Kryptowährung gestohlen – was bedeutet das und wie kann es zu einem Verlust kommen?

Wenn eine Kryptowährung plötzlich nicht mehr in der eigenen Wallet vorhanden ist, stellt sich für Betroffene meist zunächst eine sehr einfache, aber entscheidende Frage: Wurde die Kryptowährung tatsächlich gestohlen oder wurde die Transaktion möglicherweise selbst ausgelöst, weil ein Täter zuvor über eine Täuschung Zugriff auf das Vermögen erlangt hat? Diese Unterscheidung ist für die weitere Aufklärung von erheblicher Bedeutung. Denn ein Verlust von Bitcoin, Ether oder anderen digitalen Vermögenswerten kann auf ganz unterschiedliche Weise entstehen. Nicht jeder Fall ist technisch ein klassischer Hackerangriff. Häufig werden Betroffene vielmehr durch Phishing, gefälschte Handelsplattformen, manipulierte Webseiten, angebliche Supportmitarbeiter oder vermeintliche Anlageberater dazu gebracht, eine Transaktion selbst zu veranlassen.

Der Begriff „Kryptowährung gestohlen“ beschreibt deshalb aus Sicht eines Geschädigten zunächst das Ergebnis: Die zuvor vorhandenen Coins oder Token befinden sich nicht mehr dort, wo sie sich befinden sollten, und der Betroffene kann über sie nicht mehr verfügen. Die Ursache kann dagegen sehr unterschiedlich sein. Möglich sind ein unbefugter Zugriff auf eine Wallet, der Diebstahl einer Seed-Phrase, die Kompromittierung eines Kryptobörsenkontos, der Verlust eines privaten Schlüssels oder eine Täuschung, durch die der Betroffene selbst eine Übertragung an eine vom Täter kontrollierte Adresse vorgenommen hat. Für die rechtliche und technische Bewertung muss deshalb der gesamte Ablauf rekonstruiert werden.

Bei einer selbst verwalteten Wallet liegen die entscheidenden Zugangsinformationen grundsätzlich beim Nutzer. Dazu gehören insbesondere der Private Key oder – je nach Wallet – eine Seed-Phrase, mit der sich der Zugriff auf die darin verwalteten Vermögenswerte wiederherstellen lässt. Gelangen solche Informationen in die Hände eines Dritten, kann dieser unter Umständen Transaktionen signieren und Kryptowährungen an eine andere Wallet übertragen. Für den Betroffenen sieht das Ergebnis anschließend häufig so aus, als seien die Coins einfach verschwunden. Tatsächlich lässt sich auf der Blockchain jedoch grundsätzlich nachvollziehen, dass eine Transaktion stattgefunden hat. Entscheidend ist dann die Frage, wodurch der Täter die Möglichkeit erhalten hat, diese Transaktion auszulösen.

Anders kann die Situation bei einer Kryptobörse aussehen. Wer seine Kryptowährungen nicht in einer eigenen Wallet verwaltet, sondern bei einer zentralen Kryptobörse hält, verfügt häufig nicht selbst über den privaten Schlüssel der betreffenden Blockchain-Adresse. Der Zugang zum Vermögen wird vielmehr über ein Benutzerkonto bei dem jeweiligen Dienstleister gesteuert. Wird dieses Konto kompromittiert, kann ein Angreifer möglicherweise Kryptowährungen abziehen, sofern es ihm gelingt, die erforderlichen Sicherheitsmechanismen zu überwinden. Deshalb müssen bei einem solchen Fall nicht nur die Blockchain-Transaktionen betrachtet werden. Ebenso wichtig können Login-Daten, Sicherheitsmeldungen, E-Mails, hinterlegte Telefonnummern, Geräteinformationen und die Kontohistorie sein.

Ein weiterer häufiger Fall ist der sogenannte Social-Engineering-Angriff. Dabei verschafft sich der Täter nicht unbedingt durch technische Mittel Zugang zur Wallet. Stattdessen manipuliert er den Betroffenen. Ein angeblicher Mitarbeiter einer Kryptobörse kann beispielsweise behaupten, es gebe ein Sicherheitsproblem und eine bestimmte Transaktion müsse zur Verifizierung durchgeführt werden. Ein vermeintlicher Anlageberater kann den Nutzer auffordern, Kryptowährungen an eine angebliche Handels- oder Investitionsadresse zu übertragen. Auch ein angeblicher technischer Support kann dazu auffordern, Zugangsdaten preiszugeben oder eine Fernzugriffssoftware zu installieren. Technisch betrachtet wurde die Transaktion dann möglicherweise vom Gerät des Betroffenen ausgelöst. Der Umstand, dass der Betroffene selbst geklickt oder eine Transaktion bestätigt hat, bedeutet jedoch nicht automatisch, dass kein Betrug vorliegt.

Gerade bei Kryptobetrug ist diese Abgrenzung wichtig. Ein Täter muss nicht zwangsläufig eine Wallet „hacken“, um an die Kryptowährung eines anderen Menschen zu gelangen. Es kann ausreichen, den Betroffenen so zu täuschen, dass dieser die Vermögenswerte freiwillig an eine fremde Wallet überträgt. Besonders problematisch sind Fälle, in denen die Empfängeradresse zunächst als Teil einer angeblichen Investition erscheint. Der Geschädigte glaubt beispielsweise, seine Bitcoin oder andere Kryptowährungen auf ein eigenes Handelskonto einzuzahlen. Tatsächlich wird die Zahlung jedoch an eine vom Täter kontrollierte Adresse geleitet.

Bei gefälschten Tradingplattformen wird dieser Mechanismus häufig besonders überzeugend umgesetzt. Auf einer professionell wirkenden Internetseite kann ein angebliches Guthaben angezeigt werden, das den Eindruck vermittelt, die eingezahlte Kryptowährung sei einem persönlichen Handelskonto gutgeschrieben worden. Teilweise werden Kursentwicklungen, Gewinne und offene Positionen dargestellt. Der Betroffene sieht auf dem Bildschirm vermeintlich steigende Vermögenswerte. Die tatsächlichen Kryptowährungen können jedoch längst an andere Wallets transferiert worden sein. Das angezeigte Guthaben ist dann keine verlässliche Darstellung eines real vorhandenen Vermögens.

Ein typisches Problem entsteht spätestens beim Versuch einer Auszahlung. Dann verlangen die Betreiber plötzlich weitere Zahlungen. Begründet werden diese beispielsweise mit angeblichen Steuern, Gebühren, Compliance-Prüfungen, Sicherheitsleistungen oder einer erforderlichen Wallet-Verifizierung. Wer bereits mehrere Zahlungen geleistet hat, kann in dieser Situation besonders anfällig dafür sein, noch weitere Beträge zu überweisen oder zusätzliche Kryptowährungen zu transferieren. Für die Frage, ob Kryptowährung gestohlen wurde, muss deshalb nicht nur die letzte Transaktion betrachtet werden. Entscheidend kann die gesamte Kommunikation mit den Beteiligten sein.

Auch Phishing kann dazu führen, dass Kryptowährung verloren geht. Dabei versuchen Täter, Zugangsdaten oder andere sicherheitsrelevante Informationen zu erlangen, indem sie eine legitime Webseite, eine Kryptobörse, einen Wallet-Anbieter oder einen technischen Dienst nachahmen. Die Nachricht kann beispielsweise den Eindruck erwecken, das Konto müsse dringend verifiziert werden. Ein Link führt anschließend auf eine gefälschte Anmeldeseite. Werden dort Zugangsdaten eingegeben, können diese beim Täter landen. Je nach Sicherheitsarchitektur des betroffenen Dienstes können daraus weitere unbefugte Handlungen folgen.

Besonders gefährlich ist die Preisgabe einer Seed-Phrase. Diese Wörterfolge kann bei bestimmten Wallets den entscheidenden Zugang zu den darin verwalteten Kryptowährungen darstellen. Wer eine solche Wiederherstellungsphrase an einen Dritten weitergibt, sollte davon ausgehen, dass die betreffende Wallet kompromittiert sein kann. Eine seriöse Kontaktperson sollte nicht ohne Weiteres die vollständige Seed-Phrase verlangen. Entsprechende Anfragen sind deshalb ein erhebliches Warnsignal. Gleiches gilt für Aufforderungen, Private Keys, Passwörter oder Einmalcodes preiszugeben.

Auch Schadsoftware kann bei einem Krypto-Diebstahl eine Rolle spielen. Auf einem kompromittierten Computer oder Smartphone können Programme im Hintergrund Daten ausspähen oder bestimmte Vorgänge manipulieren. Ein besonders kritisches Szenario entsteht, wenn ein Nutzer eine Wallet-Transaktion vorbereitet und die Empfängeradresse durch Schadsoftware verändert wird. Auf dem Bildschirm kann unter Umständen zunächst eine scheinbar bekannte Adresse erscheinen oder der Nutzer bemerkt die Abweichung nicht. Nach der Bestätigung wird die Kryptowährung dann an eine andere Adresse übertragen. Ob ein solcher Ablauf vorlag, lässt sich häufig nur anhand der konkreten technischen und zeitlichen Umstände beurteilen.

Eine weitere Variante besteht in der unbefugten Nutzung eines bereits geöffneten Geräts oder Accounts. Wenn beispielsweise E-Mail, Mobiltelefon und Kryptobörsenkonto nicht ausreichend geschützt sind, können Täter versuchen, sich Zugang zu weiteren Diensten zu verschaffen. Eine Schwachstelle muss deshalb nicht unmittelbar bei der Blockchain oder der Wallet liegen. Der Ausgangspunkt kann ein kompromittiertes E-Mail-Konto sein. Von dort aus können Angreifer möglicherweise Passwortänderungen, Wiederherstellungsvorgänge oder Sicherheitsbestätigungen beeinflussen.

Für Betroffene ist deshalb eine möglichst genaue Rekonstruktion des Ablaufs entscheidend. Wann wurde die Kryptowährung zuletzt sicher im eigenen Besitz gesehen? Wann wurde festgestellt, dass sie nicht mehr vorhanden ist? Welche Transaktion ist zu diesem Zeitpunkt erfolgt? Welche Wallet-Adresse war Absender und welche Adresse Empfänger? Wurde die Transaktion selbst ausgelöst oder existieren Anhaltspunkte für einen fremden Zugriff? Gab es zuvor eine verdächtige E-Mail, einen Anruf, eine WhatsApp-Nachricht oder einen Kontakt über Telegram? Wurde eine neue Software installiert? Wurde eine Webseite geöffnet oder eine Wallet mit einer unbekannten Anwendung verbunden? Wurden Zugangsdaten oder Sicherheitsinformationen weitergegeben?

Diese Fragen können zunächst banal wirken, sind für eine spätere Prüfung aber von erheblicher Bedeutung. Bei Kryptowährungen lässt sich die Bewegung eines digitalen Vermögenswerts nicht allein anhand des Kontostands beurteilen. Entscheidend sind die zugrunde liegenden Transaktionen. Eine Wallet-Adresse kann dabei als Ausgangs- oder Zielpunkt eines Zahlungsstroms dienen. Der Transaktions-Hash beziehungsweise die Transaktions-ID ermöglicht es, eine konkrete Transaktion auf der jeweiligen Blockchain zu identifizieren. Werden diese Informationen frühzeitig gesichert, kann die spätere Rekonstruktion des Vorgangs deutlich erleichtert werden.

Dabei sollte zwischen einer Wallet-Adresse und einem tatsächlichen Namen unterschieden werden. Eine Blockchain-Adresse zeigt zunächst eine technische Zuordnung von Transaktionen. Daraus ergibt sich nicht automatisch die Identität der Person, die hinter der Adresse steht. Genau deshalb ist die Aussage „Die Wallet ist bekannt, also weiß man, wer das Geld hat“ regelmäßig zu weitgehend. Die Blockchain kann wichtige technische Spuren liefern, die Identifizierung einer Person erfordert jedoch gegebenenfalls zusätzliche Informationen.

Interessant kann insbesondere der weitere Weg der Kryptowährung sein. Eine gestohlene Kryptowährung muss nicht dauerhaft auf der ersten Empfängeradresse verbleiben. Sie kann auf weitere Wallets übertragen, auf mehrere Adressen verteilt oder über verschiedene Transaktionsschritte weitergeleitet werden. Ebenso kann es vorkommen, dass Vermögenswerte später bei einer zentralen Kryptobörse oder einem anderen Kryptodienstleister eingehen. In solchen Fällen können zusätzliche Informationen relevant werden, die außerhalb der Blockchain liegen. Dazu können insbesondere KYC-Daten gehören, wenn ein Dienstleister den betreffenden Nutzer identifizieren kann.

KYC steht für „Know Your Customer“. Gemeint sind Verfahren, mit denen bestimmte Finanz- und Kryptodienstleister Kunden identifizieren. Ob solche Daten tatsächlich vorhanden sind und ob sie rechtlich zugänglich gemacht werden können, hängt vom konkreten Dienstleister, dem jeweiligen Sachverhalt und den anwendbaren rechtlichen Voraussetzungen ab. Für eine rechtliche Prüfung kann es deshalb relevant sein, nicht nur die unmittelbare Empfänger-Wallet zu betrachten, sondern den weiteren Transaktionsweg zu analysieren.

Ein Krypto-Diebstahl kann außerdem mit anderen Formen des Internetbetrugs verbunden sein. So kann ein vermeintlicher Anlageberater zunächst Vertrauen aufbauen, anschließend eine Einzahlung in Kryptowährung verlangen und später eine weitere Zahlung zur angeblichen Freischaltung des Guthabens fordern. In einem anderen Fall kann ein Opfer über soziale Medien kontaktiert und zu einer vermeintlich sicheren Krypto-Investition bewegt werden. Wieder andere Geschädigte verlieren Kryptowährungen nach einem Phishing-Angriff oder durch eine gefälschte Supportseite. Der Begriff „Kryptowährung gestohlen“ beschreibt daher häufig nur den sichtbaren Teil eines wesentlich komplexeren Geschehens.

Für die rechtliche Einordnung ist es ebenfalls relevant, wer welche Handlung vorgenommen hat. Eine Blockchain kennt keine juristische Bezeichnung wie „Betrüger“ oder „Geschädigter“. Sie dokumentiert technische Vorgänge. Die rechtliche Bewertung muss deshalb anhand weiterer Informationen erfolgen. Dazu gehören etwa die Kommunikation zwischen den Beteiligten, die Täuschungshandlung, die konkrete Zahlungsaufforderung, die Herkunft der Empfängeradresse und der weitere Verbleib der übertragenen Vermögenswerte.

Besonders sorgfältig sollte zwischen einem technischen Diebstahl und einer täuschungsbedingten Vermögensverfügung unterschieden werden. Beim technischen Zugriff kann beispielsweise ein unbekannter Dritter ohne Wissen des Betroffenen eine Transaktion ausgelöst haben. Beim klassischen Krypto-Betrug kann der Betroffene dagegen selbst eine Transaktion bestätigt haben, weil er davon ausging, seine Kryptowährung auf ein eigenes Konto oder zu einem legitimen Dienstleister zu übertragen. Beide Situationen können für den Geschädigten ähnlich aussehen: Die Kryptowährung ist nicht mehr unter seiner Kontrolle. Die Ermittlungs- und Prüfungsansätze können jedoch unterschiedlich sein.

Auch die verwendete Kryptowährung und das zugrunde liegende Netzwerk können für die technische Analyse eine Rolle spielen. Bitcoin, Ether und verschiedene Token können auf unterschiedlichen Netzwerken und nach unterschiedlichen technischen Regeln übertragen werden. Deshalb genügt es nicht immer, lediglich den Namen der Kryptowährung zu kennen. Für eine konkrete Prüfung können Informationen über das Netzwerk, die Wallet-Adresse, den Transaktions-Hash, den Zeitpunkt und gegebenenfalls weitere technische Parameter erforderlich sein.

Bei einem Verlust sollte deshalb möglichst früh eine vollständige Dokumentation erstellt werden. Sinnvoll ist eine chronologische Zusammenstellung aller relevanten Vorgänge. Dazu gehören beispielsweise der erste Kontakt mit einer unbekannten Person, die Registrierung bei einer Plattform, Einzahlungen, Wallet-Verbindungen, einzelne Transaktionen, Gespräche über weitere Zahlungen und der Zeitpunkt, an dem der Verlust festgestellt wurde. Auch scheinbar nebensächliche Informationen können später Bedeutung gewinnen. Dazu zählen Telefonnummern, E-Mail-Adressen, Benutzernamen, Domains oder Namen angeblicher Berater.

Wer Kryptowährung über eine Kryptobörse erworben und anschließend an eine externe Wallet übertragen hat, sollte außerdem die Unterlagen des Börsenkontos sichern. Dazu können Transaktionsübersichten, Ein- und Auszahlungsdaten sowie Nachrichten des Dienstleisters gehören. Bei einem direkten Wallet-zu-Wallet-Transfer sind dagegen insbesondere die betreffenden Blockchain-Daten wichtig. Bei einem Betrug über eine gefälschte Handelsplattform können zusätzlich Screenshots der Plattform, die dort angezeigten Kontostände und sämtliche Kommunikationsdaten von Bedeutung sein.

Nicht selten versuchen Täter nach einem ersten Verlust erneut Kontakt aufzunehmen. Sie behaupten dann beispielsweise, die gestohlene Kryptowährung könne gegen eine Gebühr zurückgeholt werden. Solche Kontaktaufnahmen können Teil eines sogenannten Recovery Scam sein. Betroffene sollten deshalb besonders vorsichtig sein, wenn nach einem bereits eingetretenen Krypto-Verlust plötzlich jemand gegen eine Vorauszahlung eine sichere Rückholung verspricht. Eine weitere Zahlung sollte nicht allein aufgrund einer solchen Zusicherung geleistet werden.

Die Tatsache, dass eine Kryptowährung auf einer Blockchain technisch nachvollziehbar ist, bedeutet ebenfalls nicht automatisch, dass sie zurückgegeben werden kann. Die technische Nachverfolgung und die tatsächliche Rückerlangung sind zwei unterschiedliche Fragen. Eine Blockchainanalyse kann beispielsweise zeigen, dass eine bestimmte Transaktion stattgefunden hat und welche weiteren Adressen anschließend beteiligt waren. Daraus kann sich ein wertvoller Ermittlungsansatz ergeben. Ob daraus tatsächlich eine Möglichkeit zur Sicherung oder Rückforderung des Vermögens entsteht, hängt jedoch von den weiteren Umständen ab.

Dasselbe gilt für die Frage, ob ein Kryptodienstleister beteiligt ist. Wird eine Transaktion zu einer Adresse geführt, die einer Kryptobörse oder einem anderen VASP zugeordnet werden kann, kann dies für die weitere Prüfung relevant sein. Ein VASP ist vereinfacht gesagt ein Dienstleister, der bestimmte Leistungen im Zusammenhang mit virtuellen Vermögenswerten erbringt. Die bloße Feststellung einer solchen Adresse beantwortet allerdings noch nicht die Frage, wem das konkrete Vermögen zuzuordnen ist. Dafür können weitere Informationen und rechtliche Schritte erforderlich sein.

Betroffene sollten deshalb vermeiden, den Sachverhalt vorschnell auf eine einzige Ursache zu reduzieren. Die Aussage „Meine Wallet wurde gehackt“ kann sich nach einer genaueren Prüfung als Phishing-Fall, Social Engineering oder Täuschung über eine angebliche Handelsplattform herausstellen. Umgekehrt kann eine vermeintlich selbst ausgelöste Transaktion bei näherer Betrachtung durch einen kompromittierten Zugang oder eine manipulierte Umgebung verursacht worden sein. Eine belastbare Einordnung setzt deshalb die Betrachtung des gesamten Ablaufs voraus.

Wer seine Kryptowährung verloren hat, sollte insbesondere nicht davon ausgehen, dass allein der aktuelle Wallet-Saldo die gesamte Geschichte erzählt. Der entscheidende Hinweis kann in einer früheren Transaktion, einer E-Mail, einem Login-Vorgang oder einer Nachricht des angeblichen Beraters liegen. Gerade bei komplexen Betrugsfällen setzt sich der tatsächliche Ablauf häufig aus mehreren miteinander verbundenen Schritten zusammen.

Für eine erste rechtliche Prüfung kann es deshalb hilfreich sein, sämtliche Informationen ungefiltert zusammenzustellen, anstatt nur die vermeintlich wichtigsten Dokumente auszuwählen. Kontoauszüge, Überweisungsbelege, Wallet-Adressen, Transaktions-Hashes, Screenshots, Chatverläufe, E-Mails, Telefonnummern, Vertragsunterlagen und die Namen beteiligter Personen können zusammen ein wesentlich klareres Bild ergeben. Auch Angaben darüber, welche Software verwendet wurde und ob Fernzugriff ermöglicht wurde, können relevant sein.

Eine spezialisierte rechtliche Prüfung setzt damit nicht erst bei der Frage an, ob „Geld zurück“ möglich ist. Zunächst muss geklärt werden, was überhaupt passiert ist. Erst wenn der Zahlungs- und Transaktionsweg möglichst genau rekonstruiert wurde, lässt sich sinnvoll beurteilen, welche technischen Spuren vorhanden sind, welche Personen oder Dienstleister als mögliche Anknüpfungspunkte in Betracht kommen und welche rechtlichen Möglichkeiten im konkreten Fall geprüft werden können.

Für Betroffene ist deshalb die wichtigste erste Erkenntnis: Wenn Kryptowährung gestohlen wurde, sollte der Verlust nicht lediglich als verschwundenes Guthaben betrachtet werden. Hinter einer einzelnen Blockchain-Transaktion kann ein komplexer Vorgang stehen, der mit Phishing, einer kompromittierten Wallet, einem gehackten Börsenkonto, einer gefälschten Plattform oder einer gezielten Täuschung begonnen hat. Je genauer dieser Ablauf dokumentiert wird, desto besser lässt sich anschließend untersuchen, wohin die Kryptowährung übertragen wurde, welche technischen Spuren vorhanden sind und ob sich daraus konkrete rechtliche Ansatzpunkte ergeben.

Kryptowährung gestohlen – diese Betrugs- und Angriffsmethoden sind besonders häufig

Wenn eine Kryptowährung gestohlen wurde, ist die Ursache häufig nicht auf den ersten Blick erkennbar. Viele Betroffene gehen zunächst davon aus, dass jemand unmittelbar in ihre Wallet eingedrungen sein muss. Tatsächlich nutzen Täter jedoch zahlreiche unterschiedliche Methoden, um an Bitcoin, Ether, Stablecoins oder andere digitale Vermögenswerte zu gelangen. Teilweise werden technische Schwachstellen ausgenutzt. In anderen Fällen steht die Täuschung des Opfers im Mittelpunkt. Der Täter sorgt dann dafür, dass der Betroffene selbst eine Transaktion ausführt, Zugangsdaten preisgibt oder eine Anwendung mit seiner Wallet verbindet.

Für die spätere Aufklärung ist es deshalb wichtig, die verschiedenen Angriffsmethoden voneinander zu unterscheiden. Ein Verlust kann durch Phishing, eine manipulierte Webseite, einen kompromittierten Kryptobörsen-Account, eine gestohlene Seed-Phrase, Schadsoftware, Social Engineering oder einen Anlage- und Trading-Betrug verursacht worden sein. Auch vermeintliche Supportkontakte und gefälschte Wallet-Anwendungen kommen als Ausgangspunkt infrage. Je nach Vorgehensweise unterscheiden sich die vorhandenen Beweismittel und die technischen Spuren erheblich.

Besonders verbreitet ist Phishing. Dabei versuchen Täter, den Eindruck zu erwecken, mit einer seriösen Kryptobörse, einem Wallet-Anbieter oder einem anderen bekannten Dienst zu kommunizieren. Die Kontaktaufnahme kann per E-Mail, SMS, Messenger oder über soziale Netzwerke erfolgen. Häufig wird eine scheinbar dringende Sicherheitsmaßnahme behauptet. Das Konto müsse beispielsweise verifiziert, entsperrt oder gegen einen angeblichen Angriff geschützt werden. Über einen beigefügten Link wird das Opfer auf eine nachgeahmte Webseite geleitet.

Die gefälschte Seite kann einer echten Anmeldeseite täuschend ähnlich sehen. Gibt der Nutzer dort seine Zugangsdaten ein, können diese unmittelbar an die Täter übermittelt werden. Bei einem entsprechend aufgebauten Angriff können zusätzlich Zwei-Faktor-Codes oder andere Sicherheitsinformationen abgefragt werden. Für den Betroffenen sieht der Vorgang zunächst wie ein normaler Login aus. Erst später wird festgestellt, dass Kryptowährungen fehlen oder das Konto verändert wurde.

Phishing beschränkt sich nicht auf klassische E-Mails. Gerade im Kryptobereich können Täter soziale Netzwerke, Messenger und Suchmaschinen nutzen, um Opfer auf gefälschte Angebote aufmerksam zu machen. Auch Anzeigen oder Webseiten, die den Eindruck eines bekannten Dienstes vermitteln, können auf betrügerische Seiten führen. Deshalb sollte nicht allein darauf vertraut werden, dass eine Webseite professionell gestaltet ist oder ein bekanntes Logo verwendet. Entscheidend ist, ob tatsächlich der richtige Dienst aufgerufen wurde und welche Zugangsdaten oder Berechtigungen verlangt werden.

