Wer in Österreich ein Handy nutzt, dessen genaue Standortdaten könnten auf den Bildschirmen dortiger Ermittler*innen landen. Das Innenministerium hat jüngst die Lizenz für eine Überwachungs-Software verlängert, die auf massenhaft erfassten Handy-Ortungen basiert. Das zeigt ein Dokument aus einem öffentlichen Vergabeportal. Zuerst berichtet hatte die Tageszeitung Der Standard.

Konkret geht es um das Werkzeug namens Webloc der US-Firma Penlink. Hierzu hatte im April das Citizen Lab der Universität Toronto einen Bericht veröffentlicht. Demnach soll Webloc Zugang zu einem Datenstrom von bis zu 500 Millionen Handys weltweit bieten. Zu den verfügbaren Daten sollen unter anderem genaue GPS-Standorte gehören sowie die einzigartigen Werbekennungen eines Geräts („mobile advertising ID“). Eine kurzfristige Presseanfrage von netzpolitik.org hat die US-Firma Penlink nicht beantwortet.

Den Weg der Daten von populären Handy-Apps in fremde Hände konnten die Recherchen zu den Databroker Files von netzpolitik.org und Bayerischem Rundfunk seit 2024 zeigen. Angeblich nur zu Werbezwecken erhoben fließen die Daten über das Ökosystem der Werbe-Industrie an Datenhändler und von dort zu Überwachungsunternehmen. Betroffen sind potenziell alle Menschen, die ein Handy mit werbefinanzierten Apps nutzen und keine digitale Selbstverteidigung betreiben.

Mithilfe der Werbe-ID lassen sich solche Handy-Standortdaten mühelos zu Bewegungsprofilen verknüpfen. Sie geben oftmals unter anderem Wohnort und Arbeitsplatz preis, aber auch sensible Details über das Privatleben wie Besuche in Arztpraxen, Kliniken, religiösen Gebäuden oder Bordellen.

Der Fachbegriff für Erkenntnisse aus Daten der Werbe-Industrie ist ADINT. Sicherheitsbehörden können mit ADINT-Software diese Daten kinderleicht durchforsten: Ähnlich wie man etwa mit Google Maps nach Restaurants in der Nähe suchen kann, können Polizist*innen mit ADINT-Software nach Bewegungsprofilen von Menschen in einem bestimmten Areal suchen.

Fachleute sehen im Handel mit den Standortdaten einen Verstoß gegen die DSGVO (Datenschutz-Grundverordnung). Bereits 2024 schrieb das deutsche Verbraucherschutzministerium: „Die Übertragung von personenbezogenen Daten als Selbstzweck, also als reine Handelsware, ist aus unserer Sicht mit dem Datenschutzrecht nicht vereinbar.“ In Deutschland und Österreich bezweifeln Fachleute zudem, dass Sicherheitsbehörden solche Daten nutzen dürfen.

Zwei Jahre Überwachung, 1,85 Millionen Euro

Auf Anfrage von netzpolitik.org kommentiert das Innenministerium in Österreich den Einsatz von Webloc nicht direkt. „Über konkrete Softwarelösungen und deren Einsatz kann öffentlich keine Auskunft erteilt werden“, schreibt ein Sprecher. „Fakt ist, dass wir diese nur im Rahmen unserer gesetzlichen Möglichkeiten nutzen.“

Die erste Aussage ist nicht korrekt. Das Ministerium kann sich durchaus äußern, will das aber offenbar nicht. Die zweite Aussage ist nicht belegbar: Wenn das Ministerium über die Software schweigt, lässt sich auch nicht unabhängig prüfen, ob ihr Einsatz legal ist.

In der ausweichenden Antwort der Behörde stecken jedoch Hinweise darauf, wer die Software zu welchem Zweck einsetzen könnte: Zuständig ist demnach die Direktion Staatsschutz und Nachrichtendienst; in einer kurzen Vorrede geht der Sprecher auf „extremistische und terroristische Straftaten“ ein.

