Gestohlene Kryptowährungen verfolgen – was bedeutet das und wie lässt sich ein Krypto-Diebstahl nachvollziehen?

Wer feststellt, dass Kryptowährungen ohne eigene Zustimmung von einer Wallet übertragen wurden, steht häufig zunächst vor einem scheinbaren Widerspruch: Die Coins sind nicht mehr auf der eigenen Wallet, gleichzeitig ist aber zu sehen, dass die Transaktion tatsächlich stattgefunden hat. Anders als bei einer bloßen Anzeige innerhalb einer Software handelt es sich bei einer Blockchain-Transaktion um einen technisch dokumentierten Vorgang. Bei öffentlichen Blockchains können Transaktionen grundsätzlich nachvollzogen werden. Daraus entsteht nach einem Krypto-Diebstahl ein wichtiger Ansatzpunkt: Gestohlene Kryptowährungen zu verfolgen bedeutet zunächst, den tatsächlichen Weg der digitalen Vermögenswerte anhand der vorhandenen Blockchain-Daten zu rekonstruieren.

Dabei ist allerdings eine wichtige Unterscheidung erforderlich. Eine Kryptowährung zu verfolgen bedeutet zunächst nicht, den Täter zu identifizieren oder die Kryptowährung automatisch zurückzuerhalten. Die Blockchain kann zeigen, von welcher Adresse ein bestimmter Betrag an welche andere Adresse übertragen wurde. Sie liefert aber nicht allein aufgrund einer Wallet-Adresse den Namen, die Anschrift oder sonstige personenbezogene Daten desjenigen, der über diese Adresse verfügt. Die technische Nachverfolgung und die rechtliche Identifizierung einer Person sind deshalb zwei unterschiedliche Aufgaben. Gerade für Geschädigte ist diese Unterscheidung entscheidend, weil eine erfolgreiche Blockchainanalyse zwar wertvolle Spuren liefern kann, aber keine Garantie für eine spätere Vermögensrückgewinnung darstellt.

Ausgangspunkt einer Untersuchung ist deshalb nicht die Frage, ob eine Wallet „anonym“ ist, sondern welche konkrete Transaktion stattgefunden hat. Wer gestohlene Kryptowährungen verfolgen möchte, sollte möglichst früh sämtliche verfügbaren Transaktionsdaten sichern. Besonders wichtig sind die Wallet-Adresse, an die die Kryptowährungen übertragen wurden, der Transaktions-Hash beziehungsweise die Transaktions-ID, die Höhe des übertragenen Betrags, das verwendete Blockchain-Netzwerk sowie Datum und Zeitpunkt der Übertragung. Bei mehreren Transaktionen sollte jede einzelne Zahlung gesondert dokumentiert werden. Je genauer der Ausgangspunkt feststeht, desto leichter lässt sich später nachvollziehen, welche weiteren Transaktionen mit den Vermögenswerten verbunden sind.

Der Transaktions-Hash, häufig als TxHash oder TXID bezeichnet, ist dabei besonders wichtig. Er dient als eindeutige Kennung einer konkreten Blockchain-Transaktion. Über entsprechende Blockchain-Daten lassen sich unter anderem die beteiligten Adressen, der übertragene Betrag und weitere technische Informationen zur Transaktion nachvollziehen. Für die spätere Untersuchung sollte deshalb nicht nur ein Screenshot gespeichert werden. Sinnvoll ist es, die tatsächliche Transaktions-ID und die vollständige Wallet-Adresse unverändert zu dokumentieren. Ein Screenshot kann zusätzlich hilfreich sein, sollte aber nicht die einzige vorhandene Informationsquelle bleiben.

Das ist insbesondere dann relevant, wenn der Diebstahl zunächst nur anhand einer Wallet-App festgestellt wurde. Die App zeigt möglicherweise an, dass sich der Kontostand plötzlich verändert hat. Für die eigentliche Nachverfolgung ist jedoch entscheidend, welche konkrete Blockchain-Transaktion den Abfluss verursacht hat. Erst anhand dieser Transaktion lässt sich feststellen, wohin die Kryptowährungen tatsächlich übertragen wurden. Bei einem komplexeren Sachverhalt können mehrere Transaktionen erforderlich sein, um den vollständigen Ablauf zu rekonstruieren.

Ein typisches Beispiel verdeutlicht den Unterschied: Angenommen, auf einer Wallet befanden sich 30.000 Euro Gegenwert in Bitcoin. Der Eigentümer stellt fest, dass die Bitcoin ohne seine Zustimmung an eine unbekannte Adresse übertragen wurden. Die erste Frage lautet dann nicht, wer diese Adresse besitzt. Zunächst muss festgestellt werden, welche Transaktion den Abfluss ausgelöst hat. Anschließend kann untersucht werden, ob die Bitcoin auf dieser ersten Empfängeradresse verblieben oder von dort unmittelbar weitertransferiert wurden. Werden die Vermögenswerte weitergeleitet, beginnt eine Transaktionskette, die Schritt für Schritt analysiert werden kann.

Bei öffentlichen Blockchains können solche weiteren Bewegungen grundsätzlich sichtbar bleiben. Die erste Empfängeradresse kann beispielsweise einen Teil der Kryptowährungen an eine zweite Adresse übertragen. Von dort kann eine weitere Übertragung an eine dritte Adresse erfolgen. Ebenso können Beträge auf mehrere Wallets verteilt oder später wieder zusammengeführt werden. Dadurch entsteht ein Transaktionsgraph, der erheblich komplexer sein kann als die ursprüngliche Übertragung. Eine professionelle Analyse beschränkt sich deshalb nicht darauf, die erste Zieladresse zu betrachten. Entscheidend ist vielmehr die Frage, welchen Weg die Vermögenswerte anschließend genommen haben.

Für Betroffene ist dabei wichtig, zwischen einer Wallet-Adresse und einer Person zu unterscheiden. Eine Blockchain-Adresse ist zunächst eine technische Kennung. Wer eine solche Adresse kennt, kann unter Umständen deren Transaktionshistorie untersuchen. Daraus folgt jedoch nicht automatisch, wem die Adresse rechtlich oder wirtschaftlich zuzuordnen ist. Genau hier liegt eine der wesentlichen Grenzen des sogenannten Wallet-Trackings. Die Blockchain macht bestimmte Bewegungen transparent, aber die Verbindung zwischen einer Adresse und einer realen Person muss gegebenenfalls über weitere Informationen hergestellt werden.

Ein möglicher Anknüpfungspunkt kann entstehen, wenn die gestohlenen Kryptowährungen im weiteren Verlauf bei einem zentralisierten Kryptodienstleister eingehen. Eine solche Stelle kann für die weitere Untersuchung interessant sein, weil der Dienstleister möglicherweise über Informationen zu dem betreffenden Kundenkonto verfügt. Ob und unter welchen Voraussetzungen solche Informationen zugänglich gemacht oder rechtlich verwertet werden können, ist allerdings eine eigene rechtliche Frage. Eine Wallet-Adresse allein darf daher nicht vorschnell mit einer bestimmten Person gleichgesetzt werden.

Besonders wichtig ist außerdem die Unterscheidung zwischen echten Blockchain-Vermögenswerten und lediglich angezeigten Guthaben. Das spielt vor allem bei Fällen eine Rolle, in denen der Krypto-Diebstahl im Zusammenhang mit einer vermeintlichen Tradingplattform oder einem angeblichen Investmentanbieter steht. Auf einer solchen Plattform kann beispielsweise ein Guthaben von 100.000 Euro oder eine bestimmte Anzahl an Bitcoin angezeigt werden. Diese Anzeige beweist für sich genommen nicht, dass sich die entsprechende Menge an Kryptowährungen tatsächlich auf einer kontrollierten Blockchain-Adresse befindet. Bei betrügerischen Plattformen können Kontostände, Gewinne und angebliche Transaktionen lediglich innerhalb der Benutzeroberfläche dargestellt werden.

Für die Nachverfolgung ist deshalb entscheidend, was tatsächlich auf der Blockchain passiert ist. Hat der Betroffene beispielsweise Bitcoin von seiner eigenen Kryptobörse auf eine ihm genannte externe Adresse übertragen, lässt sich diese reale Übertragung grundsätzlich anhand der Blockchain-Daten untersuchen. Ein anschließend auf einer Tradingplattform angezeigter Gewinn ist dagegen nicht automatisch eine weitere Blockchain-Transaktion. Wer gestohlene Kryptowährungen verfolgen möchte, sollte daher zunächst die tatsächlichen Zahlungsbewegungen von den bloßen Darstellungen einer Internetplattform trennen.

Das kann die Aufklärung eines Sachverhalts erheblich verändern. Ein Betroffener kann beispielsweise davon ausgehen, dass er 80.000 Euro in Bitcoin auf einer Tradingplattform besitzt, weil ihm dies nach mehreren Einzahlungen angezeigt wird. Tatsächlich hat er möglicherweise nur 20.000 Euro in Kryptowährungen an eine fremde Wallet übertragen. Die angeblichen weiteren 60.000 Euro existieren unter Umständen nur innerhalb des manipulierten Systems. Eine Blockchainanalyse sollte sich dann zunächst auf die tatsächlich erfolgten Transaktionen konzentrieren. Das kann auch helfen, den finanziellen Schaden und den tatsächlichen Ablauf des Geschehens präziser zu bestimmen.

Bei einem Krypto-Diebstahl können verschiedene Ausgangssituationen vorkommen. In einem Fall wurde eine Wallet kompromittiert und die darin befindlichen Kryptowährungen ohne Zustimmung übertragen. In einem anderen Fall wurde die Seed Phrase abgefangen und anschließend für den Zugriff auf die Wallet verwendet. Möglich ist auch, dass ein Betroffener durch Täuschung selbst eine Transaktion bestätigt hat, etwa weil ihm eine vermeintliche Support-Mitarbeiterin, ein angeblicher Broker oder eine andere Person eine bestimmte Übertragung als notwendig dargestellt hat. Technisch kann in allen Fällen eine Blockchaintransaktion vorhanden sein. Rechtlich und forensisch unterscheiden sich die Sachverhalte jedoch erheblich.

Gerade deshalb sollte die technische Transaktion immer mit dem tatsächlichen Ablauf der Kommunikation verbunden werden. Wer hat die Übertragung veranlasst? Wurde eine bestimmte Wallet-Adresse per E-Mail, Messenger oder telefonisch mitgeteilt? Wurde eine Transaktion angeblich zur Verifizierung einer Wallet verlangt? Wurde der Betroffene unter Zeitdruck gesetzt? Wurde behauptet, eine Übertragung sei notwendig, um einen Gewinn auszuzahlen? Oder wurde die Transaktion überhaupt nicht vom Betroffenen autorisiert? Solche Informationen können für die spätere Einordnung des Vorgangs von erheblicher Bedeutung sein.

Die Wallet-Adresse selbst sollte deshalb nicht isoliert betrachtet werden. Sie bildet vielmehr einen Bestandteil einer größeren Beweiskette. Zu dieser Beweiskette können beispielsweise Kontoauszüge, Kaufbelege für Kryptowährungen, Daten der verwendeten Kryptobörse, Wallet-Adressen, Transaktions-Hashes, Screenshots, E-Mails und Chatverläufe gehören. Auch Telefonnummern, Benutzernamen, Domains und Namen angeblicher Ansprechpartner können relevant sein. Bei einem technischen Diebstahl können zusätzlich Informationen über den verwendeten Rechner oder das Smartphone und über verdächtige Zugriffe eine Rolle spielen. Welche Daten im Einzelfall benötigt werden, hängt davon ab, wie die Kryptowährungen abhandengekommen sind.

Besonders problematisch ist es, wenn Betroffene nach dem Diebstahl nur noch Screenshots besitzen. Ein Bild mit einer Wallet-Adresse kann zwar einen wichtigen Hinweis darstellen. Für die eigentliche Transaktionsanalyse ist jedoch regelmäßig die exakte Adresse und insbesondere der konkrete Transaktions-Hash wesentlich hilfreicher. Bei größeren Verlusten sollte deshalb möglichst nicht nur ein Screenshot des Wallet-Bildschirms aufbewahrt werden. Die zugrunde liegenden Transaktionsdaten sollten ebenfalls gesichert werden.

Auch der Zeitpunkt der Feststellung sollte dokumentiert werden. Wenn ein Betroffener am Montag feststellt, dass eine Wallet leergeräumt wurde, sollte möglichst festgehalten werden, wann der Verlust bemerkt wurde und welche Transaktionen seitdem sichtbar sind. Bei einem komplexen Fall kann eine chronologische Übersicht später helfen, die einzelnen Bewegungen voneinander abzugrenzen. Sinnvoll kann beispielsweise eine Tabelle sein, in der für jede Transaktion Datum, Netzwerk, Kryptowährung, Betrag, Ausgangsadresse, Zieladresse und TxHash erfasst werden. Dadurch wird aus einer Vielzahl technischer Zeichenfolgen ein nachvollziehbarer Transaktionsverlauf.

Gerade bei mehreren Kryptowährungen oder verschiedenen Netzwerken darf außerdem nicht davon ausgegangen werden, dass jede Transaktion nach demselben Schema funktioniert. Bitcoin, Ethereum und andere Netzwerke haben unterschiedliche technische Strukturen. Auch Token können auf unterschiedlichen Netzwerken existieren. Deshalb ist die Angabe des verwendeten Netzwerks ein wichtiger Bestandteil der Dokumentation. Eine Wallet-Adresse ohne die Information, auf welchem Netzwerk die betreffende Transaktion stattgefunden hat, kann in bestimmten Konstellationen zu Fehlzuordnungen führen.

Ein weiterer Punkt betrifft die zeitliche Entwicklung der Transaktionskette. Nach einem Diebstahl können Vermögenswerte relativ schnell weitertransferiert werden. Die erste Zieladresse muss deshalb nicht zwangsläufig der Ort sein, an dem die Kryptowährungen längere Zeit verbleiben. Sie kann lediglich eine Zwischenstation darstellen. Für eine belastbare Untersuchung reicht es daher häufig nicht, nur zu prüfen, ob die gestohlenen Coins noch auf der ersten Empfängeradresse liegen. Vielmehr muss untersucht werden, welche weiteren Transaktionen danach stattgefunden haben.

Dabei können sich verschiedene Muster ergeben. Die Kryptowährungen können vollständig an eine weitere Adresse übertragen werden. Sie können auf mehrere Adressen aufgeteilt werden. Ein Teil kann auf der ursprünglichen Adresse verbleiben, während ein anderer Teil weitergeleitet wird. Ebenso können verschiedene Beträge zu einem späteren Zeitpunkt wieder zusammengeführt werden. Bei umfangreichen Transaktionsketten kann es dadurch schwierig werden, den Zusammenhang zwischen einzelnen Bewegungen allein anhand einer oberflächlichen Betrachtung zu beurteilen. Genau hier setzt eine detaillierte Blockchain- beziehungsweise Walletanalyse an.

Bei der Verfolgung gestohlener Kryptowährungen sollte außerdem berücksichtigt werden, dass nicht jede Bewegung automatisch eine neue Täter-Wallet darstellt. Eine Adresse kann beispielsweise zu einem Dienstleister gehören oder Teil einer größeren technischen Struktur sein. Umgekehrt kann eine einzige Person über mehrere Adressen verfügen. Deshalb ist es methodisch problematisch, aus jeder neuen Adresse unmittelbar auf einen neuen Beteiligten zu schließen. Die technische Transaktionskette muss vielmehr im Zusammenhang mit weiteren Informationen bewertet werden.

Für Geschädigte bedeutet das: Das Ziel einer ersten Untersuchung sollte nicht darin bestehen, möglichst schnell irgendeinen Namen hinter einer Wallet zu finden. Ziel sollte zunächst eine möglichst genaue Rekonstruktion des tatsächlichen Vermögensflusses sein. Erst wenn feststeht, welche Kryptowährungen wann von welcher Adresse an welche weiteren Adressen transferiert wurden, lässt sich sinnvoll prüfen, ob sich daraus weitere Ermittlungs- oder rechtliche Anknüpfungspunkte ergeben.

Das ist auch deshalb wichtig, weil eine Blockchainanalyse nicht mit einer Rückholung gleichgesetzt werden darf. Selbst wenn sich eindeutig feststellen lässt, dass eine bestimmte Menge Bitcoin oder anderer Kryptowährungen auf eine bestimmte Adresse übertragen wurde, bedeutet dies nicht, dass ein Zugriff auf diese Adresse besteht. Die Blockchain dokumentiert den Vermögensfluss; sie schafft aber nicht automatisch eine technische Möglichkeit, eine fremde Wallet zu kontrollieren. Wer daher nach einem Krypto-Diebstahl mit dem Versprechen konfrontiert wird, die Coins könnten allein aufgrund einer gefundenen Wallet-Adresse sofort „freigeschaltet“ oder zurückübertragen werden, sollte besonders vorsichtig sein.

Das gilt insbesondere für sogenannte Recovery-Angebote. Nach einem Krypto-Betrug können Betroffene erneut kontaktiert werden. Eine unbekannte Person behauptet möglicherweise, sie habe die gestohlenen Kryptowährungen bereits gefunden. Anschließend wird eine Zahlung für eine angebliche Freigabe, Steuer, Sicherheitsleistung, Blockchain-Gebühr oder Verifizierung verlangt. Eine tatsächlich nachvollziehbare Blockchaintransaktion und die Behauptung eines Dritten, Zugriff auf die dort befindlichen Vermögenswerte zu haben, sind jedoch zwei völlig verschiedene Dinge. Eine Analyse der Blockchain kann zeigen, wohin Kryptowährungen bewegt wurden. Daraus folgt nicht automatisch, dass derjenige, der die Analyse anbietet, über die Coins verfügen kann.

Betroffene sollten deshalb keine Seed Phrase, keinen Private Key und keine Zugangsdaten zu einer Wallet an unbekannte Personen weitergeben. Auch die Installation einer Fernwartungssoftware sollte nicht allein auf Aufforderung eines vermeintlichen Helfers erfolgen. Wer bereits Opfer eines Krypto-Diebstahls geworden ist, sollte vermeiden, durch eine weitere Zahlung einen zweiten finanziellen Schaden zu verursachen. Die technische Nachverfolgung sollte auf überprüfbaren Blockchain-Daten beruhen und nicht auf bloßen Behauptungen eines angeblichen Recovery-Dienstleisters.

Für die rechtliche Bewertung ist wiederum entscheidend, wie die Kryptowährungen abhandengekommen sind. Wurde eine Wallet tatsächlich unbefugt übernommen, stellen sich andere Fragen als bei einer vom Betroffenen selbst ausgeführten, aber durch Täuschung veranlassten Transaktion. Wurde die Seed Phrase gestohlen, kann die technische Untersuchung anders ansetzen als bei einem Fall, in dem ein Betroffener eine Übertragung aufgrund einer falschen Investmentberatung vorgenommen hat. Ebenso kann eine andere Bewertung erforderlich sein, wenn Kryptowährungen zunächst über eine reguläre Kryptobörse erworben und anschließend an eine vom angeblichen Broker vorgegebene Wallet gesendet wurden.

In jedem dieser Fälle kann die Blockchain jedoch einen wichtigen Teil der Rekonstruktion liefern. Sie kann helfen, den tatsächlichen Zahlungsweg von der Ausgangsadresse über weitere Stationen nachzuvollziehen. Je nach Fall können dabei auch Kryptodienstleister oder andere identifizierbare Strukturen im weiteren Transaktionsverlauf sichtbar werden. Solche Erkenntnisse können anschließend mit den außerhalb der Blockchain vorhandenen Informationen abgeglichen werden. Genau aus dieser Verbindung von On-Chain-Daten und weiteren Beweismitteln kann sich ein belastbareres Gesamtbild ergeben.

Wer gestohlene Kryptowährungen verfolgen möchte, sollte deshalb möglichst früh eine vollständige Datensicherung vornehmen. Dazu gehören insbesondere die eigene Wallet-Adresse, die Zieladresse, die TxHash beziehungsweise TXID, das verwendete Netzwerk, die Kryptowährung und der genaue Betrag. Hinzu kommen alle Unterlagen, aus denen hervorgeht, wie es zu der Übertragung kam. Wurde eine Wallet-Adresse von einer anderen Person übermittelt, sollte auch die entsprechende Nachricht gesichert werden. Bei einem angeblichen Investmentgeschäft können außerdem Vertragsunterlagen, E-Mails, Chatverläufe, Kontoauszüge und Zahlungsbelege wichtig sein.

Aus diesen Informationen lässt sich anschließend eine chronologische Transaktionsübersicht erstellen. Eine solche Übersicht sollte möglichst zwischen tatsächlichen Blockchain-Transaktionen und bloßen Angaben einer Plattform unterscheiden. Gerade diese Trennung kann bei Fällen mit angeblichen Tradinggewinnen entscheidend sein. Der auf einer Website dargestellte Kontostand und der auf der Blockchain nachweisbare Vermögensfluss müssen nicht übereinstimmen.

Die Frage „Kann man gestohlene Kryptowährungen verfolgen?“ lässt sich deshalb grundsätzlich mit einem differenzierten Ja beantworten. Bei öffentlich nachvollziehbaren Blockchains können reale Transaktionen häufig technisch untersucht und weitere Bewegungen nachvollzogen werden. Das bedeutet jedoch nicht, dass jede Wallet automatisch einer Person zugeordnet werden kann. Ebenso bedeutet eine erfolgreiche Transaktionsverfolgung nicht automatisch, dass die Kryptowährungen zurückerlangt werden können. Entscheidend ist vielmehr, welche Spuren die Vermögenswerte hinterlassen haben, ob sich im weiteren Verlauf identifizierbare Anknüpfungspunkte ergeben und welche rechtlichen Möglichkeiten sich daraus im konkreten Fall ergeben.

Gerade bei einem größeren Schaden sollte daher nicht bei der bloßen Feststellung „Die Kryptowährungen sind auf eine fremde Wallet gegangen“ stehen geblieben werden. Sinnvoll ist eine strukturierte Rekonstruktion des gesamten Vorgangs: Welche Vermögenswerte waren ursprünglich vorhanden? Welche Transaktion führte zum Verlust? Welche Zieladresse erhielt die Kryptowährungen? Welche weiteren Transaktionen folgten? Welche Dienstleister oder Börsen tauchen im weiteren Verlauf auf? Und welche Informationen außerhalb der Blockchain können den Transaktionsweg mit dem tatsächlichen Geschehen verbinden?

Damit wird deutlich, was das Verfolgen gestohlener Kryptowährungen tatsächlich bedeutet. Es geht nicht lediglich darum, eine Wallet-Adresse in einen Blockchain-Explorer einzugeben. Eine belastbare Untersuchung verbindet die konkrete Ausgangstransaktion mit der weiteren Transaktionshistorie, berücksichtigt die technischen Besonderheiten des jeweiligen Netzwerks und trennt sauber zwischen sichtbaren Blockchain-Daten und der Frage nach der Identität eines Beteiligten. Erst auf dieser Grundlage lässt sich beurteilen, welche weiteren technischen und rechtlichen Schritte im konkreten Fall sinnvoll sein können.

Gestohlene Kryptowährungen verfolgen – wie Blockchainanalyse und Wallet-Tracking funktionieren

Wer nach einem Krypto-Diebstahl wissen möchte, wohin die eigenen Vermögenswerte gelangt sind, stößt schnell auf Begriffe wie Blockchainanalyse, Wallet-Tracking oder Transaktionsverfolgung. Diese Begriffe beschreiben unterschiedliche Aspekte derselben grundlegenden Untersuchung: Es soll nachvollzogen werden, welche Transaktionen nach einem unberechtigten oder durch Täuschung verursachten Abfluss stattgefunden haben und welchen Weg die Kryptowährungen anschließend genommen haben. Die technische Grundlage dafür bildet die jeweilige Blockchain.

Eine Blockchain ist vereinfacht gesagt ein öffentlich beziehungsweise je nach Netzwerk unterschiedlich zugängliches Register von Transaktionen. Bei öffentlichen Blockchains werden bestätigte Transaktionen dauerhaft dokumentiert. Dadurch kann ein Betroffener oder ein mit der Untersuchung beauftragter Fachmann nachvollziehen, dass eine bestimmte Menge einer Kryptowährung von einer Adresse zu einer anderen übertragen wurde. Die Blockchain enthält dabei jedoch nicht automatisch die Identität der dahinterstehenden Person. Sie dokumentiert in erster Linie technische Vorgänge.

Genau diese Eigenschaft macht Blockchainanalysen nach einem Krypto-Diebstahl zugleich wertvoll und anspruchsvoll. Einerseits hinterlassen Kryptowährungen auf einer öffentlichen Blockchain eine nachvollziehbare Spur. Andererseits besteht diese Spur zunächst aus Adressen, Transaktionsdaten und weiteren technischen Informationen. Die eigentliche Herausforderung besteht darin, aus diesen Daten einen nachvollziehbaren Vermögensfluss zu rekonstruieren und anschließend zu prüfen, ob sich daraus konkrete Anknüpfungspunkte zu Personen, Kryptobörsen oder anderen Dienstleistern ergeben.

Am Anfang einer solchen Untersuchung steht deshalb regelmäßig eine konkrete Ausgangstransaktion. Idealerweise liegen die vollständige Ausgangsadresse, die Zieladresse, der Transaktions-Hash, das verwendete Netzwerk, der übertragene Vermögenswert und der Zeitpunkt der Transaktion vor. Diese Daten sollten unverändert dokumentiert werden. Bereits kleine Ungenauigkeiten können die spätere Suche erschweren, insbesondere wenn mehrere Transaktionen mit ähnlichen Beträgen oder mehrere Wallets betroffen sind.

Der Transaktions-Hash ist für die technische Untersuchung von besonderer Bedeutung. Er kennzeichnet eine bestimmte Transaktion und ermöglicht es, den jeweiligen Blockchain-Vorgang eindeutig zuzuordnen. Je nach Netzwerk lassen sich über einen geeigneten Blockchain-Explorer weitere Angaben abrufen, beispielsweise beteiligte Adressen, übertragenen Betrag, Blockinformationen und den Status der Transaktion. Bei einem Krypto-Diebstahl sollte der Hash daher nicht lediglich als Teil eines Screenshots aufbewahrt werden. Er sollte als eigenständige Information dokumentiert und zusammen mit den übrigen Beweismitteln gesichert werden.

Die Untersuchung beginnt anschließend mit der Frage, was unmittelbar nach der ersten verdächtigen Transaktion geschah. Befinden sich die Kryptowährungen noch auf der ersten Empfängeradresse? Wurden sie vollständig weitertransferiert? Wurde nur ein Teilbetrag verschoben? Wurden die Vermögenswerte auf mehrere Adressen verteilt? Oder wurden verschiedene Beträge später wieder auf einer anderen Adresse zusammengeführt? Die Antworten auf diese Fragen bestimmen den weiteren Verlauf der Analyse.

Bei einem einfachen Fall kann die Transaktionskette relativ übersichtlich sein. Beispielhaft kann eine Wallet A Kryptowährungen an Wallet B übertragen. Wallet B überträgt den Betrag kurze Zeit später an Wallet C. Wallet C sendet ihn anschließend an Wallet D. In einem solchen Fall lässt sich der Weg grundsätzlich Schritt für Schritt nachvollziehen. Schwieriger wird es, wenn eine Adresse zahlreiche weitere Transaktionen aufweist oder die Vermögenswerte auf mehrere Adressen verteilt werden.

Bei der sogenannten Multi-Hop-Analyse wird deshalb nicht nur die erste Zieladresse betrachtet. Vielmehr wird der weitere Weg über mehrere Transaktionsschritte untersucht. Der Begriff „Hop“ bezeichnet dabei vereinfacht einen weiteren Schritt innerhalb der Transaktionskette. Aus einer ersten Übertragung können sich zahlreiche Folgebewegungen entwickeln. Eine professionelle Untersuchung muss deshalb zwischen den einzelnen Transaktionen unterscheiden und prüfen, welche Bewegungen tatsächlich mit den ursprünglich gestohlenen Kryptowährungen in Verbindung stehen.

Dabei ist eine bloße zeitliche Nähe noch kein ausreichender Beleg für einen Zusammenhang. Wenn eine Wallet beispielsweise kurz nach dem Eingang gestohlener Kryptowährungen zahlreiche andere Transaktionen durchführt, muss geprüft werden, welche konkreten Beträge tatsächlich weitergeleitet wurden. Bei komplexeren Wallet-Strukturen kann es deshalb erforderlich sein, Transaktionswerte, Zeitpunkte, Adressen und weitere technische Merkmale gemeinsam zu betrachten. Eine oberflächliche Betrachtung kann dagegen zu falschen Zuordnungen führen.

Besonders relevant ist die Frage, ob der vollständige Betrag weitertransferiert wurde. Ein Dieb oder eine betrügerische Organisation kann Kryptowährungen beispielsweise aufteilen. Ein Teil wird an eine Adresse übertragen, ein anderer Teil an eine weitere Adresse. Später können die Teilbeträge erneut zusammengeführt werden. Dadurch entsteht kein einfacher linearer Zahlungsweg, sondern eine verzweigte Struktur. Für die Nachverfolgung gestohlener Kryptowährungen müssen solche Verzweigungen berücksichtigt werden.

Umgekehrt können auch mehrere ursprüngliche Eingänge in einer späteren Transaktion zusammenlaufen. Eine Zieladresse kann bereits zuvor Kryptowährungen aus anderen Quellen erhalten haben. Wenn anschließend ein Gesamtbetrag weitertransferiert wird, lässt sich nicht allein aus der Höhe dieser Ausgangstransaktion ableiten, welcher Teil aus dem ursprünglichen Diebstahl stammt. Die Zuordnung erfordert eine genaue Betrachtung des jeweiligen Transaktionsverlaufs.

