Erster Bunker-Standort

Namensgebend war der erste Standort, den die Firma erwarb. Es handelte sich dabei um einen ehemaligen NATO-Kommandobunker in der niederländischen Gemeinde Kloetinge in der Provinz Zeeland, der gebaut wurde, um empfindliche elektronische Ausrüstung unterzubringen und auch nach einem Atomschlag zu betreiben. Dieser Bunker wurde 1955 gebaut und 1996 stillgelegt. Zusätzlich sind besonders befestigte und biometrisch geschützte Türen vorhanden, zwei Notstromaggregate (2 MW) und genügend Kraftstoff, um den Betrieb der Anlage autark zu gewährleisten, Luftfilter als ABC-Schutz, sowie Raum für große Vorräte an Trinkwasser und Lebensmitteln.

Dieser militärische Bunker wurde nach seiner Stilllegung 1996 an die Firma CyberBunker verkauft, die ihn renovierte und darin ihr Datenzentrum einrichtete, das im Jahr 2000 in Betrieb ging. Im CyberBunker wurde anschließend ein privates hochsicheres Rechenzentrum mit EMP-Abschirmung betrieben.

Nach einem Brand im Jahre 2002 wurde ein Drogenlabor in einem untervermieteten Teil des Bunkers entdeckt. Das Rechenzentrum wurde daraufhin nicht wieder in Betrieb genommen und 2010 an die Firma Bunkerinfra Datacenters verkauft, die 2015 Insolvenz anmeldete.

Betrieb an weiteren Standorten

Die Firma CyberBunker täuschte ihren Kunden in den Folgejahren vor, ihre Infrastruktur weiterhin in dem ehemaligen NATO-Bunker zu betreiben, während das tatsächliche Datenzentrum in Amsterdam ansässig war. Weitere Rechenzentren sollen an „geheimen Standorten“ betrieben worden sein.

Zweiter Bunker-Standort

CyberBunker erwarb am 26. Juni 2013 die ehemalige Kaserne Mont Royal mit dem in den 1970er Jahren erbauten Bunker des ehemaligen Amts für Wehrgeophysik in Traben-Trarbach, für einen Kaufpreis von 450.000 Euro. Neben dem fünfstöckigen unterirdischen Bunker mit einer Nutzfläche von 5500 m² befinden sich zwei Bürogebäude und mehrere Garagen auf dem 13 Hektar großen Gelände. In dem dort eingerichteten Rechenzentrum betrieb die Firma unter dem Namen Calibour GmbH über 400 Server für eine Darknet-Infrastruktur, mit der neben Cyberangriffen Geschäfte mit Drogen, Falschgeld und laut Polizei 2019 Kinderpornographie abgewickelt wurden.

Warnung des LKA

Im Zuge der Razzia 2019 wurde deutlich, dass die Polizei in Rheinland-Pfalz frühzeitig die Bundesbehörde vor dem Käufer des Bunkers gewarnt hatte. Zunächst informierte die Gemeinde Traben-Trarbach das LKA Rheinland-Pfalz über den geplanten Verkauf. Acht Tage vor dem avisierten Verkaufsdatum informierte daraufhin das LKA Rheinland-Pfalz die Bundesanstalt für Immobilienaufgaben (Bima) darüber, „dass der potenzielle Käufer der Immobilie den Standort für ein Rechenzentrum unter anderem auch zur Begehung und Unterstützung von Straftaten im Internet nutzen könne“. Gegenüber dem Spiegel erklärte die Bima 2019, man habe sich durchaus mit dem LKA „abgestimmt“. Dort hätten zum damaligen Zeitpunkt aber keine Erkenntnisse vorgelegen, „die einen Ausschluss der späteren Käuferin von dem Veräußerungsverfahren gerechtfertigt hätten.“ Zwar hätte sich auch ein anderer Interessent für den Bunker beworben, CyberBunker habe aber das lukrativere Angebot gemacht.

Razzia

Bereits 2013 gab es erste Hinweise auf eine möglicherweise illegale Nutzung des Bunkers. Ab 2015 ermittelte das Landeskriminalamt Rheinland-Pfalz gegen den Betreiber des Bunkers.

Im September 2019 wurde im Rahmen einer Razzia in mehreren Ländern dieser Bunker von der deutschen Polizei mit 650 Einsatzkräften durchsucht und stillgelegt, sieben Verdächtige wurden verhaftet. Seitdem sind nahezu alle Seiten der Website des Unternehmens nicht mehr aufrufbar.