Eine besonders kritische Form des Phishings betrifft die Seed-Phrase. Eine Wallet kann so eingerichtet sein, dass eine bestimmte Wörterfolge zur Wiederherstellung des Zugangs dient. Wer diese Wörterfolge an einen Dritten weitergibt, kann damit unter Umständen den vollständigen Zugriff auf die Wallet ermöglichen. Täter versuchen deshalb teilweise, sich als Wallet-Support auszugeben und behaupten, die Seed-Phrase werde für eine Sicherheitsprüfung benötigt. Eine solche Aufforderung sollte als erhebliches Warnsignal behandelt werden.

Auch sogenannte Fake-Wallets können zum Verlust von Kryptowährungen führen. Dabei handelt es sich um Anwendungen oder Webseiten, die wie ein legitimer Wallet-Dienst aussehen. Ein Nutzer kann dazu gebracht werden, seine Zugangsdaten einzugeben, eine Wiederherstellungsphrase zu importieren oder eine Verbindung zu einer vermeintlich notwendigen Anwendung herzustellen. Werden sensible Informationen auf diese Weise an die Täter übermittelt, können die dort verwalteten Vermögenswerte gefährdet sein.

Ein weiterer Angriffsweg besteht in der Manipulation von Wallet-Verbindungen. Moderne Kryptoanwendungen können mit dezentralen Anwendungen oder anderen Diensten verbunden werden. Nutzer werden dabei teilweise aufgefordert, bestimmte Vorgänge zu bestätigen. Wer nicht genau versteht, welche Berechtigung er erteilt, kann unter Umständen eine Transaktion oder einen Zugriff autorisieren, dessen Folgen zunächst nicht erkennbar sind. Besonders riskant sind Aufforderungen, die unter erheblichem Zeitdruck erfolgen oder deren technische Bedeutung dem Nutzer nicht verständlich erklärt wird.

Neben technischen Angriffen spielt Social Engineering eine zentrale Rolle. Hier wird nicht primär ein Computersystem manipuliert, sondern der Mensch. Täter bauen Vertrauen auf, erzeugen Angst oder Zeitdruck und bringen das Opfer dazu, sicherheitsrelevante Handlungen vorzunehmen. Im Kryptobereich können sie sich als Mitarbeiter einer Börse, als Anlageberater, als Broker, als Steuerexperte oder als technischer Spezialist ausgeben. Die eigentliche Transaktion kann anschließend vom Gerät des Betroffenen ausgeführt werden.

Das kann die spätere Einordnung erheblich erschweren. In der Blockchain ist unter Umständen zu sehen, dass die Transaktion von einer Wallet autorisiert wurde, die dem Betroffenen zugeordnet ist. Daraus folgt jedoch nicht automatisch, dass der Betroffene frei und informiert über sein Vermögen verfügt hat. Wenn er aufgrund einer Täuschung davon ausging, eine Sicherheitsmaßnahme oder eine Übertragung auf ein eigenes Konto vorzunehmen, kann die technische Transaktion Teil eines betrügerischen Gesamtvorgangs sein.

Besonders häufig ist dieses Muster bei vermeintlichen Anlageberatern. Der Kontakt beginnt beispielsweise über soziale Medien oder Messenger. Der Gesprächspartner vermittelt den Eindruck, über besondere Kenntnisse im Bereich Kryptowährungen zu verfügen. Es werden Gewinne in Aussicht gestellt und möglicherweise Screenshots erfolgreicher Trades gezeigt. Nach einer ersten Zahlung kann der vermeintliche Berater weitere Investitionen empfehlen. Die Kryptowährung wird dann an eine Wallet-Adresse übertragen, die nicht dem Betroffenen, sondern möglicherweise den Hintermännern des Systems zugeordnet ist.

Ein wesentliches Warnsignal sind dabei ungewöhnlich hohe oder vermeintlich sichere Renditen. Auch wenn Kryptowährungen grundsätzlich starken Kursschwankungen unterliegen können, stellen Täter häufig konkrete Gewinnversprechen in Aussicht. Sie präsentieren angebliche Handelsergebnisse und vermitteln den Eindruck, der Gewinn sei bereits erzielt worden. Ein auf einer Webseite angezeigter Kontostand ist jedoch kein Beweis dafür, dass entsprechende Kryptowährungen tatsächlich vorhanden sind.

Bei gefälschten Tradingplattformen wird diese Täuschung besonders ausgefeilt. Der Betroffene erhält Zugang zu einem Online-Konto, in dem Einzahlungen, Gewinne und angebliche Handelspositionen dargestellt werden. Teilweise kann er sogar beobachten, wie sein Guthaben vermeintlich steigt. Tatsächlich kann die Plattform vollständig unter Kontrolle der Täter stehen. Die angezeigten Werte müssen dann keinen Bezug zu real vorhandenen Vermögenswerten haben.

Das Problem wird häufig beim ersten Auszahlungsversuch sichtbar. Sobald der Betroffene sein Guthaben auf sein eigenes Bankkonto oder eine eigene Wallet übertragen möchte, wird ihm mitgeteilt, dass zunächst eine weitere Zahlung erforderlich sei. Als Begründung können angebliche Steuern, Gebühren, Geldwäscheprüfungen, Sicherheitsleistungen, Liquiditätsnachweise oder Freischaltungskosten genannt werden. Teilweise verändert sich die Begründung mit jeder weiteren Zahlungsaufforderung.

Wer bereits Kryptowährung verloren hat, kann dadurch in eine zweite Phase des Betrugs geraten. Die Täter wissen, dass das Opfer sein Geld zurückhaben möchte. Sie versprechen deshalb, eine Auszahlung unmittelbar nach einer weiteren Zahlung zu ermöglichen. Nach erfolgter Zahlung kann jedoch eine neue Hürde entstehen. Das Muster kann sich wiederholen, bis der Betroffene keine weiteren Zahlungen mehr leistet.

Auch vermeintliche Compliance-Maßnahmen werden für solche Täuschungen genutzt. Begriffe wie KYC, AML oder Wallet-Verifizierung wirken auf viele Nutzer seriös, weil sie tatsächlich aus dem regulierten Finanz- und Kryptobereich bekannt sind. Täter verwenden solche Begriffe jedoch teilweise lediglich, um eine weitere Zahlungsforderung plausibel erscheinen zu lassen. Eine professionelle Bezeichnung für einen angeblichen Prüfprozess beweist daher nicht, dass tatsächlich ein legitimer Dienstleister dahintersteht.

Ein anderes Szenario betrifft gefälschte Mitarbeiter von Kryptobörsen. Der Betroffene erhält möglicherweise einen Anruf oder eine Nachricht mit dem Hinweis, dass ungewöhnliche Aktivitäten auf seinem Konto festgestellt worden seien. Der angebliche Mitarbeiter erklärt, die Kryptowährung müsse zur Sicherung auf eine andere Wallet übertragen werden. Tatsächlich wird damit genau die Transaktion vorbereitet, durch die der Täter Zugriff auf die Vermögenswerte erhält.

Besonders gefährlich wird es, wenn der angebliche Support den Nutzer dazu auffordert, eine Fernwartungssoftware zu installieren. Der Täter kann anschließend versuchen, den Bildschirm des Betroffenen einzusehen oder Handlungen auf dessen Computer zu beeinflussen. Selbst wenn eine solche Software ursprünglich aus einem legitimen technischen Kontext bekannt ist, sollte ihre Verwendung gegenüber unbekannten Personen nicht leichtfertig ermöglicht werden. Nach einem solchen Vorfall können neben den Blockchain-Daten auch Informationen über die verwendete Software, den Zeitpunkt des Fernzugriffs und die Kommunikation mit dem angeblichen Support relevant sein.

Eine weitere Betrugsmethode ist der sogenannte Romance Scam mit Krypto-Bezug. Hier wird zunächst eine persönliche oder emotionale Beziehung aufgebaut. Erst später wird das Thema Geldanlage oder Kryptowährung angesprochen. Die Täter können dabei behaupten, selbst erfolgreich mit digitalen Vermögenswerten zu handeln oder dem Opfer eine besonders interessante Investitionsmöglichkeit vermitteln zu können. Weil bereits Vertrauen entstanden ist, hinterfragt das Opfer die Zahlungsaufforderung möglicherweise weniger kritisch.

Auch sogenannte Task Scams können mit Kryptowährungen verbunden sein. Betroffene werden beispielsweise über Messenger oder soziale Netzwerke angesprochen und erhalten angeblich einfache Aufgaben, für deren Erledigung Provisionen gezahlt werden. Im Verlauf des Systems wird eine Einzahlung in Kryptowährung verlangt, etwa um ein Guthaben freizuschalten oder eine höhere Stufe zu erreichen. Die angezeigten Gewinne können dabei rein virtuell sein. Sobald der Nutzer eine Auszahlung verlangt, werden neue Zahlungen gefordert.

Bei einem weiteren bekannten Muster werden vermeintliche Krypto-Investitionen über soziale Medien beworben. Eine professionell wirkende Internetpräsenz, positive Erfahrungsberichte und angebliche Experten sollen Vertrauen schaffen. Die eigentliche Kommunikation wird anschließend auf einen Messenger verlagert. Dort kann der Kontakt zunehmend persönlicher werden. Der Betroffene erhält konkrete Anweisungen, wohin er Kryptowährungen übertragen soll. Die Empfängeradresse kann dabei mehrfach wechseln.

Auch der Wechsel der Empfängeradresse ist ein wichtiger Umstand, der dokumentiert werden sollte. Wenn ein angeblicher Dienstleister zunächst eine Wallet nennt und später eine andere Adresse verlangt, sollte nicht einfach davon ausgegangen werden, dass dies technisch notwendig sei. Für die spätere Rekonstruktion können sämtliche genannten Wallet-Adressen relevant sein. Dasselbe gilt für QR-Codes, die zur Zahlung bereitgestellt wurden.

Ein besonderes Problem entsteht, wenn Täter die Kommunikation gezielt auf verschiedene Personen verteilen. Ein Mitarbeiter ist für die angebliche Anlageberatung zuständig, ein anderer für den technischen Support und eine weitere Person für die Auszahlung. Dadurch entsteht der Eindruck eines größeren Unternehmens mit verschiedenen Abteilungen. Tatsächlich können alle Kontakte Teil desselben Betrugssystems sein. Für die Aufklärung sollte deshalb nicht nur der Name einer einzelnen Kontaktperson betrachtet werden.

Täter können zudem Identitäten und Unternehmensangaben missbrauchen. Ein angeblicher Berater kann einen real existierenden Namen verwenden. Eine Webseite kann mit einer Unternehmensbezeichnung auftreten, die tatsächlich existiert, obwohl zwischen dem Unternehmen und der konkreten Plattform keine Verbindung besteht. Deshalb reicht es nicht aus, lediglich den Namen des Gesprächspartners zu dokumentieren. Auch E-Mail-Adressen, Telefonnummern, Webseiten, Domains, Kontodaten und Wallet-Adressen sollten gesichert werden.

Bei einem Kryptowährungsdiebstahl kann außerdem Malware eine Rolle spielen. Schadprogramme können Passwörter ausspähen, Tastatureingaben erfassen oder andere Informationen vom betroffenen Gerät abgreifen. Für die rechtliche Aufklärung kann deshalb relevant sein, ob unmittelbar vor dem Verlust eine unbekannte Datei geöffnet, eine Anwendung installiert oder eine verdächtige Webseite besucht wurde. Auch ein vermeintliches Wallet-Update kann sich als manipulierte Software herausstellen.

Eine weitere Gefahr besteht bei kompromittierten E-Mail-Konten. Viele Kryptodienste nutzen E-Mail-Adressen für Anmeldebestätigungen, Passwortwiederherstellungen oder Sicherheitsmeldungen. Wird das E-Mail-Konto übernommen, kann dies deshalb Auswirkungen auf weitere Konten haben. Wer nach einem Krypto-Diebstahl nur das betroffene Börsenkonto betrachtet, kann eine wichtige Ursache übersehen.

Auch die Mobilfunknummer kann für einen Angriff relevant sein. Wenn ein Täter versucht, die Kontrolle über die Telefonnummer oder die damit verbundenen Wiederherstellungsmechanismen zu erlangen, können SMS-basierte Sicherheitsverfahren betroffen sein. Welche konkrete Bedeutung dies im Einzelfall hat, hängt vom verwendeten Dienst und den eingerichteten Sicherheitsmaßnahmen ab. Für die Rekonstruktion sollte daher auch berücksichtigt werden, ob es rund um den Zeitpunkt des Verlusts ungewöhnliche Änderungen oder Sicherheitsmeldungen gab.

Bei dezentralen Anwendungen und Token kann wiederum eine andere technische Ursache vorliegen. Nutzer bestätigen teilweise sogenannte Approvals oder andere Berechtigungen, ohne deren genaue Reichweite zu verstehen. Eine betrügerische Anwendung kann versuchen, den Nutzer zu einer entsprechenden Bestätigung zu bewegen. In einem solchen Fall muss untersucht werden, welche Transaktion tatsächlich bestätigt wurde und welche Rechte dadurch eingeräumt wurden. Die bloße Feststellung, dass eine Wallet eine Transaktion bestätigt hat, reicht für die technische Bewertung nicht immer aus.

Gerade deshalb sollte ein Krypto-Verlust nicht vorschnell als „Hackerangriff“ bezeichnet werden. Für die weitere Bearbeitung ist eine möglichst genaue Beschreibung des tatsächlichen Geschehens wesentlich. Wurde eine unbekannte Transaktion festgestellt? Wurde die Transaktion selbst bestätigt? Wurde eine Seed-Phrase eingegeben? Wurde ein unbekannter Vertrag mit der Wallet verbunden? Wurde eine Zahlung auf Anweisung eines vermeintlichen Beraters durchgeführt? Oder wurde das Kryptobörsenkonto ohne Zustimmung verändert?

Diese Fragen haben auch für die Beweissicherung Bedeutung. Bei einem Phishing-Angriff können die ursprüngliche Nachricht und die Zieladresse der verwendeten Webseite wichtig sein. Bei einem Fake-Broker können Screenshots der Plattform, Chatverläufe und Zahlungsanweisungen entscheidend sein. Bei einem kompromittierten Wallet-Konto können dagegen technische Transaktionsdaten und Informationen über die verwendete Wallet im Vordergrund stehen. Bei einem Angriff über eine Kryptobörse können wiederum Kontodaten, Login-Warnungen und Auszahlungsinformationen relevant sein.

Die unterschiedlichen Betrugsmethoden zeigen zugleich, warum eine isolierte Betrachtung der letzten Blockchain-Transaktion häufig nicht ausreicht. Eine Transaktion ist das sichtbare Ergebnis eines Vorgangs. Die eigentliche Täuschung kann bereits Tage oder Wochen zuvor stattgefunden haben. Ein Link wurde angeklickt, ein vermeintlicher Berater wurde kontaktiert, eine Plattform wurde eingerichtet, ein Passwort wurde geändert oder eine Wallet wurde mit einer Anwendung verbunden. Erst die Verbindung dieser Informationen kann den Ablauf nachvollziehbar machen.

Besonders sorgfältig sollte dokumentiert werden, wann welche Person welche Anweisung gegeben hat. Bei Messenger-Kommunikation empfiehlt es sich, nicht nur einzelne Screenshots der letzten Nachricht aufzubewahren. Der gesamte relevante Chatverlauf kann für die Rekonstruktion wichtig sein. Daraus kann hervorgehen, wann der Täter erstmals Kontakt aufgenommen hat, wie Vertrauen aufgebaut wurde, wann erstmals eine Zahlung verlangt wurde und welche Begründungen später für weitere Zahlungen genannt wurden.

Dasselbe gilt für E-Mails. Absenderadresse, Betreff, Datum, Inhalt und enthaltene Links können wichtige Hinweise liefern. Bei gefälschten Webseiten kann außerdem die Domain relevant sein. Eine nur geringfügig veränderte Internetadresse kann einen Hinweis darauf geben, dass es sich nicht um den echten Dienst handelte. Solche Informationen sollten möglichst im ursprünglichen Zustand gesichert werden.

Auch die Namen angeblicher Berater sollten vollständig dokumentiert werden. Wenn sich später herausstellt, dass ein Name frei erfunden oder missbraucht wurde, kann diese Information für die weitere Aufklärung relevant sein. Gleiches gilt für Fotos, Profilbilder und Angaben zu angeblichen Zulassungen oder Unternehmenszugehörigkeiten. Sie sollten nicht als Beweis für die tatsächliche Identität der betreffenden Person verstanden werden.

Bei einem Krypto-Diebstahl ist zudem Vorsicht gegenüber Personen geboten, die unmittelbar nach dem Verlust eine schnelle Lösung anbieten. Täter oder andere Betrüger können gezielt nach bereits geschädigten Personen suchen. Sie behaupten dann möglicherweise, über spezielle Kontakte zu Kryptobörsen oder Behörden zu verfügen und die gestohlenen Kryptowährungen gegen eine Vorauszahlung zurückholen zu können. Solche Angebote sollten unabhängig geprüft werden. Ein bereits eingetretener Verlust macht Betroffene nicht selten zu einem neuen Ziel.

Wer erkennen möchte, welche Betrugsmethode im eigenen Fall vorliegt, sollte deshalb nicht nur fragen: „Wie sind meine Coins verschwunden?“ Sinnvoller ist eine chronologische Betrachtung: Wie begann der Kontakt? Welche Webseite oder Anwendung wurde verwendet? Welche Informationen wurden eingegeben? Welche Anweisung wurde erteilt? Welche Transaktion wurde anschließend ausgeführt? Welche Wallet-Adresse war das Ziel? Was geschah danach? Und welche weiteren Kontakte oder Zahlungsforderungen folgten?

Aus dieser Rekonstruktion können sich unterschiedliche Ermittlungsansätze ergeben. Bei einer Phishing-Attacke stehen andere Informationen im Vordergrund als bei einem Anlagebetrug über eine gefälschte Plattform. Bei einem kompromittierten Börsenkonto können wiederum Kontozugriffe und Sicherheitsereignisse entscheidend sein. Bei einer gestohlenen Seed-Phrase muss geprüft werden, wie diese Information an den Täter gelangt sein könnte. Bei einer manipulierten Transaktion kann wiederum die technische Umgebung des Geräts relevant sein.

Die Bezeichnung „Kryptowährung gestohlen“ sollte daher als Ausgangspunkt verstanden werden, nicht als abschließende technische oder rechtliche Diagnose. Erst die Kombination aus Blockchain-Daten, Kommunikationsverlauf, verwendeten Webseiten und Anwendungen sowie den Angaben des Betroffenen ermöglicht eine belastbare Rekonstruktion. Je genauer die einzelnen Schritte festgehalten werden, desto besser lassen sich mögliche Täterstrukturen, beteiligte Dienstleister und weitere Zahlungs- oder Transaktionswege untersuchen.

Für Geschädigte bedeutet das vor allem: Auch wenn die Kryptowährung bereits übertragen wurde, sollte der Vorgang nicht vorschnell als endgültig unaufklärbar angesehen werden. Umgekehrt wäre es ebenso falsch, allein aufgrund einer sichtbaren Blockchain-Transaktion eine sichere Rückholung zu versprechen. Entscheidend ist zunächst, die konkrete Betrugsmethode zu erkennen und die vorhandenen Spuren zu sichern. Auf dieser Grundlage kann anschließend geprüft werden, welche technischen und rechtlichen Möglichkeiten im individuellen Fall bestehen.

Kryptowährung gestohlen – woran lässt sich der unbefugte Zugriff erkennen?

Wenn eine Kryptowährung plötzlich nicht mehr in der eigenen Wallet oder auf dem Konto einer Kryptobörse vorhanden ist, entsteht häufig zunächst Unsicherheit. Betroffene sehen eine unbekannte Transaktion und wissen nicht, ob tatsächlich ein Fremdzugriff stattgefunden hat, ob sie selbst eine Übertragung ausgelöst haben oder ob sie zuvor durch einen Betrug zu dieser Handlung gebracht wurden. Gerade bei Kryptowährungen ist diese Unterscheidung wichtig, weil eine Blockchain in erster Linie technische Vorgänge dokumentiert. Sie erklärt nicht automatisch, warum eine Transaktion erfolgt ist und wer die dahinterstehende Person ist.

Ein erster Hinweis auf einen möglichen unbefugten Zugriff ist eine Transaktion, die der Betroffene nach eigener Erinnerung nicht selbst veranlasst hat. Wird beispielsweise eine Wallet geöffnet und festgestellt, dass Bitcoin oder andere Kryptowährungen an eine unbekannte Adresse übertragen wurden, sollte dieser Vorgang genau dokumentiert werden. Entscheidend sind insbesondere die Absenderadresse, die Empfängeradresse, der Transaktions-Hash beziehungsweise die Transaktions-ID, der Zeitpunkt und die übertragene Menge. Diese Daten können später eine zentrale Grundlage für die technische Rekonstruktion bilden.

Eine unbekannte Transaktion allein beweist allerdings noch nicht, auf welchem Weg die Kryptowährung verloren gegangen ist. Möglich ist ein unmittelbarer Zugriff auf die Wallet. Ebenso kann ein Dritter Zugang zu einem Kryptobörsenkonto erhalten haben. Denkbar ist außerdem, dass der Betroffene selbst eine Transaktion bestätigt hat, nachdem er durch eine gefälschte Nachricht oder einen angeblichen Supportmitarbeiter getäuscht wurde. Die sichtbare Blockchain-Transaktion kann in allen drei Fällen ähnlich aussehen, obwohl die Ursache völlig unterschiedlich ist.

Deshalb sollte zunächst festgestellt werden, welche Art von Wallet oder Verwahrung genutzt wurde. Bei einer selbst verwalteten Wallet liegt die Kontrolle über die privaten Schlüssel grundsätzlich beim Nutzer. Bei einer zentralen Kryptobörse wird die Verwahrung dagegen regelmäßig durch den Dienstleister organisiert. Diese Unterscheidung kann für die weitere Untersuchung wesentlich sein. Ein Verlust aus einer eigenen Wallet erfordert häufig eine andere technische Rekonstruktion als ein unbefugter Abzug aus einem Börsenkonto.

Bei einer selbst verwalteten Wallet sollte geprüft werden, ob tatsächlich eine nicht autorisierte Transaktion stattgefunden hat. Dabei ist zunächst der aktuelle Kontostand allein nicht ausreichend. Die Transaktionshistorie kann zeigen, wann das Guthaben abgeflossen ist und welche Adresse das Ziel war. Bei mehreren Transaktionen sollte jede einzelne betrachtet werden. Ein Täter kann Vermögenswerte unmittelbar nach dem ersten Zugriff auf mehrere Zieladressen verteilen. Dadurch entsteht ein Transaktionsbild, das ohne genaue Betrachtung leicht unübersichtlich werden kann.

Besonders relevant ist der zeitliche Ablauf. Wann wurde die Kryptowährung zuletzt sicher gesehen? Wann wurde die Wallet zuletzt selbst genutzt? Wann wurde die unbekannte Transaktion bestätigt? Gab es unmittelbar davor eine verdächtige E-Mail oder Nachricht? Wurde eine neue Anwendung installiert? Wurde eine Webseite besucht? Wurde die Wallet mit einer unbekannten dezentralen Anwendung verbunden? Oder wurde kurz zuvor ein angeblicher Supportmitarbeiter kontaktiert? Die zeitliche Nähe einzelner Ereignisse kann wichtige Hinweise auf die Ursache liefern.

Auch ungewöhnliche Login-Aktivitäten können ein Warnsignal sein. Bei einer zentralen Kryptobörse sollten Betroffene prüfen, ob Sicherheitsmeldungen über neue Anmeldungen, unbekannte Geräte oder Änderungen an Kontoeinstellungen vorhanden sind. Manche Dienstleister informieren ihre Kunden über verdächtige Zugriffe per E-Mail oder innerhalb des Benutzerkontos. Solche Nachrichten sollten gesichert und nicht vorschnell gelöscht werden. Selbst wenn die Nachricht auf den ersten Blick nebensächlich erscheint, kann sie später helfen, den Zeitpunkt eines möglichen Fremdzugriffs einzugrenzen.

Ein weiterer Hinweis kann eine unerwartete Änderung der Kontaktdaten sein. Wurde beispielsweise die hinterlegte E-Mail-Adresse geändert oder eine Telefonnummer ausgetauscht, ohne dass der Kontoinhaber dies veranlasst hat, kann dies auf eine Kompromittierung hindeuten. Gleiches gilt für Änderungen von Sicherheits- oder Auszahlungseinstellungen. Solche Veränderungen sollten mit Datum und Uhrzeit dokumentiert werden, soweit diese Informationen verfügbar sind.

