Der „Marzipan-Erpresser“ von Kiel

Erfolg der „klassischen“ Ermittlungsmethoden

Von KD Rolfpeter Ott, Kiel¹

Im September 2016 ereignete sich in Kiel der Fall einer Produkterpressung zum Nachteil der Firma Coop, der zunächst relativ unspektakulär begann, sich dann aber mit hoher Dynamik weiterentwickelte und letztlich unter Bildung einer Landes-BAO bearbeitet werden musste. Anhand einer Falldarstellung sollen hier besondere Aspekte – u.a. die Spannungsfelder Gefahrenabwehr/Strafverfolgung und Öffentlichkeitsarbeit – beleuchtet werden. Schnell waren in diesem Fall die Grenzen der Alltagsorganisation erkennbar und es stellte sich die Frage, ob die Möglichkeiten der Technik stets ein Allheilmittel darstellen oder ob es nicht immer wieder lohnt, sich auf „klassische“ Ermittlungsmethoden zu konzentriere

1 Ausgangslage

Am 8. September 2016 (Donnerstag) ging bei der Firma Coop in Kiel eine E-Mail mit dem Absender [email protected] ein. Darin wurde in fehlerhaftem Deutsch behauptet, dass zwei Produkte mit einer nicht tödlichen Dosis Gift versehen wurden. Es seien bei Kindern beliebte Produkte und die Dosis würde beim nächsten Mal gesteigert werden. Gefordert wurden drei Millionen Euro in Bitcoins. Unterschrieben war die E-Mail mit dem Namen „Vlad“. Die Zentrale der Firma Coop befindet sich in der Nähe von Kiel. In Schleswig-Holstein gibt es für solche Fälle eine – nicht näher fixierte – Absprache mit größeren Firmen, Kontakt mit der Beratergruppe des Landeskriminalamtes (LKA) in Kiel aufzunehmen. Das soll zum einen dazu dienen, dort durch erfahrene Kräfte eine erste Bewertung vorzunehmen, zum anderen gibt es somit für eine andauernde Erpressung einen einzigen und direkten Kommunikationsstrang zwischen Polizei und Opfer. Die Beratergruppe ist in der Abteilung 5 („operativer Einsatz und Ermittlungsunterstützung“) des LKA angesiedelt. Zusammengefasst sind dort z.B. MEK, SEK und verdeckte Maßnahmen – und eben in der Führungsstelle auch die Beratergruppe. Die Firma Coop nahm unmittelbar nach Erhalt der E-Mail wie vereinbart Verbindung mit der Beratergruppe auf. Von dort aus erfolgte sofort die Kontaktaufnahme mit der zuständigen ermittlungsführenden Dienststelle, da durch die Firma Coop zugleich auch eine Strafanzeige gestellt worden war. Das ist in diesem Fall das Kommissariat 13 der Bezirkskriminalinspektion (BKI) Kiel. Innerhalb dieser Dienststelle gibt es vier Ermittlungskommissariate sowie einen Kriminaldauerdienst, die für das Stadtgebiet Kiel zuständig sind. Das Kommissariat (K) 13 ermittelt mit Schwerpunkt im Bereich Raub und jugendliche Intensivtäter. Der Deliktsbereich der Erpressung ist wegen der Nähe zur räuberischen Erpressung erst seit kurzem dort angesiedelt. Im September 2016 waren im K 13 einschließlich der Leitung 16 Sachbearbeiter tätig.

2 Erste Ermittlungsschritte

Wenn solch eine Sachverhaltsmitteilung bei einer städtischen Dienststelle eingeht, stellt sich immer die Frage, ob sofort intensive Maßnahmen getroffen werden müssen oder ob Ermittlungen „wie in jedem anderen Vorgang auch“ getätigt werden. In diesem Fall gab es bereits eine erste Einschätzung seitens der Beratergruppe, nämlich dass zunächst keine unmittelbare Gefahr für die Öffentlichkeit bzw. potenzielle Opfer besteht. Die Forderung sowie die Bedrohung seien noch zu diffus. 2016 gab es bundesweit 14 ähnlich gelagerte Erpressungslagen, die sich zum Teil über mehrere Jahre hingezogen und zu keinen konkreten Umsetzungen geführt haben.

