Kryptowährungen aus Wallet gestohlen – wie kann ein Diebstahl von Krypto-Assets ablaufen?

Wenn Kryptowährungen aus einer eigenen Wallet verschwunden sind, stellt sich für Betroffene häufig zunächst nur eine einzige Frage: Wie konnte das passieren? Auf der Wallet war das Guthaben vorhanden, die Zugangsdaten wurden vermeintlich niemandem mitgeteilt und plötzlich zeigt die Blockchain eine oder mehrere ausgehende Transaktionen, die der Betroffene nach eigener Erinnerung nicht selbst veranlasst hat. In einer solchen Situation sollte nicht vorschnell davon ausgegangen werden, dass lediglich ein technischer Fehler vorliegt. Ebenso wenig lässt sich allein aus einer sichtbaren Transaktion bereits ableiten, wer hinter dem Vorgang steht. Entscheidend ist eine möglichst genaue Rekonstruktion des Geschehens.

Der Begriff „Kryptowährungen aus Wallet gestohlen“ kann unterschiedliche Sachverhalte beschreiben. Denkbar ist beispielsweise, dass ein Dritter tatsächlich Zugriff auf einen Private Key oder eine Seed-Phrase erlangt hat. Ebenso kann ein Betroffener durch eine manipulierte Internetseite, eine gefälschte Wallet-Anwendung oder einen vermeintlichen Support-Mitarbeiter dazu gebracht worden sein, eine Transaktion selbst zu signieren. In anderen Fällen wird eine Wallet über ein kompromittiertes Endgerät oder eine schädliche Browser-Erweiterung angegriffen. Auch bei einem zunächst harmlos wirkenden Kontakt mit einem angeblichen Broker, einer Kryptoplattform oder einem technischen Support kann der entscheidende Zugriff erfolgt sein.

Für die rechtliche Bewertung ist diese Unterscheidung wichtig. Ein Wallet-Diebstahl ist nicht in jedem Fall technisch gleich abgelaufen. Wer beispielsweise eine Seed-Phrase durch eine Phishing-Seite preisgibt, erlebt möglicherweise anschließend eine Übertragung des gesamten Wallet-Guthabens. Wer dagegen auf einer gefälschten Handelsplattform eine Transaktion bestätigt, kann ebenfalls Kryptowährungen verlieren, obwohl der technische Ablauf anders aussieht. Wiederum anders ist die Situation, wenn Coins auf einer zentralen Kryptobörse verwahrt wurden und dort ein unberechtigter Zugriff auf das Benutzerkonto stattgefunden hat. Deshalb sollte die Bezeichnung „gehackt“ nicht das Ergebnis der Untersuchung vorwegnehmen.

Eine Wallet ist dabei nicht mit einem klassischen Bankkonto gleichzusetzen. Je nach Wallet-Modell werden die für die Verfügung über Kryptowerte erforderlichen kryptografischen Schlüssel selbst verwaltet oder die Verwahrung wird von einem Dienstleister übernommen. Bei einer selbst verwalteten Wallet kommt dem Private Key beziehungsweise der Seed-Phrase eine besondere Bedeutung zu. Wer über die erforderlichen kryptografischen Informationen verfügt, kann unter den jeweiligen technischen Voraussetzungen Transaktionen signieren. Der Schutz dieser Informationen ist deshalb von zentraler Bedeutung.

Gerade die Seed-Phrase ist für viele Betroffene ein kritischer Punkt. Sie kann beispielsweise bei der erstmaligen Einrichtung einer Wallet angezeigt oder notiert worden sein. Wird diese Wiederherstellungsphrase fotografiert, in einer unverschlüsselten Datei gespeichert, in einer Cloud abgelegt oder auf einer manipulierten Webseite eingegeben, kann ein Sicherheitsrisiko entstehen. Auch eine Weitergabe an einen vermeintlichen Mitarbeiter einer Kryptobörse oder eines Wallet-Anbieters kann dazu führen, dass ein Dritter Zugriff auf die Wallet erhält. Ein seriöser Ansprechpartner sollte nicht ohne Weiteres nach der vollständigen Seed-Phrase verlangen. Wer eine solche Phrase preisgegeben hat, sollte deshalb nicht einfach davon ausgehen, dass eine spätere Änderung eines Passworts das Problem vollständig beseitigt.

Ähnliches gilt für den Private Key. Er ist eine kryptografische Information, die zur Kontrolle über bestimmte Krypto-Assets beziehungsweise Adressen beitragen kann. Gelangt ein Unbefugter an einen entsprechenden Schlüssel, kann dies erhebliche Folgen haben. Die konkrete technische Bedeutung hängt allerdings von der jeweiligen Blockchain, Wallet-Struktur und Verwahrungsform ab. Deshalb sollte die technische Analyse nicht allein anhand des Begriffs „Private Key“ erfolgen, sondern anhand der tatsächlich verwendeten Wallet und der betroffenen Transaktionen.

Ein besonders häufig unterschätztes Risiko entsteht durch Phishing. Dabei wird der Betroffene beispielsweise auf eine Internetseite geführt, die optisch einer bekannten Kryptobörse, Wallet-Anwendung oder einem technischen Supportportal ähnelt. Die Seite kann den Eindruck erwecken, dass eine Sicherheitsprüfung, eine Wallet-Verbindung oder eine Kontobestätigung erforderlich sei. Gibt der Nutzer dort sensible Informationen ein oder verbindet er seine Wallet und bestätigt anschließend eine Transaktion, kann der Angreifer unter Umständen Zugriff auf Vermögenswerte erlangen. Für den Betroffenen sieht der Vorgang später möglicherweise wie ein gewöhnlicher Blockchain-Transfer aus, obwohl die eigentliche Täuschung bereits vorher stattgefunden hat.

Bei bestimmten Angriffen geht es nicht darum, die Seed-Phrase unmittelbar abzufragen. Stattdessen wird der Nutzer dazu gebracht, eine bestimmte Transaktion zu signieren. Dies kann beispielsweise durch eine gefälschte Anwendung, eine manipulierte Webseite oder eine irreführende Beschreibung der Transaktion geschehen. Der Nutzer glaubt möglicherweise, lediglich eine Wallet zu verbinden, einen Token zu überprüfen oder eine Sicherheitsmaßnahme zu bestätigen. Tatsächlich kann die signierte Transaktion jedoch eine Vermögensübertragung oder eine weitreichende Berechtigung bewirken. Die technische Prüfung muss deshalb berücksichtigen, was genau signiert wurde und welche Folgen die jeweilige Transaktion hatte.

Auch Schadsoftware kann eine Rolle spielen. Wird ein Computer oder Smartphone kompromittiert, können Angreifer unter Umständen Zugangsdaten abfangen, Browser-Sitzungen manipulieren oder Informationen aus dem Gerät auslesen. Bei einer selbst verwalteten Wallet kann ein solcher Angriff besonders problematisch sein, wenn sich sensible Wallet-Informationen auf dem betroffenen Gerät befanden. Gleiches gilt für Browser-Erweiterungen, die Zugriff auf Wallet-Funktionen erhalten oder mit bestimmten Webseiten interagieren.

Ein weiterer Bereich sind gefälschte Wallet-Anwendungen. Nutzer suchen beispielsweise nach einer bekannten Wallet und installieren eine Anwendung, die nur ähnlich aussieht. Wird anschließend eine Seed-Phrase eingegeben, kann diese unmittelbar an einen Angreifer übertragen werden. Für die spätere Aufklärung sind deshalb nicht nur die Blockchain-Transaktionen wichtig, sondern auch die Frage, welche Anwendung verwendet wurde, von welcher Internetseite sie stammte, wann sie installiert wurde und welche Vorgänge unmittelbar danach stattfanden.

Besondere Bedeutung können außerdem Fernwartungsprogramme haben. Wird ein Betroffener von einem angeblichen Supportmitarbeiter dazu gebracht, eine Fernwartungssoftware zu installieren, kann ein Dritter möglicherweise den Bildschirm sehen oder den Rechner bedienen. Bei einem Krypto-Vorfall ist deshalb zu prüfen, ob während einer solchen Sitzung Wallet-Anwendungen geöffnet, Zugangsdaten eingegeben oder Transaktionen durchgeführt wurden. Auch wenn der Betroffene die konkrete Transaktion selbst bestätigt hat, kann die vorherige Täuschung für die Gesamtbewertung des Vorgangs relevant sein.

Nicht jeder Verlust von Kryptowährungen ist allerdings auf einen klassischen Angriff zurückzuführen. Bei einem Betrug mit einer vermeintlichen Investmentplattform kann beispielsweise zunächst eine Zahlung an eine Wallet erfolgen, die dem Betroffenen als persönliches Anlagekonto dargestellt wird. Auf dem Bildschirm wird anschließend möglicherweise ein Guthaben angezeigt, das tatsächlich gar nicht vorhanden ist. Wenn später eine Auszahlung verlangt wird, kann der angebliche Anbieter weitere Zahlungen für Steuern, Gebühren, Liquiditätsnachweise oder eine Wallet-Freischaltung verlangen. In einem solchen Fall können die betroffenen Kryptowährungen bereits durch eine Täuschung an eine fremde Adresse transferiert worden sein. Die technische Blockchain-Spur ist dann nur ein Teil des Gesamtgeschehens.

Deshalb sollte bei einem Fall, in dem Kryptowährungen aus Wallet gestohlen wurden, zunächst festgestellt werden, welche Wallet tatsächlich betroffen ist. Dazu gehören insbesondere die genaue Wallet-Adresse, das verwendete Netzwerk und die konkrete Transaktion. Bei komplexeren Sachverhalten können mehrere Adressen beteiligt sein. Ein Betroffener sollte deshalb nicht nur nach dem aktuellen Kontostand sehen, sondern die vollständige Transaktionshistorie des relevanten Zeitraums sichern.

Der Transaktions-Hash ist dabei ein besonders wichtiges technisches Identifikationsmerkmal. Er ermöglicht es, eine bestimmte Blockchain-Transaktion eindeutig zuzuordnen und den Transfer anhand der jeweiligen Blockchain-Daten nachzuvollziehen. In einem späteren Prüfungsverfahren kann dadurch festgestellt werden, wann eine Transaktion stattgefunden hat, von welcher Adresse sie ausging und an welche Zieladresse die jeweiligen Werte übertragen wurden. Je nach Blockchain können darüber hinaus weitere Informationen über die Transaktion verfügbar sein.

Auch die Ziel-Wallet sollte vollständig dokumentiert werden. Es reicht nicht aus, lediglich festzuhalten, dass „die Kryptowährungen an eine unbekannte Adresse“ gegangen sind. Die konkrete Adresse sollte vollständig und unverändert gespeichert werden. Bei längeren Adressen ist sorgfältig darauf zu achten, dass keine Zeichen fehlen oder vertauscht werden. Zusätzlich sollten der Transaktions-Hash, der Zeitpunkt, die betroffene Kryptowährung beziehungsweise der Token und die Menge dokumentiert werden.

Bei einem umfangreicheren Vorfall können mehrere Zieladressen auftreten. Ein Angreifer kann Vermögenswerte unmittelbar nach dem ersten Transfer auf weitere Wallets verteilen. Es können auch mehrere Transaktionen innerhalb kurzer Zeit stattfinden. Dadurch entsteht eine Transaktionskette, die für einen Laien schwer zu überblicken ist. Eine einzelne Zieladresse zeigt dann möglicherweise nur den ersten Schritt der Bewegung. Für eine sachgerechte Analyse kann es erforderlich sein, weitere Folgeadressen und Transaktionen zu untersuchen.

Dabei darf allerdings nicht der Eindruck entstehen, jede Blockchain-Transaktion führe automatisch zur Identifizierung einer Person. Eine Wallet-Adresse ist zunächst eine technische Adresse und nicht ohne Weiteres ein Name, eine Anschrift oder eine sonstige unmittelbar erkennbare Identität. Erst wenn weitere Informationen hinzukommen, kann sich ein Ansatz zur Zuordnung ergeben. Das kann beispielsweise der Fall sein, wenn Vermögenswerte an eine zentral betriebene Kryptobörse übertragen werden und dort unter bestimmten Voraussetzungen Informationen zum Kontoinhaber vorliegen.

Gerade deshalb ist die Frage, wohin gestohlene Kryptowährungen anschließend transferiert wurden, von praktischer Bedeutung. Eine Transaktion von einer unbekannten Wallet zu einer weiteren unbekannten Wallet führt nicht automatisch zu einem identifizierbaren Empfänger. Wird dagegen eine Adresse eines bekannten Kryptodienstleisters erreicht, kann die weitere rechtliche und technische Prüfung anders aussehen. Welche Informationen tatsächlich verfügbar sind, hängt jedoch vom konkreten Dienstleister, dem jeweiligen Rechtsrahmen und den Umständen des Einzelfalls ab.

Auch die zeitliche Komponente sollte nicht unterschätzt werden. Wer erst Wochen oder Monate später versucht, den Ablauf zu rekonstruieren, muss möglicherweise zahlreiche einzelne Transaktionen zusammensuchen. Gleichzeitig können sich die Vermögenswerte in der Zwischenzeit über mehrere Adressen oder unterschiedliche Dienste bewegt haben. Eine möglichst frühe Sicherung der Ausgangsdaten erleichtert deshalb die spätere Rekonstruktion. Es ist insbesondere sinnvoll, den ursprünglichen Transaktionszustand zu dokumentieren, bevor Anwendungen, Geräte oder Konten verändert werden.

Das bedeutet nicht, dass Betroffene in einer Paniksituation sämtliche Geräte selbst untersuchen sollten. Bei einem möglichen Sicherheitsvorfall kann gerade eine unüberlegte Veränderung der Umgebung wichtige Informationen beseitigen. Wenn beispielsweise der Verdacht besteht, dass ein Computer mit Schadsoftware infiziert wurde, sollte nicht ohne Überlegung eine Vielzahl von Programmen installiert, Dateien gelöscht oder das System vollständig zurückgesetzt werden. Je nach Situation kann es sinnvoll sein, zunächst die relevanten Daten zu sichern und anschließend fachkundig zu prüfen, welche Schritte erforderlich sind.

Eine weitere typische Ursache für Krypto-Verluste sind gefälschte Supportkontakte. Ein Betroffener stellt beispielsweise fest, dass eine Transaktion nicht funktioniert, und sucht über soziale Netzwerke nach Hilfe. Daraufhin meldet sich eine Person, die sich als Mitarbeiter einer Kryptobörse oder Wallet-Firma ausgibt. Sie verlangt eine Fernwartung, einen Sicherheitscode oder die Seed-Phrase. Unter dem Vorwand, das Guthaben sichern zu wollen, werden anschließend weitere Aktionen durchgeführt. Wenn danach die Kryptowährungen aus der Wallet verschwunden sind, kann der gesamte Kommunikationsverlauf entscheidend sein.

Deshalb sollten Namen, Telefonnummern, E-Mail-Adressen, Nutzernamen, Profile, Webseiten und Chatverläufe gesichert werden. Auch wenn einzelne Nachrichten im Nachhinein unwichtig erscheinen, können sie bei der Rekonstruktion des Ablaufs eine Rolle spielen. Besonders relevant sind Nachrichten, in denen ein Dritter konkrete Anweisungen zur Wallet, zu einer Transaktion oder zur Installation einer Software gegeben hat.

Bei einem möglichen Diebstahl sollte außerdem geprüft werden, ob neben der Wallet weitere Konten gefährdet sind. Wurde dieselbe E-Mail-Adresse für eine Kryptobörse verwendet? Wurde ein Passwort mehrfach genutzt? War eine Börsen-App auf demselben Smartphone installiert? Wurde die Seed-Phrase möglicherweise auf einem Gerät gespeichert, auf das andere Personen Zugriff hatten? Solche Fragen helfen dabei, die Ursache des Vorfalls einzugrenzen.

Gleichzeitig sollten Betroffene vermeiden, nach dem Verlust unüberlegt weitere Kryptowährungen an die gleiche Adresse oder an einen vermeintlichen Helfer zu übertragen. Besonders problematisch sind Situationen, in denen eine Person behauptet, die gestohlenen Coins gegen Zahlung einer „Freischaltungsgebühr“ oder „Blockchain-Gebühr“ zurückholen zu können. Nach einem bereits eingetretenen Schaden kann eine solche Forderung eine weitere Täuschung darstellen. Ob tatsächlich ein legitimer technischer oder rechtlicher Dienst dahintersteht, sollte sorgfältig geprüft werden.

Die technische Nachverfolgung einer Blockchain-Transaktion ist außerdem etwas anderes als die Rückholung eines Vermögenswerts. Eine Transaktion kann sichtbar und nachvollziehbar sein, ohne dass die betreffende Kryptowährung dadurch automatisch zurückübertragen werden kann. Die Blockchain dokumentiert den Transfer; sie ersetzt jedoch keine rechtliche oder tatsächliche Zugriffsmöglichkeit auf die Zieladresse. Für Betroffene ist diese Unterscheidung besonders wichtig, weil unseriöse Anbieter teilweise mit der bloßen Auffindbarkeit einer Wallet bereits einen sicheren Rückgewinnungserfolg suggerieren.

Bei einem Wallet-Diebstahl sollten deshalb drei Fragen voneinander getrennt werden: Was ist technisch passiert? Wohin sind die Kryptowährungen geflossen? Und welche rechtlichen oder tatsächlichen Möglichkeiten bestehen aufgrund dieser Erkenntnisse? Erst wenn diese Ebenen sauber voneinander getrennt werden, lässt sich der Fall belastbar beurteilen.

Die erste Frage betrifft den eigentlichen Zugriff. Hier muss geklärt werden, ob ein Private Key oder eine Seed-Phrase kompromittiert wurde, ob eine Transaktion durch Täuschung ausgelöst wurde, ob ein Gerät oder eine Software betroffen war oder ob möglicherweise ein Zugang zu einem zentral verwahrten Konto missbraucht wurde. Die zweite Frage betrifft den Geldfluss beziehungsweise Krypto-Transfer. Hier stehen Wallet-Adressen, Transaktions-Hashes, Zeitpunkte und Folgebewegungen im Mittelpunkt. Die dritte Frage betrifft die rechtliche Bewertung und die Frage, welche Personen oder Unternehmen überhaupt als mögliche Anspruchsgegner in Betracht kommen.

Gerade bei größeren Schäden sollte diese Trennung ernst genommen werden. Eine rein technische Betrachtung kann wichtige rechtliche Aspekte übersehen. Umgekehrt kann eine ausschließlich rechtliche Betrachtung ohne genaue Rekonstruktion der Blockchain-Transaktionen daran scheitern, dass der tatsächliche Verbleib der Vermögenswerte nicht nachvollzogen wurde.

Eine professionelle Blockchainanalyse kann dabei helfen, Transaktionen systematisch zu ordnen und mögliche Zusammenhänge sichtbar zu machen. Dabei können unter anderem Ausgangs- und Zieladressen, zeitliche Abfolgen, Folgebewegungen und gegebenenfalls Berührungspunkte mit bekannten Kryptodienstleistern untersucht werden. Die Analyse kann Hinweise liefern, sie ersetzt aber nicht automatisch die Identifizierung eines Täters oder die Durchsetzung eines Anspruchs. Wie belastbar ein bestimmter Analyseansatz ist, hängt vom konkreten Netzwerk, den verwendeten Diensten und der verfügbaren Datenlage ab. Auch die BaFin weist im Zusammenhang mit Transfers zu selbst gehosteten Adressen auf die mögliche Bedeutung von Blockchain-Analyse-Techniken und der Identifizierung des Inhabers einer Adresse hin.

Für Betroffene bedeutet dies vor allem: Wenn Kryptowährungen aus einer Wallet gestohlen wurden, sollte der Vorgang nicht auf die Aussage „meine Wallet wurde gehackt“ reduziert werden. Entscheidend ist die konkrete technische und tatsächliche Rekonstruktion. Welche Adresse war betroffen? Welche Transaktion hat den Verlust ausgelöst? Welche Zieladresse wurde verwendet? Gab es weitere Transfers? Wurde eine Kryptobörse oder ein anderer Dienstleister erreicht? Gab es vorher einen Phishingkontakt, einen vermeintlichen Support, eine Investmentplattform oder eine Fernwartung? Und welche Unterlagen belegen den Ablauf?

Je genauer diese Fragen beantwortet werden können, desto besser lässt sich der Fall weiter bearbeiten. Das gilt sowohl für die technische Untersuchung als auch für die spätere rechtliche Bewertung. Wer bereits festgestellt hat, dass sein Wallet-Guthaben ohne eigene Absicht übertragen wurde, sollte deshalb insbesondere die Wallet-Adresse, sämtliche relevanten Transaktions-Hashes und die Kommunikation rund um den Vorfall sichern. Diese Informationen bilden die Grundlage dafür, den weiteren Verlauf der Kryptowährungen nachvollziehbar zu untersuchen und anschließend zu prüfen, welche rechtlichen Schritte im konkreten Einzelfall überhaupt sinnvoll erscheinen.

