Mord auf Bestellung

Ein Niederösterreicher bezahlte einem Auftragsmörder 10.000 US-Dollar für die Ermordung seiner Ex-Lebensgefährtin und Mutter seines siebenjährigen Sohnes. Kriminalisten wiesen ihm die „Bestellung“ samt Zahlung im Darknet nach und verhinderten den Auftragsmord. Der Mann wurde wegen Anstiftung zu einem Mord zu einer Haftstrafe verurteilt.

Marktplatz für Mordaufträge im Darknet.

Wie wird man seine Ex-Frau los? Am besten durch einen Auftragskiller aus dem Darknet. Das klingt so banal wie unvorstellbar. Durchgezogen hat das der IKT-Fachmann Günther H., 54, aus einem kleinen Ort in Nieder­österreich. Einen Strich durch die Rechnung machte ihm die Polizei – knapp bevor es so weit gekommen wäre.

Sabine H., 46, ebenfalls aus einem kleinen Ort in Niederösterreich und Günther H. waren mehrere Jahre lang Lebensgefährten. Sie haben einen gemeinsamen Sohn. Er war zum Tatzeitpunkt sieben Jahre alt. Sabine H. und Günther H. stritten seit der Trennung um das Sorgerecht für den Buben. Günther H. soll seine Ex-Frau auf Schritt und Tritt verfolgt und sie überwacht haben, zumindest war das ihre Darstellung; Stalking-Anzeige gab es keine. Sabine H. ist selbstständige Finanz- und Vermögensberaterin und lebt mit einem neuen Lebensgefährten in einem gemeinsamen Haus.

Am Abend des 8. März 2023 erhielt die Polizei in Österreich von IKT-Spezialisten der Polizei in Manchester zwei Hinweise: Ein gewisser „Sunnyboy“ sei im Darknet auf der Suche nach einem Auftragskiller für eine damals 45-jährige Niederösterreicherin mit einem Kind und einem 47-jährigen Lebensgefährten. Der zweite Hinweis lautete auf einen gewissen „Torman 9941“ im Darknet. Dieser soll eine Pis­tole samt Munition in Bestellung gegeben haben. Unklar war, ob es einen Zusammenhang gab zwischen den beiden Alias-Namen „Sunnyboy“ und „Torman 9941“.

„Sunnyboy“ stand offenbar mit mehreren Auftragskillern im Darknet in Kontakt, und zwar auf mehreren Plattformen. Diese nehmen eine Art Treuhand-Funktion ein. Wer einen Killer sucht, bekommt ihn dort. Er bezahlt einen vereinbarten Betrag über die Plattform ein und erhält die Garantie, dass die Auftragstat ausgeführt wird. Der Täter erhält den „Lohn“ erst nach Vollendung der Tat.

Sobald der Betrag bei der Plattform einlangt, gibt es kein Zurück mehr – für keinen der Vertragspartner. Die Preise sind gestaffelt nach Schwierigkeitsgrad der Tat. Jemanden, der von einem Bodyguard bewacht wird, töten zu lassen, kostet mehr, als jemand Unbewachten ermorden zu lassen. Wer einer bekannten Persönlichkeit, einer VIP (Very Important Person), nach dem Leben trachtet, muss tiefer in die Tasche greifen, um ihn aus dem Weg räumen zu lassen. Auch ein Mord durch Erschießen kostet mehr als etwa ein inszenierter Verkehrsunfall mit Fahrerflucht.

„Sunnyboy“ hatte klare Vorstellung davon, wie sein Opfer umgebracht werden sollte: Der Täter hätte die Frau mit einem Auto überfahren sollen. Es sollte aussehen wie ein Unfall, das Auto sollte gestohlen sein, der Täter sollte Fahrerflucht begehen. Mit einem gewissen „Marksman“ war Sunnyboy schon recht tief in den Verhandlungen. Er hatte ihm bereits die Adresse des Opfers bekannt gegeben.