Somit wurde zunächst nur ein Beschluss angeregt, die genannte Person der Absenderadresse, die im Header der E-Mail auftauchte, zu überwachen. Es wurde jedoch sehr schnell klar, dass es sich um keine zielführende Spur handelt. Es handelte sich vielmehr um eine Privatperson aus Sachsen, bei der durch wenige Ermittlungen geklärt werden konnte, dass sie mit an Sicherheit grenzender Wahrscheinlichkeit nichts mit dieser Lage zu tun hatte. Bis heute konnte im Übrigen auch mit Hilfe der Firma Freenet nicht geklärt werden, wie dieser Klarname im Header auftauchen konnte; vermutlich handelte es sich um ein technisches Versehen.

Einen Tag später, am 9. September 2016 (Freitag), gab es eine weitere E-Mail gleichen Stils und mit ähnlichem Inhalt. Neu war jedoch, dass diese diesmal auch an die Bild-Zeitung versandt wurde. Die Redaktion reagierte jedoch relativ gelassen und ohne Öffentlichkeitswirkung, da sie wohl nicht nur einmal pro Jahr mit solchen E-Mails konfrontiert wird. Um 15.50 Uhr stand an diesem Tag dann auch die technische Überwachung des Absenders, wobei jedoch schnell klar wurde, dass es sich hier um keinen erfolgversprechenden Ermittlungsweg handelt, da sich durch Verschleierung über Proxyserver bzw. das TOR-Netzwerk kein konkreter Absender ermitteln ließ.

Am 11. September 2016 (Sonntag) ging eine weitere E-Mail an die Bild-Zeitung und die Firma Coop ein. Die Ermittlungen wurden jedoch zu diesem Zeitpunkt noch nicht intensiviert.

3 Die Lage wird dynamischer

Am 12. September 2016 (Montag) gab es dann drei weitere ähnliche E-Mails. In einem Fall wurde ein konkreter Sky-Markt in der Kieler Innenstadt benannt, bei dem die Griffe der Einkaufswagen mit Gift besprüht worden sein sollten.

Neu war auch, dass eine E-Mail an die örtliche Presse – Kieler Nachrichten – versandt wurde. Das erschwerte die Situation zunächst dahingehend, dass zum einen ein örtliches Presseorgan nicht die Erfahrungen der Bild-Zeitung hat und zum anderen, dass es vergleichbare Erpressungslagen durchaus häufig ohne konkrete Umsetzungen gibt. Somit bestand zumindest die Gefahr einer konfrontativen und reißerischen Berichterstattung. Der zuständige Redakteur sagte der Polizei jedoch von Beginn an im Interesse der Gefahrenabwehr eine komplette Kooperation zu und hielt sich an diese Zusage bis zum erfolgreichen Abschluss der Ermittlungen.

Schwieriger war die Situation im Hinblick auf die Berichterstattung im Zusammenhang mit der Firma Coop. Diese stand zu diesem Zeitpunkt unter einem hohen Druck, da die Endphase der Übernahmeverhandlungen mit der Firma REWE erreicht war. Coop hatte ein hohes Interesse, diese Übernahmeverhandlungen erfolgreich zu gestalten, da ansonsten die Zahlungsunfähigkeit drohte. Insofern gab es von dort aus keinerlei Interesse an einer öffentlichen Berichterstattung. Das wirkte wiederum auf die Presse wie eine „Mauertaktik“, was die Anzahl der Nachfragen nur noch erhöhte. Auf dem Feld der Öffentlichkeitsarbeit war somit die Zusammenarbeit mit der betroffenen Firma schwieriger als mit der als kritisch eingestuften Presse. Ermittlungstaktisch spielten diese Übernahmeverhandlungen ebenfalls eine zentrale Rolle. Mit mehreren Sachbearbeitern wurde das Umfeld der Firma Coop ausgeleuchtet. Speziell nach „unzufriedenen Opfern“ einer möglichen Übernahme wurde gesucht.

