Das Ende der Aufklärungsquote: Neue KPIs für die Cybercrime-Ökonomie

Die Polizeistatistik zählt Fälle. Der kriminelle Markt optimiert Infrastruktur.

Es gibt einen alten Trost in der Kriminalstatistik: Was gezählt wird, wirkt beherrschbar. Fälle steigen oder fallen, Aufklärungsquoten verbessern oder verschlechtern sich, Deliktgruppen wandern durch Tabellen. Der Staat hat Zahlen. Die Zahlen haben Ordnung. Ordnung beruhigt.

Cybercrime-as-a-Service stört diese Ruhe.

Denn diese Form von Kriminalität verhält sich weniger wie ein einzelner Täter und mehr wie eine Plattformökonomie. Zugangsdaten werden beschafft, Phishing-Kits vermietet, Malware industrialisiert, Hosting gewechselt, Opferpfade getestet, Zahlungskanäle missbraucht, Erlöse verschleiert. Die eigentliche Innovation liegt nicht im Genie einzelner Täter, sondern in der Arbeitsteilung. Cybercrime wird zur Lieferkette.

Wer eine Lieferkette verstehen will, darf nicht nur zählen, wie oft am Ende ein Paket ankommt. Er muss messen, wie stabil die Fabrik läuft.

Die PKS misst Sichtbarkeit. Cybercrime-as-a-Service misst Skalierbarkeit.

Oder, weniger höflich: Die Polizeistatistik zählt, was sichtbar wurde. Der kriminelle Markt optimiert, was unsichtbar bleiben soll.

Das Hellfeld ist nicht das Geschäftsmodell

Die Polizeiliche Kriminalstatistik ist kein schlechtes Instrument. Sie ist nur kein vollständiges Instrument. Sie zeigt das polizeiliche Hellfeld: angezeigte, erkannte und statistisch eingeordnete Fälle. Für 2025 weist die hier ausgewertete BKA-PKS-Zeitreihe, Dateiversion V1.1 mit Erstellungsdatum 08.04.2026, unter anderem aus:

• 681.354 Fälle Betrug bei einer Aufklärungsquote von 60,0 %.
• 126.034 Fälle Cybercrime bei einer Aufklärungsquote von 31,4 %.
• 103.721 Fälle Computerbetrug bei einer Aufklärungsquote von 30,7 %.
• 96.383 Fälle Betrug bzw. Computerbetrug mittels rechtswidrig erlangter unbarer Zahlungsmittel bei einer Aufklärungsquote von 21,1 %.
• 37.570 Fälle Betrug bzw. Computerbetrug mittels rechtswidrig erlangter Daten von Zahlungskarten bei einer Aufklärungsquote von nur 16,9 %.

Das ist kein Randphänomen. Es ist Zahlungsverkehrskriminalität mit digitaler Vorproduktion.

Gleichzeitig zeigen einige Deliktgruppen gegenüber dem Vorjahr Rückgänge in den absoluten Fallzahlen (nicht in den Aufklärungsquoten): Cybercrime − 4,1 %, Computerbetrug − 3,9 %, Betrug insgesamt − 8,4 %, jeweils bezogen auf die registrierten Fälle. Diese Werte sind als aktueller BKA-Berichtsstand der ausgewerteten Datei zu lesen; vor Veröffentlichung sollte die jeweils auf bka.de bereitgestellte Fassung noch einmal gegen die verwendete Tabelle geprüft werden. Wer nur die Fallzahl liest, könnte versucht sein, eine Entspannung zu sehen.

Das wäre voreilig.

Denn die PKS beantwortet vor allem drei Fragen: Was wurde bekannt? Was wurde registriert? Was wurde aufgeklärt? Cybercrime-as-a-Service stellt andere Fragen: Wie viele Infrastrukturen sind aktiv? Wie schnell werden sie ersetzt? Welche Werkzeuge werden wiederverwendet? Welche Zahlungswege funktionieren? Wie billig ist der nächste Angriff?

Das eine ist Verwaltungslogik. Das andere ist Betriebswirtschaft im Untergrund.

Die Fabrik hinter dem Fall

Ein Betrugsfall sieht in einer Statistik wie ein Endpunkt aus. Im CaaS-Ökosystem ist er eher das Symptom eines Produktionsprozesses.

Vor dem Fall stehen Listen mit Zugangsdaten, Phishing-Seiten, Social-Engineering-Skripte, Malware-Loader, Remote-Access-Tools, Zahlungsumleitungen, Geldkuriere, Kryptowallets, Hosting-Provider, Wegwerf-Domains und Kanäle in Messengern. In der Lieferkette sind das unterschiedliche Rollen: Access Broker beschaffen Zugang, Malware-Provider liefern Werkzeuge, Infrastruktur-Anbieter stellen Domains, Hosting oder Botnetze, Cashout-Services verwandeln den Angriff in Geld. Nach dem Fall kommen Cashout, Layering, Tarnfirmen, Offshore-Bezüge oder andere Formen der Verschleierung.