Besondere Aufmerksamkeit verdient das E-Mail-Konto, das mit dem Kryptodienst verbunden ist. Ein Angreifer muss nicht zwingend direkt das Börsenkonto überwinden. Wenn er zunächst Zugriff auf die zugehörige E-Mail-Adresse erhält, können Wiederherstellungs- oder Bestätigungsprozesse betroffen sein. Deshalb sollte nach einem verdächtigen Krypto-Verlust auch geprüft werden, ob es unbekannte Logins oder Weiterleitungsregeln im E-Mail-Konto gibt. Ebenso wichtig ist die Frage, ob dasselbe Passwort auch bei anderen Diensten verwendet wurde.

Bei einem kompromittierten E-Mail-Konto können weitere Risiken entstehen. Wenn ein Täter Passwortänderungen oder Sicherheitsbenachrichtigungen abfangen kann, kann der Betroffene unter Umständen erst verspätet bemerken, dass sein Konto verändert wurde. Deshalb sollte die Untersuchung nicht an der Stelle beginnen und enden, an der die Kryptowährung verschwunden ist. Der gesamte digitale Zugangspfad muss betrachtet werden.

Ein besonders deutliches Warnsignal ist eine Transaktion, die der Betroffene nach eigener Aussage niemals bestätigt hat und für die sich auch in den eigenen Unterlagen keine plausible Erklärung findet. In einem solchen Fall sollte die Transaktion nicht verändert oder durch weitere Experimente überlagert werden. Die vorhandenen Daten sollten zunächst dokumentiert werden. Dazu gehören insbesondere Screenshots der Transaktionsübersicht, der Wallet-Adresse und der Blockchain-Daten. Wenn eine Wallet-Anwendung eine Transaktionshistorie anzeigt, sollte auch diese Information gesichert werden.

Bei manchen Fällen ist dagegen feststellbar, dass der Betroffene selbst eine Transaktion bestätigt hat. Das bedeutet nicht automatisch, dass kein Betrug vorliegt. Entscheidend ist, warum die Bestätigung erfolgte. Ein Opfer kann beispielsweise davon ausgegangen sein, dass es seine Kryptowährung auf ein eigenes Anlagekonto überträgt. Tatsächlich führt die angegebene Empfängeradresse jedoch zu einer Wallet des Täters. Ebenso kann ein angeblicher Supportmitarbeiter den Nutzer dazu gebracht haben, eine Transaktion zur vermeintlichen Sicherheitsprüfung zu bestätigen.

Hier liegt eine wichtige Abgrenzung zwischen unbefugtem Zugriff und täuschungsbedingter Übertragung. Bei einem unbefugten Zugriff kann der Täter die Transaktion ohne Wissen und Willen des Betroffenen ausgelöst haben. Bei einer Täuschung gibt der Betroffene die Transaktion möglicherweise selbst frei, irrt aber über deren tatsächlichen Zweck oder Empfänger. Für die rechtliche Bewertung kann diese Unterscheidung erheblich sein. Deshalb sollte in der Dokumentation genau festgehalten werden, welche Erklärung der Betroffene zum Zeitpunkt der Transaktion hatte.

Auch die Wallet-Adresse sollte sorgfältig betrachtet werden. Eine unbekannte Adresse kann zunächst lediglich als technische Zeichenfolge erscheinen. Sie kann aber ein wichtiger Ausgangspunkt für die weitere Analyse sein. Wenn mehrere Geschädigte Kryptowährungen an dieselbe Adresse übertragen haben, kann dies möglicherweise auf eine gemeinsame Infrastruktur hindeuten. Eine solche Feststellung muss allerdings technisch belastbar erfolgen und erlaubt nicht ohne Weiteres die Identifizierung einer bestimmten Person.

Ebenso wichtig ist die Analyse der Folgebewegungen. Die gestohlene Kryptowährung kann nach dem Eingang auf der ersten Zieladresse weitertransferiert worden sein. Täter nutzen teilweise mehrere Wallets hintereinander, um die Herkunft der Vermögenswerte zu verschleiern oder die Zuordnung zu erschweren. Eine einzelne unbekannte Empfängeradresse sollte deshalb nicht isoliert betrachtet werden. Relevant kann sein, welche weiteren Adressen unmittelbar oder später mit dem Vermögenswert verbunden waren.

Dabei sollte zwischen einer tatsächlichen Identifizierung und einer bloßen technischen Verbindung unterschieden werden. Wenn Kryptowährungen von einer Adresse zu einer anderen übertragen werden, lässt sich daraus zunächst nur eine Transaktionsbeziehung ableiten. Daraus folgt nicht automatisch, dass beide Adressen derselben Person gehören. Für eine belastbare Zuordnung können weitere technische und gegebenenfalls externe Informationen erforderlich sein.

Ein möglicher Hinweis auf eine zentrale Kryptobörse kann besonders interessant sein. Wenn die Transaktionskette irgendwann bei einer bekannten oder identifizierbaren Plattform endet, kann sich daraus ein möglicher Anknüpfungspunkt ergeben. Allerdings muss zunächst zuverlässig festgestellt werden, dass die betreffende Adresse tatsächlich dem Dienstleister zugeordnet werden kann. Selbst dann ist noch offen, welchem Nutzer die dort eingegangenen Vermögenswerte zuzuordnen sind.

Die technische Analyse kann deshalb mehrere Ebenen umfassen. Zunächst wird die konkrete Transaktion betrachtet. Danach kann der weitere Weg der Kryptowährung verfolgt werden. Anschließend kann untersucht werden, ob sich Adressen zusammenfassen oder bestimmte Transaktionsmuster erkennen lassen. Schließlich kann geprüft werden, ob die Vermögenswerte eine Infrastruktur erreicht haben, bei der zusätzliche Informationen vorhanden sein könnten. Diese Schritte werden häufig unter Begriffen wie Blockchainanalyse oder Walletanalyse zusammengefasst.

Bei einem möglichen Fremdzugriff auf eine Wallet ist außerdem zu prüfen, wie der Angreifer die erforderlichen Berechtigungen erhalten haben könnte. Wurde eine Seed-Phrase auf einer Webseite eingegeben? Wurde ein Private Key irgendwo gespeichert oder übertragen? Wurde eine unbekannte Anwendung installiert? Wurde die Wallet mit einer verdächtigen Webseite verbunden? Wurde eine Transaktion über einen QR-Code vorbereitet? Wurde ein Browser-Plugin installiert? Je nach Antwort können sich völlig unterschiedliche Erklärungen ergeben.

Eine kompromittierte Seed-Phrase ist besonders kritisch. Wenn ein Dritter die Wiederherstellungsphrase kennt, kann er möglicherweise unabhängig vom ursprünglichen Gerät auf die Wallet zugreifen. Ein Wechsel des Passworts innerhalb einer Wallet-Anwendung kann dann unter Umständen nicht ausreichen. Entscheidend ist vielmehr, ob die betreffende Wallet beziehungsweise die darin verwalteten Vermögenswerte noch als sicher angesehen werden können. Die konkrete Vorgehensweise hängt von der verwendeten Wallet und dem jeweiligen technischen Setup ab.

Auch bei einem vermeintlichen Wallet-Hack sollte daher dokumentiert werden, ob die Seed-Phrase jemals außerhalb einer sicheren Umgebung eingegeben oder gespeichert wurde. Hat ein angeblicher Supportmitarbeiter danach gefragt? Wurde sie in eine Webseite eingegeben? Wurde ein Screenshot davon erstellt? Wurde sie über Messenger oder E-Mail versendet? Solche Informationen können einen entscheidenden Hinweis auf den Angriffspunkt liefern.

Ein weiterer wichtiger Bereich sind verdächtige Wallet-Verbindungen. Wenn ein Nutzer eine unbekannte Anwendung mit seiner Wallet verbindet, kann er unter Umständen Berechtigungen erteilen. Die tatsächlichen Auswirkungen hängen vom jeweiligen Netzwerk, Token und technischen Vorgang ab. Deshalb sollte bei einem entsprechenden Verdacht geprüft werden, welche Interaktionen und Signaturen stattgefunden haben. Die Frage lautet dann nicht nur, „Wer hat meine Wallet gehackt?“, sondern auch: „Welche Handlung wurde mit meiner Wallet tatsächlich autorisiert?“

Auch die auf dem Bildschirm angezeigte Empfängeradresse sollte nicht ungeprüft als Beweis betrachtet werden. Schadsoftware kann in bestimmten Szenarien versuchen, Adressen während eines Kopier- oder Zahlungsvorgangs zu manipulieren. Wenn der Nutzer eine Adresse aus einer Zwischenablage übernimmt und nicht kontrolliert, kann es zu einer Übertragung an eine unerwartete Zieladresse kommen. Für die Untersuchung kann deshalb relevant sein, woher die Adresse stammt und ob sie vor der Bestätigung tatsächlich mit einer bekannten Adresse abgeglichen wurde.

Bei einem solchen Vorgang kann die Blockchain wiederum eine klare Spur liefern: Die Transaktion wurde von der Wallet des Betroffenen an eine bestimmte Adresse übertragen. Die Blockchain zeigt jedoch nicht, ob die Adresse durch einen Tippfehler, durch eine manipulierte Zwischenablage oder durch eine bewusste Täuschung verwendet wurde. Für die Ursache müssen zusätzliche Informationen herangezogen werden.

Ein verdächtiger Krypto-Verlust kann auch im Zusammenhang mit einem Browser oder Smartphone stehen. Wenn unmittelbar vor dem Verlust unbekannte Anwendungen installiert wurden oder Sicherheitswarnungen auftraten, sollte dies dokumentiert werden. Auch Betriebssystem- und Browserinformationen können in bestimmten Fällen relevant sein. Betroffene sollten jedoch vermeiden, durch unüberlegte Neuinstallationen sämtliche vorhandenen Spuren zu vernichten, wenn eine technische Untersuchung noch erfolgen soll.

Gleichzeitig muss die Sicherheit noch vorhandener Vermögenswerte berücksichtigt werden. Wenn der Verdacht besteht, dass Zugangsdaten oder eine Wallet kompromittiert wurden, kann das bloße Abwarten weitere Risiken schaffen. Welche konkrete Sicherungsmaßnahme sinnvoll ist, hängt vom verwendeten Wallet-System und der Art des Angriffs ab. Bei einem kompromittierten Börsenkonto können andere Schritte erforderlich sein als bei einer selbst verwalteten Wallet. Deshalb sollte zwischen der Sicherung von Beweisen und der Absicherung noch vorhandener Vermögenswerte unterschieden werden.

Ein weiteres Warnzeichen können unerklärliche Auszahlungen von einer Kryptobörse sein. Betroffene sollten prüfen, ob die Auszahlung tatsächlich von ihnen selbst angefordert wurde und ob dabei möglicherweise eine unbekannte Zieladresse verwendet wurde. Relevant können auch E-Mails sein, die eine Auszahlung bestätigen. Die Uhrzeit solcher Nachrichten kann helfen, die Ereignisse mit den Blockchain-Transaktionen abzugleichen.

Bei einem Konto mit mehreren Transaktionen sollte außerdem untersucht werden, ob nur eine einzelne Übertragung betroffen ist oder ob sich ein wiederkehrendes Muster zeigt. Mehrere Abgänge innerhalb kurzer Zeit können auf eine automatisierte oder systematische Vorgehensweise hindeuten. Andererseits können mehrere Transaktionen auch darauf zurückzuführen sein, dass ein Nutzer selbst verschiedene Übertragungen durchgeführt hat. Auch hier entscheidet nicht die Anzahl der Transaktionen allein, sondern die Kombination der vorhandenen Informationen.

Besonders relevant ist die Frage, ob der Betroffene nach dem ersten Verlust noch weitere Transaktionen durchgeführt hat. Bei einem Betrug kann es vorkommen, dass Täter den Geschädigten davon überzeugen, weitere Kryptowährungen zu übertragen, um angebliche Gebühren zu bezahlen oder ein Konto freizuschalten. Jede dieser Transaktionen sollte getrennt dokumentiert werden. So lässt sich später nachvollziehen, welcher Betrag wann und aufgrund welcher Begründung übertragen wurde.

Auch die Kommunikation mit dem Täter kann Hinweise darauf geben, welche Wallet-Adressen tatsächlich zum Betrugssystem gehören. Wenn ein vermeintlicher Berater beispielsweise erklärt, eine bestimmte Adresse sei das persönliche Anlagekonto des Betroffenen, sollte diese Aussage zusammen mit der tatsächlichen Blockchain-Transaktion dokumentiert werden. Weichen die behaupteten Informationen von den technischen Daten ab, kann dies für die spätere Bewertung besonders aufschlussreich sein.

Bei gefälschten Tradingplattformen ist zudem häufig zu beobachten, dass das auf der Webseite angezeigte Guthaben nicht mit den tatsächlichen Blockchain-Daten übereinstimmt. Ein Betroffener kann beispielsweise auf der Plattform einen erheblichen Gewinn sehen, während sich auf der Blockchain keine entsprechende Einzahlung auf eine ihm zuzuordnende Adresse feststellen lässt. Das kann ein wichtiger Hinweis darauf sein, dass die Plattform lediglich eine simulierte Kontoumgebung bereitstellt.

Auch angebliche Auszahlungen sollten überprüft werden. Wenn ein Betreiber behauptet, eine Auszahlung sei bereits auf eine bestimmte Wallet erfolgt, sollte anhand des Transaktions-Hashes geprüft werden, ob tatsächlich eine entsprechende Blockchain-Transaktion existiert. Fehlt eine nachvollziehbare Transaktion, kann dies ein deutlicher Hinweis darauf sein, dass die behauptete Auszahlung lediglich innerhalb der Plattform dargestellt wurde.

Ähnlich verhält es sich bei angeblichen Gewinnen. Ein auf einem Bildschirm angezeigter Kontostand stellt nicht automatisch einen realen Besitz von Kryptowährungen dar. Für eine belastbare Bewertung muss geprüft werden, ob entsprechende Vermögenswerte tatsächlich vorhanden waren und welche Wallet oder welches Konto sie kontrolliert hat. Gerade bei Anlagebetrug kann diese Frage entscheidend sein.

Bei einem möglichen Krypto-Diebstahl sollte deshalb eine klare Chronologie erstellt werden. Beginnend mit dem letzten sicheren Kontostand oder Wallet-Bestand sollten alle relevanten Ereignisse festgehalten werden. Dazu gehören Kontakte, Logins, Softwareinstallationen, Wallet-Verbindungen, Transaktionen, Sicherheitsmeldungen und Auffälligkeiten. Die Chronologie sollte möglichst konkrete Zeitangaben enthalten. Wenn eine genaue Uhrzeit nicht bekannt ist, kann auch ein Zeitraum dokumentiert werden.

Eine solche Chronologie verhindert, dass wichtige Einzelheiten später nur noch aus der Erinnerung rekonstruiert werden müssen. Gerade nach einem erheblichen finanziellen Verlust kann die Situation emotional belastend sein. Aussagen können sich im Laufe der Zeit verändern oder einzelne Ereignisse können zeitlich verwechselt werden. Eine zeitnahe Dokumentation schafft deshalb eine bessere Grundlage für die technische und rechtliche Prüfung.

Neben der Chronologie sollten alle Kommunikationskanäle berücksichtigt werden. Täter nutzen häufig nicht nur einen einzigen Weg. Der Erstkontakt kann über eine Social-Media-Plattform erfolgen, die weitere Kommunikation über WhatsApp oder Telegram und die Zahlungsanweisung über eine Webseite. Wenn diese Informationsquellen isoliert betrachtet werden, können Zusammenhänge verloren gehen. Für die Aufklärung ist daher möglichst der gesamte Kommunikationsverlauf relevant.

Auch Telefonnummern und E-Mail-Adressen sollten gesichert werden. Bei einer späteren Untersuchung können sie möglicherweise mit anderen Informationen abgeglichen werden. Dasselbe gilt für Benutzernamen, Profilnamen und Domainnamen. Eine Telefonnummer allein identifiziert allerdings nicht zwangsläufig den tatsächlichen Täter. Ebenso kann eine E-Mail-Adresse unter einer falschen Identität verwendet worden sein. Die Daten sind deshalb zunächst als mögliche Ermittlungsansätze zu verstehen.

Bei einem möglichen unbefugten Zugriff sollte außerdem geprüft werden, ob noch weitere Konten betroffen sein könnten. Wenn dieselben Zugangsdaten bei mehreren Diensten verwendet wurden, besteht ein erhöhtes Risiko, dass auch andere Accounts kompromittiert wurden. Nach einem Krypto-Verlust sollte deshalb nicht nur die betreffende Wallet oder Börse betrachtet werden. Auch E-Mail, Cloud-Dienste und andere mit dem Kryptokonto verbundene Zugänge können relevant sein.

Ein besonders wichtiger Punkt ist die Unterscheidung zwischen einem technischen Diebstahl und einem Betrug, bei dem der Täter den Betroffenen zu einer freiwillig erscheinenden Handlung gebracht hat. In beiden Fällen kann die Kryptowährung auf einer fremden Wallet landen. Die Beweislage ist jedoch unterschiedlich. Bei einem technischen Fremdzugriff können Login- und Sicherheitsdaten eine zentrale Rolle spielen. Bei einer Täuschung sind dagegen Kommunikation, Zahlungsanweisungen, falsche Versprechen und die Darstellung der angeblichen Anlage oder Dienstleistung besonders wichtig.

Deshalb sollte niemand allein aus der Tatsache, dass er eine Transaktion selbst bestätigt hat, schließen, es liege kein Betrug vor. Entscheidend ist der Kontext. Wer beispielsweise aufgrund einer falschen Information eine Übertragung auf eine vermeintlich eigene Wallet vornimmt, handelt zwar technisch selbst, kann aber dennoch Geschädigter eines betrügerischen Vorgangs sein. Die rechtliche Einordnung muss den gesamten Sachverhalt berücksichtigen.

Umgekehrt sollte auch eine unbekannte Transaktion nicht ohne weitere Prüfung als zweifelsfreier Beweis eines Hackerangriffs bezeichnet werden. Es kann beispielsweise eine bereits zuvor autorisierte Transaktion sein, deren Wirkung der Nutzer erst später bemerkt hat. Oder die Kryptowährung wurde im Rahmen eines Betrugs an eine angebliche Handelsplattform übertragen. Erst die Rekonstruktion der einzelnen Schritte schafft Klarheit.

Für die technische Untersuchung sind daher insbesondere vier Fragen wichtig: Welche Kryptowährung ist betroffen? Auf welchem Netzwerk wurde sie übertragen? Von welcher Wallet oder welchem Konto erfolgte die Transaktion? Und wohin wurde sie übertragen? Hinzu kommt die Frage, was unmittelbar vor und nach dieser Transaktion geschah. Diese Informationen bilden die Grundlage für eine weitergehende Blockchain- oder Walletanalyse.

Wenn die Kryptowährung bereits über mehrere weitere Adressen bewegt wurde, kann die Untersuchung komplexer werden. Dann genügt es möglicherweise nicht, nur die erste Empfängeradresse aufzurufen. Vielmehr kann eine sogenannte Multi-Hop-Analyse erforderlich sein, bei der mehrere Transaktionsschritte betrachtet werden. Dabei geht es darum, Bewegungsmuster zu erkennen und mögliche Übergänge zu identifizierbaren Dienstleistern festzustellen.

Eine solche Analyse darf jedoch nicht mit einer automatischen Identifizierung des Täters verwechselt werden. Blockchain-Daten können technische Zusammenhänge sichtbar machen. Die Zuordnung zu einer realen Person erfordert gegebenenfalls zusätzliche Informationen. Besonders interessant kann deshalb die Verbindung zu einer Kryptobörse oder einem anderen VASP sein, bei dem Nutzer identifizierende Informationen hinterlegt haben können.

Auch die Zeit spielt eine wichtige Rolle. Eine frühzeitig dokumentierte Transaktion kann leichter in den Gesamtzusammenhang eingeordnet werden als ein Vorgang, dessen Einzelheiten Monate später nur noch aus fragmentarischen Erinnerungen rekonstruiert werden müssen. Deshalb sollten Betroffene nach Feststellung eines Krypto-Verlusts möglichst rasch alle verfügbaren Daten sichern und den Ablauf chronologisch festhalten.

Wer eine gestohlene Kryptowährung bemerkt, sollte außerdem besonders vorsichtig mit Personen umgehen, die unmittelbar eine schnelle technische Lösung versprechen. Ein angeblicher Spezialist kann behaupten, die Wallet bereits identifiziert zu haben oder über einen besonderen Zugang zur Blockchain zu verfügen. Solche Aussagen sind kein Ersatz für eine überprüfbare technische Analyse. Insbesondere sollten keine weiteren sensiblen Zugangsdaten oder Seed-Phrases an unbekannte Personen übermittelt werden.

Die Erkennung eines möglichen unbefugten Zugriffs ist damit weniger eine Frage eines einzelnen Warnzeichens als eine Kombination verschiedener Indizien. Eine unbekannte Transaktion, ein fremder Login, eine veränderte E-Mail-Adresse, eine verdächtige Anwendung und ein vorausgegangener Phishing-Kontakt können zusammen ein wesentlich klareres Bild ergeben als jedes dieser Merkmale für sich genommen.

Wer eine Kryptowährung gestohlen vermutet, sollte deshalb möglichst genau zwischen dem sicheren Wissen und bloßen Vermutungen unterscheiden. Sicher kann beispielsweise sein, dass am 14. September um eine bestimmte Uhrzeit eine Transaktion über einen bestimmten Betrag an eine bestimmte Wallet-Adresse stattgefunden hat. Vermutet werden kann dagegen, dass diese Transaktion durch einen bestimmten Täter ausgelöst wurde. Diese Trennung hilft dabei, die spätere Untersuchung sachlich und nachvollziehbar aufzubauen.

Am Ende steht daher nicht allein die Frage, ob eine Wallet „gehackt“ wurde. Entscheidend ist, wie die Kryptowährung den eigenen Verfügungsbereich verlassen hat. Wurde ein Zugang kompromittiert? Wurde eine Seed-Phrase abgegriffen? Wurde ein Börsenkonto übernommen? Wurde eine Transaktion durch eine manipulierte Umgebung verändert? Oder wurde der Betroffene durch einen professionell aufgebauten Betrug dazu gebracht, selbst Kryptowährungen an eine fremde Adresse zu senden?

Je genauer diese Fragen beantwortet werden können, desto besser lässt sich beurteilen, welche technischen Spuren noch vorhanden sind. Wallet-Adressen, Transaktions-Hashes, Login-Daten, Sicherheitsmeldungen, Webseiten, E-Mails und Chatverläufe können dabei gemeinsam ein Gesamtbild ergeben. Eine solche Rekonstruktion ist regelmäßig die Grundlage dafür, anschließend zu prüfen, ob sich der Weg der Kryptowährung weiter nachvollziehen lässt und welche rechtlichen Ansatzpunkte aus dem konkreten Geschehen entstehen können.

Kryptowährung gestohlen – was sollten Betroffene jetzt sofort tun?

Wenn eine Kryptowährung gestohlen wurde oder der Verdacht besteht, dass Unbefugte auf eine Wallet oder ein Kryptobörsenkonto zugegriffen haben, sollten Betroffene nicht abwarten. Gerade bei digitalen Vermögenswerten können innerhalb kurzer Zeit weitere Transaktionen erfolgen. Gleichzeitig können wichtige Informationen verloren gehen, wenn Konten verändert, Nachrichten gelöscht, Geräte zurückgesetzt oder verdächtige Anwendungen entfernt werden. Die ersten Maßnahmen sollten deshalb zwei Ziele miteinander verbinden: Noch vorhandene Vermögenswerte müssen möglichst wirksam geschützt und die bisherigen Vorgänge so vollständig wie möglich dokumentiert werden.

Zunächst sollte geklärt werden, ob aktuell noch ein Zugriff auf das betroffene Konto oder die Wallet besteht und ob dort noch Kryptowährungen vorhanden sind. Diese Feststellung ist wichtiger als der Versuch, unmittelbar eine Erklärung für den Verlust zu finden. Wenn ein Konto möglicherweise kompromittiert wurde, kann jede weitere Nutzung mit Risiken verbunden sein. Gleichzeitig darf eine unüberlegte Veränderung des Systems dazu führen, dass relevante Informationen nicht mehr nachvollziehbar sind. Die konkrete Vorgehensweise sollte deshalb an der Art des Vorfalls ausgerichtet werden.

Besonders wichtig ist, keine weiteren Kryptowährungen an Personen zu übertragen, die behaupten, den bisherigen Verlust gegen eine Zahlung beheben zu können. Nach einem Krypto-Betrug kommt es nicht selten zu weiteren Kontaktversuchen. Ein angeblicher Recovery-Spezialist kann behaupten, die gestohlenen Coins bereits identifiziert zu haben. Ein vermeintlicher Mitarbeiter einer Kryptobörse kann eine „Sicherheitszahlung“ verlangen. Oder ein angeblicher Anwalt beziehungsweise Ermittler kann eine Vorauszahlung für eine angebliche Rückholung fordern. Solche Forderungen sollten nicht ungeprüft erfüllt werden.

