Es gab diesen einen Moment, als der Täter von der virtuellen in die reale Welt gewechselt sein muss, als er ein Fach an der Packstation in Potsdam-West öffnete und sein Paket hineinlegte, versehen mit Nägeln in einer Blechbüchse, die an Batterien angeschlossen war, adressiert an eine Apotheke in Potsdam. Danach verschwand er in den frühen Morgen, es war der 30. November, ein Donnerstag. Seitdem der Fall des DHL-Erpressers bekannt wurde, beäugen die Deutschen mit Argwohn jedes Paket, das bei ihnen ankommt. Es könnte ja eine Bombe darin sein.

Es ist dieser eine Moment, für den sich die 59 Ermittler der "Besonderen Aufbauorganisation Quer" von Brandenburgs Polizei besonders interessieren. Denn während der Erpresser im Netz anonym vorgegangen war, könnte er oder ein möglicher Helfer in der realen Welt Spuren hinterlassen haben, am Paket oder an der Packstation, die für seine Tat ein wichtiges Mittel war.

Rund 3400 Packstationen gibt es in Deutschland, im nächsten Jahr sollen Hunderte neue Automaten dazukommen. Sie sind nicht nur für Berufstätige interessant, die zu jeder Tages- und Nachtzeit ihre Lieferungen dort abholen oder abgeben können. Sie sind auch bei Kriminellen beliebt, als Umschlagsplatz für illegale Waren. Das Bundeskriminalamt meldet eine "steigende Tendenz" bei Ermittlungsverfahren, in denen Packstationen eine Rolle spielen.

An Zugangsdaten gelangen Kriminelle wie der DHL-Erpresser über Hacker oder falsche Identitäten. In einschlägigen Foren und im Darknet, einem Teil des Internets, in dem die Nutzer anonym surfen, können sie diese Daten günstig kaufen. Eine Kundennummer samt Passwort ist ab 25 Euro zu haben.

Packstationen wirken wie ein Scharnier zwischen Online- und Offlinewelt. Verbrecher können dort unauffällig jene Waren abholen, die sie zuvor illegal im Internet beschafft haben.

Manche der Kriminellen wählen noch traditionelle Methoden: Sie geben als Lieferadresse ein leer stehendes Haus an oder verwenden einen fremden, selten genutzten Briefkasten, auf den sie für kurze Zeit ihren Tarnnamen kleben. Doch das Risiko, entdeckt zu werden, ist hoch.

"Es gibt für Kriminelle derzeit keine bessere Alternative als Packstationen", sagt Benjamin Krause. Er ist der stellvertretende Leiter einer Sondereinheit der Generalstaatsanwaltschaft Frankfurt am Main. Die sieben Staatsanwälte der Gießener Zentralstelle zur Bekämpfung der Internetkriminalität (Zit) ermitteln gegen Händler und Käufer von Kinderpornografie, Waffen oder Drogen. Ein großer Teil dieser Waren wird im Darknet angeboten.

Das Bundeskriminalamt hat kürzlich einen Rauschgiftring in Nordrhein-Westfalen und Bayern ausgehoben, nachdem die Zit-Fahnder den Fall ermittelt hatten. Die Täter hatten Kokain, Heroin und andere Drogen im Darknet angeboten. Verschickt haben sie die Ware zu einem großen Teil über Packstationen. Ein anderer Fall ist aus Österreich bekannt: Dort wurde im Mai eine Druckerei für gefälschte Euronoten ausgehoben. Mehr als 20 deutsche Abnehmer hatten sich die Blüten an Packstationen senden lassen.

Das Darknet ist wie ein Kaufhaus für illegale Waren: Gefälschte Führerscheine, Pässe, Banknoten, Kreditkarten, Drogen aller Art und Waffen werden hier angeboten. Nachdem es Ermittlern in mehreren Ländern gelungen war, die zwei großen Darknet-Handelsplätze Hansa Market und Alpha Bay zunächst zu unterwandern und dann zu schließen, seien die Händler vorsichtiger geworden, sagt Krause.

