Operation Lobos 1

Die Operation Lobos ( portugiesisch : Operação Lobos ), auch bekannt als Operation Wolves , war eine multinationale Operation mit Beteiligung von zwölf Ländern und brasilianischem Zentrum. Ziel war die Bekämpfung des TOR- Onion-Dienstes Baby Heart. Weitere Ziele der gemeinsamen Operation waren die De-Anonymisierung der TOR-Hostserver, TOR-Administratoren und TOR-Nutzer, die mit der Zielwebsite und mehreren anderen Websites/Chatplattformen in Verbindung standen. Diese Websites/Chatplattformen sollen illegale Bilder von sexuellem Kindesmissbrauch ( CSAM ) sowie andere Kategorien legaler Nackt- und Nicht-Nacktbilder von Personen unter 18 Jahren enthalten oder für deren Verbreitung genutzt worden sein. Stand Februar 2024 wurde die vollständige Liste der an dieser Operation beteiligten Websites/Chatplattformen von keiner Regierung veröffentlicht. Zu den Hauptzielen zählten jedoch Baby Heart, Hurt-meh, Boyvids 4.0, Anjos Prohibidos (BR)/Forbidden Angels und Loli Lust. Gerichtsdokumente deuten darauf hin, dass mindestens zwei weitere Websites/Chatplattformen ins Visier genommen wurden. Die Namen der Webseiten/Chat-Seiten wurden jedoch nicht veröffentlicht.

Informationen zu den namentlich genannten Operationen im Zusammenhang mit den Durchsuchungen, Beschlagnahmungen, Strafverfolgungen und Gerichtsverfahren, die auf den aus der Operation Lobos 1 gewonnenen Hinweisen beruhen, finden Sie in der länderspezifischen Zusammenfassung unten.

Die multinationale gemeinsame Untersuchung (Operation BabyHeart), die zur Operation Lobos führte, begann bereits im August 2015, als das Onion Service Bulletin Board Baby-Heart ursprünglich online ging.

• Im Oktober 2016 gab HSI-Agent Greg Squire unter Eid ab, dass die USA zu diesem Zeitpunkt der gemeinsamen Untersuchung beigetreten seien. Er beschrieb sie als HSI Boston, HSI Philadelphia und ausländische Strafverfolgungsbehörden. ^{[ 1 ]}
• Im März 2017 übermittelte die australische Polizei angeblich Informationen an die portugiesische Justizeinheit für Cyberkriminalität „UNC3T“. ^{[ 2 ]}
• Im Mai 2017 übermittelte die australische Polizei UNC3T weitere Informationen, die sie durch die Festnahme und Beschlagnahme eines anderen Verdächtigen in Australien erhalten hatte.
• Im Mai 2017 führte HSI-Sonderagent Greg Squire im Zusammenhang mit der Operation Babyheart vier Durchsuchungen in Kalifornien durch. Der Hinweis kam von einer ausländischen Strafverfolgungsbehörde nach der Festnahme (die vermutlich mit der Festnahme in Portugal und Brasilien nur zwei Monate zuvor zusammenhängt), die zu vier Festnahmen führte. ^{[ 1 ]}
• Im Vorfeld des 20. Juni 2017 wurden in Zusammenarbeit mit der US-amerikanischen Einwanderungs- und Zollbehörde (ICE) sowie mit Europol und Interpol kriminelle Geheimdienstanalysen durch deren Experten durchgeführt . ^{[ 3 ]}
• ^{Am 20.} Juni 2017 wurden zwei Administratoren des Boards ( Twinkle ^{[ 4 ]} alias XXX und Forgotten ) in Portugal verhaftet und später, am 23. Januar 2020, verurteilt. ^{[ 2 ] Twinkle} wurde bei der Herstellung von CSAM „auf frischer Tat ertappt“ ^und half anschließend den portugiesischen Strafverfolgungsbehörden bei der Festnahme von Forgotten .
• Die Verhaftung von Twinkle und Forgotten erfolgte vor der Verhaftung und Anklage gegen einen weiteren Administrator der Baby Heart-Website in Recife / Bundesstaat Pernambuco (Brasilien). ^{[ 5 ] [ 6 ]} Dieser Website-Administrator in Recife soll eine „preisgekrönte Kooperationsvereinbarung/einen Deal“ mit der brasilianischen Bundesstaatsanwaltschaft ( Ministerio Público Federal , MPF) abgeschlossen haben. Der Administrator, der zum Informanten wurde, soll über das Tor-Netzwerk eine wichtige Beziehung zum Administrator des Baby Heart-Tor-Onion-Dienstes (und anderer Onion-Dienste) unterhalten haben. Die Existenz und Bedeutung der Informationen über den Serveradministrator der Zielwebsite wurden angeblich zwischen der brasilianischen MPF ​​und dem Federal Bureau of Investigation (FBI) der Vereinigten Staaten bestätigt. Das FBI behauptete damals, diese Person verwalte 70 % aller CSAM-Inhalte im Tor-Netzwerk. ^{[ 5 ] [ 6 ]} Eine Überprüfung dieser Statistik zeigt, dass die Angabe von 70 % unwahrscheinlich oder irreführend ist, da mehrere Pressemitteilungen, die im Anschluss, während und nach dem Betrieb dieser spezifischen Onion-Dienste veröffentlicht wurden, Zahlen von über 30 % für beliebige Dienste angaben. Ein Beispiel hierfür sind die statistischen Informationen der US-Regierung über die koreanische Website „Welcome to Video“ (siehe Fallbeispiel „Welcome to Video “).