Gerade die Hoffnung, das bereits verlorene Vermögen schnell wiederzuerlangen, macht Betroffene für weitere Täuschungen angreifbar. Wer bereits Kryptowährung verloren hat, sollte deshalb jede neue Kontaktaufnahme kritisch hinterfragen. Eine Person, die tatsächlich helfen möchte, benötigt nicht automatisch Zugriff auf die Seed-Phrase oder den Private Key. Ebenso sollte niemand unter Zeitdruck sensible Zugangsdaten herausgeben oder eine unbekannte Software installieren.

Wenn noch Zugriff auf eine betroffene Kryptobörse besteht, sollten die Sicherheitsmechanismen des Kontos überprüft werden. Dazu können Passwort, Zwei-Faktor-Authentifizierung, hinterlegte E-Mail-Adresse, Telefonnummer und Auszahlungseinstellungen gehören. Wurde das Passwort möglicherweise kompromittiert, sollte es geändert werden. Dabei sollte kein bereits anderweitig verwendetes Passwort erneut eingesetzt werden. Besteht der Verdacht, dass auch das E-Mail-Konto betroffen ist, muss dieses ebenfalls abgesichert werden.

Bei einer selbst verwalteten Wallet ist die Situation technisch anders. Hier sollte insbesondere geprüft werden, ob die Seed-Phrase oder der Private Key möglicherweise Dritten bekannt geworden ist. Wurde eine solche Information an einen angeblichen Supportmitarbeiter, Berater oder eine Webseite übermittelt, muss davon ausgegangen werden, dass die Wallet möglicherweise nicht mehr sicher ist. Eine bloße Änderung eines App-Passworts beseitigt eine kompromittierte Seed-Phrase nicht.

Welche Sicherungsmaßnahme in einem solchen Fall sinnvoll ist, hängt vom konkreten Wallet-System und den noch vorhandenen Vermögenswerten ab. Eine vorschnelle Handlung kann sowohl technische Risiken als auch Beweisprobleme schaffen. Deshalb sollte zwischen der Absicherung noch vorhandener Kryptowährungen und der Sicherung der Informationen über den bisherigen Angriff unterschieden werden.

Besonders wichtig ist die Dokumentation der Transaktion, durch die die Kryptowährung verloren ging. Betroffene sollten den Transaktions-Hash beziehungsweise die Transaktions-ID sichern, sofern diese Information verfügbar ist. Ebenfalls dokumentiert werden sollten die Absenderadresse, die Empfängeradresse, der Zeitpunkt der Transaktion und die übertragene Kryptowährung beziehungsweise Menge. Bei Token sollte zusätzlich das verwendete Netzwerk berücksichtigt werden.

Ein Screenshot allein ist zwar hilfreich, sollte aber möglichst nicht die einzige Quelle sein. Wenn die betreffende Transaktion über einen Blockchain-Explorer nachvollzogen werden kann, sollten auch die dort verfügbaren technischen Angaben gesichert werden. Dabei sollte möglichst genau festgehalten werden, welche Transaktion zu welchem Zeitpunkt festgestellt wurde. Die Blockchain-Daten können später eine objektive Grundlage für die Rekonstruktion des Zahlungswegs bilden.

Auch bei mehreren Transaktionen sollte keine Auswahl nach dem vermeintlichen Wichtigkeitsgrad getroffen werden. Wenn beispielsweise zunächst Bitcoin an eine Wallet und wenige Minuten später weitere Bitcoin an eine zweite Adresse übertragen wurden, können beide Vorgänge miteinander zusammenhängen. Ebenso können kleinere Testtransaktionen vor einer größeren Übertragung relevant sein. Deshalb sollte die vollständige Transaktionshistorie gesichert werden.

Neben den Blockchain-Daten müssen auch die Informationen außerhalb der Blockchain dokumentiert werden. Dazu gehören E-Mails, Messenger-Nachrichten, SMS, Social-Media-Kommunikation und sonstige Kontakte. Besonders wichtig sind Nachrichten, in denen der Täter eine Zahlung verlangt, eine bestimmte Wallet-Adresse nennt oder einen bestimmten technischen Vorgang erklärt. Solche Informationen können später zeigen, wie es zur konkreten Transaktion kam.

Bei einem Betrug über WhatsApp oder Telegram sollte der relevante Chatverlauf möglichst vollständig gesichert werden. Einzelne Screenshots der letzten Nachrichten reichen häufig nicht aus. Der zeitliche Verlauf kann entscheidend sein. Daraus kann sich beispielsweise ergeben, dass zunächst Vertrauen aufgebaut wurde, anschließend eine kleine Zahlung erfolgte und erst danach größere Übertragungen verlangt wurden. Auch Aussagen über angebliche Gewinne, Auszahlungen oder Gebühren können für die Einordnung des Geschehens relevant sein.

Dasselbe gilt für E-Mails. Absenderadresse, Empfänger, Datum, Betreff, Inhalt und enthaltene Links können wichtige Hinweise liefern. Wenn eine Nachricht auf eine Webseite verweist, sollte die betreffende Domain ebenfalls dokumentiert werden. Gerade bei Phishing-Fällen können geringfügige Abweichungen von einer echten Internetadresse für die spätere technische Bewertung relevant sein.

Auch Telefonnummern sollten festgehalten werden. Das gilt insbesondere, wenn der Kontakt telefonisch erfolgte oder ein angeblicher Supportmitarbeiter angerufen hat. Zusätzlich können Namen, Benutzernamen, Profilnamen und Angaben zur angeblichen Firma dokumentiert werden. Dabei sollte allerdings klar zwischen der von einer Person behaupteten Identität und einer tatsächlich verifizierten Identität unterschieden werden.

Ein häufiger Fehler besteht darin, nach einem Krypto-Diebstahl sofort alle verdächtigen Nachrichten zu löschen. Das ist verständlich, weil Betroffene den Kontakt zum Täter abbrechen möchten. Für die spätere Aufklärung können diese Nachrichten jedoch wichtige Informationen enthalten. Deshalb sollten sie zunächst gesichert werden. Erst danach sollte entschieden werden, wie der Kontakt technisch blockiert oder beendet wird.

Besonders problematisch kann die Löschung eines kompletten Messenger-Kontos sein. Dadurch können Informationen verloren gehen, die später nicht ohne Weiteres wiederhergestellt werden können. Deshalb sollte vor einer endgültigen Löschung geprüft werden, ob der relevante Kommunikationsverlauf vollständig gesichert wurde.

Auch ein Smartphone oder Computer sollte nicht vorschnell auf Werkseinstellungen zurückgesetzt werden, wenn der Verdacht auf Schadsoftware oder einen unbefugten Zugriff besteht. Ein Zurücksetzen kann zwar aus Sicherheitsgründen sinnvoll erscheinen, kann aber gleichzeitig vorhandene technische Spuren beseitigen. Bei einem komplexen Vorfall sollte deshalb sorgfältig abgewogen werden, welche Maßnahmen zur Absicherung notwendig sind und welche Daten für eine technische Untersuchung erhalten bleiben sollten.

Das bedeutet nicht, dass ein möglicherweise kompromittiertes Gerät weiterhin bedenkenlos für sensible Transaktionen verwendet werden sollte. Wenn ein konkreter Verdacht auf Schadsoftware besteht, sollte das Gerät nicht einfach weiter genutzt werden, als wäre nichts passiert. Die technische Absicherung und die Beweissicherung müssen vielmehr gemeinsam betrachtet werden. Bei größeren Schäden kann eine fachkundige technische Untersuchung sinnvoll sein.

Besondere Aufmerksamkeit verdient eine zuvor installierte Fernwartungssoftware. Wenn ein angeblicher Supportmitarbeiter den Betroffenen dazu gebracht hat, eine solche Anwendung zu installieren, sollte der Vorgang dokumentiert werden. Relevant sind insbesondere Name der Software, Zeitpunkt der Installation, Kontaktperson und die Anweisungen, die während der Sitzung gegeben wurden. Wenn möglich, sollten auch vorhandene Protokoll- oder Sitzungsinformationen gesichert werden.

Nach einer Fernzugriffssituation sollten außerdem die Zugangsdaten zu besonders wichtigen Konten überprüft werden. Dazu zählen insbesondere E-Mail-Konten, Kryptobörsen und Wallet-bezogene Dienste. Wenn der Täter während des Fernzugriffs möglicherweise Passwörter sehen konnte, sollten diese von einem sicheren Gerät aus geändert werden. Auch eine bereits vorhandene Zwei-Faktor-Authentifizierung sollte überprüft werden.

Die Sicherung von Kontoauszügen kann ebenfalls wichtig sein, selbst wenn der eigentliche Schaden in Kryptowährung eingetreten ist. Viele Krypto-Betrugsfälle beginnen mit einer Banküberweisung an eine Kryptobörse oder einen angeblichen Investmentanbieter. Der Bankzahlungsweg kann dann den Ausgangspunkt für die weitere Rekonstruktion bilden. Deshalb sollten sämtliche relevanten Überweisungsbelege, IBAN, BIC, Empfängername, Verwendungszweck und Buchungsdaten aufbewahrt werden.

Dabei ist es sinnvoll, die einzelnen Zahlungswege voneinander zu trennen. Eine Banküberweisung an einen vermeintlichen Anbieter ist ein anderer Vorgang als der spätere Transfer von Bitcoin an eine Wallet-Adresse. Beide können jedoch Teil desselben Betrugssachverhalts sein. Für eine spätere Prüfung sollte deshalb nachvollziehbar bleiben, welche Zahlung zu welchem Zweck erfolgte und wie sie anschließend mit einer konkreten Kryptotransaktion zusammenhängt.

Wenn Kryptowährung direkt von einer Kryptobörse an eine fremde Wallet übertragen wurde, sollten die entsprechenden Börsenunterlagen gesichert werden. Dazu gehören beispielsweise Einzahlungs- und Auszahlungsübersichten, Transaktionshistorien und Mitteilungen des Dienstleisters. Wenn eine Auszahlung nicht vom Betroffenen selbst veranlasst wurde, können entsprechende Sicherheitsmeldungen besonders wichtig sein.

Auch die Zugangshistorie sollte, soweit der jeweilige Dienstleister sie bereitstellt, dokumentiert werden. Neue Geräte, unbekannte Login-Zeitpunkte oder Änderungen an Sicherheitsinformationen können Hinweise darauf geben, wann ein Konto möglicherweise kompromittiert wurde. Es ist allerdings wichtig, solche Daten nicht vorschnell als eindeutigen Beweis für einen bestimmten Täter zu interpretieren. Sie sind zunächst Indizien, die gemeinsam mit anderen Informationen bewertet werden müssen.

Bei einer eigenen Wallet sollten alle bekannten Wallet-Adressen dokumentiert werden. Das betrifft nicht nur die eigene Absenderadresse, sondern auch sämtliche Zieladressen, die mit dem Verlust in Verbindung stehen. Wenn mehrere Wallets verwendet wurden, sollte festgehalten werden, welche Adresse welchem Zweck diente. Eine einfache Tabelle oder chronologische Liste kann dabei helfen, die Übersicht zu behalten.

Auch Transaktions-Hashes sollten vollständig und unverändert übernommen werden. Ein kleiner Schreibfehler kann dazu führen, dass eine Transaktion später nicht mehr eindeutig gefunden wird. Deshalb sollten technische Kennungen möglichst direkt aus der Wallet oder dem jeweiligen Dienst kopiert und nicht manuell abgeschrieben werden. Bei längeren Zeichenfolgen sollte zusätzlich kontrolliert werden, ob tatsächlich die richtige Transaktion erfasst wurde.

Bei Token muss außerdem auf das richtige Netzwerk geachtet werden. Ein Token kann je nach technischer Ausgestaltung auf unterschiedlichen Netzwerken existieren oder übertragen werden. Eine Wallet-Adresse allein kann deshalb ohne weitere Informationen unzureichend sein. Für eine spätere Analyse sollte festgehalten werden, welches Netzwerk verwendet wurde und welcher konkrete Vermögenswert betroffen ist.

Wenn eine verdächtige Transaktion festgestellt wurde, sollte auch der weitere Weg der Kryptowährung dokumentiert werden, soweit dieser ohne riskante Eingriffe nachvollziehbar ist. Dabei geht es nicht darum, selbst umfangreiche Ermittlungen durchzuführen. Vielmehr sollten die sichtbaren Daten erhalten bleiben. Wird die Kryptowährung von der ersten Zieladresse anschließend an eine weitere Adresse übertragen, kann auch diese Folgeadresse für die spätere Analyse relevant sein.

Besonders wichtig ist, keine weiteren Transaktionen auszuführen, nur um herauszufinden, was mit der Wallet passiert. Ein Betroffener sollte nicht versuchen, den Täter durch eine eigene Zahlung zu beobachten oder mit einer fremden Wallet zu interagieren. Solche Experimente können zusätzliche Risiken schaffen und die spätere Bewertung erschweren.

Auch der Versuch, den Täter selbst zu kontaktieren oder mit ihm über die Rückgabe der Kryptowährung zu verhandeln, sollte mit großer Vorsicht erfolgen. Täter können dadurch erkennen, welche Informationen dem Geschädigten bereits bekannt sind. Sie können anschließend ihre Kommunikationsstrategie anpassen oder weitere Zahlungsforderungen entwickeln. Wenn Kommunikation aus Beweisgründen erhalten bleiben soll, sollte sie jedenfalls nicht durch unüberlegte eigene Nachrichten verändert oder gelöscht werden.

Bei einem Anlage- oder Trading-Betrug sollte außerdem die gesamte Plattform dokumentiert werden, solange sie erreichbar ist. Dazu gehören der persönliche Kontobereich, angezeigte Guthaben, angebliche Gewinne, Transaktionsübersichten und Auszahlungsinformationen. Wenn die Plattform später abgeschaltet wird, können diese Informationen sonst verloren sein. Besonders relevant sind Darstellungen, die behaupten, bestimmte Kryptowährungen seien bereits vorhanden oder eine Auszahlung sei unmittelbar möglich.

Auch angebliche Gebühren- oder Steuerforderungen sollten dokumentiert werden. Wenn ein Betreiber beispielsweise erklärt, eine Auszahlung werde erst nach Zahlung einer bestimmten Summe freigegeben, sollte die entsprechende Nachricht gesichert werden. Die wiederholte Forderung weiterer Zahlungen kann ein wichtiges Merkmal des Gesamtvorgangs sein.

Betroffene sollten zudem alle Dokumente sammeln, die ihnen bei Beginn der angeblichen Geschäftsbeziehung zur Verfügung gestellt wurden. Dazu können Verträge, Anlagebedingungen, Kontoeröffnungsunterlagen oder Präsentationen gehören. Auch wenn sich später herausstellt, dass Dokumente gefälscht oder inhaltlich wertlos sind, können sie für die Rekonstruktion der Täuschung relevant sein.

Eine weitere wichtige Maßnahme ist die Erstellung einer Schadensübersicht. Dabei sollte nicht nur der endgültig verlorene Betrag genannt werden. Sinnvoller ist eine chronologische Aufstellung sämtlicher Zahlungen und Übertragungen. Für jede Position können Datum, Betrag, Währung, Empfänger beziehungsweise Wallet-Adresse und der behauptete Zahlungszweck festgehalten werden. So wird erkennbar, ob der Schaden in einer einzigen Transaktion oder über mehrere Stufen entstanden ist.

Bei Kryptowährungen sollte zusätzlich der jeweilige Kurswert zum Zeitpunkt der Transaktion dokumentiert werden, sofern dies für die spätere rechtliche Bewertung erforderlich ist. Dabei sollte klar festgehalten werden, auf welcher Grundlage der Wert bestimmt wurde. Die tatsächliche Schadensberechnung kann rechtlich komplex sein und sollte nicht allein anhand eines späteren Kursstands vorgenommen werden.

Ebenso wichtig ist die Dokumentation weiterer Forderungen. Wenn nach dem ursprünglichen Verlust angebliche Steuern, Gebühren, Sicherheitsleistungen oder andere Beträge verlangt werden, sollten diese Forderungen getrennt vom bereits eingetretenen Schaden aufgeführt werden. So bleibt nachvollziehbar, welche Zahlungen tatsächlich geleistet wurden und welche lediglich verlangt, aber nicht bezahlt wurden.

Bei der Kontaktaufnahme mit einer Kryptobörse oder einem anderen Dienstleister sollten Betroffene den Sachverhalt möglichst präzise schildern. Eine pauschale Aussage wie „Meine Kryptowährung wurde gestohlen“ kann für eine erste Prüfung weniger hilfreich sein als konkrete Angaben zu Transaktions-Hash, Wallet-Adresse, Zeitpunkt und betroffenem Konto. Je genauer die technischen Daten angegeben werden können, desto leichter lässt sich der konkrete Vorgang identifizieren.

Gleichzeitig sollten sensible Informationen nicht leichtfertig an unbekannte Personen weitergegeben werden. Ein echter Dienstleister wird nicht automatisch sämtliche Zugangsdaten, Passwörter oder eine Seed-Phrase benötigen. Wer nach einem Krypto-Diebstahl kontaktiert wird und zur Herausgabe solcher Informationen aufgefordert wird, sollte besonders vorsichtig sein.

Bei einer selbst verwalteten Wallet ist die Seed-Phrase grundsätzlich besonders sensibel. Sie sollte nicht an einen vermeintlichen Anwalt, Recovery-Dienstleister, Supportmitarbeiter oder Blockchain-Experten weitergegeben werden, nur weil dieser behauptet, damit die gestohlenen Kryptowährungen zurückholen zu können. Auch eine angebliche Sicherheitsprüfung rechtfertigt nicht ohne Weiteres die Preisgabe des vollständigen Wiederherstellungszugangs.

Neben der technischen Absicherung ist die emotionale Situation zu berücksichtigen. Ein hoher finanzieller Verlust kann dazu führen, dass Betroffene unter Druck schnelle Entscheidungen treffen. Täter nutzen genau diesen Zustand teilweise aus. Deshalb ist es sinnvoll, nach Feststellung des Verlusts zunächst strukturiert vorzugehen. Keine weiteren Zahlungen, keine Herausgabe sensibler Zugangsdaten, keine unüberlegten Experimente und eine möglichst vollständige Dokumentation bilden eine bessere Grundlage als hektische Reaktionen.

Auch bei einem zunächst kleinen Schaden sollte der Vorgang vollständig dokumentiert werden. Täter können dieselben Wallets, Telefonnummern, Webseiten oder Kommunikationsmuster bei mehreren Geschädigten verwenden. Deshalb können selbst kleinere Transaktionen für die spätere Zuordnung eines Gesamtvorgangs relevant sein.

Eine anwaltliche Prüfung kann insbesondere dann sinnvoll werden, wenn der Schaden erheblich ist, mehrere Zahlungswege betroffen sind, eine komplexe Wallet-Struktur vorliegt oder der weitere Verbleib der Kryptowährung untersucht werden soll. Dafür sollte der Betroffene die vorhandenen Informationen möglichst vollständig zur Verfügung stellen. Eine gute Vorbereitung besteht nicht darin, den Fall selbst rechtlich zu bewerten. Es reicht zunächst, die Tatsachen und technischen Daten sauber zusammenzustellen.

Hilfreich ist eine geordnete Dokumentenmappe mit Kontoauszügen, Überweisungsbelegen, Wallet-Adressen, Transaktions-Hashes, Screenshots, Chatverläufen, E-Mails, Telefonnummern, Webseiten, Vertragsunterlagen und Namen der beteiligten Personen. Ergänzend sollte eine kurze Chronologie erstellt werden. Dadurch lässt sich schneller erkennen, welche Informationen bereits vorhanden sind und wo noch Lücken bestehen.

Bei umfangreichen Krypto-Fällen können außerdem mehrere Vermögenswerte betroffen sein. Vielleicht wurde zunächst Bitcoin übertragen, anschließend Ether und später ein Stablecoin. Jeder Vermögenswert sollte getrennt dokumentiert werden. Gleiches gilt für unterschiedliche Netzwerke und Wallets. Eine Vermischung der Daten kann später zu Fehlern führen.

Auch die Unterscheidung zwischen eigenen und fremden Wallets sollte eindeutig sein. Wenn ein Täter dem Betroffenen mehrere angebliche Anlage-Wallets genannt hat, sollten diese Adressen mit den entsprechenden Nachrichten verknüpft werden. Dadurch kann später nachvollzogen werden, welche Adresse aufgrund welcher Aussage verwendet wurde.

Wenn bereits eine technische Analyse durchgeführt wurde, sollten deren Ergebnisse ebenfalls gesichert werden. Dazu können Berichte, Screenshots, Transaktionsdiagramme oder Zuordnungen von Wallet-Adressen gehören. Allerdings sollten solche Analysen nicht ungeprüft als endgültige Feststellungen übernommen werden. Die Qualität einer Blockchainanalyse hängt unter anderem von der verwendeten Methodik und der korrekten Interpretation der Daten ab.

Besonders wichtig ist, dass Betroffene nach einem Verlust nicht automatisch davon ausgehen, die Kryptowährung sei endgültig verschwunden. Ebenso wenig sollte aber aufgrund einer sichtbaren Blockchain-Spur eine sichere Rückholung angenommen werden. Die ersten Maßnahmen dienen zunächst dazu, weitere Schäden zu vermeiden und die tatsächliche Situation belastbar zu erfassen.

Die Frage, ob eine Rückgewinnung möglich ist, hängt anschließend vom konkreten Zahlungs- und Transaktionsweg ab. Wurde die Kryptowährung an eine identifizierbare Plattform übertragen? Befindet sie sich noch auf einer bestimmten Wallet? Wurde sie bereits über mehrere Adressen weitergeleitet? Gibt es Anhaltspunkte für einen identifizierbaren Empfänger? Sind neben Blockchain-Daten auch Informationen aus einem Kryptobörsenkonto oder einem Bankzahlungsweg vorhanden? Erst diese Fragen ermöglichen eine seriöse Einschätzung.

Bei einem erheblichen Schaden sollte deshalb nicht nur der unmittelbare Verlust betrachtet werden. Ein Krypto-Diebstahl kann mit weiteren Zahlungen, einem kompromittierten E-Mail-Konto, einer gefälschten Plattform oder einem komplexen Betrugssystem verbunden sein. Die rechtliche Prüfung kann sich entsprechend auf mehrere Ebenen erstrecken.

Wer eine gestohlene Kryptowährung feststellt, sollte daher möglichst früh einen klaren Überblick schaffen: Was ist passiert, wann ist es passiert, welche Vermögenswerte sind betroffen, welche Wallet-Adressen sind bekannt und welche Personen oder Dienstleister waren beteiligt? Diese strukturierte Ausgangslage erleichtert die weitere technische und rechtliche Untersuchung erheblich.

Die wichtigste Sofortmaßnahme besteht damit nicht in einem einzelnen technischen Handgriff. Entscheidend ist ein geordnetes Vorgehen. Noch vorhandene Vermögenswerte müssen geschützt, kompromittierte Zugänge abgesichert, sensible Daten vor weiterer Preisgabe bewahrt und sämtliche relevanten Spuren dokumentiert werden. Erst auf dieser Grundlage lässt sich sinnvoll prüfen, wie die Kryptowährung den eigenen Verfügungsbereich verlassen hat und welche weiteren Schritte im konkreten Fall in Betracht kommen.

Kanzlei Wilms – Experten für Online-Anlagebetrug

Die Kanzlei Wilms unterstützt seit Jahren Mandanten, die Opfer von Online-Anlagebetrug, Kryptobetrug, Fake Brokern, Investmentbetrug, Bitcoin-Betrug oder Recovery Scams geworden sind.

Unsere Mandanten kommen aus ganz Deutschland sowie aus dem Ausland. Viele Verfahren weisen internationale Bezüge auf und betreffen grenzüberschreitende Zahlungsströme, Kryptowährungen oder komplexe Unternehmensstrukturen.

Wir analysieren unter anderem:

• Banküberweisungen
• SEPA- und SWIFT-Zahlungen
• Kreditkartenzahlungen
• Zahlungsdienstleister
• Kryptobörsen und Wallet-Transaktionen
• internationale Zahlungsstrukturen

Mehr Informationen finden Sie in unserem Blog.

Kryptowährung gestohlen – kann man Wallets und Transaktionen nachvollziehen?

Wenn eine Kryptowährung gestohlen wurde, stellt sich für Betroffene häufig unmittelbar die Frage, ob sich nachvollziehen lässt, wohin die Coins übertragen wurden. Anders als bei einer klassischen Bargeldzahlung hinterlässt eine Transaktion auf einer öffentlichen Blockchain grundsätzlich eine technisch auswertbare Spur. Das bedeutet jedoch nicht, dass sich allein anhand einer Wallet-Adresse ohne Weiteres feststellen lässt, welche Person hinter dieser Adresse steht. Für die rechtliche Aufklärung ist deshalb zwischen der technischen Nachverfolgbarkeit einer Transaktion und der Identifizierung eines tatsächlichen Empfängers zu unterscheiden.