Das BKA-Cybercrime-Lagebild 2024 beschreibt ausdrücklich, dass Messenger-Dienste sich als Vertriebskanal für Cybercrime-as-a-Service-Angebote etablieren. Das BSI spricht von einer Schattenwirtschaft krimineller Dienstleistungen, die Angreifer bei nahezu jedem Aspekt eines Cyberangriffs unterstützen kann – von Schadprogrammen bis zu weiteren Handlungen wie Erpressung oder Geldwäsche.

Das ist der entscheidende Punkt: Cybercrime-as-a-Service senkt die Eintrittsbarrieren. Man muss nicht mehr alles können. Man muss einkaufen können.

Wie konkret diese Lieferkette inzwischen geworden ist, zeigen zwei Ereignisse aus dem zweiten Halbjahr 2025 und Frühjahr 2026. Im Oktober 2025 erhob das US-Justizministerium Anklage gegen den kambodschanischen Geschäftsmann Chen Zhi und beschlagnahmte zivilrechtlich 127.271 Bitcoin – eine der größten Vermögenseinziehungen der Geschichte (Stichtag der DOJ-Forfeiture). TRM Labs ordnet die zugehörige Prince-Group-Struktur als Cluster aus Investment-Scam-Compounds, Geldwäsche über HuiOne Pay und Crypto-Cashout über asiatische OTC-Desks ein. Im März 2026 räumten lokale Behörden mit Unterstützung von INTERPOL den KK Park in der Region Myawaddy: 635 Gebäude, 14.000 Personen aus 54 Ländern, viele davon Opfer von Menschenhandel, eingesetzt als Zwangsarbeiter in Pig-Butchering-Operationen. Cybercrime-as-a-Service ist auf dieser Ebene nicht mehr Metapher. Es ist Industriegeographie.

Die Metriken dieser Ökonomie heißen daher nicht nur Fallzahl und Aufklärungsquote. Sie heißen:

• Uptime: Wie lange bleibt eine Phishing- oder Malware-Infrastruktur erreichbar?
• Wiederverwendung: Welche Kits, Hosts, Domains, Zertifikate, Skripte oder Malware-Familien tauchen immer wieder auf?
• Conversion: Wie viele Opfer gehen vom Klick zur Eingabe, von der Eingabe zur Zahlung?
• Cashout: Wie zuverlässig wird aus digitalem Betrug verwertbares Geld?
• Resilienz: Wie schnell entsteht Ersatz, wenn Infrastruktur abgeschaltet wird?

Das sind keine exotischen Sicherheitsmetriken. Es sind die KPIs eines illegalen Dienstleistungsmarktes.

Was die Infrastruktur-Daten zeigen

Für diese Analyse wurden neben PKS und Lagebildern auch offene Infrastrukturquellen eingelesen: URLhaus, MalwareBazaar, PhishTank, Feodo Tracker und SSLBL. Sie bilden nicht „die Kriminalität“ ab. Sie zeigen Ausschnitte der Produktionsmittel.

Der Ausschnitt ist groß genug, um die Messlücke sichtbar zu machen:

• URLhaus recent enthielt 25.801 Malware-Download-URLs, davon 2.198 online und 23.603 offline. Dahinter standen 11.986 eindeutige Hosts und 5.794 registrierbare Domains.
• URLhaus full enthielt 76.208 Malware-URLs, davon 12.270 online.
• MalwareBazaar recent enthielt 992 Samples. Unter den sichtbaren Signaturen lagen unter anderem Mirai, AgentTesla, Gafgyt, ValleyRAT, VIPKeylogger, RemcosRAT, Vidar und AsyncRAT.
• PhishTank online-valid enthielt 57.792 aktive Phishing-Einträge, 26.841 Hosts und 7.512 registrierbare Domains. Die Zahl basiert auf den kumulierten online-valid-Dumps zum Analysezeitpunkt; die öffentliche Live-API von PhishTank stellt jeweils nur einen aktuellen, deutlich kleineren Ausschnitt dieser Bestände bereit.

Diese Zahlen sind nicht mit der PKS zu addieren. Sie sind anders. Und gerade deshalb sind sie wertvoll. Eine URL ist kein Fall; sie kann null, ein oder in einer Kampagne zehntausende Opferkontakte erzeugen. Umgekehrt kann ein einzelner PKS-Fall auf viele technische Artefakte zurückgehen. Der Vergleich ist deshalb kein Korrelationsbeweis, sondern eine Messarchitektur: Hellfeld hier, Produktionsmittel dort.

Drei Beobachtungen aus diesem Ausschnitt sind für die CaaS-These besonders aufschlussreich.

