Auf diesem Schwarzmarkt verkaufen Teenager 'Fortnite'-Accounts

Wenn jemand in deine Wohnung eingebrochen ist, merkst du das spätestens, sobald du in dein verwüstetes Wohnzimmer trittst. Bei Yasmin war das anders. Sie war live dabei. Obwohl keine Tür aufgebrochen, keine Vase umgeworfen und kein Kleiderschrank durchwühlt wurde, merkte Yasmin sofort, dass etwas nicht stimmte. Ein Fremder kaperte ihr Fortnite-Konto, Yasmin verfolgte alles in Echtzeit auf ihrem Smartphone.

Es ist Dienstagvormittag, Februar 2019, als auf dem Smartphone der 21-Jährigen eine Nachricht erscheint: 99 Euro wurden ihrem PayPal-Konto abgezogen, von Epic Games, dem Unternehmen hinter Fortnite. Vergeblich versucht Yasmin sich, bei ihrem Epic-Games-Account einzuloggen, wie sie im Gespräch mit VICE berichtet. Dann blinkt eine weitere Meldung auf: Der Unbekannte hat erneut zugeschlagen, diesmal 30 Euro.

Yasmin öffnet Twitter, um eine frustrierte Nachricht zu verfassen – und ist in bester Gesellschaft. Denn wer auf Twitter Begriffe wie "Fortnite account hacked" sucht, stößt auf die Geschichten von Hunderten Gamerinnen. Fremde haben ihre Passwörter geändert, ihre Freunde gelöscht, mit ihren verknüpften PayPal-Accounts Geld verpulvert.

Der Fremde, der mit Yasmins PayPal-Zugang auf Shopping-Tour ging, ist Teil eines riesigen Schwarzmarkts für Fortnite-Accounts. Viele Kunden und Dealer sind keine Profi-Hacker, sondern Teenager mit kaum Programmier-Skills. Sie sind Scriptkiddies, die aus dem Kinderzimmer heraus mit dem Knacken von Fortnite-Accounts ihr Taschengeld aufbessern. In mehreren Wochen Recherche ist VICE der Spur der Fortnite-Dealer gefolgt, um die Dimension dieses Schwarzmarkts abzuschätzen. Von den Kinderzimmer-Knackern führt die Spur über Discord-Kanäle bis hin zu Telegram-Gruppen, in denen Dealer mit geklauten Fortnite-Accounts Tausend Euro pro Woche verdienen wollen. Vor der Polizei hat hier offenbar keiner Angst, man fühlt sich sicher.

Fortnite kam im Juli 2017 auf den Markt, und es dauerte nicht lange, bis das Spiel Ziel von Crackern wurde – so nennt man Hacker, die sich auf digitale Einbrüche spezialisieren. Gehackte Accounts gibt es zwar, seit es Online-Gaming gibt. Doch noch nie war die Beute so groß, denn für das größte Online-Game, das es jemals gab, geben Spielerinnen und Spieler weltweit Milliarden aus. 2018 soll der Fortnite-Entwickler Epic Games drei Milliarden Dollar Gewinn gemacht haben. Richtig gelesen: Gewinn. Nicht Umsatz. Zwar gibt Epic Games den über 200 Millionen Spielern ausführlich Tipps, wie sie mit sicheren Passwörtern und Zwei-Faktor-Authentifizierung verhindern können, dass ihr Account geknackt wird. Aber solange solche Sicherheitsmaßnahmen freiwillig bleiben, finden Hacker weiterhin Opfer.

Fortnite-Fans, unter ihnen viele Schülerinnen und Schüler, verbinden ihren Account mit ihren PayPal-Konten oder den Kreditkarten ihrer Eltern und tauschen Euros und Dollars in V-Bucks um, das ist die virtuelle Ingame-Währung von Fortnite. Damit kaufen sie virtuelle Gegenstände und Ausrüstung, sogenannte Skins. Einen Vorteil im Spiel haben sie dadurch nicht, aber der Avatar sieht schicker aus. Sie können sich optisch vom Rest der Spielenden abgrenzen, das bringt Aufmerksamkeit und Anerkennung: im Spiel, im virtuellen Freundeskreis, auf dem Schulhof.