Eine Blockchain speichert je nach verwendetem Netzwerk unterschiedliche Informationen über Transaktionen. Dazu gehören insbesondere Absender- und Empfängeradressen, die übertragenen Werte, Zeitpunkte und die jeweilige Transaktionskennung. Diese Daten können nach einer bestätigten Transaktion grundsätzlich dauerhaft nachvollziehbar bleiben. Wer eine Kryptowährung gestohlen vermutet, kann dadurch häufig zumindest feststellen, von welcher eigenen Wallet die Vermögenswerte abgeflossen und an welche Zieladresse sie übertragen worden sind.

Für die erste Prüfung ist deshalb der Transaktions-Hash beziehungsweise die Transaktions-ID von besonderer Bedeutung. Dabei handelt es sich um eine technische Kennung, mit der eine konkrete Transaktion eindeutig aufgefunden werden kann. Ausgehend von dieser Transaktion lässt sich feststellen, welche Adresse die Kryptowährung empfangen hat und ob anschließend weitere Bewegungen stattgefunden haben. Je nach Blockchain können dabei auch weitere technische Angaben sichtbar werden.

Allerdings ist eine Wallet-Adresse keine klassische Kontonummer, aus der automatisch der Name des Kontoinhabers hervorgeht. Eine Blockchain-Adresse kann zunächst lediglich als technische Kennung eines Wallets betrachtet werden. Hinter ihr kann eine Privatperson, ein Unternehmen, eine Kryptobörse, ein Zahlungsdienstleister oder eine andere technische Struktur stehen. Ohne zusätzliche Informationen lässt sich daraus regelmäßig keine sichere Aussage über die Identität einer natürlichen Person ableiten.

Gerade deshalb ist eine Blockchainanalyse mehr als das bloße Nachschlagen einer Wallet-Adresse. Entscheidend ist die Verbindung verschiedener Informationen. Dazu gehören die ursprüngliche Transaktion, weitere Folgebewegungen, mögliche Zusammenhänge zwischen Wallets und gegebenenfalls Berührungspunkte mit Kryptobörsen oder anderen Kryptodienstleistern. Je mehr unabhängige Informationen miteinander verbunden werden können, desto genauer kann der Transaktionsweg rekonstruiert werden.

Ein typischer Fall kann beispielsweise so aussehen: Ein Betroffener stellt fest, dass Bitcoin ohne seine Zustimmung aus einer Wallet übertragen wurden. Die erste Zieladresse ist auf der Blockchain sichtbar. Einige Minuten oder Stunden später wird ein Teil des Betrags an eine weitere Adresse übertragen. Von dort aus erfolgt eine weitere Transaktion. Es entsteht dadurch eine Kette von Wallets. Diese Kette bedeutet nicht automatisch, dass jede beteiligte Adresse einem anderen Täter gehört. Eine Person kann mehrere Wallets kontrollieren oder verschiedene technische Dienste verwenden. Umgekehrt können mehrere Personen oder Dienstleister innerhalb eines Transaktionsverlaufs beteiligt sein.

Die Betrachtung einzelner Transaktionen reicht daher häufig nicht aus. Sinnvoll kann vielmehr eine chronologische Rekonstruktion sein. Dabei wird zunächst die Transaktion identifiziert, durch die die Kryptowährung den Verfügungsbereich des Betroffenen verlassen hat. Anschließend werden die nachfolgenden Bewegungen betrachtet. Dabei kann untersucht werden, ob die Kryptowährung vollständig weitergeleitet, auf mehrere Adressen verteilt, mit anderen Beträgen vermischt oder an einen Dienstleister übertragen wurde.

Eine solche Untersuchung wird häufig als Blockchainanalyse oder Walletanalyse bezeichnet. Dabei geht es nicht nur um die Frage, „wo“ sich eine Kryptowährung befindet, sondern auch darum, welche technischen Verbindungen zwischen verschiedenen Transaktionen bestehen. Je nach Blockchain und Fallgestaltung können dabei unterschiedliche Analyseverfahren eingesetzt werden.

Besonders relevant kann die sogenannte Multi-Hop-Analyse sein. Dabei werden nicht nur die erste Empfängeradresse, sondern mehrere nachfolgende Transaktionsstufen untersucht. Das kann beispielsweise zeigen, dass die ursprünglich erhaltenen Coins zunächst auf einer Wallet verblieben und anschließend auf weitere Adressen verteilt wurden. Auch eine Aufteilung eines Betrags auf mehrere Wallets kann dadurch sichtbar werden.

Die Anzahl der Transaktionsschritte sagt allerdings nichts allein darüber aus, ob eine Identifizierung möglich oder unmöglich ist. Eine Kryptowährung kann bereits nach wenigen Transaktionen einen Dienstleister erreichen, der unter bestimmten Voraussetzungen weitere Informationen zu einem Kundenbezug besitzt. Umgekehrt kann eine große Zahl von Folgeadressen die Zuordnung erheblich erschweren. Deshalb muss jeder Fall anhand der tatsächlichen Transaktionsstruktur betrachtet werden.

Eine wichtige Schnittstelle können Kryptobörsen sein. Wenn Kryptowährungen von einer verdächtigen Wallet an eine zentral betriebene Kryptobörse übertragen werden, kann sich daraus ein möglicher Anknüpfungspunkt für die weitere Aufklärung ergeben. Eine solche Börse kann im Rahmen ihrer Geschäftsprozesse Informationen zu Kundenkonten und Transaktionen verarbeiten. Welche Daten tatsächlich vorhanden sind und unter welchen Voraussetzungen sie rechtlich zugänglich gemacht werden können, hängt jedoch vom konkreten Dienstleister, der Rechtsordnung und dem jeweiligen Sachverhalt ab.

Aus einer Blockchain-Spur darf deshalb nicht vorschnell geschlossen werden, dass eine bestimmte Kryptobörse den Täter kennt oder für den Verlust verantwortlich ist. Entscheidend ist vielmehr, ob die betreffende Adresse tatsächlich einem Dienstleister zugeordnet werden kann und welche weiteren Informationen dazu vorliegen. Die technische Zuordnung einer Wallet zu einer Plattform und die rechtliche Durchsetzung eines Informationsanspruchs sind zwei unterschiedliche Fragen.

Auch sogenannte VASP können im Transaktionsweg eine Rolle spielen. Unter dem Begriff werden verschiedene Anbieter von Dienstleistungen im Zusammenhang mit virtuellen Vermögenswerten zusammengefasst. Je nach Geschäftsmodell können darunter beispielsweise Handelsplattformen oder Verwahrungsdienste fallen. Wenn ein Transaktionsweg einen solchen Dienstleister erreicht, kann dies für die weitere rechtliche Prüfung relevant sein.

Dabei ist zwischen einer öffentlich sichtbaren Blockchain-Adresse und internen Kundendaten eines Dienstleisters zu unterscheiden. Die Blockchain kann zeigen, dass eine bestimmte Adresse Kryptowährung empfangen hat. Sie zeigt nicht automatisch, welche Person ein Kundenkonto bei einer Plattform unterhält. Erst durch eine Verbindung mit zusätzlichen Daten kann aus einer technischen Spur unter Umständen ein konkreter Identifizierungsansatz entstehen.

Solche zusätzlichen Informationen können aus unterschiedlichen Quellen stammen. Dazu gehören beispielsweise Kontaktdaten, E-Mail-Adressen, Telefonnummern, Kontodaten, KYC-Daten oder Angaben aus einer Handelsplattform. Auch Informationen aus der Kommunikation mit dem vermeintlichen Anlageberater oder Broker können relevant sein. Wenn der Täter selbst eine bestimmte Wallet-Adresse als seine Anlageadresse bezeichnet hat, kann diese Aussage mit der tatsächlichen Blockchain-Struktur verglichen werden.

Gerade bei Anlage- und Trading-Betrug ist diese Verbindung besonders wichtig. Ein Betroffener kann beispielsweise eine Plattform genutzt haben, auf der ein bestimmtes Guthaben angezeigt wurde. Die Plattform kann anschließend eine Auszahlung verweigert und weitere Zahlungen verlangt haben. Entscheidend ist dann zunächst die Frage, ob die auf der Plattform dargestellten Kryptowährungen überhaupt real vorhanden waren und welche tatsächlichen Transaktionen im Hintergrund stattgefunden haben.

Eine gefälschte Handelsplattform kann beispielsweise lediglich einen Kontostand anzeigen, ohne dass eine entsprechende Kryptowährung auf einer für den Betroffenen kontrollierbaren Wallet vorhanden ist. In einem solchen Fall muss die technische Untersuchung anders ansetzen als bei einem direkten Diebstahl aus einer selbst verwalteten Wallet. Es kann dann zunächst darum gehen, welche Zahlungen tatsächlich vorgenommen wurden und an welche Empfänger die jeweiligen Gelder oder Kryptowährungen gelangten.

Auch bei einer Kryptobörse kann zwischen einem tatsächlichen unbefugten Zugriff und einer vom Betroffenen selbst ausgelösten Transaktion unterschieden werden. Wenn ein Täter durch Täuschung erreicht, dass der Betroffene selbst Kryptowährung an eine vorgegebene Adresse sendet, ist auf der Blockchain zwar eine reguläre Transaktion zu sehen. Die Blockchain kann nicht erkennen, dass der Absender durch eine Täuschung zur Übertragung veranlasst wurde. Diese Information muss aus der Kommunikation und dem sonstigen Sachverhalt rekonstruiert werden.

Das ist für die rechtliche Bewertung von erheblicher Bedeutung. Eine Blockchainanalyse beantwortet vor allem technische Fragen. Sie kann zeigen, wann und wohin eine Kryptowährung übertragen wurde. Sie kann aber nicht allein beantworten, warum die Transaktion erfolgt ist, wer den Betroffenen getäuscht hat oder ob eine bestimmte Person rechtlich für den daraus entstandenen Schaden einzustehen hat.

Auch die Frage, ob ein Wallet „gehackt“ wurde, lässt sich nicht allein aus einer späteren Transaktion beantworten. Eine unbekannte Auszahlung kann verschiedene Ursachen haben. Möglich sind beispielsweise ein gestohlener Private Key, eine kompromittierte Seed-Phrase, ein unbefugter Zugriff auf ein Kryptobörsenkonto, eine schädliche Wallet-Freigabe oder eine Manipulation des verwendeten Geräts. Ebenso kann eine Transaktion vom Betroffenen selbst ausgeführt worden sein, weil er einer Täuschung aufgesessen ist.

Bei bestimmten Blockchain-Systemen können sogenannte Token-Approvals beziehungsweise Freigaben relevant sein. Wenn ein Nutzer eine Wallet mit einer dezentralen Anwendung verbindet und einer Anwendung weitreichende Rechte einräumt, können später Transaktionen erfolgen, die der Nutzer möglicherweise nicht erwartet hat. Für die technische Rekonstruktion kann deshalb nicht nur der eigentliche Abfluss, sondern auch die vorherige Interaktion mit einer Anwendung relevant sein.

Bei einem kompromittierten Gerät können außerdem technische Spuren außerhalb der Blockchain eine Rolle spielen. Dazu gehören beispielsweise Login-Zeitpunkte, unbekannte Sitzungen, neue Geräte, verdächtige Browser-Erweiterungen oder installierte Anwendungen. Solche Informationen können helfen, einen möglichen Angriffsweg zu rekonstruieren. Sie ersetzen aber nicht die Blockchain-Daten, sondern ergänzen diese.

Auch die E-Mail-Sicherheit kann für die Rekonstruktion relevant sein. Wenn ein Täter zunächst Zugriff auf das E-Mail-Konto erlangt und anschließend die Sicherheitseinstellungen eines Kryptobörsenkontos verändert, kann dadurch eine Verbindung zwischen dem technischen Angriff und dem späteren Vermögensabfluss entstehen. Entscheidend ist dann die zeitliche Abfolge. Wann erfolgte der verdächtige Login? Wann wurde die E-Mail-Adresse verändert? Wann wurde die Auszahlung eingerichtet? Wann wurde die Kryptowährung übertragen?

Je genauer solche Zeitpunkte miteinander verglichen werden können, desto besser lässt sich ein möglicher Ablauf rekonstruieren. Dabei sollte allerdings vermieden werden, aus einer bloßen zeitlichen Nähe eine sichere Täterschaft abzuleiten. Ein Login aus einem unbekannten Land kann beispielsweise ein Hinweis sein, aber noch keinen Beweis dafür darstellen, wer diesen Login tatsächlich vorgenommen hat.

Auch IP-Adressen sollten nicht isoliert interpretiert werden. Technische Adressen können unter anderem durch VPN-Dienste, mobile Netzwerke, gemeinsam genutzte Anschlüsse oder andere technische Konstellationen beeinflusst werden. Für eine rechtliche Bewertung müssen solche Daten deshalb im Zusammenhang mit weiteren Informationen betrachtet werden.

Eine besondere Herausforderung besteht darin, dass Täter Kryptowährungen gezielt über mehrere Wallets bewegen können. Dabei kann eine ursprünglich leicht erkennbare Transaktion schnell in einen umfangreicheren Transaktionsgraphen übergehen. Die bloße Zahl der Adressen sagt jedoch noch nichts über deren tatsächliche Eigentumsverhältnisse aus. Eine seriöse Analyse muss deshalb zwischen sicheren Blockchain-Fakten und analytischen Zuordnungen unterscheiden.

Ein Beispiel verdeutlicht diese Unterscheidung: Wenn Wallet A einen bestimmten Betrag an Wallet B sendet und Wallet B denselben Betrag kurz danach an Wallet C weiterleitet, ist die Transaktionskette technisch nachvollziehbar. Daraus folgt aber nicht automatisch, dass dieselbe Person A, B und C kontrolliert. Erst weitere Indizien können eine solche Annahme möglicherweise stützen. Deshalb sollten Analyseergebnisse entsprechend vorsichtig formuliert werden.

Bei größeren Schadenssummen kann es sinnvoll sein, den gesamten Transaktionsverlauf strukturiert aufzuarbeiten. Dabei können die ursprüngliche Wallet, sämtliche bekannten Zieladressen, Transaktions-Hashes, Zeitpunkte, Beträge und Folgeadressen in einer Übersicht zusammengeführt werden. Eine solche Darstellung kann später auch für die Kommunikation mit einem Dienstleister oder die rechtliche Prüfung hilfreich sein.

Von Bedeutung ist außerdem die Frage, ob die Kryptowährung einen Dienstleister erreicht hat, bei dem eine Verbindung zu einer realen Person oder einem Unternehmen bestehen könnte. Ein solcher Berührungspunkt kann für die weitere Prüfung erheblich sein. Dabei ist jedoch zwischen einer bloßen technischen Vermutung und einer belastbaren Zuordnung zu unterscheiden.

Wenn beispielsweise eine Wallet-Adresse aufgrund bestimmter öffentlich zugänglicher Informationen einer Kryptobörse zugeordnet werden kann, bedeutet dies zunächst nur, dass die Adresse mit dieser Plattform in Verbindung stehen könnte. Ob ein konkretes Kundenkonto dahintersteht, ob die Plattform die Adresse tatsächlich kontrolliert und welche Kundendaten vorhanden sind, muss gesondert geprüft werden.

Auch die zeitliche Entwicklung kann entscheidend sein. Wenn eine verdächtige Wallet über längere Zeit inaktiv war und erst später wieder größere Beträge bewegt, kann dies für die Rekonstruktion relevant sein. Gleiches gilt für wiederkehrende Transaktionsmuster oder die Verwendung bestimmter Dienstleister. Solche Muster können Hinweise liefern, sollten aber nicht ohne weitere Prüfung als Beweis für eine bestimmte Person verstanden werden.

Bei Stablecoins und anderen Token können zusätzliche Besonderheiten auftreten. Je nach technischer Struktur können bestimmte Token durch den jeweiligen Emittenten oder über bestimmte technische Funktionen beeinflusst werden. Ob und welche Maßnahmen in einem konkreten Fall möglich sind, hängt vom jeweiligen Token, Netzwerk und den technischen Gegebenheiten ab. Eine pauschale Aussage, dass gestohlene Kryptowährungen technisch „eingefroren“ oder zurückgesetzt werden könnten, wäre deshalb nicht seriös.

Ebenso wenig lässt sich aus der Sichtbarkeit einer Wallet ableiten, dass die darin befindlichen Kryptowährungen ohne Weiteres zurückübertragen werden können. Eine Blockchain-Transaktion, die ordnungsgemäß bestätigt wurde, lässt sich grundsätzlich nicht einfach durch einen Dritten rückgängig machen. Deshalb liegt der Schwerpunkt einer Untersuchung häufig zunächst darauf, den weiteren Weg der Vermögenswerte und mögliche Anknüpfungspunkte zu identifizieren.

Dabei sollte auch der Zeitpunkt berücksichtigt werden. Eine frühzeitige Sicherung der relevanten Transaktionsdaten kann dazu beitragen, dass die Untersuchung auf einer vollständigen Datengrundlage aufbaut. Je weiter Kryptowährungen über verschiedene Adressen bewegt werden, desto umfangreicher kann die technische Rekonstruktion werden.

Betroffene sollten deshalb nicht versuchen, selbst durch wahlloses Durchsuchen zahlreicher Wallets eine endgültige Identifizierung vorzunehmen. Öffentliche Blockchain-Daten können sehr umfangreich sein und leicht falsch interpretiert werden. Eine einzelne Adresse, ein ungewöhnlicher Transaktionsbetrag oder ein bestimmtes Transaktionsmuster reicht regelmäßig nicht aus, um eine Person eindeutig zu bestimmen.

Besondere Vorsicht ist auch bei frei verfügbaren Webseiten geboten, die behaupten, eine Wallet eindeutig einer Person zuordnen zu können. Solche Angebote können unterschiedliche Qualitätsstandards haben. Eine technische Zuordnung sollte deshalb daraufhin geprüft werden, welche Datenbasis und welche Methodik tatsächlich dahinterstehen.

Für die rechtliche Aufklärung ist außerdem entscheidend, den Blockchain-Verlauf mit dem tatsächlichen Geschehen zu verbinden. Wenn ein vermeintlicher Anlageberater eine bestimmte Wallet-Adresse als Empfänger nennt und kurz danach genau diese Adresse Kryptowährung erhält, entsteht eine konkrete Verbindung zwischen Kommunikation und Blockchain-Daten. Wenn anschließend dieselben Vermögenswerte weitergeleitet werden, kann dieser weitere Verlauf untersucht werden.

Auch die Angaben des vermeintlichen Beraters können überprüft werden. Behauptet dieser beispielsweise, die Kryptowährung werde auf einem persönlichen Handelskonto verwahrt, kann anhand der tatsächlichen Zahlungs- und Wallet-Daten untersucht werden, ob diese Darstellung plausibel ist. Weichen die technischen Vorgänge erheblich von den Erklärungen ab, kann dies für die Sachverhaltsaufklärung relevant sein.

Die Blockchain kann damit ein wichtiges Beweismittel beziehungsweise eine wichtige technische Informationsquelle darstellen. Sie sollte jedoch nie isoliert betrachtet werden. Die stärkste Aussagekraft entsteht häufig aus der Verbindung von Blockchain-Daten, Kontounterlagen, Kommunikation, Plattforminformationen und technischen Zugriffsdaten.

Für Betroffene bedeutet das: Eine gestohlene Kryptowährung ist nicht allein deshalb „unsichtbar“, weil sie an eine fremde Wallet übertragen wurde. Die Transaktion selbst kann in vielen Fällen nachvollzogen werden. Schwieriger ist die Frage, wer die Zieladresse tatsächlich kontrolliert und welche rechtlichen Möglichkeiten sich daraus ergeben.

Ob aus einer Walletanalyse konkrete Ansätze für die weitere Durchsetzung von Ansprüchen entstehen, hängt deshalb vom Einzelfall ab. Besonders relevant können dabei identifizierbare Kryptodienstleister, nachvollziehbare Zahlungswege, KYC-Daten, Kommunikationsinhalte und weitere technische Spuren sein. Je besser diese Informationen miteinander verbunden werden können, desto belastbarer kann die weitere Prüfung ausfallen.

Eine Blockchainanalyse ersetzt dabei keine rechtliche Prüfung. Sie kann den technischen Zahlungsweg aufzeigen, aber nicht automatisch klären, welche Ansprüche gegen welche Person oder welches Unternehmen bestehen. Ebenso wenig garantiert eine nachvollziehbare Transaktionsspur, dass die betroffenen Kryptowährungen tatsächlich zurückerlangt werden können.

Für die Betroffenen ist dennoch wichtig, die technische Spur nicht vorschnell als wertlos abzuschreiben. Wallet-Adressen, Transaktions-Hashes und Folgeadressen können wichtige Ausgangspunkte sein. Gerade wenn Kryptowährungen nach dem ursprünglichen Abfluss noch über mehrere Stationen bewegt wurden, kann die Analyse dieser Bewegungen zusätzliche Anknüpfungspunkte liefern.

Die entscheidende Frage lautet daher nicht nur, ob eine Kryptowährung gestohlen wurde, sondern auch, welchen konkreten Weg sie anschließend genommen hat. Eine strukturierte Wallet- und Transaktionsanalyse kann diesen Weg sichtbar machen. Ob daraus eine verwertbare Zuordnung zu einer Person, einem Unternehmen oder einem Kryptodienstleister entsteht, muss anschließend anhand aller verfügbaren Informationen und der rechtlichen Rahmenbedingungen geprüft werden.

Kryptowährung gestohlen – welche Möglichkeiten bestehen, das Geld beziehungsweise die Coins zurückzuerlangen?

Wenn eine Kryptowährung gestohlen wurde, richtet sich die wichtigste Frage für Betroffene häufig darauf, ob die verlorenen Coins oder der entsprechende Vermögenswert noch zurückerlangt werden können. Eine pauschale Antwort darauf gibt es nicht. Entscheidend sind insbesondere der konkrete Ablauf des Vorfalls, die Art der Kryptowährung, der verwendete Zahlungsweg, der aktuelle Verbleib der Vermögenswerte und die Frage, ob sich ein Empfänger oder beteiligter Dienstleister identifizieren lässt. Auch die rechtliche Einordnung des Geschehens kann eine erhebliche Rolle spielen.

Zunächst muss zwischen verschiedenen Ausgangssituationen unterschieden werden. Bei einem unbefugten Zugriff auf eine selbst verwaltete Wallet liegt eine andere technische und rechtliche Ausgangslage vor als bei einer Überweisung an eine angebliche Investmentplattform. Wiederum anders ist ein Fall, in dem der Betroffene selbst eine Kryptotransaktion ausgelöst hat, dies aber aufgrund einer Täuschung durch einen angeblichen Anlageberater oder Broker tat. In jedem dieser Fälle kann die Blockchain zwar Informationen über den Transaktionsweg liefern, die weiteren Möglichkeiten unterscheiden sich jedoch erheblich.

Bei einem direkten Diebstahl aus einer Wallet besteht die erste Aufgabe darin, die betreffende Transaktion und die Zieladresse zu identifizieren. Wenn die Kryptowährung von der eigenen Wallet an eine fremde Adresse übertragen wurde, kann der weitere Weg auf der Blockchain grundsätzlich untersucht werden. Dabei kann festgestellt werden, ob die Coins auf der ersten Zieladresse verblieben oder anschließend an weitere Wallets weitergeleitet wurden.

Diese technische Nachvollziehbarkeit ist wichtig, darf aber nicht mit einer automatischen Rückholung gleichgesetzt werden. Eine bestätigte Blockchain-Transaktion lässt sich grundsätzlich nicht einfach durch den ursprünglichen Eigentümer rückgängig machen. Die Tatsache, dass eine Wallet-Adresse bekannt ist, bedeutet deshalb nicht, dass die Kryptowährung unmittelbar zurückgebucht werden kann.

Vielmehr geht es häufig darum, festzustellen, ob die weitere Bewegung der Kryptowährung zu einem identifizierbaren Anknüpfungspunkt führt. Ein solcher Anknüpfungspunkt kann beispielsweise eine zentral betriebene Kryptobörse oder ein anderer Kryptodienstleister sein. Wenn die Vermögenswerte dort ankommen, kann die technische Spur unter Umständen mit weiteren Informationen verbunden werden.

Dabei ist zwischen der Blockchain und den internen Daten eines Dienstleisters zu unterscheiden. Die Blockchain kann zeigen, dass eine bestimmte Adresse Kryptowährung an eine andere Adresse übertragen hat. Sie enthält jedoch nicht automatisch den Namen der Person, die eine bestimmte Wallet kontrolliert. Bei einem zentralen Anbieter können dagegen unter bestimmten Voraussetzungen Kundendaten vorhanden sein. Ob solche Informationen tatsächlich existieren und auf welchem rechtlichen Weg darauf zugegriffen werden kann, muss im jeweiligen Fall geprüft werden.

Besonders relevant kann daher sein, ob sich die Zieladresse einer Kryptobörse oder einem anderen VASP zuordnen lässt. Eine solche Zuordnung kann einen möglichen Ansatzpunkt für die weitere Aufklärung bilden. Sie bedeutet allerdings nicht automatisch, dass der Dienstleister für den entstandenen Schaden verantwortlich ist. Ebenso wenig folgt daraus ohne Weiteres, dass die Kryptowährung noch auf einem Konto des Täters liegt.