Diese Problematik zeigt, weshalb Blockchainanalyse mehr ist als das einfache Aufrufen einer Wallet-Adresse. Ein Blockchain-Explorer kann technische Daten sichtbar machen. Die fachliche Aufgabe besteht jedoch darin, diese Daten korrekt zu interpretieren. Insbesondere bei größeren Schäden oder umfangreichen Transaktionsketten sollte daher zwischen der technischen Datenerfassung und einer professionellen Analyse unterschieden werden.

Eine weitere wichtige Frage betrifft das verwendete Blockchain-Netzwerk. Nicht jede Kryptowährung bewegt sich auf derselben technischen Infrastruktur. Bitcoin-Transaktionen funktionieren beispielsweise anders als Transaktionen auf Ethereum oder auf anderen Netzwerken. Auch Token können auf verschiedenen Netzwerken existieren. Deshalb muss zunächst eindeutig festgestellt werden, welcher Vermögenswert auf welchem Netzwerk übertragen wurde.

Das ist in der Praxis nicht nur eine technische Formalität. Wer eine Transaktion im falschen Netzwerk sucht, kann zu dem Ergebnis kommen, dass keine entsprechende Übertragung existiert. Auch bei Wallet-Adressen muss berücksichtigt werden, dass bestimmte Adressformate in verschiedenen Netzwerken vorkommen können. Für eine korrekte Analyse müssen deshalb Kryptowährung, Netzwerk und konkrete Transaktionsdaten zusammen betrachtet werden.

Hinzu kommt, dass sich bei einem Betrug häufig mehrere Zahlungswege überschneiden. Ein Betroffener kann zunächst Euro an eine Kryptobörse überweisen, dort Kryptowährungen erwerben und diese anschließend an eine fremde Wallet übertragen. Später kann der Empfänger die Kryptowährungen über weitere Adressen an einen Kryptodienstleister transferieren. In einem solchen Fall besteht der Gesamtzahlungsweg aus einem klassischen Zahlungsabschnitt und einem Blockchain-Abschnitt. Für die Aufklärung kann es erforderlich sein, beide Ebenen miteinander zu verbinden.

Die Blockchain zeigt dabei den Krypto-Teil des Vermögensflusses. Kontoauszüge, Überweisungsbelege oder Daten einer Kryptobörse können dagegen Informationen über den davorliegenden Teil liefern. Gerade diese Verbindung kann für die rechtliche Aufarbeitung eines Betrugsfalles wichtig sein. Ein einzelner Transaktions-Hash erklärt nicht, warum die Zahlung erfolgt ist. Erst durch die Verbindung mit E-Mails, Chats, Verträgen oder anderen Unterlagen lässt sich der tatsächliche Sachverhalt rekonstruieren.

Ein weiterer Schwerpunkt des Wallet-Trackings ist die Identifizierung von Adressstrukturen. Dabei wird untersucht, ob eine Adresse möglicherweise zu einer bekannten Kryptobörse, einem Dienstleister oder einer anderen öffentlich beziehungsweise technisch einordenbaren Struktur gehört. Ein solcher Treffer kann einen wichtigen Hinweis darstellen. Er darf allerdings nicht mit einer sicheren Identifizierung des Täters verwechselt werden.

Wenn eine Blockchainanalyse beispielsweise darauf hindeutet, dass Kryptowährungen bei einem zentralisierten Kryptodienstleister eingegangen sind, kann dies eine relevante neue Spur darstellen. Ein solcher Dienstleister kann gegebenenfalls über interne Informationen zu dem betreffenden Kundenkonto verfügen. Welche Informationen vorhanden sind und unter welchen rechtlichen Voraussetzungen darauf zugegriffen werden kann, ist jedoch nicht allein aus der Blockchain ersichtlich.

Die Blockchain kennt grundsätzlich keine Kontonummer im klassischen Sinn. Eine Wallet-Adresse ist nicht ohne Weiteres mit einem Namen verknüpft. Erst zusätzliche Informationen können eine Verbindung zwischen einer technischen Adresse und einer realen Person herstellen. Solche Informationen können beispielsweise aus einer Kryptobörse, einem registrierten Nutzerkonto oder anderen Unterlagen stammen. Die technische Nachverfolgung ist daher häufig der erste Schritt und nicht das Ende der Untersuchung.

Für Betroffene ist diese Unterscheidung besonders wichtig, weil im Internet teilweise mit scheinbar einfachen Lösungen geworben wird. Ein Anbieter behauptet möglicherweise, anhand einer Wallet-Adresse innerhalb kurzer Zeit den Täter identifizieren zu können. Tatsächlich kann eine Blockchainanalyse zwar eine Transaktionskette sichtbar machen, doch die Zuordnung zu einer Person kann zusätzliche Informationen erfordern. Eine seriöse Bewertung sollte deshalb klar zwischen dem unterscheiden, was technisch festgestellt wurde, und dem, was daraus lediglich vermutet werden kann.

Auch die Verwendung mehrerer Wallets stellt eine typische Herausforderung dar. Eine Person oder Organisation kann über zahlreiche Adressen verfügen. Die Verwendung einer neuen Adresse bedeutet nicht zwangsläufig, dass ein neuer Beteiligter hinzugekommen ist. Umgekehrt können mehrere Personen oder Organisationen technische Strukturen gemeinsam nutzen. Deshalb ist die Adresse selbst noch keine ausreichende Grundlage für eine personelle Zuordnung.

Bei einer Blockchainanalyse können deshalb verschiedene technische Merkmale betrachtet werden. Dazu gehören unter anderem die Abfolge der Transaktionen, die jeweiligen Beträge, Zeitpunkte, Eingangs- und Ausgangsadressen sowie die Frage, ob sich wiederkehrende Strukturen erkennen lassen. Je nach Netzwerk können weitere technische Besonderheiten relevant sein. Das konkrete Vorgehen richtet sich daher nach dem jeweiligen Vermögenswert und der verwendeten Blockchain.

Besondere Aufmerksamkeit verdient die Frage, ob die gestohlenen Kryptowährungen nach der ersten Übertragung weiterbewegt werden. Solange eine Transaktion öffentlich nachvollziehbar ist, kann grundsätzlich untersucht werden, was anschließend mit dem betreffenden Vermögenswert geschieht. Das bedeutet aber nicht, dass eine einmal gefundene Spur dauerhaft verfügbar oder ohne weitere Prüfung eindeutig interpretierbar ist. Die Analyse sollte deshalb möglichst zeitnah dokumentiert werden.

Auch die Veränderung des Transaktionsverlaufs kann eine Rolle spielen. Wenn die Kryptowährungen über zahlreiche Zwischenadressen laufen, wird die Untersuchung mit jedem weiteren Schritt komplexer. Gleichzeitig können bestimmte Zwischenstationen neue Informationen liefern. Eine Adresse, die zunächst anonym erscheint, kann beispielsweise später mit einer bekannten Dienstleisterstruktur in Verbindung stehen. Deshalb sollte die Analyse nicht nach der ersten anonym wirkenden Adresse beendet werden.

Bei größeren Transaktionsketten kann es sinnvoll sein, die Ergebnisse grafisch oder tabellarisch aufzubereiten. Eine Tabelle kann beispielsweise die einzelnen Schritte mit Transaktions-Hash, Ausgangsadresse, Zieladresse, Betrag, Datum und Netzwerk erfassen. Bei verzweigten Strukturen kann eine grafische Darstellung helfen, die Beziehungen zwischen den Adressen sichtbar zu machen. Für die spätere rechtliche Bewertung ist eine nachvollziehbare Dokumentation besonders wertvoll, weil sie die technische Analyse für Personen verständlich macht, die nicht täglich mit Blockchain-Daten arbeiten.

Die zeitliche Komponente darf ebenfalls nicht unterschätzt werden. Ein Betroffener sollte nach Feststellung eines Diebstahls nicht zunächst wochenlang abwarten, bevor die Transaktionsdaten gesichert und untersucht werden. Zwar bleiben bestätigte Blockchain-Daten grundsätzlich dokumentiert, doch der praktische Nutzen einer frühen Analyse kann darin liegen, den weiteren Weg der Vermögenswerte zeitnah zu erfassen und relevante Anknüpfungspunkte zu erkennen. Je länger eine Transaktionskette wird, desto umfangreicher kann die Untersuchung werden.

Dabei ist jedoch Vorsicht vor übertriebenen Erwartungen angebracht. Eine Blockchain ist kein Ort, an dem Kryptowährungen wie auf einem Bankkonto eingefroren werden können. Wer die Wallet-Adresse eines Empfängers kennt, besitzt deshalb nicht automatisch Zugriff auf die dort befindlichen Vermögenswerte. Ebenso kann ein Blockchain-Explorer zwar eine Transaktion anzeigen, aber keine Rückübertragung veranlassen. Das technische Tracking und die tatsächliche Verfügung über die Kryptowährungen sind vollständig voneinander zu trennen.

Das gilt auch dann, wenn der aktuelle Standort der Kryptowährungen bekannt ist. Selbst eine eindeutig nachvollziehbare Transaktion bedeutet nicht automatisch, dass eine Rückübertragung technisch möglich ist. Die weitere Vorgehensweise hängt davon ab, wo sich die Vermögenswerte befinden, welche Dienstleister beteiligt sind, welche Informationen zur Zuordnung vorliegen und welche rechtlichen Möglichkeiten im konkreten Sachverhalt bestehen.

Ein weiterer Punkt ist die mögliche Nutzung von Diensten, die Transaktionen technisch verschleiern oder besonders komplexe Zahlungsstrukturen aufweisen. Bei solchen Fällen kann eine einfache lineare Betrachtung an ihre Grenzen stoßen. Die Tatsache, dass ein Transaktionsweg schwer nachvollziehbar ist, bedeutet allerdings nicht automatisch, dass überhaupt keine Analyse möglich ist. Sie bedeutet zunächst, dass die vorhandenen Daten genauer und unter Berücksichtigung der jeweiligen technischen Struktur ausgewertet werden müssen.

Auch sogenannte Mixer oder andere Strukturen, die eine direkte Zuordnung erschweren können, sollten deshalb nicht pauschal mit einem vollständigen Verlust jeder Spur gleichgesetzt werden. Die technische Bewertung hängt vom konkreten Netzwerk, vom verwendeten Dienst und vom tatsächlichen Transaktionsablauf ab. Eine seriöse Analyse sollte weder eine sichere Identifizierung versprechen noch vorschnell behaupten, eine Nachverfolgung sei unmöglich.

Bei einem Diebstahl über eine kompromittierte Wallet können zusätzlich andere Fragen relevant werden. Wenn beispielsweise eine Seed Phrase abgegriffen wurde und anschließend eine unberechtigte Transaktion erfolgte, kann die Blockchain den Zeitpunkt und den Zielort der Übertragung dokumentieren. Für die rechtliche Aufklärung kann daneben wichtig sein, wie die Seed Phrase kompromittiert wurde. Wurde sie auf einer gefälschten Website eingegeben? Wurde ein vermeintlicher Support kontaktiert? Wurde Schadsoftware installiert? Oder wurde die Phrase einer anderen Person mitgeteilt? Die Blockchainanalyse beantwortet diese Fragen nicht allein.

Dasselbe gilt bei einem Betrug, bei dem der Betroffene selbst eine Transaktion ausgelöst hat. Ein solcher Vorgang kann auf der Blockchain technisch genauso wie eine andere Übertragung erscheinen. Ob die Transaktion freiwillig, unter Täuschung oder aufgrund einer falschen Darstellung ausgelöst wurde, ergibt sich nicht aus dem Transaktions-Hash. Für die vollständige Rekonstruktion müssen deshalb die Kommunikations- und Begleitumstände untersucht werden.

Bei einer anwaltlichen Bearbeitung kann diese Verbindung zwischen technischen und rechtlichen Informationen besonders wichtig sein. Der Transaktionsverlauf kann beispielsweise zeigen, dass die Kryptowährungen nicht auf einer angeblichen Investmentplattform verblieben sind, sondern unmittelbar an eine externe Wallet übertragen wurden. Die Kommunikation kann gleichzeitig belegen, welche Person diese Wallet-Adresse übermittelt hat und welche Begründung dafür genannt wurde. Zusammen können diese Informationen ein wesentlich vollständigeres Bild ergeben als die isolierte Betrachtung einer einzelnen Transaktion.

Auch bei einem vermeintlichen Krypto-Investment sollte deshalb genau geprüft werden, welche Transaktionen tatsächlich stattgefunden haben. Wenn eine Plattform einen hohen Kontostand anzeigt, sollte dieser nicht ohne Weiteres als tatsächliches Blockchain-Guthaben behandelt werden. Entscheidend ist, ob die dargestellten Kryptowährungen auf einer nachvollziehbaren Wallet vorhanden waren und ob entsprechende On-Chain-Transaktionen existieren. Gerade bei betrügerischen Plattformen kann diese Prüfung einen wesentlichen Unterschied machen.

Die Nachverfolgung kann außerdem Hinweise auf mehrere beteiligte Strukturen liefern. Wenn beispielsweise ein Teilbetrag an eine bestimmte Kryptobörse gelangt und ein weiterer Teil über andere Adressen weitergeleitet wird, können sich unterschiedliche Ansatzpunkte ergeben. Es muss dann geprüft werden, ob diese Transaktionswege tatsächlich zusammengehören und welche Bedeutung die einzelnen Stationen haben. Eine solche Analyse kann erheblich aufwendiger sein als die Untersuchung einer einzelnen Zahlung.

Für die Beweissicherung ist deshalb eine möglichst vollständige Sammlung der Ausgangsdaten sinnvoll. Dazu gehören nicht nur die gestohlenen Beträge, sondern auch die ursprüngliche Wallet-Adresse, sämtliche bekannten Zieladressen und alle verfügbaren Transaktions-Hashes. Wenn mehrere Kryptowährungen betroffen sind, sollte für jede Kryptowährung und jedes Netzwerk eine eigene Übersicht erstellt werden. Ergänzend sollten die entsprechenden Screenshots und sonstigen Unterlagen aufbewahrt werden.

Besonders hilfreich kann eine chronologische Dokumentation sein. Beispielsweise kann festgehalten werden, wann die Kryptowährung ursprünglich erworben wurde, wann sie in die eigene Wallet gelangte, wann der unberechtigte Abfluss festgestellt wurde, welche Transaktion diesen Abfluss dokumentiert und welche weiteren Bewegungen anschließend festgestellt wurden. Bei einem Betrug sollten zusätzlich die Zeitpunkte wichtiger Nachrichten oder Telefonkontakte dokumentiert werden. Dadurch können Blockchain-Daten später mit dem tatsächlichen Ablauf abgeglichen werden.

Wer gestohlene Kryptowährungen verfolgen möchte, sollte außerdem vermeiden, selbst Veränderungen an der ursprünglichen Beweislage vorzunehmen, wenn dadurch wichtige Informationen verloren gehen könnten. Bei einer kompromittierten Wallet kann zwar eine schnelle Sicherung weiterer Vermögenswerte erforderlich sein, gleichzeitig sollte aber dokumentiert werden, was vor einer solchen Maßnahme festgestellt wurde. Welche konkreten Schritte technisch sinnvoll sind, hängt vom jeweiligen Sicherheitsvorfall ab.

Eine weitere praktische Schwierigkeit entsteht, wenn Betroffene mehrere Wallets oder Börsen verwendet haben. Dann ist zunächst zu klären, welche Wallet zu welchem Zeitpunkt genutzt wurde und welche Transaktion zu welchem Vorgang gehört. Ohne eine solche Zuordnung können selbst richtige Blockchain-Daten falsch interpretiert werden. Eine strukturierte Wallet- und Transaktionsliste schafft hier Übersicht.

Bei der Bewertung einer Blockchainanalyse sollte außerdem zwischen Rohdaten und Analyseergebnis unterschieden werden. Die Rohdaten bestehen beispielsweise aus Transaktions-Hashes und Adressen. Das Analyseergebnis ist die daraus abgeleitete Darstellung des Vermögensflusses. Je komplexer der Fall, desto wichtiger ist es, nachvollziehbar zu dokumentieren, wie aus den Rohdaten die jeweilige Schlussfolgerung entstanden ist. Dies kann später bei der rechtlichen Prüfung oder bei der Auseinandersetzung mit einem Dienstleister eine wichtige Rolle spielen.

Die technische Nachverfolgung gestohlener Kryptowährungen kann damit mehrere Ziele verfolgen. Zunächst geht es um die Feststellung des tatsächlichen Abflusses. Anschließend kann der weitere Vermögensfluss untersucht werden. Danach kann geprüft werden, ob bestimmte Adressen oder Transaktionen mit bekannten Kryptodienstleistern in Verbindung stehen. Erst auf dieser Grundlage stellt sich die weitergehende Frage, ob sich daraus verwertbare Informationen über Beteiligte oder mögliche rechtliche Anspruchsgegner ergeben.

Dabei sollte immer berücksichtigt werden, dass Blockchain-Daten nur einen Teil des Gesamtbildes darstellen. Eine Transaktion kann nachweisen, dass ein bestimmter Betrag von Adresse A nach Adresse B transferiert wurde. Sie erklärt aber nicht automatisch, warum die Transaktion erfolgte, wer die Übertragung veranlasste oder wem die Adresse wirtschaftlich zuzurechnen ist. Diese Fragen müssen mit anderen Beweismitteln beantwortet werden.

Gerade deshalb ist es sinnvoll, bei einem erheblichen Krypto-Schaden nicht nur einzelne Transaktionen isoliert zu betrachten. Eine umfassende Untersuchung sollte den gesamten Zahlungsweg berücksichtigen. Dazu können der ursprüngliche Erwerb der Kryptowährungen, die Übertragung in die eigene Wallet, der unberechtigte Abfluss, sämtliche Folgebewegungen und mögliche Berührungspunkte mit Kryptobörsen gehören. Ergänzend müssen die außerhalb der Blockchain vorhandenen Informationen einbezogen werden.

Das Ergebnis einer Blockchainanalyse sollte daher nicht lediglich aus einer Liste von Wallet-Adressen bestehen. Für die weitere Aufarbeitung ist vielmehr eine nachvollziehbare Darstellung des Vermögensflusses entscheidend. Idealerweise lässt sich erkennen, von welcher Ausgangsadresse die Kryptowährungen abgeflossen sind, welche Zieladressen sie anschließend erreicht haben, welche Beträge an den einzelnen Stationen bewegt wurden und ob sich Hinweise auf weitere relevante Dienstleister ergeben.

Wer gestohlene Kryptowährungen verfolgen will, sollte deshalb insbesondere drei Ebenen auseinanderhalten: die technische Spur auf der Blockchain, die tatsächliche Identität beziehungsweise Zuordnung der beteiligten Personen oder Dienstleister und die rechtlichen Möglichkeiten, die sich aus den gewonnenen Erkenntnissen ergeben. Keine dieser Ebenen ersetzt die andere. Die Blockchainanalyse kann wichtige Informationen liefern, aber sie ist weder automatisch eine Täteridentifizierung noch eine Garantie für eine Rückgewinnung.

Für Betroffene liegt der praktische Nutzen einer sorgfältigen Analyse gerade darin, aus einem zunächst unübersichtlichen Verlust einen dokumentierten Transaktionsverlauf zu machen. Aus der Frage „Meine Kryptowährungen sind verschwunden – wohin sind sie gegangen?“ kann so eine wesentlich präzisere Darstellung entstehen: „Diese Transaktion hat den Abfluss ausgelöst; anschließend wurden die Vermögenswerte über diese Adressen weiterbewegt; an dieser Stelle besteht ein möglicher Bezug zu einem Kryptodienstleister.“ Eine solche Präzisierung kann die weitere rechtliche Bewertung erheblich erleichtern.

Am Ende einer technischen Untersuchung steht deshalb nicht zwingend eine eindeutige Identifizierung des Täters. Schon die zuverlässige Rekonstruktion des Transaktionswegs kann ein wichtiger Erkenntnisgewinn sein. Sie kann zeigen, welche Vermögenswerte tatsächlich übertragen wurden, welche Adressen beteiligt waren und welche weiteren Untersuchungsansätze bestehen. Ob daraus konkrete Ansprüche oder Maßnahmen abgeleitet werden können, muss anschließend anhand des gesamten Sachverhalts geprüft werden.

Wer nach einem Krypto-Diebstahl die vorhandenen Daten sorgfältig sichert, sollte daher insbesondere Wallet-Adressen, Transaktions-Hashes, Netzwerkangaben, Beträge und Zeitpunkte festhalten. Ergänzend sind alle Informationen aufzubewahren, die erklären, wie es zu der Transaktion kam. Je vollständiger diese Unterlagen sind, desto besser lässt sich die technische Blockchain-Spur mit dem tatsächlichen Geschehen verbinden. Genau diese Verbindung bildet die Grundlage für eine fundierte weitere Prüfung.

Gestohlene Kryptowährungen verfolgen – welche Spuren führen zu Kryptobörsen und Zahlungsdienstleistern?

Wenn gestohlene Kryptowährungen nach einer ersten Übertragung weiterbewegt werden, kann die Blockchainanalyse irgendwann an einen Punkt gelangen, an dem nicht mehr nur unbekannte Wallet-Adressen auftauchen. Eine Transaktion kann beispielsweise zu einer Adresse führen, die einer Kryptobörse, einem Broker, einem Zahlungsdienstleister oder einer anderen zentralisierten Infrastruktur zugeordnet werden kann. Für die Aufklärung eines Krypto-Diebstahls kann ein solcher Übergang besonders relevant sein. Denn während eine reine Wallet-Adresse zunächst keine unmittelbare Aussage darüber erlaubt, wer dahintersteht, können zentralisierte Kryptodienstleister unter Umständen zusätzliche Informationen zu ihren Nutzern besitzen.

Das bedeutet allerdings nicht, dass bereits der Fund einer solchen Adresse den Täter identifiziert. Die technische Zuordnung einer Wallet zu einer Kryptobörse ist zunächst ein Hinweis auf den weiteren Weg der Kryptowährungen. Erst die Verbindung mit zusätzlichen Daten kann möglicherweise Aufschluss darüber geben, welchem Kundenkonto oder welcher Person die entsprechende Adresse zugeordnet werden kann. Genau an dieser Stelle treffen technische Blockchainanalyse und rechtliche Aufklärung aufeinander.

Für Betroffene ist deshalb zunächst wichtig, den Begriff „Kryptobörse“ nicht zu eng zu verstehen. Gemeint sein können klassische Handelsplattformen, Krypto-Broker, Verwahrstellen oder andere zentralisierte Kryptodienstleister. Je nach konkreter Infrastruktur können Kryptowährungen zunächst an eine externe Einzahlungsadresse übertragen und anschließend intern einem Nutzerkonto gutgeschrieben werden. Die Blockchain zeigt dann möglicherweise die Einzahlung an den Dienstleister, nicht aber die interne Zuordnung zu einem bestimmten Kundenkonto.

Diese technische Besonderheit erklärt, weshalb eine Transaktion zu einer bekannten Börsenadresse ein wichtiger, aber noch kein abschließender Befund ist. Von außen kann möglicherweise festgestellt werden, dass die gestohlenen Kryptowährungen bei einer bestimmten Infrastruktur eingegangen sind. Ob diese Adresse tatsächlich zum angegebenen Dienstleister gehört und welchem internen Nutzer die Vermögenswerte zugeordnet wurden, kann nur anhand weiterer Informationen geklärt werden.

Bei der Untersuchung eines solchen Zahlungsweges sollte deshalb möglichst genau dokumentiert werden, an welcher Stelle die Transaktionskette auf einen Kryptodienstleister trifft. Relevant sind insbesondere die betreffende Wallet-Adresse, der Transaktions-Hash, der Zeitpunkt des Eingangs und der übertragene Betrag. Wenn sich mehrere Transaktionen auf denselben Dienstleister beziehen, sollten diese ebenfalls erfasst werden. Dadurch kann später geprüft werden, ob die Transaktionen tatsächlich demselben Sachverhalt zuzuordnen sind.

Eine solche Dokumentation ist besonders wichtig, wenn die gestohlenen Kryptowährungen nicht vollständig auf einmal weitertransferiert wurden. Denkbar ist beispielsweise, dass zunächst 5 Bitcoin gestohlen werden und davon 2 Bitcoin an eine bestimmte Adresse übertragen werden. Einige Stunden später könnten weitere 1,5 Bitcoin an eine andere Adresse gelangen. Wenn beide Adressen anschließend mit derselben Kryptobörse in Verbindung stehen, kann dies für die Rekonstruktion des Gesamtvorgangs relevant sein. Die einzelnen Transaktionen sollten jedoch getrennt dokumentiert und anschließend miteinander abgeglichen werden.

Die Analyse kann auch ergeben, dass nur ein Teil der Kryptowährungen bei einem zentralisierten Dienstleister landet. Der verbleibende Teil kann über andere Wallets weitergeleitet werden. In einem solchen Fall existieren möglicherweise mehrere voneinander abweichende Ermittlungsansätze. Ein Teil der Vermögenswerte kann technisch mit einer Börseninfrastruktur verbunden werden, während ein anderer Teil zunächst nur über weitere Blockchain-Adressen nachvollziehbar ist.

Gerade bei größeren Schäden sollte deshalb nicht vorschnell davon ausgegangen werden, dass die gesamte Transaktionskette dieselbe Struktur aufweist. Betrügerische Akteure können Kryptowährungen aufteilen, über mehrere Wallets verschieben oder unterschiedliche Dienstleister nutzen. Die Untersuchung muss daher den tatsächlichen Transaktionsverlauf abbilden und darf nicht allein von der Annahme ausgehen, dass sämtliche Vermögenswerte denselben Weg genommen haben.

Eine besondere Rolle spielt in diesem Zusammenhang die sogenannte KYC-Identifizierung. KYC steht für „Know Your Customer“ und bezeichnet Verfahren, mit denen ein Finanz- oder Kryptodienstleister Kunden identifiziert und bestimmte Angaben überprüft. Welche Daten konkret erhoben werden, hängt unter anderem vom Dienstleister, dem Land, dem Produkt und dem Zeitpunkt der Geschäftsbeziehung ab. Möglich sind beispielsweise Angaben zu Namen, Identität, Wohnsitz oder weiteren Kundendaten.

Für die Blockchain selbst bedeutet KYC jedoch keine nachträgliche Namensanzeige. Die Blockchain bleibt bei ihrer technischen Darstellung. Eine Wallet-Adresse wird nicht plötzlich mit dem Namen des Kunden versehen, nur weil die Adresse einem Dienstleister bekannt ist. Die entscheidende Information liegt vielmehr außerhalb der Blockchain in den Systemen des jeweiligen Dienstleisters.

Daraus ergibt sich eine wichtige Trennung: Die Blockchainanalyse kann feststellen, dass Kryptowährungen eine bestimmte Dienstleisterstruktur erreicht haben. Die KYC-Daten können – sofern sie vorhanden und rechtlich zugänglich sind – möglicherweise die Verbindung zu einem Nutzer herstellen. Die rechtliche Frage wiederum lautet, unter welchen Voraussetzungen diese Informationen erlangt und für weitere Schritte verwendet werden können.

Diese dritte Ebene sollte bei der Bewertung eines Krypto-Diebstahls nicht unterschätzt werden. Ein technisch sauberer Transaktionsnachweis ist besonders wertvoll, wenn er einen konkreten Ansatzpunkt für weitere rechtliche Schritte liefert. Umgekehrt kann eine bloße Behauptung, eine bestimmte Wallet gehöre einer bestimmten Person, ohne nachvollziehbare technische Grundlage wenig belastbar sein.

Auch der Begriff VASP kann in diesem Zusammenhang relevant werden. VASP steht für „Virtual Asset Service Provider“ und bezeichnet allgemein Anbieter bestimmter Dienstleistungen im Zusammenhang mit virtuellen Vermögenswerten. Je nach konkreter Rechtsordnung und Tätigkeit können darunter unterschiedliche Geschäftsmodelle fallen. Für die praktische Untersuchung eines Krypto-Diebstahls ist entscheidend, welche konkrete Funktion ein Dienstleister im Transaktionsweg hatte.

Ein VASP kann beispielsweise eine Handelsplattform, eine Verwahrstelle oder einen anderen Anbieter von Dienstleistungen für virtuelle Vermögenswerte betreiben. Wenn gestohlene Kryptowährungen dort eingehen, kann der Dienstleister möglicherweise über interne Daten verfügen, die auf der Blockchain nicht sichtbar sind. Welche Bedeutung dieser Umstand tatsächlich hat, hängt vom Einzelfall und insbesondere von der konkreten Struktur des Dienstleisters ab.

Bei einer Blockchainanalyse sollte deshalb nicht nur nach dem Namen einer Börse gesucht werden. Vielmehr muss die betreffende Adresse möglichst zuverlässig eingeordnet werden. Eine falsche Zuordnung kann die gesamte weitere Untersuchung in die falsche Richtung lenken. Gerade weil einzelne Adressen nicht immer auf den ersten Blick eindeutig sind, sollten solche Erkenntnisse sorgfältig überprüft werden.

Auch bei bekannten Kryptobörsen können verschiedene Arten von Adressen verwendet werden. Eine Plattform kann zahlreiche Einzahlungsadressen für unterschiedliche Nutzer oder Transaktionen einsetzen. Zusätzlich können interne Sammel- oder Weiterleitungsstrukturen bestehen. Dadurch kann die Blockchainansicht erheblich komplexer sein als ein einfaches Modell „Wallet des Täters → Börse“.

