Tatort Deutschland: Das globale Call-Center-Imperium

Als eine Bankangestellte in Freiburg im Dezember 2023 bemerkte, dass ihre Kundin 100.000 Euro in bar abheben wollte, ahnte sie nicht, was diese Meldung in Gang setzen würde. Die Kundin hatte falschen Polizisten ihr Erspartes übergeben. Vier Monate später zerschlugen Ermittler aus fünf Ländern zwölf Callcenter, die allein in 48 Stunden 28.000 Betrugsanrufe abgesetzt hatten. Operation Pandora deckte dabei nicht nur ein Netzwerk auf, sondern ein System: Deutschland als Koordinations- und Geldwäschezentrum eines globalen Betrugsimperiums, dessen Telefonanrufe aus Tirana, Sarajevo und Beirut kommen.

Vom Kellerbüro zur Unternehmensstruktur

Der Telefonbetrug, der deutsche Bürger jährlich Hunderte von Millionen Euro kostet, folgt heute einer Unternehmenslogik, die von legitimen Callcentern kaum zu unterscheiden ist. Der Bericht der Global Initiative Against Transnational Organized Crime (GI-TOC) vom März 2026 kartiert das Phänomen weltweit. Was vor einem Jahrzehnt in improvisierten Büros begann, hat sich zu einer Branche entwickelt: mit Personalchefs, die nach zweisprachigen Mitarbeitern suchen, mit ausgearbeiteten Schulungsprogrammen für psychologisch wirkungsvolle Verkaufsgespräche und mit Qualitätskontrolleuren, die Anrufaufzeichnungen auswerten.

Laut dem Bundeslagebild Cybercrime 2025 des Bundeskriminalamts registrierte Deutschland in jenem Jahr 333.922 Fälle von Cyberkriminalität. Der wirtschaftliche Schaden für Deutschland durch Cyberkriminalität lag bei 202,4 Milliarden Euro, entsprechend rund 4,5 Prozent des Bruttoinlandsprodukts. Parallel verzeichnete das BKA im Bereich Wirtschaftskriminalität für 2024 einen Schaden von 2,76 Milliarden Euro durch Betrug und Geldwäsche.

Die Aufklärungsquote zeigt das strukturelle Kernproblem: Bei Cyberkriminalität mit Inlandsbezug kommen deutsche Behörden auf 31,4 Prozent aufgeklärte Fälle. Bei Taten mit Auslandsbezug, die den Großteil der Fälle ausmachen, liegt die Rate laut BKA bei 2 Prozent. Das BKA schätzt zudem, dass vier von fünf Cyberstraftaten gar nicht angezeigt werden, weil Opfer sich schämen oder auf Handlungsunfähigkeit der Behörden vertrauen. Das Dunkelfeld macht aus 333.922 offiziell registrierten Fällen eine tatsächliche Größenordnung von möglicherweise über einer Million Taten jährlich.

Die Täternetzwerke haben Standorte in Tirana, Belgrad, Nikosia, Tbilissi, Tel Aviv, Beirut und Kiew. Deutschland liefert dabei nicht nur den Opferpool, sondern auch die Managementebene, die Bankkonten für Geldwäsche und die technische Infrastruktur.

28.000 Anrufe in 48 Stunden: Operation Pandora und der Tirana-Komplex

Am 18. April 2024 durchsuchten Ermittler aus Deutschland, Albanien, Bosnien-Herzegowina, dem Kosovo und dem Libanon zwölf Callcenter gleichzeitig. Den Anstoß gab der Bankbesuch in Freiburg, aus dem das LKA Baden-Württemberg eine Großermittlung entwickelte. Europol koordinierte die internationale Komponente. 21 Personen wurden festgenommen, 39 Verdächtige identifiziert. Mehr als 10 Millionen Euro Schaden wurden verhindert.

Was die Ermittler dabei dokumentierten, war erschreckend: Die Telefonnummern dieser Callcenter konnten mit mehr als 28.000 Betrugsanrufen in lediglich 48 Stunden verknüpft werden. Das entspricht rund einem Anruf alle sechs Sekunden rund um die Uhr. Die Täter arbeiteten arbeitsteilig mit unterschiedlichen Maschen: falsche Polizisten, die vor einem angeblichen Einbruch beim Nachbarn warnten und Opfer dazu brachten, Ersparnisse zur Sicherung zu übergeben; vorgebliche Bankmitarbeiter, die auf ein gefährdetes Konto hinwiesen; und romantische Gesprächspartner, die monatelange Scheinbeziehungen aufbauten, um Geld für eine plötzliche Notlage zu erbitten.