Kryptowährungen aus Wallet gestohlen – welche Anzeichen sprechen für einen unbefugten Zugriff?

Wenn Kryptowährungen aus einer Wallet verschwunden sind, ist für Betroffene zunächst oft nicht erkennbar, auf welchem Weg der Verlust entstanden ist. Die Blockchain zeigt eine Transaktion, das Guthaben ist nicht mehr vorhanden und die Zieladresse ist unbekannt. Daraus ergibt sich zwar ein konkreter Anhaltspunkt, aber noch keine vollständige Erklärung. Ein unbefugter Zugriff kann auf unterschiedliche Weise erfolgen. Ebenso kann eine Transaktion durch eine Täuschung, eine kompromittierte Anwendung oder eine zuvor erteilte Berechtigung ausgelöst worden sein. Deshalb sollte die Frage „Wurde meine Wallet gehackt?“ nicht vorschnell beantwortet werden.

Ein besonders deutliches Warnsignal ist eine ausgehende Transaktion, die der Wallet-Inhaber nach eigener Kenntnis nicht selbst vorgenommen hat. Befand sich beispielsweise Bitcoin, Ether oder ein anderer Token in einer Wallet und erscheint plötzlich ein Transfer an eine unbekannte Adresse, ist zunächst zu klären, ob der Betroffene diese Transaktion tatsächlich selbst ausgelöst oder bestätigt hat. Bei einer selbst verwalteten Wallet kann eine solche Feststellung auf eine Kompromittierung der für die Verfügung erforderlichen Zugangsinformationen hindeuten. Sie kann aber auch darauf zurückzuführen sein, dass der Nutzer zuvor eine Transaktion oder eine Berechtigung bestätigt hat, deren tatsächliche Wirkung er nicht erkannt hat.

Die Blockchain selbst beantwortet dabei nicht die Frage, wer den Vorgang veranlasst hat. Sie dokumentiert den Transfer nach den Regeln des jeweiligen Netzwerks. Deshalb sollte zwischen der technischen Feststellung einer Transaktion und der Identifizierung der Person unterschieden werden, die dahintersteht. Eine unbekannte Zieladresse ist ein wichtiges Indiz, aber noch kein Personenname. Für die weitere Untersuchung müssen zusätzliche Informationen herangezogen werden.

Auffällig ist insbesondere, wenn innerhalb kurzer Zeit mehrere Transaktionen erfolgen, die der Betroffene nicht erklären kann. Wird zunächst ein Teil des Guthabens übertragen und anschließend der verbleibende Bestand ebenfalls bewegt, kann dies auf einen gezielten Zugriff hindeuten. Das gilt insbesondere dann, wenn die Transfers zeitlich unmittelbar aufeinanderfolgen und an unterschiedliche Adressen gehen. Bei manchen Angriffen werden Vermögenswerte außerdem auf mehrere Adressen verteilt, wodurch der ursprüngliche Transfer später nur noch einen Teil des gesamten Vorgangs darstellt.

Ein weiteres Warnsignal ist die vollständige oder nahezu vollständige Entleerung einer Wallet. Wird beispielsweise eine Wallet, die über längere Zeit kaum genutzt wurde, innerhalb weniger Minuten weitgehend leergeräumt, ist dies erklärungsbedürftig. Das allein beweist zwar nicht, wie der Zugriff erfolgt ist. Zusammen mit weiteren Auffälligkeiten kann eine solche Transaktionsstruktur jedoch ein starkes Indiz für einen unbefugten Zugriff sein.

Auch die Art der übertragenen Vermögenswerte kann Hinweise liefern. In einer Wallet können sich nicht nur native Kryptowährungen wie Bitcoin oder Ether befinden, sondern auch unterschiedliche Token. Wenn plötzlich mehrere Token-Positionen verändert oder übertragen werden, sollte untersucht werden, welche Transaktionen dafür verantwortlich waren. Bei bestimmten Blockchain-Systemen können zusätzlich Smart-Contract-Interaktionen sichtbar sein. Für einen Laien sieht eine solche Aktivität möglicherweise wie eine normale technische Operation aus, obwohl sie tatsächlich erhebliche Auswirkungen auf das Wallet-Guthaben hatte.

Besondere Vorsicht ist bei sogenannten Signaturanfragen geboten. Eine Wallet kann den Nutzer auffordern, eine Nachricht oder Transaktion zu bestätigen. Der Bildschirm kann dabei nur einen technischen oder allgemein gehaltenen Hinweis anzeigen. Entscheidend ist jedoch, welche Berechtigung oder Transaktion tatsächlich signiert wird. Bei einer manipulierten oder betrügerischen Webseite kann der Nutzer glauben, lediglich eine Verbindung herzustellen oder einen Vorgang zu bestätigen, während die Signatur tatsächlich eine Vermögensübertragung oder eine weitreichende Berechtigung ermöglicht.

Deshalb ist es für die Aufklärung wichtig, nicht nur den Zeitpunkt des endgültigen Verlusts zu betrachten. Ebenso relevant ist, was unmittelbar davor passiert ist. Hat der Betroffene eine neue Webseite besucht? Wurde eine Wallet mit einer unbekannten Plattform verbunden? Wurde eine Browser-Erweiterung installiert? Hat eine Anwendung nach einer Signatur gefragt? Wurde eine vermeintliche Sicherheitsprüfung durchgeführt? Hat ein angeblicher Supportmitarbeiter konkrete Anweisungen gegeben? Die Antworten können entscheidend sein, um den technischen Ablauf zu rekonstruieren.

Ein klassisches Phishing-Szenario beginnt häufig mit einer Nachricht oder einem Link. Der Nutzer erhält beispielsweise eine E-Mail, einen Chat oder eine Nachricht über ein soziales Netzwerk. Darin wird behauptet, das Wallet müsse verifiziert werden, eine Sicherheitsprüfung sei erforderlich oder ein Problem mit einer Kryptobörse müsse behoben werden. Der Empfänger wird auf eine Internetseite geleitet, die dem Erscheinungsbild eines bekannten Dienstes entspricht. Gibt er dort seine Seed-Phrase oder andere Zugangsdaten ein, kann ein Dritter diese Informationen unmittelbar erhalten.

Bei einem solchen Vorgang kann die Wallet zunächst vollkommen normal funktionieren. Der Betroffene bemerkt den Angriff möglicherweise erst später, wenn eine unbekannte Transaktion erscheint. Zwischen der Preisgabe der Zugangsinformationen und dem tatsächlichen Transfer können Minuten, Stunden oder sogar längere Zeiträume liegen. Deshalb sollte bei der Untersuchung eines Wallet-Diebstahls auch die Kommunikation vor dem eigentlichen Schaden betrachtet werden.

Eine verdächtige Internetadresse kann dabei ein wichtiger Beweis sein. Selbst wenn die Seite später nicht mehr erreichbar ist, sollten die URL, Screenshots, E-Mails und Nachrichten gesichert werden. Auch ein Link, der zunächst harmlos erschien, kann bei einer späteren technischen oder rechtlichen Untersuchung von Bedeutung sein. Das gilt insbesondere dann, wenn sich nachvollziehen lässt, wann der Link aufgerufen wurde und welche Schritte anschließend erfolgt sind.

Ein ähnliches Risiko besteht bei gefälschten Wallet-Anwendungen. Im Internet können Anwendungen angeboten werden, die bekannten Wallets äußerlich ähneln. Ein Nutzer kann dadurch den Eindruck gewinnen, eine offizielle Software zu verwenden. Wird bei der Einrichtung eine bereits bestehende Seed-Phrase eingegeben, kann diese an einen Dritten gelangen. Anschließend kann der Angreifer die zugehörigen Vermögenswerte unter Umständen selbst verwalten.

Auch Browser-Erweiterungen verdienen Aufmerksamkeit. Viele Wallets werden über Browser-Erweiterungen mit dezentralen Anwendungen verbunden. Eine manipulierte oder bösartige Erweiterung kann ein erhebliches Sicherheitsrisiko darstellen. Dabei muss der Betroffene nicht zwingend bemerken, dass etwas verändert wurde. Gerade deshalb ist es wichtig, bei einem verdächtigen Vorfall zu dokumentieren, welche Wallet-Software und welche Browser-Erweiterungen zu diesem Zeitpunkt installiert waren.

Ein weiteres Indiz kann eine ungewöhnliche Aktivität auf dem verwendeten Endgerät sein. Dazu gehören etwa plötzlich auftretende Fehlermeldungen, unbekannte Programme, veränderte Browser-Einstellungen, neue Erweiterungen oder ungewöhnliche Anmeldeaktivitäten. Auch wenn solche Anzeichen nicht beweisen, dass eine Wallet kompromittiert wurde, können sie bei der Ursachenanalyse relevant sein.

Besonders kritisch wird die Situation, wenn ein Betroffener kurz vor dem Verlust Fernwartungssoftware installiert hat. Ein angeblicher Supportmitarbeiter kann beispielsweise behaupten, das Wallet müsse technisch überprüft oder ein Problem mit einer Kryptobörse müsse behoben werden. Der Nutzer installiert daraufhin ein Programm, mit dem der Gesprächspartner auf den Rechner zugreifen kann. Wird während dieser Sitzung eine Wallet geöffnet oder eine Seed-Phrase angezeigt, können sensible Informationen offengelegt werden.

In solchen Fällen sollte der zeitliche Ablauf möglichst genau rekonstruiert werden. Wann fand der erste Kontakt statt? Wer hat die Fernwartung verlangt? Welche Software wurde installiert? Welche Anwendungen wurden während der Sitzung geöffnet? Wurden Passwörter oder Wiederherstellungsinformationen eingegeben? Wurde eine Transaktion bestätigt? Wann erschien anschließend die erste unbekannte Blockchain-Transaktion? Eine solche Chronologie kann wesentlich aussagekräftiger sein als die bloße Feststellung, dass „das Geld weg“ ist.

Auch verdächtige Nachrichten können Hinweise liefern. Angreifer geben sich teilweise als Mitarbeiter einer Kryptobörse, eines Wallet-Anbieters oder eines technischen Kundendienstes aus. Sie können den Betroffenen auffordern, einen Sicherheitscode zu übermitteln, eine bestimmte Anwendung zu installieren oder eine Transaktion durchzuführen. Wenn danach Kryptowährungen verschwinden, besteht ein möglicher Zusammenhang zwischen dem Kontakt und dem späteren Verlust.

Ein besonders wichtiges Warnsignal ist die Forderung nach einer Seed-Phrase. Eine vollständige Wiederherstellungsphrase sollte nicht leichtfertig an Dritte weitergegeben werden. Wer von einem angeblichen Supportmitarbeiter aufgefordert wird, die vollständige Phrase zu nennen oder auf einer Webseite einzugeben, sollte äußerst vorsichtig sein. Nach einer solchen Preisgabe ist die Wallet grundsätzlich als potenziell kompromittiert zu betrachten, bis die konkrete Situation fachkundig bewertet wurde.

Auch ungewöhnliche Aktivitäten auf einem Börsenkonto können mit einem Wallet-Vorfall zusammenhängen. Wenn Kryptowährungen zunächst von einer Kryptobörse auf eine eigene Wallet übertragen wurden und anschließend aus dieser Wallet verschwinden, muss untersucht werden, wo der Angriff tatsächlich angesetzt hat. Möglich ist beispielsweise eine Kompromittierung der eigenen Wallet. Es kann aber auch ein vorheriger Angriff auf das Börsenkonto oder das verwendete Endgerät vorgelegen haben. Die einzelnen Stationen des Zahlungs- beziehungsweise Transferwegs müssen daher getrennt betrachtet werden.

Ein weiterer wichtiger Punkt betrifft die Frage, ob die betroffene Wallet tatsächlich selbst verwaltet wurde. Bei einer sogenannten Self-Custody-Wallet kontrolliert grundsätzlich der Nutzer selbst die entsprechenden kryptografischen Schlüssel. Bei einer zentralen Kryptobörse oder einem Verwahrdienst kann dagegen der Dienstleister die technische Verwahrung übernehmen. Wenn Betroffene von „meiner Wallet“ sprechen, sollte deshalb genau geklärt werden, welches Produkt beziehungsweise welcher Dienst tatsächlich genutzt wurde.

Die Unterscheidung ist nicht nur technisch, sondern auch rechtlich relevant. Bei einer selbst verwalteten Wallet kann die Frage im Mittelpunkt stehen, wie ein Dritter an die erforderlichen Informationen gelangte oder welche Transaktion signiert wurde. Bei einem zentral verwahrten Konto können dagegen zusätzlich die Sicherheitsmechanismen des jeweiligen Dienstleisters, Anmeldevorgänge und Kontobewegungen untersucht werden. Aus der bloßen Tatsache, dass Kryptowährungen verschwunden sind, lässt sich keine allgemeine Verantwortlichkeit eines bestimmten Unternehmens ableiten.

Auffällig können auch Änderungen sein, die der Betroffene selbst nicht vorgenommen hat. Dazu gehören unbekannte Wallet-Verbindungen, nicht bekannte Berechtigungen oder Transaktionen mit Smart Contracts, die nicht zum bisherigen Nutzungsverhalten passen. Besonders relevant ist der Vergleich zwischen dem normalen Nutzungsverhalten und der Aktivität unmittelbar vor dem Schaden.

Wer seine Wallet beispielsweise nur zum langfristigen Halten von Kryptowährungen verwendet und plötzlich zahlreiche Interaktionen mit unbekannten Anwendungen feststellt, sollte diesen Vorgang genauer untersuchen. Gleiches gilt, wenn eine Transaktion an eine Adresse erfolgt, mit der der Betroffene niemals zuvor zu tun hatte.

Bei der technischen Bewertung muss allerdings berücksichtigt werden, dass Blockchain-Daten je nach Netzwerk unterschiedlich aufgebaut sind. Eine Transaktion, die bei Bitcoin relativ eindeutig als Transfer von einem bestimmten Output zu bestimmten Empfängern dargestellt wird, kann bei Smart-Contract-basierten Netzwerken wesentlich komplexer erscheinen. Token-Transfers, Contract-Interaktionen und Berechtigungen können in mehreren technischen Ebenen abgebildet sein. Deshalb sollte aus einer einzelnen Zeile in einem Blockchain-Explorer nicht ohne Weiteres auf den vollständigen Sachverhalt geschlossen werden.

Für die Beurteilung eines möglichen Wallet-Diebstahls ist deshalb eine Kombination verschiedener Informationen sinnvoll. Die Blockchain zeigt, was technisch auf dem jeweiligen Netzwerk stattgefunden hat. Die Wallet-Anwendung kann zusätzliche Informationen zu Signaturen oder Interaktionen enthalten. Das verwendete Gerät kann Hinweise auf mögliche Schadsoftware oder unbefugten Zugriff liefern. E-Mails und Chats können den vorherigen Kontakt mit einem Angreifer dokumentieren. Kontoauszüge und Kryptobörsen-Unterlagen können zeigen, wann und über welchen Dienst Kryptowährungen erworben oder übertragen wurden.

Besonders hilfreich kann eine genaue Zeitachse sein. Angenommen, ein Betroffener stellt um 14:30 Uhr eine verdächtige Nachricht fest, besucht um 14:45 Uhr eine Webseite, verbindet dort seine Wallet und bestätigt um 14:48 Uhr eine Signatur. Um 14:52 Uhr erfolgt eine Übertragung des Wallet-Guthabens an eine unbekannte Adresse. Diese zeitliche Abfolge kann einen erheblichen Ermittlungsansatz darstellen. Sie beweist für sich genommen noch nicht alle Einzelheiten, kann aber die weitere Untersuchung gezielt auf die relevanten Vorgänge konzentrieren.

Anders kann der Fall aussehen, wenn der Betroffene mehrere Tage vor dem Verlust seine Seed-Phrase in einer Datei gespeichert und anschließend eine unbekannte Software installiert hat. Dann muss untersucht werden, ob die gespeicherte Phrase möglicherweise ausgelesen wurde. Wiederum anders ist es, wenn keine verdächtige Software, kein Phishingkontakt und keine Signatur bekannt sind. Dann kommen weitere mögliche Ursachen in Betracht.

Auch menschliche Fehler sollten sachlich untersucht werden. Eine falsche Zieladresse, eine unbeabsichtigte Überweisung oder eine versehentlich bestätigte Transaktion kann technisch ähnlich aussehen wie ein Angriff. Deshalb sollte nicht jede unbekannte Transaktion automatisch als Hack bezeichnet werden. Für eine spätere rechtliche Bewertung ist eine präzise Darstellung des tatsächlichen Ablaufs wesentlich glaubwürdiger als eine vorschnelle technische Behauptung.

Umgekehrt sollten Betroffene ihre eigene Beteiligung an einem Vorgang nicht allein deshalb annehmen, weil eine Transaktion technisch mit ihrer Wallet verbunden ist. Bei einem Angriff kann ein Dritter unter Umständen Zugriff auf die erforderlichen Schlüssel erhalten haben. Bei einer Täuschung kann der Nutzer selbst eine Transaktion signiert haben, ohne deren wahre Bedeutung zu erkennen. Die technische Zuordnung einer Transaktion zu einer Wallet sagt daher nicht automatisch aus, dass der Wallet-Inhaber den wirtschaftlichen Vorgang bewusst gewollt hat.

Ein weiterer Hinweis kann darin liegen, dass der Betroffene nach dem ersten Verlust keinen Zugriff mehr auf bestimmte Wallet-Funktionen hat. Bei einer selbst verwalteten Wallet ist allerdings zwischen dem Verlust von Zugangsdaten und dem Verlust der Kryptowährungen zu unterscheiden. Eine nicht mehr zugängliche Anwendung bedeutet nicht zwangsläufig, dass die Coins selbst verschwunden sind. Umgekehrt kann eine Wallet-Anwendung weiterhin geöffnet werden, obwohl ein Angreifer bereits einen Teil der Vermögenswerte übertragen hat.

Auch die Behauptung eines vermeintlichen Anbieters, die Kryptowährungen befänden sich weiterhin „sicher“ auf einer internen Plattform, sollte nicht ungeprüft übernommen werden. Bei Betrugsfällen können Bildschirmdarstellungen oder interne Kontostände manipuliert sein. Maßgeblich ist bei einer tatsächlich auf einer Blockchain abgewickelten Transaktion nicht allein die Darstellung auf einer Webseite, sondern die überprüfbare Transaktionshistorie des jeweiligen Netzwerks.

Das ist besonders wichtig bei vermeintlichen Trading- oder Investmentplattformen. Dort wird Betroffenen teilweise ein digitales Konto angezeigt, auf dem hohe Gewinne oder ein großes Guthaben erscheinen. Wird anschließend behauptet, das Geld könne nur nach Zahlung einer weiteren Gebühr ausgezahlt werden, sollte geprüft werden, ob überhaupt reale Kryptowährungen vorhanden waren. Ein angezeigtes Guthaben auf einer Plattform ist nicht automatisch gleichbedeutend mit tatsächlich vorhandenen und vom Betroffenen kontrollierten Kryptowerten.

Wenn dagegen eine selbst verwaltete Wallet nachweisbar eine Transaktion an eine unbekannte Adresse ausgeführt hat, ist die Ausgangslage eine andere. Hier kann anhand des Transaktions-Hashes untersucht werden, wann und wohin die Werte übertragen wurden. Anschließend kann geprüft werden, ob weitere Bewegungen stattgefunden haben und ob die Zieladresse möglicherweise mit einem bekannten Kryptodienstleister in Verbindung steht.

Ein wichtiges Warnsignal ist schließlich die Kombination mehrerer Auffälligkeiten. Eine einzelne unbekannte Transaktion kann erklärbar sein. Treffen dagegen mehrere Faktoren zusammen – etwa eine unerwartete Supportnachricht, eine unbekannte Webseite, die Installation einer Anwendung, eine ungewöhnliche Signaturanfrage und unmittelbar danach die vollständige Entleerung der Wallet –, sollte der Vorgang besonders sorgfältig untersucht werden.

Für Betroffene ist es deshalb sinnvoll, die Frage nach dem unbefugten Zugriff nicht isoliert anhand des aktuellen Wallet-Guthabens zu beantworten. Entscheidend ist die Vorgeschichte. Welche Kontakte gab es? Welche Webseiten wurden genutzt? Welche Anwendungen wurden installiert? Welche Transaktionen wurden bestätigt? Welche Geräte waren beteiligt? Welche Wallet-Adresse hatte das Guthaben vor dem Verlust? Und welche Zieladresse erhielt die Kryptowährungen?

Je vollständiger diese Informationen vorliegen, desto besser lässt sich zwischen verschiedenen Ursachen unterscheiden. Dabei kann eine technische Blockchainanalyse die Transaktionsseite klären, während die rechtliche Bewertung zusätzliche Fragen zu Täuschung, Zugriff, möglichen Verantwortlichkeiten und Ansprüchen aufwirft.