Für die Nachverfolgung bedeutet das, dass der Zeitpunkt eines Börseneingangs und die vorherige Transaktionskette gemeinsam betrachtet werden sollten. Wenn eine Zieladresse unmittelbar nach Erhalt der gestohlenen Kryptowährungen einen Betrag an eine bestimmte Dienstleisteradresse weiterleitet, kann dies einen nachvollziehbaren Zusammenhang ergeben. Wenn dagegen zahlreiche andere Transaktionen dazwischenliegen, muss genauer geprüft werden, welche Vermögenswerte tatsächlich weitergeleitet wurden.

Besonders schwierig können Fälle sein, in denen Kryptowährungen zunächst auf mehrere Adressen verteilt und später wieder zusammengeführt werden. Eine solche Struktur kann die Zuordnung einzelner Teilbeträge erschweren. Sie bedeutet aber nicht automatisch, dass jede Spur verloren ist. Die Untersuchung muss vielmehr die verschiedenen Transaktionspfade parallel betrachten und anschließend prüfen, an welchen Stellen sich diese wieder überschneiden.

Ein weiterer wichtiger Aspekt ist die Unterscheidung zwischen einer Kryptobörse und einer persönlichen Wallet. Eine Börse ist ein Dienstleister. Eine persönliche Wallet ist zunächst lediglich eine technische Möglichkeit, über kryptografische Schlüssel über bestimmte Vermögenswerte zu verfügen. Wird ein Betrag von einer persönlichen Wallet an eine Börsenadresse übertragen, kann sich daraus ein zusätzlicher Anknüpfungspunkt ergeben. Bei einer Übertragung zwischen zwei privaten Wallets fehlen solche zentralen Kundendaten möglicherweise vollständig.

Das macht die Feststellung eines Börsenbezugs nach einem Krypto-Diebstahl besonders interessant. Sie kann die technische Untersuchung von einer reinen Adressanalyse in Richtung einer möglichen Dienstleisterzuordnung erweitern. Allerdings sollte ein solcher Treffer niemals überinterpretiert werden. Es muss weiterhin geprüft werden, ob die konkrete Adresse tatsächlich dem angenommenen Dienstleister zugeordnet werden kann und ob der Transaktionsweg plausibel mit dem ursprünglichen Verlust zusammenhängt.

Für die rechtliche Bewertung kann außerdem relevant sein, in welchem Staat sich der betreffende Dienstleister befindet. Kryptotransaktionen kennen keine nationalen Grenzen. Eine Wallet kann von einem Täter in einem Land kontrolliert werden, während die Kryptowährungen über einen Dienstleister in einem anderen Staat laufen. Der Betroffene kann wiederum in Deutschland wohnen. Dadurch können internationale Bezüge entstehen, die eine rechtliche Bearbeitung komplizierter machen.

Auch hier sollte zwischen technischer Feststellung und rechtlicher Durchsetzung unterschieden werden. Die Blockchain macht keinen Unterschied zwischen nationalen Grenzen. Eine Transaktion kann unabhängig vom Standort der beteiligten Personen nachvollziehbar sein. Die Frage, welche Informationen ein ausländischer Dienstleister herausgeben muss oder unter welchen Voraussetzungen bestimmte Ansprüche durchgesetzt werden können, ist dagegen eine rechtliche Angelegenheit.

Bei einem größeren Krypto-Schaden kann es daher sinnvoll sein, bereits bei der ersten Analyse auf internationale Dienstleisterbezüge zu achten. Eine Transaktion sollte nicht deshalb als wenig relevant eingestuft werden, weil eine Zieladresse zu einem ausländischen Anbieter gehört. Umgekehrt sollte aber auch nicht angenommen werden, dass ein ausländischer Börsenbezug automatisch eine erfolgreiche Identifizierung ermöglicht.

Neben Kryptobörsen können auch andere Dienstleister im Transaktionsverlauf auftauchen. Dazu können beispielsweise Anbieter gehören, die bestimmte Wallet- oder Zahlungsfunktionen bereitstellen. Welche Rolle ein solcher Dienstleister spielt, muss anhand der konkreten Transaktion untersucht werden. Entscheidend ist nicht allein der Name des Unternehmens, sondern die tatsächliche technische Funktion der betreffenden Adresse innerhalb des Zahlungsweges.

Auch die Frage nach sogenannten Einzahlungsadressen kann relevant sein. Wenn eine Börse für Nutzer individuelle Adressen bereitstellt, kann ein direkter Blockchain-Eingang unter Umständen eine genauere Zuordnung ermöglichen als bei einer allgemeinen Sammeladresse. Ob dies tatsächlich der Fall ist, hängt jedoch von der technischen Architektur des jeweiligen Dienstleisters ab. Aus der Blockchain allein lässt sich eine interne Kontozuordnung nicht immer erkennen.

Deshalb sollten Betroffene nach Möglichkeit sämtliche Informationen sichern, die mit der betreffenden Kryptobörse zusammenhängen. Dazu können der Name des Dienstleisters, ein möglicherweise vorhandenes Nutzerkonto, E-Mails, Einzahlungs- oder Auszahlungsbestätigungen, Wallet-Adressen und Transaktions-Hashes gehören. Auch ältere Kontoauszüge oder Kaufbelege können relevant sein, wenn die Kryptowährungen ursprünglich über diesen Dienstleister erworben wurden.

Besonders hilfreich kann es sein, wenn der Betroffene selbst über ein Konto bei einer Kryptobörse verfügt und dort den ursprünglichen Erwerb dokumentieren kann. Dann lässt sich möglicherweise nachvollziehen, wann bestimmte Kryptowährungen gekauft und anschließend an die eigene Wallet übertragen wurden. Die spätere unberechtigte Übertragung kann dadurch in eine nachvollziehbare zeitliche Kette eingeordnet werden. Das kann die Unterscheidung zwischen eigenem Vermögen und späteren Bewegungen erleichtern.

Bei einem Betrugsfall kann die Ausgangslage anders aussehen. Der Betroffene wurde möglicherweise von einem angeblichen Broker dazu aufgefordert, Kryptowährungen zu kaufen und anschließend an eine bestimmte Wallet zu senden. In diesem Fall kann die Blockchain zwar den Transfer nachweisen. Die Frage, wer den Betroffenen zu dieser Zahlung veranlasst hat, ergibt sich dagegen aus der Kommunikation und den übrigen Beweismitteln. Deshalb müssen technische und kommunikative Spuren gemeinsam betrachtet werden.

Eine typische Konstellation kann beispielsweise so aussehen: Ein vermeintlicher Anlageberater kontaktiert eine Person über einen Messenger. Er stellt hohe Gewinne in Aussicht und erklärt, die Kryptowährungen müssten über eine bestimmte Wallet „investiert“ werden. Der Betroffene kauft Bitcoin über eine Kryptobörse und überträgt sie an die genannte Adresse. Danach wird der Betrag an weitere Wallets weitergeleitet und gelangt schließlich zu einem Kryptodienstleister. In diesem Fall können mehrere Informationsquellen zusammengeführt werden: das Gespräch mit dem angeblichen Berater, der Kaufnachweis, die Wallet-Adresse, der Transaktions-Hash und der weitere Blockchain-Verlauf.

Eine solche Rekonstruktion kann deutlich aussagekräftiger sein als die isolierte Frage, ob eine bestimmte Wallet „einem Betrüger gehört“. Die tatsächliche Untersuchung sollte vielmehr feststellen, welche Rolle die einzelnen Stationen im Gesamtgeschehen spielen. Der angebliche Berater kann eine Kommunikationsrolle haben, während die Kryptowährungen über andere technische Strukturen bewegt werden. Ob und wie diese Personen und Strukturen rechtlich zusammenhängen, muss anhand der konkreten Beweislage geprüft werden.

Bei einer zentralisierten Kryptobörse kann sich außerdem die Frage stellen, ob und wann eine interne Transaktion stattgefunden hat. Die Blockchain kann beispielsweise zeigen, dass Kryptowährungen auf eine Einzahlungsadresse gelangt sind. Anschließend kann der Dienstleister die Vermögenswerte intern einem Kundenkonto zugeordnet haben. Eine solche interne Buchung ist nicht zwingend als eigene öffentliche Blockchain-Transaktion sichtbar. Deshalb kann die Blockchainanalyse an einem bestimmten Punkt enden, obwohl der weitere Weg der Kryptowährungen innerhalb des Dienstleisters technisch weiterhin existiert.

Für Betroffene ist das ein wichtiger Hinweis: Wenn eine Blockchainanalyse eine Kryptobörse als Ziel identifiziert, sollte die Untersuchung nicht einfach mit der Feststellung „Die Coins sind bei Börse X“ beendet werden. Vielmehr stellt sich dann die Frage, ob der konkrete Eingang, der Zeitpunkt und der Betrag dokumentiert sind und welche weiteren Informationen erforderlich sind, um die Transaktion einem bestimmten Vorgang zuzuordnen.

Eine anwaltliche Prüfung kann an dieser Stelle insbesondere die Verbindung zwischen den technischen Daten und den rechtlichen Fragestellungen herstellen. Dabei kann zunächst geprüft werden, welche Erkenntnisse die Blockchain tatsächlich liefert. Anschließend kann bewertet werden, welche Informationen über einen identifizierten Dienstleister möglicherweise relevant sind und welche rechtlichen Schritte im konkreten Fall überhaupt in Betracht kommen. Eine solche Prüfung ist von der pauschalen Behauptung zu unterscheiden, ein bestimmter Dienstleister hafte automatisch für den entstandenen Schaden.

Denn die Tatsache, dass eine Kryptobörse in einer Transaktionskette auftaucht, bedeutet nicht automatisch, dass sie für den Krypto-Diebstahl verantwortlich ist. Ein Dienstleister kann eine reine technische oder verwahrende Funktion gehabt haben, ohne selbst an der Täuschung beteiligt gewesen zu sein. Ebenso kann die Frage einer möglichen Verantwortlichkeit davon abhängen, welche Informationen dem Dienstleister vorlagen, welche Vorgänge tatsächlich stattfanden und welche rechtlichen Pflichten im konkreten Sachverhalt bestanden. Pauschale Haftungsannahmen wären daher nicht sachgerecht.

Umgekehrt kann ein Börsenbezug trotzdem erhebliche Bedeutung für die Aufklärung haben. Wenn sich die gestohlenen Kryptowährungen bei einem identifizierbaren Dienstleister befinden oder dort in der Vergangenheit eingegangen sind, kann dies einen konkreten Anknüpfungspunkt für weitere Untersuchungen darstellen. Die Bedeutung liegt dann zunächst in der möglichen Zuordnung der Vermögenswerte und nicht automatisch in einer Haftung des Dienstleisters.

Auch bei einem bereits erfolgten Weitertransfer kann ein solcher Treffer relevant bleiben. Wenn beispielsweise festgestellt wird, dass die Kryptowährungen vor ihrer nächsten Bewegung bei einer Kryptobörse eingegangen sind, kann dieser Zwischenpunkt für die Rekonstruktion des Gesamtflusses wichtig sein. Die Analyse kann dadurch zeigen, dass die Vermögenswerte nicht einfach „verschwunden“ sind, sondern einen bestimmten technischen Weg genommen haben.

Die Frage, ob sich aus diesem Weg konkrete Informationen über eine Person ergeben, hängt wiederum von zusätzlichen Daten ab. Hier können KYC-Unterlagen, Kontoinformationen oder andere interne Daten eines Dienstleisters eine Rolle spielen. Ob solche Informationen verfügbar sind und wie sie rechtlich erlangt werden können, lässt sich nicht allein aus einer Blockchain-Adresse beantworten.

Gerade deshalb sollten Betroffene bei einem Krypto-Diebstahl nicht nur nach der ersten Empfängeradresse suchen. Die weitere Analyse kann ebenso wichtig sein. Eine scheinbar anonyme Adresse kann später mit einer zentralisierten Börse verbunden sein. Eine Börsenadresse kann wiederum weitere Transaktionen aufweisen, die für die Rekonstruktion des Vermögensflusses relevant sind. Der Transaktionsweg sollte daher möglichst vollständig verfolgt werden, soweit dies technisch möglich und für den konkreten Fall sinnvoll ist.

Bei einer umfangreichen Analyse kann es außerdem sinnvoll sein, die verschiedenen Ebenen getrennt zu dokumentieren. Auf der ersten Ebene stehen die bestätigten Blockchain-Daten. Auf der zweiten Ebene werden mögliche Zuordnungen zu Dienstleistern erfasst. Auf der dritten Ebene können Informationen aus Kommunikation, Vertragsunterlagen oder anderen Quellen hinzutreten. Eine solche Trennung verhindert, dass eine bloße Vermutung versehentlich als feststehende Tatsache behandelt wird.

Für eine spätere rechtliche Auseinandersetzung ist diese Genauigkeit besonders wichtig. Ein belastbarer Vortrag sollte beispielsweise klar unterscheiden können zwischen „Die Transaktion ging an diese Wallet-Adresse“ und „Diese Wallet-Adresse wurde einer bestimmten Kryptobörse zugeordnet“. Noch weiter geht die Aussage „Der Dienstleister kann möglicherweise über ein Kundenkonto verfügen, dem die Adresse intern zugeordnet ist“. Jede dieser Aussagen beruht auf einer anderen Informationsgrundlage und muss entsprechend belegt werden.

Das gilt auch für die Identität eines möglichen Täters. Selbst wenn eine Wallet über einen Dienstleister auf ein Nutzerkonto zurückgeführt werden könnte, muss anschließend geprüft werden, welche Person tatsächlich hinter diesem Konto steht und welche Rolle sie im Gesamtgeschehen gespielt hat. Ein Nutzerkonto kann beispielsweise unter falschen oder missbräuchlich verwendeten Identitätsdaten eröffnet worden sein. Auch deshalb ist die KYC-Zuordnung ein wichtiger Ermittlungsansatz, aber kein automatisch endgültiger Identitätsnachweis.

Bei einem Krypto-Diebstahl kann somit ein mehrstufiger Informationsweg entstehen: Ausgangs-Wallet, Ziel-Wallet, weitere Folgeadressen, möglicher Kryptodienstleister, internes Kundenkonto und schließlich möglicherweise eine identifizierbare Person. Je weiter diese Kette reicht, desto mehr zusätzliche Informationen werden benötigt. Die Blockchain bildet dabei das technische Rückgrat der Transaktionsrekonstruktion, während andere Datenquellen für die Zuordnung erforderlich sein können.

Wer gestohlene Kryptowährungen verfolgen möchte, sollte deshalb jeden Hinweis auf einen Kryptodienstleister sorgfältig dokumentieren. Dazu gehört nicht nur der Name einer möglicherweise erkannten Börse. Wichtig sind vor allem die konkrete Adresse, der dazugehörige Transaktions-Hash, die betreffende Kryptowährung, das Netzwerk, der Betrag und der Zeitpunkt. Nur so lässt sich später nachvollziehen, warum eine bestimmte Zuordnung vorgenommen wurde.

Auch kleine Beträge sollten innerhalb einer größeren Transaktionskette nicht ohne Prüfung ignoriert werden. Ein Täter kann Vermögenswerte aufteilen oder unterschiedliche Beträge über verschiedene Adressen bewegen. Bei einer vollständigen Analyse kann deshalb die Betrachtung einzelner Teiltransaktionen erforderlich sein. Ob eine bestimmte Transaktion tatsächlich zum ursprünglichen Schaden gehört, muss anhand der konkreten Daten geprüft werden.

Gleichzeitig sollte nicht jede auffällige Adresse als Beweis für einen Betrug behandelt werden. Eine Wallet kann beispielsweise zu einem legitimen Dienstleister gehören oder von mehreren Nutzern indirekt genutzt werden. Auch große Transaktionsvolumina sind für sich genommen kein Beweis für eine kriminelle Herkunft. Entscheidend ist der konkrete Zusammenhang mit der Transaktion des Geschädigten.

Die technische Nachverfolgung kann damit insbesondere dann wertvoll sein, wenn sie eine Brücke zwischen anonym erscheinenden Wallet-Adressen und einer identifizierbaren Infrastruktur schafft. Ob diese Brücke tatsächlich belastbar ist, muss im Einzelfall geprüft werden. Dabei kommt es auf die Qualität der Blockchain-Daten, die Zuverlässigkeit der Adresszuordnung und die vorhandenen ergänzenden Beweismittel an.

Für Geschädigte bedeutet dies, dass ein Treffer bei einer Kryptobörse durchaus ein wichtiger Schritt sein kann, aber nicht als endgültiges Ergebnis betrachtet werden sollte. Entscheidend ist, was genau nachgewiesen werden kann. Die bloße Feststellung, dass Kryptowährungen irgendwann eine Börsenadresse erreicht haben, beantwortet noch nicht die Fragen nach dem Kontoinhaber, dem ursprünglichen Täter oder einer möglichen rechtlichen Verantwortlichkeit. Sie kann jedoch einen konkreten Ansatzpunkt für die weitere Aufklärung liefern.

Gerade bei hohen Schadenssummen kann deshalb eine strukturierte Blockchain- und Walletanalyse sinnvoll sein. Sie kann helfen, den Vermögensfluss zu rekonstruieren, Folgeadressen zu erfassen und mögliche Berührungspunkte mit Kryptodienstleistern zu identifizieren. Anschließend kann geprüft werden, welche rechtlichen Möglichkeiten sich aus diesen Erkenntnissen ergeben. Eine solche Vorgehensweise ist wesentlich belastbarer als der Versuch, anhand einer einzelnen Wallet-Adresse unmittelbar eine Person zu bestimmen.

Letztlich zeigt sich bei der Verfolgung gestohlener Kryptowährungen besonders deutlich, warum technische und rechtliche Betrachtung zusammengehören. Die Blockchain kann den Weg der Kryptowährungen sichtbar machen. Kryptobörsen und andere Dienstleister können möglicherweise zusätzliche Informationen zur Zuordnung besitzen. KYC-Daten können – sofern vorhanden und rechtlich zugänglich – eine Verbindung zu einem Nutzerkonto ermöglichen. Ob daraus tatsächlich verwertbare Erkenntnisse und Ansprüche entstehen, hängt jedoch vom gesamten Sachverhalt ab.

Wer nach einem Krypto-Diebstahl einen möglichen Börsenbezug entdeckt, sollte deshalb sämtliche technischen Daten unverändert sichern und nicht vorschnell selbst Kontakt zu unbekannten Personen aufnehmen, die eine angebliche Rückgewinnung der Kryptowährungen versprechen. Besonders wichtig ist, zwischen einem nachvollziehbaren Blockchain-Befund und einer bloßen Behauptung zu unterscheiden. Eine seriöse Untersuchung benennt klar, was technisch festgestellt wurde, welche Zuordnungen wahrscheinlich oder möglich sind und welche Fragen noch offenbleiben.

So kann aus einer zunächst anonym wirkenden Transaktionskette Schritt für Schritt ein genaueres Bild des Vermögensflusses entstehen. Ob sich daraus letztlich eine konkrete Identifizierung, eine Möglichkeit der Vermögenssicherung oder die Durchsetzung möglicher Ansprüche ergibt, muss anschließend anhand der individuellen Umstände geprüft werden. Entscheidend ist zunächst, die vorhandene Spur vollständig und fachlich sauber zu sichern.

Gestohlene Kryptowährungen verfolgen – was sollten Betroffene unmittelbar nach dem Diebstahl sichern?

Wenn Kryptowährungen plötzlich von einer eigenen Wallet verschwunden sind, kommt es zunächst darauf an, Ruhe zu bewahren und die vorhandenen Informationen möglichst vollständig zu sichern. Gerade in dieser Situation besteht die Gefahr, dass Betroffene aus Verunsicherung unüberlegt handeln, weitere Transaktionen auslösen, wichtige Daten löschen oder sich erneut auf Personen einlassen, die eine schnelle Rückgewinnung der verlorenen Kryptowährungen versprechen. Für die spätere technische und rechtliche Aufarbeitung ist jedoch eine möglichst unverfälschte Dokumentation des ursprünglichen Geschehens besonders wertvoll.

Die erste Frage lautet deshalb: Was ist tatsächlich passiert? Ein angezeigter Kontostand allein reicht dafür nicht immer aus. Bei einer eigenen Wallet sollte geprüft werden, ob tatsächlich eine Blockchain-Transaktion stattgefunden hat, durch die Kryptowährungen von der eigenen Adresse abgeflossen sind. Bei einer vermeintlichen Tradingplattform muss dagegen zunächst zwischen einem tatsächlich vorhandenen Blockchain-Guthaben und einer bloßen Anzeige innerhalb der Plattform unterschieden werden. Diese Abgrenzung kann entscheidend sein, weil eine manipulierte Benutzeroberfläche einen hohen Kontostand anzeigen kann, obwohl die entsprechende Kryptowährung nie tatsächlich vorhanden war.

Ist ein echter Abfluss feststellbar, sollten die entsprechenden Blockchain-Daten unmittelbar gesichert werden. Besonders wichtig sind die vollständige Ausgangsadresse, die Empfängeradresse, der Transaktions-Hash beziehungsweise die Transaktions-ID, das verwendete Blockchain-Netzwerk, die Kryptowährung, der übertragene Betrag sowie Datum und Zeitpunkt. Diese Informationen bilden den Ausgangspunkt für die spätere Nachverfolgung. Eine Wallet-Adresse sollte dabei vollständig und exakt übernommen werden. Schon ein einzelner fehlender oder vertauschter Buchstabe kann dazu führen, dass eine spätere Suche nicht zur richtigen Adresse führt.

Der Transaktions-Hash sollte ebenfalls separat notiert werden. Er ist mehr als ein technisches Detail. Er ermöglicht die eindeutige Zuordnung zu einer konkreten Transaktion und kann für die spätere Blockchainanalyse von zentraler Bedeutung sein. Betroffene sollten deshalb nicht nur einen Screenshot der Transaktion speichern, sondern die Transaktions-ID zusätzlich als Text dokumentieren. Wenn mehrere verdächtige Übertragungen stattgefunden haben, sollte für jede Transaktion ein eigener Datensatz angelegt werden.

Sinnvoll ist eine möglichst vollständige Transaktionsübersicht. Darin können beispielsweise die ursprüngliche Wallet-Adresse, die Zieladresse, die Kryptowährung, der Betrag, das Netzwerk, das Datum, die Uhrzeit und der jeweilige Transaktions-Hash erfasst werden. Wenn die Kryptowährungen anschließend weitertransferiert wurden, sollten auch die Folgeadressen und die dazugehörigen Transaktionen aufgenommen werden. Eine solche Übersicht erleichtert später die Rekonstruktion des tatsächlichen Vermögensflusses.

Besonders wichtig ist dabei, zwischen den einzelnen Transaktionen nicht vorschnell Zusammenhänge zu behaupten. Wenn eine Zieladresse nach Eingang der gestohlenen Kryptowährungen zahlreiche weitere Bewegungen aufweist, muss geprüft werden, welche Transaktionen tatsächlich mit dem ursprünglichen Vermögensabfluss verbunden sind. Die Dokumentation sollte deshalb zunächst möglichst neutral erfolgen. Festgehalten wird, was auf der Blockchain tatsächlich sichtbar ist. Die weitergehende Interpretation kann anschließend vorgenommen werden.

Screenshots können diese Dokumentation ergänzen. Sie sollten möglichst den vollständigen relevanten Bildschirmbereich zeigen, damit später erkennbar ist, aus welchem Zusammenhang die Daten stammen. Dazu können die Wallet-Ansicht, die Transaktionsdetails und die Anzeige des verwendeten Netzwerks gehören. Wenn eine Transaktion über einen Blockchain-Explorer eingesehen wurde, kann auch die entsprechende Ansicht dokumentiert werden. Die URL sollte, soweit verfügbar, ebenfalls aufbewahrt werden. Der Screenshot ersetzt jedoch nicht die eigentlichen Blockchain-Daten.

Bei einem Krypto-Diebstahl sind nicht nur technische Informationen relevant. Ebenso wichtig ist die Frage, wie es zu der Übertragung gekommen ist. Deshalb sollten sämtliche Nachrichten gesichert werden, die unmittelbar vor dem Verlust ausgetauscht wurden. Dazu gehören E-Mails, WhatsApp- oder andere Messenger-Nachrichten, Telegram-Chats, SMS und sonstige Kommunikation. Auch Sprachnachrichten oder Dateien sollten – soweit vorhanden und rechtmäßig zugänglich – erhalten bleiben.

Besondere Bedeutung können Nachrichten haben, in denen eine Wallet-Adresse mitgeteilt oder eine bestimmte Transaktion verlangt wurde. Wenn beispielsweise ein angeblicher Berater erklärt hat, Kryptowährungen müssten an eine bestimmte Adresse überwiesen werden, sollte genau diese Nachricht gesichert werden. Sie kann später dabei helfen, die technische Transaktion mit dem tatsächlichen Ablauf zu verbinden. Gleiches gilt für Nachrichten, in denen ein vermeintlicher Support-Mitarbeiter behauptet, eine Wallet müsse verifiziert oder ein bestimmter Betrag transferiert werden.

Auch die Identität der Kontaktpersonen sollte so vollständig wie möglich dokumentiert werden. Dazu können Namen, Telefonnummern, E-Mail-Adressen, Nutzernamen und verwendete Profile gehören. Bei Internetseiten sollten Domainnamen und die konkreten Adressen der aufgerufenen Seiten festgehalten werden. Wenn sich die betreffende Website später verändert oder offline genommen wird, können solche Informationen für die Rekonstruktion des ursprünglichen Sachverhalts besonders wertvoll sein.

Bei angeblichen Investment- oder Tradinggeschäften sollten außerdem sämtliche Vertragsunterlagen und sonstigen Dokumente gesichert werden. Dazu können vermeintliche Anlageverträge, Geschäftsbedingungen, Rechnungen, Einzahlungsbestätigungen, Kontoübersichten und PDF-Dokumente gehören. Auch Dokumente, die einen angeblichen Broker oder Anlageberater nennen, können relevant sein. Derartige Unterlagen können helfen, die behauptete Geschäftsbeziehung von den tatsächlich durchgeführten Transaktionen abzugrenzen.

Ein häufiger Fehler besteht darin, nur den unmittelbaren Krypto-Transfer zu betrachten. In vielen Fällen beginnt der Zahlungsweg bereits vor der Blockchain-Transaktion. Ein Betroffener kann beispielsweise zunächst Euro von seinem Bankkonto auf eine Kryptobörse überweisen, dort Kryptowährungen kaufen und diese anschließend an eine externe Wallet senden. Für die vollständige Aufklärung sollten deshalb auch die vorausgehenden Fiat-Zahlungen dokumentiert werden. Kontoauszüge und Überweisungsbelege können später zeigen, wann und über welchen Zahlungsweg die Mittel eingesetzt wurden.

Dabei sollten insbesondere Betrag, Datum, Empfängername, IBAN und gegebenenfalls BIC festgehalten werden. Wenn ein Zahlungsdienstleister beteiligt war, sollte auch dessen Name dokumentiert werden. Bei mehreren Einzahlungen empfiehlt sich eine chronologische Aufstellung. Dadurch kann später nachvollzogen werden, welche Bankzahlung zu welchem Kauf oder welcher Krypto-Transaktion gehört.

Bei einem Krypto-Diebstahl kann es außerdem vorkommen, dass nicht nur eine Wallet betroffen ist. Wer mehrere Wallets verwendet hat, sollte zunächst feststellen, welche Adresse zu welchem Zeitpunkt genutzt wurde. Auch die Daten von Hardware-Wallets, mobilen Wallets oder anderen verwendeten Lösungen können relevant sein. Die technische Sicherung sollte dabei nicht dazu führen, dass sensible Zugangsdaten unnötig weitergegeben werden. Eine Seed Phrase oder ein Private Key gehört grundsätzlich nicht in die Hände unbekannter Personen.

Gerade nach einem Diebstahl versuchen Betroffene verständlicherweise, möglichst schnell Hilfe zu finden. Genau diese Situation kann von weiteren Betrügern ausgenutzt werden. Es kann vorkommen, dass Personen Kontakt aufnehmen und behaupten, sie könnten die gestohlenen Kryptowährungen anhand einer Blockchainanalyse bereits lokalisieren. Anschließend verlangen sie Geld für eine angebliche Freischaltung, Steuer, Sicherheitsleistung, Wallet-Verifizierung oder technische Wiederherstellung. Solche Forderungen sollten nicht allein deshalb als seriös betrachtet werden, weil der Anbieter tatsächlich eine Wallet-Adresse oder einen Teil der Transaktionshistorie nennen kann.

Eine nachvollziehbare Blockchaintransaktion bedeutet nämlich nicht, dass ein Dritter Zugriff auf die dort befindlichen Kryptowährungen besitzt. Wer die Adresse eines Empfängers kennt, kann dadurch nicht automatisch über dessen Wallet verfügen. Ebenso kann eine Person nicht allein durch die Kenntnis eines Transaktions-Hashes eine Transaktion rückgängig machen. Die technische Nachverfolgung einer Kryptowährung und der tatsächliche Zugriff auf die entsprechenden Vermögenswerte sind zwei vollständig unterschiedliche Dinge.

Deshalb sollte insbesondere niemals eine Seed Phrase an einen angeblichen Recovery-Dienstleister, Support-Mitarbeiter oder Blockchain-Experten übermittelt werden. Gleiches gilt für Private Keys und sensible Zugangsdaten. Eine Person, die Zugriff auf einen Private Key erhält, kann je nach Wallet-Struktur möglicherweise über die betreffenden Vermögenswerte verfügen. Die Herausgabe solcher Daten kann daher einen weiteren erheblichen Schaden verursachen.