Erstens: Unter den häufigsten URLhaus-Tags rangiert Mozi mit knapp 8.000 Treffern in der jüngeren Zeitscheibe und rund 25.000 in der Vollabfrage. Das Mozi-Botnet wurde 2023 öffentlich für tot erklärt, nachdem ein Kill-Switch durch die Infrastruktur lief. In den Telemetriedaten lebt es weiter. Genau das ist Resilienz: ein „abgeschalteter“ Bestand bleibt als wiederverwendbare Infrastruktur in Umlauf.

Zweitens: Die Tag-Familie ClearFake (rund 6.000 bzw. 11.000 Treffer) zeigt, wie eine einzige Social-Engineering-Mechanik – gefälschte Browser-Updates – über Monate als Vertriebsweg für wechselnde Payloads dient. Eine Kampagne, viele Endprodukte. Das ist Plattformlogik, nicht Tätergenialität.

Drittens: Bei MalwareBazaar dominieren ELF-Samples (324) vor EXE-Samples (222). Die meisten Schadprogramme im Sample richten sich also nicht gegen Windows-Endnutzer, sondern gegen Linux-, IoT- und Server-Systeme. Das passt zum Mirai/Mozi-Bild und verschiebt das Lagebild: Ein relevanter Teil der CaaS-Infrastruktur ist nicht „Phishing am Bürger“, sondern „kompromittierte Geräte als Produktionsmittel“.

Eine vierte Beobachtung trifft besonders Deutschland: Im PhishTank-Online-Valid-Dump ist `.de` mit 4.685 aktiven Phishing-Einträgen die zweithäufigste Top-Level-Domain hinter `.com` (26.465). Phishing ist nicht überwiegend ein Problem aus exotischen Domains – ein erheblicher Anteil läuft über reguläre deutsche Adressen, sei es durch kompromittierte Webseiten, durch frisch registrierte Domains oder durch Subdomains auf Hosting-Plattformen.

Die PKS sagt: So viele Fälle wurden registriert. URLhaus und PhishTank sagen: So viele sichtbare Infrastrukturpunkte sind oder waren im Umlauf. MalwareBazaar sagt: Diese Werkzeuge und Dateitypen zirkulieren. Der Graph sagt: Diese Entitäten, Intermediäre, Watchlist- und KYC-Themen bilden die Risiko- und Tarnschicht.

Ein fünftes Beispiel zeigt, wie weit dieses Modell inzwischen institutionalisiert ist. Im März 2026 zerschlug Europol gemeinsam mit dem US-Justizministerium und weiteren Partnern in Operation Lightning den Anonymisierungs-Dienst SocksEscort: ein gewerblicher Residential-Proxy-Service mit 124.000 registrierten Nutzern, 34 Domains und 23 Servern, plus 3,5 Mio. USD eingefrorenem Krypto-Vermögen. SocksEscort verkaufte nicht Schadsoftware, sondern Tarnung – und tat das im Geschäftsmodell eines normalen SaaS-Anbieters mit Account-Verwaltung, Abo-Tarifen und Support-Ticket-System. Ein Anbieter, der 124.000 Konten führt, ist keine kriminelle Zelle. Er ist ein Mittelständler.

Ein Fall ist die Oberfläche. Die Infrastruktur ist der Maschinenraum.

Warum Aufklärungsquoten als Komfortzahl gefährlich sind

Die Aufklärungsquote ist politisch attraktiv, weil sie eine Art Temperaturanzeige verspricht. Steigt sie, wirkt der Staat handlungsfähig. Sinkt sie, klingt es nach Kontrollverlust.

Bei Cybercrime ist sie jedoch eine besonders tückische Zahl.

2025 liegt die Aufklärungsquote im PKS-Ausschnitt bei Cybercrime bei 31,4 %. Beim Betrug bzw. Computerbetrug mit rechtswidrig erlangten unbaren Zahlungsmitteln liegt sie bei 21,1 %. Bei Zahlungskartendaten liegt sie bei 16,9 %.

Diese Zahlen erzählen nicht nur etwas über Ermittlungserfolg. Sie erzählen auch etwas über Attribution. Je stärker Tatort, Täter, Infrastruktur, Opfer und Zahlungsfluss auseinanderfallen, desto weniger passt das klassische Fallmodell.

Das BKA weist selbst auf die Bedeutung von Auslandstaten mit Erfolgsort Deutschland hin. Im Cybercrime-Lagebild wird erklärt, dass bei einem Großteil der Cybercrime-in-engeren-Sinne-Straftaten Schäden in Deutschland entstehen können, während Aufenthaltsort der Täter unbekannt ist oder der Angriff aus dem Ausland erfolgt. Die PKS-Ausland soll genau diese Lücke sichtbarer machen.

Das ist ein Fortschritt. Aber es bleibt eine Statistik von Fällen. CaaS ist eine Statistik von Fähigkeiten.

Der verschwundene Tatort

In der analogen Kriminalität ist der Tatort ein Ort. In der digitalen Kriminalität ist er eine Relation.