Wer feststellt, dass Kryptowährungen aus einer Wallet gestohlen wurden, sollte daher insbesondere die unbekannten Transaktionen, Wallet-Adressen und Transaktions-Hashes sichern und gleichzeitig die Vorgänge unmittelbar vor dem Verlust dokumentieren. Auch Nachrichten, E-Mails, Webseiten, Telefonnummern, verwendete Anwendungen und Hinweise auf Fernzugriff sollten erhalten bleiben. Diese Informationen können später entscheidend sein, um nicht nur festzustellen, dass Kryptowährungen fehlen, sondern nachvollziehbar zu untersuchen, wie der Zugriff wahrscheinlich erfolgt ist und welche Spuren der Vorgang hinterlassen hat.

Kryptowährungen aus Wallet gestohlen – was sollten Betroffene unmittelbar nach dem Verlust tun?

Wenn Kryptowährungen aus einer Wallet gestohlen wurden, zählt zunächst nicht die Frage, wer dafür verantwortlich ist, sondern die Sicherung der noch vorhandenen Informationen und die Verhinderung weiterer Schäden. Gerade bei einem möglichen Zugriff auf eine selbst verwaltete Wallet kann nicht ausgeschlossen werden, dass der Angreifer weiterhin über die erforderlichen Zugangsdaten verfügt. Wer in dieser Situation unüberlegt weitere Transaktionen durchführt, eine kompromittierte Wallet erneut verwendet oder Beweisdaten löscht, kann die spätere Aufklärung erschweren. Deshalb sollte der Vorgang möglichst systematisch behandelt werden.

Am Anfang steht die Feststellung, was genau verschwunden ist. Betroffene sollten zunächst dokumentieren, welche Kryptowährungen oder Token betroffen sind, welche Wallet-Adresse verwendet wurde und welcher Bestand vor dem Vorfall vorhanden war. Anschließend sollten die unbekannten ausgehenden Transaktionen identifiziert werden. Für jede relevante Transaktion sollten insbesondere der Transaktions-Hash, die Ausgangsadresse, die Zieladresse, die übertragene Kryptowährung beziehungsweise der Token und der Zeitpunkt festgehalten werden.

Der Transaktions-Hash sollte vollständig und unverändert gespeichert werden. Er ist eine eindeutige technische Kennzeichnung der jeweiligen Blockchain-Transaktion und kann später dazu dienen, den Transfer erneut aufzurufen und mit anderen Transaktionen abzugleichen. Es empfiehlt sich, nicht nur einen Screenshot anzufertigen, sondern die technischen Daten zusätzlich in einer separaten Dokumentation zu erfassen. Bei längeren oder mehreren Transaktions-Hashes sollte sorgfältig kontrolliert werden, dass keine Zeichen fehlen.

Dasselbe gilt für Wallet-Adressen. Eine Zieladresse sollte vollständig kopiert und nicht aus einer verkürzten Darstellung übernommen werden. Gerade bei einer späteren Blockchainanalyse können einzelne Zeichen entscheidend sein. Wenn mehrere Zieladressen existieren, sollten diese getrennt dokumentiert und mit dem jeweils zugehörigen Transaktions-Hash verknüpft werden.

Neben den Blockchain-Daten sollte der zeitliche Ablauf des Vorfalls festgehalten werden. Dazu gehört nicht nur der Zeitpunkt, an dem der Diebstahl entdeckt wurde. Wichtig ist vielmehr die gesamte Vorgeschichte. Wann wurde zuletzt auf die Wallet zugegriffen? Wann wurde eine verdächtige Transaktion bemerkt? Gab es unmittelbar davor einen Anruf, eine E-Mail oder eine Nachricht? Wurde eine unbekannte Webseite besucht? Wurde eine Anwendung installiert? Wurde die Wallet mit einer neuen Plattform verbunden? Hat jemand einen Fernzugriff verlangt? Je genauer die Chronologie ist, desto leichter lässt sich später untersuchen, welche Ereignisse mit dem Verlust zusammenhängen könnten.

Besonders wichtig ist die Sicherung der Kommunikation. E-Mails sollten nicht einfach gelöscht werden. Chatverläufe aus WhatsApp, Telegram oder anderen Messengern können ebenso relevant sein wie Nachrichten über soziale Netzwerke. Wenn ein vermeintlicher Supportmitarbeiter, Broker oder sonstiger Ansprechpartner den Betroffenen zu bestimmten Handlungen aufgefordert hat, sollte dieser Kontakt vollständig dokumentiert werden. Dazu gehören Namen, Telefonnummern, Nutzernamen, Profilinformationen, E-Mail-Adressen und gegebenenfalls die verwendeten Webseiten.

Auch Screenshots können hilfreich sein. Sinnvoll sind beispielsweise Aufnahmen der Wallet-Anzeige, der betreffenden Transaktionen, verdächtiger Webseiten, Fehlermeldungen oder Chatverläufe. Ein Screenshot sollte dabei möglichst den relevanten Kontext enthalten. Bei einer Webseite kann beispielsweise die vollständige Internetadresse sichtbar sein. Bei einer Nachricht sollte, soweit möglich, auch der Absender erkennbar sein.

Bei einem möglichen Phishing-Vorfall sollte der betreffende Link ebenfalls gesichert werden. Selbst wenn die Seite später nicht mehr erreichbar ist, kann die konkrete URL für die Rekonstruktion des Geschehens relevant sein. Auch E-Mails mit Anhängen oder Links sollten nicht einfach verändert oder weitergeleitet werden, ohne die ursprünglichen Informationen zu dokumentieren. Bei einer späteren technischen Untersuchung kann es einen Unterschied machen, welche Daten ursprünglich vorhanden waren.

Eine weitere wichtige Maßnahme besteht darin, weitere Transaktionen über eine möglicherweise kompromittierte Wallet zu vermeiden. Wenn der Verdacht besteht, dass ein Dritter die Kontrolle über die Wallet erlangt hat, sollte nicht davon ausgegangen werden, dass die Wallet wieder sicher ist, nur weil der aktuelle Bestand noch angezeigt wird. Je nach technischer Situation kann es erforderlich sein, verbliebene Vermögenswerte unter Verwendung einer neu eingerichteten und nicht kompromittierten Wallet zu sichern. Die konkrete Vorgehensweise hängt jedoch von der Wallet-Art, dem Sicherheitsvorfall und der Frage ab, welche Zugangsinformationen möglicherweise kompromittiert wurden.

Insbesondere bei einer kompromittierten Seed-Phrase reicht es nicht aus, lediglich ein Passwort zu ändern. Eine Wiederherstellungsphrase ist kein gewöhnliches Passwort. Wenn ein Dritter sie kennt, kann die bloße Änderung eines Passworts die grundlegende Kompromittierung nicht beseitigen. Deshalb muss zunächst festgestellt werden, welche Informationen tatsächlich gefährdet sind.

Gleichzeitig sollte die Seed-Phrase selbst nicht unbedacht an Dritte weitergegeben werden. Ein vermeintlicher „Krypto-Recovery-Experte“, ein angeblicher Supportmitarbeiter oder eine Person, die sich nach dem Diebstahl als Helfer ausgibt, benötigt nicht automatisch die vollständige Wiederherstellungsphrase. Eine solche Weitergabe kann einen bereits bestehenden Schaden erheblich vergrößern.

Besondere Vorsicht ist geboten, wenn nach dem Verlust unmittelbar neue Zahlungsforderungen auftreten. Bei Krypto-Betrugsfällen kann es vorkommen, dass Betroffene nach dem ersten Schaden von weiteren Personen kontaktiert werden. Ihnen wird dann beispielsweise versprochen, die gestohlenen Kryptowährungen seien bereits lokalisiert worden und könnten nach Zahlung einer Gebühr, Steuer, Sicherheitsleistung oder Freischaltungsgebühr zurückgeführt werden. Solche Forderungen sollten nicht allein deshalb als seriös angesehen werden, weil der Absender konkrete Angaben zur Blockchain oder zur angeblichen Wallet macht.

Die Tatsache, dass eine Person eine Wallet-Adresse nennen kann, beweist nicht, dass sie tatsächlich Zugriff auf die gestohlenen Kryptowährungen besitzt. Ebenso wenig beweist eine scheinbar professionelle Blockchain-Darstellung, dass eine Rückholung bevorsteht. Betroffene sollten deshalb gerade nach einem bereits erlittenen Verlust besonders vorsichtig mit weiteren Angeboten zur angeblichen Rückgewinnung sein.

Parallel zur Sicherung der Wallet-Daten sollte geprüft werden, ob weitere Konten betroffen sein könnten. Wurde beispielsweise dieselbe E-Mail-Adresse für eine Kryptobörse, eine Wallet-Anwendung und andere Dienste verwendet, sollte die Sicherheit dieser Konten überprüft werden. Wiederverwendete Passwörter sollten nicht weiter genutzt werden. Wenn der Verdacht besteht, dass Zugangsdaten abgegriffen wurden, sollten diese über ein vertrauenswürdiges Gerät geändert werden.

Auch die Zwei-Faktor-Authentifizierung sollte überprüft werden, soweit die jeweiligen Dienste diese Funktion anbieten. Ein kompromittiertes Konto kann ein Einfallstor für weitere Schäden darstellen. Das gilt insbesondere dann, wenn E-Mail-Konten betroffen sind, über die wiederum andere Dienste zurückgesetzt werden können.

Wenn ein Computer oder Smartphone möglicherweise kompromittiert wurde, sollte die weitere Nutzung mit Bedacht erfolgen. Wer beispielsweise den Verdacht hat, dass eine Schadsoftware Zugangsdaten ausgelesen haben könnte, sollte nicht auf demselben möglicherweise betroffenen Gerät zahlreiche neue Passwörter eingeben oder eine neue Wallet einrichten, ohne die Sicherheitslage zu berücksichtigen. Je nach Sachverhalt kann eine technische Untersuchung des Geräts sinnvoll sein.

Besonders relevant ist dies nach einer Fernwartung. Hat ein vermeintlicher Supportmitarbeiter über eine Fernwartungssoftware Zugriff auf den Rechner erhalten, sollte dokumentiert werden, welche Software verwendet wurde, wann der Zugriff stattfand und welche Anwendungen während dieser Sitzung geöffnet waren. Auch wenn die Fernwartung bereits beendet wurde, sollte der Vorgang nicht einfach vergessen werden. Die Informationen können für die Rekonstruktion des Angriffs wichtig sein.

Betroffene sollten außerdem darauf achten, verdächtige Programme nicht vorschnell zu löschen, wenn dadurch möglicherweise relevante Informationen verloren gehen. Das bedeutet nicht, dass ein nachweislich gefährliches Programm dauerhaft auf einem Rechner bleiben sollte. Vielmehr sollte bei einem ernsthaften Verdacht zunächst bedacht werden, welche Daten für eine spätere Untersuchung benötigt werden. Bei größeren Schäden kann es sinnvoll sein, technische Unterstützung einzubeziehen, bevor das Gerät vollständig zurückgesetzt wird.

Ein häufiger Fehler besteht darin, unmittelbar nach der Entdeckung des Diebstahls sämtliche Geräte zu bereinigen. Aus Sicht des Betroffenen erscheint dies verständlich. Wenn jedoch die Ursache des Vorfalls untersucht werden soll, können durch ein vollständiges Zurücksetzen wichtige Spuren verschwinden. Deshalb sollte zwischen der notwendigen Absicherung und einer möglicherweise beweissichernden technischen Untersuchung unterschieden werden.

Bei einem Verlust über eine Kryptobörse sollte zusätzlich der betreffende Anbieter kontaktiert werden. Dabei sollten die relevanten Transaktionsdaten präzise angegeben werden. Statt lediglich mitzuteilen, dass „Krypto gestohlen wurde“, ist es hilfreicher, die betroffene Wallet-Adresse, den Transaktions-Hash, den Zeitpunkt und die betroffene Kryptowährung zu nennen. Je nach Sachverhalt kann außerdem relevant sein, ob die Zieladresse zu einem bekannten Dienstleister gehört.

Eine Meldung an einen Kryptodienstleister bedeutet allerdings nicht automatisch, dass dieser für den Verlust verantwortlich ist oder die Kryptowährungen ersetzen muss. Der Dienstleister kann möglicherweise technische oder kontobezogene Informationen liefern oder interne Prüfungen durchführen. Ob daraus weitergehende Ansprüche entstehen, hängt von den Umständen des konkreten Falles ab.

Auch vorausgegangene Fiat-Zahlungen sollten dokumentiert werden. Hat der Betroffene beispielsweise Euro von seinem Bankkonto an eine Kryptobörse überwiesen und anschließend die erworbenen Kryptowährungen an eine eigene Wallet transferiert, können die entsprechenden Kontoauszüge und Überweisungsbelege für die Rekonstruktion des gesamten Ablaufs relevant sein. Sie zeigen, wann welche Beträge geflossen sind und über welche Zahlungswege die Kryptowährungen erworben wurden.

Bei einem größeren Schaden sollte deshalb nicht nur der unmittelbare Wallet-Diebstahl betrachtet werden. Es kann sinnvoll sein, den gesamten Ablauf vom ersten Kontakt oder Kauf bis zur letzten bekannten Transaktion zu erfassen. Dazu gehören beispielsweise Bankzahlungen, Einzahlungen auf Kryptobörsen, Auszahlungen auf die eigene Wallet und anschließend unbekannte Transfers.

Auch Steuer- oder Kaufunterlagen können je nach Sachverhalt für die Schadensdokumentation relevant sein. Der genaue finanzielle Schaden lässt sich nicht immer allein aus dem aktuellen Wert der Kryptowährung bestimmen. Es kann beispielsweise erforderlich sein, die ursprünglichen Anschaffungskosten, die Menge der betroffenen Einheiten und den Zeitpunkt des Verlusts zu dokumentieren. Für die rechtliche Prüfung ist eine nachvollziehbare Schadensdarstellung wesentlich.

Ein weiterer wichtiger Punkt ist die Sicherung von Zugangsdaten, ohne diese unkontrolliert weiterzugeben. Passwörter sollten nicht in Chatverläufe kopiert oder per E-Mail an vermeintliche Helfer versendet werden. Private Keys und Seed-Phrases gehören grundsätzlich zu den besonders sensiblen Informationen. Bei einer anwaltlichen Prüfung ist in der Regel nicht erforderlich, eine vollständige Seed-Phrase in einer normalen E-Mail mitzuschicken. Entscheidend sind zunächst die relevanten Sachverhalts- und Transaktionsinformationen.

Wer Opfer eines Betrugs geworden ist, sollte außerdem alle weiteren Kontakte mit den mutmaßlichen Tätern dokumentieren. Auch wenn der Betroffene zunächst versucht sein kann, den Täter zur Rückzahlung aufzufordern, sollte dabei bedacht werden, welche Informationen dadurch preisgegeben werden. Ein Angreifer könnte erkennen, welche Transaktionen bereits entdeckt wurden, und sein weiteres Vorgehen entsprechend anpassen. Bei komplexen Fällen sollte die Kommunikation deshalb nicht unüberlegt fortgesetzt werden.

Die Sicherung von Beweisen bedeutet auch, dass ursprüngliche Dateien möglichst erhalten bleiben sollten. Eine E-Mail sollte nicht nur als kopierter Text gespeichert werden, wenn sich die ursprüngliche Nachricht noch sichern lässt. Bei Screenshots sollten die Originaldateien erhalten bleiben. Bei Chatverläufen sollten möglichst vollständige Exportmöglichkeiten genutzt werden, soweit der jeweilige Dienst dies anbietet. Bei Webseiten können zusätzlich Screenshots und die genaue URL dokumentiert werden.

Für die spätere Prüfung kann außerdem wichtig sein, welche Geräte verwendet wurden. Betroffene sollten deshalb notieren, ob der Vorfall über einen Desktop-PC, Laptop, Smartphone oder Tablet erfolgte. Relevant können auch das Betriebssystem, die verwendete Wallet-Anwendung, Browser und Browser-Erweiterungen sein. Nicht jede dieser Angaben ist in jedem Fall entscheidend. Bei einem technischen Angriff können sie jedoch helfen, die möglichen Angriffspunkte einzugrenzen.

Wenn der Verdacht besteht, dass eine Seed-Phrase kompromittiert wurde, sollte die Sicherheitsstrategie grundsätzlich anders betrachtet werden als bei einem reinen Verlust des Zugangs zu einer Anwendung. Bei einem vergessenen Passwort kann unter bestimmten Umständen eine Wiederherstellung möglich sein. Wenn hingegen die Wiederherstellungsphrase einem Angreifer bekannt ist, besteht ein grundsätzlich anderes Risiko. Eine neue Zugangssperre innerhalb derselben kompromittierten Struktur kann dann unter Umständen nicht ausreichen.

Auch bei Hardware-Wallets sollte nicht automatisch davon ausgegangen werden, dass die Hardware selbst „gehackt“ wurde. Ein Angriff kann an einer anderen Stelle erfolgt sein, beispielsweise durch eine manipulierte Webseite, eine betrügerische Signaturanfrage oder die Preisgabe der Wiederherstellungsphrase. Die konkrete Ursache muss daher anhand des tatsächlichen Ablaufs ermittelt werden.

Bei einem Verdacht auf einen kompromittierten Computer kann es sinnvoll sein, zunächst von einem anderen vertrauenswürdigen Gerät aus die wichtigsten Konten abzusichern. Dabei sollte allerdings ebenfalls darauf geachtet werden, keine bereits kompromittierten Zugangsdaten erneut zu verwenden. Die genaue technische Vorgehensweise hängt davon ab, welche Konten und Geräte betroffen sein könnten.

Werden noch Kryptowährungen in einer Wallet gehalten, deren Sicherheit nicht mehr gewährleistet ist, stellt sich die Frage nach einer möglichen Sicherung des Restbestands. Eine solche Maßnahme sollte nicht pauschal nach einem allgemeinen Schema durchgeführt werden. Je nach Wallet, Netzwerk und Art der Kompromittierung kann eine andere Vorgehensweise erforderlich sein. Insbesondere wenn eine Seed-Phrase kompromittiert wurde, muss die neue Verwahrung so gestaltet werden, dass der Angreifer nicht weiterhin Zugriff auf die Vermögenswerte hat.

Nach Möglichkeit sollte auch dokumentiert werden, welcher Bestand unmittelbar vor dem Vorfall vorhanden war. Dazu können frühere Screenshots, Wallet-Historien, Kryptobörsen-Abrechnungen oder Blockchain-Daten herangezogen werden. Wenn der Betroffene erst nach dem Diebstahl beginnt, den ursprünglichen Bestand zu rekonstruieren, kann dies unnötig schwierig werden.

Bei einem komplexen Krypto-Schaden ist außerdem eine saubere Trennung zwischen Tatsachen und Vermutungen wichtig. In einer späteren rechtlichen Prüfung sollte beispielsweise nicht ohne Beleg behauptet werden, eine bestimmte Person habe die Wallet gehackt. Besser ist die genaue Darstellung: „Am Montag um 15:32 Uhr wurde eine Transaktion mit diesem Hash an diese Zieladresse festgestellt. Ich habe sie nicht veranlasst. Zwei Stunden zuvor erhielt ich eine Nachricht von einem angeblichen Supportmitarbeiter und installierte auf dessen Anweisung eine Fernwartungssoftware.“ Eine solche Darstellung ermöglicht eine wesentlich präzisere Prüfung.

Auch bei der Frage nach dem Täter sollte nicht zu früh eine bestimmte Person festgelegt werden. Eine Blockchainadresse kann zwar technisch nachvollziehbar sein, aber nicht automatisch einer bestimmten natürlichen Person zugeordnet werden. Für die Identifizierung können zusätzliche Informationen erforderlich sein. Dazu können etwa Verbindungen zu zentralen Kryptodienstleistern, Kontodaten oder andere Ermittlungsansätze gehören.

Die zeitnahe Sicherung der Transaktionsdaten kann deshalb einen erheblichen praktischen Wert haben. Eine Blockchain-Transaktion selbst wird durch das bloße Warten nicht aus der Blockchain gelöscht. Trotzdem kann sich der weitere Transaktionsweg schnell verändern. Werden die gestohlenen Kryptowährungen unmittelbar auf weitere Wallets übertragen, entstehen zusätzliche Stationen. Je länger eine solche Kette wird, desto umfangreicher kann die spätere Analyse werden.

Betroffene sollten deshalb möglichst früh eine vollständige Übersicht erstellen. Dazu gehören die ursprüngliche Wallet, die unbekannte Zieladresse, sämtliche bekannten Folgeadressen, die jeweiligen Transaktions-Hashes und die Zeitpunkte. Bei Token-Transfers sollte außerdem die genaue Bezeichnung des Tokens und das verwendete Netzwerk festgehalten werden. Gerade bei ähnlich bezeichneten Token kann eine ungenaue Bezeichnung später zu Missverständnissen führen.