Auch Passwörter sollten nach einem Verdacht auf eine Kompromittierung überprüft und gegebenenfalls geändert werden. Das gilt insbesondere für E-Mail-Konten, Kryptobörsen und andere Konten, die für den Zugriff auf digitale Vermögenswerte genutzt wurden. Wenn ein Angreifer Zugriff auf ein E-Mail-Konto erhalten hat, kann dies weitere Sicherheitsrisiken schaffen. Die Absicherung sollte deshalb nicht nur die Wallet selbst betreffen.

Wurde Fernwartungssoftware installiert oder einem unbekannten Dritten Fernzugriff auf den Computer gewährt, sollte dieser Umstand ebenfalls dokumentiert werden. Dazu gehören insbesondere der Name der verwendeten Software, der Zeitpunkt des Zugriffs und die Person, die den Zugriff verlangt oder durchgeführt hat. Wenn möglich, sollten entsprechende Installations- oder Verbindungsdaten gesichert werden. Eine vorschnelle Löschung sämtlicher Spuren kann unter Umständen Informationen beseitigen, die später für die Rekonstruktion des Vorgangs relevant sind.

Gleichzeitig steht die Sicherheit der noch vorhandenen Vermögenswerte im Vordergrund. Wenn der Verdacht besteht, dass eine Wallet oder ein Zugang weiterhin kompromittiert ist, kann eine technische Sicherung der noch vorhandenen Kryptowährungen erforderlich sein. Welche konkrete Maßnahme richtig ist, hängt von der jeweiligen Wallet, dem Sicherheitsvorfall und dem verbleibenden Zugriff ab. Bei einem laufenden Angriff sollte nicht allein aus Beweisgründen darauf verzichtet werden, weitere Vermögenswerte zu schützen.

Entscheidend ist, Maßnahmen und Ausgangslage sauber zu dokumentieren. Wenn beispielsweise noch vorhandene Kryptowährungen auf eine neue, sicher eingerichtete Wallet übertragen werden, sollte festgehalten werden, welche Beträge vor und nach dieser Maßnahme vorhanden waren. Dadurch bleibt später nachvollziehbar, welche Transaktionen bereits vor der Sicherung stattfanden und welche anschließend aufgrund der eigenen Schutzmaßnahme ausgelöst wurden.

Bei einer kompromittierten Seed Phrase ist besondere Vorsicht erforderlich. Eine Seed Phrase dient bei vielen Wallets zur Wiederherstellung des Zugriffs auf die enthaltenen Vermögenswerte. Ist sie einer unbefugten Person bekannt geworden, muss davon ausgegangen werden, dass die Sicherheit der betreffenden Wallet beeinträchtigt sein kann. Die bloße Änderung eines App-Passworts löst dieses Problem nicht zwingend, wenn ein Angreifer weiterhin über die zur Wiederherstellung erforderlichen Informationen verfügt.

Auch hier sollte der genaue Ablauf dokumentiert werden. Wie wurde die Seed Phrase möglicherweise kompromittiert? Wurde sie auf einer Website eingegeben? Wurde ein vermeintlicher Support kontaktiert? Wurde eine Datei oder ein Dokument mit der Seed Phrase gespeichert? Wurde ein Foto davon auf einem Gerät abgelegt? Solche Umstände können für die technische Untersuchung wichtig sein. Sie können außerdem helfen, den Zeitpunkt und die mögliche Ursache des späteren Vermögensabflusses einzugrenzen.

Bei einem Phishing-Angriff können andere Beweismittel im Vordergrund stehen. Eine gefälschte Website, ein vermeintliches Wallet-Update oder eine betrügerische Nachricht kann den Betroffenen dazu gebracht haben, Zugangsdaten oder eine Seed Phrase preiszugeben. In einem solchen Fall sollten insbesondere die verwendete Domain, die vollständige Nachricht und die aufgerufene Website dokumentiert werden. Auch Screenshots der Seite können hilfreich sein, sofern die Seite noch erreichbar ist. Bei entsprechenden Fällen kann die spezialisierte Betrachtung von Phishing und den typischen Vorgehensweisen zusätzliche Orientierung geben.

Anders liegt die Situation bei einem klassischen Investmentbetrug. Hier kann der Betroffene die Kryptowährungen möglicherweise selbst an eine vom angeblichen Broker vorgegebene Adresse gesendet haben. Der Verlust entsteht dann nicht unbedingt durch einen unmittelbaren technischen Zugriff auf die Wallet. Die Täuschung liegt möglicherweise darin, dass der Betroffene davon ausging, die Kryptowährungen würden auf einem echten Anlagekonto investiert oder verwahrt. Für die Aufklärung ist deshalb die Kommunikation mit dem angeblichen Anbieter ebenso wichtig wie die Blockchain-Transaktion selbst.

In solchen Fällen sollten Betroffene genau festhalten, welche Angaben über die Verwendung der Kryptowährungen gemacht wurden. Wurde behauptet, die Coins würden auf einem persönlichen Anlagekonto liegen? Wurde eine bestimmte Wallet als „Kundenwallet“ bezeichnet? Wurde eine spätere Auszahlung versprochen? Wurden anschließend weitere Zahlungen für Steuern, Gebühren, Liquiditätsnachweise oder eine angebliche Verifizierung verlangt? Solche Angaben können helfen, die tatsächliche Funktionsweise der vermeintlichen Anlage von der bloßen Darstellung des Anbieters zu unterscheiden.

Besonders relevant sind auch die Zeitpunkte. Eine chronologische Übersicht kann beispielsweise mit dem ersten Kontakt beginnen, anschließend die Einzahlung, den Erwerb der Kryptowährung, den Transfer an die vorgegebene Wallet und die späteren Auszahlungsforderungen erfassen. Ergänzend sollten die jeweiligen Kommunikationsvorgänge eingetragen werden. Dadurch entsteht eine zeitliche Verbindung zwischen dem Geschehen außerhalb der Blockchain und den tatsächlichen Transaktionen.

Bei größeren Schäden kann es sinnvoll sein, die Beweismittel in Kategorien zu ordnen. Eine Kategorie betrifft die Kommunikation, eine weitere die Bank- und Zahlungsdaten, eine dritte die Blockchain-Informationen und eine vierte die technischen Informationen zur Wallet oder zum verwendeten Gerät. Diese Struktur erleichtert später die Prüfung und verhindert, dass wichtige Informationen zwischen zahlreichen Screenshots und Dateien verloren gehen.

Für die Blockchain-Daten kann eine eigene Tabelle besonders hilfreich sein. Für jede Transaktion können beispielsweise folgende Felder vorgesehen werden: laufende Nummer, Datum und Uhrzeit, Kryptowährung, Netzwerk, Ausgangsadresse, Zieladresse, Betrag, Transaktions-Hash und kurze Beschreibung des Zusammenhangs. Bei Folgeadressen kann zusätzlich vermerkt werden, ob die betreffende Adresse bereits zuvor oder erst nach dem Eingang der gestohlenen Kryptowährungen aktiv war. Solche Angaben ersetzen keine professionelle Analyse, schaffen aber eine belastbare Grundlage dafür.

Wenn die Kryptowährungen über eine Kryptobörse erworben wurden, sollten auch die dort verfügbaren Transaktionsdaten gesichert werden. Dazu können Kaufbestätigungen, Einzahlungsinformationen, Auszahlungsnachweise und Wallet-Adressen gehören. Manche Nutzer verlassen sich ausschließlich auf die Darstellung des aktuellen Kontostandes. Für eine spätere Aufklärung sind historische Transaktionsdaten jedoch wesentlich aussagekräftiger.

Auch Kontoauszüge sollten nicht vorschnell gelöscht oder nur auszugsweise aufbewahrt werden. Bei einer späteren rechtlichen Prüfung kann relevant sein, von welchem Konto welche Summe an welchen Empfänger überwiesen wurde. Deshalb sollten die vollständigen Belege möglichst im Originalformat erhalten bleiben. Wenn mehrere Konten oder Zahlungsdienstleister genutzt wurden, sollten die Unterlagen entsprechend getrennt dokumentiert werden.

Die Empfängerdaten können dabei wichtige Hinweise liefern. Neben dem Namen können IBAN und BIC, soweit vorhanden, dokumentiert werden. Bei Zahlungen an Zahlungsdienstleister sollte außerdem festgehalten werden, welche konkrete Plattform oder welches Unternehmen beteiligt war. Eine spätere Rekonstruktion des Zahlungsweges ist wesentlich einfacher, wenn die Originaldaten vollständig vorliegen.

Bei einem Krypto-Diebstahl sollten Betroffene außerdem darauf achten, dass die Originaldateien der Kommunikation erhalten bleiben. Ein kopierter Text kann den Inhalt einer Nachricht wiedergeben, enthält aber möglicherweise weniger Informationen als die ursprüngliche E-Mail oder der ursprüngliche Chatverlauf. Soweit möglich, sollten daher vollständige E-Mails, Anhänge und relevante Dateien gesichert werden. Bei Messengern können Exportfunktionen hilfreich sein, sofern sie die betreffende Kommunikation vollständig erfassen.

Auch Telefonnummern sollten nicht nur im Telefonbuch gespeichert werden. Wenn ein angeblicher Berater oder Support-Mitarbeiter über eine bestimmte Nummer kommuniziert hat, sollte die Nummer zusammen mit dem dazugehörigen Gesprächsverlauf dokumentiert werden. Gleiches gilt für E-Mail-Adressen und Nutzernamen. Ein Name allein kann leicht geändert oder missbraucht werden; die Kombination mehrerer Kommunikationsdaten kann dagegen ein genaueres Bild ergeben.

Bei Webseiten sollten Betroffene außerdem darauf achten, nicht nur die Startseite zu speichern. Relevant können auch Unterseiten, Impressumsangaben, Kontaktinformationen, angebliche Lizenzhinweise, Geschäftsbedingungen und die konkrete Login-Seite sein. Bei einem späteren Verschwinden der Website können diese Informationen für die Rekonstruktion hilfreich sein. Eine Domain kann beispielsweise weiterhin als technischer Hinweis relevant sein, auch wenn die ursprüngliche Website nicht mehr erreichbar ist.

Besondere Vorsicht ist bei der Bewertung angeblicher Lizenzen oder behördlicher Zulassungen geboten. Betrügerische Anbieter können Logos, Siegel oder vermeintliche Registrierungsnummern verwenden, um Vertrauen zu schaffen. Betroffene sollten solche Darstellungen nicht ungeprüft als Nachweis einer tatsächlichen Zulassung behandeln. Für die Dokumentation kann es jedoch wichtig sein, genau festzuhalten, welche Angaben der Anbieter selbst gemacht hat.

Auch vermeintliche Anlageberater oder Broker sollten mit den tatsächlich verwendeten Identitäten und Kontaktdaten dokumentiert werden. Wenn ein Ansprechpartner unter einem bestimmten Namen auftritt, später aber eine andere Person oder ein anderes Unternehmen genannt wird, sollte dieser Wechsel festgehalten werden. Gerade wechselnde Ansprechpartner oder Zahlungsempfänger können für die spätere Rekonstruktion relevant sein.

Nach einem Krypto-Diebstahl sollte zudem darauf geachtet werden, keine weiteren Zahlungen allein aufgrund einer angeblichen Freischaltungs- oder Rückgewinnungsforderung vorzunehmen. Wenn ein Anbieter behauptet, die Kryptowährungen seien bereits gefunden und könnten nach Zahlung einer Gebühr freigegeben werden, sollte zunächst geprüft werden, worauf diese Behauptung tatsächlich beruht. Ein nachvollziehbarer Transaktions-Hash kann den Weg einer Kryptowährung belegen. Er beweist jedoch nicht, dass eine dritte Person Zugriff auf die betreffende Wallet besitzt.

Dasselbe gilt für angebliche „Blockchain-Steuern“, „Recovery Fees“ oder „Sicherheitszahlungen“. Die Verwendung technisch klingender Begriffe macht eine Forderung nicht automatisch legitim. Gerade Menschen, die bereits einen finanziellen Verlust erlitten haben, können für einen zweiten Betrug besonders empfänglich sein, weil sie dringend nach einer Lösung suchen. Eine erneute Zahlung sollte deshalb niemals allein aufgrund einer Aussicht auf Rückgewinnung erfolgen.

Bei der Beweissicherung sollte auch berücksichtigt werden, dass der ursprüngliche Sachverhalt möglicherweise später noch ergänzt wird. Neue Transaktionen können auftauchen, ein Anbieter kann weitere Nachrichten senden oder eine bisher unbekannte Wallet kann in der Transaktionskette sichtbar werden. Deshalb sollte die Dokumentation fortlaufend ergänzt werden. Jede neue Erkenntnis sollte möglichst mit Datum und Quelle festgehalten werden.

Das gilt insbesondere für die weitere Bewegung der gestohlenen Kryptowährungen. Wenn die Zieladresse nach dem ursprünglichen Diebstahl weitere Transaktionen durchführt, können diese Bewegungen für eine Blockchainanalyse relevant sein. Betroffene sollten deshalb nicht nur den Stand am Tag des Verlustes dokumentieren, sondern die bekannten Folgebewegungen ebenfalls erfassen. Dabei ist es nicht erforderlich, jede technische Einzelheit selbst zu bewerten. Entscheidend ist zunächst, dass die Daten erhalten bleiben.

Eine häufige Schwierigkeit entsteht, wenn der Betroffene erst Tage oder Wochen später bemerkt, dass Kryptowährungen fehlen. Auch dann sollte die Dokumentation so vollständig wie möglich nachgeholt werden. Die Blockchaindaten der bereits bestätigten Transaktionen können weiterhin untersucht werden. Zusätzlich sollten die verfügbaren Kommunikations- und Kontounterlagen zusammengetragen werden. Auch nachträglich lässt sich häufig eine chronologische Rekonstruktion erstellen, sofern ausreichend Ausgangsdaten vorhanden sind.

Wenn der Verlust erst nach einem längeren Zeitraum bemerkt wurde, sollte insbesondere geprüft werden, ob die Kryptowährungen in der Zwischenzeit weitertransferiert wurden. Die erste Empfängeradresse ist dann möglicherweise nicht mehr der aktuelle Aufenthaltsort der Vermögenswerte. Eine Blockchainanalyse kann helfen, die bekannten Folgebewegungen zu erfassen. Je länger und komplexer die Transaktionskette ist, desto wichtiger wird allerdings eine methodisch saubere Analyse.

Die Beweissicherung dient dabei nicht nur der technischen Nachverfolgung. Sie schafft auch die Grundlage für eine spätere rechtliche Prüfung. Wer mögliche Ansprüche gegen unmittelbar Beteiligte oder weitere Personen prüfen möchte, muss den tatsächlichen Sachverhalt möglichst konkret darstellen können. Dazu gehört die Frage, welcher Vermögenswert verloren wurde, wann der Verlust eingetreten ist, auf welchem Weg die Kryptowährungen übertragen wurden und welche Personen oder Unternehmen mit dem Vorgang in Verbindung standen.

Eine anwaltliche Prüfung kann durch eine gut vorbereitete Dokumentation erheblich erleichtert werden. Besonders hilfreich ist eine geordnete Zusammenstellung der Wallet-Adressen und Transaktions-Hashes, ergänzt um die Kommunikation und die Zahlungsunterlagen. Dadurch muss nicht erst aus hunderten einzelnen Screenshots rekonstruiert werden, was wann passiert ist. Stattdessen liegt bereits eine strukturierte Grundlage für die weitere Prüfung vor.

Dabei sollte allerdings nicht der Eindruck entstehen, dass Betroffene selbst eine vollständige Blockchainforensik durchführen müssen. Die eigene Aufgabe besteht zunächst darin, vorhandene Daten zu sichern und nichts Wichtiges zu verlieren. Die technische Bewertung komplexer Transaktionsketten kann anschließend gesondert erfolgen. Entscheidend ist, dass die Ausgangsdaten verfügbar sind und möglichst zuverlässig dokumentiert wurden.

Wer gestohlene Kryptowährungen verfolgen möchte, sollte deshalb insbesondere die erste verdächtige Transaktion vollständig erfassen. Von dort aus kann später untersucht werden, ob und wie die Kryptowährungen weitertransferiert wurden. Ohne den korrekten Transaktions-Hash oder die vollständige Zieladresse kann eine solche Untersuchung unnötig erschwert werden. Deshalb sollten diese Informationen unmittelbar nach Feststellung des Verlustes gesichert werden.

Ebenso wichtig ist die Sicherung des Zusammenhangs zwischen Transaktion und Kommunikation. Eine Wallet-Adresse ist technisch zunächst nur eine Zeichenfolge. Eine Nachricht, in der ein angeblicher Berater genau diese Adresse nennt und die Übertragung eines bestimmten Betrages verlangt, kann dagegen den tatsächlichen Zusammenhang erklären. Gemeinsam können beide Informationen wesentlich aussagekräftiger sein als jeweils für sich.

Bei der Dokumentation sollte außerdem nicht nachträglich verändert werden, was ursprünglich angezeigt wurde. Wenn beispielsweise eine Plattform einen bestimmten Kontostand angezeigt hat, sollte dieser Zustand – soweit möglich – durch Screenshots oder gespeicherte Dokumente festgehalten werden. Wird die Plattform später verändert, kann die ursprüngliche Darstellung sonst schwer nachvollziehbar sein. Gleiches gilt für Nachrichten, in denen bestimmte Behauptungen über das angebliche Guthaben oder die Auszahlung gemacht wurden.

Besonders relevant kann die Dokumentation werden, wenn der Anbieter später behauptet, der Betroffene habe nie ein bestimmtes Guthaben besessen oder die Kryptowährungen seien aufgrund einer eigenen Fehlbedienung verloren gegangen. Ob solche Behauptungen zutreffen, lässt sich nicht anhand einer allgemeinen Aussage beurteilen. Die tatsächlichen Blockchain-Daten, Wallet-Informationen und Kommunikationsunterlagen können helfen, den konkreten Ablauf zu klären.

Bei einer kompromittierten Wallet sollte außerdem geprüft werden, ob weitere Konten betroffen sein könnten. Wenn beispielsweise dieselbe E-Mail-Adresse oder dasselbe Passwort für mehrere Dienste verwendet wurde, kann eine Sicherheitsüberprüfung erforderlich sein. Gleiches gilt, wenn der Verdacht besteht, dass ein Gerät mit Schadsoftware kompromittiert wurde. Die technische Absicherung sollte in solchen Fällen nicht auf die einzelne Wallet beschränkt bleiben.

Wichtig ist auch, keine verdächtigen Dateien oder Programme weiterhin zu verwenden, nur um vermeintliche Beweise zu sichern. Wenn beispielsweise eine unbekannte Software installiert wurde, sollte eine weitere Nutzung sorgfältig abgewogen werden. Bei einem ernsthaften Verdacht auf eine technische Kompromittierung kann eine professionelle Untersuchung des Geräts sinnvoll sein. Welche Maßnahmen im Einzelnen erforderlich sind, hängt vom jeweiligen Vorfall ab.

Die zentrale Regel nach einem Krypto-Diebstahl lautet daher: Erst den Sachverhalt sichern und ordnen, dann weitere Schritte auf einer möglichst verlässlichen Datengrundlage planen. Dazu gehören die tatsächlichen Blockchain-Transaktionen ebenso wie die Kommunikation und die Zahlungsunterlagen. Wer dagegen vorschnell weitere Zahlungen leistet, Zugangsdaten weitergibt oder wichtige Daten löscht, kann die Situation zusätzlich verschärfen.

Besonders bei größeren Schadenssummen sollte die vorhandene Dokumentation möglichst früh fachlich bewertet werden. Eine anwaltliche Prüfung kann beispielsweise klären, welche Informationen für die weitere Aufarbeitung relevant sind, welche Personen oder Unternehmen im Sachverhalt auftauchen und welche möglichen Ansprüche geprüft werden sollten. Dabei kann auch die technische Analyse der Blockchain-Daten einbezogen werden.

Das Ziel einer solchen Prüfung besteht zunächst darin, den tatsächlichen Ablauf belastbar zu rekonstruieren. Es sollte festgestellt werden, welche Kryptowährungen tatsächlich verloren wurden, welche Transaktionen den Verlust dokumentieren und welchen Weg die Vermögenswerte anschließend genommen haben. Erst danach lässt sich sinnvoll beurteilen, ob weitere technische oder rechtliche Schritte Aussicht auf einen konkreten Ansatz bieten.

Wer seine Unterlagen vorbereitet, sollte daher möglichst nicht nur schreiben: „Meine Kryptowährungen wurden gestohlen.“ Aussagekräftiger ist eine strukturierte Darstellung wie: „Am 14. September wurden 1,2 Ether von meiner Wallet-Adresse X an die Adresse Y übertragen. Der Transaktions-Hash lautet Z. Am selben Tag hatte mich der angebliche Support über diese Telefonnummer kontaktiert und mich zur Bestätigung der Transaktion aufgefordert. Zuvor hatte ich über meine Kryptobörse Kryptowährungen erworben.“ Eine solche Darstellung verbindet die technischen Daten mit dem tatsächlichen Geschehen.

Genau diese Verbindung bildet die Grundlage dafür, gestohlene Kryptowährungen später möglichst präzise zu verfolgen. Die Blockchain liefert die technische Spur. Wallet-Adressen und Transaktions-Hashes ermöglichen die Rekonstruktion des Vermögensflusses. Kommunikationsdaten erklären den Zusammenhang. Kontoauszüge und Zahlungsbelege dokumentieren den finanziellen Hintergrund. Je vollständiger diese Informationen erhalten sind, desto besser kann eine spätere Blockchain- und Rechtsprüfung ansetzen.

Für Betroffene ist deshalb vor allem wichtig, nicht vorschnell von der Frage „Sind die Kryptowährungen weg?“ zu der Annahme überzugehen, damit sei jede weitere Aufklärung ausgeschlossen. Ein Verlust kann auf der Blockchain nachvollziehbare Spuren hinterlassen. Gleichzeitig darf aus der Existenz einer Spur nicht automatisch geschlossen werden, dass die Kryptowährungen zurückgewonnen werden können. Die Möglichkeiten hängen von der konkreten Transaktionskette, den vorhandenen Informationen und den weiteren rechtlichen Umständen ab.

Eine sorgfältige Beweissicherung ist damit kein bloßer Formalismus. Sie entscheidet mit darüber, ob aus einem zunächst unübersichtlichen Krypto-Verlust später eine nachvollziehbare Transaktions- und Beweiskette erstellt werden kann. Wer Wallet-Adressen, Transaktions-Hashes, Screenshots, Chatverläufe, E-Mails, Telefonnummern, Kontoauszüge, Überweisungsbelege und Vertragsunterlagen vollständig erhält, schafft eine wesentlich bessere Grundlage für die weitere technische und rechtliche Prüfung.

Auch wenn der erste Schock nach einem Krypto-Diebstahl groß ist, sollte daher möglichst systematisch vorgegangen werden. Keine unnötigen weiteren Zahlungen, keine Weitergabe von Seed Phrase oder Private Key an unbekannte Personen, keine vorschnelle Löschung relevanter Daten und keine ungesicherte Annahme darüber, wohin die Kryptowährungen gelangt sind. Stattdessen sollten die tatsächlichen Transaktionen dokumentiert, die vorhandenen Informationen geordnet und die weiteren Möglichkeiten anhand des konkreten Sachverhalts geprüft werden.

Kanzlei Wilms – Experten für Online-Anlagebetrug

Die Kanzlei Wilms unterstützt seit Jahren Mandanten, die Opfer von Online-Anlagebetrug, Kryptobetrug, Fake Brokern, Investmentbetrug, Bitcoin-Betrug oder Recovery Scams geworden sind.

Unsere Mandanten kommen aus ganz Deutschland sowie aus dem Ausland. Viele Verfahren weisen internationale Bezüge auf und betreffen grenzüberschreitende Zahlungsströme, Kryptowährungen oder komplexe Unternehmensstrukturen.

Wir analysieren unter anderem:

• Banküberweisungen
• SEPA- und SWIFT-Zahlungen
• Kreditkartenzahlungen
• Zahlungsdienstleister
• Kryptobörsen und Wallet-Transaktionen
• internationale Zahlungsstrukturen

Mehr Informationen finden Sie in unserem Blog.

Gestohlene Kryptowährungen verfolgen – welche Möglichkeiten bestehen, Vermögenswerte zu sichern?

Wer gestohlene Kryptowährungen verfolgen möchte, stellt sich häufig unmittelbar die nächste Frage: Was lässt sich mit den gewonnenen Informationen tatsächlich erreichen? Eine nachvollziehbare Transaktionsspur ist ein wichtiger Ausgangspunkt, bedeutet aber noch nicht, dass über die betreffenden Kryptowährungen unmittelbar verfügt werden kann. Zwischen der technischen Feststellung, wohin digitale Vermögenswerte transferiert wurden, und einer tatsächlichen Sicherung dieser Vermögenswerte liegen mehrere eigenständige Schritte. Deshalb sollte nach einem Krypto-Diebstahl nicht nur gefragt werden, ob sich eine Wallet-Adresse finden lässt, sondern auch, welche konkreten Ansatzpunkte sich aus dem weiteren Transaktionsverlauf ergeben.

Die technische Nachverfolgung kann zunächst zeigen, ob sich die gestohlenen Kryptowährungen weiterhin auf einer bestimmten Adresse befinden oder ob sie bereits weitertransferiert wurden. Je nach Blockchain und Transaktionsstruktur kann sich daraus ein mehrstufiger Vermögensfluss ergeben. Eine Zieladresse kann beispielsweise nur für kurze Zeit genutzt worden sein, bevor die Kryptowährungen auf weitere Adressen verteilt wurden. In anderen Fällen können Vermögenswerte zusammengeführt, auf verschiedene Wallets aufgeteilt oder an eine Adresse transferiert werden, die zu einem Dienstleister gehört. Für die Frage der Vermögenssicherung ist deshalb nicht allein die erste Empfängeradresse entscheidend.

Besonders wichtig ist die Unterscheidung zwischen einer technischen Spur und einem tatsächlichen Zugriffspunkt. Eine Blockchainadresse kann eindeutig zeigen, dass eine bestimmte Transaktion stattgefunden hat. Daraus ergibt sich jedoch nicht automatisch die Identität desjenigen, der die zugehörige Wallet kontrolliert. Ebenso lässt sich nicht allein aus einer sichtbaren Adresse ableiten, ob sich dahinter eine Privatperson, ein Unternehmen, ein Dienstleister oder eine komplexere Wallet-Struktur verbirgt. Die technische Analyse muss daher mit weiteren Informationen verbunden werden, wenn aus einer Transaktionsspur ein konkreter Ansatz zur Vermögenssicherung entstehen soll.

Ein wichtiger Ansatzpunkt kann entstehen, wenn die gestohlenen Kryptowährungen auf eine Kryptobörse oder einen anderen zentral organisierten Dienst gelangen. Dort kann die Blockchain zwar lediglich die Einzahlungsadresse zeigen. Innerhalb des jeweiligen Dienstes können jedoch zusätzliche Zuordnungen bestehen. Eine Einzahlungsadresse kann beispielsweise einem bestimmten Nutzerkonto oder einer internen Buchung zugeordnet sein. Ob und unter welchen Voraussetzungen solche Informationen zugänglich gemacht werden können, ist eine gesonderte rechtliche Frage. Für die weitere Bearbeitung kann es deshalb entscheidend sein, den Übergang von der öffentlichen Blockchain zu einem zentralen Anbieter möglichst genau zu dokumentieren.

Dabei sollte nicht vorschnell davon ausgegangen werden, dass ein identifizierter Dienstleister selbst für den entstandenen Schaden verantwortlich ist. Ein Unternehmen kann Kryptowährungen möglicherweise lediglich als technischer oder finanzieller Dienstleister verwalten, ohne an dem ursprünglichen Diebstahl beteiligt zu sein. Die Frage, welche Pflichten bestanden und ob daraus überhaupt eine Verantwortlichkeit folgt, muss anhand des konkreten Sachverhalts geprüft werden. Für die Vermögenssicherung kann der Dienstleister dennoch relevant sein, weil sich dort möglicherweise Informationen über die weitere Bewegung der Vermögenswerte befinden.

Eine besondere Bedeutung kann deshalb der Zeitpunkt haben, zu dem die Kryptowährungen bei einem zentralen Anbieter eintreffen. Je genauer der ursprüngliche Transaktionsweg dokumentiert ist, desto leichter kann die betreffende Einzahlung technisch eingeordnet werden. Dafür können die genaue Zieladresse, der Transaktions-Hash, das Netzwerk, der Betrag und der Zeitpunkt miteinander abgeglichen werden. Bei mehreren Transaktionen kann außerdem geprüft werden, ob die Beträge unmittelbar oder nach mehreren Zwischenstationen bei einem Dienstleister angekommen sind.

Auch die weitere Bewegung nach einer solchen Einzahlung kann relevant sein. Werden Kryptowährungen beispielsweise von einer ermittelten Adresse an eine weitere Adresse transferiert, kann geprüft werden, ob die Transaktionskette weiterhin nachvollziehbar ist. Bei komplexeren Fällen können sich dabei zahlreiche Folgeadressen ergeben. Eine professionelle Blockchainanalyse kann versuchen, die bekannten Transaktionen in einen zusammenhängenden Ablauf einzuordnen. Dabei ist allerdings stets zu berücksichtigen, dass technische Zuordnungen je nach Blockchain, Wallet-Struktur und verwendeten Diensten unterschiedlich belastbar sein können.

Für die Vermögenssicherung ist außerdem der aktuelle Zustand entscheidend. Wenn sich die betreffenden Kryptowährungen noch auf einer bekannten Adresse befinden, stellt sich eine andere Ausgangslage dar als bei einer bereits stark verzweigten Transaktionskette. Eine aktuelle Analyse kann deshalb sinnvoller sein als eine ausschließlich historische Betrachtung. Es sollte möglichst festgestellt werden, welche relevanten Transaktionen nach dem ursprünglichen Verlust stattgefunden haben und ob die Vermögenswerte weiterhin in einer nachvollziehbaren Kette erscheinen.