Manche Verkaufsplattformen verbieten nun ausdrücklich den Handel von "Schusswaffen, Massenvernichtungswaffen, biologischen Waffen, chemischen Waffen". Auch Werbeanzeigen von Auftragskillern oder Vertreibern von Kinderpornografie sind oft verpönt. Der Markt wachse trotzdem weiter, sagt Krause. "Waffen werden halt jetzt noch versteckter gehandelt." Alarmiert sind die Fahnder, weil sie seit einigen Monaten auch anderen Produkten auf der Spur sind, die an Packstationen verschickt werden. Die Beispiele erinnern an apokalyptische Szenarien: radioaktiv strahlende Geräte aus dem medizinischen Bereich zum Beispiel, die auch gegen Menschen eingesetzt werden könnten. Oder Chemikalien, die zur Herstellung von ABC-Waffen geeignet sind. Oder hochgefährliche Schmerzmittel wie Carfentanyl, von dem bereits zwei Milligramm tödlich sind. Noch seien dies aber Einzelfälle, betonen die Ermittler.

Das Hauptzollamt, das im Internationalen Postzentrum am Frankfurter Flughafen jeden Tag 6000 der 175.000 angelieferten Pakete überprüft, stellt einen jährlichen Zuwachs von bis zu 30 Prozent an verbotenen Produkten fest: Bestellt würden vor allem illegale Arzneimittel aus Asien. Auch diese Pakete sind häufig an Packstationen in Deutschland adressiert.

"Habe erneut das Paket für 99€+14€ gekauft also faked PS mit GC und ano Sim", schrieb User Fleix am vergangenen Sonntag in einem Forum. PS steht für Packstation, GC für Goldcard, die Kundenkarte von DHL, ano Sim ist das Kürzel für eine anonym registrierte SIM-Karte. Über sie erhält man die mobile Transaktionsnummer (mTAN), die neben der Karte nötig ist, um das Fach einer Packstation zu öffnen.

Manche Seiten der illegalen Händler sehen aus wie professionelle Onlineshops. Man legt sich den Datensatz für die Packstation in den Warenkorb, prüft noch mal die Bestellung, bevor man sie in der Internetwährung Bitcoin bezahlt. Andere Kunden berichten auf der Seite von ihren Erfahrungen mit den falschen Identitäten.

Der Neu-Ulmer IT-Sicherheitsexperte Hanno Heinrichs hat im Sommer vergangenen Jahres auf Sicherheitslücken bei den Packstationen hingewiesen. Die Täter brauchten damals nur eine Kundennummer und ein Passwort, dann erhielten sie über die App die mTAN. Passwörter wiederum können sich die Verbrecher bei kriminellen Händlern besorgen, die etwa zuvor große Webshops gehackt haben, um an Tausende Kundendaten zu kommen. Die Sicherheitslücke sei mittlerweile geschlossen, sagt Heinrichs, dennoch könne man noch immer relativ leicht die mTANs, die nun wieder ausschließlich per SMS verschickt werden, abfischen. Mithilfe einer leicht zu kopierenden Kundenkarte kann man die Fächer der Packstation dann knacken.

Man setze auf "umfangreiche Maßnahmen zur Prävention von etwaigen Betrugsfällen", teilt DHL mit. So müsse jeder, der ein Konto bei einer Packstation eröffnen wolle, zunächst seinen Ausweis vorlegen, um sich zu identifizieren. Doch selbst dieses Verfahren ist vor Betrug nicht sicher. Den Gießener Staatsanwälten sind Fälle bekannt, in denen DHL-Partner, etwa Schreibwarenläden oder Kioske, gegen 200 bis 300 Euro gefälschte Personaldaten legitimiert haben.