Ein kleines Taschengeld reicht aber nicht, um sich ständig neue Skins zu leisten, diese kosten gerne mal 20 Euro. Kein Wunder also, dass Hacker und Scriptkiddies mit krimineller Energie ihre Chance wittern: Sie packen altbekannte Cracking-Werkzeuge aus, knacken Accounts und verkaufen sie im Internet. Entstanden ist dabei ein hierarchisch organisierter Schwarzmarkt mit Top-Crackern an der Spitze, Großhändlern in der Mitte und kleinen Verkäufern, die ihre Ware marktschreierisch auf Twitter und Instagram anbieten. Hier gibt es Accounts mit seltenen Skins auch mal für wenige Euros. Ein Preis, der vielen Kundinnen und Kunden offenbar schmeckt, um ihre Freunde zu beeindrucken. Das Problem: Hinter jedem geknackten Account steht irgendein anderer Gamer, der abgezogen wurde.

Um Fortnite-Accounts zu knacken muss man kein IT-Profi sein. Ein bisschen Taschengeld als Startkapital und der dringende Wunsch nach einem neuen Hobby reichen aus, um in der Cracker-Szene durchzustarten. Cracker besorgen sich in Foren und Chat-Gruppen sogenannte Combos, also Kombinationen aus Benutzernamen und Passwörtern. Diese Combos stammen meist aus Datenbanken mit gehackten Nutzerdaten, häufig E-Mail und Passwort, die nicht einmal etwas mit Fortnite zu tun haben müssen. Die Hoffnung der Cracker: Faule Gamer verwenden gerne identische Benutzernamen und Passwörter für mehrere Accounts. Oft genug lassen sich Accounts auf diese Weise durch simples Ausprobieren kapern.

Der BBC-Journalist Joe Tidy hatte sich Ende 2018 mit den Fortnite-Crackern beschäftigt. Im Spiel will er einen der "erfolgreichsten Hacker" im Fortnite-Business getroffen haben: einen 17-jährigen Slowenen. Das BBC-Video sorgte in der Cracker-Szene für einige Belustigung – mehrere Cracker sagten gegenüber VICE, dass der Journalist lediglich an der Oberfläche des Schwarzmarkts gekratzt hätte. Tidy erklärt, der slowenische Cracker habe ihm Kontoauszüge gezeigt, die darauf hinweisen, dass manche der verkauften Accounts über Hundert Pfund wert seien. Insgesamt habe er 16.000 Euro eingenommen, prahlt der Cracker. Und Reporter Tidy kriegt die Kinnlade nicht mehr hoch: "Während wir uns unterhalten, wird klar, dass ich mich mit einem der größten Hardcore-Cracker da draußen unterhalte. Dieser Typ geht die Extra-Meile."

Tatsächlich ist es nicht schwer, diesen "Hardcore-Cracker" aufzuspüren: Sein Geschäftsmodell basiert nämlich darauf, dass seine Kunden ihn auf Twitter finden. Er lässt sich sogar Direktnachrichten schicken, ein Service für unzufriedene Kunden. Denn: Öffentliches Anschwärzen ist geschäftsschädigend.

Auf eine Textnachricht reagiert der 17-jährige Jugendliche schon nach wenigen Sekunden. Vorsichtig ist er nicht, auch als wir ihm sagen, dass wir Journalisten sind. "Welche Infos brauchst du?", fragt er. Wir fragen nach seinen Verkaufszahlen, warum er crackt, wie er lebt. Ausgelassen erzählt er aus seinem Leben: Die Schule schwänze er nicht, sagt er, aber das sei auch nicht nötig. Er brauche nur vier bis fünf Stunden Schlaf, in der restlichen Zeit cracke er Accounts, quasi als Nebenjob. Das Geld, das er einnimmt – an guten Tagen seien das über Hundert Euro –, gebe er wahllos für Schuhe, Markenklamotten, oder Technik, etwa einen dritten Monitor, aus. Seine Eltern würden sich keine Sorgen machen – sie verstünden aber auch gar nicht, was er an seinem Rechner genau mache. "Sie sagen, solange keine Polizei kommt, ist es OK", schreibt er.

Er schickt Screenshots, die die Verkaufszahlen seiner Online-Shops belegen sollen: Demnach macht er rund 15.000 Euro Umsatz bei etwa 2.700 Transaktionen. Das Geld habe er in rund einem halben Jahr damit verdient, dass er Gamern Login-Daten für gecrackte Accounts verkaufte. Es lässt sich nicht beurteilen, ob der Cracker die Screenshots manipuliert hat, um sich als besonders reich darzustellen. Mit Blick auf seine mehreren Zehntausend Follower auf Twitter und den durchschnittlichen Preisen von drei bis fünf Euro pro Account könnten die Zahlen aber durchaus stimmen.