Wenn die Kryptowährungen an eine Kryptobörse oder einen anderen zentralen Dienstleister gelangen, kann die Situation besonders interessant werden. Dort können unter bestimmten Voraussetzungen Informationen über den Nutzer des betreffenden Kontos vorhanden sein. Ob und auf welchem Weg solche Informationen zugänglich gemacht werden können, ist allerdings eine rechtliche und tatsächliche Frage, die vom konkreten Dienstleister und den Umständen abhängt. Eine Blockchainanalyse kann zunächst den Hinweis liefern, dass eine solche Schnittstelle existiert.

Ein weiterer wichtiger Sofortschritt besteht darin, die Kommunikation mit vermeintlichen Rückholern kritisch zu prüfen. Nach einem Wallet-Diebstahl sind Betroffene verständlicherweise besonders empfänglich für das Versprechen, die Kryptowährungen wiederzubekommen. Genau diese Situation kann jedoch von weiteren Betrügern ausgenutzt werden. Wird eine Zahlung verlangt, bevor überhaupt nachvollziehbar erklärt wurde, welche konkrete rechtliche oder technische Grundlage für die Rückgewinnung besteht, ist besondere Vorsicht angebracht.

Eine seriöse Prüfung sollte vielmehr erklären können, auf welchen Daten die Einschätzung beruht. Bei einem konkreten Wallet-Diebstahl gehören dazu beispielsweise die betroffene Adresse, die relevanten Transaktions-Hashes, der zeitliche Ablauf und die bekannten Kontakte oder Dienstleister. Ein bloßes Versprechen, man könne die Blockchain „entsperren“ oder die Coins gegen eine Vorabzahlung „freigeben“, ersetzt keine belastbare Analyse.

Wenn die wichtigsten Daten gesichert sind, kann der nächste Schritt in einer strukturierten rechtlichen und technischen Prüfung liegen. Dabei sollte nicht nur der aktuelle Verlust betrachtet werden. Ebenso wichtig ist die Frage, wie die Kryptowährungen ursprünglich in die Wallet gelangten, welche Kontakte vor dem Verlust bestanden, welche Zugänge genutzt wurden und wohin die Werte anschließend übertragen wurden.

Für einen Anwalt sind deshalb insbesondere die Wallet-Adresse, die Transaktions-Hashes, die Kommunikation mit möglichen Tätern oder Dienstleistern, Unterlagen zu vorausgegangenen Zahlungen und eine chronologische Darstellung des Geschehens hilfreich. Je besser diese Informationen geordnet sind, desto weniger Zeit muss zunächst darauf verwendet werden, grundlegende Tatsachen aus verstreuten Nachrichten und Screenshots zusammenzutragen.

Eine erste anwaltliche Prüfung kann anschließend klären, welche rechtlichen Fragen sich aus dem konkreten Ablauf ergeben. Dazu kann gehören, welche Personen oder Unternehmen als mögliche Anspruchsgegner in Betracht kommen, welche Nachweise vorhanden sind und ob Maßnahmen zur Sicherung oder Durchsetzung von Vermögensansprüchen geprüft werden können. Eine Erfolgsgarantie lässt sich daraus nicht ableiten. Gerade bei Kryptowährungen hängt viel davon ab, ob sich der Transaktionsweg weiterverfolgen lässt und ob am Ende identifizierbare oder rechtlich erreichbare Vermögenswerte beziehungsweise Anspruchsgegner vorhanden sind.

Wer Kryptowährungen aus einer Wallet verloren hat, sollte deshalb möglichst nicht bei der bloßen Feststellung stehen bleiben, dass das Guthaben verschwunden ist. Entscheidend ist, den Vorfall beweissicher zu dokumentieren und die technischen Spuren zu erhalten. Wallet-Adresse, Transaktions-Hash, Zieladresse, Zeitpunkt, Kommunikation, Webseiten, verwendete Geräte und vorausgegangene Zahlungen können gemeinsam ein deutlich vollständigeres Bild ergeben.

Das wichtigste Ziel der ersten Phase besteht damit in drei Punkten: weitere Schäden verhindern, vorhandene Informationen sichern und den tatsächlichen Ablauf nachvollziehbar festhalten. Erst auf dieser Grundlage lässt sich sinnvoll untersuchen, ob eine Wallet kompromittiert wurde, ob eine Täuschung zu einer Transaktion geführt hat, wohin die Kryptowährungen geflossen sind und welche weiteren technischen oder rechtlichen Schritte im konkreten Fall sinnvoll sein können.

Kryptowährungen aus Wallet gestohlen – lassen sich gestohlene Coins und Token nachverfolgen?

Wenn Kryptowährungen aus einer Wallet gestohlen wurden, richtet sich die Aufmerksamkeit vieler Betroffener unmittelbar auf die Blockchain. Dort lässt sich häufig erkennen, wann ein bestimmter Betrag von einer Wallet-Adresse an eine andere übertragen wurde. Daraus entsteht verständlicherweise die Hoffnung, die gestohlenen Kryptowährungen müssten sich anhand dieser Spur unmittelbar wiederfinden lassen. Tatsächlich kann die Blockchain wichtige Hinweise liefern. Die technische Nachverfolgung einer Transaktion ist jedoch nicht dasselbe wie die Identifizierung eines Täters oder die Rückübertragung der Vermögenswerte.

Der entscheidende Vorteil vieler Blockchains besteht darin, dass Transaktionen dauerhaft nachvollziehbar dokumentiert werden. Je nach Blockchain können Nutzer öffentlich einsehen, welche Transaktionen mit einer bestimmten Adresse verbunden sind. Für die Aufklärung eines Wallet-Diebstahls bedeutet dies, dass der ursprüngliche Transfer in vielen Fällen technisch rekonstruiert werden kann. Es lässt sich beispielsweise feststellen, wann eine Transaktion durchgeführt wurde, welche Adresse als Ausgangspunkt diente und an welche Zieladresse die Kryptowährungen übertragen wurden.

Ein zentraler Ausgangspunkt ist deshalb die Wallet-Adresse, aus der die gestohlenen Kryptowährungen abflossen. Diese Adresse sollte vollständig dokumentiert werden. Ebenso wichtig ist der zugehörige Transaktions-Hash. Mit ihm lässt sich die konkrete Transaktion eindeutig bestimmen. Bei einem umfangreicheren Schaden sollte nicht nur der erste Transfer festgehalten werden. Vielmehr sollte untersucht werden, was anschließend mit den übertragenen Kryptowährungen geschah.

Genau an diesem Punkt beginnt die eigentliche Blockchainanalyse. Der erste Transfer kann lediglich der Anfang einer längeren Transaktionskette sein. Die Kryptowährungen können anschließend auf eine weitere Wallet übertragen, auf mehrere Adressen verteilt oder mit anderen Transaktionen zusammengeführt werden. In bestimmten Fällen gelangen sie später zu einer zentralen Kryptobörse oder einem anderen Kryptodienstleister. In anderen Fällen verbleiben sie über längere Zeit auf Adressen, deren tatsächlicher Inhaber nicht unmittelbar erkennbar ist.

Für Betroffene ist deshalb wichtig, zwischen einer Wallet-Adresse und einer Person zu unterscheiden. Eine Blockchain-Adresse enthält grundsätzlich nicht automatisch den Namen desjenigen, der sie kontrolliert. Selbst wenn eindeutig feststeht, dass gestohlene Kryptowährungen auf eine bestimmte Adresse übertragen wurden, bedeutet dies nicht, dass deren Besitzer allein anhand der Adresse identifiziert werden kann. Eine solche Zuordnung kann zusätzliche Informationen erfordern.

Diese Besonderheit unterscheidet Kryptowährungen von einem klassischen Bankkonto. Bei einer Banküberweisung ist die Empfängerbank in den Zahlungsverkehr eingebunden und es existieren grundsätzlich Kontodaten, die einer bestimmten Bankverbindung zugeordnet sind. Bei einer Blockchain-Transaktion kann dagegen zunächst lediglich eine technische Adresse sichtbar sein. Ob diese Adresse einer Person, einem Unternehmen, einer Börse, einem Dienstleister oder einer anderen Struktur zugeordnet werden kann, muss gesondert geprüft werden.

Gerade deshalb ist der erste Schritt einer Analyse häufig die Rekonstruktion des vollständigen Transaktionsverlaufs. Angenommen, aus der betroffenen Wallet wurden 2 Bitcoin an eine unbekannte Adresse transferiert. Diese Adresse sendet später 1,5 Bitcoin an eine zweite Adresse und 0,5 Bitcoin an eine dritte. Die Untersuchung sollte dann nicht beim ersten Transfer enden. Auch die beiden Folgeadressen können relevant sein. Es muss geprüft werden, ob sich dort weitere Bewegungen ergeben und ob eine der Adressen möglicherweise mit einem bekannten Dienstleister verbunden ist.

Eine solche Untersuchung wird häufig als Walletanalyse oder Blockchainanalyse bezeichnet. Dabei werden die auf der jeweiligen Blockchain verfügbaren Daten strukturiert ausgewertet. Je nach Netzwerk können unterschiedliche technische Informationen zur Verfügung stehen. Bei manchen Blockchains stehen vor allem klassische Transaktionen im Mittelpunkt. Bei anderen können zusätzlich Token-Transfers, Smart-Contract-Interaktionen und weitere Aktivitäten berücksichtigt werden.

Die technische Komplexität nimmt zu, wenn die gestohlenen Vermögenswerte über viele Stationen bewegt werden. Bei einer sogenannten Multi-Hop-Analyse wird versucht, die Bewegungen über mehrere aufeinanderfolgende Transaktionen hinweg zu rekonstruieren. Dabei kann untersucht werden, welche Adressen miteinander interagieren und welche Wege die Vermögenswerte genommen haben.

Eine solche Analyse kann allerdings nicht garantieren, dass am Ende eine natürliche Person identifiziert wird. Je mehr Stationen zwischen der ursprünglichen Wallet und einem möglichen Dienstleister liegen, desto schwieriger kann die Zuordnung werden. Zudem können verschiedene technische Strukturen eingesetzt werden, um Transaktionsbeziehungen schwerer nachvollziehbar zu machen. Deshalb muss jede Analyse die konkrete Blockchain und die tatsächliche Transaktionsstruktur berücksichtigen.

Besonders interessant kann der Übergang zu einer zentralen Kryptobörse sein. Wenn eine Ziel-Wallet mit einer Adresse verbunden werden kann, die zu einem bekannten Kryptodienstleister gehört, entsteht möglicherweise ein zusätzlicher Ermittlungs- oder Prüfungsansatz. Eine zentrale Plattform kann unter bestimmten Voraussetzungen Informationen über ihre Kunden besitzen. Dazu können Identifikationsdaten gehören, die im Rahmen von KYC-Prozessen erhoben wurden.

KYC steht für „Know Your Customer“. Gemeint sind Verfahren, mit denen ein Dienstleister die Identität seiner Kunden überprüft. Welche Daten tatsächlich vorliegen und unter welchen Voraussetzungen darauf zugegriffen werden kann, hängt vom konkreten Anbieter und den rechtlichen Rahmenbedingungen ab. Eine Blockchainanalyse kann deshalb zunächst lediglich einen Hinweis liefern, dass ein bestimmter Dienstleister möglicherweise mit den gestohlenen Vermögenswerten in Berührung gekommen ist.

Die Bedeutung eines solchen Hinweises sollte nicht unterschätzt werden. Eine unbekannte Wallet-Adresse bietet möglicherweise nur begrenzte Möglichkeiten zur Identifizierung. Wird dagegen festgestellt, dass die Vermögenswerte anschließend zu einer bestimmten zentralen Kryptoplattform transferiert wurden, kann die weitere rechtliche Prüfung an diesem Punkt ansetzen. Ob daraus tatsächlich verwertbare Informationen entstehen, hängt jedoch vom Einzelfall ab.

Auch die Bezeichnung VASP kann in diesem Zusammenhang relevant werden. Sie steht für „Virtual Asset Service Provider“ und bezeichnet im weiteren Sinne Dienstleister im Zusammenhang mit virtuellen Vermögenswerten. Für die konkrete rechtliche Bewertung muss allerdings stets geprüft werden, welche Funktion der betreffende Anbieter tatsächlich ausgeübt hat und welchem Rechtsrahmen er unterliegt. Nicht jeder Dienstleister ist für einen konkreten Verlust automatisch verantwortlich.

Die Blockchainanalyse kann außerdem helfen, falsche Annahmen über den Verbleib der Kryptowährungen zu korrigieren. Ein Betroffener kann beispielsweise zunächst davon ausgehen, dass die Coins bei der ersten Zieladresse verblieben sind. Die Blockchain zeigt jedoch möglicherweise, dass sie bereits wenige Minuten später weitertransferiert wurden. Eine andere Zieladresse kann wiederum mit einer weiteren Transaktion verbunden sein. Erst durch die Betrachtung der gesamten Kette entsteht ein belastbareres Bild.

Bei Token kann die Situation zusätzlich kompliziert sein. Ein Wallet kann gleichzeitig verschiedene Vermögenswerte auf unterschiedlichen Netzwerken halten. Wird beispielsweise ein Token über eine Smart-Contract-Interaktion übertragen, kann die Darstellung im Blockchain-Explorer anders aussehen als bei einem klassischen Transfer einer nativen Kryptowährung. Für die Analyse muss deshalb zunächst festgestellt werden, welches Netzwerk und welcher Token betroffen sind.

Auch die Schreibweise der Wallet-Adresse ist wichtig. Bei manchen Netzwerken können Adressen ähnliche oder standardisierte Strukturen aufweisen. Ein Übertragungsfehler bei der Dokumentation kann dazu führen, dass später die falsche Adresse untersucht wird. Deshalb sollten die ursprünglichen Daten möglichst direkt aus der Wallet oder dem jeweiligen Transaktionsdatensatz übernommen werden.

Ein weiterer wichtiger Bestandteil ist der Zeitpunkt. Wenn ein Betroffener den Diebstahl erst nach mehreren Tagen bemerkt, sollte trotzdem möglichst genau festgestellt werden, wann die relevante Transaktion tatsächlich auf der Blockchain bestätigt wurde. Die Blockchain-Zeit und der Zeitpunkt der Entdeckung sind nicht dasselbe. Für die Rekonstruktion muss beides auseinandergehalten werden.

Auch vorausgehende Transaktionen können relevant sein. Wenn die betroffene Wallet kurz vor dem Diebstahl erstmals mit einer bestimmten Anwendung interagiert hat, kann diese Interaktion einen wichtigen Hinweis darstellen. Eine Blockchainanalyse sollte deshalb nicht ausschließlich die gestohlene Summe isoliert betrachten. Je nach Sachverhalt kann die Aktivität vor dem Verlust ebenfalls Aufschluss darüber geben, wie der Angriff abgelaufen sein könnte.

Besonders interessant sind sogenannte Approval- oder Berechtigungsvorgänge bei bestimmten tokenbasierten Anwendungen. Ein Nutzer kann einer Anwendung unter Umständen erlauben, bestimmte Token zu verwalten oder zu übertragen. Wenn eine solche Berechtigung später missbraucht wird, kann der technische Ablauf anders aussehen als bei einem direkten Diebstahl des Private Keys. Die Blockchain kann jedoch sichtbar machen, welche Interaktionen stattgefunden haben. Ob eine bestimmte Signatur tatsächlich vom Nutzer bewusst erteilt wurde oder unter Täuschung erfolgte, ist wiederum eine zusätzliche Frage.

Deshalb sollte die Analyse immer mit der Vorgeschichte verbunden werden. Ein Blockchain-Datensatz zeigt, dass eine bestimmte Aktion stattgefunden hat. Er zeigt aber nicht automatisch, was der Nutzer zu diesem Zeitpunkt auf seinem Bildschirm gesehen hat oder welche Erklärung ihm ein Betrüger gegeben hat. Genau hier kommt die Verbindung zwischen technischer und tatsächlicher Sachverhaltsaufklärung ins Spiel.

Ein Beispiel verdeutlicht diese Unterscheidung: Ein Betroffener wird über eine Nachricht zu einer vermeintlichen Sicherheitsseite einer Wallet geführt. Dort soll er eine Transaktion bestätigen, um seine Wallet zu „verifizieren“. Tatsächlich signiert er eine Transaktion, durch die Token an eine fremde Adresse übertragen werden. Die Blockchain dokumentiert später eine regulär signierte Transaktion. Ohne die Kommunikation, die Webseite und die Vorgeschichte könnte der Vorgang wie eine gewöhnliche Nutzeraktion erscheinen. Erst die zusätzlichen Beweise können zeigen, dass die Transaktion möglicherweise durch Täuschung herbeigeführt wurde.

Ein anderes Szenario ist die Kompromittierung eines Private Keys. Hier kann der Angreifer die Wallet unter Umständen ohne weitere Mitwirkung des Betroffenen kontrollieren. Wenn anschließend das gesamte Guthaben an eine unbekannte Adresse übertragen wird, kann die Transaktionsstruktur Hinweise auf einen unbefugten Zugriff liefern. Für die weitere rechtliche Bewertung muss jedoch zusätzlich geklärt werden, wie der Schlüssel möglicherweise kompromittiert wurde.

Die Nachverfolgung kann auch dann weitergehen, wenn die Kryptowährungen mehrfach verschoben wurden. Allerdings sollte nicht davon ausgegangen werden, dass jede einzelne Folgeadresse automatisch einem eigenen Täter gehört. Eine Adresse kann beispielsweise zu einer Börse, einem Dienstleister oder einer technischen Infrastruktur gehören. Die Interpretation von Transaktionsbeziehungen erfordert daher Erfahrung mit der jeweiligen Blockchain und den dort verwendeten Strukturen.

Bei der Bewertung von Adressen können außerdem bekannte Cluster oder Zuordnungen eine Rolle spielen. Bestimmte Blockchain-Analysewerkzeuge verfügen über Datenbanken oder Heuristiken, die bekannte Dienstleister oder Adressgruppen erkennen können. Solche Zuordnungen sind jedoch mit der gebotenen Vorsicht zu bewerten. Eine technische Klassifizierung ist nicht automatisch ein gerichtsfester Identitätsnachweis. Sie kann aber einen Ansatz für weitere Prüfungen liefern.

Eine besondere Herausforderung besteht darin, dass die gestohlenen Kryptowährungen möglicherweise nicht sofort bei einer zentralen Börse landen. Sie können zunächst über mehrere Wallets verteilt werden. Es kann auch vorkommen, dass nur ein Teil der Vermögenswerte weitertransferiert wird. Deshalb sollte die Analyse nicht nach einem einzigen erfolgreichen Treffer beendet werden. Entscheidend ist die Gesamtsicht auf die Transaktionskette.

Auch zeitliche Zusammenhänge können aufschlussreich sein. Werden die gestohlenen Coins kurz nach dem ursprünglichen Transfer in mehreren Schritten weitergeleitet, kann sich ein bestimmtes Muster ergeben. Werden sie dagegen über längere Zeit auf einer Adresse gehalten, kann die weitere Entwicklung anders bewertet werden. Für eine rechtliche Prüfung kann außerdem relevant sein, ob Vermögenswerte noch identifizierbar vorhanden sind oder bereits weiterbewegt wurden.

Die technische Auffindbarkeit eines Vermögenswerts und seine tatsächliche Sicherung sind jedoch zwei verschiedene Dinge. Selbst wenn eine Wallet-Adresse eindeutig festgestellt werden kann, bedeutet dies nicht, dass ein Dritter einfach auf diese Wallet zugreifen und die Kryptowährungen zurückholen kann. Eine Blockchain ist gerade darauf ausgelegt, dass Transaktionen nach den Regeln des Netzwerks erfolgen. Ohne entsprechende Kontrolle über den privaten Schlüssel oder eine andere rechtlich und technisch wirksame Möglichkeit lässt sich eine Transaktion nicht allein aufgrund einer Analyse rückgängig machen.

Deshalb sollte der Begriff „Tracking“ nicht mit „Rückholung“ gleichgesetzt werden. Tracking bedeutet zunächst, Bewegungen nachvollziehbar zu machen. Eine Rückgewinnung erfordert dagegen zusätzliche tatsächliche oder rechtliche Voraussetzungen. Dazu kann beispielsweise die Identifizierung eines erreichbaren Anspruchsgegners gehören. Ebenso kann eine Vermögenssicherung relevant werden, wenn sich noch Vermögenswerte bei einer identifizierbaren Stelle befinden. Ob solche Möglichkeiten bestehen, muss im Einzelfall geprüft werden.

Die Rolle einer Kryptobörse kann hierbei besonders wichtig sein. Wenn eine Analyse zeigt, dass gestohlene Kryptowährungen an eine zentrale Plattform übertragen wurden, stellt sich die Frage, ob diese Plattform den betreffenden Nutzer identifizieren kann und welche rechtlichen Möglichkeiten bestehen, Informationen zu erhalten oder gegebenenfalls Maßnahmen zur Sicherung von Vermögenswerten zu prüfen. Dabei sind die konkrete Rechtsordnung, der Sitz des Dienstleisters und die Art des Vorgangs entscheidend.