Strafverfahren

Am 7. April 2020 erhob die Landeszentralstelle Cybercrime der Generalstaatsanwaltschaft Koblenz Anklage gegen acht Tatverdächtige aus den Niederlanden, Deutschland und aus Bulgarien. Laut Anklage hätten sie sich der Beihilfe zu mehr als 240.000 Straftaten strafbar gemacht.

Die Hauptverhandlung begann am 19. Oktober 2020 am Landgericht Trier und sollte ursprünglich bis zum 31. Dezember 2021 andauern. Am 13. Dezember 2021 wurden die Betreiber wegen Bildung einer kriminellen Vereinigung zu Haftstrafen verurteilt. Dieses Urteil wurde in der Revisionsverhandlung vom Bundesgerichtshof im September 2023 weitgehend bestätigt.

Folgeverfahren

Nach der Kompromittierung des Cyberbunkers gab es mindestens 227 Folgeverfahren gegen Nutzer des Bunkers wegen krimineller Geschäfte im Darknet, von denen die meisten allerdings mangels Ermittlungsansätzen zur Identifizierung der Kunden eingestellt werden mussten. Das größte Folgeverfahren umfasste die Anklage des deutschen Darknet-Marktes DarkMarket, das laut Anklage mindestens 320.000 Geschäfte im Wert von mehr als 140 Millionen Euro abschloss. Aus dem Verfahren zum DarkMarket ist laut Angaben der Landeszentralstelle Cybercrime der Generalstaatsanwaltschaft Koblenz die Operation Dark HunTOR hervorgegangen, in der weltweit rund 150 Festnahmen erfolgten.

The Pirate Bay

Am 2. Oktober 2009 soll der BitTorrent-Tracker von The Pirate Bay, der bereits mehrmals Gegenstand von Gerichtsverfahren mit Anti-Piraterie-Gruppen gewesen war, von Schweden zu CyberBunker bei Kloetinge transferiert worden sein. Es ist nicht bekannt, ob die Daten von The Pirate Bay sich tatsächlich bei CyberBunker befanden oder befinden oder ob der Service nur umgeleitet wurde bzw. wird.

Das Landgericht Hamburg erließ am 6. Mai 2010 eine einstweilige Verfügung (Beschluss vom 6. Mai 2010, Az. 310 O 154/10) gegen den Routing-Betreiber CB3Rob Ltd & Co KG (CyberBunker) mit Sitz in Berlin und Sven Olaf Kamphuis und untersagte vorerst in Zusammenhang mit der Verbindung zu The Pirate Bay, Webseiten im Internet weiterzuleiten. Die einstweilige Verfügung war durch Mitgliedsunternehmen der Motion Picture Association of America (MPAA) am 6. Mai eingebracht worden.

Die Seiten von The Pirate Bay waren jedoch nur einen Tag offline und wurden dann vermutlich über die Ukraine wieder aufgeschaltet.

Ein Berufungsgericht in Den Haag (Gerichtshof den Haag) entschied am 28. Januar 2014 hingegen, dass der Zugang zur Filesharing-Plattform The Pirate Bay durch zwei niederländische Provider nicht gesperrt werden müsse, weil IP- und DNS-Blockaden keineswegs effektiv gegen Online-Piraterie helfen würden. Man könne daher Provider nicht zu ineffektiven Maßnahmen verpflichten.

Spam- und DDoS-Attacken

CyberBunker kümmerte sich nach eigenen Angaben nicht um die Blacklist von The Spamhaus Project, eine Organisation, die Spam bekämpft. Seit 2011 gab es beiderseitige Beschwerden zwischen Spamhaus und CyberBunker, nachdem Kunden von CyberBunker Spamming betrieben hatten, und CyberBunker sich Forderungen nicht beugen wollte, dies zu unterbinden.

Nachdem im März 2013 Spamhaus CyberBunker auf seine Blacklist setzte, begann ein Distributed-Denial-of-Service-Angriff neuer Dimension gegen den Spamhaus-Server und DNS, der eine Woche dauerte. Der Angriff erreichte Spitzenwerte bis zu 300 Gbit/s (ein durchschnittlicher Großangriff lag zu jener Zeit bei etwa 50 Gbit/s) während der zuvor größte bekannte Angriff 100 Gbit/s erreicht hatte. Der Angriff wurde von fünf nationalen Polizeibehörden untersucht. Da CyberBunker zu diesem Zeitpunkt noch mit dem niederländischen Bunker warb, hielt Bunkerinfra Datacenters (BIDC), die den vormaligen CyberBunker in Kloetinge zu der Zeit betrieb, per Pressemitteilung vom 29. März 2013 fest, dass sie mit diesem DDoS-Angriff nichts zu tun hätten. Der CyberBunker bei Kloetinge sei seit einem Brand im Jahr 2002 nicht mehr in Betrieb gewesen.