Dabei darf die Blockchain jedoch nicht mit einem klassischen Bankkonto gleichgesetzt werden. Eine sichtbare Adresse kann zwar einen bestimmten Bestand aufweisen, aber daraus folgt nicht, dass eine andere Person diesen Bestand einfach sperren oder übertragen lassen kann. Die technische Kontrolle über eine Wallet liegt grundsätzlich bei denjenigen, die über die erforderlichen Zugangsinformationen verfügen. Eine Vermögenssicherung kann deshalb nicht allein durch die Feststellung einer Adresse erreicht werden. Es bedarf gegebenenfalls zusätzlicher technischer oder rechtlicher Maßnahmen.

Wenn sich die Kryptowährungen auf einer zentralen Plattform befinden, können die Möglichkeiten anders aussehen als bei einer ausschließlich privaten Wallet. Ein zentraler Anbieter verfügt unter Umständen über interne Kontodaten und kann bestimmte Vorgänge technisch nachvollziehen. Welche Maßnahmen gegenüber einem solchen Anbieter möglich sind, hängt jedoch von den Umständen des Einzelfalls, dem Sitz des Unternehmens, dem betroffenen Rechtssystem und den verfügbaren Informationen ab. Gerade bei internationalen Plattformen können zusätzliche rechtliche und praktische Schwierigkeiten entstehen.

Eine weitere Schwierigkeit liegt darin, dass Kryptowährungen grenzüberschreitend bewegt werden können. Eine Transaktion kann von einer Wallet in Deutschland an eine Adresse übertragen werden, deren Kontrolle nicht ohne Weiteres einem bestimmten Land zugeordnet werden kann. Anschließend können die Vermögenswerte über mehrere Dienstleister und weitere Wallets laufen. Für eine Vermögenssicherung muss deshalb nicht nur die technische Spur, sondern gegebenenfalls auch die internationale Struktur berücksichtigt werden.

Das bedeutet allerdings nicht, dass eine internationale Transaktionskette von vornherein wertlos wäre. Im Gegenteil kann gerade die präzise Dokumentation der einzelnen Schritte wichtig sein. Wenn sich aus der Blockchain ergibt, dass Vermögenswerte einen bestimmten Dienstleister erreicht haben, kann dies einen konkreten Ermittlungsansatz darstellen. Ob dieser Ansatz praktisch genutzt werden kann, hängt wiederum davon ab, welche Informationen verfügbar sind und welche rechtlichen Möglichkeiten bestehen.

Bei der Bewertung sollte außerdem zwischen verschiedenen Formen des Krypto-Verlustes unterschieden werden. Bei einer kompromittierten Wallet kann der Angreifer möglicherweise ohne Zustimmung des Eigentümers eine Transaktion ausgelöst haben. Bei einem betrügerischen Investment kann der Betroffene die Kryptowährungen dagegen selbst an eine vorgegebene Adresse übertragen haben, weil er von einer falschen Darstellung des angeblichen Anlageangebots ausging. In beiden Fällen kann eine Blockchainanalyse den Vermögensfluss sichtbar machen, die rechtliche Bewertung ist jedoch nicht identisch.

Bei einem Wallet-Hack kann insbesondere relevant sein, wie der unbefugte Zugriff technisch erfolgt ist. Wurde eine Seed Phrase kompromittiert? Wurde ein Private Key abgegriffen? Wurde eine Transaktion durch Schadsoftware oder eine manipulierte Anwendung ausgelöst? Wurde ein Nutzer auf eine gefälschte Website geleitet? Diese Fragen können für die Rekonstruktion des Vorgangs und die Beurteilung möglicher Ansprüche eine wichtige Rolle spielen.

Bei einem Anlage- oder Tradingbetrug steht dagegen häufig die Täuschung im Mittelpunkt. Der Betroffene kann beispielsweise davon ausgegangen sein, dass eine Einzahlung auf einem persönlichen Anlagekonto verbucht wird, obwohl die Kryptowährungen tatsächlich an eine vom Täter kontrollierte Wallet transferiert wurden. In einer solchen Konstellation kann die technische Spur zusammen mit den Nachrichten des angeblichen Brokers oder Beraters ein deutlich umfassenderes Bild ergeben.

Für die Vermögenssicherung ist deshalb die Verbindung verschiedener Beweismittel besonders wichtig. Die Blockchain zeigt den tatsächlichen Transfer. Chatverläufe können erklären, warum der Transfer vorgenommen wurde. Kontoauszüge können den vorhergehenden Erwerb der Kryptowährungen dokumentieren. E-Mails oder Vertragsunterlagen können zeigen, welche Darstellung der Anbieter gegenüber dem Betroffenen verwendet hat. Erst aus dem Zusammenspiel dieser Informationen kann sich ein belastbarer Gesamtzusammenhang ergeben.

Wenn ein Betroffener die Kryptowährungen über eine Kryptobörse gekauft hat, sollte deshalb nicht nur die spätere externe Wallet betrachtet werden. Auch die ursprüngliche Kauf- und Auszahlungshistorie kann relevant sein. Dadurch lässt sich möglicherweise nachvollziehen, wann die Kryptowährungen erworben, wann sie aus dem Börsenkonto übertragen und an welche Adresse sie gesendet wurden. Diese Informationen können helfen, den Übergang vom eigenen Vermögen zur späteren Empfängeradresse zu dokumentieren.

Bei mehreren Einzahlungen sollte die Zuordnung besonders sorgfältig erfolgen. Werden beispielsweise an mehreren Tagen Kryptowährungen erworben und anschließend an unterschiedliche Adressen gesendet, darf nicht ohne Prüfung angenommen werden, dass sämtliche späteren Transaktionen zu demselben Vorgang gehören. Eine strukturierte Transaktionsübersicht kann dabei helfen, einzelne Vermögensbewegungen voneinander zu trennen. Gerade bei größeren Schadensfällen ist diese Genauigkeit wichtig.

Auch die Verwendung verschiedener Blockchain-Netzwerke muss berücksichtigt werden. Ein Betroffener kann beispielsweise Kryptowährungen auf unterschiedlichen Netzwerken übertragen haben. Ein Transaktions-Hash aus einem Netzwerk lässt sich nicht ohne Weiteres wie eine Transaktion aus einem anderen Netzwerk behandeln. Für die technische Untersuchung müssen daher jeweils die richtigen Blockchain-Daten und die passenden Analysewerkzeuge verwendet werden. Eine fehlerhafte Zuordnung kann sonst zu falschen Schlussfolgerungen über den Verbleib der Vermögenswerte führen.

Bei Token können zusätzlich Besonderheiten des jeweiligen Netzwerks relevant sein. Nicht jede Übertragung eines Tokens entspricht technisch einer eigenständigen Blockchain. Je nach verwendetem Netzwerk können Token-Transfers innerhalb einer gemeinsamen Infrastruktur stattfinden. Für die Nachverfolgung muss deshalb eindeutig feststehen, welcher Token auf welchem Netzwerk übertragen wurde. Auch hier sind der genaue Transaktions-Hash und die Vertrags- beziehungsweise Tokeninformationen von Bedeutung.

Eine Vermögenssicherung kann außerdem dadurch erschwert werden, dass Vermögenswerte auf mehrere Adressen verteilt wurden. Ein Täter kann beispielsweise einen eingegangenen Betrag in mehrere kleinere Beträge aufteilen und diese an verschiedene Adressen weiterleiten. Umgekehrt können verschiedene Beträge später wieder zusammengeführt werden. Eine solche Struktur kann die technische Analyse erheblich komplexer machen. Sie bedeutet jedoch nicht automatisch, dass keine nachvollziehbaren Spuren mehr vorhanden sind.

Eine Multi-Hop-Analyse kann in solchen Fällen dabei helfen, die bekannten Transaktionsschritte systematisch abzubilden. Dabei wird nicht nur die erste Zieladresse betrachtet, sondern die weitere Bewegung der betreffenden Vermögenswerte über mehrere Transaktionen hinweg. Wichtig ist allerdings, dass jede Zuordnung anhand der tatsächlichen Blockchain-Daten überprüft wird. Eine bloße optische Ähnlichkeit von Beträgen oder Zeitpunkten reicht nicht aus, um eine Transaktionskette sicher zuzuordnen.

Auch sogenannte Sammel- oder Zwischenadressen können eine Rolle spielen. Wenn viele Transaktionen über eine Adresse laufen, kann diese Adresse beispielsweise Teil einer größeren Wallet-Infrastruktur sein. Ohne zusätzliche Informationen lässt sich daraus jedoch nicht zuverlässig auf eine bestimmte Person schließen. Die Analyse sollte deshalb zwischen gesicherten Feststellungen und bloßen Wahrscheinlichkeiten unterscheiden.

Für die rechtliche Vermögenssicherung ist diese Unterscheidung besonders wichtig. Eine Behauptung wie „Diese Wallet gehört dem Täter“ sollte nicht allein darauf gestützt werden, dass die Wallet die gestohlenen Kryptowährungen empfangen hat. Technisch lässt sich möglicherweise nachweisen, dass die Vermögenswerte diese Adresse erreicht haben. Ob eine bestimmte Person die Adresse kontrolliert, ist eine weitere Frage. Hier können zusätzliche Informationen aus Kommunikation, Plattformkontakten oder anderen Quellen erforderlich sein.

Wenn sich aus der Analyse Hinweise auf einen bestimmten Dienstleister ergeben, kann dessen Rolle genauer betrachtet werden. Dazu kann beispielsweise gehören, ob die Zieladresse zu einer Kryptobörse, einem Broker, einem Zahlungsdienstleister oder einer anderen zentralen Plattform gehört. Eine solche Einordnung kann einen neuen Ansatzpunkt schaffen, weil bei zentralisierten Diensten möglicherweise weitere Informationen existieren. Die technische Identifizierung eines Dienstleisters ist allerdings nicht mit einem Nachweis seiner Verantwortlichkeit gleichzusetzen.

Auch der zeitliche Faktor kann bei der Vermögenssicherung eine Rolle spielen. Kryptowährungen können grundsätzlich sehr schnell weitertransferiert werden. Wer erst spät mit der Aufarbeitung beginnt, kann deshalb auf eine bereits umfangreichere Transaktionskette treffen. Das macht die Analyse nicht zwingend unmöglich, kann aber die Zahl der zu prüfenden Transaktionen erhöhen. Deshalb ist eine möglichst frühe und vollständige Sicherung der vorhandenen Daten sinnvoll.

Gleichzeitig sollte der Zeitdruck nicht dazu führen, dass Betroffene sich von angeblichen Helfern zu unüberlegten Maßnahmen drängen lassen. Ein seriöser Ansatz zur Vermögenssicherung sollte nachvollziehbar erklären können, welche Transaktion untersucht wird, welche Daten tatsächlich vorliegen und welcher konkrete nächste Schritt daraus abgeleitet werden soll. Pauschale Versprechen, die gestohlenen Kryptowährungen sicher zurückzuholen, sind dagegen kein belastbarer Maßstab für die Qualität einer Analyse.

Besondere Vorsicht ist geboten, wenn eine unbekannte Person behauptet, die gestohlenen Kryptowährungen bereits „lokalisiert“ zu haben und nun eine Zahlung verlangt. Die Tatsache, dass eine Wallet-Adresse genannt wird, kann allein keinen Nachweis für eine besondere Zugriffsmöglichkeit darstellen. Eine Blockchainadresse kann grundsätzlich öffentlich einsehbar sein. Entscheidend ist daher, ob die behauptete Analyse anhand der tatsächlichen Transaktionsdaten nachvollzogen werden kann und welche konkreten rechtlichen oder technischen Konsequenzen daraus entstehen.

Eine weitere Frage ist, ob die noch vorhandenen Vermögenswerte überhaupt eindeutig den verlorenen Kryptowährungen zugeordnet werden können. Bei einer langen Transaktionskette kann die Zuordnung schwieriger werden, insbesondere wenn zahlreiche weitere Ein- und Ausgänge über dieselben Adressen erfolgen. Eine fachgerechte Analyse sollte deshalb möglichst klar darstellen, welche Verbindung zwischen der ursprünglichen Transaktion und späteren Bewegungen besteht und an welcher Stelle Unsicherheiten verbleiben.

Bei der Vermögenssicherung können außerdem Ansprüche gegen Personen oder Unternehmen relevant werden, die in den Transaktions- oder Kommunikationsablauf eingebunden sind. Ob ein solcher Anspruch besteht, kann jedoch nicht allein aus einer Wallet-Adresse abgeleitet werden. Erforderlich ist eine rechtliche Prüfung des konkreten Sachverhalts. Dabei können Fragen des Vertragsrechts, des Deliktsrechts oder anderer rechtlicher Grundlagen eine Rolle spielen. Welche Anspruchsgrundlage tatsächlich einschlägig ist, hängt von den Umständen des jeweiligen Falls ab.

Auch gegenüber Banken, Zahlungsdienstleistern oder Kryptobörsen sollte nicht pauschal angenommen werden, dass diese für jeden durch einen Betrug entstandenen Verlust einstehen müssen. Ihre konkrete Rolle muss getrennt untersucht werden. Entscheidend können beispielsweise die Art der Zahlung, die verfügbaren Warnhinweise, die konkreten Abläufe und die jeweiligen vertraglichen beziehungsweise gesetzlichen Pflichten sein. Eine bloße Beteiligung am Zahlungsweg reicht nicht automatisch für eine Haftung aus.

Wenn der Vermögensfluss zu einem zentralen Dienstleister führt, kann dennoch geprüft werden, welche Informationen dort möglicherweise vorhanden sind und welche rechtlichen Möglichkeiten zur Sicherung oder Aufklärung bestehen. Dabei können KYC-Daten, interne Kontozuordnungen, Einzahlungsdaten und Transaktionsaufzeichnungen relevant sein. Ob solche Informationen tatsächlich verfügbar sind und wie darauf zugegriffen werden kann, muss im Einzelfall geprüft werden.

Bei ausländischen Anbietern können zusätzliche Schwierigkeiten auftreten. Ein Unternehmen kann seinen Sitz außerhalb Deutschlands haben, verschiedene Gesellschaften einsetzen oder Dienstleistungen über internationale Strukturen anbieten. Auch die zuständige Rechtsordnung und die praktischen Möglichkeiten zur Durchsetzung von Ansprüchen können sich unterscheiden. Eine technische Spur auf der Blockchain bleibt zwar sichtbar, die rechtliche Durchsetzung kann aber wesentlich komplexer sein.

Die Vermögenssicherung sollte deshalb nicht als einzelner Vorgang verstanden werden, sondern als Zusammenspiel von technischer Aufklärung, Beweissicherung und rechtlicher Bewertung. Die Blockchainanalyse kann zeigen, was mit den Kryptowährungen technisch geschehen ist. Die Beweismittel außerhalb der Blockchain können erklären, wie es zur Übertragung kam. Die rechtliche Prüfung muss anschließend feststellen, welche konkreten Maßnahmen gegenüber den beteiligten Personen oder Stellen überhaupt in Betracht kommen.

Ein wichtiger Punkt ist dabei die Sicherung der bereits gewonnenen Erkenntnisse. Wenn eine Blockchainanalyse durchgeführt wurde, sollten die verwendeten Wallet-Adressen, Transaktions-Hashes und Ergebnisse nachvollziehbar dokumentiert werden. Bei späteren weiteren Transaktionen kann die Analyse ergänzt werden. Dadurch entsteht eine fortlaufende Dokumentation, anstatt dass zu einem späteren Zeitpunkt erneut bei null begonnen werden muss.

Bei größeren Schadensfällen kann außerdem eine klare Darstellung der einzelnen Schadenspositionen sinnvoll sein. Neben dem eigentlichen Kryptowährungsbetrag können beispielsweise Gebühren beim Kauf oder Transfer, weitere Zahlungen an den angeblichen Anbieter oder sonstige unmittelbar mit dem Vorgang verbundene Vermögensnachteile eine Rolle spielen. Welche Positionen rechtlich berücksichtigt werden können, ist wiederum eine Frage der konkreten Anspruchsprüfung.

Bei der Bewertung des Schadens sollte außerdem berücksichtigt werden, dass der Wert einer Kryptowährung erheblichen Schwankungen unterliegen kann. Deshalb sollte dokumentiert werden, welche Menge an Kryptowährung tatsächlich übertragen wurde und nicht nur, welchen Euro-Wert sie zu einem bestimmten Zeitpunkt hatte. Die Anzahl der Coins beziehungsweise Token, das Netzwerk und der genaue Transaktionszeitpunkt sind für die technische Dokumentation unverzichtbar.

Wenn ein Betroffener beispielsweise behauptet, Kryptowährungen im Wert von 50.000 Euro verloren zu haben, sollte für die technische Untersuchung möglichst genau angegeben werden, welche Kryptowährung in welcher Menge übertragen wurde. Ein Euro-Gegenwert allein ermöglicht keine Blockchainanalyse. Erst die Kombination aus Asset, Menge, Netzwerk, Wallet-Adresse und Transaktions-Hash macht eine konkrete technische Prüfung möglich.

Auch bei einem angeblichen Kontoguthaben auf einer Tradingplattform muss die Vermögenssicherung differenziert betrachtet werden. Wenn die Plattform lediglich einen hohen Betrag auf dem Bildschirm anzeigt, ohne dass sich ein entsprechender Blockchain-Bestand feststellen lässt, kann die Situation anders zu bewerten sein als bei einem tatsächlichen Wallet-Abfluss. In einem solchen Fall sollte zunächst geprüft werden, ob überhaupt ein realer Krypto-Vermögenswert existiert, der technisch verfolgt werden kann.

Gerade bei betrügerischen Tradingplattformen kann die Darstellung eines vermeintlichen Gewinns Teil der Täuschung sein. Ein angezeigtes Guthaben von beispielsweise 80.000 Euro bedeutet nicht automatisch, dass sich tatsächlich Kryptowährungen in dieser Höhe auf einer kontrollierten Wallet befinden. Wenn anschließend eine angebliche Steuer, Liquiditätsprüfung oder Sicherheitsleistung verlangt wird, sollte zunächst die Grundlage dieses Guthabens überprüft werden. Die bloße Anzeige innerhalb einer Plattform ist kein Ersatz für einen nachvollziehbaren Blockchain-Nachweis.

Bei einem tatsächlichen Wallet-Diebstahl stellt sich dagegen stärker die Frage, wohin die konkreten Coins oder Token transferiert wurden. Die technische Nachverfolgung kann hier unmittelbar an der entsprechenden Transaktion ansetzen. Daraus können sich gegebenenfalls Hinweise auf Folgeadressen oder zentrale Dienstleister ergeben. Ob daraus anschließend eine konkrete Möglichkeit zur Sicherung der Vermögenswerte entsteht, muss separat beurteilt werden.

Eine besondere Herausforderung besteht, wenn der Täter versucht, die Nachverfolgung durch zahlreiche Zwischenbewegungen zu erschweren. Auch dann können Transaktionsdaten grundsätzlich erhalten bleiben. Die Komplexität der Analyse steigt jedoch. Deshalb sollte nicht jede weitere Wallet automatisch als Beweis für einen neuen Täter gewertet werden. Entscheidend ist eine nachvollziehbare Rekonstruktion des Vermögensflusses.

Ebenso sollte nicht davon ausgegangen werden, dass die Übertragung auf eine Kryptobörse automatisch bedeutet, dass die Kryptowährungen dort noch vorhanden sind. Ein Dienstleister kann interne Bewegungen vornehmen, Vermögenswerte auf Sammelwallets verwalten oder Auszahlungen an andere Adressen ermöglichen. Die Blockchainanalyse muss deshalb den tatsächlich sichtbaren Verlauf erfassen. Eine einmalige Einzahlung bei einer Börse ist lediglich ein weiterer Punkt innerhalb der Transaktionskette.

Wenn ein zentraler Anbieter identifiziert wurde, kann außerdem relevant sein, ob die Transaktion zeitlich und betragsmäßig eindeutig zugeordnet werden kann. Bei stark frequentierten Wallets können zahlreiche Einzahlungen in kurzer Zeit stattfinden. Die genaue Kombination aus Transaktions-Hash, Zieladresse, Betrag, Asset und Zeitpunkt kann deshalb entscheidend sein. Je präziser die Ausgangsdaten dokumentiert sind, desto besser lässt sich der konkrete Vorgang von anderen Transaktionen unterscheiden.

Die Frage nach der Vermögenssicherung sollte schließlich immer realistisch beantwortet werden. Es gibt Fälle, in denen eine nachvollziehbare Spur zu einem zentralen Dienstleister führt und daraus weitere Anknüpfungspunkte entstehen. Es gibt ebenso Fälle, in denen die Vermögenswerte über zahlreiche Wallets bewegt wurden und eine konkrete Zuordnung erheblich schwieriger ist. Eine Blockchainanalyse kann die vorhandenen Spuren sichtbar machen, garantiert aber weder die Identifizierung einer bestimmten Person noch die Rückgabe der verlorenen Kryptowährungen.

Deshalb ist es sinnvoll, zwischen drei Fragen zu unterscheiden: Erstens, wo haben sich die Kryptowährungen nachweisbar bewegt? Zweitens, welche Personen, Wallets oder Dienstleister lassen sich mit diesen Bewegungen in Verbindung bringen? Drittens, welche technischen oder rechtlichen Maßnahmen können auf dieser Grundlage tatsächlich ergriffen werden? Erst die Beantwortung dieser Fragen ermöglicht eine seriöse Einschätzung der weiteren Möglichkeiten.

Wer gestohlene Kryptowährungen verfolgen möchte, sollte daher nicht bei der ersten gefundenen Wallet-Adresse stehen bleiben. Entscheidend ist die möglichst vollständige Rekonstruktion des Vermögensflusses und die Verbindung dieser technischen Daten mit den übrigen Beweismitteln. Dabei können Walletanalyse, Blockchainanalyse und gegebenenfalls eine Multi-Hop-Analyse wichtige Grundlagen liefern. Die anschließende Vermögenssicherung ist jedoch ein eigenständiger Schritt, bei dem technische und rechtliche Fragen zusammengeführt werden müssen.

Je genauer der Sachverhalt dokumentiert ist, desto besser lässt sich prüfen, ob konkrete Ansatzpunkte für weitere Maßnahmen bestehen. Dazu gehören die ursprüngliche Wallet, sämtliche relevanten Transaktions-Hashes, die bekannten Folgeadressen, Informationen zu Kryptobörsen oder anderen Dienstleistern sowie die Kommunikation mit den Personen, die die Übertragung veranlasst oder beeinflusst haben. Auch Kontoauszüge und Zahlungsbelege können den finanziellen Zusammenhang ergänzen.

Bei einem erheblichen Schaden sollte deshalb nicht allein versucht werden, möglichst viele Wallets zu finden. Wichtiger ist eine nachvollziehbare und belastbare Analyse der tatsächlich relevanten Transaktionen. Eine lange Liste unbekannter Adressen schafft noch keine Vermögenssicherung. Entscheidend ist vielmehr, welche Verbindung zwischen dem ursprünglichen Verlust und den späteren Bewegungen nachgewiesen werden kann und welche konkreten Anknüpfungspunkte sich daraus ergeben.

Die technische Nachverfolgung kann damit ein wichtiger Baustein sein, um gestohlene Kryptowährungen zu verfolgen. Sie kann Transaktionen sichtbar machen, Folgebewegungen dokumentieren und unter bestimmten Umständen Hinweise auf zentrale Dienstleister liefern. Sie ersetzt jedoch weder die Prüfung der tatsächlichen Verantwortlichkeiten noch die Bewertung möglicher Ansprüche. Ob und welche Maßnahmen zur Sicherung von Vermögenswerten sinnvoll sind, hängt deshalb stets von der konkreten Transaktionskette, den vorhandenen Beweisen und den rechtlichen Rahmenbedingungen ab.

Für Betroffene bedeutet das: Eine gefundene Wallet-Adresse ist ein Anfang, nicht das Ende der Prüfung. Aus der Adresse muss eine nachvollziehbare Transaktionskette werden. Aus der Transaktionskette müssen, soweit möglich, belastbare Anknüpfungspunkte entstehen. Und erst auf dieser Grundlage kann geprüft werden, ob konkrete Schritte zur Vermögenssicherung in Betracht kommen. Eine seriöse Einschätzung sollte dabei Chancen und Grenzen gleichermaßen berücksichtigen und keine Rückgewinnung versprechen, die sich aus den vorhandenen Daten nicht ableiten lässt.

Gestohlene Kryptowährungen verfolgen – welche rechtlichen Ansprüche und Verantwortlichkeiten kommen infrage?

Wenn sich nachvollziehen lässt, dass Kryptowährungen ohne Berechtigung übertragen oder durch eine Täuschung an eine fremde Wallet gesendet wurden, stellt sich neben der technischen Frage nach dem Verbleib der Vermögenswerte auch die rechtliche Frage, gegen wen sich mögliche Ansprüche richten können. Dabei reicht es nicht aus, lediglich festzustellen, dass Kryptowährungen verloren gegangen sind. Entscheidend ist vielmehr, wie es zu dem Verlust kam, wer daran beteiligt war, welche Handlungen oder Unterlassungen nachweisbar sind und welche Personen oder Unternehmen tatsächlich identifiziert werden können.

Gerade bei Kryptobetrug können unterschiedliche Sachverhalte äußerlich ähnlich erscheinen. Bei einem direkten Wallet-Hack kann ein Angreifer ohne Zustimmung des Eigentümers eine Transaktion ausgelöst haben. Bei einem Phishing-Angriff kann der Betroffene Zugangsdaten oder eine Seed Phrase an einen Täter übermittelt haben, ohne dessen wahre Absichten zu erkennen. Bei einem Anlagebetrug kann der Betroffene die Kryptowährungen sogar selbst an eine vom angeblichen Anbieter vorgegebene Adresse senden, weil er davon ausgeht, eine Investition vorzunehmen. Die rechtliche Bewertung hängt deshalb maßgeblich vom konkreten Ablauf ab.

Eine wichtige Grundlage bildet zunächst die genaue Rekonstruktion des Geschehens. Es muss festgestellt werden, welche Kryptowährungen betroffen waren, wann sie übertragen wurden und von welcher Wallet-Adresse sie abgeflossen sind. Ebenso relevant ist, ob die Transaktion vom Betroffenen selbst ausgelöst wurde oder ob ein unbefugter Zugriff vorlag. Der Transaktions-Hash kann den tatsächlichen Transfer dokumentieren. Er beantwortet allerdings nicht allein die Frage, wer die Transaktion veranlasst hat oder wer die Empfängeradresse kontrolliert.

Bei einem unbefugten Zugriff auf eine Wallet kann beispielsweise zu prüfen sein, wie der Täter Zugang zu den digitalen Vermögenswerten erlangt hat. Denkbar sind eine kompromittierte Seed Phrase, ein abgegriffener Private Key, Schadsoftware, eine manipulierte Wallet-Anwendung oder ein anderer technischer Angriff. Für die rechtliche Beurteilung kann relevant sein, ob sich dieser Ablauf anhand technischer Daten nachvollziehen lässt. Deshalb sollten technische Beweismittel nicht isoliert von den übrigen Unterlagen betrachtet werden.

Anders kann die Situation bei einer Täuschung sein. Wenn ein angeblicher Broker oder Anlageberater den Betroffenen davon überzeugt, Kryptowährungen an eine bestimmte Wallet zu übertragen, kann die eigentliche Ursache des Vermögensverlustes in einer gezielten Täuschung liegen. In einem solchen Fall können Chatverläufe, E-Mails, Vertragsunterlagen, Webseiten und Zahlungsaufforderungen eine ebenso große Bedeutung haben wie die Blockchain-Daten.

Die Kommunikation kann beispielsweise zeigen, welche Zusagen gemacht wurden, welchen Zweck die Übertragung angeblich hatte und welche Person die Transaktion veranlasst hat. Wenn ein angeblicher Berater erklärt, die Kryptowährungen würden auf einem persönlichen Anlagekonto verwahrt, tatsächlich aber eine Wallet eines unbekannten Empfängers verwendet wird, kann dieser Widerspruch für die rechtliche Bewertung erheblich sein. Ob daraus konkrete Ansprüche entstehen, muss anhand des gesamten Sachverhalts geprüft werden.

Auch die Identität des unmittelbaren Empfängers ist nicht immer ohne Weiteres feststellbar. Eine Wallet-Adresse enthält keinen Namen und keine sonstigen persönlichen Identifikationsdaten. Eine Blockchainanalyse kann unter Umständen Hinweise darauf liefern, dass eine Adresse mit einer Kryptobörse oder einem anderen Dienstleister verbunden ist. Die Zuordnung zu einer bestimmten Person erfordert jedoch gegebenenfalls weitere Informationen.

Wenn Kryptowährungen an eine zentrale Kryptobörse gelangen, kann deshalb die Frage relevant werden, ob dort Daten über den Nutzer des betreffenden Kontos vorhanden sind. Dazu können insbesondere KYC-Daten, Kontoinformationen und interne Transaktionsdaten gehören. Ob solche Informationen erlangt oder rechtlich genutzt werden können, hängt vom konkreten Anbieter, dessen Sitz und den jeweiligen rechtlichen Möglichkeiten ab.

Die Tatsache, dass ein Dienstleister KYC-Daten erhebt, bedeutet allerdings nicht automatisch, dass er für den ursprünglichen Verlust verantwortlich ist. Ein zentraler Anbieter kann lediglich als Plattform genutzt worden sein, über die ein Täter Kryptowährungen empfangen oder weitertransferiert. Deshalb müssen die Rollen der verschiedenen Beteiligten sorgfältig voneinander getrennt werden.