Die Coins können bereits weitertransferiert worden sein. Deshalb sollte nicht nur die erste Empfängeradresse betrachtet werden. Entscheidend kann die weitere Transaktionskette sein. Eine Blockchainanalyse kann beispielsweise zeigen, dass ein Betrag zunächst auf eine Wallet gelangte, anschließend auf mehrere Adressen verteilt und später teilweise an einen zentralen Dienstleister übertragen wurde. Jeder dieser Schritte kann für die weitere Prüfung relevant sein.

Eine solche Analyse wird insbesondere dann wichtig, wenn der Täter versucht hat, die Herkunft der Kryptowährung durch zahlreiche Folgeadressen zu verschleiern. Mehrere Transaktionsschritte bedeuten allerdings nicht automatisch, dass eine Rückgewinnung ausgeschlossen ist. Umgekehrt reicht eine leicht nachvollziehbare Transaktion nicht automatisch für eine erfolgreiche Durchsetzung von Ansprüchen aus. Entscheidend ist die Gesamtheit der vorhandenen Informationen.

Bei einem Betrug über eine vermeintliche Investmentplattform muss zunächst geprüft werden, ob die dort angezeigten Kryptowährungen überhaupt existierten. Betrügerische Plattformen können Guthaben, Gewinne und angebliche Handelsaktivitäten darstellen, ohne dass entsprechende Vermögenswerte tatsächlich für den Betroffenen verwahrt werden. In einem solchen Fall liegt der entscheidende Zahlungsweg möglicherweise nicht innerhalb der dargestellten Plattform, sondern bei den tatsächlich vorgenommenen Einzahlungen.

Das kann die rechtliche und technische Analyse grundlegend verändern. Wenn beispielsweise ein vermeintlicher Broker ein Guthaben von 80.000 Euro auf dem Bildschirm anzeigt, der Betroffene tatsächlich aber nur 20.000 Euro eingezahlt hat und keine reale Auszahlung möglich ist, muss zunächst geklärt werden, wohin die tatsächlich gezahlten Beträge gelangten. Der angezeigte Kontostand allein beweist nicht, dass die entsprechende Summe tatsächlich als Kryptowährung vorhanden ist.

Bei einer solchen Konstellation können Banküberweisungen, Kreditkartenzahlungen, Zahlungen an Zahlungsdienstleister und anschließende Kryptotransaktionen miteinander verbunden werden. Ziel ist eine möglichst vollständige Rekonstruktion des tatsächlichen Vermögensflusses. Dabei kann sich herausstellen, dass die angebliche Investmentplattform lediglich eine Oberfläche für einen weitergehenden Betrug war.

Auch bei einem vermeintlichen Anlageberater können unterschiedliche Zahlungswege vorkommen. Zunächst wird möglicherweise eine klassische Bankzahlung verlangt. Später soll der Betroffene Kryptowährung kaufen und an eine Wallet senden. Danach wird eine weitere Einzahlung gefordert, weil angeblich eine Auszahlung bevorsteht. Für die Prüfung ist dann wichtig, jeden einzelnen Vorgang zu dokumentieren und nicht nur die letzte Kryptotransaktion zu betrachten.

Besonders problematisch sind nachträgliche Forderungen zur angeblichen Freigabe der Auszahlung. Täter sprechen beispielsweise von einer Steuer, einer Sicherheitsleistung, einer Liquiditätsprüfung, einer Compliance-Gebühr oder einer Wallet-Verifizierung. Solche Begriffe können seriös wirken, ändern aber nichts daran, dass jede einzelne Forderung anhand des konkreten Sachverhalts geprüft werden muss.

Wer bereits Kryptowährung verloren hat und anschließend aufgefordert wird, nochmals Coins zu übertragen, sollte besonders vorsichtig sein. Eine weitere Zahlung erhöht den Schaden, ohne dass dadurch automatisch ein Anspruch auf Auszahlung entsteht. Gerade wenn die Begründung für die weitere Zahlung ständig verändert wird, kann dies ein wichtiges Warnsignal sein.

Eine besondere Gefahr besteht darin, dass Täter nach dem ersten Betrug gezielt an bereits geschädigte Personen herantreten. Sie können behaupten, über eine Blockchainanalyse sei die gestohlene Kryptowährung gefunden worden. Anschließend wird eine Zahlung verlangt, um die Coins freizuschalten oder auf eine neue Wallet zu übertragen. Solche sogenannten Recovery-Scams können den ursprünglichen Schaden erheblich vergrößern.

Eine seriöse Prüfung setzt dagegen zunächst bei den bereits vorhandenen Informationen an. Wallet-Adressen, Transaktions-Hashes, Kontoauszüge, Kommunikationsverläufe und Plattformdaten können ausgewertet werden, ohne dass der Betroffene einem unbekannten Dritten seine Seed-Phrase oder seinen Private Key überlassen muss. Wer für eine angebliche Rückgewinnung vollständige Zugangsdaten verlangt, sollte daher besonders skeptisch sein.

Auch die Frage, ob ein Kryptodienstleister eingeschaltet werden kann, hängt vom konkreten Fall ab. Wenn eine verdächtige Transaktion eindeutig zu einer bestimmten Plattform führt, kann es sinnvoll sein, den Sachverhalt dort mit den vorhandenen technischen Daten zu melden. Wichtig sind dabei möglichst präzise Angaben. Eine Wallet-Adresse und ein Transaktions-Hash sind für die technische Zuordnung regelmäßig hilfreicher als eine allgemeine Schilderung des Verlusts.

Welche Reaktion ein Dienstleister auf eine solche Meldung zeigt, kann unterschiedlich ausfallen. Manche Anbieter verfügen über interne Prüf- und Sicherheitsprozesse. Ob daraus konkrete Maßnahmen entstehen, hängt unter anderem vom Dienstleister, der Art des Vorgangs, dem Zeitpunkt der Meldung und den verfügbaren Informationen ab. Eine bestimmte Reaktion kann deshalb nicht garantiert werden.

Wenn Kryptowährungen noch bei einem identifizierbaren Dienstleister liegen, kann die Situation anders zu bewerten sein als bei bereits weitergeleiteten oder über zahlreiche Adressen verteilten Vermögenswerten. Deshalb ist der Zeitpunkt der Untersuchung nicht unerheblich. Je früher ein klarer Überblick über die Transaktionen entsteht, desto besser lässt sich prüfen, welche technischen und rechtlichen Anknüpfungspunkte noch bestehen.

Auch die Art des Vermögenswerts kann relevant sein. Bitcoin, Ether, Stablecoins und andere Token unterscheiden sich technisch voneinander. Welche Möglichkeiten der Analyse bestehen, hängt unter anderem vom jeweiligen Netzwerk und der verwendeten Infrastruktur ab. Bei manchen Token können zusätzliche technische Besonderheiten eine Rolle spielen. Eine allgemeine Aussage über sämtliche Kryptowährungen wäre deshalb nicht zuverlässig.

Bei Stablecoins kann beispielsweise die Frage relevant werden, welche technischen Funktionen der jeweilige Token beziehungsweise sein Emittent besitzt. Daraus darf jedoch nicht abgeleitet werden, dass ein beliebiger gestohlener Betrag einfach eingefroren oder zurückgesetzt werden kann. Ob überhaupt eine entsprechende technische Möglichkeit besteht und ob sie im konkreten Fall relevant werden kann, muss gesondert geprüft werden.

Eine weitere Möglichkeit kann darin liegen, den ursprünglichen Zahlungsweg zu untersuchen. Wenn der Erwerb der Kryptowährung über eine Kryptobörse erfolgte und von dort an eine Täter-Wallet übertragen wurde, können die Unterlagen dieser Börse eine wichtige Ergänzung der Blockchain-Daten darstellen. Dort können beispielsweise Informationen über den Kauf, die Auszahlung, das verwendete Benutzerkonto und den Zeitpunkt der Transaktion vorhanden sein.

Wenn die Kryptowährung dagegen direkt von einer privaten Wallet übertragen wurde, fehlen solche zentralen Kontodaten möglicherweise. Dann kann die Analyse stärker auf Blockchain-Daten, Wallet-Verknüpfungen, Kommunikation und technische Zugriffsspuren angewiesen sein. Auch hier kann die Kombination mehrerer Informationsquellen entscheidend sein.

Bei einem kompromittierten Kryptobörsenkonto sollte zusätzlich geprüft werden, wie der unbefugte Zugriff erfolgt sein könnte. Wurde das Passwort gestohlen? Wurde die Zwei-Faktor-Authentifizierung überwunden? Wurde das E-Mail-Konto übernommen? Wurde eine Auszahlung an eine neue Adresse eingerichtet? Solche Fragen können für die spätere rechtliche Bewertung des Vorgangs relevant sein.

Wenn ein Täter den Betroffenen dagegen durch Täuschung dazu gebracht hat, selbst Kryptowährung zu übertragen, liegt die Situation wiederum anders. Die Blockchain zeigt dann eine Transaktion, die technisch vom eigenen Konto beziehungsweise der eigenen Wallet ausging. Der entscheidende Umstand liegt nicht in einem technischen Fremdzugriff, sondern in der Täuschung, die der Transaktion vorausging.

In einem solchen Fall müssen insbesondere die Kommunikationsinhalte und die Umstände der Zahlungsentscheidung betrachtet werden. Hat der angebliche Berater eine bestimmte Rendite versprochen? Wurde ein bestimmtes Anlagekonto vorgetäuscht? Wurde eine Auszahlung zugesichert? Wurde anschließend eine weitere Zahlung verlangt? Wurde behauptet, die Kryptowährung werde auf einem persönlichen Handelskonto verwahrt? Diese Informationen können für die rechtliche Einordnung wesentlich sein.

Auch die Frage, wem die Zieladresse tatsächlich zuzuordnen ist, kann eine Rolle spielen. Wenn der Täter die Adresse selbst übermittelt hat und sie anschließend eine Zahlung erhält, entsteht eine konkrete Verbindung zwischen Kommunikation und Blockchain-Daten. Das kann für die weitere Untersuchung wertvoll sein, ersetzt aber noch keine sichere Identifizierung.

Eine erfolgreiche Vermögensrückgewinnung hängt deshalb nicht allein davon ab, ob eine Transaktion sichtbar ist. Entscheidend kann vielmehr sein, ob aus der technischen Spur ein verwertbarer Ansatz für die Identifizierung und rechtliche Durchsetzung entsteht. Dazu können KYC-Daten eines Dienstleisters, Zahlungsdaten, Kommunikationsinhalte und weitere technische Informationen beitragen.

Bei einem identifizierbaren Empfänger können außerdem zivilrechtliche Ansprüche in Betracht kommen. Welche Ansprüche bestehen und gegen wen sie gerichtet werden können, hängt jedoch von den konkreten Umständen ab. Insbesondere müssen die tatsächliche Täuschung, der Vermögensabfluss, die Beteiligung der jeweiligen Person oder des jeweiligen Unternehmens und der daraus entstandene Schaden geprüft werden.

Es wäre deshalb unseriös, allein aus dem Umstand einer gestohlenen Kryptowährung einen bestimmten Anspruch zu behaupten. Ebenso wenig kann pauschal gesagt werden, dass eine Kryptobörse, eine Bank oder ein Zahlungsdienstleister für den Verlust einstehen muss. Die Verantwortlichkeit verschiedener Beteiligter muss anhand des jeweiligen Sachverhalts und der konkreten Rolle geprüft werden.

Bei grenzüberschreitenden Fällen kann die Situation zusätzlich komplex werden. Kryptodienstleister, Empfänger und technische Infrastruktur können sich in unterschiedlichen Staaten befinden. Auch die verwendete Plattform kann international ausgerichtet sein. Welche rechtlichen Schritte sinnvoll sind, hängt dann unter anderem davon ab, wo die beteiligten Personen oder Unternehmen sitzen und welche Informationen bereits vorliegen.

Das bedeutet jedoch nicht, dass ein internationaler Bezug automatisch jede weitere Prüfung ausschließt. Vielmehr sollte zunächst festgestellt werden, welche konkreten Anknüpfungspunkte vorhanden sind. Ein deutscher Betroffener kann beispielsweise eine Zahlung von einem deutschen Bankkonto vorgenommen haben, anschließend Kryptowährung über eine europäische Kryptobörse gekauft und an eine Wallet übertragen haben, die später mit einem weiteren Dienstleister verbunden ist. Jeder dieser Punkte kann für die weitere Aufklärung relevant sein.

Auch die Höhe des Schadens sollte bei der Entscheidung über weitere Maßnahmen berücksichtigt werden. Bei kleineren Beträgen kann eine umfassende technische Analyse wirtschaftlich anders zu bewerten sein als bei einem erheblichen Vermögensverlust. Bei größeren Schäden kann eine strukturierte rechtliche und technische Prüfung dagegen besonders sinnvoll sein.

Dabei sollte nicht allein auf den aktuellen Kurs der betroffenen Kryptowährung abgestellt werden. Der rechtlich relevante Schaden kann sich aus unterschiedlichen Faktoren ergeben und muss anhand des konkreten Sachverhalts bestimmt werden. Für die Dokumentation ist es dennoch sinnvoll, Zeitpunkt, Menge und Art der übertragenen Kryptowährung genau festzuhalten.

Bei mehreren Transaktionen sollte zudem geprüft werden, ob sämtliche Vorgänge zum selben Betrug gehören. Täter können einen Betroffenen über Wochen oder Monate zu weiteren Zahlungen bewegen. Eine isolierte Betrachtung der letzten Transaktion kann dann ein falsches Bild vermitteln. Erst die Gesamtchronologie kann zeigen, wie der Schaden entstanden ist.

Besonders aussagekräftig kann die Verbindung von Zahlungsaufforderung und tatsächlicher Transaktion sein. Wenn beispielsweise am Montag eine bestimmte Wallet-Adresse übermittelt und am Dienstag genau dorthin Kryptowährung übertragen wurde, lässt sich dieser Zusammenhang dokumentieren. Wenn danach eine weitere Zahlung verlangt wird und wiederum eine andere Wallet-Adresse genannt wird, entsteht eine nachvollziehbare Abfolge.

Eine solche Dokumentation kann sowohl für eine technische Analyse als auch für die rechtliche Prüfung hilfreich sein. Sie zeigt, welche Aussagen gemacht wurden, welche Entscheidungen der Betroffene daraufhin getroffen hat und welche Vermögensbewegungen tatsächlich stattgefunden haben.

Auch bereits weitergeleitete Kryptowährungen sollten nicht vorschnell als endgültig verloren betrachtet werden. Die weitere Analyse kann zeigen, ob die Vermögenswerte noch auf einer nachvollziehbaren Adresse liegen oder ob sie bereits über weitere Stationen bewegt wurden. Ob daraus konkrete Möglichkeiten entstehen, hängt von der jeweiligen Transaktionsstruktur und den verfügbaren Informationen ab.

Umgekehrt sollte eine sichtbare Wallet nicht zu falschen Hoffnungen führen. Wenn Kryptowährungen auf einer fremden Adresse liegen, bedeutet dies nicht automatisch, dass diese Adresse rechtlich ohne Weiteres gesperrt oder die Coins zurückübertragen werden können. Technische Nachvollziehbarkeit und rechtliche Durchsetzbarkeit müssen getrennt voneinander bewertet werden.

Besonders wichtig ist deshalb eine realistische Erwartungshaltung. Eine Blockchainanalyse kann wertvolle Informationen liefern. Sie kann den Weg einer Kryptowährung aufzeigen, Folgeadressen sichtbar machen und mögliche Berührungspunkte mit Kryptodienstleistern identifizieren. Sie kann jedoch keine Garantie dafür geben, dass die Kryptowährung tatsächlich wieder in den Besitz des Betroffenen gelangt.

Auch ein Anwalt kann eine solche Garantie nicht seriös abgeben. Die Aufgabe einer rechtlichen Beratung besteht vielmehr darin, den Sachverhalt zu erfassen, die vorhandenen Beweismittel zu bewerten, mögliche Anspruchsgegner zu identifizieren und die rechtlich und tatsächlich sinnvollen Möglichkeiten zu prüfen.

Dafür ist es hilfreich, wenn Betroffene nicht nur den Betrag des Verlusts nennen, sondern den gesamten Vorgang vorbereiten. Wichtig sind insbesondere die Wallet-Adresse, von der die Kryptowährung abgeflossen ist, die Zieladresse, Transaktions-Hashes, Zeitpunkte, verwendete Kryptobörsen, Zahlungsbelege und die Kommunikation mit den beteiligten Personen.

Wenn ein angeblicher Anlageberater beteiligt war, sollten außerdem dessen Namen, Telefonnummern, E-Mail-Adressen, Profilnamen und sonstige Identifikationsmerkmale dokumentiert werden. Auch der Name einer angeblichen Gesellschaft sollte unverändert festgehalten werden. Ob die angegebene Identität tatsächlich besteht und mit dem Täter übereinstimmt, ist eine gesonderte Frage.

Bei einem Fake-Broker sollte zusätzlich die verwendete Internetplattform dokumentiert werden. Screenshots des Kontostands, der angeblichen Handelsaktivitäten und der Auszahlungshindernisse können später eine wichtige Ergänzung darstellen. Besonders relevant sind Angaben dazu, wann erstmals eine Auszahlung verlangt wurde und welche Begründung für deren Verweigerung gegeben wurde.

Auch bei einem Recovery Scam sollte der neue Kontakt vollständig dokumentiert werden. Telefonnummer, E-Mail-Adresse, Wallet-Adresse, Zahlungsforderung und angebliche Begründung können Hinweise darauf liefern, dass der Betroffene erneut Ziel einer Täuschung geworden ist. Eine weitere Zahlung sollte nicht allein deshalb erfolgen, weil der Kontakt bereits Informationen über den ursprünglichen Schaden kennt.

Die Rückgewinnung von Kryptowährung ist somit kein einzelner technischer Vorgang, sondern kann eine Kombination aus technischer Analyse, Sachverhaltsrekonstruktion und rechtlicher Prüfung erfordern. Je nach Fall kann der Schwerpunkt auf der Blockchain, einem Kryptodienstleister, einem Zahlungsweg, einer gefälschten Plattform oder der Identifizierung einer handelnden Person liegen.

Besonders wichtig ist die Frage, ob sich ein konkreter Vermögensfluss rekonstruieren lässt. Wenn sich zeigen lässt, dass eine bestimmte Summe von der Wallet des Betroffenen an eine Zieladresse übertragen und anschließend an einen identifizierbaren Dienstleister weitergeleitet wurde, kann daraus ein Ansatz für die weitere Prüfung entstehen. Ob dieser Ansatz ausreicht, um Ansprüche durchzusetzen oder Vermögenswerte zu sichern, hängt wiederum von den konkreten Umständen ab.

Auch mögliche Maßnahmen zur Vermögenssicherung müssen fallbezogen geprüft werden. Eine solche Prüfung kann insbesondere dann relevant sein, wenn konkrete Anhaltspunkte dafür bestehen, dass Vermögenswerte einem identifizierbaren Beteiligten zugeordnet werden können. Welche Maßnahmen rechtlich in Betracht kommen, kann nicht allein anhand der Blockchain entschieden werden.

Für Betroffene bedeutet dies vor allem: Die Tatsache, dass Kryptowährung gestohlen wurde, beendet nicht automatisch jede Möglichkeit der Aufklärung. Gleichzeitig wäre es falsch, aus einer sichtbaren Transaktionsspur eine sichere Rückgewinnung abzuleiten. Entscheidend ist die Qualität der vorhandenen Informationen und die Frage, ob technische Daten mit realen Personen, Unternehmen oder Dienstleistern verbunden werden können.

Wer den Verlust möglichst sinnvoll aufarbeiten möchte, sollte deshalb zunächst sämtliche bekannten Transaktionen sichern und den Weg der Kryptowährung nachvollziehbar dokumentieren. Anschließend sollte geprüft werden, welche weiteren Informationen außerhalb der Blockchain vorhanden sind. Dazu zählen insbesondere Kommunikationsverläufe, Zahlungsdaten, Plattforminformationen und Angaben zu den beteiligten Personen.

Erst aus dieser Gesamtschau lässt sich seriös beurteilen, welche Möglichkeiten zur Durchsetzung von Ansprüchen oder zur Vermögenssicherung bestehen. Ob Kryptowährungen tatsächlich zurückerlangt werden können, hängt von den Umständen des Einzelfalls und insbesondere vom konkreten Zahlungs- und Transaktionsweg ab. Eine sorgfältige technische und rechtliche Prüfung kann jedoch helfen, vorhandene Anknüpfungspunkte zu erkennen und die nächsten Schritte auf eine belastbare Grundlage zu stellen.

Kryptowährung gestohlen – welche Beweise sind für die rechtliche Aufklärung wichtig?

Wenn eine Kryptowährung gestohlen wurde, entscheidet nicht allein die Höhe des finanziellen Schadens darüber, wie gut ein Fall rechtlich aufgearbeitet werden kann. Von erheblicher Bedeutung ist vielmehr, ob sich der konkrete Ablauf nachvollziehbar belegen lässt. Gerade bei Krypto-Betrug bestehen die relevanten Informationen häufig aus vielen einzelnen Bausteinen: Blockchain-Daten, Kontoauszügen, Überweisungsbelegen, Wallet-Adressen, Transaktions-Hashes, E-Mails, Chatverläufen, Screenshots und Angaben zu den beteiligten Personen. Erst das Zusammenspiel dieser Informationen kann ein vollständiges Bild ergeben.

Die Beweissicherung sollte deshalb möglichst früh beginnen. Betroffene sollten nicht warten, bis alle Einzelheiten geklärt sind. Bereits unmittelbar nach Feststellung des Verlusts können Informationen gesichert werden, die später möglicherweise nicht mehr verfügbar sind. Eine Webseite kann abgeschaltet werden, ein Messenger-Konto kann verschwinden, ein vermeintlicher Berater kann sein Profil ändern und eine Kryptobörse kann bestimmte historische Informationen nur für begrenzte Zeit oder in anderer Form anzeigen.

Besonders wichtig sind zunächst die technischen Daten der betroffenen Kryptowährung. Dazu gehören die Wallet-Adresse, von der die Coins abgeflossen sind, die jeweilige Zieladresse, der Transaktions-Hash, das verwendete Netzwerk, der Zeitpunkt und die übertragene Menge. Bei mehreren Transaktionen sollte jeder Vorgang einzeln erfasst werden. Es reicht nicht aus, nur den insgesamt verlorenen Betrag zu dokumentieren.

Ein Transaktions-Hash kann dabei als technischer Bezugspunkt dienen. Über ihn lässt sich eine konkrete Transaktion auf der jeweiligen Blockchain wiederfinden. Für eine spätere Prüfung sollte der Hash möglichst unverändert übernommen werden. Auch die zugehörigen Wallet-Adressen sollten exakt dokumentiert werden. Gerade bei langen Zeichenfolgen können Übertragungs- oder Schreibfehler die spätere Zuordnung erschweren.

Neben dem Hash sollte festgehalten werden, auf welchem Netzwerk die Transaktion stattgefunden hat. Dies ist insbesondere bei Token wichtig, die auf unterschiedlichen Netzwerken verwendet werden können. Eine Angabe wie „USDT übertragen“ kann für eine technische Analyse zu ungenau sein, wenn nicht zugleich bekannt ist, auf welchem Netzwerk die Übertragung erfolgte.

Auch der Zeitpunkt der Transaktion sollte gesichert werden. Die zeitliche Einordnung kann später mit anderen Ereignissen verglichen werden. Wenn beispielsweise unmittelbar vor einem unbekannten Wallet-Abfluss ein angeblicher Supportmitarbeiter Zugriff auf den Computer hatte oder eine verdächtige E-Mail eingegangen ist, kann die zeitliche Abfolge für die Rekonstruktion relevant sein.

Bei einer Kryptobörse sollten Betroffene die dort verfügbaren Transaktions- und Kontoinformationen sichern. Dazu können Einzahlungen, Käufe, Verkäufe, Auszahlungen, Login-Aktivitäten und Änderungen an den Sicherheitseinstellungen gehören. Wenn eine Auszahlung nicht selbst veranlasst wurde, sollte möglichst genau festgehalten werden, wann sie festgestellt wurde und welche Informationen die Plattform dazu bereitstellt.

Auch Benachrichtigungen über neue Logins, Änderungen des Passworts oder der Zwei-Faktor-Authentifizierung können wichtige Informationen enthalten. Sie sollten nicht nur gelesen, sondern möglichst dauerhaft gesichert werden. Wenn eine E-Mail über einen neuen Login eingegangen ist, sollte auch die ursprüngliche Nachricht erhalten bleiben und nicht nur ein Ausschnitt als Screenshot.

Bei E-Mails können technische Informationen eine zusätzliche Rolle spielen. Neben dem sichtbaren Inhalt können beispielsweise Absenderadresse, Versandzeitpunkt und gegebenenfalls weitere Kopfzeilen relevant sein. Betroffene sollten deshalb möglichst die ursprünglichen Nachrichten aufbewahren und nicht ausschließlich den Text in ein neues Dokument kopieren.