Bei international ausgerichteten Kryptostrukturen kann die Aufklärung erheblich schwieriger werden. Ein Angreifer kann beispielsweise eine Plattform in einem anderen Staat nutzen oder Vermögenswerte über mehrere Dienstleister bewegen. Die technische Spur kann dabei grenzüberschreitend sein. Eine Walletanalyse kann zwar die Bewegungen sichtbar machen, die rechtliche Durchsetzung kann jedoch zusätzliche Herausforderungen mit sich bringen.

Gerade deshalb sollte eine Blockchainanalyse nicht isoliert als technisches Produkt betrachtet werden. Für einen Geschädigten ist entscheidend, welche Erkenntnisse aus der Analyse tatsächlich für die weitere Vorgehensweise relevant sind. Eine lange Liste von Wallet-Adressen ist weniger hilfreich als eine nachvollziehbare Darstellung, welche Adresse wann welche Vermögenswerte erhalten hat und ob sich daraus konkrete weitere Ansatzpunkte ergeben.

Eine gute Dokumentation sollte deshalb zumindest die Ausgangsadresse, die erste Zieladresse, die jeweiligen Transaktions-Hashes und die weiteren bekannten Folgebewegungen enthalten. Zusätzlich sollte vermerkt werden, wann der jeweilige Transfer stattgefunden hat und welche Kryptowährung beziehungsweise welcher Token betroffen war. Wenn eine Adresse einem bekannten Dienstleister zugeordnet werden kann, sollte auch diese Zuordnung dokumentiert und hinsichtlich ihrer Belastbarkeit bewertet werden.

Bei komplexen Fällen kann eine grafische Darstellung der Transaktionswege hilfreich sein. Dabei kann beispielsweise sichtbar gemacht werden, von welcher Wallet die Vermögenswerte abflossen, über welche Adressen sie weitergeleitet wurden und an welcher Stelle eine Verbindung zu einem Kryptodienstleister entstanden ist. Eine solche Darstellung erleichtert häufig auch die rechtliche Bewertung, weil sie die wesentlichen Stationen des Geschehens übersichtlich zusammenführt.

Die Analyse kann zudem helfen, zwischen verschiedenen Vermögensströmen zu unterscheiden. Wenn ein Angreifer gleichzeitig Kryptowährungen aus mehreren Wallets erhält, können bestimmte Adressgruppen oder zeitliche Muster erkennbar werden. Daraus können sich weitere Untersuchungsansätze ergeben. Eine solche Verbindung sollte allerdings nicht ohne ausreichende technische Grundlage behauptet werden.

Auch die Frage nach sogenannten Mischdiensten oder anderen Strukturen zur Verschleierung von Transaktionswegen kann in bestimmten Fällen relevant werden. Solche Verfahren können die Zuordnung erschweren. Entscheidend ist nicht, ob eine Transaktion „unsichtbar“ geworden ist, sondern wie belastbar die vorhandenen technischen Informationen für eine weitere Analyse sind. Eine professionelle Untersuchung muss daher auch die Grenzen der verfügbaren Daten berücksichtigen.

Bei bestimmten Netzwerken können außerdem sogenannte Bridges eine Rolle spielen. Dabei werden Vermögenswerte beziehungsweise entsprechende Repräsentationen zwischen unterschiedlichen Blockchain-Netzwerken übertragen. Wenn gestohlene Token über eine solche Infrastruktur bewegt werden, kann die Analyse über die ursprüngliche Blockchain hinausgehen. Der Vorgang wird dadurch komplexer, aber nicht zwangsläufig vollständig unnachvollziehbar.

Ähnliches gilt für dezentrale Handelsplattformen. Eine Zieladresse kann mit einem Smart Contract interagieren, anstatt die Kryptowährung einfach an eine weitere persönliche Wallet zu senden. Für einen Laien kann dies schwer verständlich sein. Eine Blockchainanalyse kann jedoch feststellen, welche Contract-Interaktion stattgefunden hat und welche Vermögenswerte anschließend bewegt wurden.

Bei der rechtlichen Bewertung sollte deshalb stets klar zwischen gesicherten technischen Tatsachen und daraus abgeleiteten Vermutungen unterschieden werden. Gesichert kann beispielsweise sein, dass eine bestimmte Wallet am 10. September eine bestimmte Menge eines Tokens an eine bestimmte Adresse übertragen hat. Eine Vermutung wäre dagegen, dass diese Zieladresse dem Täter persönlich gehört. Für diese zweite Aussage wären zusätzliche Erkenntnisse erforderlich.

Diese Unterscheidung ist auch deshalb wichtig, weil eine falsche Zuordnung erhebliche Folgen haben kann. Wenn eine Adresse beispielsweise zu einem Dienstleister gehört, bedeutet der Eingang der gestohlenen Kryptowährungen nicht automatisch, dass der Dienstleister selbst an dem Diebstahl beteiligt war. Es muss vielmehr untersucht werden, welche Funktion der Dienstleister hatte und unter welchen Umständen die Vermögenswerte dort eingegangen sind.

Eine Blockchainanalyse kann somit verschiedene Ebenen miteinander verbinden. Auf der ersten Ebene steht die technische Rekonstruktion der ursprünglichen Transaktion. Auf der zweiten Ebene werden Folgebewegungen untersucht. Auf der dritten Ebene wird nach möglichen Schnittstellen zu identifizierbaren Dienstleistern gesucht. Erst auf einer weiteren Ebene stellt sich die rechtliche Frage, welche Konsequenzen sich aus diesen Erkenntnissen ergeben können.

Für Betroffene ist daher Vorsicht bei pauschalen Versprechen angebracht. Aussagen wie „Ihre Coins wurden gefunden, wir holen sie jetzt zurück“ sind ohne nachvollziehbare Analyse wenig aussagekräftig. Eine seriöse Einschätzung sollte vielmehr offenlegen, welche Transaktionen tatsächlich festgestellt wurden, welche Schlussfolgerungen daraus gezogen werden und wo die Grenzen der Erkenntnisse liegen.

Besonders kritisch sind Anbieter, die nach einem Wallet-Diebstahl eine hohe Vorauszahlung verlangen und dabei mit einer angeblich bereits abgeschlossenen Blockchainanalyse argumentieren. Eine tatsächlich festgestellte Zieladresse ist noch kein Beleg dafür, dass die Person dahinter identifiziert wurde oder dass ein Zugriff auf die Vermögenswerte möglich ist. Vor einer weiteren Zahlung sollte deshalb geprüft werden, welche konkrete Leistung erbracht werden soll und ob die behaupteten Erkenntnisse überprüfbar sind.

Für die rechtliche Bearbeitung kann die Blockchainanalyse dennoch einen erheblichen Wert haben. Sie kann helfen, den Schaden zu quantifizieren, den Zeitpunkt des Transfers festzustellen, Zieladressen zu identifizieren und mögliche weitere Vermögensbewegungen sichtbar zu machen. Wenn sich eine Verbindung zu einem identifizierbaren Kryptodienstleister ergibt, kann daraus ein zusätzlicher Ansatz entstehen. Welche rechtlichen Schritte daraus folgen können, hängt vom konkreten Fall ab.

Insbesondere bei größeren Schäden kann es sinnvoll sein, technische und rechtliche Prüfung miteinander zu verbinden. Ein Anwalt kann anhand der Transaktionsdaten prüfen, welche rechtlichen Fragen sich stellen. Eine technische Analyse kann parallel die Bewegungen der Kryptowährungen rekonstruieren. Dadurch lässt sich vermeiden, dass rechtliche Maßnahmen auf einer unvollständigen oder falschen Annahme über den tatsächlichen Verbleib der Vermögenswerte aufbauen.

Die wichtigste Erkenntnis für Betroffene lautet daher: Gestohlene Kryptowährungen sind auf vielen Blockchains nicht einfach „verschwunden“. Die Transaktion kann technisch nachvollziehbar sein. Das eröffnet unter Umständen wertvolle Ermittlungsansätze. Daraus folgt jedoch weder automatisch eine Identifizierung des Täters noch eine sichere Rückgewinnung der Kryptowährungen.

Wenn Kryptowährungen aus einer Wallet gestohlen wurden, sollten deshalb insbesondere die ursprüngliche Wallet-Adresse, die Zieladresse, alle bekannten Transaktions-Hashes und die nachfolgenden Bewegungen gesichert werden. Anschließend kann untersucht werden, ob sich aus der Transaktionskette Hinweise auf weitere Wallets, Kryptobörsen oder andere Kryptodienstleister ergeben. Bei einer solchen Analyse ist nicht nur entscheidend, was auf der Blockchain sichtbar ist, sondern auch, wie die technischen Daten mit dem übrigen Geschehen zusammenpassen.

Je früher diese Informationen vollständig gesichert und strukturiert werden, desto besser lässt sich der weitere Weg der Kryptowährungen rekonstruieren. Eine solche Rekonstruktion schafft zwar keine Garantie dafür, dass die Vermögenswerte zurückerlangt werden können. Sie kann aber die Grundlage dafür bilden, realistisch zu prüfen, ob sich identifizierbare Spuren ergeben, ob Möglichkeiten einer Vermögenssicherung bestehen und welche rechtlichen Ansprüche oder weiteren Schritte im konkreten Fall untersucht werden können.

Kanzlei Wilms – Experten für Online-Anlagebetrug

Die Kanzlei Wilms unterstützt seit Jahren Mandanten, die Opfer von Online-Anlagebetrug, Kryptobetrug, Fake Brokern, Investmentbetrug, Bitcoin-Betrug oder Recovery Scams geworden sind.

Unsere Mandanten kommen aus ganz Deutschland sowie aus dem Ausland. Viele Verfahren weisen internationale Bezüge auf und betreffen grenzüberschreitende Zahlungsströme, Kryptowährungen oder komplexe Unternehmensstrukturen.

Wir analysieren unter anderem:

• Banküberweisungen
• SEPA- und SWIFT-Zahlungen
• Kreditkartenzahlungen
• Zahlungsdienstleister
• Kryptobörsen und Wallet-Transaktionen
• internationale Zahlungsstrukturen

Mehr Informationen finden Sie in unserem Blog.

Kryptowährungen aus Wallet gestohlen – welche rechtlichen Möglichkeiten kommen infrage?

Wenn Kryptowährungen aus einer Wallet gestohlen wurden, stellt sich neben der technischen Frage nach dem Verbleib der Coins und Token vor allem die rechtliche Frage, welche Möglichkeiten für den Betroffenen bestehen. Dabei kommt es entscheidend darauf an, wie der Verlust entstanden ist, wer an der Transaktion beteiligt war, welche Vermögenswerte betroffen sind und welche Informationen über den weiteren Verbleib vorliegen. Ein Wallet-Diebstahl ist rechtlich deshalb kein einheitlicher Sachverhalt.

Besonders wichtig ist die Unterscheidung zwischen einem technischen Zugriff auf eine Wallet und einer Täuschung des Betroffenen. Wurde beispielsweise ein Private Key kompromittiert und anschließend das gesamte Guthaben ohne Wissen des Eigentümers übertragen, stellt sich die rechtliche Situation anders dar als bei einer Transaktion, die der Betroffene selbst mit seiner Wallet signiert hat, nachdem er von einem Betrüger über deren Zweck getäuscht wurde. In beiden Fällen können Kryptowährungen aus der Wallet abfließen. Die rechtliche Aufarbeitung kann jedoch unterschiedliche Schwerpunkte haben.

Auch ein vermeintlicher Supportmitarbeiter, ein angeblicher Anlageberater oder ein angeblicher Kryptodienstleister kann eine Rolle spielen. Wenn ein Betroffener aufgrund falscher Angaben Zugangsdaten preisgibt, eine Transaktion freigibt oder Kryptowährungen an eine vom Täter genannte Wallet überträgt, muss der gesamte Kommunikationsverlauf betrachtet werden. Entscheidend ist dann nicht nur die Blockchain-Transaktion, sondern auch die Frage, welche Informationen dem Betroffenen vor der Transaktion vermittelt wurden.

Bei der rechtlichen Prüfung steht zunächst die Rekonstruktion des Sachverhalts im Vordergrund. Dazu gehören die ursprüngliche Wallet, die betroffenen Kryptowährungen, die konkreten Transaktionen, die Zieladressen sowie die Kommunikation mit denjenigen Personen oder Unternehmen, die den Vorgang ausgelöst oder begleitet haben. Je genauer der Ablauf feststeht, desto besser lässt sich beurteilen, welche rechtlichen Ansätze überhaupt in Betracht kommen.

Eine zentrale Frage kann dabei sein, gegen wen sich mögliche Ansprüche richten. Das kann je nach Fall eine unbekannte Person, ein identifizierbarer Vertragspartner, ein vermeintlicher Anlageberater, ein technischer Dienstleister oder unter bestimmten Voraussetzungen auch ein anderer Beteiligter sein. Eine Wallet-Adresse allein beantwortet diese Frage allerdings nicht. Zunächst muss geprüft werden, ob und wie eine technische Adresse einer konkreten Person oder Organisation zugeordnet werden kann.

Gerade bei Kryptowährungen ist deshalb die Verbindung zwischen Blockchainanalyse und rechtlicher Prüfung besonders wichtig. Die Blockchain kann zeigen, wohin die Vermögenswerte transferiert wurden. Die rechtliche Prüfung muss anschließend klären, welche Bedeutung diese Transaktionen haben und ob sich daraus Ansprüche oder weitere Ansatzpunkte ergeben. Eine technische Transaktionsspur ersetzt keine rechtliche Prüfung, kann diese aber erheblich unterstützen.

In Betracht kommen je nach Sachverhalt insbesondere zivilrechtliche Ansprüche. Dabei kann beispielsweise geprüft werden, ob ein Anspruch auf Herausgabe, Rückzahlung oder Schadensersatz besteht. Welche Anspruchsgrundlage tatsächlich einschlägig ist, hängt von den Umständen des konkreten Falls ab. Es wäre deshalb unseriös, allein aus dem Umstand eines Wallet-Diebstahls automatisch einen bestimmten Anspruch abzuleiten.

Eine besondere Bedeutung kann die Frage haben, ob die gestohlenen Kryptowährungen noch identifizierbar vorhanden sind. Wenn die Blockchainanalyse zeigt, dass die Vermögenswerte über mehrere Adressen bewegt wurden, kann untersucht werden, ob sie noch einer bestimmten Wallet zugeordnet werden können oder ob sie zwischenzeitlich bei einem Kryptodienstleister angekommen sind. Die rechtliche Bewertung kann davon beeinflusst werden, ob ein konkreter Vermögensgegenstand noch nachvollziehbar vorhanden ist oder ob es um einen weitergehenden Schadensersatzanspruch geht.

Dabei ist zwischen dem ursprünglichen Vermögenswert und seinem wirtschaftlichen Wert zu unterscheiden. Kryptowährungen können erheblichen Kursschwankungen unterliegen. Für die rechtliche Bewertung eines Schadens kann deshalb relevant sein, wann der Verlust eingetreten ist, welche Menge an Kryptowährungen betroffen war und wie der Schaden konkret berechnet werden soll. Eine pauschale Bewertung anhand des heutigen Kurswertes ist nicht in jedem Fall sachgerecht.

Auch der Zeitpunkt der einzelnen Transaktionen kann rechtlich bedeutsam sein. Wenn beispielsweise mehrere Transfers an unterschiedlichen Tagen stattgefunden haben, kann sich die Schadensentwicklung anders darstellen als bei einem einmaligen vollständigen Abfluss. Eine genaue zeitliche Dokumentation ist daher nicht nur für die Blockchainanalyse, sondern auch für die rechtliche Prüfung hilfreich.

Eine weitere Frage betrifft die Kontrolle über die Wallet. Bei einer selbst verwalteten Wallet liegt die technische Kontrolle grundsätzlich beim Inhaber des Private Keys beziehungsweise der entsprechenden Zugangsmittel. Wenn ein Dritter diese Kontrolle erlangt und Vermögenswerte transferiert, kann die Ursache des Kontrollverlusts entscheidend sein. Wurde die Seed Phrase durch einen Phishing-Angriff erlangt? Wurde ein schädliches Programm installiert? Wurde eine gefälschte Wallet verwendet? Wurde eine Transaktion unter Täuschung signiert? Oder wurden die Kryptowährungen aufgrund eines vermeintlichen Investmentgeschäfts freiwillig an eine fremde Adresse übertragen?

Diese Unterschiede sollten nicht vorschnell eingeebnet werden. Gerade in Fällen, in denen ein Betrüger über Wochen oder Monate Vertrauen aufgebaut hat, kann der technische Transfer am Ende wie eine gewöhnliche Blockchain-Transaktion aussehen. Der rechtlich relevante Vorgang kann jedoch bereits deutlich früher begonnen haben.

Das gilt insbesondere bei angeblichen Krypto-Investments. Ein vermeintlicher Berater kann beispielsweise zunächst erklären, dass Kryptowährungen auf einer bestimmten Plattform angelegt werden sollen. Anschließend wird der Betroffene aufgefordert, Kryptowährungen an eine bestimmte Wallet zu übertragen. Später werden zusätzliche Zahlungen verlangt, etwa zur angeblichen Verifizierung, Freischaltung oder Absicherung. Wenn sich herausstellt, dass die gesamte Kommunikation auf Täuschung beruhte, muss nicht nur die letzte Wallet-Transaktion betrachtet werden. Entscheidend ist der gesamte Ablauf.

Auch bei sogenannten Recovery- oder Rückholungsangeboten kann eine weitere Täuschung entstehen. Nach einem Wallet-Diebstahl kontaktieren manche Betroffene Personen, die behaupten, die gestohlenen Kryptowährungen bereits identifiziert zu haben. Wird anschließend eine Zahlung für angebliche Blockchain-Gebühren, Steuern, Freischaltungen oder technische Dienstleistungen verlangt, sollte dieser Vorgang unabhängig vom ursprünglichen Schaden geprüft werden. Ein weiterer Geldabfluss kann die Situation erheblich verschärfen.

Für die rechtliche Bewertung ist deshalb wichtig, sämtliche Beteiligten voneinander zu unterscheiden. Der ursprüngliche Kontakt kann eine andere Person oder Organisation sein als der Betreiber der verwendeten Webseite. Die Zahlung kann wiederum über einen Zahlungsdienstleister erfolgt sein, während die Kryptowährungen später über eine Kryptobörse weitergeleitet wurden. Aus diesen verschiedenen Rollen folgt nicht automatisch eine rechtliche Verantwortlichkeit. Jede Verbindung muss anhand der konkreten Tatsachen geprüft werden.

Eine Kryptobörse kann beispielsweise lediglich als technische Handelsplattform genutzt worden sein. Unter Umständen kann sie aber auch über Informationen verfügen, die für die Identifizierung eines Kunden relevant sind. Ob daraus rechtliche Möglichkeiten entstehen, hängt unter anderem davon ab, welche Daten vorhanden sind, welche Rechtsordnung betroffen ist und welche Voraussetzungen für eine Auskunft oder sonstige Maßnahme bestehen.

Auch ein Zahlungsdienstleister kann in einem Sachverhalt auftauchen, ohne dass daraus automatisch ein Anspruch gegen ihn folgt. Wenn beispielsweise zunächst Euro von einem Bankkonto an einen Kryptodienstleister überwiesen und die Kryptowährungen anschließend an eine fremde Wallet transferiert wurden, müssen die einzelnen Vorgänge getrennt untersucht werden. Die Frage, ob bei einer Zahlung oder Dienstleistung rechtlich relevante Pflichtverletzungen vorlagen, kann nur anhand des konkreten Ablaufs beantwortet werden.

Bei einem Wallet-Diebstahl kann zudem geprüft werden, ob der Betroffene einen Anspruch gegen eine Person oder ein Unternehmen hat, das sich ihm gegenüber als Vertragspartner dargestellt hat. Das betrifft insbesondere Fälle, in denen eine vermeintliche Anlageplattform oder ein angeblicher Broker Kryptowährungen verwaltet haben soll. Hier ist zunächst zu klären, ob überhaupt ein wirksames Vertragsverhältnis bestand, welche Leistungen vereinbart wurden und was tatsächlich mit den übertragenen Vermögenswerten geschehen ist.

Besonders problematisch sind Fälle, in denen eine Plattform zwar einen Kontostand oder angebliche Gewinne anzeigt, die Kryptowährungen tatsächlich aber nie entsprechend verwaltet wurden. Ein angezeigtes Guthaben auf einer Webseite beweist nicht automatisch, dass die dargestellten Kryptowährungen tatsächlich vorhanden sind. Für die rechtliche Bewertung können deshalb die Blockchain-Daten und die tatsächlichen Zahlungsflüsse wichtiger sein als die Darstellung innerhalb eines Kundenkontos.

Auch die Frage, ob eine Person tatsächlich als Anlageberater oder Finanzdienstleister tätig war, kann relevant werden. Betrüger verwenden teilweise fremde Namen, gefälschte Unternehmensdaten oder die Identität tatsächlich existierender Personen. Deshalb sollte eine rechtliche Prüfung nicht allein auf dem Namen beruhen, den der Betroffene aus Chats oder E-Mails kennt. Entscheidend ist, welche Identität tatsächlich hinter dem Kontakt steht und ob sich diese technisch und rechtlich nachvollziehen lässt.