Laut Vergabeportal hat Österreich schon einmal an Penlink gezahlt. Die Rede ist von einer „Verlängerung“ der Lizenz um weitere zwei Jahre. Kostenpunkt dieses Mal: rund 1,85 Millionen Euro. Zum Paket gehören demnach nicht nur Webloc, sondern auch weitere Produkte der Firma.

Deren Hauptprodukt heißt Tangles. Es soll dem Citizen Lab zufolge etwa soziale Medien, Foren, Telegram-Gruppen und andere Orte im Netz überwachen können. Kund*innen können demnach etwa nach Namen, Telefonnummern oder E‑Mail-Adressen suchen, um sich online verfügbare Informationen über eine Person anzeigen zu lassen. Bereits 2024 hatte Österreich eine Lizenz für Tangles gezahlt; das Zusatzprodukt Webloc taucht in dem älteren Dokument jedoch nicht ausdrücklich auf.

Tracking-Forscher: „Das ist anlasslose Massenüberwachung.“

Der Wiener Tracking-Forscher Wolfie Christl kritisiert den Einsatz von Webloc. Auf Mastodon schreibt er:

Auch wenn Webloc ’nur’ zur Überwachung von Einzelnen genutzt wird, sammelt und analysiert es täglich Daten über Millionen Unbeteiligte. Das ist anlasslose Massenüberwachung. Diese komplett zweckentfremdete Nutzung von Werbedaten für staatliche Überwachung ist ein Dammbruch.

Die Daten, auf denen Werkzeuge wie Webloc basieren, hält Christl mit Blick auf die DSGVO für illegal. Niemand in der Lieferkette habe eine gültige Einwilligung, um solche Daten für staatliche Überwachung weiterzugeben. Eine solche Einwilligung bräuchte es aber – und zwar von jeder betroffenen Person. „Eine andere DSGVO-Rechtsgrundlage als die Einwilligung ist kaum denkbar“, schreibt Christl.

Getrennt davon zu betrachten sei die Frage, ob das Innenministerium eine Rechtsgrundlage für die Nutzung der Daten habe. „Die österreichische Datenschutzbehörde muss eine Untersuchung einleiten“, schreibt der Forscher.

Datenschutzbehörde in Österreich weiß nichts Näheres

Auf Anfrage von netzpolitik.org teilt die Datenschutzbehörde in Österreich mit, sie habe „keine näheren Kenntnisse über den geplanten Einsatz der genannten Software durch das BMI“. Demnach sei man auch nicht vom Ministerium dazu konsultiert worden. Eine solche Konsultation sei nötig, wenn eine Behörde bei einer Datenschutz-Folgenabschätzung ein hohes Risiko erkennen würde, erklärt der Sprecher.

Wird die Datenschutzbehörde nun aktiv? Eine klare Antwort gibt der Sprecher nicht, hält sich aber alle Türen offen: Man könne „jederzeit im Rahmen eines Beschwerde- oder amtswegigen Prüfverfahrens die Einhaltung datenschutzrechtlicher Vorgaben überprüfen“.

Mit dem nun bekannt gewordenen Lizenzdeal ist Österreich das zweite EU-Land auf der Kundenliste von Webloc. Im April berichtete das Investigativmedium VSquare, dass die ungarische Regierung unter dem inzwischen abgewählten Premier Viktor Orbán Webloc-Lizenzen gekauft habe. In den USA soll die paramilitärische US-Abschiebebehörde ICE das Werkzeug nutzen können, um gezielt Menschen anhand ihrer Handy-Standorte aufzuspüren.

Deutschland hält Databroker-Deals geheim

Verwenden auch deutsche Sicherheitsbehörden Werkzeuge wie Webloc, oder kaufen sie sich die Standortdaten einfach selbst ein? Die Bundesregierung macht daraus ein Staatsgeheimnis. Ende 2025 hat sie nach einer Anfrage der Bundestagsabgeordneten Donata Vogtschmidt (Die Linke) die Auskunft verweigert; damals ging es um Bundeskriminalamt (BKA) und Bundespolizei.