Besonders sorgfältig sollten Nachrichten gesichert werden, in denen eine Zahlung oder Kryptotransaktion verlangt wurde. Wenn ein angeblicher Anlageberater eine bestimmte Wallet-Adresse nennt, sollte die Nachricht zusammen mit der anschließend vorgenommenen Transaktion dokumentiert werden. Dadurch kann später nachvollzogen werden, ob die vom Gesprächspartner genannte Adresse tatsächlich als Empfänger verwendet wurde.

Bei WhatsApp, Telegram oder anderen Messengern sollte möglichst der relevante Gesprächsverlauf vollständig erhalten bleiben. Einzelne Screenshots können zwar wichtige Informationen enthalten, bilden aber häufig nicht den gesamten Zusammenhang ab. Für die rechtliche Bewertung kann entscheidend sein, was vor einer bestimmten Zahlungsaufforderung gesagt wurde und wie sich die Kommunikation danach entwickelte.

Das gilt insbesondere für Anlage- und Trading-Betrug. Häufig beginnt der Kontakt mit allgemeinen Aussagen über eine angeblich sichere Geldanlage. Danach werden Renditen oder Gewinne dargestellt. Später wird eine erste Einzahlung verlangt. Nach dem Aufbau von Vertrauen folgen weitere Zahlungen oder die Aufforderung, Kryptowährung an eine bestimmte Wallet zu senden. Wenn die Auszahlung schließlich verweigert wird, werden neue Gründe genannt. Der gesamte Kommunikationsverlauf kann diesen Ablauf dokumentieren.

Auch Sprachnachrichten sollten erhalten bleiben. Sie können Angaben enthalten, die in schriftlichen Nachrichten nicht vorkommen. Gleiches gilt für Videoanrufe oder aufgezeichnete Präsentationen, sofern solche Aufzeichnungen rechtmäßig vorhanden sind. Wichtig ist vor allem, die vorhandenen Informationen unverändert aufzubewahren.

Bei Social-Media-Kontakten sollten außerdem Profilnamen, Benutzernamen und die verwendete Plattform dokumentiert werden. Wenn ein Täter sein Profil später ändert oder löscht, können die zuvor gesicherten Informationen für die Rekonstruktion des Kontakts hilfreich sein. Auch Profilbilder oder angebliche Unternehmensangaben können dokumentiert werden, sollten aber nicht automatisch als Beweis für die tatsächliche Identität einer Person verstanden werden.

Besondere Bedeutung haben Angaben zur behaupteten Identität des Gegenübers. Dazu gehören Name, Telefonnummer, E-Mail-Adresse, Firmenname, angebliche Berufsbezeichnung und gegebenenfalls eine Geschäftsanschrift. Dabei sollte genau festgehalten werden, was die betreffende Person selbst über ihre Identität behauptet hat. Ob diese Angaben tatsächlich stimmen, ist eine gesonderte Frage.

Bei einem vermeintlichen Anlageberater können beispielsweise Screenshots einer angeblichen Mitarbeiterseite, einer digitalen Visitenkarte oder einer E-Mail-Signatur relevant sein. Auch Vertragsunterlagen oder Anlageangebote sollten vollständig aufbewahrt werden. Selbst wenn sich später herausstellt, dass der angegebene Anbieter nicht existiert oder die Dokumente gefälscht wurden, können diese Unterlagen wichtige Anhaltspunkte liefern.

Bei einer gefälschten Trading-Plattform sollten möglichst alle relevanten Bereiche dokumentiert werden, solange sie zugänglich sind. Dazu können der persönliche Kontostand, angebliche Gewinne, offene Positionen, Einzahlungen und Auszahlungsanträge gehören. Wenn ein Guthaben angezeigt wird, das tatsächlich nicht ausgezahlt werden kann, sollte der genaue Bildschirmstand gesichert werden.

Auch Nachrichten über angebliche Auszahlungsbedingungen sind wichtig. Wenn ein Betreiber behauptet, vor der Auszahlung müsse zunächst eine Steuer, eine Sicherheitsleistung, eine Liquiditätsprüfung oder eine andere Gebühr bezahlt werden, sollte die entsprechende Forderung gesichert werden. Besonders relevant kann sein, ob nach jeder Zahlung eine neue Forderung gestellt wurde.

Die Zahlungsunterlagen bilden einen weiteren wichtigen Teil der Beweissicherung. Bei Bankzahlungen sollten Kontoauszüge und Überweisungsbelege aufbewahrt werden. Relevant können insbesondere Datum, Betrag, IBAN, BIC, Empfängername und Verwendungszweck sein. Auch wenn der eigentliche Schaden später in Kryptowährung eingetreten ist, kann die ursprüngliche Fiat-Zahlung den Ausgangspunkt des gesamten Vermögensflusses darstellen.

Wenn Kryptowährung über eine Börse gekauft wurde, sollten die entsprechenden Kaufbelege ebenfalls gesichert werden. Daraus kann sich ergeben, wann welcher Vermögenswert erworben wurde und wann anschließend eine Auszahlung an eine externe Wallet erfolgte. Die Kombination aus Kauf- und Auszahlungsdaten kann für die Rekonstruktion des tatsächlichen Vorgangs besonders hilfreich sein.

Bei Zahlungen an Zahlungsdienstleister sollten ebenfalls die verfügbaren Unterlagen erhalten bleiben. Dabei sollte nicht angenommen werden, dass ein Zahlungsdienstleister allein aufgrund seiner Beteiligung für den entstandenen Schaden verantwortlich ist. Die Unterlagen dienen zunächst dazu, den tatsächlichen Zahlungsweg zu dokumentieren und die Rolle des jeweiligen Beteiligten zu klären.

Auch Rechnungen oder Zahlungsaufforderungen sollten nicht gelöscht werden. Das gilt insbesondere dann, wenn ein Täter unter dem Namen eines bekannten Unternehmens auftritt. Der Inhalt des Dokuments, die verwendete E-Mail-Adresse, Bankverbindung und gegebenenfalls die enthaltenen Wallet-Adressen können für die spätere Prüfung relevant sein.

Bei einer kompromittierten Wallet sind technische Informationen besonders wichtig. Wenn beispielsweise eine Seed-Phrase auf einer Webseite eingegeben wurde, sollte dokumentiert werden, wann und auf welcher Webseite dies geschehen ist. Die Seed-Phrase selbst darf dagegen nicht in eine Dokumentensammlung aufgenommen oder an Dritte weitergegeben werden. Sie ist ein hochsensibler Zugang zu den damit verbundenen Vermögenswerten.

Dasselbe gilt für Private Keys. Ein Private Key kann unter Umständen die vollständige Kontrolle über die zugehörigen Vermögenswerte ermöglichen. Für die rechtliche Prüfung reicht regelmäßig die Information, dass ein solcher Schlüssel möglicherweise kompromittiert wurde. Die tatsächlichen Zugangsdaten müssen nicht an einen Berater oder eine unbekannte Person übermittelt werden.

Wenn eine Wallet mit einer verdächtigen Webseite verbunden wurde, sollten auch die verwendete Internetadresse und der Zeitpunkt der Interaktion dokumentiert werden. Bei einer schädlichen Wallet-Verbindung können zusätzlich Angaben zu erteilten Berechtigungen relevant sein. Auch hier sollte die technische Dokumentation möglichst vollständig erfolgen, ohne selbst weitere riskante Interaktionen mit der verdächtigen Webseite vorzunehmen.

Bei einem möglichen Malware-Befall können Informationen über das verwendete Gerät relevant sein. Dazu gehören beispielsweise das Betriebssystem, installierte Anwendungen, Browser-Erweiterungen und der Zeitpunkt ungewöhnlicher Ereignisse. Wenn eine Fernwartungssoftware installiert wurde, sollten Name und Installationszeitpunkt dokumentiert werden. Falls noch Installationsdateien oder Protokolle vorhanden sind, sollten diese nicht ohne Prüfung gelöscht werden.

Gleichzeitig ist darauf zu achten, dass die Beweissicherung nicht zu einer zusätzlichen Gefährdung führt. Ein möglicherweise kompromittiertes Gerät sollte nicht für weitere sensible Transaktionen verwendet werden, wenn ein fortbestehender Zugriff Dritter vermutet wird. Zugangsdaten können gegebenenfalls von einem sicheren Gerät aus geändert werden. Bei komplexen technischen Vorfällen kann eine professionelle Untersuchung sinnvoll sein.

Für die rechtliche Aufklärung ist außerdem eine chronologische Darstellung besonders wertvoll. Dabei muss kein juristischer Schriftsatz entstehen. Eine einfache Liste kann genügen: Wann erfolgte der erste Kontakt? Was wurde versprochen? Wann wurde die erste Zahlung geleistet? Wann wurde erstmals Kryptowährung übertragen? Welche Wallet-Adresse wurde genannt? Wann wurde eine Auszahlung verlangt? Welche weiteren Zahlungen wurden gefordert? Wann wurde der Verlust festgestellt?

Eine solche Chronologie verhindert, dass einzelne Ereignisse aus ihrem Zusammenhang gerissen werden. Gerade bei länger andauernden Betrugsfällen kann es schwierig sein, sich Monate später an die genaue Reihenfolge zu erinnern. Zeitnahe Aufzeichnungen können deshalb einen erheblichen praktischen Wert besitzen.

Auch Änderungen im Verhalten des Gegenübers sollten dokumentiert werden. Wenn ein angeblicher Berater zunächst persönlich erreichbar war und später nur noch über einen anderen Kommunikationskanal Kontakt aufnimmt, kann dies für die Rekonstruktion relevant sein. Gleiches gilt, wenn plötzlich neue Namen, neue Unternehmen oder neue Wallet-Adressen genannt werden.

Wenn der Kontakt über mehrere Personen erfolgte, sollte festgehalten werden, welche Person welche Aussage gemacht hat. Ein Betroffener kann beispielsweise zunächst mit einem angeblichen Kundenberater sprechen und später an einen angeblichen Finanzexperten weitergeleitet werden. Wenn danach eine andere Person als „Compliance-Abteilung“ auftritt, sollte die Kommunikation diesen Wechsel nachvollziehbar abbilden.

Auch angebliche Unternehmensunterlagen sollten gesichert werden. Dazu können Handelsnamen, Logos, Vertragsformulare, E-Mail-Domains oder angebliche Registrierungsdaten gehören. Entscheidend ist wiederum, diese Angaben zunächst als vom Anbieter behauptete Informationen zu dokumentieren und nicht ohne Prüfung als echte Unternehmensdaten zu übernehmen.

Bei einer Internetseite sollten außerdem die sichtbaren Angaben gesichert werden. Dazu können Impressumsangaben, Kontaktinformationen, Geschäftsbedingungen und Hinweise auf Lizenzen oder Zulassungen gehören. Wenn eine Webseite später nicht mehr erreichbar ist, können die gesicherten Informationen für die Rekonstruktion des ursprünglichen Erscheinungsbilds relevant sein.

Besonders wichtig ist die Sicherung von Aussagen über angebliche Regulierung oder Zulassung. Betrügerische Anbieter können mit erfundenen Genehmigungen, Logos oder Registrierungsnummern arbeiten. Für die rechtliche Prüfung kann daher entscheidend sein, welche konkrete Behauptung gemacht wurde und auf welche Quelle verwiesen wurde.

Auch Suchergebnisse oder Werbeanzeigen können in bestimmten Fällen relevant sein, wenn sie den ursprünglichen Kontakt erklären. Wenn ein Betroffener über eine bestimmte Werbung zu einer Investmentplattform gelangte, kann die entsprechende Information zur Rekonstruktion des Anbahnungswegs beitragen. Die Werbung selbst sollte möglichst dokumentiert werden, solange sie verfügbar ist.

Bei einem Betrug über soziale Netzwerke können außerdem Links zu Profilen, Gruppen oder Kanälen relevant sein. Diese sollten mit Datum und Kontext gesichert werden. Ein später gelöschtes Profil kann sonst nur noch schwer anhand eigener Erinnerungen rekonstruiert werden.

Für die Beweissicherung gilt grundsätzlich: Das Original sollte möglichst erhalten bleiben. Eine nachträgliche Bearbeitung von Screenshots, Bildern oder Dokumenten kann Fragen nach ihrer Authentizität aufwerfen. Wenn Informationen zugeschnitten oder markiert werden, sollte zusätzlich die unveränderte Ausgangsversion aufbewahrt werden.

Auch Dateinamen und Speicherorte sollten sinnvoll gewählt werden. Bei einer größeren Anzahl von Dokumenten kann beispielsweise eine chronologische Struktur helfen. Dateien können nach Datum und Vorgang benannt werden, ohne die Originalinhalte zu verändern. Dadurch lässt sich später leichter feststellen, welches Dokument zu welchem Ereignis gehört.

Es kann außerdem sinnvoll sein, mehrere Sicherungskopien anzulegen. Die konkrete technische Lösung hängt von den vorhandenen Geräten und Daten ab. Wichtig ist vor allem, dass nicht sämtliche Informationen nur auf einem möglicherweise kompromittierten Gerät gespeichert werden. Gleichzeitig sollten vertrauliche Unterlagen vor unbefugtem Zugriff geschützt werden.

Die Beweissicherung sollte sich nicht auf den eigentlichen Schaden beschränken. Auch der Versuch, den Schaden nachträglich durch weitere Zahlungen zu vergrößern, kann dokumentiert werden. Wenn ein angeblicher Recovery-Dienstleister Kontakt aufnimmt und eine Zahlung verlangt, sollten auch diese Nachrichten erhalten bleiben. Sie können zeigen, dass nach dem ursprünglichen Betrug ein weiterer Täuschungsversuch erfolgte.

Bei der Dokumentation solcher Kontakte sollte allerdings darauf verzichtet werden, sensible Zugangsdaten preiszugeben. Eine angebliche Hilfsperson benötigt für eine erste Sachverhaltsaufnahme weder die Seed-Phrase noch den Private Key. Auch Passwörter oder vollständige Zwei-Faktor-Codes gehören nicht in Nachrichten oder Dokumente, die an Dritte versendet werden.

Ein weiterer wichtiger Punkt ist die Unterscheidung zwischen Tatsachen und Vermutungen. In einer eigenen Chronologie sollte beispielsweise klar formuliert werden: „Am 14. September wurde eine Transaktion an Wallet-Adresse X festgestellt.“ Davon zu unterscheiden wäre die Aussage: „Der Täter sitzt vermutlich in Land Y.“ Letztere kann eine Vermutung sein, die erst durch weitere Informationen gestützt werden müsste.

Diese Unterscheidung ist auch für die rechtliche Prüfung wichtig. Eine nachvollziehbare Transaktion ist eine konkrete Tatsache. Die Behauptung, eine bestimmte Person habe die Wallet kontrolliert, ist dagegen eine Zuordnungsfrage. Je klarer diese Ebenen getrennt werden, desto leichter lässt sich der Sachverhalt objektiv bewerten.

Auch bei der Blockchainanalyse sollten deshalb die ursprünglichen Daten erhalten bleiben. Wenn ein Analyseprogramm bestimmte Wallets miteinander verknüpft, sollte dokumentiert werden, welche Ausgangsdaten verwendet wurden. Eine spätere rechtliche Bewertung kann dann zwischen den tatsächlich auf der Blockchain sichtbaren Informationen und den daraus abgeleiteten Schlussfolgerungen unterscheiden.

Bei einem erheblichen Schaden kann es sinnvoll sein, die vorhandenen Unterlagen geordnet für eine anwaltliche Prüfung zusammenzustellen. Besonders hilfreich ist eine kurze Zusammenfassung des Geschehens mit dem Beginn des Kontakts, den wesentlichen Zahlungen, den relevanten Wallet-Adressen und dem Zeitpunkt der Feststellung des Verlusts. Danach können die zugehörigen Dokumente chronologisch abgelegt werden.

Ein solcher Unterlagenbestand muss nicht perfekt sein. Auch Lücken sind Informationen. Wenn beispielsweise der genaue Zeitpunkt einer Transaktion unbekannt ist, sollte dies offen vermerkt werden. Es ist besser, eine Unsicherheit ausdrücklich zu dokumentieren, als später einen ungeprüften Zeitpunkt als Tatsache darzustellen.

Dasselbe gilt für die Identität eines angeblichen Anlageberaters. Wenn nur ein Name und eine Telefonnummer bekannt sind, sollte dies entsprechend angegeben werden. Eine möglicherweise gefälschte Firmenbezeichnung sollte nicht als sicherer Nachweis für die Existenz eines bestimmten Unternehmens behandelt werden.

Bei der rechtlichen Prüfung kann anschließend untersucht werden, welche dieser Angaben verifiziert werden können. Dazu können beispielsweise Plattformdaten, öffentlich zugängliche Unternehmensinformationen, Zahlungsdaten oder KYC-Informationen eines beteiligten Kryptodienstleisters relevant werden. Welche Informationen rechtlich zugänglich sind, hängt vom jeweiligen Fall ab.

Auch der Zusammenhang zwischen mehreren Geschädigten kann eine Rolle spielen, wenn sich konkrete Überschneidungen feststellen lassen. Identische Wallet-Adressen, Telefonnummern, E-Mail-Domains oder Plattformen können Hinweise auf einen gemeinsamen Zusammenhang liefern. Eine solche Übereinstimmung sollte jedoch ebenfalls nicht automatisch als Beweis für eine bestimmte Täterschaft interpretiert werden.

Besonders wichtig bleibt die Sicherung der eigentlichen Vermögensbewegung. Die Frage, welche Kryptowährung von welcher Wallet an welche Zieladresse übertragen wurde, bildet häufig den technischen Kern des Falls. Dazu sollten sämtliche bekannten Transaktionen erfasst werden, einschließlich späterer Folgebewegungen, soweit diese nachvollzogen werden können.

Bei einem komplexeren Fall kann eine tabellarische Übersicht sinnvoll sein. Für jede Transaktion können beispielsweise Datum, Uhrzeit, Asset, Netzwerk, Ausgangsadresse, Zieladresse, Betrag und Transaktions-Hash erfasst werden. Zusätzlich kann vermerkt werden, welche Nachricht oder Zahlungsaufforderung zu der jeweiligen Transaktion gehört.

Dadurch lässt sich eine Verbindung zwischen der Kommunikation und der Blockchain herstellen. Wenn ein angeblicher Berater eine bestimmte Adresse nennt und kurz darauf eine Übertragung dorthin erfolgt, kann dieser Zusammenhang eindeutig dokumentiert werden. Ebenso kann festgehalten werden, wenn eine Zahlung aufgrund einer bestimmten Zusicherung über eine spätere Auszahlung vorgenommen wurde.

Für die rechtliche Bewertung können außerdem die wirtschaftlichen Folgen dokumentiert werden. Dazu gehören nicht nur die übertragenen Kryptowährungen, sondern gegebenenfalls auch Gebühren, zusätzliche Zahlungen oder andere unmittelbar mit dem Vorgang verbundene Vermögensabflüsse. Die konkrete rechtliche Schadensberechnung sollte davon getrennt betrachtet werden.

Bei der Sicherung von Beweisen sollte außerdem vermieden werden, öffentlich sensible Daten zu veröffentlichen. Wallet-Adressen können je nach Situation weniger kritisch sein als Zugangsdaten, dennoch sollte ein vollständiger Datensatz nicht unkontrolliert in sozialen Netzwerken oder öffentlichen Foren verbreitet werden. Seed-Phrase, Private Key, Passwörter und Authentifizierungscodes dürfen keinesfalls öffentlich gemacht werden.

Auch die Kommunikation mit angeblichen Helfern sollte dokumentiert werden. Wenn jemand behauptet, eine gestohlene Kryptowährung bereits gefunden zu haben, sollte der Betroffene die Grundlage dieser Behauptung hinterfragen. Ein seriöser Ansprechpartner kann erklären, welche technischen Daten ausgewertet wurden und welche Grenzen die Analyse besitzt. Eine bloße Behauptung über eine „garantierte Rückholung“ ist dagegen kein Beweis für eine tatsächliche Zugriffsmöglichkeit.

Die Beweissicherung dient letztlich dazu, aus einem zunächst unübersichtlichen Krypto-Verlust einen nachvollziehbaren Sachverhalt zu machen. Je vollständiger der Ablauf dokumentiert ist, desto besser lässt sich unterscheiden, welche Kryptowährung tatsächlich übertragen wurde, welche Zahlungen an wen erfolgten, welche Aussagen gegenüber dem Betroffenen gemacht wurden und welche technischen Spuren vorhanden sind.

Besonders wertvoll ist deshalb nicht ein einzelnes Dokument, sondern die Verbindung mehrerer Beweismittel. Ein Kontoauszug kann eine Zahlung belegen. Eine Chatnachricht kann zeigen, warum diese Zahlung erfolgte. Ein Transaktions-Hash kann die anschließende Kryptobewegung dokumentieren. Eine Walletanalyse kann den weiteren Weg der Coins sichtbar machen. Zusammen können diese Informationen ein deutlich genaueres Bild ergeben als jedes einzelne Beweismittel für sich.

Wer eine Kryptowährung gestohlen vermutet, sollte deshalb möglichst früh eine vollständige und geordnete Dokumentation beginnen. Die wichtigsten technischen Daten sollten unverändert gesichert, Kommunikationsverläufe erhalten und Zahlungsunterlagen gesammelt werden. Gleichzeitig sollten Vermutungen klar von belegbaren Tatsachen getrennt werden.

Eine solche Vorbereitung ersetzt keine rechtliche Bewertung. Sie schafft aber die Grundlage dafür, dass eine rechtliche und technische Prüfung nicht auf lückenhaften Erinnerungen oder einzelnen Screenshots aufbauen muss. Gerade bei komplexen Krypto-Fällen kann die Qualität dieser Ausgangsdaten entscheidend dafür sein, ob sich der tatsächliche Ablauf, der Transaktionsweg und mögliche Anknüpfungspunkte für weitere Maßnahmen nachvollziehbar rekonstruieren lassen.

Kryptowährung gestohlen – wann ein Anwalt sinnvoll ist und was er konkret prüfen kann

Wenn eine Kryptowährung gestohlen wurde, stehen Betroffene häufig vor einer ungewöhnlichen Kombination aus technischem und rechtlichem Problem. Einerseits muss nachvollzogen werden, wie die Kryptowährung den eigenen Verfügungsbereich verlassen hat und welchen Weg sie anschließend genommen hat. Andererseits stellt sich die Frage, welche rechtlichen Möglichkeiten gegenüber den beteiligten Personen, Unternehmen oder Dienstleistern bestehen können. Gerade wenn der Schaden erheblich ist, mehrere Wallets betroffen sind oder der Vorgang mit einem Anlage- oder Trading-Betrug verbunden ist, kann eine anwaltliche Prüfung sinnvoll sein.

Ein Anwalt kann dabei nicht allein aufgrund einer Wallet-Adresse oder eines Transaktions-Hashes beurteilen, ob ein Anspruch besteht. Er benötigt zunächst ein möglichst vollständiges Bild des Sachverhalts. Dazu gehören insbesondere die Art der Kryptowährung, die verwendete Wallet, die beteiligten Kryptobörsen, die einzelnen Transaktionen und die Kommunikation mit den Personen, die den Betroffenen zu den Übertragungen veranlasst haben.

Der erste Schritt einer rechtlichen Prüfung besteht deshalb regelmäßig darin, den tatsächlichen Ablauf zu ordnen. Wann begann der Kontakt? Wer nahm Kontakt auf? Was wurde über die angebliche Geldanlage oder den Handel mit Kryptowährungen behauptet? Wann wurde erstmals Geld eingezahlt? Wann wurde Kryptowährung gekauft oder übertragen? Welche Wallet-Adresse wurde genannt? Wann wurde eine Auszahlung verlangt? Welche Begründung wurde für eine verweigerte Auszahlung gegeben? Und welche weiteren Zahlungen wurden anschließend gefordert?

Diese Fragen sind deshalb wichtig, weil sich aus einem scheinbar einfachen „Krypto-Diebstahl“ unterschiedliche rechtliche und tatsächliche Konstellationen ergeben können. Bei einem unbefugten Zugriff auf eine Wallet steht möglicherweise ein technischer Angriff im Mittelpunkt. Bei einem Fake-Broker kann dagegen eine Täuschung über eine angebliche Handelsplattform entscheidend sein. Wenn der Betroffene selbst Kryptowährung an eine vom Täter genannte Adresse übertragen hat, muss wiederum untersucht werden, unter welchen Umständen diese Entscheidung zustande kam.

Ein Anwalt kann zunächst prüfen, welche Einordnung des Geschehens anhand der vorhandenen Informationen plausibel ist. Dabei sollte nicht vorschnell eine bestimmte rechtliche Bewertung festgelegt werden. Entscheidend ist vielmehr, welche Tatsachen belegt sind und welche Schlussfolgerungen sich daraus ziehen lassen.

