1,45 Terabyte Leaks: Wie aus 3,3 Millionen Dateien 398 Verdachtsfälle werden

Hallo, hier ist wieder Kora. Eine Meldung aus dem Finanzressort hat mich diese Woche aus einem ungewohnten Grund neugierig gemacht: Es geht um Steuerfahndung – aber eigentlich auch um ein ziemlich klassisches Data-Engineering-Problem.

Was passiert ist

Das nordrhein-westfälische Landesamt zur Bekämpfung der Finanzkriminalität hat Ende 2025 von einem Informanten einen Datenträger mit Kundendaten von Offshore-Dienstleistern gekauft. Laut Düsseldorfer Finanzministerium stecken darin 3.320.148 Dateien und Ordner – zusammen rund 1,45 Terabyte. Die Anbieter sitzen unter anderem auf den Cayman Islands, in Dubai, Hongkong, Mauritius, Panama, Singapur und Zypern und boten die Gründung von Gesellschaften in Niedrigsteuergebieten an.

Aus diesem Berg an Material haben die Ermittler bisher 398 Verdachtsfälle mit Deutschlandbezug herausgefiltert, davon 64 in NRW. Die übrigen gehen an die jeweils zuständigen Bundesländer, die nun prüfen, ob und in welcher Höhe Steuern hinterzogen wurden. Der NRW-Finanzminister legt Betroffenen nahe, eine Selbstanzeige zu prüfen.

1,45 TByte klingen wenig – sind aber die harte Variante

Für uns im Rechenzentrumsalltag sind 1,45 Terabyte nichts Besonderes, das passt auf eine einzelne NVMe-SSD. Die Schwierigkeit liegt woanders: Es handelt sich nicht um eine saubere Datenbank mit Schema, sondern um über drei Millionen gewachsene Dateien und Ordner aus unterschiedlichen Firmen, Ländern und Jahrzehnten. Realistisch heißt das: PDFs, gescannte Verträge, E-Mail-Archive, Tabellen, Bilder, Backups in Backups, mehrere Sprachen, uneinheitliche Namensschreibweisen.

Wer so etwas auswerten will, braucht im Kern die gleiche Pipeline, die wir auch beim Aufbau von Such- und Analyseplattformen sehen:

• Ingest und Normalisierung: Archive entpacken, Dubletten per Hash erkennen, Dateitypen zuverlässig bestimmen.
• Textgewinnung: OCR für Scans, Extraktion aus Office- und Mailformaten, damit überhaupt etwas durchsuchbar wird.
• Indexierung: Volltextsuche über Millionen Dokumente, inklusive Fuzzy-Matching für Namensvarianten.
• Entity Resolution: Personen, Firmen und Adressen über Dokumentgrenzen hinweg verknüpfen – das ist der Schritt, der aus Rohdaten erst Fälle macht.
• Nachvollziehbarkeit: Jeder Treffer muss auf das Originaldokument zurückführbar sein, sonst hält er später keiner Prüfung stand.

Dass am Ende „nur" 398 Fälle mit Deutschlandbezug übrig bleiben, ist also kein mageres Ergebnis, sondern das Resultat konsequenter Filterung. Die Trefferquote ist bei solchen Datensätzen naturgemäß niedrig – der Aufwand steckt im Aussortieren.

Chain of Custody: der unterschätzte Teil

Was mich beruflich am meisten interessiert, ist die Beweissicherung. Ein angekaufter Datenträger ist forensisch gesehen eine Herausforderung: Man muss ein unverändertes Image ziehen, Prüfsummen bilden, mit Write-Blocker arbeiten und lückenlos dokumentieren, wer wann worauf zugegriffen hat. Gearbeitet wird anschließend auf Kopien, nie auf dem Original.

Dazu kommt der Schutz der Daten selbst. In so einem Datensatz stehen hochsensible personenbezogene Informationen – auch von Menschen, die sich völlig legal im Ausland engagiert haben. Verschlüsselung at rest, streng getrennte Analyseumgebungen ohne Internetzugang, Vier-Augen-Prinzip und ein belastbares Zugriffslogging sind hier keine Kür. Ein Leak aus einer Ermittlungsbehörde wäre ein doppelter Schaden: für die Betroffenen und für die Verfahren.

Was ich daraus für unsere Welt mitnehme

Zwei Dinge. Erstens: Datenbestände, die irgendwo „sicher" abgelegt scheinen, sind nur so sicher wie das schwächste Glied in der Kette – und dieses Glied ist oft kein Exploit, sondern ein Mensch mit Zugang. Insiderrisiko ist bei Dienstleistern mit sensiblen Kundendaten mindestens so relevant wie der klassische Angriff von außen. Wer Mandanten- oder Kundendaten verwaltet, sollte Zugriffsrechte minimal halten, Exporte protokollieren und große Datenabflüsse technisch erkennen können.

Zweitens: Die Fähigkeit, unstrukturierte Massendaten auszuwerten, ist inzwischen eine Kernkompetenz von Behörden. Das Landesamt in NRW ist eine recht junge Einrichtung, die genau dafür Personal und Technik bündelt. Dieselben Werkzeuge, die dort Offshore-Strukturen sichtbar machen, nutzen wir in anderer Form für Log-Analyse, Threat Hunting oder Compliance-Auswertungen. Die Disziplin dahinter ist dieselbe – nur das Ziel ist ein anderes.

Spannend finde ich, wie selbstverständlich hier mittlerweile von Terabyte-Beständen gesprochen wird, die noch vor wenigen Jahren als kaum beherrschbar galten. Die Hürde ist längst nicht mehr der Speicherplatz, sondern die saubere Verarbeitung.

Man liest sich, eure Kora

Quelle: heise online