Bei einer unbekannten Ziel-Wallet kann die Identifizierung besonders schwierig sein. Die Blockchain stellt zwar die Transaktion bereit, nennt aber nicht automatisch den Namen des Empfängers. Hier kann eine weitergehende Blockchainanalyse versuchen, Verbindungen zu bekannten Dienstleistern oder anderen identifizierbaren Strukturen festzustellen. Ob eine solche Zuordnung möglich ist, hängt von der konkreten Transaktionskette ab.

Wenn sich eine Verbindung zu einem zentralen Kryptodienstleister ergibt, kann geprüft werden, welche Informationen dort vorhanden sein könnten. Dabei geht es nicht darum, automatisch eine Haftung des Dienstleisters anzunehmen. Vielmehr kann die Identifizierung des Kontoinhabers ein möglicher Baustein für die weitere rechtliche Aufklärung sein.

Bei grenzüberschreitenden Fällen können zusätzliche rechtliche Fragen entstehen. Ein Anbieter kann beispielsweise seinen Sitz in einem anderen Staat haben, während der Betroffene in Deutschland lebt und die ursprüngliche Wallet ebenfalls von Deutschland aus genutzt wurde. Die technische Transaktionskette kann mehrere Länder und Dienstleister betreffen. Dadurch können Fragen des internationalen Rechts und der Zuständigkeit entstehen, die eine individuelle Prüfung erforderlich machen.

Auch die Verjährung sollte nicht unbeachtet bleiben. Welche Fristen gelten, hängt vom jeweiligen Anspruch und den Umständen des Einzelfalls ab. Bei einem älteren Wallet-Diebstahl sollte deshalb nicht allein deshalb von einer fehlenden Möglichkeit ausgegangen werden, weil der Verlust bereits längere Zeit zurückliegt. Umgekehrt sollte aber auch nicht unnötig Zeit verstreichen, wenn noch sinnvolle Aufklärungs- oder Sicherungsmöglichkeiten bestehen.

Eine frühzeitige rechtliche Prüfung kann deshalb insbesondere bei größeren Schäden sinnvoll sein. Dabei geht es zunächst nicht um ein pauschales Versprechen, die Kryptowährungen zurückzuerlangen. Es geht darum, den Sachverhalt zu strukturieren und festzustellen, welche rechtlichen und tatsächlichen Ansatzpunkte vorhanden sind.

Dazu gehört auch die Prüfung möglicher Ansprüche auf Auskunft oder Herausgabe von Informationen. Ob ein solcher Anspruch besteht und gegen wen er sich richten kann, hängt von den Umständen und der jeweiligen Rechtsordnung ab. Eine Blockchainadresse kann dabei als Ausgangspunkt dienen, reicht aber allein häufig nicht aus, um einen konkreten Anspruchsgegner zu bestimmen.

In bestimmten Fällen kann außerdem die Sicherung von Vermögenswerten eine Rolle spielen. Wenn sich beispielsweise nachvollziehbar feststellen lässt, dass Vermögenswerte noch bei einer identifizierbaren Stelle vorhanden sind, kann geprüft werden, welche rechtlichen Möglichkeiten bestehen, eine spätere Verschiebung oder Verwertung zu verhindern. Welche Maßnahmen tatsächlich zulässig und erfolgversprechend sind, muss anhand der konkreten Situation beurteilt werden.

Dabei sollte zwischen einer theoretischen Möglichkeit und einer praktisch umsetzbaren Maßnahme unterschieden werden. Die Tatsache, dass eine Blockchain-Adresse bekannt ist, bedeutet nicht automatisch, dass eine Vermögenssicherung möglich ist. Ebenso bedeutet eine identifizierte Kryptobörse nicht automatisch, dass dort noch die gestohlenen Kryptowährungen vorhanden sind. Die weitere Transaktionsentwicklung muss berücksichtigt werden.

Eine sorgfältige rechtliche Prüfung sollte deshalb mehrere Fragen miteinander verbinden: Wie kam es zum Verlust? Welche Transaktion führte zum Abfluss? Wer hatte Zugriff auf die Wallet? Welche Personen oder Unternehmen standen mit dem Betroffenen in Kontakt? Wohin wurden die Kryptowährungen transferiert? Welche Folgebewegungen lassen sich feststellen? Gibt es Hinweise auf eine Verbindung zu einem identifizierbaren Dienstleister? Und welche Ansprüche könnten sich aus dem konkreten Geschehen ergeben?

Bei der Beantwortung dieser Fragen können die vorhandenen Unterlagen eine wichtige Grundlage bilden. Kontoauszüge und Überweisungsbelege zeigen beispielsweise, ob vor dem Krypto-Transfer noch eine Fiat-Zahlung stattgefunden hat. Wallet-Adressen und Transaktions-Hashes dokumentieren die Bewegungen auf der Blockchain. Chatverläufe, E-Mails und Screenshots können dagegen erklären, warum eine bestimmte Transaktion durchgeführt wurde. Vertragsunterlagen können wiederum Aufschluss darüber geben, welche Leistungen ursprünglich zugesagt wurden.

Gerade die Kombination dieser Informationen kann rechtlich wesentlich aussagekräftiger sein als eine isolierte Betrachtung einzelner Dokumente. Eine Blockchaintransaktion zeigt den Transfer. Ein Chat kann den Anlass für den Transfer zeigen. Ein Kontoauszug kann den vorausgehenden Zahlungsfluss belegen. Eine Webseite kann dokumentieren, welche Darstellung dem Betroffenen gegenüber verwendet wurde. Erst die Verbindung dieser Elemente ermöglicht eine umfassendere Bewertung.

Auch bei der Beweissicherung ist Zurückhaltung mit nachträglichen Veränderungen wichtig. Originaldateien, E-Mails, Screenshots und Kommunikationsverläufe sollten möglichst unverändert erhalten bleiben. Bei technischen Daten sollte nachvollziehbar sein, woher eine Wallet-Adresse oder ein Transaktions-Hash stammt. Je besser die Herkunft der Informationen dokumentiert ist, desto leichter lässt sich später zwischen Originaldaten und nachträglich erstellten Auswertungen unterscheiden.

Die rechtliche Bewertung sollte außerdem berücksichtigen, dass Kryptowährungen rechtlich und technisch Besonderheiten aufweisen. Es genügt deshalb nicht immer, einen klassischen Sachverhalt des Online-Betrugs auf einen Wallet-Diebstahl zu übertragen. Je nach Fall können Fragen des Eigentums, der Vermögenszuordnung, vertraglicher Beziehungen, deliktischer Haftung, internationaler Zuständigkeit und technischer Kontrolle miteinander verbunden sein.

Für Betroffene bedeutet das vor allem: Es gibt nicht die eine rechtliche Standardlösung für jeden Fall, in dem Kryptowährungen aus einer Wallet gestohlen wurden. Die Erfolgsaussichten hängen wesentlich davon ab, ob der Täter oder ein Anspruchsgegner identifizierbar ist, wie der Schaden entstanden ist, wohin die Vermögenswerte transferiert wurden und welche Informationen noch verfügbar sind.

Ein besonders wichtiger Punkt ist deshalb die realistische Einschätzung. Eine seriöse rechtliche Prüfung sollte sowohl mögliche Ansatzpunkte als auch erkennbare Hindernisse benennen. Wenn die Kryptowährungen über zahlreiche unbekannte Wallets weitergeleitet wurden und keine Verbindung zu einer identifizierbaren Person besteht, kann die Durchsetzung schwieriger sein. Wenn dagegen eine nachvollziehbare Transaktionskette zu einem identifizierbaren Dienstleister führt und weitere Informationen verfügbar sind, kann sich eine andere Ausgangslage ergeben.

Auch ein hoher Schaden allein führt nicht automatisch zu besseren rechtlichen Möglichkeiten. Entscheidend ist vielmehr die Qualität der vorhandenen Informationen und die Frage, ob daraus konkrete Anknüpfungspunkte entstehen. Umgekehrt kann auch bei einem geringeren Schaden eine klare Transaktionsspur wertvoll sein. Die rechtliche Prüfung sollte deshalb nicht allein von der Schadenshöhe abhängig gemacht werden.

Wer feststellt, dass Kryptowährungen aus der eigenen Wallet gestohlen wurden, sollte daher nicht nur fragen, ob die Coins technisch verfolgt werden können. Die entscheidendere Frage lautet, welche verwertbaren Informationen sich aus der Transaktionskette ergeben und wie diese mit den übrigen Umständen des Falles verbunden werden können.

Eine spezialisierte rechtliche Prüfung kann insbesondere dann sinnvoll sein, wenn die Blockchain bereits konkrete Ziel- oder Folgeadressen erkennen lässt, ein Zusammenhang mit einer Kryptobörse oder einem anderen Dienstleister vermutet wird, ein angeblicher Berater oder Plattformbetreiber bekannt ist oder der Verlust im Zusammenhang mit einer Täuschung entstanden ist. Dabei sollte zunächst der Sachverhalt vollständig rekonstruiert werden, bevor Aussagen über mögliche Ansprüche oder eine Rückgewinnung getroffen werden.

Letztlich ist der rechtliche Umgang mit einem Wallet-Diebstahl eine Verbindung aus technischer Aufklärung und juristischer Bewertung. Die Blockchain kann den Weg der Kryptowährungen dokumentieren. Die übrigen Unterlagen können erklären, wie es zum Verlust kam. Erst aus beiden Informationsquellen lässt sich beurteilen, ob ein konkreter Anspruchsgegner ermittelt werden kann und welche rechtlichen Möglichkeiten im Einzelfall bestehen.

Kryptowährungen aus Wallet gestohlen – welche Beweise sind für die Aufklärung besonders wichtig?

Wenn Kryptowährungen aus einer Wallet gestohlen wurden, hängt die weitere Aufklärung wesentlich davon ab, wie gut der Vorgang dokumentiert werden kann. Gerade bei Krypto-Diebstählen besteht häufig das Problem, dass der Betroffene erst nachträglich versucht, einen komplexen Ablauf zu rekonstruieren. Zu diesem Zeitpunkt können bereits zahlreiche Transaktionen stattgefunden haben, Webseiten verschwunden sein oder Kommunikationsverläufe nicht mehr vollständig verfügbar sein. Deshalb kommt den vorhandenen Beweisen eine besondere Bedeutung zu.

Dabei sollte nicht nur nach einem einzelnen Beweis gesucht werden. Bei einem Wallet-Diebstahl entsteht die entscheidende Beweislage häufig erst aus dem Zusammenspiel verschiedener Informationen. Die Blockchain kann den Transfer der Kryptowährungen dokumentieren. Wallet-Daten können zeigen, von welcher Adresse die Vermögenswerte abgeflossen sind. Kontoauszüge können vorausgehende Zahlungen belegen. Chatverläufe und E-Mails können erklären, warum der Betroffene eine bestimmte Handlung vorgenommen hat. Screenshots können dokumentieren, wie eine Plattform oder eine angebliche Supportseite zu einem bestimmten Zeitpunkt dargestellt wurde.

Eine der wichtigsten Informationsquellen ist zunächst die betroffene Wallet-Adresse. Sie sollte vollständig und fehlerfrei dokumentiert werden. Bei langen alphanumerischen Adressen können bereits kleine Übertragungsfehler dazu führen, dass später die falsche Adresse untersucht wird. Deshalb sollte die Adresse möglichst direkt aus der verwendeten Wallet-Anwendung oder einem verlässlichen Transaktionsdatensatz übernommen werden.

Ebenso wichtig sind die Transaktions-Hashes. Der Transaktions-Hash, häufig auch als Transaction ID oder TxID bezeichnet, ermöglicht die eindeutige Zuordnung einer bestimmten Blockchain-Transaktion. Bei einem Wallet-Diebstahl sollten nicht nur die erste verdächtige Transaktion, sondern nach Möglichkeit sämtliche relevanten Transfers dokumentiert werden. Das gilt insbesondere dann, wenn mehrere Kryptowährungen oder Token betroffen sind.

Zu jeder relevanten Transaktion sollte möglichst festgehalten werden, welcher Vermögenswert übertragen wurde, welche Menge betroffen war, von welcher Adresse der Transfer ausging, welche Zieladresse verwendet wurde und wann die Transaktion durchgeführt beziehungsweise bestätigt wurde. Bei Token sollte zusätzlich das verwendete Blockchain-Netzwerk eindeutig angegeben werden. Diese Angaben bilden die Grundlage für eine spätere technische Rekonstruktion.

Auch der Kontostand vor und nach dem Vorfall kann von Bedeutung sein. Wenn beispielsweise vor dem verdächtigen Ereignis ein bestimmtes Guthaben vorhanden war und anschließend mehrere Transfers stattfanden, kann die Entwicklung anhand der Blockchain nachvollzogen werden. Bei mehreren Wallets sollte für jede betroffene Wallet eine eigene Dokumentation angelegt werden. Dadurch lässt sich vermeiden, dass Transaktionen verschiedener Adressen miteinander verwechselt werden.

Besonders hilfreich kann eine zeitliche Rekonstruktion sein. Dabei sollte möglichst genau festgehalten werden, wann der Betroffene erstmals Kontakt zu einer verdächtigen Person oder Plattform hatte, wann eine Wallet eingerichtet wurde, wann Kryptowährungen gekauft oder übertragen wurden und wann der ungewöhnliche Abfluss festgestellt wurde. Auch spätere Kontakte können relevant sein, etwa wenn nach dem Verlust weitere Zahlungen oder angebliche Freischaltungen verlangt wurden.

Die zeitliche Dokumentation sollte dabei zwischen sicheren Tatsachen und Erinnerungen unterscheiden. Eine Aussage wie „Am 12. September wurde diese Transaktion auf der Blockchain bestätigt“ lässt sich anhand technischer Daten überprüfen. Eine Aussage wie „Der Berater sagte mir vermutlich am Nachmittag, dass ich die Transaktion bestätigen müsse“ beruht dagegen möglicherweise auf einer Erinnerung. Beide Informationen können wichtig sein, sollten aber entsprechend eingeordnet werden.

Kontoauszüge und Überweisungsbelege können ebenfalls eine wichtige Rolle spielen. Wenn zunächst Euro an eine Kryptobörse, einen Zahlungsdienstleister oder ein angebliches Investmentunternehmen überwiesen wurden, lässt sich anhand der Bankunterlagen nachvollziehen, wann welche Zahlung an welchen Empfänger erfolgte. Besonders wichtig können dabei IBAN, BIC, Empfängername, Verwendungszweck und Buchungsdatum sein.

Bei internationalen Zahlungen sollte auch dokumentiert werden, welche Angaben zum Empfänger gemacht wurden. Ein Empfängername auf einem Überweisungsbeleg muss allerdings nicht zwingend mit der tatsächlich handelnden Person identisch sein. Gerade bei Betrugsfällen können fremde Konten, missbräuchlich verwendete Unternehmensdaten oder andere Zahlungsstrukturen eingesetzt werden. Die Angaben sind deshalb als Beweisinformation zu sichern, ohne daraus vorschnell eine Identität abzuleiten.

Wenn Kryptowährungen über eine Kryptobörse erworben wurden, können auch die dort vorhandenen Transaktions- und Kontodaten relevant sein. Dazu können Einzahlungen, Käufe, Verkäufe, Auszahlungen und Wallet-Transfers gehören. Je nach Anbieter können außerdem Informationen über verwendete Geräte, Anmeldevorgänge oder Kontobewegungen verfügbar sein. Welche Daten tatsächlich gespeichert werden, unterscheidet sich von Anbieter zu Anbieter.

Besonders wichtig ist die Unterscheidung zwischen einem Guthaben innerhalb einer Plattform und einem tatsächlichen Bestand auf einer Blockchain-Wallet. Ein angezeigter Kontostand auf einer Webseite kann für sich genommen nicht beweisen, dass die dargestellten Kryptowährungen tatsächlich vorhanden waren. Bei einem Verdacht auf Betrug sollten deshalb Plattformangaben nach Möglichkeit mit den tatsächlich feststellbaren Blockchain-Transaktionen abgeglichen werden.

Screenshots können hierbei wertvoll sein. Sie können beispielsweise zeigen, welche Kontostände, Auszahlungsversprechen, Fehlermeldungen oder Zahlungsaufforderungen auf einer Plattform angezeigt wurden. Auch die Domain einer Webseite, ein Benutzerkonto, eine Wallet-Adresse oder eine bestimmte Aufforderung kann auf einem Screenshot dokumentiert sein. Entscheidend ist, dass Screenshots möglichst vollständig und unverändert aufbewahrt werden.

Ein einzelner Screenshot sollte allerdings nicht isoliert betrachtet werden. Wenn beispielsweise eine Webseite einen hohen Kontostand anzeigt, sollte zusätzlich dokumentiert werden, wie der Betroffene auf diese Webseite gelangt ist, welche Kommunikation vorausging und ob tatsächlich entsprechende Blockchain-Transaktionen festgestellt werden können. Die Aussagekraft eines Screenshots erhöht sich, wenn sie durch weitere unabhängige Informationen gestützt wird.

Auch Chatverläufe können bei der Aufklärung eines Wallet-Diebstahls erhebliche Bedeutung haben. Das gilt insbesondere für Kontakte über WhatsApp, Telegram, SMS, E-Mail oder andere Messenger. Gesichert werden sollten möglichst nicht nur einzelne Nachrichten, sondern der gesamte relevante Gesprächsverlauf. Einzelne aus dem Zusammenhang gelöste Aussagen können später schwer einzuordnen sein.

Besonders relevant können Nachrichten sein, in denen der angebliche Berater oder Supportmitarbeiter den Betroffenen zu bestimmten Transaktionen auffordert. Ebenso wichtig können Aussagen über angebliche Wallet-Sicherheitsprüfungen, Auszahlungsbedingungen, zusätzliche Gebühren oder vermeintliche technische Probleme sein. Wenn aus dem Gespräch hervorgeht, warum der Betroffene eine bestimmte Handlung vorgenommen hat, kann dies für die rechtliche Einordnung des Vorgangs wesentlich sein.

Auch Telefonnummern, E-Mail-Adressen, Benutzernamen und Profilinformationen sollten gesichert werden. Bei einem Betrugsfall kann ein Täter mehrere Identitäten oder Kommunikationskanäle verwendet haben. Deshalb sollte jeder Kontakt mit dem entsprechenden Zeitpunkt und dem verwendeten Kommunikationsweg dokumentiert werden. Ein später gelöschtes Profil kann für die Rekonstruktion des ursprünglichen Kontakts relevant sein, sofern entsprechende Unterlagen noch vorhanden sind.

Bei E-Mails sollte nach Möglichkeit die vollständige Nachricht erhalten bleiben. Nicht nur der sichtbare Text, sondern auch Absenderadresse, Empfänger, Datum und Betreff können wichtige Informationen enthalten. Bei technischen Untersuchungen können zusätzlich E-Mail-Header von Bedeutung sein. Für die rechtliche Bewertung kann außerdem relevant sein, ob eine E-Mail tatsächlich von der angegebenen Domain stammt oder ob eine Adresse lediglich einen bekannten Namen nachahmt.

Vertragsunterlagen, AGB, Rechnungen und angebliche Anlagevereinbarungen sollten ebenfalls gesichert werden. Das gilt auch dann, wenn der Betroffene inzwischen davon ausgeht, dass die Unterlagen gefälscht oder bedeutungslos sind. Gerade bei professionell aufgebauten Betrugsmodellen können Dokumente verwendet werden, um Vertrauen zu schaffen. Für die spätere Aufklärung kann deshalb interessant sein, welche Angaben über das angebliche Unternehmen, den Vertragspartner oder die vereinbarte Leistung gemacht wurden.

Auch Webseiten sollten möglichst genau dokumentiert werden. Dazu gehören insbesondere die Domain, Unterseiten, Impressumsangaben, Kontaktdaten und die dort dargestellten Dienstleistungen. Wenn eine Webseite später nicht mehr erreichbar ist, können vorhandene Screenshots oder gespeicherte Dokumente die ursprüngliche Darstellung nachvollziehbar machen. Bei einer rechtlichen Prüfung kann außerdem relevant sein, welche Angaben über den Betreiber gemacht wurden.

Bei einem Wallet-Diebstahl sollte zudem dokumentiert werden, welche Wallet-Anwendung verwendet wurde. Dazu gehören beispielsweise der Name der Wallet, die verwendete Version, das Gerät und gegebenenfalls die Browser-Erweiterung. Diese Informationen können wichtig werden, wenn der Verdacht besteht, dass eine gefälschte Anwendung, eine manipulierte Erweiterung oder Schadsoftware eine Rolle gespielt hat.

