Das FBI beschlagnahmte die Domain eines Bulletproof-Hosters. Der Betreiber versprach einen Rebrand in einem Tag

Am 27. Oktober beschlagnahmte das FBI die Domain virtualine.net: die Schaufensteradresse eines russischsprachigen Bulletproof-Hosters, der Kunden auf Untergrundforen anwarb, Zahlungen über unhosted Bitcoin-Adressen abwickelte und ein Forum für den Handel mit Missbrauchsmaterial an Kindern online ließ, nachdem Polizeibehörden in drei Ländern ihn gewarnt hatten. Der Hoster heißt Virtualine Technologies, die Ermittlung heißt Operation Omegaline, und die Anklage ist ungewöhnlich deutlich.

Ebenfalls ungewöhnlich deutlich war am selben Tag die Reaktion des Betreibers.

Was beschlagnahmt wurde

Das FBI-Büro in Washington leitete die Ermittlung, gemeinsam mit der US-Staatsanwaltschaft für den Eastern District of Virginia. Beteiligt waren laut Justizministerium die Polizei Hessen, die Politie Midden-Nederland und die britische National Crime Agency sowie die Private-Sector-Partner OverRIPE und Lumen. Die Blockchain-Analysefirma Chainalysis unterstützte die Ermittlungen.

Beschlagnahmt wurde eine Domain. Nicht ein Rechenzentrum, nicht ein Netzwerk, nicht eine Person. Das ist wichtig, weil alles Folgende davon abhängt.

Was das Unternehmen verkaufte

Virtualine trat unter mehreren Namen auf – Secury, Massgod, Spamhouse, Lanedo und Omegatech – und vermietete Hosting, Server und Domainregistrierungen an Kunden, die es in Cybercrime-Foren rekrutierte. Auf Exploit.in bot es im September 2024 an: "Sie können Virtualine für alle illegalen/Black-Hat-Aktivitäten nutzen (einschließlich Phishing, Carding, E-Mail-Spam, Portscans und allen anderen), außer für Kinderinhalte und terroristische Aktivitäten." Im Juli 2025 rühmte es sich auf HackForums, "Virtualine hat mehr Abuse ignoriert als Ihre letzten drei Therapeuten". Der Einstiegspreis lag bei 0,79 Dollar im Monat.

Im März 2026 verkaufte das Unternehmen dann einen "zusätzlichen Schutzplan" an Kunden, die Angst vor der Polizei hatten: Nach "einem offiziellen Ersuchen von Strafverfolgungsbehörden" werde man die kriminelle Infrastruktur des Kunden auf "eine andere Briefkastenfirma, die nicht mit Virtualine verbunden ist" verlagern, "danach wird der Server reaktiviert".

Das Forum, das online blieb

Trotz der eigenen Regel zu "Kinderinhalten" hostete Virtualine nach Angaben der Anklage wissentlich ein Forum – in Gerichtsunterlagen als Vendor 1 bezeichnet –, in dem Nutzer Zugang zu expliziten Bildern und Videos von Minderjährigen und Erwachsenen verkaufen. Dort werden auch Hacker angepriesen, die Konten von Opfern knacken, um intime Aufnahmen zu stehlen.

Ab Januar 2026 warnten Polizeibehörden in Deutschland, Kanada und Australien, das National Center for Missing and Exploited Children (NCMEC) und die Anwältin eines Opfers den Hoster wegen Materials auf dem Server des Forums. Virtualine ließ das Forum online und half Vendor 1, eine neue Seite zum Hochladen und Verkaufen von Inhalten aufzubauen – eine Seite, die das Unternehmen weiterhin hostet.

Das Geld

Nach Angaben des Justizministeriums nahm Virtualine Zahlungen über "BTC [NO-AML]" entgegen, also über bestimmte unhosted Bitcoin-Adressen, mit denen Kunden direkt zahlen konnten, ohne dass ihre Mittel als illegal markiert würden.

