Operation zur Beschlagnahme der Virtualine-Domain: Was über die Zerschlagung der bulletproof-Hosting-Infrastruktur bekannt ist

Am 27. Oktober 2026 gab das US-Justizministerium bekannt, dass die Domain virtualine.net beschlagnahmt wurde. Sie gehörte einem Anbieter von sogenanntem bulletproof-Hosting – einem Dienst, bei dem der Betreiber Beschwerden über Missbrauch durch Kunden bewusst ignoriert. Laut Justizministerium wurde der Service für die Bereitstellung von Materialien zur sexuellen Ausbeutung Minderjähriger, die Verbreitung intimer Bilder ohne Zustimmung der Opfer und für internationale Geldwäsche genutzt. Die Operation wurde gemeinsam mit der Polizei des Bundeslandes Hessen (Deutschland), der Polizei der Niederlande, der britischen National Crime Agency sowie den privaten Unternehmen OverRIPE und Lumen Technologies durchgeführt. Organisationen, die Domain- oder ASN-Blockierung zur Abwehr schädlicher Infrastruktur einsetzen, sollten berücksichtigen, dass die Beschlagnahme einer einzelnen Domain nicht garantiert, dass die zugehörige Infrastruktur vollständig außer Betrieb geht.

Was Virtualine war

Den Gerichtsunterlagen zufolge, auf die sich das Justizministerium bezieht, trat Virtualine auch unter den Namen Secury, Massgod, Spamhouse, Lanedo und Omegatech auf. Der Dienst warb offen auf cyberkriminellen Foren für seine Angebote und erklärte, Kunden könnten das Hosting für Phishing, Carding, Spamversand und Port-Scanning nutzen. Die einzigen angegebenen Einschränkungen betrafen Kinderinhalte und Terrorismus.

Im Juni 2025 prahlte der Betreiber laut Anklage auf dem Forum HackForums damit, dass „Virtualine mehr Beschwerden ignoriert hat als deine letzten drei Therapeuten zusammen“. Im März 2026 begann der Service, einen „Zusatzschutz-Plan“ anzubieten: Ging eine offizielle Anfrage von Strafverfolgungsbehörden ein, wurde die Infrastruktur des Kunden auf eine Scheinfirma verlagert, die formal nicht mit Virtualine in Verbindung stand.

Vorwürfe des Justizministeriums und Position des Betreibers

Im Mittelpunkt der Anklage steht ein Kunde, der in den Gerichtsunterlagen als „Vendor 1“ bezeichnet wird – ein kriminelles Forum, auf dem explizite Bilder Minderjähriger gehostet und verkauft wurden und auf dem außerdem Hacking-Dienstleistungen für Kontoübernahmen auf Bestellung angeboten wurden. Nach Darstellung des Justizministeriums setzte Virtualine die Betreuung von Vendor 1 fort, selbst nachdem zahlreiche Hinweise von Strafverfolgungsbehörden aus Deutschland, Kanada und Australien, vom National Center for Missing and Exploited Children (NCMEC) in den USA sowie von der Anwältin eines der Opfer eingegangen waren. Darüber hinaus behauptet die Anklage, Virtualine habe aktiv mit Vendor 1 bei der Einrichtung einer separaten Website zur Bereitstellung und zum Herunterladen illegaler Inhalte kooperiert.

Wichtig ist festzuhalten, dass diese Chronologie umstritten ist. Der Betreiber von Virtualine hat in einem offenen Brief bestritten, wissentlich Materialien zur sexuellen Ausbeutung von Kindern gehostet zu haben. Seinen Angaben zufolge seien alle eingehenden Beschwerden über derartige Inhalte innerhalb von 24 Stunden bearbeitet worden, und die Geschäftsbeziehung zu Vendor 1 sei nach Entdeckung der verbotenen Inhalte beendet worden. Der Betreiber erklärte außerdem seine Bereitschaft, mit den Behörden in allen Fragen im Zusammenhang mit Vendor 1 zu kooperieren. Eine unabhängige Überprüfung einer der dargestellten Chronologien ließ sich in den verfügbaren Materialien nicht finden – die Gerichtsunterlagen, auf die sich das Justizministerium beruft, sind nicht öffentlich zugänglich.