Der Klick kann in Deutschland erfolgen, die Domain über einen ausländischen Registrar laufen, der Server in einem anderen Land stehen, das Skript aus einem Forum stammen, die Zahlung über ein Konto oder Wallet fließen, dessen wirtschaftlich Berechtigter wieder woanders sitzt. Aus polizeilicher Sicht entsteht ein Fall. Aus analytischer Sicht entsteht ein Graph.

Genau hier setzt der FinCrime Watchdog Graph an. Es handelt sich um eine intern aufgebaute Neo4j-Wissensbasis, die drei sonst getrennte Datenwelten in einer einzigen Graphstruktur zusammenführt: erstens einen Extrakt der ICIJ-Offshore-Leaks-Bestände (Panama Papers, Pandora Papers, Paradise Papers, Bahamas Leaks und weitere) mit ihren Firmen-, Officer-, Adress- und Intermediär-Verknüpfungen; zweitens einen Auszug aus OpenSanctions als laufend aktualisierte konsolidierte Sanktions- und PEP-Listen; drittens eine eigene Themen-Taxonomie zu AML- und FinCrime-Begriffen wie AMLA, KYC, CDD, Transaction Monitoring, Shell Companies und pKYC. Die Zahlen beziehen sich auf den aktuellen Stand der internen Datenbank, nicht auf den vollständigen öffentlichen Bestand der Quellen.

Der Graph enthält in der aktuellen Profilierung 2.030.006 Knoten und 3.369.045 Beziehungen. Die größten Schichten sind Entity (814.390), Officer (771.315), Address (402.246) und Intermediary (26.768) – also klassische Offshore-Leaks-Geometrie. Hinzu kommen Themen-Cluster wie AMLA, KYC, Sanktionen, CDD, Transaction Monitoring, ICIJ Offshore Leaks, OpenSanctions und Shell Companies als Risiko- und Indikatorenschicht.

Das ist nicht die operative CaaS-Schicht. Der Graph sagt nicht automatisch, welche Phishing-Domain gestern online war. Aber er ist für die zweite Hälfte der Wertschöpfung entscheidend: Tarnung, Kontrolle, wirtschaftliche Berechtigung, Sanktionsnähe, Intermediäre, KYC-Schwächen, Geldwäschepfade.

Anders gesagt: URLhaus zeigt den Download-Link. Neo4j hilft zu fragen, wohin das Geld und die Struktur führen könnten. Das löst nicht automatisch das Ermittlungsproblem: Attribution kann analytisch plausibel sein und juristisch dennoch scheitern – etwa an fehlenden Rechtshilfeabkommen, verschleierten wirtschaftlich Berechtigten oder Safe-Haven-Jurisdiktionen. Der Graph ersetzt keine Ermittlungsakte. Er verkürzt den Weg zu besseren Fragen.

Internationale Spiegelung: was die FBI-Daten zeigen

Wer bezweifelt, dass die deutsche Messlücke ein deutsches Problem ist, sollte einmal in die USA blicken. Der FBI-Internet-Crime-Complaint-Center-Bericht 2025 wurde im April 2026 veröffentlicht und zeigt, was eine Cybercrime-Statistik leistet, wenn sie zusätzlich zu Fallzahlen auch Schadenshöhen, Ransomware-Familien, Crypto- und KI-Bezug systematisch ausweist. Es ist die Statistik, die die deutsche PKS nicht ist.

Die Eckzahlen sind hart: 1.008.597 Beschwerden, 20,877 Mrd. USD Schaden, plus 26 Prozent gegenüber 2024. Der Crypto-Nexus allein erfasst 181.565 Beschwerden mit 11,37 Mrd. USD Schaden – das sind 54 Prozent aller IC3-Verluste 2025. Cyber-enabled fraud macht 45 Prozent der Beschwerden aus, aber 85 Prozent der Schäden. Genau dieses Verhältnis kann die deutsche PKS nicht zeigen, weil sie keine Schadenshöhen führt: Lärm und Geld liegen weit auseinander.

Auf den drei Achsen, an denen sich der CaaS-Charakter besonders deutlich messen lässt, liefert der IC3-Bericht harte Belege.

Erstens, die Lieferkette. Das FBI beschreibt Crypto-Investment-Scams ausdrücklich als „largely perpetrated by organized criminal enterprises based in Southeast Asia using victims of human trafficking as forced labor“. Operation Chakra, eine Joint-Operation von FBI und indischer Central Bureau of Investigation (CBI), zerschlug Ende 2025 ein Noida-Callcenter mit über 600 US-Opfern und 48,7 Mio. USD bekannter Schadenssumme. Die Industrie liegt nicht in Foren. Sie liegt in Compounds.