Auch in den Ländern mauern die Regierungen. Eine Recherche von netzpolitik.org und Bayerischem Rundfunk im Juni hat gezeigt: In neun Bundesländern will sich die Polizei nicht über mögliche Databroker-Deals äußern. Nur in fünf Bundesländern hatte die Polizei solche Deals verneint.

In Brandenburg habe die Polizei zwar Daten von „beispielsweise Wirtschaftsauskunfteien“ erworben, nicht aber kommerzielle Standortdaten. Einzig in Mecklenburg-Vorpommern hatte die Landespolizei eingeräumt, Standortdaten der Werbe-Industrie genutzt zu haben. Die dortige Datenschutzbehörde hat daraufhin eine Prüfung eingeleitet.

Opposition in Österreich: „nicht lockerlassen“

Wieso wollen sich so viele Behörden auf Bundes- und Landesebene nicht äußern? „Das Mauern gegenüber der Presse und uns allen lässt nichts Gutes ahnen“, sagte Florian Siekmann, innenpolitischer Sprecher der Grünen im bayerischen Landtag, mit Blick auf sein Bundesland. Und mit seiner Skepsis ist er nicht allein: In mindestens acht deutschen Bundesländern fordert die Opposition nach unseren Recherchen Aufklärung.

Auch in Österreich will die Opposition weiter Druck machen. Der grüne Abgeordnete Süleyman Zorba hatte bereits vergeblich versucht, Transparenz zu schaffen. „Erst hieß es, jede Auskunft gefährde die nationale Sicherheit. Nun ist der Einsatz der Software in öffentlichen Vergabeunterlagen dokumentiert“, fasst er gegenüber dem Standard zusammen.

„Ich werde nicht lockerlassen, bis Innenminister Gerhard Karner offenlegt, auf welcher gesetzlichen Grundlage das Ministerium handelt, welche Daten verarbeitet werden und wer deren Einsatz kontrolliert“, so Zorba weiter. Die Bevölkerung habe ein Recht darauf, zu erfahren, was mit ihren Daten geschieht.

Sicherheitsforscher des CISPA Helmholtz-Zentrums für Informationssicherheit haben gleich drei Schwachstellen in Apples AirDrop-Funktion zur kabellosen Übertragung von Daten gefunden. Glücklicherweise kann keine der Lücken genutzt werden, um Schadcode auszuführen. Schlimm genug ist aber, dass sie dafür genutzt werden können, um Abstürze auszulösen. Weitere drei Sicherheitslücken wurden in Googles und Samsungs Quick Share aufgedeckt.

Arash Ale Ebrahim und Nils Ole Tippenhauer haben für ihre Untersuchung eigens das Testprogramm „AirFuzz“ entwickelt, ein Werkzeug, das automatisiert fehlerhafte oder manipulierte Datenpakete an AirDrop schickt, um Abstürze und Fehlverhalten zu provozieren. Im Fokus stand dabei die Anwendungsebene der Funktionen und nicht Schwachstellen auf der reinen Funkebene.

Wie die Lücken funktionieren

Zwei der drei AirDrop-Lücken lassen sich bereits auslösen, wenn AirDrop auf „Jeder“ steht. Die dritte wird erst nach Annahme einer Übertragung erreicht.

So reicht ein einzelner, fehlerhaft formatierter HTTP-Request aus, um den zuständigen Systemdienst sharingd abstürzen zu lassen. Das bringt nicht nur AirDrop zum Erliegen, sondern auch verwandte Funktionen wie AirPlay, Handoff und die Zwischenablage-Synchronisation zwischen Geräten.

Eine zweite Lücke steckt in der Verarbeitung von Property-Lists, einem internen Datenformat, und kann durch verschachtelte Datenstrukturen einen Speicherüberlauf auslösen. Eine dritte Schwachstelle in Apples Netzwerk-Framework lässt sich durch präparierte HTTP-Header provozieren.