Mögliche Ansprüche können sich grundsätzlich gegen die Person richten, die den Vermögensverlust unmittelbar verursacht hat. Ob eine solche Person identifiziert werden kann, ist eine der zentralen Fragen. Bei einem anonym erscheinenden Wallet-Inhaber kann die Blockchain zwar den Vermögensfluss zeigen, aber nicht automatisch den Namen des Kontrollierenden nennen. Zusätzliche Anhaltspunkte können deshalb entscheidend sein.

Solche Anhaltspunkte können aus der Kommunikation mit dem Täter, verwendeten Telefonnummern, E-Mail-Adressen, Webseiten, Unternehmensangaben oder Zahlungswegen stammen. Auch die Verbindung zwischen einer Wallet und einer Kryptobörse kann für die weitere Identifizierung relevant sein. Eine einzelne Information ist dabei häufig nicht ausreichend. Erst die Verbindung mehrerer Beweismittel kann ein belastbareres Bild ergeben.

Bei einem professionell organisierten Betrug können außerdem mehrere Personen oder Unternehmen beteiligt sein. Ein angeblicher Anlageberater kann unter einem falschen Namen auftreten, während die Zahlungen an ein anderes Unternehmen oder eine externe Wallet geleitet werden. Ein weiterer Kontakt kann anschließend für die angebliche Auszahlung zuständig sein. Diese Strukturen sollten nicht allein anhand der Selbstdarstellung des Anbieters beurteilt werden.

Gerade bei sogenannten Recovery- oder Folgekontakten ist Vorsicht geboten. Nach einem ersten Verlust können Personen auftreten, die behaupten, über spezielle Möglichkeiten zur Rückgewinnung der Kryptowährungen zu verfügen. Dabei kann erneut eine Zahlung verlangt werden. Auch wenn solche Personen über Einzelheiten des ursprünglichen Falls verfügen, ist damit nicht bewiesen, dass sie tatsächlich über die erforderlichen Zugriffsmöglichkeiten verfügen. Vielmehr sollte geprüft werden, woher die behaupteten Informationen stammen und welche konkrete Leistung angeboten wird.

Wenn aufgrund einer solchen zweiten Kontaktaufnahme erneut Kryptowährungen übertragen werden, kann ein weiterer Vermögensschaden entstehen. Deshalb sollten neue Forderungen nach Gebühren, Steuern, Sicherheitsleistungen oder angeblichen Freischaltungsbeträgen besonders kritisch geprüft werden. Eine technische Analyse kann zwar zeigen, wohin eine bereits erfolgte Zahlung gegangen ist. Sie ersetzt jedoch nicht die Prüfung, ob die zugrunde liegende Forderung überhaupt berechtigt war.

Neben den unmittelbar handelnden Personen können auch andere Beteiligte im Sachverhalt auftauchen. Dazu können Zahlungsdienstleister, Banken, Kryptobörsen, Vermittler oder technische Dienstleister gehören. Daraus folgt jedoch nicht automatisch eine Haftung. Entscheidend ist vielmehr, welche konkrete Rolle die jeweilige Stelle hatte und ob daraus nach den Umständen des Einzelfalls eine rechtlich relevante Pflicht oder Verantwortlichkeit entstehen kann.

Bei Banken ist beispielsweise zwischen dem ursprünglichen Zahlungsweg und einem späteren Krypto-Transfer zu unterscheiden. Wenn ein Betroffener Geld von seinem Bankkonto an eine Kryptobörse überweist und dort Kryptowährungen kauft, ist die Bank nicht ohne Weiteres für einen späteren Verlust auf einer externen Wallet verantwortlich. Umgekehrt kann die konkrete Art des Zahlungsverkehrs für die Rekonstruktion des Schadens und des zeitlichen Ablaufs wichtig sein. Eine pauschale Bewertung wird dem jeweiligen Fall deshalb nicht gerecht.

Auch bei einer Kryptobörse muss genau geprüft werden, welche Funktion sie im Geschehen hatte. Hat der Betroffene dort lediglich Kryptowährungen erworben? Wurden die Coins anschließend an eine externe Adresse ausgezahlt? Hat die Plattform die Empfängeradresse selbst vorgegeben oder wurde sie vom Nutzer eingegeben? War der betreffende Dienstleister nur technischer Verwahrer oder gab es weitere konkrete Vorgänge? Diese Fragen können für die rechtliche Bewertung erheblich sein.

Eine besondere Rolle kann spielen, ob Warnhinweise oder Sicherheitsmechanismen vorhanden waren. Auch hier sollte jedoch nicht vorschnell aus dem Fehlen eines bestimmten Warnhinweises eine Haftung abgeleitet werden. Entscheidend sind die konkreten Umstände, die technischen Abläufe und die rechtlichen Pflichten des jeweiligen Dienstleisters. Die Prüfung muss deshalb auf den Einzelfall bezogen erfolgen.

Bei einem Wallet-Hack kann wiederum die verwendete Software oder Hardware relevant werden. Wenn eine Sicherheitslücke, eine manipulierte Anwendung oder eine gefälschte Wallet-Software eine Rolle gespielt haben könnte, kann die technische Rekonstruktion des Angriffs für die rechtliche Bewertung wichtig sein. Dafür können beispielsweise Geräteinformationen, Installationsdaten, Screenshots und die zeitliche Abfolge der Ereignisse benötigt werden.

Ebenso wichtig ist die Frage, ob der Betroffene selbst bestimmte Sicherheitsmaßnahmen getroffen hatte und welche Informationen er an Dritte weitergegeben hat. Das bedeutet nicht, dass einem Geschädigten automatisch ein Fehlverhalten vorgeworfen werden kann. Vielmehr geht es darum, den tatsächlichen technischen Ablauf möglichst genau festzustellen. Nur so lässt sich beurteilen, welche Ursache der Vermögensverlust hatte.

Bei einem Phishing-Angriff kann beispielsweise eine gefälschte Website dazu geführt haben, dass Zugangsdaten oder eine Seed Phrase eingegeben wurden. Wenn sich dieser Vorgang durch Nachrichten, Webseiteninformationen oder technische Daten nachvollziehen lässt, kann dies für die Aufklärung des Geschehens wichtig sein. Auch hier muss zwischen dem eigentlichen Täter und möglicherweise unbeteiligten technischen Dienstleistern unterschieden werden.

Eine rechtliche Anspruchsprüfung sollte deshalb immer von den tatsächlichen Tatsachen ausgehen. Allgemeine Aussagen wie „Die Börse muss für den Verlust zahlen“ oder „Der Wallet-Anbieter haftet für den Diebstahl“ sind ohne Prüfung des konkreten Sachverhalts nicht belastbar. Ebenso wenig lässt sich aus einer identifizierten Wallet automatisch eine bestimmte Haftung ableiten.

Mögliche Ansprüche können je nach Sachverhalt unterschiedliche rechtliche Grundlagen haben. In Betracht kommen beispielsweise Ansprüche auf Herausgabe oder Schadensersatz. Welche Grundlage tatsächlich einschlägig ist, hängt unter anderem davon ab, ob eine Täuschung, ein unbefugter Zugriff, eine vertragliche Beziehung oder eine andere rechtlich relevante Handlung vorliegt. Auch die Frage, welche Person oder welches Unternehmen Anspruchsgegner sein kann, muss gesondert geprüft werden.

Bei einem unmittelbar identifizierten Täter kann sich die Prüfung darauf konzentrieren, welche Vermögenswerte übertragen wurden und ob diese noch identifizierbar vorhanden sind. Wenn die Kryptowährungen noch einer bestimmten Wallet zugeordnet werden können, kann die technische Dokumentation für die rechtliche Durchsetzung besonders relevant sein. Dabei bleibt jedoch zu berücksichtigen, dass eine Wallet-Adresse allein noch keine Person identifiziert.

Wenn die Kryptowährungen dagegen bereits mehrfach weitertransferiert wurden, kann sich die rechtliche Prüfung auf mehrere Ebenen erstrecken. Zunächst muss der ursprüngliche Verlust dokumentiert werden. Danach kann untersucht werden, welche Folgebewegungen nachweisbar sind. Anschließend ist zu prüfen, ob eine konkrete Verbindung zu einer identifizierbaren Person oder einem zentralen Dienstleister hergestellt werden kann.

Die Blockchainanalyse kann dabei eine wichtige Beweisgrundlage schaffen. Sie kann beispielsweise zeigen, dass ein bestimmter Betrag von der ursprünglichen Wallet an eine bestimmte Zieladresse übertragen wurde und später über weitere Adressen zu einem Dienstleister gelangte. Sie kann jedoch nicht ohne zusätzliche Informationen beweisen, wer hinter jeder dieser Adressen steht. Diese Grenze sollte bei der rechtlichen Bewertung stets berücksichtigt werden.

Auch der Zeitpunkt der einzelnen Transaktionen kann relevant sein. Wenn beispielsweise unmittelbar nach einer Kommunikation mit einem angeblichen Berater eine bestimmte Transaktion stattfindet, kann dieser zeitliche Zusammenhang für die Rekonstruktion interessant sein. Er ersetzt allerdings keinen Beweis dafür, dass die betreffende Person die Transaktion kontrolliert oder selbst ausgelöst hat. Auch hier müssen verschiedene Informationen miteinander abgeglichen werden.

Bei der Prüfung möglicher Ansprüche ist außerdem der konkrete Schaden zu dokumentieren. Entscheidend ist zunächst die Menge der tatsächlich verlorenen Kryptowährungen. Zusätzlich können die ursprünglichen Erwerbskosten, weitere Zahlungen und sonstige unmittelbar mit dem Vorgang verbundene Vermögensnachteile relevant sein. Welche Positionen rechtlich geltend gemacht werden können, lässt sich nicht pauschal beantworten.

Die Wertentwicklung von Kryptowährungen macht die Schadensberechnung zusätzlich anspruchsvoll. Der Wert eines Coins kann sich zwischen Erwerb, Übertragung und späterer Bewertung erheblich verändern. Deshalb sollte nicht nur ein einzelner Euro-Betrag genannt werden. Die tatsächliche Menge, der genaue Transaktionszeitpunkt und die entsprechenden Nachweise sollten erhalten bleiben. Für die rechtliche Bewertung können anschließend die jeweils maßgeblichen Bewertungsfragen geprüft werden.

Besonders sorgfältig sollte auch mit Angaben zu angeblichen Gewinnen umgegangen werden. Wenn eine betrügerische Plattform beispielsweise einen Kontostand von 100.000 Euro anzeigt, bedeutet dies nicht automatisch, dass dem Betroffenen tatsächlich Kryptowährungen in dieser Höhe entzogen wurden. Zunächst muss geprüft werden, ob diesem angezeigten Betrag ein realer Vermögenswert gegenüberstand. Die Blockchain-Daten können hierbei eine wichtige Abgrenzung ermöglichen.

Eine solche Prüfung kann auch zeigen, dass der vermeintliche Verlust anders beschaffen ist als zunächst angenommen. Vielleicht wurden lediglich die tatsächlich eingezahlten Kryptowährungen übertragen, während die angeblichen Gewinne ausschließlich auf einer manipulierten Plattform angezeigt wurden. Für mögliche Ansprüche kann diese Unterscheidung erheblich sein. Deshalb sollte eine Schadensberechnung nicht allein auf der Darstellung eines betrügerischen Anbieters beruhen.

Bei internationalen Sachverhalten kommen weitere Fragen hinzu. Der Täter kann im Ausland sitzen, die Kryptobörse kann eine Gesellschaft in einem anderen Staat sein und die verwendeten Zahlungsdienstleister können wiederum andere Standorte haben. Welche Ansprüche bestehen und wie sie durchgesetzt werden können, hängt dann unter anderem von den beteiligten Personen und Unternehmen, deren Sitz und den anwendbaren rechtlichen Regelungen ab.

Die technische Blockchain selbst kennt dagegen keine nationalen Grenzen. Eine Transaktion kann unabhängig vom Sitz der beteiligten Personen nachvollzogen werden, soweit sie auf einer öffentlich einsehbaren Blockchain gespeichert ist. Gerade deshalb kann die Blockchainanalyse auch bei internationalen Fällen eine wichtige Grundlage bilden. Sie löst allerdings nicht automatisch die rechtlichen Fragen, die sich aus der grenzüberschreitenden Struktur ergeben.

Bei der Durchsetzung möglicher Ansprüche kann außerdem die Sicherung von Vermögenswerten eine Rolle spielen. Wenn konkrete Hinweise bestehen, dass sich relevante Vermögenswerte noch identifizierbar bei einer Person oder einem Dienstleister befinden, kann geprüft werden, welche rechtlichen Maßnahmen zur Sicherung in Betracht kommen. Welche Maßnahme geeignet ist, hängt vom konkreten Sachverhalt ab und sollte nicht allein aus einer technischen Wallet-Zuordnung abgeleitet werden.

Gerade hier zeigt sich die Bedeutung einer möglichst frühen Dokumentation. Wenn erst Monate später versucht wird, eine komplexe Transaktionskette zu rekonstruieren, können zusätzliche Schwierigkeiten entstehen. Die Blockchain selbst bleibt zwar grundsätzlich als historische Datenquelle erhalten, andere Informationen wie Webseiten, Kommunikationsverläufe oder Kontodaten können sich dagegen verändern oder verloren gehen. Deshalb sollten diese Beweismittel frühzeitig gesichert werden.

Auch die Originalunterlagen sind wichtig. Ein Screenshot einer Wallet-Adresse ist hilfreich, aber die dazugehörige Transaktions-ID sollte zusätzlich gespeichert werden. Ein Chatverlauf kann den Inhalt einer Kommunikation dokumentieren, sollte aber möglichst vollständig erhalten bleiben. Ein Kontoauszug sollte nicht nur den einzelnen Betrag, sondern den relevanten Zusammenhang der Zahlung erkennen lassen. Je vollständiger die Ausgangsdaten sind, desto besser lässt sich der Sachverhalt später überprüfen.

Bei der rechtlichen Prüfung kann außerdem relevant sein, ob der Betroffene bereits Kontakt mit dem Anbieter aufgenommen hat und welche Antworten darauf erfolgten. Wenn ein Unternehmen beispielsweise nach dem Verlust behauptet, die Kryptowährungen seien eingefroren oder müssten gegen Zahlung einer weiteren Gebühr freigegeben werden, sollten diese Aussagen dokumentiert werden. Sie können Hinweise darauf geben, wie der Anbieter den Vorgang selbst darstellt.

Auch wechselnde Erklärungen können relevant sein. Wenn zunächst von einer technischen Störung, später von einer Steuerpflicht und anschließend von einer angeblichen Compliance-Prüfung gesprochen wird, sollte jede Version mit Datum dokumentiert werden. Daraus kann sich ein Gesamtbild der Kommunikation ergeben. Ob daraus rechtlich relevante Schlussfolgerungen gezogen werden können, muss anschließend fachlich geprüft werden.

Ein weiterer wichtiger Punkt ist die Unterscheidung zwischen einer tatsächlichen Forderung und einer bloßen Behauptung des Anbieters. Betrügerische Plattformen verwenden häufig Begriffe wie „AML“, „KYC“, „Liquiditätsnachweis“, „Wallet-Verifizierung“ oder „Sicherheitsleistung“, um weitere Zahlungen zu begründen. Die Verwendung solcher Begriffe beweist nicht, dass eine entsprechende Forderung rechtlich oder technisch erforderlich ist. Vor einer weiteren Zahlung sollte deshalb zunächst geprüft werden, ob der behauptete Vorgang überhaupt plausibel und nachvollziehbar ist.

Wenn bereits mehrere Zahlungen erfolgt sind, sollte nicht versucht werden, diese durch weitere Zahlungen zu „retten“. Eine zusätzliche Zahlung verändert die bereits entstandene Situation nicht automatisch. Stattdessen sollte zunächst dokumentiert werden, wann welche Forderung gestellt und welcher Betrag daraufhin überwiesen wurde. Dadurch lässt sich der weitere Verlauf besser nachvollziehen.

Bei Kryptowährungen sollte insbesondere festgehalten werden, an welche Wallet die jeweilige Zahlung ging. Wenn mehrere Zahlungsaufforderungen jeweils unterschiedliche Wallet-Adressen nennen, kann diese Abfolge für die spätere Analyse wichtig sein. Auch scheinbar kleine Beträge sollten nicht ohne Dokumentation bleiben, wenn sie Teil desselben Vorgangs sind.

Für mögliche Ansprüche kann außerdem entscheidend sein, ob die Kryptowährungen tatsächlich beim Empfänger angekommen sind. Ein bloßer Zahlungsauftrag ist nicht dasselbe wie eine bestätigte Blockchain-Transaktion. Deshalb sollten die jeweiligen Transaktions-Hashes überprüft und den entsprechenden Kommunikationsvorgängen zugeordnet werden. Dadurch lässt sich vermeiden, dass behauptete Zahlungen mit tatsächlich ausgeführten Transaktionen verwechselt werden.

Bei einem Wallet-Hack sollte dagegen geprüft werden, ob der Betroffene die betreffende Transaktion überhaupt selbst autorisiert hat. Wenn eine Transaktion ohne Zustimmung durchgeführt wurde, können andere rechtliche Fragen im Vordergrund stehen als bei einer bewusst ausgeführten Zahlung aufgrund einer Täuschung. Die technische Untersuchung des Wallet-Verlaufs kann dabei helfen, den Zeitpunkt des Abflusses und die weitere Bewegung der Kryptowährungen festzustellen.

Auch hier ist Vorsicht mit pauschalen Aussagen angebracht. Nicht jede unbekannte Transaktion ist automatisch ein Beweis für einen externen Angriff. Es muss beispielsweise geprüft werden, ob die Transaktion tatsächlich von der betreffenden Wallet stammt, ob ein Smart Contract beteiligt war, ob eine vorher erteilte Berechtigung verwendet wurde oder ob der Nutzer selbst eine Transaktion ausgelöst hat. Die technische Ursache sollte daher möglichst genau untersucht werden.

Bei Smart-Contract-basierten Vorgängen können zusätzlich besondere technische Fragen auftreten. Ein Nutzer kann beispielsweise eine Transaktion signieren, die nicht den erwarteten wirtschaftlichen Inhalt hat. In einem solchen Fall reicht es nicht aus, lediglich die Wallet-Adresse zu betrachten. Es kann notwendig sein, die konkrete Transaktion und die darin enthaltenen Funktionen zu analysieren. Auch hier sollte die rechtliche Bewertung auf einer möglichst präzisen technischen Grundlage erfolgen.

Die rechtliche Aufarbeitung kann daher besonders profitieren, wenn technische und juristische Fragen nicht getrennt voneinander betrachtet werden. Die Blockchain liefert die Daten über die tatsächlichen Bewegungen. Die Kommunikation erklärt den behaupteten Hintergrund. Die rechtliche Prüfung ordnet diese Tatsachen ein und untersucht, welche Ansprüche daraus entstehen können. Keine dieser Ebenen sollte isoliert als vollständige Antwort betrachtet werden.

Für Betroffene ist außerdem wichtig, dass ein möglicher Anspruch nicht allein deshalb ausgeschlossen ist, weil der Täter zunächst unbekannt erscheint. Die Identifizierung kann ein eigener Teil der Aufarbeitung sein. Eine Blockchainanalyse kann hierfür technische Hinweise liefern, insbesondere wenn Vermögenswerte später bei einem zentralen Dienstleister auftauchen. Ob daraus tatsächlich eine identifizierbare Person ermittelt werden kann, hängt jedoch von den weiteren verfügbaren Daten ab.

Ebenso sollte ein unbekannter Täter nicht mit einer Kryptobörse gleichgesetzt werden, nur weil eine Transaktion irgendwann eine Börsenadresse erreicht. Eine Börse kann lediglich als Infrastruktur genutzt worden sein. Die genaue Rolle muss geprüft werden. Das kann auch bedeuten, dass zunächst nur eine technische Zuordnung vorliegt und weitere Informationen benötigt werden, bevor eine bestimmte Person oder ein bestimmtes Unternehmen rechtlich angesprochen werden kann.

Wenn ein Dienstleister tatsächlich über relevante Informationen verfügt, kann sich die Frage stellen, wie diese Informationen gesichert oder rechtlich zugänglich gemacht werden können. Dazu können insbesondere KYC-Daten, interne Nutzerkonten und Einzahlungsinformationen gehören. Bei internationalen Anbietern können hierfür besondere rechtliche Verfahren erforderlich sein. Die bloße öffentliche Blockchainanalyse kann diese internen Daten nicht ersetzen.

Auch bei der Bewertung von Krypto-Dienstleistern sollte daher differenziert vorgegangen werden. Ein Anbieter kann beispielsweise eine Wallet verwahren, Transaktionen technisch abwickeln oder eine Plattform zur Verfügung stellen. Daraus folgt nicht automatisch, dass er von einem Betrug wusste oder diesen ermöglicht hat. Für eine Verantwortlichkeit müssen die konkreten Tatsachen und Pflichten geprüft werden.

Die gleiche Zurückhaltung gilt gegenüber Banken und Zahlungsdienstleistern. Wenn ein Betroffener beispielsweise selbst eine Überweisung an eine Kryptobörse vorgenommen hat, ist damit nicht automatisch bewiesen, dass die Bank den späteren Verlust hätte verhindern müssen. Umgekehrt können die Zahlungsunterlagen wichtige Informationen über den zeitlichen und finanziellen Ablauf liefern. Entscheidend ist die konkrete Rolle der jeweiligen Stelle.

Bei der Prüfung möglicher Ansprüche können auch vertragliche Beziehungen eine Rolle spielen. Ein Betroffener kann beispielsweise einen Vertrag mit einer Kryptobörse, einem Wallet-Anbieter oder einem anderen Dienstleister geschlossen haben. Welche Leistungen vereinbart wurden und welche Pflichten daraus entstanden, muss anhand der jeweiligen Vertragsunterlagen geprüft werden. Allgemeine Aussagen über eine Haftung sind ohne diese Prüfung nicht zuverlässig.

Bei einem angeblichen Anlageanbieter kann dagegen zunächst zu klären sein, ob überhaupt ein wirksames Vertragsverhältnis mit der behaupteten Gesellschaft bestand. Häufig verwenden Betrüger Unternehmensnamen, Logos oder Vertragsunterlagen, die eine tatsächliche Geschäftsbeziehung nur vortäuschen. Deshalb sollte geprüft werden, mit wem der Betroffene tatsächlich kommuniziert und an wen er tatsächlich gezahlt hat.

Gerade die Differenz zwischen behauptetem Vertragspartner und tatsächlichem Zahlungsempfänger kann für die weitere Aufklärung wichtig sein. Ein Vertrag kann beispielsweise den Namen eines bekannten Unternehmens tragen, während die Zahlung an ein völlig anderes Konto oder eine private Wallet verlangt wird. Solche Widersprüche sollten vollständig dokumentiert werden. Sie können helfen, die tatsächliche Struktur des Vorgangs zu rekonstruieren.

Bei einem Krypto-Diebstahl kann deshalb nicht nur die Frage „Wo sind meine Kryptowährungen?“ entscheidend sein. Ebenso wichtig ist die Frage „Wie kam es zu dieser Übertragung und wer hatte welche Rolle?“ Erst die Verbindung dieser Fragen ermöglicht eine belastbare rechtliche Prüfung. Eine Blockchainanalyse kann den Vermögensfluss sichtbar machen, während die übrigen Beweismittel den tatsächlichen Hintergrund liefern.

Wenn mögliche Ansprüche geprüft werden, sollte außerdem darauf geachtet werden, dass die eigene Darstellung zwischen gesicherten Tatsachen und Vermutungen unterscheidet. Sicher ist beispielsweise, dass eine bestimmte Transaktion mit einem bestimmten Hash stattgefunden hat. Eine Vermutung kann dagegen sein, dass eine bestimmte Person die Empfängeradresse kontrolliert. Eine professionelle rechtliche Aufarbeitung sollte diese Ebenen nicht miteinander vermischen.

Das gilt auch für die Bezeichnung einer Person als Täter. Ein Name, eine Telefonnummer oder eine Wallet-Adresse kann einen wichtigen Hinweis darstellen. Daraus folgt jedoch noch nicht automatisch ein vollständiger Nachweis der Verantwortlichkeit. Gerade bei Identitätsmissbrauch können Namen und Unternehmensdaten fremder Personen verwendet werden. Deshalb sollten solche Informationen zunächst als Beweismittel dokumentiert und anschließend überprüft werden.

Bei der rechtlichen Bewertung kann außerdem relevant sein, ob ein Anbieter bewusst falsche Angaben gemacht hat oder ob lediglich eine unklare oder fehlerhafte Kommunikation vorlag. Auch hier kommt es auf die konkreten Tatsachen an. Die bloße Tatsache, dass eine Auszahlung nicht erfolgt ist, beweist für sich genommen noch keinen Betrug. Werden jedoch gleichzeitig weitere Zahlungen verlangt, ändern sich die Angaben zum Guthaben und lassen sich die behaupteten Vermögenswerte nicht nachvollziehen, kann sich ein deutlich anderer Prüfungsansatz ergeben.

Bei einem angeblichen Broker kann insbesondere untersucht werden, ob die angezeigten Handelsgewinne tatsächlich durch reale Transaktionen entstanden sind. Wenn keine entsprechenden Blockchain- oder sonstigen Vermögensbewegungen vorhanden sind, kann dies für die Einordnung der Plattform relevant sein. Umgekehrt kann eine echte Transaktionsspur zeigen, dass zumindest bestimmte Kryptowährungen tatsächlich übertragen wurden. Auch hier muss der Sachverhalt im Detail betrachtet werden.

Eine mögliche rechtliche Prüfung kann sich schließlich auch auf die Frage richten, welche Vermögenswerte aktuell noch vorhanden und identifizierbar sind. Wenn die Blockchain zeigt, dass die betreffenden Kryptowährungen weiterhin auf einer bestimmten Adresse liegen, kann dies für die weitere Vorgehensweise relevant sein. Wenn die Vermögenswerte dagegen bereits über zahlreiche weitere Adressen verteilt wurden, kann sich der Schwerpunkt stärker auf die Rekonstruktion und Identifizierung der beteiligten Strukturen verlagern.

Die rechtlichen Möglichkeiten hängen daher eng mit der technischen Aufklärung zusammen. Je besser dokumentiert ist, wann welche Kryptowährung von welcher Wallet an welche Adresse transferiert wurde, desto konkreter kann die weitere Prüfung erfolgen. Das bedeutet jedoch nicht, dass eine bestimmte Maßnahme garantiert zum Erfolg führt. Die Durchsetzbarkeit hängt von den identifizierbaren Beteiligten, den vorhandenen Beweisen, der Art des Vermögenswertes und den rechtlichen Rahmenbedingungen ab.

Wer gestohlene Kryptowährungen verfolgen und gleichzeitig mögliche Ansprüche prüfen möchte, sollte deshalb beide Ebenen zusammenführen. Die technische Spur sollte vollständig gesichert werden. Die Kommunikation und sonstigen Beweismittel sollten den Hintergrund des Transfers dokumentieren. Anschließend kann geprüft werden, gegen wen sich mögliche Ansprüche richten und welche Schritte zur Sicherung oder Durchsetzung überhaupt sinnvoll erscheinen.

Besonders bei größeren Schäden kann eine spezialisierte rechtliche Prüfung sinnvoll sein. Dabei sollte nicht nur gefragt werden, ob ein Betrug vorliegt, sondern auch, welche konkreten Vermögensbewegungen nachweisbar sind, welche Personen oder Unternehmen identifiziert werden können und welche rechtlichen Möglichkeiten sich daraus ergeben. Eine solche Prüfung kann technische Blockchaininformationen mit den vorhandenen Unterlagen verbinden.

Entscheidend bleibt jedoch eine realistische Erwartung. Auch eine detaillierte Blockchainanalyse garantiert weder die Identifizierung des Täters noch die Rückgabe der verlorenen Kryptowährungen. Sie kann aber dazu beitragen, den tatsächlichen Vermögensfluss zu rekonstruieren und konkrete Anknüpfungspunkte für weitere Prüfungen zu schaffen. Ob daraus Ansprüche oder Maßnahmen zur Vermögenssicherung entstehen, hängt vom jeweiligen Einzelfall ab.

Für Betroffene bedeutet dies: Der Verlust von Kryptowährungen sollte nicht nur als technische Transaktion betrachtet werden. Entscheidend ist das gesamte Geschehen – vom ersten Kontakt über die Kommunikation und den Erwerb oder die Übertragung der Kryptowährungen bis zu den späteren Bewegungen auf der Blockchain. Wer diese Zusammenhänge möglichst vollständig dokumentiert, schafft die Grundlage dafür, mögliche Verantwortlichkeiten und Ansprüche sachgerecht zu prüfen.

Gerade wenn die Blockchain eine Spur zu einer Kryptobörse, einem Zahlungsdienstleister oder einer anderen zentralen Stelle zeigt, kann dies ein wichtiger Ansatzpunkt sein. Ob daraus tatsächlich eine Identifizierung oder eine rechtlich relevante Verantwortlichkeit folgt, muss jedoch anhand zusätzlicher Informationen geprüft werden. Die technische Zuordnung und die rechtliche Haftung sind unterschiedliche Fragen und sollten nicht miteinander verwechselt werden.