Straftaten, in denen Packstationen eine zentrale Rolle spielen, beschäftigen die Ermittler schon seit Langem. Bereits 2006 stand der Punkt "Warenkreditbetrug unter Nutzung von DHL-Packstationen" auf der Tagesordnung der AG Kripo, einer Arbeitsgemeinschaft der Landeskriminalämter und des Bundeskriminalamts. Damals ging es um ein Ermittlungsverfahren, in dem einem großen deutschen Versandhaus durch hundertfache Bestellungen mit einer falschen Identität an Packstationen ein Schaden in Höhe von 160.000 Euro entstanden sein soll. Die Beamten klagten über "extrem aufwendige Ermittlungen".

Daran hat sich bis heute nichts geändert, auch weil die Täter geschickter sind. Im Darknet ist ein neuer Beruf entstanden, der des "Läufers". Er bringt Pakete von einem Ort zum anderen, damit weder Verkäufer noch Händler in der realen Welt auftauchen müssen. Oft sind sie auch bereit, Waren an Packstationen abzugeben oder abzuholen. Ein Mitglied namens "Pazzle" bot bis vor Kurzem solche Helferdienste für Baden-Württemberg an und versprach, er gehe "immer auf 100% sicher". Er arbeite mit einer Maskenbildnerin zusammen, um unerkannt zu bleiben.

Im Virtuellen sei es so gut wie unmöglich, die Identitäten der Kriminellen herauszufinden, sagt Krause, der Staatsanwalt aus Gießen. Er und seine Cyberfahnder setzen deshalb auf klassische Ermittlungsmethoden. Sie bauen im Darknet eigene Nutzerkonten auf oder übernehmen nach einer Razzia bereits aktive Benutzerdaten. Sie kaufen Drogen und Waffen und nutzen dafür auch Packstationen. Und wenn illegale Ware in ihre Hände gelangt, lassen sie diese untersuchen, nach Fingerabdrücken, DNA-Spuren. "Unsere einzige Hoffnung ist, dass der Kriminelle irgendwann einen Fehler gemacht hat", sagt Krause.

Darauf setzen auch die Ermittler aus Potsdam. Sie haben bundesweit alle Bombenentschärfer aufgefordert, bei ähnlichen Funden eine "spurenschonende Entschärfung" anzuwenden. Über hundert Hinweise sind mittlerweile bei Fahndern eingegangen, sie finden immer mehr über den Täter heraus, unter anderem, dass sein Bombenplan offenbar gut vorbereitet war.

Wie die Polizei Bonn auf SPIEGEL-Anfrage bestätigte, war DHL bereits Mitte September Opfer eines "ähnlich gelagerten" Erpressungsversuchs geworden. Ob es sich um denselben Täter handle, werde geprüft. DHL will sich zu laufenden Ermittlungen nicht äußern.

Die Ermittler gehen auch davon aus, dass derselbe Täter schon am 6. November eine Paketbombe verschickt hatte. Empfänger war eine auf den Ankauf gebrauchter Elektronikprodukte spezialisierte Firma in Frankfurt (Oder). Das Paket geriet beim Öffnen in Brand.

Der Erpresser hat sich für seine Taten die Zeit ausgesucht, in der die meisten Pakete verschickt werden: Vor Weihnachten stellen die rund 60.000 DHL-Zusteller pro Tag mehr als sieben Millionen Pakete zu. DHL warnt vor Paketen, die einen unbekannten oder keinen Absender tragen oder auffällige Flecken aufweisen.

Viele der Kunden sind dennoch verunsichert. Zum Beispiel die Bewohner eines Mehrfamilienhauses in Oranienburg bei Berlin. Sie hatten die Polizei gerufen, nachdem es aus einem Briefkasten verdächtig summte. Die Polizei gab schnell Entwarnung: Im Kasten steckte ein Vibrator, der sich offenbar eingeschaltet hatte, als ein Bote das Päckchen einwarf.