Die Forscher betonen ausdrücklich, dass zehn verschiedene Versuche, die eigentliche Nutzerbestätigung für Dateiübertragungen zu umgehen, allesamt scheiterten – Apples Prüfung der Apple-ID hält demnach stand.

Auch Probleme bei Google und Samsung

Bei Quick Share fanden die Forscher zwei Probleme in Samsungs Implementierung: Zum einen verarbeitet der Dienst bestimmte Datenpakete bereits, bevor der eigentliche Authentifizierungs-Handshake abgeschlossen ist. Zum anderen werden drei von sieben Nachrichtentypen auch dann verarbeitet, wenn sie entgegen der Spezifikation unverschlüsselt ankommen – ein Angreifer im selben WLAN könnte so etwa Verbindungen manipulieren oder Sitzungen künstlich am Leben halten.

Am gravierendsten ist ein Fund in Googles Quick-Share-Client für Windows: ein sogenannter Use-after-Free-Fehler, bei dem das Programm auf bereits freigegebenen Speicher zugreift. Diese Klasse von Fehlern lässt sich unter bestimmten Umständen zur Ausführung von Schadcode missbrauchen. Die Forscher konnten zwar einen zuverlässigen Absturz auslösen, aber keinen vollständigen Exploit entwickeln.

Bugfixes sind in Arbeit

Apple hat die drei AirDrop-Lücken bestätigt, an Fixes wird laut den Forschern gearbeitet. Samsung hat seine beiden Funde an Google weitergereicht, da der betroffene Code aus Googles Quick-Share-Komponenten stammt; diese werden derzeit noch geprüft. Google hat die Windows-Lücke bestätigt und mit einer Bug-Bounty-Prämie belohnt.

Die Angriffe funktionieren nur aus relativer Funknähe von etwa 10 bis 30 Metern – ein Angreifer muss sich also physisch in der Nähe des Zielgeräts aufhalten. In dicht gedrängten Umgebungen wie Flughäfen, Bahnhöfen oder auf Konferenzen ließen sich damit aber theoretisch viele Geräte gleichzeitig ins Visier nehmen.

Da noch keine Patches vorliegen, empfiehlt sich vorerst Zurückhaltung: Wer AirDrop nicht aktiv nutzt, sollte den Modus meiden, mit dem einen jeder im Umkreis für einige Minuten sehen kann, oder zumindest so kurz wie möglich halten. Bei Quick Share gilt ähnliche Vorsicht in unbekannten Umgebungen mit aktivierter Sichtbarkeit für alle Geräte.

(mki)

Schon mal eine Betrugsnachricht via Social Media oder per SMS erhalten?

Hi, ist das die Nummer von David? 🙂

Es besteht die Chance, dass diese Nachricht aus einem „Scam Center“ – einer Fraud Factory – in Südostasien stammt. Laut Interpol stecken dahinter groß angelegte Betrugs-Ökosysteme, die auf Investment- und Liebesbetrug ausgelegt sind. Bei diesen Betrugsmaschen bauen die Täter oft über lange Zeiträume Vertrauen zu den Opfern auf. KI-Technologie treibe die Entstehung immer ausgefeilterer Methoden voran: KI-generierte Inhalte, manipulierte Audio- und Bilddateien und automatisierte Interaktionen, die über mehrere Plattformen hinweg simuliert werden.

Die Chance ist jedoch höher, dass hinter der Nachricht ein Mensch sitzt, der zum Betrügen gezwungen wird. Trotz der technischen Innovationen verlassen sich die kriminellen Organisationen weiterhin überwiegend auf die Ausbeutung von Zwangsarbeiter:innen.

Gezwungen von „chinesischen Gangstern“

Ein aktueller Amnesty-Bericht erzählt die Geschichte hinter den Betrugs-Chats aus der Perspektive dieser Opfer auf der anderen Seite: Eines davon ist Winta (kein Echtname). Winta suchte als 16-Jährige in Ost-Afrika nach einer Arbeit, ihre Mutter war kurz zuvor verstorben. Ein Mann habe Winta und ihrer Schwester Jobs auf einem Kreuzfahrtschiff angeboten und beide nach Sri Lanka gebracht. Doch von dort aus wurden sie laut des Berichts nach Myanmar und Laos verschleppt, wo „chinesische Gangster“ sie zur Arbeit in einer Scam-Fabrik zwangen.