4 Der Erpresser verlässt die virtuelle Welt

In der Nacht vom 12. auf den 13. September 2016 (Dienstag) konkretisierte der Erpresser seine Drohung: Er habe „vergifteter Lebensmittel an grundschule placed“. Diese E-Mail schickte er auch – außer an die Presse – an das Postfach einer Kieler Grundschule. Tatsächlich fand der Hausmeister der angeschriebenen Schule am Morgen neun Marzipanherzen auf dem Schulhof – und entsorgte diese in einem Mülleimer! Nach Kontaktaufnahme durch die Polizei wurden bei einer genaueren Nachsuche insgesamt 14 Herzen gefunden und zur toxikologischen Untersuchung an das LKA gesandt. Allerdings war die Einschätzung immer noch, dass es keine konkrete Gefährdung gebe und der Erpresser eher an Aufmerksamkeit als an einer Umsetzung interessiert sei. Dazu passte auch, dass er keine Übergabemodalitäten nannte und die Forderung von drei Millionen Euro in Bitcoins mehrere Monate der Umsetzung bedurft hätte.

Mit einem natürlichen Insektizid versetzte Marzipanherzen.

In den Abendstunden des 14. September 2016 (Mittwoch) bestätigte das LKA, dass die Herzen mit einem natürlichen Insektizid versetzt seien; unter normalen Umständen keine tödliche Dosis, aber es könnte zu Magenproblemen und Unwohlsein führen. Jetzt hatte die Erpressungslage eine neue Qualität, da der Täter mit tatsächlichen Umsetzungshandlungen begann. Somit wurde sofort entschieden, das E-Mail-Postfach live zu überwachen.

Bereits am 15. September 2016 (Donnerstag) um 00.01 Uhr folgte eine weitere E-Mail an Schule, Presse und Polizei: Bedroht wurden jetzt zwei weitere Schulen, außerdem sei Brot bei Sky vergiftet worden. Schuld sei die Firma Coop, da es dort illegale Transaktionen im Wert von drei Millionen Euro gegeben habe. Der Erpresser weitete also sein Bedrohungsszenario aus und wiederholte seine Forderung, die er jetzt auch relativ nebulös begründete.

5 Die BAO „Himmel“

Spätestens zu diesem Zeitpunkt wuchs die Erkenntnis, dass neben den Ermittlungsschritten auch weitere Handlungsfelder in den Mittelpunkt rückten; speziell die Maßnahmen der Gefahrenabwehr und die Informationspolitik würden aufwachsend eine zentrale Rolle spielen. Nach einer ersten Krisensitzung am 15. September 2017 um 05.00 Uhr wurden die Führungskräfte der Landespolizei informiert und sehr schnell die BAO „Himmel“ ins Leben gerufen. Diese führte unter Leitung des stellvertretenden Landespolizeidirektors um 10.00 Uhr die erste Lagebesprechung durch. Bereits zu diesem Zeitpunkt folgten drei Weichenstellungen, die sich im weiteren Verlauf als sehr vorteilhaft erweisen sollten:

5.1 Einbindung der Staatsanwaltschaft

Die sachleitende Staatsanwaltschaft wurde eingeladen und war auch bereit, einen Vertreter in die BAO zu entsenden. Wie sich in den Folgetagen zeigen sollte, war dessen Anwesenheit (positiv) mitentscheidend bei der wichtigen Dominanzentscheidung zwischen Gefahrenabwehr und Strafverfolgung.

5.2 Besetzung des EA Ermittlungen

Das K 13 der BKI stellte fortan den EA Ermittlungen dar. Gemäß PDV 100 hätten nunmehr ein bis zwei Verbindungsbeamte im Lagezimmer am Führungstisch Platz nehmen müssen. Aus der Lage heraus blieb jedoch allein der Verfasser als Leiter des EA Ermittlungen dort präsent und auch dies erwies sich als vorteilhaft.