Auch das verwendete Endgerät kann für die Aufklärung relevant sein. Wurde die Wallet über ein Smartphone genutzt, sollte das konkrete Gerät dokumentiert werden. Dasselbe gilt für einen Computer oder ein Tablet. Wenn mehrere Geräte verwendet wurden, sollte nachvollziehbar bleiben, welches Gerät zu welchem Zeitpunkt für die Wallet oder das Kryptokonto eingesetzt wurde.

Besondere Aufmerksamkeit verdient der Einsatz von Fernwartungs- oder Remote-Access-Software. Wenn ein vermeintlicher Supportmitarbeiter oder Anlageberater den Betroffenen dazu gebracht hat, eine solche Software zu installieren, können Installationszeitpunkt, Programmname, Kommunikationsverlauf und ausgeführte Handlungen wichtige Informationen sein. Das bedeutet nicht automatisch, dass die Software tatsächlich für den Diebstahl verantwortlich war. Es sollte jedoch geprüft werden, welche Vorgänge während oder nach dem Fernzugriff stattgefunden haben.

Wenn ein Gerät möglicherweise kompromittiert wurde, sollte die Beweissicherung nicht dadurch erschwert werden, dass vorschnell Daten gelöscht oder das Gerät vollständig zurückgesetzt wird. Ob eine technische Untersuchung sinnvoll ist, hängt vom konkreten Fall ab. Bei größeren Schäden kann es deshalb sinnvoll sein, vor einer umfangreichen Veränderung des Geräts fachlich prüfen zu lassen, welche Daten noch vorhanden sind und wie diese gesichert werden können.

Auch die Seed Phrase und der Private Key sind besondere Informationen. Sie sollten niemals in Chats, E-Mails oder gegenüber angeblichen Helfern weitergegeben werden. Wenn ein Betroffener vermutet, dass seine Seed Phrase kompromittiert wurde, sollte dieser Umstand dokumentiert werden. Die Seed Phrase selbst sollte jedoch nicht als Beweismittel an einen unbekannten Dritten versendet werden.

Eine weitere wichtige Informationsquelle können Wallet-Backups sein. Je nach Wallet können Sicherungsdateien, Wiederherstellungsinformationen oder andere technische Daten existieren. Solche Dateien sollten nicht verändert oder unkontrolliert weitergegeben werden. Bei einer technischen Untersuchung muss vielmehr darauf geachtet werden, dass der ursprüngliche Zustand möglichst nachvollziehbar bleibt.

Bei einem Token-Diebstahl sollten zusätzlich die entsprechenden Smart-Contract-Interaktionen berücksichtigt werden. Nicht jeder Vermögensabfluss erscheint in der Wallet-Oberfläche auf dieselbe Weise. Es kann beispielsweise eine Berechtigung erteilt worden sein, die später für einen Transfer genutzt wurde. Deshalb sollten auch ungewöhnliche Signaturen, Contract-Interaktionen und Token-Transfers dokumentiert werden, sofern sie mit dem Vorfall zusammenhängen.

Wichtig ist außerdem, nicht nur den eigentlichen Schaden zu dokumentieren, sondern auch die Vorgeschichte. Wenn ein Betrüger beispielsweise zunächst eine kleine Transaktion durchführen ließ, um Vertrauen zu schaffen, und erst später eine größere Übertragung verlangte, kann dieser Ablauf für die Gesamtbewertung relevant sein. Auch angebliche Testzahlungen oder zunächst erfolgreiche Auszahlungen sollten deshalb nicht weggelassen werden.

Bei einem Anlage- oder Trading-Betrug kann außerdem relevant sein, wie die angeblichen Gewinne dargestellt wurden. Wenn innerhalb einer Plattform ständig steigende Kontostände angezeigt wurden, ohne dass eine tatsächliche Auszahlung möglich war, sollten entsprechende Screenshots und Kommunikation gesichert werden. Dies kann helfen, zwischen einer realen Vermögensverwaltung und einer bloßen Darstellung auf einer Webseite zu unterscheiden.

Auch Zahlungsaufforderungen nach einem Wallet-Diebstahl sollten vollständig dokumentiert werden. Wenn nach dem Verlust plötzlich eine angebliche Steuer, Sicherheitsleistung, Freischaltungsgebühr oder technische Gebühr verlangt wird, sollte nicht nur die Forderung selbst, sondern auch der Absender, der Zahlungsweg und die Begründung festgehalten werden. Solche Informationen können zeigen, ob nach dem ursprünglichen Vorfall weitere Täuschungsversuche stattgefunden haben.

Eine besondere Bedeutung können dabei Wallet-Adressen haben, an die weitere Zahlungen verlangt werden. Wenn ein angeblicher Helfer behauptet, eine Rückgewinnung sei bereits möglich, und anschließend eine Zahlung an eine bestimmte Kryptowährungsadresse fordert, sollte auch diese Adresse dokumentiert werden. Sie kann gegebenenfalls mit anderen bekannten Transaktionsstrukturen verglichen werden.

Die Beweissicherung sollte grundsätzlich darauf ausgerichtet sein, die Entstehung des Schadens nachvollziehbar zu machen. Es reicht deshalb nicht immer aus, lediglich zu dokumentieren, dass Kryptowährungen fehlen. Es sollte möglichst nachvollziehbar sein, welche Vermögenswerte ursprünglich vorhanden waren, wie sie erworben wurden, wann sie übertragen wurden und unter welchen Umständen der entscheidende Transfer erfolgte.

Bei größeren Schadenssummen kann auch eine Aufstellung des gesamten Vermögensflusses sinnvoll sein. Darin können Fiat-Zahlungen, Krypto-Käufe, Wallet-Transfers und spätere Transaktionen getrennt dargestellt werden. Eine solche Übersicht erleichtert es, einzelne Vorgänge miteinander zu vergleichen und Unstimmigkeiten zu erkennen.

Dabei sollte zwischen verschiedenen Vermögenswerten unterschieden werden. Bitcoin, Ether, Stablecoins und andere Token können auf unterschiedlichen Netzwerken bewegt worden sein. Wenn mehrere Netzwerke verwendet wurden, sollte jeweils das richtige Netzwerk dokumentiert werden. Eine Transaktion auf einem Ethereum-kompatiblen Netzwerk kann beispielsweise nicht ohne Weiteres mit einer Bitcoin-Transaktion gleichgesetzt werden.

Auch sogenannte Cross-Chain-Transaktionen können relevant werden. Wenn Vermögenswerte zwischen unterschiedlichen Netzwerken bewegt wurden, kann die technische Nachverfolgung über mehrere Systeme hinweg erforderlich sein. Für die Beweissicherung bedeutet dies, dass nicht nur die ursprüngliche Blockchain, sondern gegebenenfalls auch weitere Netzwerke betrachtet werden müssen.

Bei der Dokumentation sollten außerdem keine eigenen Schlussfolgerungen als gesicherte Tatsachen dargestellt werden. Wenn eine Wallet-Adresse lediglich verdächtig erscheint, sollte sie auch als solche bezeichnet werden. Wenn dagegen ein Blockchain-Explorer eindeutig eine bestimmte Transaktion ausweist, kann dieser technische Umstand präzise dokumentiert werden. Diese Trennung erhöht die Qualität der späteren Auswertung.

Das gilt auch für die Frage, wer hinter einer Wallet-Adresse steht. Ein Betroffener kann aufgrund eines Chats vermuten, dass eine bestimmte Person die Ziel-Wallet kontrolliert. Eine solche Vermutung sollte von der technischen Feststellung getrennt werden, dass die Kryptowährungen an diese Adresse übertragen wurden. Erst weitere Informationen können eine Identitätszuordnung stützen.

Besonders hilfreich kann eine chronologische Fallübersicht sein. Darin sollten die wesentlichen Ereignisse mit Datum und Uhrzeit erfasst werden: erster Kontakt, Registrierung bei einer Plattform, erste Einzahlung, Erwerb von Kryptowährungen, Übertragung auf die eigene Wallet, Kontakt mit einem angeblichen Berater, Aufforderung zur Signatur, Verlust des Zugangs, verdächtige Blockchain-Transaktion und spätere Kontaktversuche.

Eine solche Chronologie kann auch helfen, Widersprüche zu erkennen. Wenn beispielsweise eine angebliche Plattform behauptet, eine Auszahlung sei bereits durchgeführt worden, die Blockchain aber keinen entsprechenden Transfer zeigt, entsteht eine konkrete Abweichung zwischen Behauptung und technischen Daten. Solche Widersprüche können für die weitere Prüfung besonders wertvoll sein.

Bei der Zusammenstellung der Unterlagen sollte außerdem zwischen Originalen und Arbeitskopien unterschieden werden. Screenshots, PDFs und exportierte Chatverläufe können für die Übersicht hilfreich sein. Die ursprünglichen Nachrichten, Dateien und technischen Daten sollten dennoch möglichst erhalten bleiben. So kann später nachvollzogen werden, auf welcher Grundlage eine Zusammenfassung erstellt wurde.

Wer professionelle Hilfe in Anspruch nimmt, sollte deshalb nicht wahllos sämtliche sensiblen Zugangsdaten versenden. Eine seriöse Prüfung benötigt in der Regel bestimmte Informationen zum Sachverhalt, aber nicht automatisch die Seed Phrase oder den Private Key. Solche Geheimnisse sollten grundsätzlich geschützt bleiben. Auch Passwörter und Wiederherstellungscodes sollten nicht an unbekannte Personen übermittelt werden.

Ein weiterer wichtiger Punkt ist die Sicherung von Belegen über den Erwerb der Kryptowährungen. Wenn Coins beispielsweise über eine Kryptobörse gekauft wurden, können Kaufbestätigungen, Abrechnungen und Kontoauszüge zeigen, dass die entsprechenden Vermögenswerte tatsächlich erworben wurden. Bei längeren Anlagezeiträumen können auch ältere Transaktionsunterlagen relevant sein.

Bei selbst verwalteten Wallets kann die Dokumentation schwieriger sein, weil nicht immer eine zentrale Plattform vollständige Kontounterlagen bereitstellt. Hier gewinnen Blockchain-Daten, Wallet-Historien und eigene Aufzeichnungen an Bedeutung. Auch Übertragungen zwischen eigenen Wallets sollten nachvollziehbar bleiben, damit nicht versehentlich interne Transfers als Schaden interpretiert werden.

Bei einem Schaden durch einen angeblichen Broker oder Anlageberater sollten außerdem sämtliche Angaben zur Identität des Kontakts gesichert werden. Dazu können Name, Telefonnummer, E-Mail-Adresse, angebliche Berufsbezeichnung, Unternehmensname, Webseite und verwendete Kommunikationskanäle gehören. Wenn ein Berater sich mit einer bestimmten Zulassung oder Unternehmenszugehörigkeit vorgestellt hat, sollten auch die entsprechenden Angaben dokumentiert werden.

Die Beweislage kann besonders umfangreich werden, wenn mehrere Personen beteiligt waren. Dann sollte möglichst klar festgehalten werden, welcher Kontakt welche Aussage gemacht und welche Zahlung oder Transaktion veranlasst hat. Eine pauschale Zusammenfassung wie „die Plattform hat mein Geld gestohlen“ kann weniger aussagekräftig sein als eine konkrete Darstellung einzelner Vorgänge.

Für eine spätere rechtliche Prüfung ist außerdem wichtig, den tatsächlichen Schaden nachvollziehbar zu beziffern. Dazu können die Menge der verlorenen Kryptowährungen, der Zeitpunkt des jeweiligen Transfers und gegebenenfalls weitere entstandene Kosten dokumentiert werden. Bei stark schwankenden Kursen sollte nicht nur ein aktueller Gesamtwert genannt werden, sondern die zugrunde liegenden Daten sollten nachvollziehbar bleiben.

Eine gute Beweissicherung erfüllt damit mehrere Funktionen gleichzeitig. Sie dokumentiert den ursprünglichen Bestand, macht den tatsächlichen Abfluss nachvollziehbar, erklärt die Umstände des Transfers und ermöglicht die technische Analyse der weiteren Transaktionswege. Gleichzeitig schafft sie eine Grundlage dafür, rechtliche Fragen von technischen Tatsachen zu trennen.

Besonders wertvoll ist die Kombination aus Blockchain-Daten und außerhalb der Blockchain vorhandenen Informationen. Die Blockchain zeigt, was technisch übertragen wurde. Chatverläufe können zeigen, warum der Betroffene eine Handlung vorgenommen hat. Kontoauszüge zeigen den Zahlungsfluss in der klassischen Finanzwelt. Screenshots können die Darstellung einer Plattform dokumentieren. Vertragsunterlagen können zeigen, welche Leistungen versprochen wurden. Geräte- und Softwareinformationen können Hinweise auf einen möglichen technischen Zugriff liefern.

Keines dieser Beweismittel sollte isoliert überbewertet werden. Ein Transaktions-Hash beweist beispielsweise den Transfer, aber nicht automatisch die Identität des Empfängers. Ein Chat beweist eine Kommunikation, aber nicht automatisch die Richtigkeit der darin enthaltenen Angaben. Ein Screenshot dokumentiert eine Darstellung, beweist aber nicht allein, dass ein angezeigtes Guthaben tatsächlich vorhanden war. Erst die Gesamtschau kann ein belastbares Bild ergeben.

Für Betroffene ist deshalb vor allem wichtig, die vorhandenen Informationen nicht vorschnell zu löschen, zu verändern oder auf verschiedene Geräte und Accounts verteilt zu verlieren. Auch wenn einzelne Unterlagen zunächst nebensächlich erscheinen, kann ihre Bedeutung erst bei der Zusammenführung mit den Blockchain-Daten erkennbar werden.

Wenn Kryptowährungen aus einer Wallet gestohlen wurden, sollte die Beweissicherung daher möglichst systematisch erfolgen. Wallet-Adressen, Transaktions-Hashes, betroffene Kryptowährungen, Zieladressen und Zeitpunkte bilden die technische Grundlage. Kontoauszüge, Überweisungsbelege, Chatverläufe, E-Mails, Screenshots, Vertragsunterlagen, Telefonnummern und Angaben zu den beteiligten Personen ergänzen diese Informationen.

Eine vollständige Beweissammlung bedeutet dabei nicht, dass bereits feststeht, wer für den Verlust verantwortlich ist oder ob eine Rückgewinnung möglich sein wird. Sie schafft vielmehr die Grundlage für eine sachliche Prüfung. Erst wenn die technischen und tatsächlichen Informationen zusammengeführt wurden, lässt sich beurteilen, wie der Wallet-Diebstahl abgelaufen sein könnte, welche Personen oder Unternehmen möglicherweise eine Rolle spielen und welche weiteren Untersuchungen sinnvoll sind.

Gerade bei komplexen Fällen mit hohen Verlusten sollte deshalb nicht nur die Höhe des Schadens dokumentiert werden. Entscheidend ist die Qualität der gesamten Informationskette. Je genauer sich nachvollziehen lässt, was vor dem Verlust geschah, welche Transaktion den Abfluss verursachte und wohin die Kryptowährungen anschließend transferiert wurden, desto besser kann die weitere Aufklärung an konkreten Tatsachen ansetzen.

Kryptowährungen aus Wallet gestohlen – wann kann ein Anwalt bei der Aufklärung helfen?

Wenn Kryptowährungen aus einer Wallet gestohlen wurden, stehen Betroffene häufig vor einem Problem, das sich technisch und rechtlich nur schwer allein beurteilen lässt. Eine Blockchain kann zwar zeigen, dass Kryptowährungen von einer bestimmten Adresse an eine andere übertragen wurden. Sie beantwortet aber nicht automatisch die Frage, wer hinter der Zieladresse steht, wie es zum Verlust gekommen ist und ob daraus rechtliche Ansprüche entstehen. Gerade an dieser Schnittstelle kann anwaltliche Unterstützung sinnvoll werden.

Dabei geht es nicht darum, jedem Wallet-Diebstahl pauschal einen bestimmten rechtlichen Verlauf zuzuordnen. Die Ausgangslage kann von Fall zu Fall erheblich unterschiedlich sein. In einem Fall wurde möglicherweise die Seed Phrase durch einen Phishing-Angriff erlangt. In einem anderen Fall hat ein Betroffener aufgrund einer Täuschung selbst eine Transaktion signiert. Wiederum andere Fälle stehen im Zusammenhang mit einer angeblichen Kryptobörse, einem vermeintlichen Anlageberater oder einem angeblichen Supportmitarbeiter. Die rechtliche Prüfung muss diese Unterschiede berücksichtigen.

Ein Anwalt kann zunächst dabei helfen, den Sachverhalt aus rechtlicher Sicht zu strukturieren. Das ist insbesondere dann wichtig, wenn der Vorgang über einen längeren Zeitraum stattgefunden hat und zahlreiche Personen, Webseiten, Zahlungswege und Wallets beteiligt waren. Statt nur das Endergebnis – eine leere Wallet – zu betrachten, wird der gesamte Ablauf in einzelne Vorgänge aufgeteilt.

Dazu gehört beispielsweise die Frage, wann der erste Kontakt zu einem vermeintlichen Berater oder einer Plattform stattgefunden hat. Anschließend kann geprüft werden, wann der Betroffene Kryptowährungen erworben oder auf eine eigene Wallet übertragen hat, wann erstmals ungewöhnliche Aufforderungen erfolgten und wann die verdächtigen Transaktionen stattgefunden haben. Auch spätere Kontakte können relevant sein, wenn nach dem Verlust weitere Zahlungen oder angebliche Freischaltungen verlangt wurden.

Ein wesentlicher Bestandteil kann die Prüfung der Blockchain-Daten sein. Der Anwalt muss dabei nicht selbst jede technische Transaktion analysieren. In komplexeren Fällen kann es sinnvoll sein, die technische Auswertung durch entsprechend spezialisierte Fachleute durchführen zu lassen und die Ergebnisse anschließend rechtlich einzuordnen. Entscheidend ist, dass technische Feststellungen und juristische Schlussfolgerungen nicht miteinander verwechselt werden.

Eine Blockchainanalyse kann beispielsweise feststellen, dass ein bestimmter Betrag aus der betroffenen Wallet an eine bestimmte Zieladresse transferiert wurde und anschließend über mehrere weitere Adressen weitergeleitet wurde. Daraus folgt jedoch noch nicht automatisch, dass der Inhaber der ersten Zieladresse identifiziert ist. Die anwaltliche Prüfung setzt deshalb an der Frage an, welche weiteren Informationen benötigt werden könnten und welche rechtlichen Möglichkeiten zur Aufklärung bestehen.

Gerade bei unbekannten Wallet-Adressen kann diese Unterscheidung entscheidend sein. Eine Adresse ist zunächst eine technische Kennung. Sie kann möglicherweise einer Person, einem Unternehmen, einer Kryptobörse oder einer anderen Struktur zugeordnet werden. Ob eine solche Zuordnung tatsächlich möglich ist, hängt von den verfügbaren Daten und der konkreten Transaktionskette ab.

Wenn die Blockchainanalyse eine Verbindung zu einer zentralen Kryptobörse oder einem anderen Kryptodienstleister erkennen lässt, kann ein Anwalt prüfen, welche Bedeutung dieser Kontakt für den Fall hat. Dabei kann es beispielsweise um die Frage gehen, ob der betreffende Dienstleister Informationen über einen Nutzer besitzt und unter welchen Voraussetzungen solche Informationen rechtlich relevant werden können.

Eine solche Prüfung bedeutet nicht, dass eine Kryptobörse automatisch für den Verlust verantwortlich ist. Ein Dienstleister kann in einer Transaktionskette unterschiedliche Funktionen haben. Entscheidend ist, welche Rolle er tatsächlich gespielt hat und welche konkreten Tatsachen vorliegen. Die Identifizierung eines Kontos und die Frage einer möglichen Verantwortlichkeit sind zwei voneinander zu trennende Themen.

Auch bei einem angeblichen Broker oder Anlageberater kann anwaltliche Unterstützung helfen. Wenn Kryptowährungen aufgrund einer vermeintlichen Anlageberatung übertragen wurden, sollte geprüft werden, welche Aussagen gemacht wurden, welche Leistungen versprochen wurden und wer tatsächlich hinter dem Kontakt stand. Häufig ist die Bezeichnung „Berater“ lediglich Teil der Kommunikation und sagt allein noch nichts über die rechtliche Stellung der betreffenden Person aus.

Besonders wichtig kann die Prüfung der Identität eines vermeintlichen Vertragspartners sein. Betrüger verwenden teilweise fremde Namen, gefälschte Unternehmensangaben oder Webseiten, die den Eindruck eines seriösen Finanz- oder Kryptounternehmens vermitteln. Ein Anwalt kann die vorhandenen Informationen daraufhin untersuchen, welche Person oder Organisation tatsächlich als möglicher Ansprechpartner in Betracht kommt.

Auch Vertragsunterlagen können dabei eine Rolle spielen. Wenn der Betroffene eine Vereinbarung mit einem angeblichen Unternehmen abgeschlossen hat, sollte geprüft werden, welche Partei im Vertrag genannt wird, welche Leistungen vereinbart wurden und welche Zahlungswege vorgesehen waren. Gleichzeitig muss untersucht werden, ob die angegebenen Unternehmensdaten tatsächlich zu demjenigen gehören, mit dem der Betroffene kommuniziert hat.