Sieben Jahre später, im Jahr 2026, ist Winta in Kambodscha – weiterverschleppt in eine andere Anlage. Laut Amnesty wissen die Behörden zu diesem Zeitpunkt bereits seit vier Jahren von der Scam-Fabrik. Seit Beginn des Frühjahrs gehen die Behörden gegen einige davon vor. Doch Winta wird kurz vor dem Eintreffen der Polizei in eine andere Anlage gebracht – dort gefesselt und geschlagen – und zuletzt an einem Stadtrand nahe der thailändischen Grenze ausgesetzt. Die später eintreffende Polizei habe ihr und den anderen Opfern jedoch nicht geholfen, sondern gedroht: Die Ausgesetzten sollen die Gegend verlassen, ansonsten bringe die Polizei sie wieder zurück zur Anlage.

Seit Mitte 2025 verkündet Kambodschas Regierung historische Schläge gegen die transnational organisierten Syndikate – die Hintermänner der Scam-Fabriken. Amnesty International sowie ein UN-Bericht von Februar 2026 dokumentieren jedoch, dass ein Großteil der Anlagen weiterhin in Betrieb ist. Gleichzeitig behandeln die Behörden die Befreiten wie Kriminelle.

Cyberkriminalität in „industriellem Ausmaß“

Der UN-Bericht bezeichnet die Scam-Fabriken als Cyberkriminalitäts-Operationen in „industriellem Ausmaß“. Im Raum Südostasien arbeiten demnach mindestens 300.000 Menschen aus 66 Ländern in Scam-Fabriken. Die meisten davon unfreiwillig. Rund drei Viertel der Anlagen lägen den Satellitenbildern zufolge in der Mekong-Region, konzentriert vor allem in Kambodscha und Myanmar.

Den globalen Gewinn solcher Scam-Fabriken schätzt der UN-Bericht auf rund 64 Milliarden US-Dollar im Jahr. Davon entfallen 43 Milliarden US-Dollar allein auf die Mekong-Region (Kambodscha, Myanmar, Laos, Vietnam, Thailand). Ein weiterer Hotspot seien die Philippinen.

Eine zentrale Rolle spiele die rasante Expansion des digitalen und kryptobasierten Finanzwesens: Die Kriminellen nutzen Strohmann-Bankkonten und tauschen Gewinne in digitale Kryptowährungen um, verschieben diese über Krypto-Wallets. Außerbörsliche Broker waschen diese Gelder anschließend und führen sie den regulären Bankkanälen wieder zu.

Die Spur eines Millionenbetrugs

Behördliches Eingreifen ist überwiegend inszeniert

Die kambodschanische Regierung behauptet seit Beginn ihrer Maßnahmen, mehr als 250 Anlagen geschlossen zu haben, so der Amnesty-Bericht. Sie habe in tausenden Fällen mit Strafverfahren und Abschiebungen gegen kriminelle Akteure reagiert. Zudem habe sie mehrere mutmaßliche Bandenchefs festgenommen.

Die Amnesty-Recherchen widersprechen diesem Bild. Im Jahr 2025 habe die Organisation 46 von 53 identifizierten Anlagen besucht. Im Jahr 2026 identifizierte sie 33 neue Anlagen und besuchte 29 davon. Entgegen den Regierungsbehauptungen fand Amnesty International nur bei 24 von diesen insgesamt 86 identifizierten Anlagen Belege für staatliches Eingreifen. Dies deute darauf hin, dass die Regierung nur in 25 Prozent der Fälle interveniert hat – ein starker Kontrast zur angeblichen Schließung von 250 Anlagen.