Die meisten Informationen über die Operation stammen aus Pressekonferenzen und Pressemitteilungen portugiesischer und später brasilianischer Behörden, in denen diese ihren Erfolg und ihre Beteiligung an einer von den brasilianischen Behörden als „beispiellos“ bezeichneten gemeinsamen Operation mit dem Federal Bureau of Investigation (FBI) der Vereinigten Staaten und der National Crime Agency (NCA) des Vereinigten Königreichs rühmten. ^{[ 5 ] [ 6 ]}

• Ein zum Einsatz gekommenes Werkzeug war Europols „Trace an Object“ (Objekte, Hintergründe und Kleidungsstücke, die im Internet im Zusammenhang mit Kindesmissbrauch identifiziert wurden) mit Fotos aus sozialen Netzwerken.
• Ein weiteres Instrument zur Identifizierung von Verdächtigen war die wissenschaftliche Polizeieinheit der portugiesischen Justizpolizei (LPC) ^{[ 2 ]} , die aus den Bildern Handabdrücke erstellte, auf denen auch die Hände des Verdächtigen zu sehen waren (die Verdächtigen zeigten auf den hochgeladenen Bildern nie ihr Gesicht).
• Die Festnahme eines der Onion-Server-Administratoren aus Recife/PE, Brasilien, führte zu einer Vereinbarung mit der Staatsanwaltschaft, wonach der Administrator als Informant fungieren und Informationen über den Serveradministrator beschaffen sollte. ^{[ 5 ] [ 6 ]}

• Auf Grundlage eines gerichtlich genehmigten Haftbefehls und der von einem Informanten erhaltenen Informationen ermittelten die brasilianischen Behörden in Zusammenarbeit mit dem FBI die IP-Adresse des Servers. ^{[ 5 ] [ 6 ]}
• Es wurde eine Vorladung an den Internetdienstanbieter (ISP) der verdächtigen IP-Adresse erlassen, woraufhin dieser die physische Adresse und die zugehörigen Kontoinformationen übermittelte. ^{[ 5 ] [ 6 ]} Bei der physischen Adresse, auch Zieladresse genannt, handelte es sich um eine Adresse in Recife, PE, Brasilien.

• Es wurde ein Haftbefehl erteilt, um den Datenstrom zwischen dem Internetdienstanbieter und der Zieladresse des Verdächtigen abzufangen.
• Die abgefangenen Daten wurden mit Unterstützung der britischen National Crime Agency (NCA) im Rahmen des Projekts Habitance überwacht . Die NCA bestätigte, dass 85,53 % des Internetverkehrs auf TOR-Verkehr entfielen. Die Tatsache, dass während der Analyse 374 Terabyte (PB) Daten über die Verbindung flossen, bestärkte die Strafverfolgungsbehörden in ihrem Verdacht, dass es sich bei dem Ziel um einen TOR-Serverknoten oder einen Tor-Relay-Knoten handelte . ^{[ 5 ] [ 6 ]}

