Kennen Sie Ihr Recht?

Ratgeber: Ermittlungstätigkeit

(Seite zurück:Strafrechtlich eine Einheit)

Ermittlungstätigkeit

Aus den bisher genannten Ausführungen wird deutlich, dass besonders Wert bei den Ermittlungen darauf gelegt werden muss, dass gewisse Grunddaten vorhanden sind. Diese ergeben sich aus dem Kopf der Spam, dem Dialer, den Einzelverbindungsnachweisen der Telefonrechnung und der Abrechnnung über den Internetanschluss sowie aus dem WWW-Angebot, auf dem der Dialer zum Download bereitgehalten wurde.

Analysiert man die Einlieferungskette ("Received"-Zeilen) einer Spam-Mail, ist festzustellen, dass diese aus dem Ausland von scheinbar völlig unbeteiligten Absendern stammt. Dort verbirgt sich nicht etwa der Spammer, sondern ein falsch konfigurierter, unsicherer Proxy-Server, welcher eigentlich Webseitenzugriffe des Nutzers beschleunigen soll. Dieser ist durch eine Fehlkonfiguration nicht nur von überall aus dem Internet zugänglich, sondern kann außer Webseiten und anderen Dingen auch E-Mails zustellen. Da ein Proxy-Server niemals dafür konzipiert wurde, Spam weiterzuleiten, vermerkt er keine Angaben über den eigentlichen Absender. Ein Server, der nur für den Versand von E-Mails vorgesehen ist, vermerkt in der E-Mail entsprechende Angaben. Der tatsächliche Spammer kann überall auf der Welt sitzen – seine Identität bleibt unbekannt. Vollzieht man nun mit Hilfe verschiedenster Angebote im Internet den Versand der Spamwelle nach, ist häufig ermittelbar, wer den Proxy-Server betreibt. Ist dessen Vernatwortlicher bereit, die Zugriffsdaten auf seinen Server mitzuteilen, erhält man unter Umständen die Ursprungsadresse des Spammers, meist jedoch wichtige Zusatzdaten über Strukturen der Server und die Versendekette.

Gelingt es nicht, über die Rückverfolgung der Spam an den Ursprung zu gelangen, hilft der Dialer weiter, da der Geldfluss nachvollziehbar ist.

Der Dialer ist im Normalfall ein Hilfsmittel zur vereinfachten Abrechnung von kostenpflichtigen Angeboten. Dazu enthält dieser Angaben, die dem Abrechungssystem Auskunft darüber gibt, wem es die Einnahmen aus der Anwahl zukommen lassen soll. Wer dieses Abrechnungssystem zur Verfügung stellt, ergibt sich aus der Einwahlnummer, die der Einzelverbindungsnachweis der Telefonrechnung enthält. Wird dieser Einzelverbindungsnachweis mit den Zugriffszeiten über die normale Internetverbindung abgeglichen, ergeben sich Anhaltspunkte, wie sich der Dialer verhalten hat, also wann dieser die normale Internetverbindung beendet und seine eigene aufgebaut hat.

Die für die Abrechnung notwendigen Angaben identifizieren den den Spammer bzw. den Nutznießer der Spam eindeutig. Die Angaben liegen im Programmcode des Dialers.

Ein weiteres wichtiges Indiz liefert der Lagerplatz des Dialers. Der Empfänger der Spam soll auf möglichst einfache Art den Dialer finden. Dazu ist in der Spam ein Link auf eine WWW-Seite vermerkt. Entweder lagert hier der statische Dialer oder der dynamische wird hier erzeugt. Besonderheit bei den dynamischen Dialern ist, dass diese mit dem Abrechnungssystem unmittelbar verbunden sind, der Lagerplatz ist gleichzeitig der Abrechnungsplatz.

Dadurch, dass während einer Spamwelle der eingesetzte entweder der selbe (statische) oder aus einem nur wenige Byte veränderten Programmcode bestehender Dialer ist, muss nur einmal der Dialer analysiert werden. Es bedarf keiner Analyse aller Dialer einer Spamwelle. Diese verhalten sich auf jedem Computer gleich.

Sollte nur ein Einzelverbindungsnachweis und die email vorhanden sein, kann man anhand der umfangreichen Datensammlungen im Internet Rückschlüsse auf einen entsprechenden Dialer ziehen.

Hinweise und Ermittlungsergebnisse der Internet-Community

Sehr viele Spamwellen und Dialer sind im Internet bereits analysiert und ausgewertet worden. Auch über die Zusammenhänge und Hintergründe existieren umfangreiche Informationen deren Verfasser auf eine Zusammenarbeit mit den Behörden drängen.

Der langfristig wichtigste Treffpunkt im Internet ist das Usenet mit den deutschsprachigen Newsgroups news:de.admin.net-abuse.mail für E-Mail-Missbrauch und news:de.comm.abuse für u. a. Missbrauch von Mehrwertdiensten. In der internationalen und sehr stark frequentierten Newsgroup news:news.admin.net-abuse.email wird über weltweite Spamwellen diskutiert.

Einschlägige Foren im WWW widmen sich ebenfalls der Aufklärung und Diskussion über Spam und Dialern. Auf http://www.antispam.desind Informationen über die Bekämpfung und Vermeidung von unerwünschter Werbung erhältlich. Dialer und Mehrwertdienste sind Schwerpunkte bei http://www.dialerschutz.de, während sich http://www.computerbetrug.de mit Computerbetrug im allgemeinen beschäftigt und http://www.trojaner-info.dedigitale Schädlinge wie Würmer, Viren und Dialer unter die Lupe nimmt. Viele Spam- und Dialermissbrauchsfälle sind seit langem bekannt, auch die mutmaßlichen Verursacher sind oft gut eingegrenzt. In der Diskussion mit spamfreundlichen Zeitgenossen verraten sogar diese sehr interessante Details über ihre Geschäfte. Bisher wurden mit Aufklärungsaktionen und Beschwerdewellen gegen Spammer und "spamfreundliche Anbieter" gewisser Erfolge erzielt. [@]