Wie kommt die Polizei auf mich? NCMEC-Meldung, IP-Adresse und gesperrte Konten
- ✓Am Anfang steht meist keine Anzeige, sondern ein automatischer Dateiabgleich bei einem US-Anbieter, der über das NCMEC und das BKA bei der Staatsanwaltschaft landet.
- ✓Niemand hat hingesehen. Die Meldung sagt nichts über Vorsatz.
- ✓Eine IP-Adresse identifiziert einen Anschluss – nicht Sie. Ohne Portnummer und genauen Zeitstempel wird die Zuordnung dünn.
- ✓Das gesperrte Konto von vor einem Jahr gehört oft zum selben Vorgang.
- ✓Was tatsächlich vorliegt, ergibt die Akteneinsicht: Meldedatum, Anbieter, Dateianzahl, Zuordnungsweg.
Woher wissen die das? Diese Frage kommt bei mir früher als jede rechtliche, oft noch im ersten Telefonat. Und sie kommt mit einem Verdacht im Schlepptau: Der Nachbar. Die Ex-Freundin. Jemand aus der Familie.
Meist stimmt davon nichts. Der Anfang liegt in einem Rechenzentrum, nicht im Bekanntenkreis, und er liegt oft Jahre vor dem Morgen, an dem es geklingelt hat. Die Kette vom automatischen Treffer bis zum Durchsuchungsbeschluss hat mehrere Glieder, und sie ist an mehreren Stellen dünner, als der Beschluss klingt.
Mein Name ist Philipp Marquort. Ich bin Rechtsanwalt und Fachanwalt für Strafrecht mit Kanzleisitz in Kiel und verteidige seit über 22 Jahren bundesweit, mit einem Schwerpunkt im Sexualstrafrecht.
Bei Vorwürfen nach § 184b StGB entscheiden technische Einzelheiten über den Ausgang: Wie wurde die Datei erkannt, wem war der Anschluss zugeordnet, wer hatte Zugriff auf das Gerät, war die Datei je geöffnet. Das steht alles in der Akte und in keinem Beschluss.
Wenn gegen Sie ermittelt wird, lassen Sie die Quelle des Verdachts prüfen. Kontaktieren Sie mich jederzeit.
Wie entsteht ein Verdacht wegen Kinderpornografie?
Vier Wege sehe ich in den Akten. Am häufigsten die automatische Meldung eines Internetdienstes. Dann Ermittlungen gegen ein Forum oder eine Tauschbörse, bei denen nach der Abschaltung Nutzerlisten, Zugangsdaten und Chatprotokolle ausgewertet werden. Dann Anzeigen aus dem Umfeld, häufig im Zusammenhang mit einer Trennung. Und schließlich Zufallsfunde aus einem ganz anderen Verfahren.
Was sie verbindet: Am Anfang steht nur ein Anfangsverdacht nach § 152 Abs. 2 StPO, also zureichende tatsächliche Anhaltspunkte. Das ist eine niedrige Schwelle. Sie rechtfertigt eine Durchsuchung, und sie sagt zugleich nichts darüber, wie tragfähig die Sache am Ende ist. Dass durchsucht wurde, ist also kein Indiz für eine starke Beweislage – nur dafür, dass jemand einen Beschluss beantragt und ein Richter ihn unterschrieben hat.
Was ist eine NCMEC-Meldung?
Im Beschluss steht dann ein Satz wie: Nach Mitteilung des National Center for Missing & Exploited Children sei am 14. März eines zurückliegenden Jahres von der IP-Adresse X eine Datei hochgeladen worden. Datum, Uhrzeit, ein Anbietername. Sonst nichts.
Das NCMEC ist eine private amerikanische Organisation und die zentrale Meldestelle für Missbrauchsdarstellungen. Anbieter wie Google, Microsoft, Meta oder Dropbox müssen ihr solche Funde nach US-Recht melden, sobald sie davon Kenntnis erlangen. Kenntnis erlangen sie automatisiert: Aus hochgeladenen Dateien wird ein digitaler Fingerabdruck berechnet und mit Datenbanken bekannter Dateien verglichen. Passt er, geht die Meldung raus – mit Zeitstempel, IP-Adresse und Kontodaten.