Die Analysefirma TRM Labs, die den Dienst vor der Beschlagnahme beobachtete, beziffert die Zusammensetzung der direkten Zuflüsse: rund 44 Prozent von einem russischen Drogenmarktplatz, rund 17 Prozent von einem großen Sextortion-Schema, rund 13 Prozent von einem Mixer, rund 5 Prozent von Ransomware-Gruppen. Weitere Zahlungen kamen vom Infostealer StealC und vom konkurrierenden Bulletproof-Hoster Volhav.

Der entscheidende Befund von TRM: Gemessen am gesamten Geldzufluss gehörte Virtualine nicht zu den größten Anbietern der Branche – gemessen am Zufluss mit eindeutig illegaler Herkunft im Jahr 2026 aber zu keinem anderen. Über alle beobachteten Bulletproof-Hoster hinweg lag der vierteljährliche Zuflusswert im dritten Quartal 2026 nur etwa 4 Prozent über dem ersten Quartal 2025, während die Zahl eingehender Transfers um 60 Prozent stieg. Mehr Überweisungen, ähnliche Summen: ein Zeichen für viele kleine Kunden statt weniger großer.

Warum die Domain der leichte Teil ist

TRM formuliert die entscheidende Einschränkung selbst: Eine Domainbeschlagnahme "unterbricht, wie Kunden einen Dienst finden und erreichen. Sie belegt für sich genommen nicht, dass der Betreiber aufgehört hat zu arbeiten oder dass Kunden den Zugang zur zugrunde liegenden Infrastruktur verloren haben."

Innerhalb von Stunden veröffentlichte Virtualine auf einer zweiten Domain, virtualine.org, einen offenen Brief, in dem es die Vorwürfe bestritt, und versicherte den Followern auf Telegram, ihre Daten seien sicher. Der Verfasser räumte ein, man könne "rebranden, eine neue Website bauen und weitermachen" – und das dauere vielleicht einen Tag oder weniger.

Silent Push, das die Netzwerke seit dem 11. Februar 2026 verfolgt, als Infrastruktur von Railnet zu einem neu registrierten Netz namens Omegatech wanderte, berichtet, Teile des Omegatech-Netzes seien weiterhin erreichbar, die Routing-Sichtbarkeit sei jedoch stark gesunken – für gewöhnlich ein Zeichen ernster Probleme. Das Unternehmen zählt 50 Bulletproof-Hoster, die in den vergangenen zwölf Monaten ihre Netzwerkkennungen (ASNs) verloren haben. Ein gemeinsamer Hinweis von CISA, FBI, NCSC und weiteren Behörden vom November 2025 hält fest, dass solche Anbieter in zwei bis fünf Werktagen eine neue ASN erhalten und dieselben IP-Bereiche dorthin verlagern können.

Was das über Takedowns sagt

Der Fall ist ein sauberes Beispiel für die Ökonomie der Branche: Der Ruf ist das Produkt, und Reputation lässt sich in einem Forum schneller neu aufbauen als eine Lieferkette. Wer "mehr Abuse ignoriert als Ihre letzten drei Therapeuten" als Werbeslogan nutzt, verkauft keine Server, sondern die Zusicherung, dass eine Beschlagnahme folgenlos bleibt. Der Betreiber hat diese Zusicherung am Tag der Beschlagnahme selbst bestätigt.

Worauf zu achten ist

- Ob die Infrastruktur der Domain folgt. Routing-Daten von Silent Push und TRMs On-Chain-Adressen bleiben der einzige Weg, das zu prüfen. - Ob Kunden des "Schutzplans" bei Volhav oder einem anderen Anbieter auftauchen. Anbieter vermieten wechselseitig aneinander; die TRM-Daten zeigen bereits eine Zahlung zwischen beiden. - Ob die CSAM-Seite, die Virtualine laut Anklage weiterhin hostet, tatsächlich offline geht. Die Domain war nicht das Verbrechen.