Zweitens, die Resilienz. Das FBI identifizierte 2025 63 neue Ransomware-Varianten, im Schnitt 5,25 pro Monat. Die Top-10-Liste – Akira, Qilin, INC./Lynx/Sinobi, BianLian, Play, Ransomhub, Lockbit, Dragonforce, SAFEPAY, Medusa – enthält Familien, die bereits durch internationale Takedowns „abgeschaltet“ galten. Genau das, was die Mozi-Beobachtung in den abuse.ch-Daten zeigt, gilt im Großen: Tot ist nicht weg.

Drittens, der KI-Multiplikator. 22.364 KI-bezogene Beschwerden, 893 Mio. USD Schaden. BEC mit KI-Nexus allein 30 Mio. USD, Investment-Scams mit KI 632 Mio. USD. Die Frage ist nicht mehr, ob KI im Werkzeugkasten liegt. Die Frage ist, welche Anteile sie übernimmt – und die IC3-Daten quantifizieren das erstmals.

Bemerkenswert auch der internationale Befund: Deutschland steht mit 3.056 Beschwerden auf Platz 5 der ausländischen IC3-Anzeiger, hinter Kanada, Indien, Japan und dem Vereinigten Königreich. Es gibt deutsche Geschädigte, die ihren Cyberbetrugsfall lieber in Washington melden als im Inland. Das ist kein Zufall. Es ist eine Aussage über Reibung, Verfahrenswege und wahrgenommene Erfolgsaussichten.

Was die deutsche Debatte aus dem IC3-Bericht zusätzlich übernehmen kann, ist eine konkrete operative Kennzahl: die Financial Fraud Kill Chain (FFKC). Das FBI-Recovery-Asset-Team initiierte 3.900 FFKCs in 2025, fror 679 Mio. USD von 1,16 Mrd. USD Versuchsschaden ein – 58 Prozent Erfolgsquote. Das ist der Monetarisierungs-KPI in seiner brauchbarsten Form: nicht „wie viele Fälle?“, sondern „wie viel Geld haben wir tatsächlich gestoppt, bevor es ins Ausland war?“.

Die methodischen Vorbehalte sind dieselben wie auf deutscher Seite. Auch die IC3-Zahlen sind self-reported und unvollständig – das FBI schreibt selbst, sie spiegeln „what entities report to the FBI via IC3″ wider, nicht das Gesamtphänomen. Und USD-Schadenssummen sind nicht 1:1 mit Bitkom-Hochrechnungen oder PKS-Fallzahlen vergleichbar. Aber gerade der Unterschied ist die Lehre: Zwei sehr verschiedene Messarchitekturen erzeugen zwei sehr verschiedene Bilder vom selben Markt.

Das eigentlich Spannende ist nicht, dass IC3 mehr Detail zeigt als die PKS. Spannend ist, was beide gemeinsam zeigen: Die kriminelle Infrastruktur skaliert. Die Statistik nicht.

Vier institutionelle Messlücken – und warum sie kooperationsbedingt sind

Wenn man die Quellenlage 2026 ehrlich auslegt, gibt es nicht eine Statistiklücke. Es gibt vier nebeneinander liegende, sich nicht überlappende Messräume. Jeder dieser Räume wird von einem Akteur sehr gut bedient. Niemand sieht das ganze Bild.

Erstens, das behördliche Hellfeld. BKA-PKS, Cybercrime-Lagebild, IC3 und ihre internationalen Pendants liefern Anzeigen, Aufklärungsquoten, in den USA inzwischen auch Schadenshöhen. Sie sehen weder die Cyber-Telemetrie der Angreifer noch die Kontoflüsse anderer Banken noch die On-Chain-Bewegungen. Sie sehen, was bei ihnen ankommt.

Zweitens, die Cyber-Telemetrie. abuse.ch, PhishTank, MalwareBazaar, Feodo Tracker, kommerzielle Threat-Intel-Anbieter und CERT-Verbünde sehen Domains, Hosts, Malware-Signaturen und Phishing-Kits in nahezu Echtzeit. Sie sehen weder Anzeigen noch Geldflüsse noch konkrete Identitäten der Geschädigten.

Drittens, die Crypto-Forensik. Chainalysis und TRM Labs dokumentieren On-Chain-Geldwäsche, das Wachstum chinesischsprachiger Crypto-Money-Laundering-Netzwerke (CMLNs) seit 2020 stärker als das der zentralisierten Börsen, Guarantee-Plattformen als Anker, Lighthouse-Phishing-Kits als verteilte Werkzeugschicht. Sie sehen weder Off-Chain-Bankenflüsse noch SAR-Daten noch behördliche Anzeigen.

Viertens, Strafverfolgung und Operationen. FBI, Europol, INTERPOL, UNODC und nationale Polizeien sehen Operationen ex post: Operation Chakra, Operation Lightning, KK-Park-Räumung, BlackSuit-Disruption. Sie sehen selten Echtzeit-Telemetrie, oft erst nach Monaten Sichtbarkeit, und ihre Ergebnisse landen meist in Pressemitteilungen, nicht in maschinenlesbaren Datensätzen.

