird, müssen mit einer robusten Durchsuchung rechnen.
Die Polizei wird aus der vorherigen Überwachung üblicherweise wissen, wann man zuhause ist. Es wird dann früh morgens oder zur üblichen Nutzungszeit des Computers zugegriffen werden.
Die Polizei setzte dabei Spezialeinsatzkommandos (SEK) oder Mobile Einsatz Kommandos (MEK) ein. Das bedeutet: Die Polizei klingelt nicht, sondern öffnet alle verfügbaren Türen gleichzeitig mit einer Ramme – Betroffene glauben oft die Türen seien gesprengt worden. Anschließend werden alle Räume „gesichert“ – insbesondere werden Personen von Computern weggezerrt und zu Boden gebracht – insgesamt schmerzhaft. Kurzfristig können Fesselungen angelegt werden. Diese werden üblicherweise nach einigen Minuten wieder abgenommen, wenn die Betroffenen friedlich wirken.
Widerstand gegen diese Maßnahmen ist zum einen unter Umständen strafbar und ist zum anderen körperlich einigermaßen riskant.
In Hannover ist auch schon auf den Einsatz des SEK verzichtet worden, weil kleine Kinder im Haus gewohnt haben.
Anschließend werden Spezialisten des LKA oder anderer Spezialeinheiten eigesetzt, um Computer zu sichern. Diese sind häufig schon mit vor Ort. Erste Landespolizeien, darunter auch Niedersachsen, setzen auch Spürhunde ein. Diese sind für das Auffinden von Datenträgern, Handys etc. trainiert.
Hausdurch-suchung wegen Darknet Verfahren – Verhaltensregeln
Es gibt drei zentrale Regeln: Keine Angaben machen. Keinen Widerstand leisten. Keine Unterschriften leisten.
Auf meinen Mandanten in diesen Verfahren ist während der Durchsuchung erheblich eingewirkt worden. Es gibt Fälle in denen Polizeibeamte offensichtlich dauerhaft dazu abgestellt werden, den Mandanten mit Kommentaren und Fragen zu traktieren, so dass diese doch Angaben zur Sache machen. Dies muss man einplanen. In konkreten Fällen ging das auch soweit, dass Partner und Beschuldigter belogen wurden es sei „etwas“ gefunden worden.
Beschuldigten wird regelmäßig nicht gestatte sich oder die Kinder anzuziehen. Bestehen Sie hier auf Ihr Recht menschenwürdig behandelt zu werden. Lassen Sie Kinder von anderen Menschen abholen und machen Sie solange gegenüber den Kindern gute Miene zum bösen Spiel. Eltern müssen sich nach einer solchen Durchsuchung auf erhebliche Auseinandersetzungen mit dem Jugendamt einstellen: Versuchen Sie vorher mit mir darüber zu sprechen, ich weiß Rat.
Machen Sie zudem klar, dass Sie keine freiwilligen Maßnahmen mitmachen wollen. Reden Sie ansonsten so wenig wie möglich mit den Beamten. Schweigen ist schwierig, nichts zu sagen während man redet, ist aber viel schwieriger.
Fazit und Verteidigungs-strategie
Die Ermittlungen im Umfeld von „Alice in Wonderland“ zeigen, wie umfassend und technikgestützt Strafverfolgung im Darknet inzwischen betrieben wird. Wer betroffen ist, sollte verstehen, dass bereits der Besitz digitaler Spuren – nicht erst von Inhalten – zu einem Ermittlungsverfahren und erheblichen Ermittlungen führen kann.
Lesen Sie hier, wie das FBI für deutsche Behörden in Peer-to-Peer-Netzwerken fahndet.
Hausdurchsuchungen vermeiden oder Vorbereiten
Betroffene sollten in Erwägung ziehen, die Durchsuchung anwaltlich vorzubereiten oder aber abzuwenden, was nur in wenigen Fällen möglich sein wird. Ich biete dazu eine Beratung an.
Hausdurchsuchung wegen Alice in Wonderland – Anwalt hilft
Wenn bei Ihnen die Hausdurchsuchung erfolgt ist, sollten Sie sich schnellstmöglich mit einem Spezialisten für Darknetverfahren zusammensetzen. Als Verteidigungsstrategien können insbesondere die folgenden Überlegungen zum Tragen:
Wenn bei Ihnen verbotene Inhalte gefunden werden, gilt es diese so weit wie möglich zu entschärfen. Je nach Qualität und Quantität der Inhalte, die gefunden werden, kann daneben der Vorwurf bei Alice im Wonderland registriert gewesen zu sein in den Hintergrund treten und eingestellt werden oder aber genutzt werden, um den Vorwurf zu belegen.
Wenn keine Hinweise auf die Nutzung und keine verbotenen Inhalte gefunden werden, gibt es eine Vielzahl von Verteidigungsansätzen. Die „Ermittlungen“ des BKA beruhen auf Statistik und sind weder öffentlich noch nachvollziehbar – eine Identifizierung als Täter also angreifbar. Häufig sind die konkreten weiteren Beweismittel letztlich nicht belastbar. Es gibt hier eine Vielzahl von technischen Punkten, die in einer Hauptverhandlung abgreifbar sind.
In vielen Verfahren gibt es auch Probleme bestimmte Handlungen Personen zuzuordnen. Alle weiteren Probleme wie Alters- und Vorsatzfragen können ebenfalls entscheidend sein.
Im Rahmen der Strafzumessung sind auch Therapiebemühungen entscheidend.
Letztlich kann ich als erfahrener Verteidiger in Porno-Verfahren bei Problemen mit dem Jugendamt, dem Arbeitgeber und der Partnerin helfen.
Kontakt und Ersteinschätzung
Wenn Sie von einer Hausdurchsuchung oder Ermittlungen im Zusammenhang mit der Plattform „Alice in Wonderland“ betroffen sind, stehe ich als Fachanwalt für Strafrecht und erfahrener Verteidiger in Darknet-Verfahren für eine vertrauliche Ersteinschätzung zur Verfügung. Sie können mich telefonisch, per Videocall oder über die verschlüsselte Kommunikation via Threema (ID: 8V36DEWM) erreichen. Eine frühzeitige anwaltliche Einschaltung ermöglicht es, rechtzeitig auf Ermittlungsmaßnahmen zu reagieren und Fehler zu vermeiden.