5.3 Ansprechpartner für die Schulen

In der Führungsgruppe wurde ein direkter Ansprechpartner für die Kieler Schulen installiert. Es handelte sich dabei um einen Beamten, der mehrere Jahre im Bereich der Prävention tätig gewesen und aus dieser Tätigkeit heraus bekannt und anerkannt war. Da in dieser dynamischen Lage die Schulen quasi latent bedroht wurden, sorgte der direkte Kommunikationsweg für eine Stabilisierung der Lage. Die BAO wurde bewusst nicht im „24/7-Modus“ mit dann erforderlichen Ablösekräften betrieben; lediglich die Führungsgruppe stellte eine jederzeitige Erreichbarkeit sicher. Bereits am frühen Morgen des 16. September 2016 (Freitag) erwies sich die Einrichtung einer BAO als sehr zielführend und hilfreich: Der Erpresser hatte in der Nacht zuvor an einen breiten Empfängerkreis (u.a. Schulelternbeiräte) eine E-Mail versandt, in welcher auch Bombendrohungen gegen drei Kieler Schulen formuliert wurden. Der Polizeiführer entschloss sich daher, diese Schulen zu räumen und zu durchsuchen; eine hohe Öffentlichkeitswirkung und damit verbundene Betroffenheit (Schulanfänger kurz nach den Sommerferien!) waren die Folge. Einen Fund gab es indes nicht.

Videoaufzeichnung des Tatverdächtigen.

6 Durchbruch bei den Ermittlungen

Parallel dazu kamen die Ermittlungen einen entscheidenden Schritt voran: Ein Sachbearbeiter hatte bereits am Vortag den zielführenden Gedanken, den Verkaufsweg der Marzipanherzen – eine Hausmarke der Firma Coop – zurückzuverfolgen. Da zu dieser Jahreszeit Marzipan keine häufig verkaufte Ware war, konnte über die Scanfunktion der Kassen festgestellt werden, dass am Vorabend der Auslegung der vergifteten Herzen eine passende Menge lediglich in einem Kieler Sky-Markt verkauft worden war – und diese Filiale war sowohl im Kassen- als auch im Warenbereich videoüberwacht. Im Übrigen war es die gleiche Filiale, die der Erpresser in einer E-Mail benannt hatte, als er androhte, Griffe von Einkaufswagen mit Gift zu besprühen. Somit gab es jetzt eine Bildaufnahme des Tatverdächtigen. Gleichzeitig hatte ein Kollege des Kieler Kommissariats für Cybercrime darauf aufmerksam gemacht, dass Kieler Hotels in den vergangenen Wochen Opfer von Cyberattacken geworden waren; in den Buchungsportalen wurden sie so als „ausgebucht“ angezeigt, obwohl das gar nicht der Fall war. Die Endung der E-Mailadressen des Vorganges ähnelte den Adressen des Erpressers, und im Fall der geschädigten Hotels hatte man bereits einen Tatverdächtigen namhaft gemacht. Von diesem Tatverdächtigen lag auch erkennungsdienstliches Material vor. Die Bilder aus der Sky-Filiale und das erkennungsdienstliche Material wurden von mehreren Sachbearbeitern visuell verglichen und führten schnell zu der Überzeugung: Das ist unser Erpresser! Diese Überzeugung erreichte den Verfasser am Freitag gegen 09.00 Uhr und führte schnell zu Aktivitäten bei den Observationskräften. Bereits eine Stunde später stand eine Observation beim Tatverdächtigen, die von der Staatsanwaltschaft zunächst mündlich angeordnet worden war. Die kurzen Wege erwiesen sich hier erneut als sehr zielführend.