Vom NCMEC geht es zum Bundeskriminalamt und von dort an die zuständige Staatsanwaltschaft. Jede Station kostet Zeit. Zwischen dem gemeldeten Upload und der Durchsuchung liegen häufig ein bis drei Jahre, und in dieser Kette hat bis zum Eingang bei der deutschen Staatsanwaltschaft niemand geprüft, ob die Datei nach deutschem Recht überhaupt strafbar ist und ob der Kontoinhaber sie bewusst besessen hat.
Mein Google-Konto wurde gesperrt – hängt das zusammen?
Häufig ja, und Mandanten erinnern sich erst im Gespräch daran. Irgendwann war das Konto weg, ohne Begründung, mit Verlust von Fotos, Kontakten und der Zwei-Faktor-Absicherung für ein halbes Dutzend anderer Dienste. Man hat damals geflucht und es abgehakt. Ein Jahr später steht die Polizei vor der Tür, und beides gehört zum gleichen Vorgang.
Rechtlich ist die Sperrung zunächst eine Vertragsfrage zwischen Ihnen und dem Anbieter. Widersprechen können Sie. Nur bitte ohne Sacherklärung: Ein ausführliches Schreiben an den Support, in dem jemand darlegt, wie die Datei auf sein Konto gekommen sein könnte, kann später in der Strafakte landen, weil der Anbieter es auf Anfrage herausgibt. Ich habe solche Schreiben dort gelesen, und sie haben nie geholfen.
Meldedatum, Anbieter, Dateianzahl, Zuordnungsweg: Das steht in der Akte. Ich beantrage die Einsicht und ordne ein, was da wirklich liegt.
Rechtsanwalt Philipp Marquort · Fachanwalt für Strafrecht · kanzlei@marquort.de
Ist die IP-Adresse ein sicherer Beweis?
Im Beschluss liest sich die Zuordnung wie ein Fingerabdruck. In der Akte ist sie eine Providerauskunft mit einer Zeile.
Eine IP-Adresse bezeichnet zu einem bestimmten Zeitpunkt einen Anschluss. Nicht eine Person, nicht ein Gerät. Die Zuordnung zum Anschlussinhaber läuft über eine Bestandsdatenauskunft, regelmäßig auf Grundlage von § 100j StPO. Zwischen Anschluss und Mensch liegt in einem Vier-Personen-Haushalt einiges: Partner, Kinder, Besuch, gelegentlich ein Nachbar, der das WLAN-Passwort hat. Kommt hinzu, dass sich bei Adressumsetzung mehrere Kunden zeitgleich eine öffentliche Adresse teilen können, dann trägt die Auskunft ohne Portnummer und sekundengenauen Zeitstempel kaum etwas.
Deshalb ist die erste Frage an jede Akte: Was gibt es neben der IP-Adresse? Stützt sich der Vorwurf allein auf die Anschlusszuordnung, ist er angreifbar. Liegt belastendes Material auf einem Gerät, das erkennbar nur Sie genutzt haben, verschiebt sich die Lage erheblich. Zur Zurechnung bei mehreren Nutzern siehe Kinderpornografie ungewollt erhalten.
Scannen WhatsApp, Snapchat oder Telegram meine Bilder?
Die Antwort ändert sich schneller, als man sie aufschreiben kann. Grob gilt: Was unverschlüsselt auf Servern liegt – Cloud-Speicher, soziale Netzwerke, offene Chats – kann automatisiert geprüft werden. Bei Ende-zu-Ende-verschlüsselten Nachrichten geht das nicht; dort arbeiten Anbieter mit Nutzermeldungen, Metadaten und unverschlüsselten Sicherungskopien, die viele Nutzer ohne Nachdenken aktiviert haben.
Für Ihre Verteidigung ist die allgemeine Antwort ohnehin zweitrangig. Es zählt, was der Anbieter in Ihrem Fall gemeldet hat und wann.
Die Durchsuchung galt etwas anderem – jetzt wurden solche Dateien gefunden
Diese Konstellation begegnet mir regelmäßig: Durchsuchung wegen eines Betäubungsmittelvorwurfs, das Handy geht mit, und bei der Auswertung tauchen Bilddateien auf, um die es nie ging. Aus einem Verfahren werden zwei.
