Nach Erkenntnissen der Untersuchung des Kriminalwissenschaftlichen und -technischen Institutes des LKA handelte es sich um eine voll funktionsfähige Kofferbombe. Die Sprengvorrichtung kann rekonstruiert und experimentell ihre Wirkungsweise sowie mögliche Auswirkungen festgestellt werden. Damit ist eine Tötungsabsicht nachgewiesen. Am Tattag war der Reiseverkehr wegen des bevorstehenden Pfingstfestes besonders hoch. Der Koffer befand sich ca. sechs Stunden auf dem Bahnsteig.
Einer der Schwerpunkte zur Ermittlung des Täters liegt auf der Herkunft der Einzelkomponenten der Bombe: u. a. Schnellkochtopf, Sprengschnur, Zünder, Sprengstoffbrocken, Konservengläser mit brennbarer Flüssigkeit, Schottersteine … Bis hin zum verwendeten Klebeband reicht die akribische Spurenverfolgung. Im Ergebnis können regionale Bezüge festgestellt werden – insbesondere das Vorkommen, der Abbau oder der Vertrieb der Gesteine Serpentinit, Quarzit sowie Phyllit.
Beim Bundeskriminalamt in Wiesbaden erfolgt eine Recherche in der Falldatei Sonderkennung P (Waffen- und Sprengstoffkriminalität). Sie führt zu 102 Tatverdächtigen. Schließlich kann eine Person festgestellt werden, deren Wohnort sich im 30-Kilometer-Umkreis des Quarzitvertriebs sowie im Bereich des Vorkommens an Phyllit und der Verkaufsregion von Serpentinit befindet.
Eine Zeugenaussage bestätigt zudem den unmittelbareren Zusammenhang mit einem weiteren Ermittlungsverfahren: einer Erpressung der Deutschen Bank.