Vier Akteure, vier Quadrate auf dem Schachbrett. Niemand sieht das ganze Brett. Genau deshalb ist Cybercrime messbar unmessbar: nicht weil die Daten fehlen, sondern weil sie nicht in derselben Hand sind.

Diese Lücke ist nicht technisch. Sie ist institutionell. Und damit lässt sie sich auch nur institutionell schließen – durch Kooperationsarchitekturen, die Daten zwischen Behörden, Anbietern und Finanzinstituten überhaupt erst flussfähig machen. Wer die Messlücke verstehen will, muss deshalb über die fünf bisherigen KPI-Achsen hinaus eine sechste mitdenken: die Kooperationsreife selbst.

Sechs KPIs für eine bessere Messung

Ein Watchdog-Modell für Cybercrime-as-a-Service sollte deshalb sechs Achsen kombinieren – fünf inhaltliche und eine strukturelle. Das interaktive Radar oben zeigt sie auf einen Blick.

1. Sichtbarkeit

Hier bleibt die PKS zentral. Fallzahlen, Aufklärungsquote, Deliktgruppen, Tatortlogik, PKS-Ausland und Dunkelfeldhinweise sind der amtliche Startpunkt. Sie zeigen, was im System angekommen ist.

Aber sie dürfen nicht als Gesamtbild missverstanden werden. Gerade im Cybercrime ist das Dunkelfeld laut BKA und BSI ein strukturelles Problem. Hinzu kommt ein Reputationsfilter: Unternehmen, Dienstleister oder vermögende Privatpersonen melden Vorfälle nicht immer, weil sie Imageschäden, Kundennachfragen, Versicherungsfolgen oder regulatorische Anschlussfragen fürchten. Eine Fallzahl ist deshalb kein Marktvolumen. Sie ist ein Sichtbarkeitsindikator.

2. Skalierung

Skalierung misst, ob aus einem Delikt ein Produktionssystem geworden ist. Indikatoren sind aktive Phishing-URLs, Malware-Download-URLs, Hosts, registrierbare Domains, Malware-Familien, wiederkehrende Tags, Botnet-Hinweise und Kit-Wiederverwendung.

Wenn in einem Live-Ausschnitt zehntausende Phishing- und Malware-Einträge sichtbar sind, ist das keine Sammlung von Einzelfällen. Es ist Infrastruktur.

3. Resilienz

Resilienz misst, wie robust der kriminelle Betrieb gegen Störungen ist. Offline-Status ist hier nicht nur Erfolgsmeldung; er ist auch eine Frage: Wie schnell kommt Ersatz? Tauchen dieselben Tags, Hosts, Skripte oder Anbieter wieder auf? Wandert die Kampagne nur weiter?

Der Takedown ist wichtig. Aber in einem Dienstleistungsmarkt ist die Wiederbeschaffungszeit oft wichtiger.

4. Monetarisierung

Ohne Geld ist Cybercrime Lärm. Mit Geld wird er Financial Crime.

Deshalb gehören unbare Zahlungsmittel, Zahlungskartendaten, Mule Accounts, Überweisungsbetrug, Instant Payments, Crypto-Offramps und Geldwäscheindikatoren ins KPI-Modell. Die PKS-Zahlen zu unbaren Zahlungsmitteln und Zahlungskartendaten sind hier besonders relevant, weil sie die Brücke zwischen Cyberangriff und Zahlungsverkehr bilden.

Wie groß die Monetarisierungslücke zur Fallstatistik wirklich ist, zeigen zwei Werte aus der Wirtschaft. Der Bitkom beziffert den Gesamtschaden durch Datendiebstahl, Industriespionage und Sabotage in Deutschland auf rund 267 Mrd. Euro pro Jahr, von denen rund 178,6 Mrd. Euro auf reine Cyberangriffe entfallen (Bitkom-Wirtschaftsschutzstudie 2024). Diese Zahlen sind methodisch nicht mit PKS-Fallzahlen vergleichbar – es sind Hochrechnungen aus einer Unternehmensbefragung – aber sie ordnen die Größenordnung ein, in der CaaS als Geschäftsmodell operiert. Demgegenüber weist das BKA-Cybercrime-Lagebild 2024 für Deutschland rund 950 polizeilich bekannte Ransomware-Angriffe im Jahr aus. Der Abstand zwischen geschätzter Schadenshöhe und gemeldeten Vorfällen ist selbst die Botschaft.

Hinzu kommt der Geschwindigkeits-Faktor. TRM Labs dokumentiert generell sinkende Haltezeiten für Stablecoin-Gelder aus Hochrisiko-Quellen, in einzelnen Fluss-Kategorien unter 48 Stunden – die Zeitspanne, in der Banken und Exchanges noch eingreifen können, schmilzt. Gleichzeitig dokumentiert Chainalysis, dass KI-gestützte Scams etwa 4,5-fach profitabler sind als ihre nicht-KI-Pendants und dass Impersonation-Angriffe um rund 1.400 Prozent zugenommen haben. TRM beziffert die Zunahme KI-fähiger Scam-Aktivität insgesamt mit rund +500 Prozent. Das sind keine Vermutungen mehr. Das sind Größenordnungen, die in jede ernsthafte Monetarisierungs-KPI gehören.