Die im Rahmen der ersten Datenüberwachungsphase gewonnenen Informationen wurden genutzt, um weitere Durchsuchungsbefehle zu erwirken. ^{[ 5 ] [ 6 ]}

• Abhören der Telefonkommunikation im Zusammenhang mit der Adresse und den Personen, die mit der Zieladresse in Verbindung stehen
• Durchsuchungs- und Beschlagnahmebefehl für den E-Mail-Anbieter, der mit den Personen in Verbindung steht, die mit der Zieladresse in Verbindung stehen.
• Durchsuchungs- und Beschlagnahmebeschluss für die Wohnung an der Zieladresse
• Ein spezieller verdeckter Durchsuchungs- und Überwachungsbeschluss erlaubte die Installation von Aufnahmegeräten innerhalb der Wohnung, um die vom Serveradministrator eingegebenen Passwörter aufzuzeichnen.
• Kontrolliertes Vorgehen?

• In der zweiten Abhörphase wurde eine vom FBI entwickelte Deanonymisierungstechnik eingesetzt . Die Strafverfolgungsbehörden starteten einen Denial-of-Service-Angriff (DDoS) auf den Target Tor Onion Service und überwachten den abgefangenen Datenverkehr. Durch die pulsierende Durchführung des DDoS-Angriffs konnte die gemeinsame Task Force zwischen Phasen mit normalem Datenverkehr beim Target Tor Onion Service und Phasen des DDoS-Angriffs unterscheiden. Der Anstieg des Datenverkehrs während der DDoS-Angriffe diente der Bestätigung des Verdachts, dass der Target Onion Service von einem Server an der Zieladresse betrieben wurde. ^{[ 5 ] [ 6 ]}
• Die Abhörmaßnahmen gegen den Verdächtigen bestätigten den Verdacht, dass er der Administrator des Zielservers war. Seine Gespräche mit dem Internetanbieter bezüglich der Internetprobleme wurden abgefangen und aufgezeichnet. Der DDoS-Angriff führte dazu, dass die Zielwebsite des Tor-Onion-Dienstes für die Dauer des Angriffs für die Nutzer nicht erreichbar war, da die Datenflut die Bandbreite des betreffenden Internetanschlusses überstieg.
• Am 8. März 2019 wurde die Stromversorgung der Zieladresse unterbrochen.
• Am 12. März 2019 wurde die erste explorative Durchsuchung der Zieladresse in Abwesenheit des Bewohners durchgeführt, was in Brasilien als beispiellos gilt. Der Durchsuchungsbefehl genehmigte die Installation von Überwachungskameras, eines Keyloggers und eines Mausloggers sowie das Kopieren aller Daten von elektronischen Geräten. Die Installation der Überwachungskameras wurde jedoch nicht durchgeführt. Computer, USB-Sticks, interne und externe Festplatten sowie andere Speichermedien wurden für die spätere Analyse kopiert.
• Am 5. Juni 2019 wurde eine zweite Sondierungsdurchsuchung der Zieladresse (in Abwesenheit des Bewohners) durchgeführt, bei der die Strafverfolgungsbehörden erfolgreich Keylogger auf zwei Tastaturen installierten. Diese Technik, die dem Fachgebiet der NCA gehörte, ermöglichte es den Beamten, beim nächsten Login des Administrators die Zugangsdaten für Computer, Server und Tor-Onion-Dienste bzw. Zielwebseiten und Chat-Plattformen zu erlangen. Die Strafverfolgungsbehörden nutzten diese zweite Gelegenheit außerdem, um eine vollständige Kopie der Serverfestplatte für spätere Untersuchungen anzufertigen. Die Stromversorgung der Zieladresse wurde erneut unterbrochen und wieder eingeschaltet, wodurch der Systemadministrator gezwungen war, alle seine Zugangsdaten einzugeben, um das System neu zu starten.

• Am 6. Juni 2019 erfolgte die Verhaftung des Serveradministrators Lucas Batista und die Beschlagnahme des betriebsbereiten Servers.