Der Slowene fühlt sich sicher, und damit ist er nicht allein. Die Szene hat eine überschaubare Größe und ist gut vernetzt. Die Cracker kennen sich zum Teil persönlich, haben sich in unzähligen Chatnachrichten beigebracht, wie man Accounts knackt. Ein Cracker aus Deutschland erzählt im Gespräch mit VICE über die Chatplattform Discord, wie er in die Szene kam: Freunde hätten ihn auf Twitter in einen Chat aufgenommen, in der sie sich Tutorials hin- und herschickten, neue Tools vorstellten, Tipps fürs Cracken gaben.

Ein weiterer Cracker aus Deutschland schickt uns wie der Slowene Screenshots, die belegen sollen, wie viel er in seinem Shop verkauft. Demnach scheint er ähnlich viel Erfolg zu haben wie der Slowene. Durchschnittlich will er etwa 70 Euro am Tag mit dem Verkauf von gecrackten Accounts verdienen, an einem Tag seien es sogar rund 350 Euro gewesen. Auch bei ihm lässt sich aber nicht abschließend prüfen, ob die vorgezeigten Einnahmen echt sind.

Die beiden deutschen Cracker sagen, sie sind 14 und 16 Jahre alt. Beim Gespräch über Discord muss einer kurz das Mikrofon ausschalten, weil seine Mutter etwas von ihm will. Was sie genau machen, wüssten ihre Eltern nicht, sagen sie. Sie verdienen sich schon länger in der Cracker-Szene ein zusätzliches Taschengeld. Der 14-Jährige habe mit elf mit dem Cracken von Minecraft-Accounts angefangen, also noch bevor es Fortnite gab.

Große Strippenzieher sind die beiden crackenden Teenager aber auch nicht. Der Markt für gekaperte Fortnite-Accounts ist groß – und voll mit Betrügern. Sogenannte Scammer liefern die versprochene Ware einfach nicht und sacken das Geld ein. Andere Betrüger wollen offenbar nur Follower gewinnen und locken Fortnite-Fans mit Clickbait und falschen Verlosungen. Cracker wie die beiden deutschen Teenager investieren viel Zeit, um sich von den Betrügern abzuheben: In ihren Shops bitten sie ihre Kunden, ihren Service öffentlich auf Twitter zu loben. Das gibt Außenstehenden wiederum die Möglichkeit, zu erahnen, wie groß der Handel mit geknackten Fortnite-Accounts ungefähr ist.

Die Händler legen in ihren Shops offen, dass alle Accounts gecrackt sind. Sie versprechen sogar eine Geld-zurück-Garantie, wenn die verkauften Login-Daten nicht stimmen. Die Käufer der Accounts sollen aber bloß nicht das Passwort ändern, heißt es. Sonst fällt den eigentlichen Besitzern sofort auf, dass der Account gehackt wurde, und sie lassen ihn sperren.

Für den Kunden eines Crackers heißt das: Wenn er sich einen gehackten Account kauft, muss er hoffen, dass die Besitzerin ihn möglichst selten nutzt und von dem Hack nichts merkt. Schon kann er sich ab und zu in den fremden Account einloggen und seine Kumpel mit einem seltenen Skin beeindrucken. Nur, was sollte gerissene Gamer davon abhalten, doch das Passwort zu ändern? Häufig passiert genau das: Cracker und Käufer schließen die eigentlichen Besitzer aus ihrem Accounts aus und kaufen sich mit den verknüpften Bankaccounts rasch V-Bucks und Skins, die sie auch an andere Spieler verschenken können.

In einer anderen Liga spielen die Großhändler, die bündelweise Fortnite-Accounts verkaufen. Die deutschen Cracker, mit denen VICE gesprochen hat, sprechen mit Ehrfurcht von spezialisierten Cracker-Foren und Telegram-Gruppen, wo sich diese Großhändler kontaktieren lassen. Hier treiben sich keine naiven Gamer mehr rum, die auf der Suche nach einem seltenen Account auf einen Twitter-Betrüger reinfallen. Händler müssten an die Admins der Telegram-Gruppen Geld zahlen, um dort ihr Angebot zu posten, erklären die Cracker. Kleinere Händler wie die deutschen Teenager lauern hier auf gute Angebote, die sie etwa via Twitter weiterverkaufen können. Die Preise in den Telegram-Gruppen sind im Vergleich niedriger, denn hier wird oft bündelweise eingekauft. Bezahlt wird meist nicht mehr über PayPal, sondern mit Kryptowährungen, vor allem Bitcoin.

