7.600 Verkäufe, 232.000 Dollar und Tausende, die nie etwas davon erfuhren

Rydox war ein Laden und wurde auch so geführt. Man zahlte zwischen 200 und 500 Dollar für ein Verkäuferkonto, bot Sozialversicherungsnummern und Zugangsdaten anderer Leute an, und die Seite behielt 40 Prozent des Erlöses.

Ardit Kutleshi, 28, ein kosovarischer Staatsbürger, hat sich vor einem Bundesgericht in Pittsburgh des schweren Identitätsdiebstahls und der Verschwörung zur Geldwäsche schuldig bekannt. Das US-Justizministerium gab es am 24. September bekannt. Die Gerichtsunterlagen beziffern Rydox auf mehr als 7.600 Transaktionen seit mindestens 2016 und mindestens 232.000 Dollar Umsatz, bei rund 18.000 registrierten Nutzern und, neben den gestohlenen persönlichen Daten, Hunderttausenden angebotenen Cybercrime-Werkzeugen und Produkten. Das Strafmaß wird am 9. Februar 2027 verkündet. Auf Geldwäsche stehen bis zu 20 Jahre, auf schweren Identitätsdiebstahl mindestens zwei.

Das FBI-Büro in Pittsburgh beschlagnahmte rydox.cc im Dezember 2024, dazu Server in Malaysia und Festnahmen im Kosovo und in Albanien. Kutleshis Bruder Jetmir bekannte sich schuldig, wurde zu der bereits verbüßten Haftzeit verurteilt und abgeschoben.

Für den Rest von uns zählt, woher die Ware kam. Fast nichts davon stammt aus einem filmreifen Bankeinbruch. Es sind Namen, Adressen, Sozialversicherungsnummern und Passwörter, abgegriffen von Infostealer-Schadsoftware auf ganz gewöhnlichen Heimcomputern, dazu wiederverwendete Passwörter aus alten Datenlecks, im Bündel für kleines Geld verkauft. Einen Laden zu schließen holt den Bestand nicht zurück: Er ist längst draußen und bleibt jahrelang brauchbar. Ein eigenes Passwort für jedes Konto, Zwei-Faktor-Anmeldung zuerst für E-Mail und Bank, und ein genauer Blick darauf, was Ihr Browser still gespeichert hat. Die Datenschutz- und Kontenprüfung von Tendvane geht die gespeicherten Anmeldungen und Kontoeinstellungen auf Ihrem PC durch und sagt Ihnen klar, was dort liegt.