Solche Zufallsfunde dürfen nach § 108 StPO verwertet und einem neuen Verfahren zugeführt werden. Voraussetzung bleibt, dass die ursprüngliche Maßnahme rechtmäßig war und die Auswertung verhältnismäßig blieb. Genau hier wird oft nicht genau hingesehen, weil alle Beteiligten den neuen Vorwurf für den schwereren halten und der alte Beschluss niemanden mehr interessiert. Ein Fehler am Anfang wirkt aber nach.
Darauf stützen sich die Schritte vom Hinweis bis zur Durchsuchung:
- § 152 Abs. 2 StPO – der Anfangsverdacht, ab dem ermittelt werden muss.
- § 100j StPO – Zuordnung einer IP-Adresse zum Anschlussinhaber.
- § 100g StPO – Verkehrsdaten, deren Speicherung seit Jahren rechtlich umstritten ist.
- § 102 StPO – Durchsuchung beim Beschuldigten.
- § 108 StPO – Zufallsfunde aus einem anderen Verfahren.
Fazit
Der Verdacht stammt selten von einem Menschen, der etwas bemerkt hat. Er stammt aus einem Abgleich, der über drei Stationen und ein bis drei Jahre nach Deutschland gewandert ist. Jede Station hat ihre Schwachstelle: veralteter Zeitstempel, unscharfe Anschlusszuordnung, geteiltes Gerät, fehlender Vorsatz. Nachsehen, bevor man sich erklärt.
Häufig gestellte Fragen zur Entstehung des Verdachts
Wenn eine Anzeige zugrunde liegt, liegt sie in der Akte, und damit ist der Anzeigende in aller Regel erkennbar. Über die Akteneinsicht erfahren Sie das. Beruht das Verfahren auf einer NCMEC-Meldung, gibt es keinen Anzeigenden im herkömmlichen Sinn – dann ist der Anbieter die Quelle.
Das kommt vor, besonders in Sorgerechtskonflikten. Die Staatsanwaltschaft muss der Anzeige nachgehen, ein tragfähiger Verdacht entsteht daraus aber nicht von selbst. Zu arbeiten ist dann an der Entstehungsgeschichte der Aussage und an der Motivlage. Falsche Verdächtigung ist ihrerseits nach § 164 StGB strafbar.
Möglich. Nach der Abschaltung eines Forums werden Zugangsdaten ausgewertet und Verfahren teils Jahre später eingeleitet. Ob Ihr Verfahren dazugehört, ergibt die Akte. Verteidigungsrechtlich sind diese Fälle interessant, weil die Zuordnung eines Nutzernamens zu einer bestimmten Person dort besonders oft nicht belastbar ist.
Eine feste Frist gibt es nicht, die Grenze zieht die Verhältnismäßigkeit. Je länger der gemeldete Vorgang zurückliegt, desto fraglicher ist, ob auf heutigen Geräten noch Beweismittel zu erwarten sind. Mehrere Landgerichte haben Durchsuchungen deshalb für rechtswidrig erklärt. Einheitlich ist das nicht; es kommt darauf an, wie der Beschluss den Zeitablauf begründet.
Ja. Fehlerquellen sind eine verwechselte Anschlusszuordnung, ein falscher oder in der Zeitzone verschobener Zeitstempel, automatisiert markierte Dateien, die nach deutschem Recht nicht unter § 184b StGB fallen, und Uploads durch andere Nutzer desselben Kontos. Die Meldung begründet einen Verdacht, sie beweist nichts.
Ihr Verteidiger bekommt Einsicht, allerdings eingeschränkt: Bilddateien werden nicht überlassen, sondern nur in den Räumen der Staatsanwaltschaft oder der Kanzlei zugänglich gemacht. Für die Prüfung der rechtlichen Einordnung genügt das.
Ihre Frage ist hier nicht beantwortet? Dann stellen Sie sie. Sie brauchen dazu keinen Namen anzugeben. Wenn Sie eine Antwort möchten, tragen Sie eine E-Mail-Adresse ein – gern auch eine eigens dafür angelegte. Ohne E-Mail-Adresse können wir nicht antworten.
Vorwurf nach § 184b StGB? Lassen Sie die Quelle des Verdachts prüfen.
Meldedatum, Anbieter, Dateianzahl und Zuordnungsweg entscheiden, wie belastbar der Vorwurf ist. Ich beantrage Akteneinsicht und sage Ihnen, was tatsächlich vorliegt.
E-Mail senden