7 Gefahrenabwehr versus Strafverfolgung

Von diesem Moment an begann allerdings auch eine ständige Diskussion über den Zeitpunkt des möglichen Zugriffs. Aus Sicht der Ermittlungen und der Staatsanwaltschaft war die Beweislage zu diesem Zeitpunkt noch nicht ausreichend, um einen Haftbefehl zu beantragen und in einem sich anschließenden Gerichtsverfahren die Tat zu einer Verurteilung zu bringen. Dazu hätte es zumindest bei einer anstehenden Durchsuchung eines gravierenden Fundes an Beweismitteln bedurft. Gleichzeitig war es Aufgabe des Polizeiführers, eine mögliche Gefährdung der Bevölkerung weitestgehend auszuschließen. Da der Täter bereits vergiftete Lebensmittel an einer Schule ausgelegt hatte, wären speziell Kinder betroffen gewesen. Das hätte wiederum eine hohe Betroffenheit in der Bevölkerung hervorgerufen. Außerdem hatten die aktuellen Bombendrohungen den Schulbetrieb stark beeinträchtigt. Während die Observation lief, wurden gleichzeitig die Ermittlungen rund um die Person des Tatverdächtigen intensiviert. Unter anderem konnte dabei festgestellt werden, dass sein Wohnort, die Sky-Filiale, in der das Marzipan eingekauft worden war, und die betroffene Grundschule in einem fußläufigen Dreieck in der Kieler Innenstadt gelegen waren. Weiterhin war der Tatverdächtige bereits durch zwei Produkterpressungen zum Nachteil der Firma HIPP in den Jahren 2012 und 2013 aufgefallen. Die Observation erbrachte zunächst keine neuen Erkenntnisse. Jedoch geriet der Tatverdächtige in den Abendstunden des 17. September 2016 (Samstag) in einem dunklen Park in der Kieler Innenstadt „außer Kontrolle“ und konnte erst am Vormittag des 18. September 2016 (Sonntag) in der Nähe seiner Wohnung wieder aufgenommen werden. An diesem Vormittag gab es auch neue E-Mails, in denen er vergiftete Bonbons in einem Kieler Park ankündigte. Zu diesem Zeitpunkt war durch den Polizeiführer bereits eine Durchsuchung des Parks angeordnet worden, in welchem der Tatverdächtige sich der Observation entzogen hatte. Durch Zivilkräfte – die Durchsuchung sollte ohne Aufsehen verlaufen – wurden tatsächlich auf einer Parkbank abgelegte „Nimm 2-Bonbons“ gefunden. Diese wurden noch am selben Tag durch die Abteilung 4 („Kriminaltechnik, Erkennungsdienst“) des LKA untersucht, mit dem Ergebnis, dass sie mit demselben Insektizid versetzt waren wie die Marzipanherzen.

So wurde erneut die Diskussion geführt, ob nicht zu diesem Zeitpunkt ein Zugriff erfolgen müsste, da der Tatverdächtige schwierig zu observieren und somit eine Gefährdung der Bevölkerung nicht ganz auszuschließen war. Der Vertreter der Staatsanwaltschaft betonte die Wichtigkeit der Gefahrenabwehr, stellte aber auch unmissverständlich klar, dass er immer noch keine ausreichende Beweislage erkennen könne, um einen Haftbefehl zu beantragen. Der Polizeiführer entschied sich daraufhin erneut gegen einen Zugriff.

8 Der Zugriff

Am Sonntagabend gegen 22.45 Uhr kam dann der entscheidende Durchbruch: Die Observationskräfte konnten dokumentieren, dass der Tatverdächtige eine Plastikbox an einer Bushaltestelle in der Nähe einer Schule ablegte. Kurz nachdem er in seine Wohnung zurückgekehrt war, erfolgte die nächste E-Mail mit der Ankündigung, dass am Montag ein Kind mit Gift in einem Pausenbrot zur Schule gehen würde. In der Plastikbox wurden durch das MEK Brote und „Nimm 2-Bonbons“ festgestellt. Durch die lückenlose Dokumentation war jetzt die Beweislage eindeutig und der geplante Zugriff konnte vorbereitet werden.

Auf Hinweis der Staatsanwaltschaft erfolgte dieser in der Wohnung am 19. September 2016 (Montag) um 04.01 Uhr, um nicht durch die Nachtzeitklausel des § 104 StPO ein Beweisverwertungsverbot zu riskieren. Dabei hatte der Polizeiführer die Auftragslage dergestalt formuliert, dass der Täter bei einem Verlassen der Wohnung sofort festzunehmen wäre.