Am Ende einer seriösen Prüfung steht deshalb keine pauschale Aussage wie „Die Kryptowährungen können sicher zurückgeholt werden“. Eine belastbare Bewertung muss vielmehr zeigen, welche Transaktionen nachweisbar sind, welche Beteiligten sich konkret ergeben, welche Beweismittel vorhanden sind und welche rechtlichen Möglichkeiten unter diesen Umständen bestehen. Gerade bei komplexen Kryptofällen ist diese differenzierte Betrachtung entscheidend, um aus einer bloßen Transaktionsspur einen tatsächlich verwertbaren rechtlichen Ansatz zu entwickeln.

Gestohlene Kryptowährungen verfolgen – welche Beweise sind für die Aufklärung besonders wichtig?

Wer gestohlene Kryptowährungen verfolgen möchte, benötigt möglichst genaue und unverfälschte Informationen über den ursprünglichen Vermögensabfluss. Die Blockchain selbst enthält zwar wichtige technische Daten, sie erklärt jedoch nicht automatisch, wie es zu der Transaktion gekommen ist, wer den Transfer veranlasst hat oder welche Person hinter einer bestimmten Wallet-Adresse steht. Für eine belastbare Aufklärung müssen deshalb technische Blockchain-Daten, Kommunikationsunterlagen, Zahlungsbelege und weitere Informationen miteinander verbunden werden.

Besonders wichtig ist zunächst die genaue Identifizierung der Transaktion, durch die die Kryptowährungen das eigene Verfügungsgebiet verlassen haben. Dazu gehören die verwendete Kryptowährung, die Menge, das Blockchain-Netzwerk, die Ausgangsadresse, die Zieladresse und der vollständige Transaktions-Hash. Wenn mehrere Übertragungen stattgefunden haben, sollte jede Transaktion einzeln dokumentiert werden. Eine zusammengefasste Angabe wie „etwa 20.000 Euro in Kryptowährungen wurden gestohlen“ reicht für eine technische Untersuchung regelmäßig nicht aus.

Der Transaktions-Hash ist dabei eines der wichtigsten technischen Beweismittel. Er ermöglicht die eindeutige Zuordnung zu einem bestimmten Blockchain-Vorgang. Betroffene sollten ihn deshalb nicht nur in einem Screenshot speichern, sondern zusätzlich als Text übernehmen. Bei einer späteren Prüfung sollte möglichst ausgeschlossen werden, dass sich beim Abschreiben ein Zeichenfehler eingeschlichen hat. Schon eine kleine Abweichung kann dazu führen, dass eine Transaktion nicht mehr eindeutig gefunden wird.

Ebenso wichtig ist die vollständige Wallet-Adresse. Auch diese sollte kopiert und zusätzlich aufbewahrt werden. Wenn möglich, sollte dokumentiert werden, ob es sich um die eigene Ausgangsadresse oder eine Empfängeradresse handelt. Bei mehreren Wallets empfiehlt sich eine eindeutige Zuordnung, damit später nicht versehentlich Adressen miteinander verwechselt werden. Eine einfache Liste mit Wallet-Adresse, Bezeichnung und Verwendung kann bereits erheblich zur Übersicht beitragen.

Das verwendete Blockchain-Netzwerk muss ebenfalls festgehalten werden. Eine Wallet-Adresse oder ein Transaktions-Hash kann je nach Netzwerk unterschiedlich zu behandeln sein. Gerade bei Token und technisch ähnlichen Adressformaten besteht sonst die Gefahr, dass eine Transaktion auf dem falschen Netzwerk gesucht wird. Deshalb sollte zu jeder Transaktion vermerkt werden, ob sie beispielsweise auf einer bestimmten öffentlichen Blockchain stattgefunden hat und welcher Token oder Coin betroffen war.

Neben dem Transaktions-Hash sollten Datum und möglichst genaue Uhrzeit dokumentiert werden. Die Blockchain liefert hierfür eigene Zeitangaben beziehungsweise Blockinformationen. Zusätzlich kann die Uhrzeit der Kommunikation mit dem angeblichen Broker, Support-Mitarbeiter oder sonstigen Kontaktpersonen relevant sein. Wenn kurz vor einer Transaktion eine bestimmte Zahlungsaufforderung einging, kann die zeitliche Verbindung für die Rekonstruktion des Sachverhalts wichtig sein.

Screenshots sind eine sinnvolle Ergänzung der technischen Dokumentation. Sie können beispielsweise die Wallet-Anzeige, die Transaktionsdetails oder eine Ansicht in einem Blockchain Explorer festhalten. Ein Screenshot sollte möglichst den gesamten relevanten Zusammenhang zeigen. Wenn nur ein kleiner Ausschnitt gespeichert wird, kann später unklar sein, aus welcher Anwendung oder welchem Vorgang die Information stammt.

Der Screenshot sollte allerdings nicht als Ersatz für die eigentlichen Daten betrachtet werden. Ein Bild kann abgeschnitten, verändert oder falsch zugeordnet werden. Deshalb sollten die Wallet-Adresse und der Transaktions-Hash zusätzlich als Text gesichert werden. Wenn eine Transaktion über einen Blockchain Explorer aufgerufen wurde, kann außerdem die betreffende Webadresse dokumentiert werden.

Auch die ursprüngliche Wallet-Situation kann für die Aufklärung relevant sein. Wenn beispielsweise vor dem Verlust ein bestimmter Kontostand vorhanden war, kann dieser durch geeignete Screenshots oder Transaktionsübersichten dokumentiert werden. Bei einer späteren Untersuchung kann dadurch besser nachvollzogen werden, welche Vermögenswerte vor dem verdächtigen Vorgang vorhanden waren und welche anschließend abgeflossen sind.

Bei einem Wallet-Hack sollten zusätzlich alle Informationen gesichert werden, die etwas über den möglichen technischen Zugriff aussagen. Dazu kann gehören, wann die verdächtige Transaktion entdeckt wurde, wann das Gerät zuletzt normal verwendet wurde und ob zuvor ungewöhnliche Nachrichten oder Warnungen aufgetreten sind. Auch unbekannte Login-Versuche oder Benachrichtigungen eines Wallet- oder Börsenkontos können relevant sein.

Wenn eine Seed Phrase möglicherweise kompromittiert wurde, sollte dieser Umstand ausdrücklich dokumentiert werden. Dabei darf die Seed Phrase selbst jedoch nicht an Dritte weitergegeben werden. Für die Beweissicherung genügt grundsätzlich die Information, dass die Seed Phrase zu einem bestimmten Zeitpunkt möglicherweise auf einer bestimmten Website eingegeben, fotografiert, gespeichert oder einer unbekannten Person mitgeteilt wurde. Die eigentlichen geheimen Zugangsdaten sollten geschützt bleiben.

Dasselbe gilt für Private Keys. Sie können für die technische Rekonstruktion des Sachverhalts zwar relevant sein, gehören aber nicht in ungesicherte E-Mails, Chatverläufe oder Formulare. Wer eine Seed Phrase oder einen Private Key an einen angeblichen Support oder Recovery-Dienstleister übermittelt, kann dadurch zusätzliche Risiken schaffen. Für eine rechtliche oder technische Prüfung sind in aller Regel zunächst die öffentlichen Wallet-Adressen und Transaktionsdaten wesentlich wichtiger.

Besonders wertvoll können Chatverläufe sein. Wenn ein angeblicher Anlageberater, Broker oder Support-Mitarbeiter die Übertragung der Kryptowährungen verlangt hat, sollte die Kommunikation vollständig gesichert werden. Dazu gehören nicht nur einzelne Nachrichten, sondern möglichst der gesamte relevante Gesprächsverlauf. Aus dem Zusammenhang kann sich ergeben, wann der Kontakt begann, welche Versprechen gemacht wurden und weshalb der Betroffene die betreffende Transaktion vorgenommen hat.

Auch gelöschte oder nachträglich veränderte Nachrichten sollten nicht leichtfertig als unwichtig betrachtet werden. Wenn erkennbar ist, dass Nachrichten verschwunden sind oder der Gesprächspartner bestimmte Inhalte später geändert hat, sollte dies dokumentiert werden. Je nach Kommunikationsdienst können Exportfunktionen oder andere Möglichkeiten zur Sicherung des Verlaufs bestehen. Entscheidend ist, möglichst nah an den ursprünglichen Daten zu bleiben.

E-Mails sollten ebenfalls vollständig aufbewahrt werden. Dazu gehören nicht nur der sichtbare Nachrichtentext, sondern nach Möglichkeit auch Anhänge und technische Informationen der ursprünglichen E-Mail. Besonders wichtig können Nachrichten sein, in denen Wallet-Adressen, Zahlungsaufforderungen, Login-Daten, Vertragsunterlagen oder angebliche Auszahlungsbedingungen übermittelt wurden. Wenn mehrere E-Mail-Adressen verwendet wurden, sollte die Zuordnung zu den jeweiligen Personen oder Unternehmen dokumentiert werden.

Auch Telefonnummern können für die Aufklärung relevant sein. Wenn ein angeblicher Berater oder Support-Mitarbeiter telefonisch oder über einen Messenger Kontakt aufgenommen hat, sollte die verwendete Nummer festgehalten werden. Zusätzlich kann dokumentiert werden, unter welchem Namen die Nummer im jeweiligen Dienst auftrat. Ein gespeicherter Kontaktname allein beweist allerdings nicht die tatsächliche Identität der Person.

Bei Webseiten sollten Betroffene möglichst die konkrete Internetadresse sichern. Dazu können die Startseite, Login-Seite, Anlageübersicht, Kontaktseite, Impressumsseite und sonstige relevante Unterseiten gehören. Screenshots können dokumentieren, wie die Plattform zum damaligen Zeitpunkt dargestellt wurde. Besonders wichtig sind Seiten, auf denen ein vermeintliches Guthaben, angebliche Gewinne oder konkrete Auszahlungsbedingungen angezeigt wurden.

Wenn eine Plattform später nicht mehr erreichbar ist, kann eine solche Dokumentation besonders wertvoll sein. Sie kann zeigen, welche Behauptungen der Anbieter gegenüber dem Betroffenen aufgestellt hat. Dabei sollte klar zwischen der Darstellung der Plattform und einem tatsächlich nachweisbaren Blockchain-Vermögen unterschieden werden. Ein angezeigtes Guthaben ist nicht automatisch ein Beweis dafür, dass die entsprechende Kryptowährung tatsächlich existierte.

Auch Vertragsunterlagen sollten vollständig gesichert werden. Dazu können vermeintliche Anlageverträge, Geschäftsbedingungen, Kundenvereinbarungen, Rechnungen oder PDF-Dokumente gehören. Selbst wenn sich später herausstellt, dass ein Dokument gefälscht oder irreführend war, kann gerade dieses Dokument für die Rekonstruktion des Betrugsvorgangs relevant sein. Es sollte daher nicht einfach gelöscht werden.

Wenn ein angeblicher Anlageberater einen bestimmten Namen oder eine bestimmte Gesellschaft genannt hat, sollten diese Angaben ebenfalls dokumentiert werden. Dazu gehören die genaue Schreibweise des Namens, die verwendete E-Mail-Adresse, Telefonnummer, Website und gegebenenfalls die im Dokument angegebene Geschäftsanschrift. Auch Abweichungen zwischen verschiedenen Dokumenten sollten festgehalten werden.

Besondere Aufmerksamkeit verdienen widersprüchliche Unternehmensangaben. Wenn beispielsweise in einem Vertrag ein Unternehmen genannt wird, die E-Mail-Adresse aber zu einer anderen Domain gehört oder die Zahlung an einen anderen Empfänger verlangt wird, sollte dieser Widerspruch dokumentiert werden. Solche Unterschiede können später helfen, die tatsächliche Struktur des Vorgangs zu rekonstruieren.

Für die Beweissicherung ist außerdem die Verbindung zwischen Kommunikation und Transaktion wichtig. Ein Chat, in dem eine bestimmte Wallet-Adresse genannt wird, sollte möglichst zusammen mit der späteren Transaktion dokumentiert werden. Dadurch kann nachvollzogen werden, ob die Adresse tatsächlich mit der Aufforderung übereinstimmt. Wenn unterschiedliche Wallet-Adressen genannt wurden, sollten diese getrennt erfasst werden.

Dasselbe gilt für wiederholte Zahlungsforderungen. Wenn zunächst eine Einzahlung, später eine angebliche Steuer und anschließend eine weitere Sicherheitsleistung verlangt wurde, sollten sämtliche Forderungen mit Datum, Betrag, Begründung und Empfänger dokumentiert werden. Wenn tatsächlich Zahlungen erfolgt sind, sollten diese jeweils mit dem entsprechenden Bank- oder Blockchain-Nachweis verbunden werden.

Gerade bei sogenannten Auszahlungsproblemen können solche Informationen wichtig sein. Ein Anbieter kann beispielsweise behaupten, ein Guthaben sei vorhanden, aber eine Auszahlung sei erst nach Zahlung einer zusätzlichen Gebühr möglich. In einem solchen Fall sollte die Behauptung über das Guthaben von der tatsächlichen Vermögenslage getrennt betrachtet werden. Die Plattformanzeige und die Blockchain-Daten können hierfür unterschiedliche Informationen liefern.

Wenn eine Zahlung in Kryptowährung erfolgt ist, sollte die entsprechende Transaktion unmittelbar mit der zugehörigen Kommunikationsaufforderung verknüpft werden. Dabei kann eine einfache Tabelle helfen. In einer Spalte steht die Kommunikationsaufforderung, in einer weiteren der geforderte Betrag, anschließend die tatsächlich übertragene Menge, die Wallet-Adresse und der Transaktions-Hash. Dadurch lassen sich Abweichungen leichter erkennen.

Bei Zahlungen in Euro sollten dagegen Kontoauszüge und Überweisungsbelege gesichert werden. Wichtig sind insbesondere Empfängername, IBAN, BIC, Betrag, Datum und Verwendungszweck. Wenn der Empfängername von dem Namen des angeblichen Anlageanbieters abweicht, sollte dies ausdrücklich vermerkt werden. Solche Unterschiede können für die weitere Aufklärung relevant sein.

Auch Belege von Kryptobörsen sollten aufbewahrt werden. Dazu gehören Kaufbestätigungen, Einzahlungen, Auszahlungen und gegebenenfalls Informationen über die verwendete Zieladresse. Wenn Kryptowährungen unmittelbar nach dem Kauf an eine externe Wallet übertragen wurden, sollte diese Verbindung möglichst vollständig dokumentiert werden. So kann später nachvollzogen werden, wann das digitale Vermögen von der eigenen Börsenposition auf die externe Adresse gelangte.

Bei mehreren Börsen oder Wallets empfiehlt sich eine getrennte Dokumentation. Für jede Plattform sollte festgehalten werden, welches Konto verwendet wurde und welche Transaktionen dort stattgefunden haben. Dadurch lässt sich vermeiden, dass Daten aus unterschiedlichen Konten miteinander vermischt werden. Gerade bei umfangreichen Sachverhalten kann eine solche Ordnung einen erheblichen Unterschied machen.

Die ursprünglichen Dateien sollten möglichst erhalten bleiben. Eine PDF-Datei sollte beispielsweise nicht nur als Screenshot gespeichert werden, wenn die Originaldatei noch vorhanden ist. Bei E-Mails sollten die ursprünglichen Nachrichten möglichst erhalten bleiben. Bei Bildern und Dokumenten können Dateinamen, Erstellungsdaten und andere Metadaten unter Umständen zusätzliche Informationen enthalten. Diese Daten sollten nicht unnötig verändert werden.

Gleichzeitig ist es sinnvoll, Sicherungskopien anzulegen. Wichtige Unterlagen sollten nicht nur auf einem einzigen Computer oder Smartphone gespeichert werden. Ein technischer Defekt, ein weiterer Angriff oder ein versehentliches Löschen könnte sonst die gesamte Dokumentation gefährden. Eine geordnete Sicherung an einem zusätzlichen sicheren Speicherort kann deshalb sinnvoll sein.

Die Dateien sollten dabei möglichst eindeutig benannt werden. Statt hunderter Dateien mit Namen wie „Screenshot_1234.png“ kann beispielsweise eine chronologische Benennung verwendet werden. Dadurch lässt sich später leichter erkennen, welche Datei zu welchem Vorgang gehört. Die konkrete technische Organisation bleibt dem Betroffenen überlassen; entscheidend ist, dass die Zuordnung nachvollziehbar bleibt.

Auch eine chronologische Ereignisliste kann sehr hilfreich sein. Darin können der erste Kontakt, die Registrierung auf einer Plattform, Einzahlungen, Käufe von Kryptowährungen, Übertragungen, weitere Zahlungsforderungen, Probleme bei der Auszahlung und spätere Kontakte dokumentiert werden. Zu jedem Ereignis sollten nach Möglichkeit Datum, beteiligte Person oder Plattform, Betrag und vorhandene Beweismittel angegeben werden.

Eine solche Chronologie hilft insbesondere dann, wenn sich der Vorgang über mehrere Wochen oder Monate erstreckt. Bei länger laufenden Anlagebetrugsfällen können zahlreiche Gespräche und Transaktionen zusammenkommen. Ohne zeitliche Ordnung kann später schwer erkennbar sein, welche Aussage vor welcher Zahlung gemacht wurde. Eine chronologische Dokumentation schafft hier eine deutlich bessere Ausgangslage.

Bei der technischen Dokumentation sollte zusätzlich festgehalten werden, ob eine Transaktion bestätigt wurde. Bei manchen Blockchain-Systemen können Transaktionen zunächst ausstehend sein und später bestätigt werden. Für die Aufklärung sollte deshalb möglichst der endgültige Status dokumentiert werden. Auch die Anzahl der Bestätigungen kann, je nach Zeitpunkt der Dokumentation, relevant sein.

Wenn eine Transaktion fehlgeschlagen ist, sollte auch dies dokumentiert werden. Eine fehlgeschlagene Transaktion ist nicht dasselbe wie ein erfolgreicher Vermögensabfluss. Gerade bei komplexen Smart-Contract-Vorgängen kann eine sichtbare Transaktion im Wallet-Verlauf ohne genaue Prüfung missverstanden werden. Deshalb sollte nicht nur ein Betrag, sondern der tatsächliche Status des Blockchain-Vorgangs betrachtet werden.

Bei Token-Transfers sollte zusätzlich darauf geachtet werden, dass der richtige Token identifiziert wird. Ähnliche Namen können bei unterschiedlichen Projekten vorkommen. Entscheidend sind daher nicht nur die Bezeichnung des Tokens, sondern auch das verwendete Netzwerk und gegebenenfalls die eindeutige Token- beziehungsweise Contract-Adresse. Eine ungenaue Bezeichnung kann eine spätere technische Untersuchung erschweren.

Wenn mehrere Netzwerke betroffen sind, sollte für jedes Netzwerk eine eigene Transaktionsübersicht erstellt werden. Dadurch können Transaktionen nicht versehentlich dem falschen Netzwerk zugeordnet werden. Gerade bei Fällen, in denen ein Anbieter verschiedene Einzahlungswege anbietet, kann diese Trennung wichtig sein.

Auch Folgeadressen sollten dokumentiert werden. Wenn die gestohlenen Kryptowährungen von der ersten Zieladresse an eine zweite Adresse weitertransferiert wurden, sollte der entsprechende Transaktions-Hash ebenfalls erfasst werden. Bei einer weiteren Übertragung gilt dasselbe. So entsteht schrittweise eine nachvollziehbare Transaktionskette. Eine solche Kette kann später Ausgangspunkt für eine detailliertere Walletanalyse sein.

Dabei sollte allerdings nicht jede unbekannte Adresse automatisch als Teil derselben Kette betrachtet werden. Die Verbindung zwischen den Transaktionen muss anhand der tatsächlichen Blockchain-Daten nachvollzogen werden. Eine bloße zeitliche Nähe reicht nicht aus. Auch ähnliche Beträge sind für sich genommen kein ausreichender Nachweis.

Wenn sich die Vermögenswerte auf mehrere Adressen verteilen, sollte jede Bewegung separat erfasst werden. Eine solche Aufteilung kann beispielsweise entstehen, wenn ein eingegangener Betrag auf mehrere Wallets verteilt wird. Für die spätere Analyse kann relevant sein, welcher Anteil von welchem Ausgangsbetrag stammt. Die Dokumentation sollte deshalb möglichst genau bleiben.

Auch Zusammenführungen von Vermögenswerten können relevant sein. Wenn mehrere Eingänge später auf eine gemeinsame Adresse übertragen werden, kann dies die weitere technische Analyse beeinflussen. Betroffene müssen solche Strukturen nicht selbst vollständig bewerten. Es reicht zunächst, die betreffenden Transaktionen zu sichern und nachvollziehbar zu dokumentieren.

Besonders wichtig ist die Sicherung der Verbindung zu zentralen Dienstleistern. Wenn eine Wallet-Adresse nachweisbar mit einer Kryptobörse oder einem anderen Anbieter verbunden sein könnte, sollte der entsprechende Transaktionsweg vollständig dokumentiert werden. Dazu gehören die betreffende Adresse, der Transaktions-Hash, der Zeitpunkt und gegebenenfalls die Informationen, aufgrund derer die Adresse einem Dienstleister zugeordnet wurde.

Eine solche Zuordnung sollte jedoch als solche dokumentiert werden und nicht vorschnell als endgültiger Beweis für die Identität des Empfängers bezeichnet werden. Die Blockchain kann eine technische Verbindung zeigen. Die Frage, welchem Nutzerkonto eine Adresse innerhalb einer Plattform zugeordnet war, kann dagegen nur durch weitere Informationen geklärt werden.

Bei einem zentralen Anbieter können KYC-Daten oder interne Kontoinformationen relevant sein. Für die spätere rechtliche Prüfung sollte deshalb dokumentiert werden, wann und auf welchem Weg die Kryptowährungen den betreffenden Dienstleister erreicht haben. Auch spätere Auszahlungen oder Transfers von dort können relevant sein, soweit sie öffentlich nachvollziehbar sind.

Die Kommunikation mit dem Dienstleister selbst sollte ebenfalls gesichert werden. Wenn ein Betroffener nach einem Verlust Kontakt mit einer Kryptobörse aufgenommen und eine bestimmte Antwort erhalten hat, sollte diese Antwort aufbewahrt werden. Dazu gehören Ticketnummern, E-Mails und sonstige schriftliche Kommunikation. Auch die konkrete Fragestellung des Betroffenen kann relevant sein, weil sich daraus ergibt, welche Informationen der Anbieter tatsächlich erhalten hatte.

Bei einem angeblichen Broker sollten außerdem sämtliche Auszahlungsversuche dokumentiert werden. Wenn die Plattform zunächst eine Auszahlung bestätigt, anschließend aber eine zusätzliche Zahlung verlangt, sollten beide Vorgänge gesichert werden. Auch die Begründung für die Verweigerung oder Verzögerung einer Auszahlung kann relevant sein. Wiederholte Änderungen der Begründung sollten chronologisch festgehalten werden.

Das Gleiche gilt für angebliche Compliance- oder Identitätsprüfungen. Wenn ein Anbieter beispielsweise plötzlich einen zusätzlichen Geldbetrag verlangt, um eine Wallet zu „aktivieren“, sollte die entsprechende Forderung mit Datum und Wortlaut dokumentiert werden. Es sollte außerdem festgehalten werden, ob die verlangte Zahlung tatsächlich geleistet wurde. Diese Informationen können später für die Einordnung des gesamten Vorgangs relevant sein.

Bei einem Recovery Scam sollten die Unterlagen des zweiten Kontakts getrennt von den Unterlagen des ursprünglichen Betrugs gespeichert werden. Dadurch bleibt erkennbar, welche Person oder Organisation an welchem Zeitpunkt beteiligt war. Die zweite Kontaktaufnahme kann wiederum eigene Transaktionen und Wallet-Adressen enthalten. Auch diese sollten separat erfasst werden.

Es ist außerdem sinnvoll, keine Beweise nur deshalb zu löschen, weil sie peinlich, belastend oder unangenehm erscheinen. Auch eine scheinbar unvorteilhafte Nachricht kann für die vollständige Rekonstruktion relevant sein. Eine spätere Prüfung sollte auf dem tatsächlichen Ablauf beruhen und nicht auf einer nachträglich bereinigten Darstellung.

Gleichzeitig sollten sensible Daten nicht unkontrolliert an Dritte weitergegeben werden. Insbesondere Seed Phrases, Private Keys, Passwörter und Zugangscodes sollten nicht zur angeblichen Analyse an unbekannte Personen geschickt werden. Öffentliche Blockchain-Daten wie Wallet-Adressen und Transaktions-Hashes sind davon zu unterscheiden. Sie können grundsätzlich für eine Blockchainanalyse erforderlich sein, sollten aber ebenfalls nur gezielt und sicher weitergegeben werden.

Wenn ein Computer oder Smartphone möglicherweise kompromittiert wurde, kann auch die technische Umgebung des Vorfalls relevant sein. Dazu gehören beispielsweise installierte Fernwartungsprogramme, unbekannte Anwendungen, verdächtige Browser-Erweiterungen oder ungewöhnliche Login-Aktivitäten. Solche Informationen sollten dokumentiert werden, bevor durch eine Bereinigung des Geräts möglicherweise relevante Spuren verloren gehen. Gleichzeitig darf die Beweissicherung nicht dazu führen, dass ein weiterhin bestehender Sicherheitszugriff bestehen bleibt.

Bei einem laufenden Sicherheitsrisiko sollte daher zunächst die Sicherung noch vorhandener Vermögenswerte und Konten berücksichtigt werden. Die konkrete Vorgehensweise hängt davon ab, welche Wallet oder welches Gerät betroffen ist. Wichtig ist vor allem, nicht aus Beweisgründen einen möglicherweise weiterhin bestehenden Zugriff eines Angreifers zu ignorieren.

Auch die zeitliche Differenz zwischen Entdeckung und tatsächlichem Abfluss sollte dokumentiert werden. Es kann vorkommen, dass ein Betroffener den Diebstahl erst bemerkt, nachdem die Transaktion bereits längere Zeit zurückliegt. In diesem Fall sollte nicht nur der Zeitpunkt der Entdeckung, sondern auch der Zeitpunkt der Blockchain-Transaktion festgehalten werden. Daraus kann sich ergeben, wie lange die Vermögenswerte bereits weiterbewegt wurden.

Bei umfangreichen Fällen empfiehlt sich eine Schadensübersicht. Für jede Transaktion kann festgehalten werden, welche Kryptowährung in welcher Menge übertragen wurde und welchem Euro-Betrag dies zum relevanten Zeitpunkt entsprach. Zusätzlich können Gebühren und weitere Zahlungen erfasst werden. Die Mengen der Kryptowährungen sollten dabei unabhängig vom jeweiligen Euro-Wert dokumentiert werden.

Eine solche Übersicht sollte möglichst nicht ausschließlich auf den Angaben einer betrügerischen Plattform beruhen. Maßgeblich sind die tatsächlich ausgeführten Transaktionen und die nachvollziehbaren Zahlungsbelege. Ein angeblicher Kontostand kann für die Dokumentation des Betrugs zwar wichtig sein, ist aber nicht automatisch ein Beweis für einen tatsächlich vorhandenen Vermögenswert.

Für die spätere Prüfung kann auch relevant sein, welche Informationen der Betroffene selbst zum Zeitpunkt der Transaktion hatte. Wenn ein angeblicher Berater eine bestimmte Wallet als offizielle Unternehmenswallet bezeichnete, sollte die entsprechende Aussage dokumentiert werden. Wenn später eine andere Erklärung gegeben wurde, sollte auch diese erhalten bleiben. Dadurch lässt sich nachvollziehen, welche Vorstellungen die Kommunikation beim Betroffenen erzeugt hat.

Auch Werbeanzeigen können unter Umständen relevant sein. Wenn der Kontakt über eine Internetwerbung, eine Social-Media-Anzeige oder eine andere Onlinequelle entstanden ist, sollte die betreffende Anzeige, soweit vorhanden, gesichert werden. Dazu können der Text, die verwendete Domain und das beworbene Unternehmen gehören. Eine spätere Rekonstruktion kann dadurch besser nachvollziehen, wie der Erstkontakt zustande kam.

Bei Social-Media-Profilen sollten Nutzername, Profiladresse und sichtbare Angaben dokumentiert werden. Auch hier gilt jedoch, dass ein Profilname nicht automatisch die Identität des tatsächlichen Betreibers beweist. Die Information ist zunächst ein Hinweis, der zusammen mit anderen Beweismitteln bewertet werden kann.

Besonders sorgfältig sollten Betroffene mit Aussagen über angebliche behördliche Genehmigungen oder Zertifizierungen umgehen. Wenn ein Anbieter behauptet, von einer bestimmten Stelle reguliert oder lizenziert zu sein, sollte die konkrete Darstellung gesichert werden. Ob diese Behauptung tatsächlich zutrifft, ist eine davon getrennte Prüfungsfrage.

Die Gesamtheit der Beweise sollte schließlich so organisiert werden, dass eine außenstehende Person den Sachverhalt nachvollziehen kann. Dazu gehören eine kurze Zusammenfassung des Geschehens, eine chronologische Zeitleiste, eine Übersicht der Zahlungen, eine Wallet- und Transaktionsliste sowie die dazugehörigen Kommunikationsunterlagen. Je komplexer der Fall, desto wichtiger ist diese Ordnung.

Eine solche Zusammenstellung kann beispielsweise mit dem ersten Kontakt beginnen und Schritt für Schritt bis zum aktuellen Stand reichen. Zu jedem wichtigen Ereignis können Datum, Beteiligte, Handlung, Betrag und vorhandener Nachweis notiert werden. Die technische Transaktionsliste kann daneben separat geführt werden. So lassen sich die juristische und die technische Chronologie später miteinander verbinden.