„Wir haben uns die Frau vorerst aus der Ferne angesehen“, berichtet Hannes Fellner, Ermittlungsbereichsleiter Leib/Leben im Landeskriminalamt Niederösterreich. Eine Observationsgruppe nahm am Abend des 8. März 2023 das Haus des potenziellen Opfers eine Nacht lang unter Beobachtung. Nachdem das nichts Auffälliges ergeben hatte, „sind wir am nächsten Tag an sie herangetreten“, berichtet Fellner. Die Frau war Fitnesstrainerin und selbstständige Finanz- und Vermögensberaterin. Es war nicht auszuschließen, dass sie sich in ihrer beruflichen Tätigkeit jemanden so zum Feind gemacht hatte, dass er sie ermorden lassen wollte. Als hochverdächtig nannte sie jedoch von Anfang an ihren ehemaligen Lebensgefährten – obwohl: Vorstellen hätte sie es sich nicht wirklich können, dass er das in die Tat umsetze, wie sie gegenüber den Kriminalisten angab.

Die Kriminalisten nahmen direkt Kontakt auf mit den Kollegen in Manchester. Der Hinweis in Richtung Österreich war ein Nebenprodukt anderer Ermittlungen in Großbritannien. Näheres wussten sie nicht.

Die Kriminalisten aus Niederösterreich konnten nur ihre üblichen Ermittlungsmaßnahmen einleiten: Observation, technische und Telefon-Überwachung. „Auf Whats-App zum Beispiel haben wir ja keinen Zugriff – obwohl wir wissen, dass die Täter großteils über Messenger-Dienste und soziale Medien miteinander kommunizieren“, schildert Hannes Fellner. Auch was Internet-Zugriffe betrifft, sind die Beamten auf die Kooperationsbereitschaft von Internet-Service-Providern angewiesen. Mit dem Standardprogramm, das der Polizei zur Verfügung steht, kamen die Kriminalisten nicht weiter.

Außerdem war noch zu klären, ob „Sunnyboy“ und „Torman 9941“ etwas miteinander zu tun hatten oder gar ein und dieselbe Person waren. Der Übergabeort der Pistole samt Munition war offensichtlich bereits festgelegt. Die Waffe sollte an einem Baum bei einem Strauch hinterlegt werden. Der Übergabeort lag in der Perchtoldsdorfer Haide. Zwei Nächte lang lagen Beamte der Direktion für Sondereinheiten (DSE) und des Landeskriminalamts NÖ auf der Lauer – mit Wärmebildkameras, Infrarot und Nachtsichtgeräten. Der Personaleinsatz nahm 80 Beamtinnen und Beamte in Anspruch. Doch die Waffe kam nie an. Das Geschäft war offenbar nicht zustande gekommen. Die Polizei brach die Aktion ab. „Torman 9941 und Sunnyboy waren offensichtlich nicht ein und dieselbe Person und haben offensichtlich nichts miteinander zu tun gehabt“, berichtet Fellner.

Netflow-Analyse. Die Kriminalis­ten konzentrierten sich auf Günther H. als Verdächtigen. Mitarbeiter des „Cybercrime-Competence-Centers“ („C4“) im Bundeskriminalamt wiesen mit einer Netflow-Analyse nach, wann Günther H. ins Darknet eingestiegen war. Eine Netflow-Analyse ist eine  Art Zeit-Weg-Diagramm im digitalen Raum. Sie wurde in diesem Fall erstmals angewendet. Die Meta-Daten aus dem Internet erhielten die Kriminalis­ten über den Internet-Service-Provider von Günther H. Die Einstiegszeitpunkte deckten sich tatsächlich mit den Zeitpunkten, zu denen es zu einem Austausch im Chat zwischen „Sunnyboy“ und „Marksman“ gekommen war.

„Sunnyboy“ beschrieb dem mutmaßlichen Auftragsmörder seine Ex-Lebensgefährtin ganz genau. Er nannte Gewohnheiten und auch, dass sie einen neuen Lebensgefährten hatte, und wie dieser hieß. Wenn ihm bei dem inszenierten Autounfall „etwas passieren sollte“, sei das laut „Sunnyboy“ nicht verkehrt. Wichtig sei aber, dass Sabine H. dabei ums Leben komme. „Sunnyboy“ schrieb „Marksman“ auch genaue Tatzeiten. Der Unfall solle geschehen, wenn der siebenjährige Sohn bei Günther H. übernachte. Dies würde zweierlei gewährleisten, einerseits dass dem Kind bei dem vorgespielten „Unfall mit Fahrerflucht“ nichts geschehe und andererseits dass Günther H. ein Alibi hätte.