Bei einem direkten unbefugten Zugriff kann beispielsweise untersucht werden, ob Hinweise auf einen kompromittierten Zugang bestehen. Dazu können unbekannte Login-Aktivitäten, Änderungen der Sicherheitseinstellungen, eine kompromittierte E-Mail-Adresse, eine gestohlene Seed-Phrase oder ungewöhnliche Wallet-Transaktionen gehören. Die technische Frage, wie der Zugriff erfolgte, kann dabei von der rechtlichen Frage getrennt werden, welche Ansprüche daraus entstehen könnten.

Bei einer selbst verwalteten Wallet ist insbesondere zu prüfen, ob die Kryptowährung ohne Zustimmung des Berechtigten übertragen wurde. Der Transaktionsverlauf kann den Zeitpunkt und das Ziel der Übertragung zeigen. Für die rechtliche Bewertung kann darüber hinaus entscheidend sein, ob ein Dritter tatsächlich Zugriff auf den erforderlichen Schlüssel hatte und welche Umstände dazu geführt haben könnten.

Wenn die Seed-Phrase oder der Private Key kompromittiert wurde, kann die Situation technisch besonders schwierig sein. Die Blockchain zeigt in einem solchen Fall zwar die Transaktion, nicht aber automatisch, wie der Täter an den Schlüssel gelangte. Für die weitere Prüfung können deshalb zusätzliche Informationen über Geräte, Webseiten, Wallet-Verbindungen oder Kommunikationsvorgänge relevant sein.

Bei einem kompromittierten Kryptobörsenkonto kann ein Anwalt außerdem prüfen, welche Rolle die Plattform bei dem Vorgang gespielt hat. Dabei geht es nicht darum, automatisch eine Verantwortlichkeit der Kryptobörse anzunehmen. Vielmehr muss anhand der konkreten Umstände untersucht werden, welche Sicherheitsvorkehrungen bestanden, welche Veränderungen am Konto festgestellt wurden, wann die verdächtige Auszahlung erfolgte und welche Informationen der Dienstleister hierzu besitzt.

Auch die Kommunikation mit der Kryptobörse kann für die weitere Prüfung relevant sein. Wenn ein Betroffener den unbefugten Abfluss zeitnah gemeldet hat, sollten die entsprechenden Nachrichten und Antworten dokumentiert werden. Daraus kann sich ergeben, welche Informationen dem Dienstleister mitgeteilt wurden und wie dieser darauf reagiert hat.

Bei einem Fake-Broker oder einer angeblichen Investmentplattform liegt der Schwerpunkt häufig an anderer Stelle. Hier muss zunächst geprüft werden, ob überhaupt ein reales Anlagegeschäft stattgefunden hat. Eine Plattform kann beispielsweise einen hohen Kontostand anzeigen, obwohl tatsächlich keine entsprechenden Kryptowährungen verwahrt werden. In diesem Fall ist die Anzeige auf der Webseite nicht mit einem tatsächlichen Vermögensbestand gleichzusetzen.

Ein Anwalt kann daher die tatsächlichen Zahlungen und Transaktionen von den bloßen Darstellungen auf der Plattform trennen. Relevant sind insbesondere die Einzahlungen, die anschließend tatsächlich vorgenommenen Kryptotransfers und die Wallet-Adressen der Empfänger. Dadurch kann sich zeigen, welche Vermögensbewegungen tatsächlich stattgefunden haben.

Auch bei einem vermeintlichen Anlageberater kann eine rechtliche Prüfung sinnvoll sein. Hier ist häufig entscheidend, welche Aussagen der Berater gegenüber dem Betroffenen gemacht hat. Wurden bestimmte Renditen versprochen? Wurde ein angeblich persönliches Handelskonto eingerichtet? Wurde erklärt, die Kryptowährungen würden sicher verwahrt? Wurde eine jederzeit mögliche Auszahlung zugesichert? Wurden später zusätzliche Zahlungen verlangt?

Die einzelnen Aussagen sollten dabei nicht isoliert betrachtet werden. Entscheidend ist der gesamte Kommunikationsverlauf. Ein Täter kann beispielsweise zunächst eine scheinbar persönliche Beratung anbieten, anschließend kleine Gewinne darstellen und später eine größere Übertragung verlangen. Wenn bei der gewünschten Auszahlung plötzlich eine angebliche Steuer oder Sicherheitsleistung gefordert wird, kann die gesamte Abfolge für die rechtliche Bewertung relevant sein.

Ein Anwalt kann außerdem prüfen, welche Personen oder Unternehmen tatsächlich als mögliche Anspruchsgegner in Betracht kommen. Das kann kompliziert sein, wenn der Täter unter einer fremden Identität auftritt oder ein Firmenname verwendet wird, der tatsächlich nicht mit dem handelnden Menschen verbunden ist. Deshalb muss zwischen einer behaupteten Identität und einer nachweisbaren Identität unterschieden werden.

Hier können die vorhandenen technischen und finanziellen Daten wichtige Anknüpfungspunkte liefern. Eine Wallet-Adresse kann beispielsweise zu einer Kryptobörse führen. Ein Bankzahlungsweg kann auf ein bestimmtes Unternehmen hinweisen. Eine E-Mail-Adresse kann mit einer Domain verbunden sein. Eine Telefonnummer kann in mehreren Kommunikationskanälen auftauchen. Einzelne Informationen müssen dabei nicht ausreichend sein; ihre Kombination kann jedoch für die weitere Prüfung relevant werden.

Besonders wichtig kann eine Blockchainanalyse sein. Ein Anwalt führt eine solche Analyse nicht zwingend selbst durch, kann aber prüfen, ob eine technische Auswertung im konkreten Fall sinnvoll ist und welche Fragen sie beantworten soll. Ziel sollte nicht eine möglichst umfangreiche Darstellung sämtlicher Blockchainbewegungen sein, sondern eine nachvollziehbare Untersuchung der für den Fall relevanten Vermögensströme.

Dabei kann beispielsweise geprüft werden, von welcher Wallet die Kryptowährung abgeflossen ist, welche Adresse sie zuerst empfangen hat und ob anschließend weitere Transfers erfolgten. Wenn die Kryptowährung später einen bekannten Kryptodienstleister erreicht, kann dieser Berührungspunkt für die rechtliche Prüfung relevant sein.

Bei komplexeren Fällen kann eine Multi-Hop-Analyse erforderlich sein. Dabei werden mehrere Transaktionsstufen nach dem ursprünglichen Abfluss betrachtet. Entscheidend ist, die Ergebnisse sauber zu dokumentieren. Eine Analyse sollte erkennen lassen, welche Daten unmittelbar auf der Blockchain sichtbar sind und welche Zuordnungen auf einer weitergehenden technischen Bewertung beruhen.

Ein Anwalt kann auf dieser Grundlage prüfen, welche rechtlichen Schritte gegenüber einem identifizierbaren Beteiligten grundsätzlich in Betracht kommen. Dazu kann die Prüfung möglicher Schadensersatzansprüche gehören. Ob ein solcher Anspruch besteht, hängt jedoch von den konkreten Tatsachen ab. Insbesondere müssen die Beteiligung des jeweiligen Anspruchsgegners, die Pflichtverletzung oder Täuschung, der eingetretene Schaden und der erforderliche Zusammenhang zwischen dem Verhalten und dem Vermögensverlust geprüft werden.

Nicht jeder Beteiligte, der in einem Zahlungsweg auftaucht, ist deshalb automatisch für den gesamten Schaden verantwortlich. Eine Kryptobörse, ein Zahlungsdienstleister oder eine Bank kann beispielsweise lediglich eine bestimmte technische oder finanzielle Funktion innerhalb des Vorgangs gehabt haben. Welche rechtliche Bedeutung diese Rolle hat, muss jeweils gesondert untersucht werden.

Auch die Frage der Vermögenssicherung kann eine Rolle spielen, wenn konkrete Anhaltspunkte für identifizierbare Vermögenswerte oder Anspruchsgegner bestehen. Welche Maßnahmen hierfür in Betracht kommen, hängt stark vom Einzelfall ab. Dabei können unter anderem die Höhe des Schadens, die Identifizierbarkeit des Beteiligten, der aktuelle Verbleib der Vermögenswerte und die vorhandenen Beweismittel berücksichtigt werden.

Ein Anwalt kann außerdem prüfen, ob bereits vorhandene Informationen ausreichen oder ob zunächst weitere Daten beschafft werden müssen. Dabei kann es beispielsweise um Unterlagen eines Kryptodienstleisters, Zahlungsinformationen oder technische Angaben zu einer Transaktion gehen. Welche Informationen verfügbar sind und auf welchem rechtlichen Weg sie erlangt werden können, ist jeweils gesondert zu bewerten.

Bei internationalen Sachverhalten ist eine solche Prüfung besonders wichtig. Wenn eine Kryptobörse, ein Zahlungsdienstleister oder ein mutmaßlicher Empfänger im Ausland sitzt, können zusätzliche rechtliche und praktische Fragen entstehen. Der internationale Sitz eines Beteiligten bedeutet nicht automatisch, dass keine Prüfung möglich ist. Er kann jedoch beeinflussen, welche rechtlichen Möglichkeiten bestehen und welcher Aufwand mit ihrer Durchsetzung verbunden ist.

Auch die Frage der Zuständigkeit kann relevant werden. Bei grenzüberschreitenden Fällen müssen unter Umständen unterschiedliche Rechtsordnungen berücksichtigt werden. Deshalb sollte nicht allein anhand einer deutschen Internetseite oder einer deutschen Telefonnummer davon ausgegangen werden, dass ein Anbieter tatsächlich in Deutschland ansässig ist.

Bei einem größeren Schaden kann es sinnvoll sein, bereits vor dem ersten anwaltlichen Gespräch eine vollständige Unterlagenmappe zusammenzustellen. Dazu gehören Kontoauszüge, Überweisungsbelege, Wallet-Adressen, Transaktions-Hashes, Screenshots, Chatverläufe, E-Mails, Telefonnummern und Vertragsunterlagen. Zusätzlich sollte eine chronologische Darstellung erstellt werden.

Eine solche Vorbereitung kann die rechtliche Prüfung erheblich erleichtern. Der Anwalt muss dann nicht zunächst aus hunderten unsortierten Nachrichten den gesamten Ablauf rekonstruieren. Stattdessen kann er sich auf die entscheidenden Punkte konzentrieren und prüfen, welche Tatsachen bereits belegt und welche noch offen sind.

Die Dokumentation sollte auch die Höhe des Schadens nachvollziehbar machen. Bei mehreren Zahlungen empfiehlt sich eine Aufstellung nach Datum, Betrag, Währung, Empfänger und Zahlungsweg. Bei Kryptowährungen sollte zusätzlich der jeweilige Transaktions-Hash erfasst werden. Dadurch lässt sich die finanzielle Dokumentation mit der technischen Blockchain-Dokumentation verbinden.

Wenn ein Teil des Schadens durch klassische Bankzahlungen und ein anderer Teil durch Kryptowährungen entstanden ist, sollten beide Bereiche getrennt und anschließend miteinander verknüpft werden. Dadurch wird erkennbar, wie sich der gesamte Vermögensabfluss entwickelt hat.

Ein Anwalt kann außerdem prüfen, ob die Darstellung des angeblichen Anbieters mit den tatsächlichen Zahlungsbewegungen übereinstimmt. Wenn beispielsweise behauptet wurde, eine Zahlung sei auf einem persönlichen Anlagekonto gutgeschrieben worden, die Kryptowährung aber unmittelbar an eine externe Wallet übertragen wurde, kann diese Abweichung für die Sachverhaltsaufklärung relevant sein.

Gleiches gilt für angebliche Gewinne. Wenn eine Plattform einen hohen Gewinn ausweist, aber keine entsprechenden Transaktionen nachvollziehbar sind, kann dies ein Hinweis darauf sein, dass die Darstellung auf der Plattform nicht mit einem realen Vermögensbestand übereinstimmt. Die rechtliche Bedeutung eines solchen Umstands muss anschließend anhand des gesamten Sachverhalts bewertet werden.

Auch wiederholte Auszahlungsforderungen können rechtlich relevant sein. Wenn ein Betroffener bereits Kryptowährung übertragen hat und anschließend immer neue Gründe für eine weitere Zahlung genannt werden, sollte die gesamte Kommunikation dokumentiert werden. Die Begründungen können Aufschluss darüber geben, wie der Betroffene zu weiteren Zahlungen bewegt werden sollte.

Ein Anwalt kann hierbei insbesondere prüfen, ob die Kommunikation auf eine gezielte Täuschung hindeutet und welche Personen daran beteiligt waren. Auch hier gilt jedoch: Nicht jede ungewöhnliche Aussage ist automatisch ein rechtlicher Beweis. Entscheidend ist die Gesamtheit der Umstände.

Besondere Vorsicht ist bei sogenannten Recovery-Angeboten erforderlich. Nach einem Krypto-Diebstahl können sich Personen melden, die behaupten, aufgrund einer Blockchainanalyse bereits zu wissen, wo sich die gestohlenen Coins befinden. Häufig wird anschließend eine Vorauszahlung verlangt. Betroffene sollten solche Angebote nicht allein aufgrund detaillierter technischer Begriffe als seriös ansehen.

Ein Anwalt kann helfen, zwischen einer nachvollziehbaren technischen Analyse und einer bloßen Behauptung zu unterscheiden. Eine tatsächliche Transaktionsanalyse sollte auf konkreten Blockchain-Daten beruhen und ihre Schlussfolgerungen nachvollziehbar machen. Eine Aussage wie „Wir haben Ihre Kryptowährung gefunden“ reicht dafür nicht aus.

Ebenso wenig sollte ein angeblicher Helfer Zugang zu einer Wallet verlangen. Seed-Phrase, Private Key, Passwort und Authentifizierungscodes sind keine normalen Unterlagen, die für eine erste rechtliche Prüfung benötigt werden. Wer diese Daten verlangt, setzt den Betroffenen möglicherweise einem weiteren Vermögensrisiko aus.

Ein weiterer Vorteil anwaltlicher Unterstützung kann darin liegen, den Sachverhalt aus einer unabhängigen Perspektive zu betrachten. Nach einem erheblichen finanziellen Verlust ist es verständlich, dass Betroffene einzelne Aussagen oder Hoffnungen besonders stark gewichten. Eine sachliche Prüfung kann dagegen zwischen dem tatsächlich nachweisbaren Ablauf und möglichen, aber noch nicht belegten Annahmen unterscheiden.

Gerade bei komplexen Krypto-Fällen ist diese Trennung wichtig. Eine Blockchain-Adresse kann beispielsweise eindeutig feststehen, während die Identität des Inhabers unbekannt ist. Ein Name kann bekannt sein, während unklar ist, ob diese Person tatsächlich hinter der Wallet steht. Eine Kryptobörse kann als Zieladresse erkennbar sein, ohne dass daraus automatisch eine Verantwortlichkeit der Börse folgt.

Die rechtliche Prüfung sollte deshalb immer auf mehreren Ebenen erfolgen. Zunächst geht es um den tatsächlichen Vermögensabfluss. Danach um den technischen Transaktionsweg. Anschließend um die beteiligten Personen und Unternehmen. Schließlich muss geprüft werden, welche rechtlichen Ansprüche und Maßnahmen daraus tatsächlich entstehen können.

Bei einem direkten Wallet-Diebstahl kann die technische Spur besonders wichtig sein. Bei einem Anlagebetrug können dagegen Kommunikation, Zahlungsbelege und die tatsächlichen Empfänger eine größere Rolle spielen. Bei einem kompromittierten Kryptobörsenkonto können zusätzlich Sicherheits- und Kontodaten relevant sein. Bei einem Recovery Scam steht wiederum die Abgrenzung zwischen seriöser Hilfe und einer weiteren Täuschung im Vordergrund.

Ein Anwalt kann außerdem dabei helfen, die vorhandenen Informationen nach ihrer Bedeutung zu gewichten. Nicht jedes Dokument muss gleich wichtig sein. Ein Transaktions-Hash kann für die technische Zuordnung entscheidender sein als ein allgemeiner Werbetext. Eine konkrete Zahlungsaufforderung kann wichtiger sein als eine allgemeine Aussage über die Plattform. Ein vollständiger Chatverlauf kann mehr Aussagekraft besitzen als einzelne aus dem Zusammenhang gelöste Screenshots.

Bei der Entscheidung für anwaltliche Unterstützung sollte daher nicht allein die Frage gestellt werden, ob bereits „genug Beweise“ vorhanden sind. Gerade die Aufgabe, vorhandene Informationen richtig einzuordnen und mögliche Lücken zu erkennen, kann Teil der rechtlichen Prüfung sein. Auch ein unvollständiger Sachverhalt kann geprüft werden, solange die bekannten Tatsachen klar dargestellt werden.

Sinnvoll ist eine anwaltliche Prüfung insbesondere dann, wenn ein erheblicher finanzieller Schaden entstanden ist, mehrere Transaktionen betroffen sind, der Verdacht auf einen organisierten Betrug besteht, Kryptowährungen über mehrere Wallets bewegt wurden oder konkrete Hinweise auf identifizierbare Beteiligte vorliegen. Auch wenn ein Kryptodienstleister oder eine Handelsplattform beteiligt ist und unklar bleibt, welche Rolle dieser tatsächlich gespielt hat, kann eine fachkundige Prüfung sinnvoll sein.

Bei kleineren Schäden muss dagegen im Einzelfall abgewogen werden, welcher Aufwand wirtschaftlich vertretbar ist. Eine umfangreiche Blockchainanalyse oder internationale rechtliche Prüfung kann einen erheblichen Aufwand verursachen. Deshalb sollte zunächst geklärt werden, welche konkreten Informationen vorhanden sind und welches Ziel mit einer weiteren Prüfung erreicht werden soll.

Ein seriöser rechtlicher Ansprechpartner sollte dabei keine sichere Rückgewinnung versprechen. Die Aussage, dass gestohlene Kryptowährungen in jedem Fall zurückgeholt werden können, wäre nicht mit der technischen und rechtlichen Realität vereinbar. Ob eine Rückgewinnung möglich ist, hängt insbesondere vom Transaktionsweg, dem aktuellen Verbleib der Vermögenswerte, der Identifizierbarkeit möglicher Beteiligter und den rechtlichen Möglichkeiten im konkreten Fall ab.

Ebenso sollte eine anwaltliche Beratung nicht allein darin bestehen, allgemeine Informationen über Kryptowährungen zu vermitteln. Entscheidend ist die konkrete Prüfung des individuellen Sachverhalts. Dazu gehören die tatsächlichen Vermögensbewegungen, die Kommunikation, die technischen Daten und die rechtliche Stellung der beteiligten Personen oder Unternehmen.

Wenn ein Anwalt beauftragt wird, kann es daher sinnvoll sein, bereits beim ersten Gespräch eine klare Zusammenfassung vorzulegen. Darin sollten der Zeitraum des Geschehens, die Gesamtschadenshöhe, die beteiligten Plattformen, die wichtigsten Wallet-Adressen und die wesentlichen Ereignisse aufgeführt sein. Die ausführlichen Belege können anschließend zugeordnet werden.

Besonders hilfreich ist eine Darstellung, die zwischen sicher bekannten Tatsachen und Vermutungen unterscheidet. Ein Beispiel wäre: „Am 12. August erfolgte eine Übertragung von 1,2 BTC an Wallet X.“ Davon getrennt sollte stehen: „Es besteht der Verdacht, dass Wallet X von dem angeblichen Berater kontrolliert wird.“ Diese Unterscheidung erleichtert eine objektive Prüfung.

Auch die eigene Rolle beim Zustandekommen der Transaktion sollte offen dargestellt werden. Wenn der Betroffene selbst auf Anweisung eines angeblichen Beraters eine Übertragung vorgenommen hat, sollte dies nicht verschwiegen werden. Gerade die Umstände, unter denen diese Entscheidung getroffen wurde, können für die rechtliche Bewertung entscheidend sein.

Dasselbe gilt für die Herausgabe von Zugangsdaten. Wenn eine Seed-Phrase oder ein Passwort möglicherweise an einen Dritten übermittelt wurde, sollte dies mitgeteilt werden. Eine offene Darstellung ermöglicht eine realistische technische und rechtliche Einschätzung. Es geht nicht darum, dem Betroffenen Vorwürfe zu machen, sondern den tatsächlichen Ablauf möglichst genau zu erfassen.

Bei einem größeren Schaden kann außerdem geprüft werden, ob neben dem unmittelbaren Empfänger weitere Beteiligte relevant sein könnten. Das kann beispielsweise der Fall sein, wenn mehrere Unternehmen, Vermittler oder technische Dienstleister innerhalb des Zahlungswegs auftauchen. Dabei darf allerdings nicht aus der bloßen Beteiligung an einem technischen Vorgang auf eine rechtliche Verantwortlichkeit geschlossen werden.

Auch mögliche Ansprüche gegen unbekannte Beteiligte können zunächst Gegenstand einer Prüfung sein. Entscheidend ist dann, ob genügend Anhaltspunkte vorhanden sind, um eine weitere Identifizierung zu ermöglichen. Blockchain-Daten können hierfür eine Ausgangsbasis bilden, wenn sie mit weiteren Informationen verbunden werden können.

Die technische Untersuchung und die rechtliche Prüfung sollten deshalb idealerweise aufeinander abgestimmt sein. Eine Blockchainanalyse sollte nicht losgelöst von der Frage erfolgen, welche rechtlichen Informationen tatsächlich benötigt werden. Umgekehrt kann eine rechtliche Prüfung ohne Kenntnis des relevanten Transaktionswegs wichtige technische Zusammenhänge übersehen.

Gerade bei Kryptowährungen ist diese Verbindung besonders wichtig, weil die Vermögensbewegungen digital und teilweise grenzüberschreitend erfolgen. Die Blockchain kann eine dauerhafte technische Spur liefern, während Identitäts- und Kontodaten möglicherweise bei zentralen Dienstleistern liegen. Erst das Zusammenführen dieser Ebenen kann ein umfassenderes Bild ergeben.

Wer eine Kryptowährung gestohlen hat und einen Anwalt einschalten möchte, sollte daher möglichst früh die vorhandenen Unterlagen sichern und ordnen. Wichtig sind vor allem Wallet-Adressen, Transaktions-Hashes, Kontoauszüge, Zahlungsbelege, Plattformdaten und Kommunikationsverläufe. Seed-Phrase, Private Key, Passwörter und Authentifizierungscodes gehören dagegen nicht in die Unterlagen, die an unbekannte Dritte versendet werden.

Die anwaltliche Prüfung kann anschließend klären, welche technischen Fragen noch offen sind, welche Personen oder Unternehmen näher untersucht werden sollten und welche rechtlichen Möglichkeiten grundsätzlich bestehen. Dabei sollte immer zwischen einer realistischen Chance und einer bloßen Hoffnung unterschieden werden.

Eine gestohlene Kryptowährung kann technisch nachvollziehbare Spuren hinterlassen, ohne dass daraus automatisch ein identifizierbarer Täter oder ein durchsetzbarer Anspruch folgt. Umgekehrt kann eine zunächst komplizierte Transaktionsstruktur wichtige Anknüpfungspunkte enthalten, wenn sie sorgfältig untersucht und mit weiteren Informationen verbunden wird.

Für Betroffene besteht der wichtigste Vorteil einer spezialisierten rechtlichen Prüfung daher nicht in einem pauschalen Versprechen auf Rückzahlung. Entscheidend ist vielmehr eine strukturierte Bewertung des konkreten Falls: Wie ist die Kryptowährung abhandengekommen? Welche Transaktionen sind nachweisbar? Welche Wallets sind beteiligt? Gibt es Berührungspunkte mit Kryptobörsen oder anderen Dienstleistern? Welche Personen haben die Übertragungen veranlasst oder beeinflusst? Welche Beweismittel liegen vor? Und welche rechtlichen Schritte können unter diesen Umständen tatsächlich sinnvoll sein?

Je genauer diese Fragen beantwortet werden können, desto belastbarer lässt sich die weitere Vorgehensweise bestimmen. Eine seriöse Einschätzung berücksichtigt dabei sowohl die technischen Grenzen einer Blockchainanalyse als auch die rechtlichen Voraussetzungen möglicher Ansprüche. Sie vermeidet Garantien und konzentriert sich darauf, die vorhandenen Informationen sinnvoll auszuwerten und die tatsächlich bestehenden Handlungsmöglichkeiten im konkreten Einzelfall zu prüfen.

Kanzlei Wilms – Experten bei Online-Anlagebetrug

Die Kanzlei Wilms unterstützt seit Jahren Mandanten, die Opfer von Online-Anlagebetrug, Kryptobetrug, Fake Brokern, Investmentbetrug, Bitcoin-Betrug oder Recovery Scams geworden sind.

Unsere Mandanten kommen aus ganz Deutschland sowie aus dem Ausland. Viele Verfahren weisen internationale Bezüge auf und betreffen grenzüberschreitende Zahlungsströme, Kryptowährungen oder komplexe Unternehmensstrukturen.

Wir analysieren unter anderem:

• Banküberweisungen
• SEPA- und SWIFT-Zahlungen
• Kreditkartenzahlungen
• Zahlungsdienstleister
• Kryptobörsen und Wallet-Transaktionen
• internationale Zahlungsstrukturen

Mehr Informationen finden Sie in unserem Blog.