Die sichergestellten Informationen (darunter 2.042.408 mutmaßliche CSAM-Dateien) wurden dem FBI und der NCA zur Verfügung gestellt. Weitere Informationen, wie E-Mails des Serveradministrators, Kontoauszüge, Steuererklärungen, Uber-Transaktionen und -Ziele, Mobilfunkdaten und Überwachungsprotokolle außerhalb seines Wohnsitzes, dienten der Bestätigung der Straftaten.

Die von den brasilianischen Behörden zur Begründung der Ermittlungen gemäß dem brasilianischen Strafgesetzbuch angeführten Straftaten waren:

• Verkauf, Verbreitung, Herstellung und Aufbewahrung von Kinderpornografie gemäß Artikel 240, 241, 241-A und 241-B des ECA (Estatuto da Criança e do Adolescente (Kinder- und Jugendgesetz) ^{[ 5 ] [ 6 ]} und
• Vergewaltigung, einschließlich der Vergewaltigung von schutzbedürftigen Personen gemäß Artikel 213 und 217-A ^{[ 5 ] [ 6 ]}

Während der aktiven Zeit der Tor-Onion-Dienste, beginnend Anfang März 2019, führten die NCA und ihre Partner Verkehrsanalysen auf Grundlage der TEI-Beschlusse (Targeted Equipment Interference) 91-TEI-0147-2019 und 91-TEI-0146-2019 durch ^{[ 7 ].} Obwohl die Vereinigten Staaten am 16. September 2019 darüber informiert wurden, dass „zu keinem Zeitpunkt Computer oder Geräte in den Vereinigten Staaten gestört wurden“ und dass „das Vereinigte Königreich nicht auf Daten von Computern in den Vereinigten Staaten zugegriffen, diese durchsucht oder beschlagnahmt hat“, bestehen rechtliche Einwände gegen diese Aussagen, die bis Februar 2024 noch nicht beigelegt waren. TEI-Beschlusse unterscheiden sich von TE-Beschluss hinsichtlich der gerichtlichen Genehmigung für die Störung von Zielgeräten (siehe Operation Venetic der britischen NCA ) .

Unter Berufung auf die Problematik der sogenannten „Silver-Platter“-Beweise haben sechs in den USA Angeklagte Anträge auf Unterdrückung aller Beweismittel gestellt, die ihrer Ansicht nach durch rechtswidrige Durchsuchungsbefehle erlangt wurden. Die US-amerikanische Rechtsprechung verbietet es der Bundesregierung, „Tipps“ entgegenzunehmen und diese zur Erlangung eines Durchsuchungsbefehls zu verwenden, wenn die US-Regierung maßgeblich an der Spionage-/Versteckoperation beteiligt war und für die ursprüngliche Spionage keinen vorherigen Durchsuchungsbefehl erwirkt hatte.

„Obwohl der Vierte Verfassungszusatz und seine Beweisverwertungsverbote im Allgemeinen nicht für die Strafverfolgungsmaßnahmen ausländischer Behörden im eigenen Land gelten, finden diese Grundsätze Anwendung, wenn (1) das Verhalten ausländischer Beamter bei der Beweiserhebung so extrem ist, dass es gegen das Rechtsbewusstsein verstößt, und (2) die Zusammenarbeit der USA mit ausländischen Strafverfolgungsbehörden verfassungsrechtliche Beschränkungen berühren könnte.“ United States v. Valdivia , 680 F.3d 33, 51 (1st Cir. 2012); United States v. Getto , 729 F.3d 221, 228 (2d Cir. 2013). 

Dies ist Teil der anhaltenden Kontroverse um die Five Eyes .

Lucas Batista Santos wurde am 6. Juni 2019 in São Paulo, Brasilien ^{[ 8 ],} wegen seiner Tätigkeit als Betreiber der Server der Tor Onion-Dienste Baby Heart, Hurt-meh, Boyvids 4.0, Anjos Prohibidos (BR)/Forbidden Angels und Loli Lust verhaftet. Laut FBI waren auf den fünf Seiten mehr als 1.839.831 Nutzer registriert.