10.000 US-Dollar in kleinen Tranchen. „Marksman“ und „Sunnyboy“ einigten sich auf einen Preis von 10.000 US-Dollar. Sie hatten drei mögliche Tatzeitpunkte vereinbart – allesamt Zeitpunkte, zu denen Günther H. seinen siebenjährigen Sohn bei sich    hatte.

Unmittelbar nach der Einigung im April 2023 begann Günther H., bei  Bitcoin-Automaten an verschiedenen Standorten bei Wien Geld in kleinen Tranchen auf „Wallets“ einzuzahlen. Die Euro-Beträge wurden in Bitcoins umgerechnet. „Für die Einzahlung von Beträgen unter 250 Euro braucht man sich nicht zu registrieren und bleibt anonym“, erklärt Hannes Fellner. Günther H. teilte das Geld auf vier „Wallets“ (digitale Geldbörsen) auf, um zu verschleiern, dass es sich um eine einzelne Ziel-Wallet halten würde.

Aufgrund der Einzahlungen in die Wallets, verknüpft mit Observationsdaten war eruierbar, auf welche Wallets Günther H. die Beträge überwiesen hatte – auch wenn er es anonym vorgenommen und drei verschiedene Wallet-Softwares verwendet hatte. Die Kriminalisten wiesen dem Verdächtigen 55 solcher Verschleierungszahlungen nach.

Am 27. April 2023 wurde der Deal mit dem Auftragsmörder „Marksman“ fixiert. Günther H., alias „Sunnyboy“, sandte ihm Fotos von Sabine H., ihre genauen Daten, die möglichen Tatzeiträume sowie die Daten und ein Foto ihres Lebensgefährten, den er als „völlig harmlos“ für den Auftragskiller bezeichnete. Der erste Tatzeitraum begann am 1. Mai 2023. „Marksman“ möge doch so nett sein, schrieb „Sunnyboy“, ihm rechtzeitig bekannt zu geben, welchen Zeitraum er letztlich wählen würde. Noch am selben Tag transferierte Günther H. 9.000 US-Dollar von den vier Wallets auf eine Zentral-Wallet und von dort aus auf eine Wallet der Online-Killer-Plattform. Jetzt war die Bestellung nicht mehr zu stoppen.

„Sunnyboy“ hatte um 1.000 US-Dollar zu wenig überwiesen. Das kam auf der Plattform nicht gut an. Er solle schleunigst den Betrag auf 10.000 US-Dollar aufzahlen – wie er das vereinbart hatte. Ein Skonto-Abzug sei nicht vorgesehen. Am 29. April 2023 überwies Günther H. den restlichen Betrag anstandslos.

Zugriff. Die Polizei musste jetzt handeln. Am 30. April 2023, kurz vor 18 Uhr, zog das Einsatzkommando (EKO) Cobra Kräfte um das Anwesen von Günther H. auf. „Wir hätten versucht, ihn in flagranti vor dem Computer zu erwischen, wenn er gerade im Darknet surft“, erzählt Hannes Fellner. Möglich gewesen wäre das durch die Kooperationsbereitschaft des Internet-Service-Providers von Günther H. Doch das Haus war abgesichert wie ein Fort – rundum mit Überwachungskameras und allen marktüblichen Sicherheitseinrichtungen. Sobald sich Polizei dem Haus genähert hätte, hätten die Sicherheitsmaßnahmen Wirkung gezeigt.

Sie mussten sofort handeln. Im Haus befanden sich Günther H., dessen neue Lebensgefährtin und deren zwölfjähriges Kind. Das Überraschungsmoment war auf der Seite der Polizistinnen und Polizisten. Neben den Beamten des EKOs Cobra waren sieben Ermittlerinnen und Ermittler der Mordgruppe des Landeskriminalamts NÖ an der Aktion beteiligt, sowie drei Forensiker des Bundeskriminalamts. Sie stellten 60 Datenträger sicher sowie sämtliche elektronischen Geräte in dem Haus. Günther H. wurde kurz nach 18 Uhr verhaftet. Die Hausdurchsuchung dauerte bis 2.30 Uhr in der Früh.

Günther H. hatte einen „Iron-Key“ in der Hosentasche. Auf dem Datenträger hatte er sämtliche Zugänge und Passwörter zu seinen Accounts, ein­schließlich der Bitcoin-Adressen seiner Wallets und seines Zugangs zum Dark­net sowie eines Schnellzugriffs auf den Darknet-Browser „TOR“. Zudem war die gesamte Kommunikation zwischen „Sunnyboy“ und „Marksman“ auf dem Iron-Key gespeichert. Auch dieser war gesichert: Nach zweimaliger Eingabe eines falschen Zugangscodes für den Iron-Key hätte er sämtliche Daten darauf zerstört.