In Bezug auf die Strafverfahren kritisiert Amnesty mangelnde Transparenz: Die Regierungsangaben seien widersprüchlich und es gehe aus ihnen nicht hervor, ob Verfahren tatsächlich in Anklagen und Verurteilungen mündeten. Auch wer überhaupt verfolgt und untersucht werde – ob Betreiber, Eigentümer, Finanziers, hochrangige Akteure und mitschuldige Beamte –, habe die kambodschanische Regierung nicht offengelegt. Gleichzeitig gehe sie mit Klagen, Festnahmen und anderen Repressalien gegen Helfer:innen und unabhängige Journalist:innen vor, die über Scam-Fabriken berichten.

Razzia nach Absprache

Der Amnesty-Bericht identifiziert drei zentrale Muster:

1. Die kambodschanischen Behörden handeln nicht aus eigenem Antrieb, sondern reagieren auf internationalen Druck. So beispielsweise als chinesische Bandenmitglieder einen südkoreanischen Studenten zu Tode folterten und damit eine diplomatische Krise auslösten.
2. Selbst wo die kambodschanische Regierung intervenierte, habe Amnesty bei mindestens drei von 24 Anlagen festgestellt, dass der Betrieb sowie die Menschenrechtsverletzungen fortbestehen. Die Behörden greifen trotz Wissens darüber nicht ein.
3. Mutmaßliche Absprachen zwischen den Managern der Anlagen und den lokalen Behörden haben die Effektivität der polizeilichen Maßnahmen signifikant untergraben. Die Opfer berichteten, die Betreiber hätten im Vorfeld der Razzien Warnungen erhalten und so Verlegungen zu anderen Anlagen vornehmen können.

In einer Fallstudie beschreibt Amnesty eine konkrete Anlage, die von der Polizei unangetastet blieb. Maskierte, bewaffnete Wachleute patrouillieren hier weiterhin die Tore und kontrollieren Fahrzeuge. Acht Opfer berichteten zudem übereinstimmend, die Polizei sei an diesem Ort regelmäßig vorbeigekommen, um Leichen abzuholen – und zum Kaffeetrinken. Ein ghanaisches Opfer habe einen Polizisten direkt auf Englisch angesprochen und um Hilfe gebeten. Der Polizist habe sie ignoriert.

Strafen und Folter gehören dazu

Der UN-Bericht widmet sich ebenfalls den Zuständen in den Anlagen und stützt sich dabei auf Interviews und schriftliche Aussagen von Betroffenen, Zeugenaussagen sowie Gesprächen mit Fachleuten.

Demnach hätten sämtliche Befragte schwere Misshandlungen erlebt, Misshandlungen mit angesehen oder selbst ausführen müssen. Wer die Vorgaben in den Betrugsfabriken nicht erfüllen konnte, dem drohten Strafen, Schläge oder der Weiterverkauf an andere Anlagen.

Der Zwang beginnt bereits mit dem Finanziellen: Die Verträge seien den Opfern oft erst nach der Ankunft vorgelegt worden. Ein Opfer aus Bangladesch etwa habe einen 18-Monats-Vertrag unterschreiben müssen, der ihn zu 200.000 Dollar „Gewinn“ verpflichtete. Ein thailändisches Opfer habe täglich Betrugserlöse von 9.500 US-Dollar generieren müssen. Geldstrafen folgten für Vergehen wie „Tastatur-Tragen“. Wer gehen wollte, hatte erfundene Rechnungen zu begleichen. Angehörige wurden per Videoanruf erpresst, indem diese den Misshandlungen zusehen mussten.

Arbeitstage konnten bis zu 19 Stunden lang sein. Gähnen, sprechen, singen oder die Beine übereinander schlagen konnte verboten sein. Bei morgendlichen Appellen konnten leistungsschwache Teams als Warnung an die übrigen gefoltert werden. Manche Opfer berichten, sie seien zur Strafe in Wassercontainern eingesperrt gewesen oder dass sie tagelang in völliger Dunkelheit ausharren mussten. Eine andere Person schilderte, seine Gruppe habe über Wochen so wenig Nahrung erhalten, dass die Kraft zum Stehen fehlte. Manche der Gefangenen seien bei Fluchtversuchen oder durch Folter gestorben.