Bei der Zusammenstellung sollte außerdem klar markiert werden, was sicher bekannt und was nur vermutet ist. „Transaktions-Hash X zeigt einen Transfer von Adresse A zu Adresse B“ ist eine konkrete technische Feststellung. „Adresse B gehört dem Täter“ kann dagegen zunächst nur eine Vermutung sein, solange dafür keine weiteren Nachweise vorliegen. Diese Unterscheidung erhöht die Qualität der gesamten Dokumentation.

Auch vermeintlich nebensächliche Informationen können später Bedeutung gewinnen. Dazu gehören beispielsweise Schreibfehler in Unternehmensnamen, unterschiedliche E-Mail-Domains, wechselnde Telefonnummern, verschiedene Wallet-Adressen oder widersprüchliche Angaben zur Auszahlung. Solche Einzelheiten sollten deshalb nicht vorschnell aussortiert werden, wenn sie einen Bezug zum Vorgang haben.

Bei größeren Schadensfällen kann es sinnvoll sein, die vorhandenen Daten nicht nur lokal, sondern zusätzlich in einem unveränderbaren oder anderweitig gegen versehentliche Bearbeitung geschützten Format aufzubewahren. Wichtig ist vor allem, dass die ursprünglichen Dateien erhalten bleiben und spätere Ergänzungen von den ursprünglichen Unterlagen unterschieden werden können.

Die Beweissicherung sollte außerdem fortlaufend erfolgen. Wenn nach dem ursprünglichen Verlust neue Transaktionen auftreten oder der angebliche Anbieter weitere Nachrichten sendet, sollten diese Informationen ebenfalls aufgenommen werden. Eine Blockchainanalyse kann zu einem späteren Zeitpunkt neue Folgeadressen sichtbar machen. Die Dokumentation sollte deshalb nicht mit der ersten Transaktion enden.

Wer gestohlene Kryptowährungen verfolgen möchte, sollte sich zudem nicht allein auf einen einzelnen Screenshot oder eine einzelne Wallet-Adresse verlassen. Erst die Verbindung mehrerer Beweismittel schafft ein belastbares Gesamtbild. Der Transaktions-Hash belegt die konkrete Blockchainbewegung. Der Chatverlauf kann den Anlass der Zahlung erklären. Der Kontoauszug dokumentiert gegebenenfalls den finanziellen Ausgangspunkt. Der Plattform-Account kann zeigen, welche Darstellung dem Betroffenen vermittelt wurde.

Gerade diese Kombination kann für die weitere Aufklärung entscheidend sein. Ein einzelnes Beweismittel kann einen Ausschnitt des Geschehens zeigen. Mehrere aufeinander abgestimmte Beweismittel können dagegen den Ablauf vom ersten Kontakt bis zur späteren Transaktion nachvollziehbar machen. Für eine spätere rechtliche Bewertung ist diese Gesamtdarstellung häufig wesentlich aussagekräftiger.

Auch die Ergebnisse einer bereits durchgeführten Blockchainanalyse sollten gesichert werden. Wenn beispielsweise festgestellt wurde, dass eine bestimmte Zieladresse später weitere Transaktionen vorgenommen hat, sollten die zugrunde liegenden Transaktions-Hashes und die entsprechenden Auswertungen dokumentiert werden. Dabei sollte festgehalten werden, welche Feststellungen tatsächlich aus der Blockchain stammen und welche Schlussfolgerungen daraus gezogen wurden.

Eine professionelle Analyse sollte grundsätzlich nachvollziehbar bleiben. Wenn beispielsweise eine Wallet einem bestimmten Dienstleister zugeordnet wird, sollte dokumentiert werden, auf welcher Grundlage diese Zuordnung erfolgt. Das kann eine bekannte Börsenadresse, eine öffentlich dokumentierte Wallet-Struktur oder eine andere technische Information sein. Eine bloße Behauptung ohne nachvollziehbare Grundlage ist dagegen weniger belastbar.

Für die rechtliche Aufarbeitung kann außerdem relevant sein, ob bestimmte Beweismittel bereits an andere Stellen übermittelt wurden. Wenn beispielsweise ein Anbieter angeschrieben und ein Teil der Transaktionsdaten übermittelt wurde, sollte eine Kopie der Anfrage und der Antwort aufbewahrt werden. Dadurch bleibt später nachvollziehbar, welche Informationen bereits offengelegt wurden.

Auch gegenüber vermeintlichen Recovery-Dienstleistern sollte Zurückhaltung gelten. Wenn ein unbekannter Anbieter eine Analyse verspricht, sollten die eigenen Unterlagen nicht unkontrolliert vollständig weitergegeben werden. Insbesondere geheime Zugangsdaten gehören nicht in fremde Hände. Öffentliche Transaktionsdaten können für eine fachliche Prüfung ausreichen, ohne dass die Kontrolle über die Wallet aufgegeben werden muss.

Die wichtigste technische Grundlage bleibt daher die genaue Dokumentation der Blockchain-Transaktionen. Die wichtigste ergänzende Grundlage ist die Dokumentation des tatsächlichen Geschehens außerhalb der Blockchain. Erst beides zusammen kann erklären, wie die Kryptowährungen verloren gingen und welche Spuren anschließend vorhanden sind.

Wer diese Informationen frühzeitig sichert, verbessert die Ausgangslage für jede weitere Untersuchung. Das bedeutet nicht, dass die gestohlenen Kryptowährungen dadurch automatisch zurückerlangt werden können. Es bedeutet vielmehr, dass die vorhandenen technischen und rechtlichen Anknüpfungspunkte nicht unnötig verloren gehen. Gerade bei komplexen Transaktionsketten kann eine vollständige Ausgangsdokumentation entscheidend sein.

Für die spätere Prüfung sollten deshalb mindestens die Wallet-Adressen, Transaktions-Hashes, Netzwerke, Mengen, Zeitpunkte, Screenshots und Blockchain-Explorer-Daten gesichert werden. Hinzukommen sollten Chatverläufe, E-Mails, Telefonnummern, Webseiten, Vertragsunterlagen, Kontoauszüge, Überweisungsbelege und Informationen zu den beteiligten Personen oder Unternehmen. Bei Kryptobörsen sollten Kauf- und Auszahlungshistorien sowie vorhandene Kontodaten erhalten bleiben.

Wenn diese Informationen geordnet vorliegen, kann anschließend wesentlich genauer untersucht werden, wie sich die Kryptowährungen bewegt haben. Die technische Analyse kann an den dokumentierten Transaktionen ansetzen. Die rechtliche Prüfung kann die Kommunikations- und Zahlungsunterlagen einbeziehen. Zusammen entsteht daraus eine deutlich belastbarere Grundlage als aus einer isolierten Wallet-Adresse oder einem einzelnen Screenshot.

Gerade bei größeren Schäden sollte deshalb nicht abgewartet werden, bis weitere Daten verloren gehen. Websites können offline gehen, Chatverläufe können gelöscht werden, E-Mail-Konten können gesperrt werden und Anbieter können ihre Kommunikation verändern. Die Blockchaindaten bleiben zwar grundsätzlich als Transaktionshistorie erhalten, doch viele ergänzende Informationen außerhalb der Blockchain sind nicht dauerhaft verfügbar.

Eine sorgfältige Beweissicherung verfolgt daher ein klares Ziel: Der ursprüngliche Sachverhalt soll auch zu einem späteren Zeitpunkt noch möglichst genau nachvollzogen werden können. Dazu gehört die Frage, welche Kryptowährungen vorhanden waren, wie sie übertragen wurden, wer die Übertragung veranlasst hat, welche Kommunikation dazu geführt hat und welchen Weg die Vermögenswerte anschließend genommen haben.

Wer gestohlene Kryptowährungen verfolgen möchte, sollte daher nicht erst mit der Suche nach Folgeadressen beginnen, sondern zunächst die Ausgangsdaten sichern. Eine vollständige Wallet-Adresse, ein korrekter Transaktions-Hash, der genaue Zeitpunkt und die zugehörige Kommunikation können später den Unterschied zwischen einer vagen Vermutung und einer nachvollziehbaren Transaktionsspur ausmachen.

Die Beweissicherung ist damit ein eigenständiger und wesentlicher Bestandteil der Aufklärung. Sie schafft die Grundlage für Blockchainanalyse, Walletanalyse und die weitere Prüfung möglicher Verantwortlichkeiten. Je strukturierter die Daten vorliegen, desto leichter lässt sich feststellen, welche Teile des Sachverhalts technisch nachweisbar sind und wo zusätzliche Informationen benötigt werden.

Entscheidend ist dabei eine nüchterne Dokumentation ohne nachträgliche Ausschmückungen. Festgehalten werden sollten die tatsächlichen Transaktionen, die erhaltenen Nachrichten, die vorhandenen Zahlungsbelege und die konkret beobachteten Vorgänge. Vermutungen über Täter, Wallet-Inhaber oder Verantwortlichkeiten sollten als solche gekennzeichnet werden. Eine solche Trennung zwischen Fakten und Annahmen erhöht die Aussagekraft der gesamten Unterlagen.

Am Ende sollte eine nachvollziehbare Akte entstehen, in der die technische und tatsächliche Entwicklung des Falles miteinander verbunden werden kann. Von der ersten Kontaktaufnahme über die Zahlungsaufforderungen und den Krypto-Transfer bis zu den späteren Blockchainbewegungen sollte möglichst jeder wesentliche Schritt anhand vorhandener Unterlagen nachvollziehbar sein. Diese Grundlage kann anschließend für die weitere technische und rechtliche Prüfung genutzt werden.

Gerade weil Blockchaintransaktionen grundsätzlich dauerhaft nachvollziehbare Daten hinterlassen können, ist es sinnvoll, diese Daten frühzeitig mit den Informationen außerhalb der Blockchain zu verbinden. Die Wallet-Adresse zeigt, wohin Kryptowährungen übertragen wurden. Der Transaktions-Hash zeigt, welche konkrete Transaktion stattgefunden hat. Die Kommunikation kann erklären, warum sie ausgelöst wurde. Zahlungsbelege dokumentieren den finanziellen Zusammenhang. Erst aus diesem Zusammenspiel entsteht ein umfassendes Bild des Vorgangs.

Wer diese Beweismittel vollständig sichert, schafft damit keine Garantie für eine Rückgewinnung der verlorenen Kryptowährungen. Er schafft jedoch eine wesentlich bessere Grundlage dafür, den Vermögensfluss zu untersuchen, mögliche Beteiligte zu identifizieren und die rechtlichen Möglichkeiten des konkreten Falles sachgerecht zu prüfen. Gerade bei einem komplexen Krypto-Diebstahl ist diese strukturierte Ausgangslage ein entscheidender Schritt für die weitere Aufklärung.

Gestohlene Kryptowährungen verfolgen – wie kann ein Anwalt bei der Aufklärung und Durchsetzung unterstützen?

Ein Anwalt kann bei dem Versuch, gestohlene Kryptowährungen zu verfolgen, insbesondere dann hilfreich sein, wenn neben der technischen Nachverfolgung auch rechtliche Fragen geklärt und konkrete Schritte gegenüber beteiligten Personen, Unternehmen oder Dienstleistern geprüft werden müssen. Die Blockchain selbst liefert zunächst vor allem technische Informationen. Sie zeigt beispielsweise, von welcher Wallet eine Transaktion ausgegangen ist, welche Zieladresse verwendet wurde und welche weiteren Transaktionen anschließend stattgefunden haben. Daraus ergibt sich jedoch nicht automatisch, wer hinter einer Wallet steht, wer rechtlich für einen Vermögensverlust verantwortlich sein könnte oder welche Ansprüche tatsächlich durchsetzbar sind. Genau an dieser Schnittstelle zwischen technischer Aufklärung und rechtlicher Bewertung kann eine spezialisierte anwaltliche Prüfung ansetzen.

Am Anfang einer anwaltlichen Bearbeitung steht deshalb regelmäßig eine möglichst genaue Rekonstruktion des Geschehens. Entscheidend ist nicht nur die Frage, welche Kryptowährung gestohlen wurde. Es muss auch geklärt werden, wie es zum Verlust gekommen ist. Wurde eine Wallet ohne Zustimmung des Betroffenen geleert? Wurde eine Seed Phrase oder ein Private Key kompromittiert? Wurde der Betroffene durch Phishing zur Freigabe einer Transaktion gebracht? Wurde er von einem vermeintlichen Broker oder Anlageberater dazu veranlasst, Kryptowährungen an eine bestimmte Wallet zu übertragen? Oder wurde ihm auf einer vermeintlichen Handelsplattform lediglich ein Guthaben angezeigt, das tatsächlich nie vorhanden war? Diese Unterschiede können für die spätere rechtliche Bewertung erheblich sein.

Für die anwaltliche Prüfung sind deshalb die vorhandenen technischen Informationen besonders wichtig. Dazu gehören insbesondere Wallet-Adressen, Transaktions-Hashes, Angaben zur verwendeten Blockchain, die jeweilige Kryptowährung oder der Token, transferierte Beträge sowie Datum und Uhrzeit der einzelnen Transaktionen. Soweit bekannt, sollte auch dokumentiert werden, von welcher Wallet die Vermögenswerte ursprünglich stammten und welche Zieladressen anschließend verwendet wurden. Bei komplexeren Vorgängen kann eine Blockchainanalyse zeigen, ob die Vermögenswerte unmittelbar weitergeleitet, auf mehrere Adressen verteilt, zusammengeführt oder später an einen zentralen Dienstleister übertragen wurden.

Ein Anwalt muss dabei zwischen technischen Tatsachen und rechtlichen Schlussfolgerungen unterscheiden. Dass eine bestimmte Wallet Kryptowährungen empfangen hat, bedeutet beispielsweise noch nicht, dass deren Inhaber identifiziert ist. Ebenso beweist die spätere Übertragung an eine Kryptobörse nicht ohne Weiteres, welche konkrete Person die Transaktion vorgenommen hat. Die Blockchain kann eine Transaktionskette dokumentieren, während die Zuordnung zu einer natürlichen oder juristischen Person zusätzliche Informationen erfordert. Genau deshalb sollte eine anwaltliche Prüfung nicht bei einem Blockchain-Explorer enden. Vielmehr geht es darum, die technischen Spuren mit den übrigen Beweismitteln und dem tatsächlichen Ablauf des Geschehens zusammenzuführen.

Von Bedeutung können dabei auch Kryptobörsen, Zahlungsdienstleister oder andere zentrale Anbieter sein. Wenn eine gestohlene oder betrügerisch erlangte Kryptowährung im weiteren Verlauf bei einem zentralen Dienstleister eingeht, kann dort unter Umständen eine Zuordnung zu einem Kundenkonto bestehen. Je nach Anbieter können beispielsweise Kontodaten, Identitätsinformationen, Einzahlungsdaten oder andere KYC-bezogene Informationen vorhanden sein. Ob solche Informationen zugänglich gemacht werden können und auf welchem rechtlichen Weg dies möglich ist, hängt allerdings von den konkreten Umständen, dem jeweiligen Anbieter und der anwendbaren Rechtsordnung ab. Ein Anwalt kann prüfen, welche Informationen relevant sind und welche rechtlichen Möglichkeiten zur Sicherung oder Erlangung dieser Informationen bestehen.

Gerade bei Kryptowährungen ist der zeitliche Faktor nicht allein aus technischer Sicht relevant. Eine Transaktionskette kann sich innerhalb kurzer Zeit über zahlreiche Wallets erstrecken. Werden Vermögenswerte an einen zentralen Dienstleister transferiert, kann die weitere Entwicklung der Vermögenswerte von Bedeutung sein. Deshalb sollte möglichst früh festgestellt werden, wo sich die betroffenen Kryptowährungen nach dem derzeit bekannten Informationsstand befinden. Eine anwaltliche Prüfung kann dabei die technische Analyse mit der Frage verbinden, welche Maßnahmen angesichts des aktuellen Standes der Transaktionen überhaupt sinnvoll und rechtlich möglich erscheinen.

Dabei ist zwischen der Verfolgung von Kryptowährungen und der Sicherung von Vermögenswerten klar zu unterscheiden. Die Tatsache, dass eine Wallet-Adresse identifiziert wurde, bedeutet nicht automatisch, dass die dort befindlichen Vermögenswerte gesichert werden können. Ebenso bedeutet die Identifizierung einer Kryptobörse nicht automatisch, dass diese für den entstandenen Schaden verantwortlich ist oder dass ein dort vorhandenes Guthaben ohne weitere rechtliche Prüfung herausgegeben werden muss. Ein seriöser rechtlicher Ansatz muss deshalb zunächst die tatsächlichen Umstände feststellen und anschließend prüfen, welche konkreten Ansprüche oder Maßnahmen daraus abgeleitet werden können.

In Betracht kommen je nach Sachverhalt beispielsweise Ansprüche auf Herausgabe oder Schadensersatz. Welche Anspruchsgrundlage tatsächlich einschlägig ist, hängt unter anderem davon ab, wie die Kryptowährungen abhandengekommen sind, welche Personen oder Unternehmen beteiligt waren, welche Erklärungen abgegeben wurden und welche Vermögenswerte sich noch identifizieren lassen. Bei einem unbefugten Zugriff auf eine eigene Wallet stellen sich andere rechtliche Fragen als bei einer bewusst veranlassten Überweisung an einen vermeintlichen Anlageanbieter. Wiederum anders kann die Situation sein, wenn ein zentraler Dienstleister in die weitere Transaktionskette eingebunden ist.

Auch mögliche Verantwortlichkeiten von Banken, Zahlungsdienstleistern oder Kryptodienstleistern müssen deshalb individuell geprüft werden. Aus der bloßen Beteiligung eines Unternehmens an einem Zahlungsvorgang folgt nicht automatisch eine Haftung für den entstandenen Schaden. Umgekehrt kann es in bestimmten Konstellationen rechtlich relevante Umstände geben, die eine nähere Prüfung eines Dienstleisters rechtfertigen. Ein Anwalt kann anhand der vorhandenen Unterlagen untersuchen, welche Rolle die einzelnen Beteiligten tatsächlich gespielt haben, welche Informationen ihnen vorlagen und welche rechtlichen Pflichten oder Anspruchsgrundlagen im konkreten Fall zu berücksichtigen sind.

Bei internationalen Fällen gewinnt diese Prüfung zusätzlich an Bedeutung. Kryptobörsen, Zahlungsdienstleister und andere Anbieter können ihren Sitz in unterschiedlichen Ländern haben. Auch die betroffenen Personen können sich außerhalb Deutschlands befinden. Die Blockchain selbst kennt keine nationalen Grenzen, die rechtliche Durchsetzung von Ansprüchen dagegen schon. Deshalb kann es notwendig sein, die Sitz- und Unternehmensstruktur eines beteiligten Dienstleisters zu prüfen und festzustellen, welche Rechtsordnung und welche rechtlichen Verfahren für einen konkreten Schritt relevant sein könnten. Eine solche Prüfung verhindert auch, dass technische Möglichkeiten mit tatsächlich vorhandenen rechtlichen Durchsetzungsmöglichkeiten verwechselt werden.

Eine weitere wichtige Aufgabe des Anwalts kann darin bestehen, die vorhandenen Informationen in eine belastbare Chronologie zu überführen. Gerade bei umfangreichen Fällen liegen häufig zahlreiche Chatnachrichten, E-Mails, Screenshots, Überweisungsbelege und Blockchain-Daten vor. Ohne zeitliche Ordnung ist schwer erkennbar, welche Information zu welchem Zeitpunkt vorlag und welche Handlung darauf folgte. Für die rechtliche Bewertung kann jedoch genau diese Abfolge entscheidend sein. Deshalb sollte nachvollziehbar dokumentiert werden, wann der erste Kontakt entstand, wann welche Zusagen gemacht wurden, wann Zahlungen oder Kryptotransfers erfolgten und wann erstmals Zweifel oder Probleme auftraten.

Auch die Kommunikation mit den beteiligten Personen oder Unternehmen kann eine Rolle spielen. Abhängig vom Sachverhalt kann zu prüfen sein, ob und in welcher Form ein Dienstleister oder eine andere beteiligte Stelle kontaktiert werden sollte. Dabei sollte nicht allein die Frage gestellt werden, ob eine Antwort erreicht werden kann. Ebenso wichtig ist, welche Informationen offengelegt werden, welche Fristen bestehen und ob durch eine unkoordinierte Kontaktaufnahme möglicherweise relevante Informationen verloren gehen oder die weitere rechtliche Vorgehensweise erschwert werden könnte. Ein Anwalt kann eine solche Kommunikation in den rechtlichen Gesamtzusammenhang einordnen und gegebenenfalls begleiten.

Für Betroffene ist es hilfreich, die anwaltliche Prüfung nicht mit einer ungeordneten Sammlung sämtlicher Dateien zu beginnen, sondern die wichtigsten Informationen möglichst übersichtlich zusammenzustellen. Sinnvoll sind insbesondere eine kurze Chronologie des Geschehens, eine Liste der bekannten Wallet-Adressen, die vorhandenen Transaktions-Hashes, Angaben zu Blockchain und Kryptowährung sowie eine Übersicht über die jeweiligen Beträge. Hinzu kommen Kontoauszüge und Überweisungsbelege, soweit Fiat-Zahlungen erfolgt sind, sowie Screenshots, Chatverläufe, E-Mails, Telefonnummern, Webseiten, Vertragsunterlagen und Angaben zu den Personen, die als Ansprechpartner aufgetreten sind.

Besonders wichtig ist dabei, technische Zugangsdaten nicht unkontrolliert weiterzugeben. Eine Seed Phrase oder ein Private Key ist keine gewöhnliche Information für die Fallakte. Wer über eine solche Information verfügt, kann je nach Wallet und Sicherheitskonfiguration möglicherweise auf die darin befindlichen Vermögenswerte zugreifen. Eine anwaltliche Beauftragung bedeutet deshalb nicht, dass sensible Wallet-Zugangsdaten pauschal übermittelt werden sollten. Erforderlich ist vielmehr eine sichere und zweckgebundene Kommunikation darüber, welche Informationen für die rechtliche Prüfung tatsächlich benötigt werden.

Eine anwaltliche Unterstützung kann auch dabei helfen, echte Beweismittel von bloßen Behauptungen oder Darstellungen der Gegenseite zu unterscheiden. Gerade bei Anlage- und Kryptobetrug werden Betroffenen teilweise Screenshots vermeintlicher Kontostände oder angeblicher Transaktionen vorgelegt. Ein angezeigtes Guthaben auf einer Webseite ist jedoch nicht dasselbe wie ein nachweisbares Guthaben auf einer Blockchain oder bei einer Kryptobörse. Ebenso ist ein angeblicher Transaktionsnachweis nicht ohne Weiteres aussagekräftig, wenn sich die angegebene Transaktion auf der betreffenden Blockchain nicht nachvollziehen lässt. Die rechtliche Bewertung sollte deshalb möglichst auf überprüfbaren Daten beruhen.

Bei komplexen Fällen kann die Zusammenarbeit zwischen juristischer Prüfung und technischer Blockchainanalyse sinnvoll sein. Ein Blockchain-Analyst kann beispielsweise Transaktionsstrukturen untersuchen, Folgeadressen identifizieren oder Transfers über mehrere Stationen nachvollziehen. Der Anwalt kann anschließend prüfen, welche Bedeutung diese Ergebnisse für die rechtliche Bearbeitung haben. Umgekehrt kann die juristische Fragestellung bestimmen, welche technischen Informationen überhaupt erhoben werden sollten. Dadurch lässt sich vermeiden, dass große Mengen technischer Daten gesammelt werden, ohne dass klar ist, welche davon für einen konkreten Anspruch relevant sind.

Das kann insbesondere bei einer sogenannten Multi-Hop-Analyse von Bedeutung sein. Werden Kryptowährungen nach einem Diebstahl oder einer betrügerisch veranlassten Übertragung über zahlreiche Wallets weitergeleitet, kann die technische Nachverfolgung sehr umfangreich werden. Nicht jede Zwischenadresse führt jedoch zu einer identifizierbaren Person oder einem zentralen Dienstleister. Die anwaltliche Aufgabe besteht daher nicht darin, möglichst viele Wallets aufzulisten, sondern die für die rechtliche Bewertung relevanten Anknüpfungspunkte herauszuarbeiten. Dazu können insbesondere Übergänge zu bekannten Kryptobörsen oder anderen zentralen Diensten gehören.

Auch die Frage der Vermögenssicherung muss realistisch betrachtet werden. Wenn sich noch identifizierbare Vermögenswerte bei einem zentralen Anbieter befinden, kann dies eine andere Ausgangslage darstellen als bei Kryptowährungen, die über zahlreiche private Wallets weitergeleitet wurden. Ob und wie eine Sicherung rechtlich erreicht werden kann, hängt jedoch von den konkreten Umständen ab. Der Anwalt kann prüfen, welche rechtlichen Schritte grundsätzlich in Betracht kommen und welche Informationen hierfür benötigt werden. Eine Garantie dafür, dass Vermögenswerte tatsächlich gesichert oder zurückerlangt werden können, kann daraus nicht abgeleitet werden.

Ebenso wenig kann ein Anwalt eine Blockchain-Transaktion einfach rückgängig machen. Bei vielen Kryptowährungen existiert keine zentrale Stelle, die eine bereits bestätigte Transaktion nachträglich auf Weisung eines Betroffenen annullieren könnte. Die rechtliche Unterstützung setzt deshalb an anderen Punkten an: bei der Aufklärung des Geschehens, der Dokumentation der Transaktionskette, der Identifizierung möglicher Beteiligter, der Prüfung von Ansprüchen und gegebenenfalls der Durchsetzung solcher Ansprüche gegenüber Personen oder Stellen, bei denen sich relevante Vermögenswerte oder Informationen befinden könnten.

Gerade deshalb sollte die Erwartung an eine anwaltliche Beauftragung realistisch sein. Ein spezialisierter Anwalt kann die rechtlichen und tatsächlichen Möglichkeiten strukturiert prüfen, die Erfolgsaussichten einzelner Schritte bewerten und unnötige Maßnahmen vermeiden helfen. Er kann jedoch nicht garantieren, dass der Täter identifiziert wird, dass eine Kryptobörse Informationen herausgibt oder dass verlorene Kryptowährungen wiedererlangt werden. Die tatsächlichen Möglichkeiten hängen von der Beweislage, der Transaktionsstruktur, dem aktuellen Aufenthaltsort der Vermögenswerte, der Identifizierbarkeit beteiligter Personen und den rechtlichen Rahmenbedingungen ab.

Vorsicht ist auch vor sogenannten Recovery-Scams geboten. Gerade Menschen, die bereits Kryptowährungen verloren haben, werden häufig erneut angesprochen und erhalten das Versprechen, die gestohlenen Vermögenswerte gegen eine vorherige Zahlung zurückzuholen. Teilweise werden angebliche Blockchain-Spezialisten, Behörden, Anwälte oder Recovery-Agenturen vorgegeben. Ein seriöses anwaltliches Vorgehen zeichnet sich dagegen nicht durch eine garantierte Rückzahlung oder angebliche Freischaltungsgebühren aus. Forderungen nach weiteren Zahlungen sollten deshalb besonders kritisch geprüft werden, insbesondere wenn der angebliche Helfer behauptet, die Rückzahlung sei bereits sicher und müsse lediglich durch eine letzte Zahlung, Steuer, Provision oder technische Gebühr ausgelöst werden.

Für Betroffene kann die Beauftragung eines auf Betrugs- und Vermögensschäden spezialisierten Anwalts deshalb vor allem dann sinnvoll sein, wenn der Fall technisch oder rechtlich komplex ist, mehrere Zahlungswege betroffen sind oder sich bereits konkrete Spuren zu Wallets, Kryptobörsen oder anderen Dienstleistern ergeben haben. Eine erste rechtliche Prüfung kann klären, welche Tatsachen feststehen, welche Informationen noch fehlen und welche Schritte überhaupt sinnvoll erscheinen. Informationen zur anwaltlichen Unterstützung bei Betrugsfällen können beispielsweise über den Bereich Anwalt bei Betrug eingeordnet werden.

Entscheidend bleibt dabei die Verbindung von technischer Aufklärung und rechtlicher Bewertung. Gestohlene Kryptowährungen zu verfolgen bedeutet nicht nur, eine Wallet-Adresse in einem Blockchain-Explorer aufzurufen. Es geht darum, die Transaktionskette nachvollziehbar zu dokumentieren, mögliche Anknüpfungspunkte zu identifizieren, technische Erkenntnisse mit den übrigen Beweismitteln abzugleichen und anschließend zu prüfen, welche rechtlichen Möglichkeiten sich daraus ergeben. Ein Anwalt kann diesen Prozess strukturieren und die nächsten Schritte auf die konkrete Situation abstimmen. Ob daraus eine erfolgreiche Identifizierung, Vermögenssicherung oder Durchsetzung von Ansprüchen entsteht, lässt sich jedoch erst nach Prüfung des Einzelfalls beurteilen.

Kanzlei Wilms – Experten bei Online-Anlagebetrug

Die Kanzlei Wilms unterstützt seit Jahren Mandanten, die Opfer von Online-Anlagebetrug, Kryptobetrug, Fake Brokern, Investmentbetrug, Bitcoin-Betrug oder Recovery Scams geworden sind.

Unsere Mandanten kommen aus ganz Deutschland sowie aus dem Ausland. Viele Verfahren weisen internationale Bezüge auf und betreffen grenzüberschreitende Zahlungsströme, Kryptowährungen oder komplexe Unternehmensstrukturen.

Wir analysieren unter anderem:

• Banküberweisungen
• SEPA- und SWIFT-Zahlungen
• Kreditkartenzahlungen
• Zahlungsdienstleister
• Kryptobörsen und Wallet-Transaktionen
• internationale Zahlungsstrukturen

Mehr Informationen finden Sie in unserem Blog.