5. Netzwerk-Risiko

Eine weitere Schicht ist die am wenigsten sichtbare: Wer steht hinter Firmen, Wallets, Intermediären, Adressen, Registrierungen und Zahlungswegen? Welche Namen tauchen in Leak-Daten, Sanktionslisten oder Offshore-Strukturen auf? Wo endet der technische Angriff und wo beginnt die wirtschaftliche Verschleierung?

Hier liegt die Stärke eines Financial-Crime-Graphs. Er macht sichtbar, was klassische Tabellen trennen.

6. Kooperationsreife

Die fünfte Achse setzt voraus, dass jemand alle vier vorherigen Achsen gleichzeitig sehen kann. Heute kann das niemand. Diese sechste Achse misst deshalb die strukturelle Voraussetzung der anderen fünf – und ist die einzige, deren Verbesserung alle anderen Messungen direkt verbessert.

Indikatoren wären:

• Anzahl belegter Joint Operations pro Jahr zwischen FBI, Europol, INTERPOL und nationalen Polizeibehörden.
• Time-to-Take-Down zwischen erstmaliger Indikator-Sichtung und operativer Disruption (z. B. SocksEscort: Indikatoren waren Threat-Intel-Anbietern seit 2023 bekannt, Takedown erst März 2026).
• Anteil bilateraler Rechtshilfeersuchen, die innerhalb von 30 Tagen beantwortet werden.
• Anzahl institutioneller Schnittstellen für Echtzeit-Datenaustausch zwischen FIUs (Financial Intelligence Units), Banken-FRAML-Teams und nationalen Cyber-CERTs.
• Erfolgsquote der Financial-Fraud-Kill-Chain-Verfahren – das FBI weist hier 58 Prozent eingefrorene Mittel aus, ein deutsches oder europäisches Pendant existiert noch nicht in vergleichbarer Form.

Was nicht gemessen wird, kann auch nicht verbessert werden. Kooperation ist heute weitgehend unmessbar – und das ist der eigentliche Skandal des Lagebilds 2026.

Der politische Fehler: Fallzahlen mit Risiko verwechseln

Eine sinkende Fallzahl kann vieles bedeuten: weniger Kriminalität, weniger Anzeigen, andere Erfassungslogik, bessere Prävention, schlechtere Sichtbarkeit, geänderte Täterstrategien. Ohne Infrastruktur- und Zahlungsdaten bleibt die Deutung offen.

Ein CaaS-Markt kann sich professionalisieren, auch wenn einzelne Fallkategorien fallen. Er kann weniger Lärm erzeugen und mehr Ertrag. Er kann sich aus offenen Webflächen in Messenger, geschlossene Gruppen oder kompromittierte Plattformen verlagern. Er kann durch Automatisierung billiger werden, durch KI überzeugender, durch bessere Cashout-Strukturen profitabler.

Das ist der unangenehme Kern: Der Staat misst oft den Schaden am Ende. Der Markt optimiert den Prozess davor.

Die kooperative Antwort: Global Fraud Summit und das PPP-Framework

Im März 2026 trafen sich auf Einladung von UNODC und INTERPOL Vertreter von Regierungen, internationalen Behörden, Banken, Zahlungsdienstleistern und Zivilgesellschaft zum Global Fraud Summit. Das Ergebnis sind zwei Papiere: eine Call to Action on Combating Fraud und – institutionell wichtiger – ein Global Public-Private Partnership Framework against Fraud.

Was an diesem Framework neu ist, ist nicht die Forderung nach Zusammenarbeit. Die gibt es seit Jahren. Neu ist, dass es erstmals eine institutionelle Vorlage gibt, in der Banken, Zahlungsdienstleister, Plattformen, Telekommunikationsanbieter und Strafverfolgung nicht nur Opfer-Daten teilen, sondern Indikatoren-Daten auf Protokoll-Ebene – also genau das, was bisher institutionell silenziert war.

Konkret bedeutet das: Ein erkanntes Phishing-Kit beim einen Telco wird zur Filterregel beim anderen Mailprovider. Ein gemeldeter Mule-Account bei einer Bank wird zur Sperrentscheidung bei einer anderen. Ein gefrorenes Konto bei einer FIU wird zur Vorwarnung an Crypto-Exchanges in der Cashout-Kette. Ein bei INTERPOL bekannter Compound-Standort wird zum Geo-Risiko-Signal für Zahlungsdienstleister mit Endkunden in der Region.