Der Festgenommene leugnete, was ihm die Polizei vorhielt. Der IKT-Spezialist gilt als hochintelligent. Er hat im Laufe der vergangenen Jahre ein beträchtliches Vermögen angehäuft. Er ist Geschäftsführer einer IT-Firma im Osten Deutschlands und eines eigenen IT-Unternehmens. Sein Unternehmen hat Kunden in höchsten Kreisen – unter anderem hat es deutsche relevante Organisationen mit Computersystemen ausgestattet.

Beweise. Die IT-Spezialisten des „C4“ im Bundeskriminalamt verifizierten die IP-Adressen Günther Hs. Sie stellten Zusammenhänge zwischen den Bitcoin-Einzahlungen und den einzelnen Wallets her. Die Kriminalisten des Landeskriminalamts NÖ klärten die Identität des „Sunnyboy“ als Günther H. Sie wiesen ihm mithilfe der Experten des Bundeskriminalamts nach, dass er bereits seit Oktober 2022 auf verschiedenen Online-Plattformen einen Auftragsmörder gesucht hatte. Er hatte dazu sieben unterschiedliche Pseudo­nyme verwendet.

Der Festgenommene war anfangs nicht kooperativ. Die Kriminalisten legten ihm vor, was sie gegen ihn in der Hand hatten. „Die ersten sieben Stunden der Vernehmung waren wir hauptsächlich damit beschäftigt, ihm die Krypto-Zusammenhänge seiner Aktivitäten im Darknet darzulegen“, schildert Hannes Fellner. Erst als Günther H. realisiert hatte, wie minutiös ihm die Kriminalisten und die IT-Spezialisten der Polizei sein Online-Verhalten nachweisen konnten, war er bereit, ein Geständnis abzulegen, er bestand nicht einmal darauf, der Vernehmung einen Anwalt beizuziehen – und noch viel wichtiger: Er war bereit, den Mordauftrag zu stoppen.

Abbestellung des Mordes. Günther H. nahm vor den Augen der niederösterreichischen Kriminalbeamten Kontakt mit „Marksman“ auf, um ihn zurückzupfeifen. „Nicht möglich“, hieß es anfangs auf der Plattform. Später stieg „Marksman“ darauf ein und versuchte, 2.500 US-Dollar „Stornogebühren“ von „Sunnyboy“ zu erpressen. „Darauf sind wir nicht eingegangen“, sagt Hannes Fellner.

„Marksman“ ließ von der Tat ab. Trotz aller Bemühungen konnten ihn die Beamten des C4 im Bundeskriminalamt nicht ausforschen. Auch die 10.000 US-Dollar konnten nicht zurückgeholt werden. Bei der Hauptverhandlung zeichneten die IT-Spezialisten des Bundeskriminalamts jeden Schritt nach, den Günther H. im Darknet gesetzt hatte. „Zum Erfolg geführt hat uns die Verknüpfung zwischen digitalen Ermittlungen und Ermittlungen in der realen Welt“, betont Fellner.

Das Wichtigste und Schwierigste bei diesem Fall sei es gewesen, dem Beschuldigten nachzuweisen, dass es sich nicht bloß um einen untauglichen Versuch gehandelt hatte, sondern dass es ernsthaft zum Mord gekommen wäre, wenn die Polizei nicht eingeschritten wäre. Es war laut Fellner eine Gratwanderung zwischen der Verhinderung der Tat und dem Zuwarten, um den rechtlichen Nachweis für die Ernsthaftigkeit der Absicht des Auftraggebers Günther H. und der Ernsthaftigkeit des ausführenden Täters zur Umsetzung der Tat zu erbringen. Im Vordergrund sei gestanden zu verhindern, dass die Frau umgebracht wird.

Doch es hätte wenig geholfen, wenn Günther H. freigegangen wäre, weil ihm eine ernsthafte Absicht nicht nachgewiesen worden wäre. Günther H. wurde zu 15 Jahren Haft verurteilt.

Die Namen wurden aus Opferschutzgründen geändert.