Gewalt in jeder Form

Beide Berichte dokumentierten zudem, dass die sexualisierte Gewalt in den Scam-Fabriken seit 2024 zugenommen hat. Die Befragten berichteten, Opfer von Vergewaltigungen, erzwungener Prostitution sowie erzwungener Abtreibung geworden zu sein.

Auch psychische Gewalt habe zur Tagesordnung gehört, darunter Drohungen von Organraub oder das Gelände niemals lebend verlassen zu werden. Es herrschte eine allgegenwärtige Atmosphäre der Überwachung und Unsicherheit darüber, was gesagt und wem vertraut werden durfte.

Um Fluchtversuche zu verhindern, wurden manche Zwangsarbeiter:innen isoliert oder ihnen strafrechtliche Sanktionen außerhalb des Geländes angedroht. Ein vietnamesisches Opfer beschreibt, wie ihre Schwester nach einem Fluchtversuch mit einem Taser gefoltert und für eine Woche ohne Nahrung eingesperrt wurde.

Eine automatisierte Betrugsmaschine

Der Köder kommt aus vertrauter Quelle

Laut UN-Bericht beginnt die Rekrutierung bei der Mehrheit der Opfer durch vertraute Quellen wie Freunde oder Familienmitglieder. Die Anwerbung laufe professionalisiert mit mehrstufigen Bewerbungsverfahren ab: mit Tests, Vorstellungsgesprächen via Zoom und inszenierten Personalabteilungen. Werbevideos zeigten scheinbar zufriedene Angestellte an sauberen Arbeitsplätzen. Fast 80 Prozent der Befragten gaben zudem an, vorher nichts von der Existenz derartiger Scam-Fabriken gewusst zu haben.

Soziale Medien seien dem UN-Bericht zufolge der wichtigste Anwerbekanal und Facebook das meistgenutzte Netzwerk. Der Kontakt wandere von dort auf verschlüsselte Messenger wie Telegram, WhatsApp oder Signal. Künstliche Intelligenz durchforste soziale Netzwerke gezielt nach Menschen, die Anzeichen finanzieller Not zeigten.

Einige Opfer berichten, selbst zum Anwerben neuer Opfer gedrängt worden zu sein. Dafür habe es finanzielle Versprechen oder die Aussicht auf Freilassung gegeben.

Behörden behandeln Befreite wie Kriminelle

Tatsächliche Schließungen von Scam-Fabriken resultierten in Kambodscha darin, dass tausende Menschen auf den Straßen der Hauptstadt Phnom Penh strandeten, berichtet auch NPR. Demnach habe es nur ein einziges überfülltes Schutzhaus gegeben – mit einer langen Warteliste.

Statt Schutz erwarte viele Opfer bei den Behörden eine feindselige Bürokratie, unbezahlbare Geldstrafen für überzogene Visa und überfüllte Abschiebeeinrichtungen. Keine der befragten Befreiten sei laut Amnesty als Opfer von Menschenhandel anerkannt, obwohl alle völkerrechtlichen Definitionen erfüllten seien. Die kriminellen Banden haben zudem viele der Opfer als sogenannte „Money Mules“ eingesetzt – sie also dazu gezwungen, ihre Bankkonten für die Geldwäsche herzugeben. Ihnen drohen deshalb Strafverfahren und dauerhafte Bankensperren.

„Wer dem Tiger entkommt, trifft auf das Krokodil,“ beschreibt der UN-Bericht die Lage der Befreiten und fordert ein Non-Punishment-Prinzip: Der Staat darf Verschleppte nicht für Straftaten verfolgen, zu denen sie gezwungen wurden. Stattdessen muss er gegen die eigentlichen Hintermänner vorgehen, grenzüberschreitend gegen die organisierte Kriminalität durchgreifen und die Korruption in den eigenen Strukturen bekämpfen.