Besonders aufschlussreich ist, was eine österreichisch-albanische Ermittlung zwei Jahre später enthüllte. Am 17. April 2026 verhafteten Behörden zehn Personen in Tirana, die Eurojust unterstützte die Operation. Die zerschlagenen Callcenter in Albaniens Hauptstadt beschäftigten bis zu 450 Mitarbeiter in voneinander getrennten Abteilungen für Kundenakquise, Kundendienst, Finanzen, IT, Personal und Backoffice. Die Struktur ähnelte laut Eurojust einem legitimen mittelständischen Unternehmen. Der Gesamtschaden der identifizierten Opfer in Deutschland, Österreich, Italien, Griechenland, Spanien, Kanada und dem Vereinigten Königreich: mehr als 50 Millionen Euro. Beschlagnahmt wurden bei der Razzia rund 900.000 Euro in bar sowie umfangreiche IT-Infrastruktur.

Die Organisationsstruktur dieser Unternehmen macht sie schwer angreifbar: Anrufe werden über Voice-over-IP-Dienste geleitet, Geld sofort über Kryptowährungs-Mixer bewegt und Managementebenen werden in anderen Ländern angesiedelt als die Callcenter selbst. Ermittler brauchen für jeden Schritt in der Kette einen gesonderten Rechtshilfeantrag.

Milton Group, Black Axe und die bayerischen Urteile

Den bislang präzisesten Einblick in die Operationsweise dieser Netzwerke bietet der Strafprozess gegen Mikheil Biniashvili, den Hauptoperator der sogenannten Milton Group. Das Landgericht Bamberg verurteilte den georgischen Staatsbürger am 26. Februar 2026 nach einem elfstägigen Verfahren unter besonderen Sicherheitsmaßnahmen zu sieben Jahren und sechs Monaten Haft. Biniashvili betrieb zwischen 2017 und 2019 Callcenter in Albanien, deren trainierte Mitarbeiter Opfer in deutschsprachigen Ländern zu Scheinbeteiligungen an Devisenhandelsplattformen überredeten.

Das Bamberger Gericht stellte fest, dass Biniashvilis Softwarepaket PumaTS, das anderen Betrugsoperatoren als Dienstleistung angeboten wurde, dem Täterverbund insgesamt 42 Millionen Euro in illegalen Einnahmen brachte. Der direkte Opferschaden durch die Callcenter-Operationen lag laut OCCRP bei rund 8 Millionen Euro, hauptsächlich aus deutschsprachigen Ländern. 2,4 Millionen Euro wurden eingezogen. In seinem letzten Statement entschuldigte sich Biniashvili bei den Opfern, berichtete OCCRP, das die Netzwerkstruktur investigativ aufgedeckt hatte. Die Opfer erhielten keinen Pfennig zurück.

Die Black Axe Confraternity, eine nigerianische kriminelle Vereinigung mit Schwerpunkt Love Scamming, hat sich parallel dazu in Bayern etabliert. Im Januar 2026 verhafteten spanische und deutsche Behörden mit Europol-Unterstützung 34 verdächtigte Mitglieder, darunter mindestens 10 Nigerianer. Die koordinierte Razzia unter Federführung des Bayerischen Landeskriminalamts und der spanischen Nationalpolizei deckte Schäden von mehr als 5,9 Millionen Euro auf. Bei den Durchsuchungen wurden 119.352 Euro auf Bankkonten eingefroren und 66.403 Euro Bargeld sichergestellt.

Das Landgericht München I sprach im Frühjahr 2026 zwölf Mitglieder der Vereinigung schuldig, nach 91 Verhandlungstagen mit mehr als 150 Zeugenaussagen und 24 Verteidigern. Es war das erste große Urteil gegen nigerianische organisierte Kriminalität in Deutschland. Die Strafen reichten von drei Jahren vier Monaten bis zu acht Jahren sechs Monaten, insgesamt 54 Jahre und sechs Monate Freiheitsentzug. Ein einziges Opfer hatte 235.000 Euro an einen vermeintlichen Liebespartner überwiesen, der über Monate eine intensive Scheinbeziehung aufgebaut hatte.

Bankenlücke, Kryptomischer und die 2-Prozent-Aufklärungsrate

Die Ermittlungserfolge verdecken ein strukturelles Defizit. Drei Faktoren sorgen dafür, dass das System trotz wiederholter Großoperationen weiter prosperiert.