Die zweite Phase der Operation Lobos 1 in Brasilien trug den Namen Operation Lobos Phase 2 oder kurz Operation Lobos 2 und befasste sich mit der Festnahme und den Gerichtsverfahren gegen die Verdächtigen, die mit den Erkenntnissen der Operation Lobos 1 in Verbindung standen. Die meisten, wenn nicht alle beteiligten Länder führten ebenfalls eigene Operationen durch, die den Hinweisen der Operation Lobos nachgingen. Die Namen der Operationen in den einzelnen Ländern wurden bis Februar 2024 nicht veröffentlicht. Viele der Personen, die die betreffenden Orte besucht haben sollen, wurden jedoch in den Folgejahren aufgrund von Hinweisen oder Tipps ausländischer Strafverfolgungsbehörden strafrechtlich verfolgt.

• Die Vereinigten Staaten erhielten im August und September 2019 Hunderte von Hinweisen von der NCA ^{[ 9 ] [ 10 ].} Bis zum 20. Februar 2024 wurden jedoch nur 38 Personen durchsucht, was lediglich zu 27 Festnahmen führte. Zwei der Festgenommenen starben in Haft, und eine verurteilte Person legte Berufung ein und gewann. Bislang wurden somit nur 13 Verurteilungen erwirkt. Fünf Personen warten noch auf ihren Prozess, und in zwei Fällen läuft noch die Berufungsverhandlung.
• Brasilien – Stand 3. Dezember 2021 wurden in Brasilien im Rahmen der Operation Lobos 106 Durchsuchungs- und Beschlagnahmebeschlüsse in 55 Städten in 20 Bundesstaaten vollstreckt. Laut einer Pressemitteilung der Regierung wurden 18 Personen auf frischer Tat festgenommen. Die meisten Durchsuchungen betrafen Wohnungen, einige jedoch auch Arbeitsstätten. 68 der Durchsuchungen und Beschlagnahmungen führten zu Festnahmen, was etwa 62 % der Durchsuchungen entspricht. Die Zahl der Verurteilungen steht noch aus. ^{[ 8 ]}
• Auch Deutschland erhielt eine Liste mit Hinweisen; allerdings könnten die dortigen Gesetze zur Transparenz der Gerichte die jemals verfügbaren Informationen darüber, wie viele Hinweise sie erhielten oder wer diese waren, einschränken.

„ Die Operation war das Ergebnis einer gemeinsamen Arbeit der Polizeikräfte aus Brasilien, den Vereinigten Staaten, Großbritannien, Australien, Kanada, Neuseeland, Deutschland, Portugal, Italien, Norwegen, Frankreich und Österreich.“ [ 11 ]

• Australien:
  • Australische Bundespolizei (AFP) ^{[ 5 ] [ 6 ]}
  • Queensland Task Force Argos des Queensland Police Service ^{[ 12 ]}
• Österreich ^{[ 5 ] [ 6 ]}
• Brasilien ^{[ 5 ] [ 6 ]} – Bundespolizei Brasiliens ^{[ 12 ]}
• Kanada ^{[ 5 ] [ 6 ]} – Toronto Police Service ^{[ 12 ]}
• Europol ^{[ 2 ] [ 12 ]}
• Frankreich: ^{[ 5 ] [ 6 ] [ 12 ]}
  • Französische Nationalpolizei – Police National – (OCLCTIC)
  • Nationale Gendarmerie – Französische Gendarmerie Nationale – (C3N)
• Interpol ^{[ 2 ] [ 12 ] [ 3 ]}
• Italien ^{[ 5 ] [ 6 ]} – Italienische Polizia di Communicazioni ^{[ 12 ]}
• Deutschland ^{[ 5 ] [ 6 ]} – Bundeskriminalamt (BKA) ^{[ 12 ]}
• Neuseeland ^{[ 5 ] [ 6 ]}
• Norwegen ^{[ 5 ] [ 6 ]}
• Portugal:
  • Cybercrime Combat Unit ( UNC3T ) ^{[ 2 ]}
  • Portugals Kriminalpolizeiliche Wissenschaftliche Polizeieinheit (LPC) ^{[ 2 ]}
• Vereinigtes Königreich:
  • National Crime Agency (NCA) ^{[ 5 ] [ 6 ] [ 12 ]}
  • Polizei West Midlands
• Vereinigte Staaten: ^{[ 5 ] [ 6 ]}
  • Homeland Security Investigations (HSI) ^{[ 2 ] [ 12 ]}
  • Federal Bureau of Investigation (FBI) ^{[ 5 ] [ 6 ]}

• Liste der US-Fälle