Am 23. Juni haben drei US-Behörden am selben Tag dieselbe kriminelle Struktur angegriffen. Das Justizministerium beschlagnahmte die Server-Infrastruktur eines Online-Marktplatzes. Das Finanzministerium sanktionierte neun Personen und 26 Firmen des dahinterstehenden Netzwerks. FinCEN hatte dem Komplex den Zugang zum US-Bankensystem bereits zuvor gekappt. Drei Behörden, drei Rechtsgrundlagen, ein Ziel. Und ein Befund, der in vielen Organigrammen noch keinen Platz hat: Betrug und Geldwäsche liefen hier als ein einziges Geschäftsmodell.
01 | Ein Fall, drei Etiketten
Der beschlagnahmte Marktplatz gehörte zum Huione-Komplex, einem Konglomerat aus Kambodscha. FinCEN stufte die Struktur als primäres Geldwäscherisiko ein und dokumentierte mindestens vier Milliarden US-Dollar an illegalen Erlösen zwischen August 2021 und Januar 2025.
Die Dimension des Umfelds beziffern die Behörden selbst. Amerikaner verloren 2024 mindestens zehn Milliarden US-Dollar an Scam-Operationen aus Südostasien, ein Plus von 66% gegenüber dem Vorjahr. Allein aus Krypto-Anlagebetrug meldeten Betroffene dem FBI für 2025 über 7,2 Milliarden an Verlusten.
Bemerkenswert ist die Produktpalette. Auf der Plattform wurden gefälschte Identitäten gehandelt, gestohlene Kreditkartendaten, Mule-Konten und komplette Betrugs-Kits, dazu Dienste für KI-gestütztes Face-Swapping und die Beschaffung von Menschen für die Compounds. Daneben liefen Treuhand- und Laundering-Dienste, die Erlöse aus Romance- und Investment-Scams unauffällig in den regulären Finanzsektor überführten. Das Analysehaus Elliptic, das den Marktplatz im Juli 2024 als erstes öffentlich beschrieb, dokumentiert unter den Angeboten auch Elektrofesseln und Schlagstöcke für den Einsatz an festgehaltenen Zwangsarbeitern.
Der Komplex betrieb zudem einen eigenen Stablecoin und bewarb ihn mit dem Versprechen, er lasse sich nicht einfrieren. Wer die Ausgabe 04/26 meines Newsletters „MANIPULIERT.“ zur Freeze-Mechanik gelesen hat, erkennt die Logik. Das Produkt richtet sich exakt gegen das größte operative Risiko der eigenen, kriminellen Kundschaft.
FinCEN nennt die Struktur einen „One-Stop-Shop“. Werkzeuge für den Betrug, Personal für den Betrug, Wäsche für die Erlöse. Eine Institution, viele Etiketten.
Auf dieser Plattform trennte niemand zwischen Betrugsdelikt und Geldwäsche. Die Trennung beginnt erst dort, wo der Schaden bearbeitet wird.
02 | Zwei Zugänge, ein System
Aus Sicht der Opfer beginnt der industrialisierte Anlagebetrug auf zwei verschiedenen Wegen.
Weg eins ist die Beziehung. Pig Butchering baut über Wochen Vertrauen auf, per Chat, mit erfundener Identität, mit wachsender Nähe. Die Anlageempfehlung kommt erst, wenn die gefakte Bindung gefestigt ist.
Weg zwei ist der Köder. Cybertrading Fraud arbeitet mit gefälschten Anzeigen, erfundenen Prominenten-Interviews und angeblichen Beratern am Telefon. Den Platz der Beziehung nimmt hier die Aussicht auf Rendite ein.
Beide Wege führen auf dieselbe Bühne. Eine Handelsplattform zeigt Gewinne an, die es nie gab. Einzahlungen wandern in die Täterstruktur. Die Auszahlung scheitert an erfundenen Gebühren.
Danach folgt die Nachverwertung. Monate später meldet sich ein angeblicher Rückholdienst, der das verlorene Geld gegen Vorkasse beschaffen will. Die Kontaktdaten stammen häufig aus derselben Quelle: den Strukturen des Erstbetrugs. Dasselbe Opfer wird ein zweites Mal monetarisiert.
Die Geldwäsche begleitet jeden dieser Schritte. Sie finanziert die Kampagnen, stellt die Mule-Konten für die Einzahlungen und führt die Erlöse über die Chain ab. Zwei Zugänge, eine Nachverwertung, ein durchlaufender Geldstrom.
Und am Anfang der Kette steht oft ein zweites Opfer. FinCEN dokumentiert, dass die Menschen am anderen Ende des Chats häufig selbst Opfer von Menschenhandel sind, festgehalten in Compounds, körperlich und psychisch misshandelt. Das US-Finanzministerium beschreibt dieselbe Mechanik: Anwerbung unter falschen Jobversprechen, Passentzug, Schuldknechtschaft, körperliche Gewalt. Betrug, Menschenhandel und Geldwäsche greifen in denselben Anlagen ineinander.
03 | Geldwäsche als Infrastruktur
Hier liegt der Kern dieses Beitrags.
Die verbreitete Lesart behandelt Geldwäsche als nachgelagerte Phase. Erst kommt demnach die Tat, dann sucht der Täter einen Weg für die Beute. Beim industrialisierten Betrug läuft es umgekehrt. Die Wasch-Architektur steht, bevor das erste Opfer die initiale Nachricht erhält.