Das ist die institutionelle Antwort auf die vier Messlücken. Ob sie funktioniert, hängt von einem einzigen Faktor ab: ob die teilnehmenden Institutionen bereit sind, die rechtlichen, datenschutzrechtlichen und wettbewerblichen Hürden zu überwinden, die heute jeden dieser Datenflüsse blockieren. Das Framework ist kein Selbstläufer. Es ist eine Verpflichtungserklärung.

FRAML: die Brücke, die Kriminalität tatsächlich messbar macht

Innerhalb von Banken und Zahlungsdienstleistern besteht eine ähnliche Trennung wie zwischen den Behörden. Fraud-Teams sehen Transaktionen aus der Perspektive Konversionsrate, Kartensicherheit, Login-Anomalien. AML-Teams sehen dieselben Konten aus der Perspektive KYC, Sanktionen, Transaktionsmuster. Cyber-Teams sehen Schadsoftware-Indikatoren, Phishing-Kits, kompromittierte Endgeräte. Selten sehen alle drei dasselbe Konto, dieselbe Identität, dasselbe Risiko.

FRAML – Fraud + AML als integrierte Disziplin – ist der interne Spiegel des Global Fraud Summit. Es verlangt, dass Fraud- und AML-Daten in einem gemeinsamen Risikomodell zusammenfließen, damit ein Pig-Butchering-Opfer als Fraud-Fall erkannt und der Empfänger-Account als AML-Fall behandelt wird – innerhalb derselben Operation, nicht in zwei getrennten Workflows mit Wochen Versatz.

Wer Cybercrime-as-a-Service messbar bekämpfen will, braucht deshalb fünf Datenarten in einem gemeinsamen Lagebild:

1. Amtliche Statistik: PKS, PKS-Ausland, Cybercrime-Lagebild, IC3, INTERPOL Threat Assessment, SKiD/Dunkelfeld.
2. Cyber-Telemetrie: Phishing, Malware, Domains, Hosts, Takedowns, Botnetze, Residential-Proxy-Plattformen.
3. Zahlungsdaten: unbare Zahlungsmittel, Karten, Überweisungen, Mules, Instant Payments, Crypto-Off- und -Onramps, Stablecoin-Halte- und Routing-Zeiten.
4. Graphdaten: Entitäten, Intermediäre, Sanktionen, Offshore-Leaks, Register, wirtschaftlich Berechtigte, CMLN-Cluster.
5. Rechts- und Kooperationsdaten: Rechtshilfewege, Takedown-Zuständigkeiten, Provider- und Registrar-Reaktionszeiten, internationale Safe-Haven-Risiken, gemessene Kooperationsreife.

Das ist kein Luxus für Datenanalysten. Es ist die Mindestarchitektur für moderne FinCrime-Abwehr. Sie garantiert keine Strafverfolgung, aber sie verhindert, dass jede Institution nur ihr eigenes Fragment sieht. Und sie macht aus „Kooperation“ einen messbaren Zustand statt eines politischen Versprechens.

FRAML ist die operative Bedingung für die sechste KPI-Achse. Ohne FRAML bleibt Kooperationsreife eine Forderung. Mit FRAML wird sie ein KPI.

Schluss: Die Kriminellen sind nicht unbedingt klüger. Sie sind besser organisiert.

Die bequemste Erklärung für Cybercrime lautet: Die Täter werden immer raffinierter. Das stimmt manchmal. Aber es ist nicht die wichtigste Erklärung.

Die wichtigere Erklärung lautet: Die Täter müssen nicht alle raffinierter werden, weil der Markt ihnen Raffinesse als Dienstleistung anbietet.

Cybercrime-as-a-Service ist die Industrialisierung des digitalen Verbrechens. Es zerlegt den Angriff in handelbare Module, senkt Eintrittsbarrieren, beschleunigt Wiederholung und verschiebt das Risiko über Grenzen, Plattformen und Zahlungswege hinweg.

Die Polizeistatistik bleibt wichtig. Sie ist der amtliche Blick auf das Hellfeld. Doch wer Cybercrime-as-a-Service messen will, muss zusätzlich die Produktionsmittel messen: Domains, Hosts, Malware, Messenger-Vertrieb, Zahlungspfade, Tarnstrukturen und Netzwerke.

FinCrime Watchdog sollte deshalb nicht fragen: Steigt oder fällt Cybercrime?

Die bessere Frage lautet:

Wie leistungsfähig ist die kriminelle Infrastruktur geworden – und welche unserer Statistiken sehen sie überhaupt?

Wenn Cybercrime eine Dienstleistung ist, braucht auch seine Bekämpfung andere KPIs. Nicht nur Fälle. Sondern Fähigkeiten. Nicht nur Täter. Sondern Lieferketten. Nicht nur Aufklärung. Sondern Unterbrechung.

Die Kriminellen sind nicht unbedingt pfiffiger. Sie sind besser vernetzt als unsere Statistiken.