Kryptowährungsströme und Umfang des Ökosystems

Nach Angaben des Justizministeriums nahm Virtualine Zahlungen über sogenannte „BTC [NO-AML]“ entgegen – nicht-kustodiale Bitcoin-Adressen, über die Kunden direkt zahlen konnten, ohne Prüfungen zur Einhaltung von Geldwäschevorschriften durchlaufen zu müssen. Das Unternehmen Chainalysis bestätigte in seiner eigenen Analyse unabhängig den Mechanismus direkter Zahlungen über nicht-kustodiale Wallets. Der Vorwurf der anschließenden Geldwäsche der erhaltenen Mittel zur Verschleierung ihrer Herkunft basiert in den verfügbaren Unterlagen jedoch überwiegend auf den Aussagen des Justizministeriums.

Chainalysis berichtet außerdem, dass die Blockchain-Spur von Virtualine direkte Verbindungen zu einem breiten Spektrum der cyberkriminellen Ökosystems aufweist: zu Betreibern von Ransomware, zur Infrastruktur von Infostealern, zu russischsprachigen cyberkriminellen Foren, illegalen Shops sowie zu Adressen, die mit Betrug und Phishing in Verbindung stehen.

Die Beschlagnahme der Domain bedeutet nicht die Zerschlagung der Infrastruktur

Das Unternehmen Silent Push stellte in seiner Analyse der Operation fest, dass Omegatech – einer der Pseudonyme von Virtualine – nach der Beschlagnahme der Domain nicht vollständig abgeschaltet wurde. Seine Netzwerkpräfixe zeigten eine extrem geringe Sichtbarkeit im Routing, was auf erhebliche Probleme auf Seiten des Betreibers hinweist, aber nicht auf eine vollständige Einstellung des Betriebs. Silent Push betont: „Der Verlust eines ASN bedeutet für sich genommen nicht, dass ein bulletproof-Hosting seinen Betrieb eingestellt hat“, und verweist auf die Notwendigkeit, das Verfahren zur Registrierung von ASN zu verschärfen.

Diese Schlussfolgerung wird durch ein gemeinsames Empfehlungsschreiben von CISA, dem FBI und internationalen Partnern gestützt, dem zufolge Anbieter von bulletproof-Hosting in der Lage sind, innerhalb von zwei bis fünf Werktagen ein neues ASN zu erhalten und schädliche IP-Adressbereiche dorthin zu migrieren und so eine Filterung nach ASN zu umgehen. Für Netzwerkschützer bedeutet dies, dass die Blockierung einer bestimmten Domain oder eines bestimmten ASN zwar notwendig, aber nicht ausreichend ist. Das Monitoring muss Ersatzdomains, neue ASN und die Verlagerung von IP-Adressbereichen erfassen.

Empfehlungen

• Monitoring von Indikatoren: Die Domains virtualine.net und virtualine.org sollten in Blocklisten aufgenommen werden. Gleichzeitig ist es jedoch notwendig, das Auftauchen neuer Domains und ASN zu verfolgen, die mit den bekannten Pseudonymen des Dienstes (Secury, Massgod, Spamhouse, Lanedo, Omegatech) in Verbindung stehen.
• Blockchain-Analytik: Organisationen, die mit Kryptowährungstransaktionen arbeiten, wird empfohlen zu prüfen, ob Verbindungen zu Adressen bestehen, die mit Virtualine assoziiert sind, und dafür Tools der Blockchain-Analytik zu nutzen.
• Nicht auf Einzelmaßnahmen verlassen: Die Beschlagnahme einer Domain ist eine punktuelle Maßnahme. Der Schutz vor bulletproof-Hosting erfordert einen mehrschichtigen Ansatz: Reputationsfilterung, Analyse von Netzwerkflüssen, Monitoring von BGP-Ankündigungen zur Erkennung der Migration schädlicher Infrastruktur.
• Prüfung von Hosting-Anbietern: IP-Broker mit schwachen Prüfprozessen für ihre Kunden bleiben ein zentrales Glied, das bulletproof-Hostern den Zugang zu neuen Ressourcen ermöglicht. Organisationen sollten die Reputation übergeordneter Provider bei der Risikobewertung berücksichtigen.

Der Fall Virtualine macht ein systemisches Problem deutlich: Bulletproof-Hosting als Dienstleistung besteht fort, weil neue Netzwerkressourcen leicht zu beschaffen sind und IP-Broker nur schwache Prüfungen durchführen. Die Beschlagnahme einer Domain ist ein bedeutender Schritt, doch wie die Beobachtungen von Silent Push und die Empfehlungen von CISA zeigen, beseitigt sie die Infrastruktur nicht vollständig. Sicherheitsteams sollten ihren Fokus nicht auf die Beschlagnahme einer einzelnen Domain legen, sondern darauf, Prozesse zur Erkennung der Migration schädlicher Infrastruktur aufzubauen – also das Monitoring neuer ASN, von BGP-Ankündigungen und zugehöriger IP-Adressbereiche.