Rydox-Betreiber bekennt sich vor US-Gericht schuldig

Ardit Kutleshi, einer der mutmaßlichen Betreiber des Cybercrime-Marktplatzes Rydox, hat sich in den USA des schweren Identitätsdiebstahls und der Geldwäsche schuldig bekannt.

Der 28-Jährige war im vergangenen Jahr aus seinem Heimatland Kosovo ausgeliefert worden. Nach Angaben der US-Staatsanwaltschaft betrieb er Rydox zusammen mit seinem älteren Bruder. Auf der illegalen Plattform kauften Cyberkriminelle gestohlene persönliche Daten, unbefugte Zugänge zu Geräten und weitere Werkzeuge für Betrugsdelikte.

Das Strafmaß soll im Februar verkündet werden. Auf schweren Identitätsdiebstahl stehen mindestens zwei Jahre Haft. Für Geldwäsche drohen bis zu 20 Jahre.

Ein Laden für gestohlene Identitäten und Betrugsbaukästen

Laut Anklage half Kutleshi fast ein Jahrzehnt lang beim Betrieb von Rydox. In dieser Zeit wickelte die Seite mehr als 7.600 Transaktionen ab und nahm dabei 232.000 US-Dollar ein.

Der Marktplatz hatte rund 18.000 Nutzer. Sie konnten dort Sozialversicherungsnummern kaufen, also die US-Kennnummer, an der Beschäftigung, Steuern und Kreditwürdigkeit hängen. Dazu gab es Anleitungen zum Bau von Betrugsseiten und weitere Produkte. Durch diese Mischung aus gestohlenen Daten und praktischen Leitfäden bekamen Käufer sowohl das Rohmaterial für Betrug als auch die Gebrauchsanweisung dazu.

Rydox stand nicht jedem offen, der einfach vorbeischaute. Nutzer mussten zunächst Geld auf der Seite hinterlegen, bevor sie für Käufe auf der Plattform freigeschaltet wurden. Diese Hürde sollte vermutlich Gelegenheitsbesucher aussieben und sicherstellen, dass Käufer bereits Geld eingezahlt hatten, bevor sie Zugriff auf die Ware erhielten.

US-Bundesstaatsanwalt Troy Rivetti sagte, die Brüder hätten „Hunderttausende Dollar mit dem Marktplatz verdient, auf dem Cyberkriminelle Informationen und Werkzeuge kaufen konnten, um ihre Online-Straftaten zu begehen und voranzutreiben".

Rivetti ging auch auf den Schaden für die Opfer ein, der über den finanziellen Verlust hinausgeht.

„Solche Cyberstraftaten verursachen nicht nur finanzielle Verluste, sondern auch anhaltende psychische Schäden bei den Opfern, die sowohl Geld als auch das Vertrauen in Institutionen und die Infrastruktur des Online-Handels verlieren", sagte er.

Brett Leatherman, stellvertretender Direktor der Cyber-Abteilung des FBI, erklärte, die Plattform habe jedem Zugang zu umfangreichen Sammlungen gestohlener Identitäten und Zugangsdaten Tausender Menschen verschafft.

Zerschlagung in vier Ländern

Das Vorgehen gegen Rydox reicht bis Dezember 2024 zurück. In jenem Monat beschlagnahmten das FBI und weitere Strafverfolgungsbehörden die Domain, unter der der Marktplatz lief. Zeitgleich nahm die Polizei im Kosovo Kutleshi fest.

Die Aktion beschränkte sich nicht auf die USA und den Kosovo. In Albanien nahmen Ermittler eine weitere Person fest, die am Betrieb von Rydox beteiligt war, und in Malaysia stellte die Polizei mehrere Server sicher, über die die Seite betrieben wurde.

Das abgestimmte Vorgehen setzte gleich an mehreren Stellen an: an der Domain, über die Nutzer die Seite erreichten, an den Menschen, die sie betrieben, und an den Servern, die sie am Laufen hielten.

Bruder verurteilt und abgeschoben

Kutleshis älterer Bruder hatte sich bereits vor ihm schuldig bekannt. Laut Rivetti wurde der Bruder zu einer Strafe verurteilt, die durch die bereits verbüßte Haft abgegolten war, und im Dezember in den Kosovo abgeschoben.

Ob Ardit Kutleshi denselben Weg gehen wird, ist unklar. Recorded Future News fragte nach, ob auch er abgeschoben wird. Ein Sprecher des Justizministeriums verwies das Medium an das Heimatschutzministerium (DHS), die US-Behörde, die für die Durchsetzung des Einwanderungsrechts zuständig ist. Das DHS reagierte nicht auf Anfragen nach einer Stellungnahme.

Das Justizministerium ließ zudem offen, ob sich Kutleshi weiterhin in seinem Gewahrsam befindet.

Unsere Einschätzung

Der Fall Rydox zeigt, wie klein die Zahlen hinter einem jahrelang laufenden kriminellen Marktplatz auf dem Papier wirken können. 232.000 US-Dollar aus mehr als 7.600 Transaktionen ergeben pro Verkauf überschaubare Beträge. Den eigentlichen Preis zahlen die Menschen, deren Sozialversicherungsnummern und Zugangsdaten weiterverkauft wurden, und jene, die später ins Visier der Betrugsseiten gerieten, deren Bau die Käufer dort gelernt hatten. Rivettis Worte über verlorenes Vertrauen zielen genau auf diesen Folgeschaden.

Der Fall passt außerdem zu einem stetigen Muster: US-Staatsanwälte verfolgen Cybercrime-Verdächtige im Ausland über Auslieferungen und gemeinsame Operationen. Dieser Trend zeigt sich auch in Fällen wie der Anklage gegen Führungskräfte von Oxygen Forensics. Dass Domain-Beschlagnahme, Festnahmen der Betreiber und Sicherstellung der Server gleichzeitig erfolgten, deutet darauf hin, dass man es der Plattform erschweren wollte, einfach anderswo wieder aufzutauchen.

Für Verteidiger ist die Lehre eine bekannte. Persönliche Daten, die bei Datenlecks und telefonbasierten Betrugsmaschen erbeutet werden, landen oft auf Seiten wie dieser zum Verkauf und befeuern dort weiteren Betrug.

Es lohnt sich, im Blick zu behalten, welche Strafe Kutleshi im Februar erhält und ob er wie sein Bruder letztlich in den Kosovo zurückgeschickt wird. Der Ausgang könnte zeigen, wie US-Gerichte die bereits in Haft verbrachte Zeit in Auslieferungsfällen dieser Art gewichten.