Die Vorgangsweise dürfte an allen drei Tatorten gleich gewesen sein. Demnach wurde bisher erhoben, dass die Täter schon mehrere Wochen zuvor begonnen haben, mittels des sogenannten Skimmings die Karten von zutrittsberechtigten Kunden sowohl beim Eingang zum Diskretraum als auch beim Terminal des unmittelbaren Schließfachsystems zu kopieren. Dazu wird in den Eingabeschlitz ein von außen nicht sichtbares Kopiermodul eingebaut, welches die Informationen des Magnetstreifens sukzessive aufzeichnet und dann von den Tätern ausgelesen wird, um 1:1 Kopien anzulegen.
Die zu den Karten gehörenden PIN-Codes wurden sodann offenbar durch versteckt installierte kleine Kameras abgefilmt, als die späteren Opfer auf ihre Fächer zugegriffen haben. Kurz vor dem Zugriff auf die Schließfächer am 13. November 2020 haben die Täter alle Installationen abgebaut. Die Überwindung der Zutrittskontrolle sowie der PIN-Hürde wurde so zum leichten Spiel für die Kriminellen. Im Anschluss forderten sie die Schließfächer vom Tresorraum an und öffneten diese zum Teil auch gewaltsam.