Guarantee-Marktplätze vermitteln Mule-Netzwerke und Wäsche-Dienste wie ein Großhandel. Chinese Money Laundering Networks halten die Kanäle in den regulären Finanzsektor offen. Mixer, Bridges und eigene Stablecoins senken das Zugriffsrisiko auf der Chain. All das ist verfügbar, bevor die erste Kampagne startet.
Für das Geschäftsmodell ist die Wäsche-Infrastruktur ein Standortfaktor wie Strom, Personal und bewaffneter Schutz. Ein Compound ohne funktionierenden Geldabfluss wäre eine Fabrik ohne Versandabteilung.
Wer die Geldwäsche als Zweittat am Ende der Kette begreift, liest das Geschäftsmodell von hinten.
04 | Was die Silo-Logik übersieht
Die organisatorische Trennung von Betrugs- und Geldwäschebekämpfung ist ein internationales Muster. In Finanzinstituten arbeiten Fraud- und AML-Teams häufig in unterschiedlichen Systemen mit getrennten Meldelogiken. In der Fallbearbeitung entstehen Vorgänge weltweit entlang der Deliktsnorm, die zuerst sichtbar wird.
Die Folge lässt sich nüchtern beschreiben: Die Fraud-Sicht kennt das Opfer, den Tathergang, das Empfängerkonto. Die AML-Sicht kennt die Transaktion, das Muster, die Meldung. Beide sehen nur die Hälfte derselben Infrastruktur.
Die FATF hat diese Lücke längst benannt. Ihre Berichte behandeln Cyber-Betrug und die daraus entstehenden Finanzströme als ein zusammenhängendes Phänomen, verzahnt mit Menschenhandel und organisierter Kriminalität. In den Länderprüfungen benennt inzwischen die große Mehrheit der Jurisdiktionen Cyber-Betrug als wesentliches Geldwäscherisiko.
Der Befund kommt damit von der höchsten Standardsetzungs-Ebene. Die Übersetzung in Strukturen und Arbeitsabläufe ist die eigentliche Aufgabe der kommenden Jahre.
05 | Was ein Systemblick ändert
Der 23. Juni zeigt exemplarisch, wie ein Infrastruktur-Ansatz aussieht.
Die Section-311-Maßnahme kappt den Zugang zum US-Bankensystem. Sie trifft das Geschäftsmodell an seiner Schnittstelle zum regulären Finanzsektor. Die Server-Beschlagnahme trifft das technische Rückgrat, über das Milliarden bewegt, verschoben und verschleiert wurden. Die Sanktionen treffen die Personen und Firmen, die das Netzwerk am Leben halten.
Keine dieser Maßnahmen verfolgt eine einzelne Transaktion. Alle drei zielen auf die Struktur. Beim FBI läuft die Aktion unter dem Namen „Operation Riptide“; einer Kampagne gegen die Infrastruktur hinter Cyber-Betrug.
Die Gegenseite bewegt sich mit. Auf die erste Enttarnung hatte die Gruppe mit Ausbau reagiert und eigene Infrastruktur nachgezogen, bis hin zu Börse und Messenger. Ihr Zahlungsarm firmierte zuletzt unter neuem Namen weiter. Noch am Tag der Beschlagnahme schlug FinCEN deshalb vor, die Sonderregel auf die Nachfolgestruktur H-Pay Service PLC und jede künftige Nachfolgeeinheit auszuweiten. Die Behörde schließt die Tür und greift somit etwaiger Umorganisation vor.
Für die Analyse liegt die verbindende Datenebene auf der Chain. Wallet-Cluster kennen keine Deliktskategorien. Dieselbe Adresse, die in einem Cybertrading-Fall als Empfänger auftaucht, erscheint im nächsten Vorgang als Teil eines Wäsche-Pfads. Wer Fälle über diese Ebene verknüpft, sieht das System hinter den Einzelakten.
Zur Dimension: Elliptic beziffert den Zahlungsstrom über den Marktplatz auf mehr als 31 Milliarden US-Dollar, die Gesamtoperation auf 134 Milliarden. Das sind Schätzungen eines kommerziellen Analysehauses. Sie markieren die Größenordnung oberhalb der behördlich dokumentierten Untergrenze von vier Milliarden.
06 | Was das für die Praxis bedeutet
Aus alledem folgt eine nüchterne Konsequenz:
Betrugs-Anzeige und Geldwäsche-Verdachtsmeldung zum selben Sachverhalt gehören zusammengedacht. Die Verknüpfung von Fällen über gemeinsame Wallet-Infrastruktur gehört an den Anfang der Analyse. Und die Kooperation zwischen Instituten, Analyseeinheiten und Strafverfolgung braucht die Geschwindigkeit eines Gegenübers, das längst fusioniert ist.
Wie diese Kooperation aussieht, dokumentiert das Justizministerium selbst. Seine Mitteilung dankt den Intelligence-Teams von Chainalysis und Elliptic sowie Googles Cybercrime-Ermittlern ausdrücklich für ihre Beiträge zur Untersuchung. Der Schlag vom 23. Juni war ein Gemeinschaftswerk aus Behörden und Privatwirtschaft, mit Partnern bis nach Japan und Australien.
Der Maßstab für Erfolg verschiebt sich damit. Ein verurteilter Einzeltäter ist ein isoliertes Ergebnis. Eine gestörte Infrastruktur ist eine nachhaltige Wirkung.
Aktenzeichen trennen, was der Geldfluss verbindet.
Alle Inhalte sind rein privater Natur. Ich schreibe hier als unabhängiger Experte und Publizist (Art. 5 GG). Meine Beiträge sind keine offiziellen Stellungnahmen einer Behörde.