Die Alternative wäre ein schlagartiger SEK-Zugriff am eingeschalteten Rechner gewesen, doch die Staatsanwaltschaft bewertete die Gefahr eines Beweisverwertungsverbotes höher als die Chance, an den entsperrten PC zu gelangen. Hier zahlte sich erneut ihre Anwesenheit bei den Lagebesprechungen aus.

Der Zugriff gelang ohne Widerstand. Im direkten Anschluss erfolgte die Durchsuchung der Wohnung, die lediglich zum Auffinden von Bekleidungsstücken führte, die auf der Videoüberwachung des Sky-Marktes zu erkennen waren.

Die Presse war zuvor über die Planung informiert worden und konnte so einzelne Fotos machen.

Der Tatverdächtige lehnte ein Vernehmungsangebot ab und verhielt sich im Polizeigewahrsam sehr auffällig. So zerkratzte er sich z.B. seine Arme an den Wänden der Zelle. Durch den sozialpsychiatrischen Dienst wurde indes die volle Gewahrsamsfähigkeit bestätigt.

Am darauffolgenden 20. September 2016 (Dienstag) erfolgte die richterliche Vorführung und ein Haftbefehl wurde erlassen. Vor dem Richter wiederholte sich das psychisch auffällige Verhalten des Tatverdächtigen. Gleichwohl war er jedoch sehr klar in seinen Handlungen.

In den darauffolgenden Monaten wurden weitere personenbezogene Ermittlungen durchgeführt, die jedoch keine eindeutigen Erkenntnisse zur Motivlage erbrachten.

Am 13. März 2017 wurde sodann die Hauptverhandlung vor dem LG Kiel eröffnet und bereits am selben Tag erfolgte die Urteilsverkündung (Az. 10 Kls 13/17). Das war durch Verfahrensabsprachen möglich, denn der Tatverdächtige legte ein umfassendes Geständnis ab. Er wurde wegen versuchter schwerer räuberischer Erpressung zu vier Jahren und neun Monaten Freiheitsstrafe verurteilt – zwei Monate weniger als die Staatsanwaltschaft Kiel beantragt hatte.

9 Fazit

Rückblickend stellt sich dieser Vorgang als großer Ermittlungserfolg dar, der in einer AAO nicht so zu bewältigen gewesen wäre. Festzustellen ist auch, dass die schnelle Lagebewältigung fast ausschließlich auf sogenannten „klassischen“ Methoden beruhte: Ermittlungen (Verkaufsweg, gleichartige Fälle), Wiedererkennung, Observation. Die Beweislage wurde untermauert durch Spurensicherung (Stoffgleichheit des Giftes). „Technische“ Ermittlungen hingegen waren nicht zielführend; der beschlagnahmte PC ist bis heute nicht entschlüsselt worden. Auch Funkzellenauswertungen waren nicht zielführend, diese überlagerten sich im Innenstadtbereich. Die ständige Gegenwart eines Staatsanwaltes war für eine gerichtsfeste Beweisführung entscheidend, mit Blick auf die Gefahrenabwehr wäre sonst sicher ein früherer Zugriff erfolgt. Die Benennung eines Kontaktbeamten für die Schulen brachte viel Ruhe in eine aufgeheizte Atmosphäre. Ebenso wichtig war die ständige Zusammenarbeit mit der Presse, um keine panikartige Stimmung entstehen zu lassen. Folgerichtig war auch die Medienberichterstattung überaus positiv. Wie diese Berichterstattung jedoch ausgesehen hätte, wenn auch nur ein einziges Kind mit Vergiftungserscheinungen nach Hause oder in ein Krankenhaus gekommen wäre, mag jeder Leser selbst beurteilen.

Anmerkungen

KD Rolfpeter Ott ist seit 1989 bei der Landespolizei Schleswig-Holstein und war im Personenschutz sowie im Kriminaldauerdienst tätig. Nach seinem Aufstieg in die LG 2.2 (höherer Dienst) leitete er seit 2004 verschiedene kriminalpolizeiliche Dienststellen. Seit August 2013 ist er Leiter der Kriminalpolizei in Kiel. Daneben nimmt er einen Lehrauftrag für das Studienfach Kriminalistik im Fachbereich Polizei der FHVD wahr.

Bildrechte beim Autor.