Erstens fehlt Deutschland eine gesetzliche Bankenhaftung bei Betrugsfällen. Das Vereinigte Königreich verpflichtete Banken im Oktober 2024 per Gesetz, Opfer von Überweisungsbetrug bis zu einem Höchstbetrag von 85.000 Pfund pro Fall zu entschädigen, sofern kein grob fahrlässiges Verhalten des Opfers vorliegt. Deutsche Bankenverbände und Telekommunikationsunternehmen lehnten vergleichbare Regelungen bislang ab. Das vorgebrachte Argument: Betrüger könnten das System durch fingierte Betrugsmeldungen ausnutzen. Der Verbraucherzentrale Bundesverband und europäische Verbraucherorganisationen wie der BEUC bezeichnen das als Schutzbehauptung: Eine technische Überprüfung von Empfängerkonten, ein automatischer Abgleich von Name und IBAN und eine Verzögerung verdächtiger Überweisungen kosten Banken Investitionen, die sie lieber vermeiden. Das Ergebnis ist eine Situation, in der Opfer ihre Verluste selbst tragen, während Banken die Haftung auf das Fehlverhalten der Betroffenen schieben.

Zweitens ist die Geldwäscheinfrastruktur noch nicht ausgetrocknet. Im November 2025 schaltete das BKA in der gemeinsamen Operation Olympia mit Schweizer Behörden und Europol den Kryptomischer Cryptomixer.io ab und beschlagnahmte Kryptowährungen im Wert von 25 Millionen Euro. Seit 2016 hatte die Plattform laut BKA mehr als 1,3 Milliarden Euro in Bitcoin durch Schichten verschachtelter Transaktionen gewaschen. Für jeden abgeschalteten Mixer entstehen schnell Nachfolger, oft mit ähnlichen Strukturen in anderen Jurisdiktionen.

Drittens ist die internationale Rechtshilfe zu langsam für digitale Straftaten. BKA, LKA Bayern und LKA Baden-Württemberg fordern bessere technische Ausstattung und schnellere Informationsweitergabe zwischen nationalen Behörden. Gleichzeitig plant der Bundesnachrichtendienst laut netzpolitik.org für 2026 eine Ausweitung seiner Massenüberwachungsbefugnisse mit dem Argument der Cyberkriminalitätsbekämpfung. Datenschützer und Bürgerrechtsorganisationen kritisieren diese Pläne als unverhältnismäßig: Massenüberwachung helfe kaum gegen organisierte Betrugsringe, die ihre Kommunikation über verschlüsselte und anonymisierte Kanäle abwickeln. Das BKA selbst betont, dass schnellere transnationale Rechtshilfe und gemeinsame europäische Ermittlerteams wirksamer wären als erweiterte Inlandsüberwachung.

Bis Ende 2027: Was die EU-Zahlungsregulierung an der Bankenlücke ändert

Konkrete Abhilfe könnte die europäische Ebene schaffen. Das Europäische Parlament einigte sich im November 2025 auf ein Paket aus der Zahlungsdiensterichtlinie 3 (PSD3) und der neuen Payment Services Regulation (PSR). Artikel 59 der PSR verpflichtet Zahlungsdienstleister, Kunden für Verluste zu entschädigen, die durch Betrug entstanden, bei dem sich Täter als Bank oder Behörde ausgaben. Darüber hinaus haften Banken, wenn sie eine Diskrepanz zwischen dem angegebenen Empfängernamen und der IBAN nicht melden und das Opfer dadurch Verluste erleidet. Banken könnten zudem Rückgriffsrechte gegenüber Online-Plattformen geltend machen, über die Betrugswerbung geschaltet wurde. Die PSR soll voraussichtlich Ende 2027 anwendbar werden, rund 21 Monate nach Inkrafttreten.

Bis dahin bleibt eine Lücke, die Deutschland allein schließen könnte, bislang aber nicht schließt. Keine nationale Übergangsregelung für Bankenhaftung, kein beschleunigtes Rechtshilfeverfahren, kein Entschädigungsfonds nach britischem Vorbild. Opferverbände fordern, dass die Bundesregierung nicht auf 2027 wartet, sondern die britischen Regelungen als Vorlage für ein Übergangsgesetz nutzt.

In den Callcentern in Tirana, Belgrad und Tbilissi ist die deutsche Gesetzgebungslücke bekannt. Die 28.000 Anrufe in 48 Stunden waren kein Zufall, sondern das Ergebnis einer simplen Kalkulation: Solange der erwartete Gewinn pro Anruf die realen Strafverfolgungskosten übersteigt, lohnt sich das Geschäft. Operation Pandora, das Bamberger Urteil gegen Biniashvili und die Münchner Verurteilungen der Black-Axe-Mitglieder sind Signale. Ob sie Systemwechsel einleiten, entscheidet sich nicht in Tirana. Es entscheidet sich in Berlin und Brüssel.