Einer der großen Händler lässt sich nach mehreren Anfragen zu einem kurzen Chat mit VICE überreden. Mehrere Cracker, mit denen wir vorher gesprochen haben, bezeichneten seinen Shop als den zeitweise größten in der Cracking-Szene. Der Händler ist sehr vorsichtig, kein Vergleich zu den Jugendlichen auf Twitter. Zuerst möchte er sich absolut sicher sein, mit einem Journalisten zu sprechen. Auf einer privaten Website, die eindeutig einem VICE-Autor zuzuordnen ist, sollen wir zu einem bestimmten Zeitpunkt ein bestimmtes Wort hinzufügen. Als das Wort erscheint, scheint der Dealer beruhigt zu sein.

Er berichtet, auf dem Markt gebe es Hunderte Händler, die kaum Umsatz generieren würden. Wir fragen, wie er den slowenischen Jugendlichen einschätze, der laut BBC ein "Hardcore-Cracker" mit täglich Hundert Euro Umsatz sei. Der Großhändler antwortet mit nur einem Wort: "Winzig." Mit seinem Shop will er mehrere Tausend Euro pro Woche umgesetzt haben – eine Aussage, die andere Cracker wiederum für realistisch halten.

Aller Wahrscheinlichkeit nach ist den Crackern bewusst, dass ihr Geschäft illegal ist. Einer erzählt von einer Hausdurchsuchung bei einem Bekannten, die allerdings nichts ergeben hätte. Fortnite-Entwickler Epic Games verbietet in den Nutzungsbedingungen den Handel mit Accounts. Und auch im Strafgesetzbuch gibt es einen Paragrafen für Computerbetrug, der nach Auffassung mehrerer Rechtsexperten auf das unbefugte Verwenden von Daten und damit auf das Cracken von Gaming-Accounts angewandt werden kann. Bekannt geworden ist allerdings noch kein Fall, in dem sich ein Fortnite-Cracker vor einem deutschen Gericht verantworten musste.

Was machen die großen und kleinen Fortnite-Cracker eigentlich, wenn der Fortnite-Hype mal vorbei ist? Experten für Online-Kriminalität, wie etwa der britische Kriminalbeamte Ethan Thomas, der auch im BBC-Video auftritt, befürchten: Die Cracking-Szene könnte für manche der Einstieg in die Kriminalität sein.

Als Yasmin, die 21-jährige Studentin, den Hack ihres Fortnite-Accounts bemerkte, reagierte sie sofort. Bei PayPal konnte sie die Transaktionen des fremden Nutzers rückgängig machen, die verlorenen 130 Euro waren am nächsten Tag schon wieder auf ihrem Konto. Auch den Hacker konnte sie schnell wieder aus ihrem Fortnite-Account aussperren: Zufällig hatte sie ihren Epic-Games-Account mit Facebook verknüpft und konnte auf diese Weise das Passwort ändern. Dann meldete sie den Vorfall dem Support-Team von Epic, das ihren Account sperrte, überprüfte und schließlich wieder freigab.

Wir haben Epic Games in einer E-Mail am 11. März gefragt, wie viele gehackte Accounts seit Veröffentlichung des Spiels gemeldet wurden, wie das Unternehmen gegen diese Verstöße ihrer Nutzungsbedingungen und den Schwarzmarkt vorgeht. Wenn wir eine Antwort erhalten, werden wir den Artikel entsprechend updaten.

Epic Games hatte lediglich im Jahr 2018 in einem Blogeintrag erklärt, wie Gamer ihre Accounts unter anderem vor Crackern schützen können: etwa mit Zwei-Faktor-Authentifizierung und einzigartigen Passwörtern. Yasmins Fortnite-Account dürfte in Zukunft vor Crackern sicher sein. Doch solange es weiterhin Gamer gibt, die bereit sind, für seltene Skins zu stehlen – und Gamer, die ihre Accounts nicht optimal absichern – wird der Schwarzmarkt weiter blühen, für Dealer, Kunden und Scriptkiddies.

Folge Jan bei Twitter und VICE auf Facebook, Instagram und Snapchat.