Ein häufiger Fehler besteht darin, ausschließlich die zuletzt beteiligte Wallet zu betrachten. Wenn die Kryptowährungen beispielsweise nach einer Täuschung zunächst an eine angebliche Investment-Wallet übertragen und später auf mehrere weitere Adressen verteilt wurden, kann die rechtliche Prüfung an unterschiedlichen Punkten ansetzen. Der erste Transfer, die Kommunikation mit dem angeblichen Berater und die späteren Blockchain-Bewegungen können jeweils eigene Informationen liefern.

Auch die Frage, ob der Betroffene selbst eine Transaktion signiert hat, sollte genau geprüft werden. Eine technisch gültige Signatur bedeutet nicht automatisch, dass der Betroffene den wirtschaftlichen Zweck der Transaktion verstanden hat. Wenn er beispielsweise aufgrund einer Täuschung davon ausging, eine Wallet zu sichern, während tatsächlich eine Übertragung an einen fremden Empfänger freigegeben wurde, kann die Vorgeschichte für die rechtliche Bewertung entscheidend sein.

Umgekehrt sollte auch nicht jede unbekannte Transaktion automatisch als Hack bezeichnet werden. Wenn eine Transaktion nachweisbar vom Nutzer selbst initiiert wurde, muss zunächst geklärt werden, warum sie erfolgt ist. Eine unzutreffende technische oder rechtliche Einordnung kann die weitere Bearbeitung erschweren. Genau deshalb ist eine möglichst präzise Rekonstruktion des Ablaufs wichtig.

Ein Anwalt kann außerdem helfen, die vorhandenen Beweismittel zu ordnen. Bei einem komplexen Wallet-Diebstahl liegen häufig sehr unterschiedliche Informationen vor: Kontoauszüge, Überweisungsbelege, Wallet-Adressen, Transaktions-Hashes, Screenshots, E-Mails, Chatverläufe, Telefonnummern, Webseiten, Vertragsunterlagen und Angaben zu angeblichen Ansprechpartnern. Ohne Struktur ist es schwierig, daraus einen klaren Sachverhalt zu entwickeln.

Eine geordnete Chronologie kann hier besonders hilfreich sein. Sie sollte möglichst konkret zeigen, was wann passiert ist. Dabei können technische Ereignisse und Kommunikation miteinander verbunden werden. Wenn beispielsweise wenige Minuten nach einer bestimmten Nachricht eine ungewöhnliche Wallet-Transaktion stattfand, kann dieser zeitliche Zusammenhang für die weitere Untersuchung relevant sein. Er beweist allein noch keine Ursache, kann aber einen konkreten Prüfungsansatz darstellen.

Auch bei der Kommunikation mit Kryptobörsen oder anderen Dienstleistern kann anwaltliche Unterstützung sinnvoll sein. Welche Informationen sinnvoll angefordert werden können und welche rechtlichen Voraussetzungen dafür bestehen, hängt vom konkreten Sachverhalt ab. Ein pauschales Vorgehen nach dem Muster „Börse muss die Daten herausgeben“ wäre deshalb nicht sachgerecht.

Bei internationalen Dienstleistern kann die rechtliche Bewertung zusätzlich komplex werden. Der Anbieter kann seinen Sitz außerhalb Deutschlands haben, während der Betroffene in Deutschland lebt und die Wallet ebenfalls von Deutschland aus genutzt wurde. Die Blockchaintransaktionen können wiederum über mehrere Länder und Plattformen verlaufen. In solchen Fällen müssen Zuständigkeiten und rechtliche Rahmenbedingungen besonders sorgfältig geprüft werden.

Ein Anwalt kann außerdem beurteilen, ob neben der technischen Aufklärung zivilrechtliche Ansprüche in Betracht kommen. Dabei können je nach Sachverhalt beispielsweise Ansprüche auf Herausgabe, Rückzahlung oder Schadensersatz geprüft werden. Welche Anspruchsgrundlage tatsächlich besteht, hängt von den konkreten Umständen ab.

Von besonderer Bedeutung ist dabei die Identifizierbarkeit des möglichen Anspruchsgegners. Ein rechtlicher Anspruch ist praktisch schwieriger durchzusetzen, wenn lediglich eine unbekannte Blockchain-Adresse bekannt ist und keine weiteren Informationen über deren kontrollierende Person vorliegen. Deshalb kann die Identifizierung eines möglichen Anspruchsgegners einen wesentlichen Teil der Bearbeitung darstellen.

Die Blockchainanalyse kann hierzu einen Ausgangspunkt liefern. Wenn beispielsweise festgestellt wird, dass gestohlene Kryptowährungen später bei einer zentralen Plattform eingegangen sind, kann geprüft werden, ob sich daraus ein konkreter weiterer Aufklärungsansatz ergibt. Wenn die Vermögenswerte dagegen über zahlreiche unbekannte Adressen verteilt wurden, kann die Situation erheblich schwieriger sein.

Auch der aktuelle Zustand der Vermögenswerte kann eine Rolle spielen. Es macht einen Unterschied, ob die Kryptowährungen unmittelbar nach dem Diebstahl weiterbewegt wurden oder ob sie über längere Zeit auf einer identifizierbaren Adresse verblieben sind. Eine technische Analyse kann diese Entwicklung sichtbar machen. Die rechtliche Prüfung muss anschließend bewerten, welche Bedeutung sie für den konkreten Fall hat.

Dabei ist es wichtig, keine falschen Erwartungen zu wecken. Ein Anwalt kann die rechtlichen Möglichkeiten prüfen und die vorhandenen Daten auswerten lassen. Er kann jedoch nicht garantieren, dass gestohlene Kryptowährungen tatsächlich zurückerlangt werden. Ob eine Rückgewinnung möglich ist, hängt von zahlreichen Faktoren ab, unter anderem von der Identifizierbarkeit beteiligter Personen, dem Verbleib der Vermögenswerte und den rechtlichen Möglichkeiten im jeweiligen Fall.

Gerade bei Krypto-Schäden sollten Betroffene deshalb vorsichtig sein, wenn ihnen eine sichere Rückholung versprochen wird. Eine seriöse rechtliche Prüfung beginnt nicht mit einer Garantie, sondern mit der Analyse des Sachverhalts. Dabei sollte klar benannt werden, welche Informationen tatsächlich vorliegen, welche Punkte ungeklärt sind und welche weiteren Prüfungen sinnvoll sein könnten.

Besondere Vorsicht ist bei Personen geboten, die sich nach einem ersten Krypto-Schaden als angebliche Rückholungs- oder Blockchainexperten melden. Wenn behauptet wird, die gestohlenen Kryptowährungen seien bereits eindeutig lokalisiert und müssten nur noch gegen eine Vorauszahlung freigegeben werden, sollte die Behauptung kritisch geprüft werden. Auch hier können Blockchain-Adressen, Transaktions-Hashes und Zahlungsaufforderungen wichtige Informationen liefern.

Ein Anwalt kann helfen, zwischen einer tatsächlichen technischen Erkenntnis und einer bloßen Behauptung zu unterscheiden. Wenn ein Anbieter beispielsweise behauptet, eine bestimmte Wallet kontrolliere die gestohlenen Kryptowährungen, sollte nachvollziehbar sein, auf welcher Transaktion diese Aussage beruht. Eine bloße Bildschirmaufnahme oder eine allgemeine Aussage über eine Blockchainanalyse reicht dafür nicht zwangsläufig aus.

Bei der Auswahl fachlicher Unterstützung ist außerdem darauf zu achten, dass sowohl die rechtliche als auch die technische Seite verstanden wird. Nicht jeder Anwalt ist auf Kryptowährungen und komplexe Blockchain-Sachverhalte spezialisiert. Umgekehrt ersetzt eine technische Blockchainanalyse keine anwaltliche Prüfung. In umfangreicheren Fällen kann deshalb eine Zusammenarbeit verschiedener Fachrichtungen sinnvoll sein.

Eine anwaltliche Prüfung kann auch dann hilfreich sein, wenn der Betroffene selbst bereits umfangreiche Recherchen durchgeführt hat. Häufig entstehen dabei zahlreiche offene Fragen: Ist die Zieladresse einer Börse zuzuordnen? Wurden die Kryptowährungen weitergeleitet? Welche Person könnte hinter dem Kontakt stehen? Gibt es einen Vertragspartner? Welche Ansprüche könnten bestehen? Welche Unterlagen sind relevant? Ein strukturierter rechtlicher Blick kann helfen, diese Fragen nach ihrer tatsächlichen Bedeutung zu ordnen.

Dabei sollte die vorhandene Dokumentation möglichst vollständig übergeben werden. Dazu gehören insbesondere die Wallet-Adresse und Transaktions-Hashes, Angaben über die betroffenen Kryptowährungen, relevante Kontoauszüge, Überweisungsbelege, Screenshots, Chatverläufe, E-Mails und Vertragsunterlagen. Auch scheinbar nebensächliche Angaben zu Telefonnummern, Webseiten oder Benutzernamen können bei der Zuordnung eines Kontakts relevant sein.

Sensible Zugangsdaten sollten dagegen nicht unnötig weitergegeben werden. Ein Anwalt benötigt nicht automatisch die Seed Phrase oder den Private Key, um den Sachverhalt rechtlich zu prüfen. Solche Daten sind besonders schützenswert. Wer nach einem Wallet-Diebstahl Hilfe sucht, sollte daher genau unterscheiden zwischen Informationen, die für die Aufklärung benötigt werden, und Zugangsdaten, die die Kontrolle über weitere Vermögenswerte ermöglichen könnten.

Auch bei der Kommunikation mit einem Anwalt kann es sinnvoll sein, den Sachverhalt zunächst chronologisch zusammenzufassen. Eine kurze Übersicht über den ersten Kontakt, die anschließenden Zahlungen und Wallet-Transfers, den Zeitpunkt des Verlusts und die danach erfolgten Kontakte erleichtert die erste Einschätzung. Anschließend können die einzelnen Dokumente den jeweiligen Ereignissen zugeordnet werden.

Ein weiterer Vorteil anwaltlicher Unterstützung liegt darin, dass nicht jede technische Auffälligkeit sofort als rechtlich relevant behandelt werden muss. Die Blockchain kann zahlreiche Informationen liefern. Entscheidend ist aber, welche davon für die konkrete Fragestellung Bedeutung haben. Eine strukturierte rechtliche Prüfung kann helfen, technische Daten auf die tatsächlich relevanten Punkte zu konzentrieren.

Das gilt beispielsweise für die Frage, ob eine bestimmte Wallet einem Kryptodienstleister zugeordnet werden kann. Technisch kann eine solche Verbindung möglicherweise erkennbar sein. Juristisch stellt sich anschließend die Frage, welche Konsequenzen daraus folgen könnten. Gibt es einen identifizierbaren Nutzer? Welche Informationen könnten verfügbar sein? Welche rechtlichen Voraussetzungen bestehen? Welche weiteren Daten sind erforderlich? Diese Fragen lassen sich nicht allein durch einen Blockchain-Explorer beantworten.

Auch bei einem vermeintlichen Anlageberater kann die Verbindung zwischen Kommunikation und Blockchain entscheidend sein. Wenn der Berater beispielsweise konkrete Wallet-Adressen nennt, bestimmte Transfers verlangt oder behauptet, Kryptowährungen würden auf einem persönlichen Anlagekonto verwahrt, können diese Aussagen mit den tatsächlichen Transaktionen abgeglichen werden. Dadurch können Widersprüche sichtbar werden.

Ein solcher Abgleich kann insbesondere dann relevant sein, wenn eine Plattform Gewinne oder Guthaben anzeigt, die sich technisch nicht nachvollziehen lassen. Wenn beispielsweise ein hoher angeblicher Kontostand dargestellt wird, aber keine entsprechenden Blockchainbewegungen festgestellt werden können, kann dies eine wichtige Auffälligkeit sein. Die rechtliche Bedeutung muss anschließend anhand der gesamten Unterlagen bewertet werden.

Auch die Frage nach dem Zeitpunkt des Schadenseintritts kann anwaltlich eingeordnet werden. Bei einem unmittelbaren Wallet-Diebstahl kann der relevante Zeitpunkt mit einer bestimmten Transaktion zusammenfallen. Bei einem länger andauernden Betrugsmodell kann sich die Situation anders darstellen, weil möglicherweise mehrere Übertragungen zu unterschiedlichen Zeitpunkten erfolgt sind. Für mögliche Ansprüche und deren Berechnung kann die genaue zeitliche Einordnung wichtig sein.

Bei erheblichen Schäden kann außerdem geprüft werden, ob neben dem ursprünglichen Verlust weitere Vermögensschäden entstanden sind. Dazu können zusätzliche Zahlungen an Betrüger, Kosten für angebliche Freischaltungen oder andere im Zusammenhang mit der Täuschung entstandene finanzielle Belastungen gehören. Ob solche Positionen rechtlich berücksichtigt werden können, ist jeweils gesondert zu prüfen.

Wichtig ist auch, zwischen dem Verlust von Kryptowährungen und einem Verlust von Zugangsmöglichkeiten zu unterscheiden. Wenn beispielsweise lediglich der Zugriff auf eine Wallet verloren wurde, die Kryptowährungen aber weiterhin auf der Blockchain vorhanden sind, liegt ein anderer Sachverhalt vor als bei einer tatsächlich ausgeführten Übertragung an eine fremde Adresse. Eine anwaltliche Prüfung sollte deshalb zunächst feststellen, ob ein Vermögensabfluss oder lediglich ein Zugangsproblem vorliegt.

Wenn dagegen eindeutig feststeht, dass Kryptowährungen an eine unbekannte Zieladresse transferiert wurden, kann die technische Nachverfolgung stärker in den Mittelpunkt rücken. Dabei sollte untersucht werden, ob die Vermögenswerte anschließend weiterbewegt wurden und ob sich Verbindungen zu identifizierbaren Stellen ergeben. Die Ergebnisse können dann in die rechtliche Bewertung einfließen.

Auch die Höhe des Schadens kann beeinflussen, welcher Aufwand für eine weitergehende Untersuchung wirtschaftlich sinnvoll erscheint. Eine umfangreiche technische Analyse und internationale rechtliche Prüfung kann erhebliche Ressourcen erfordern. Deshalb sollte nicht nur gefragt werden, was theoretisch möglich ist, sondern auch, welche Maßnahmen im Verhältnis zum konkreten Fall sinnvoll erscheinen.

Eine seriöse Beratung sollte deshalb Chancen und Grenzen gleichermaßen benennen. Wenn die vorhandenen Daten keine belastbare Verbindung zu einem identifizierbaren Anspruchsgegner ergeben, sollte dies offen angesprochen werden. Wenn dagegen konkrete Anknüpfungspunkte bestehen, können diese gezielt weiterverfolgt werden. Gerade diese realistische Einschätzung unterscheidet eine sachliche rechtliche Prüfung von pauschalen Rückholungsversprechen.

Für Betroffene kann anwaltliche Unterstützung insbesondere dann sinnvoll sein, wenn die Schadenshöhe erheblich ist, mehrere Personen oder Unternehmen beteiligt waren, eine komplexe Blockchain-Transaktionskette besteht, ein angeblicher Broker oder Anlageberater involviert war oder sich Hinweise auf eine zentrale Kryptobörse ergeben. Auch bei einem Verdacht auf Phishing, kompromittierte Zugangsdaten oder einen missbrauchten Fernzugriff kann eine rechtliche und technische Gesamtbetrachtung hilfreich sein.

Dabei sollte die Unterstützung möglichst früh ansetzen, ohne dass dadurch der Eindruck entstehen muss, jede Situation könne sofort gelöst werden. Ziel ist zunächst, die Fakten zu sichern, den Ablauf zu rekonstruieren und die vorhandenen Ansatzpunkte zu bewerten. Auf dieser Grundlage lässt sich besser entscheiden, welche weiteren Schritte tatsächlich sinnvoll sind.

Ein Anwalt kann somit mehrere Aufgaben miteinander verbinden: die rechtliche Einordnung des Sachverhalts, die Strukturierung der Beweismittel, die Bewertung möglicher Anspruchsgegner, die Einordnung einer Blockchainanalyse und gegebenenfalls die Prüfung von Möglichkeiten zur Sicherung oder Durchsetzung von Vermögensansprüchen. Welche dieser Aufgaben im Einzelfall erforderlich sind, hängt vom konkreten Schaden und dessen Entstehung ab.

Entscheidend bleibt dabei, dass die technische Spur und die rechtliche Bewertung zusammenpassen. Eine Blockchainadresse kann ein wichtiger Ausgangspunkt sein. Ein Transaktions-Hash kann den Vermögensabfluss dokumentieren. Ein Chatverlauf kann den Zusammenhang mit einer Täuschung erklären. Ein Kontoauszug kann den vorausgehenden Zahlungsfluss belegen. Erst aus dieser Verbindung kann sich ein belastbares Gesamtbild entwickeln.

Wer Kryptowährungen aus einer Wallet verloren hat, sollte deshalb nicht nur danach fragen, ob ein Anwalt „Krypto zurückholen“ kann. Sinnvoller ist die Frage, ob sich der konkrete Vorgang technisch und rechtlich aufklären lässt, welche Personen oder Unternehmen identifizierbar sind, welche Ansprüche geprüft werden können und ob konkrete Möglichkeiten bestehen, den weiteren Vermögensfluss zu verfolgen.

Eine fachlich fundierte Prüfung verspricht dabei nicht automatisch einen bestimmten Ausgang. Sie schafft vielmehr Klarheit darüber, welche Tatsachen feststehen, welche Fragen offen sind und welche rechtlichen Möglichkeiten unter den gegebenen Umständen realistisch geprüft werden können. Gerade bei komplexen Wallet-Diebstählen ist diese Trennung zwischen gesicherten Fakten, technischen Spuren und rechtlichen Schlussfolgerungen ein wesentlicher Bestandteil einer seriösen Bearbeitung.

Kryptowährungen aus Wallet gestohlen – wie lässt sich eine Rückgewinnung des Vermögens realistisch prüfen?

Wenn Kryptowährungen aus einer Wallet gestohlen wurden, steht für Betroffene meist eine Frage im Mittelpunkt: Gibt es eine realistische Möglichkeit, das verlorene Vermögen wiederzuerlangen? Diese Frage lässt sich nicht allein anhand der Blockchain und auch nicht allein anhand der Schadenshöhe beantworten. Entscheidend ist vielmehr, wie der Verlust entstanden ist, wohin die Kryptowährungen transferiert wurden, ob sich die weiteren Vermögensbewegungen nachvollziehen lassen und ob eine Person oder Organisation identifiziert werden kann, gegen die konkrete rechtliche Möglichkeiten bestehen.

Eine realistische Prüfung beginnt deshalb nicht mit dem Versprechen einer Rückgewinnung. Sie beginnt mit einer nüchternen Bestandsaufnahme. Zunächst muss geklärt werden, welche Kryptowährungen tatsächlich verloren gegangen sind und ob überhaupt ein endgültiger Vermögensabfluss vorliegt. In manchen Fällen besteht lediglich kein Zugriff mehr auf eine Wallet, obwohl sich die Vermögenswerte weiterhin auf derselben Blockchain-Adresse befinden. In anderen Fällen wurden Coins oder Token tatsächlich an eine fremde Adresse übertragen.

Diese Unterscheidung ist von grundlegender Bedeutung. Wenn der Betroffene lediglich den Zugriff auf seine eigene Wallet verloren hat, kann die technische Wiederherstellung des Zugangs eine andere Frage sein als die Aufklärung eines unbefugten Transfers. Wenn dagegen eine Transaktion nachweisbar von der eigenen Wallet an eine unbekannte Zieladresse durchgeführt wurde, muss der weitere Weg der Kryptowährungen untersucht werden.

Ist der Vermögensabfluss eindeutig festgestellt, sollte zunächst die Transaktionskette betrachtet werden. Dabei geht es nicht nur um die erste Zieladresse. Entscheidend kann sein, was anschließend mit den Kryptowährungen geschah. Wurden sie auf eine weitere Wallet übertragen? Wurden sie auf mehrere Adressen verteilt? Wurden sie gegen einen anderen Token getauscht? Sind sie über eine andere Blockchain bewegt worden? Oder gibt es Hinweise darauf, dass sie bei einer zentralen Kryptobörse oder einem anderen Kryptodienstleister angekommen sind?

Je nach Verlauf kann sich daraus eine sehr unterschiedliche Ausgangslage ergeben. Eine nachvollziehbare Transaktionskette zu einer identifizierbaren Plattform kann einen anderen Ansatz bieten als ein Vermögensfluss über zahlreiche unbekannte Adressen. Deshalb sollte die Frage „Kann ich meine Kryptowährungen zurückbekommen?“ nicht isoliert gestellt werden. Zunächst muss untersucht werden, welche tatsächlichen Spuren vorhanden sind.

Besonders wichtig ist die Identifizierung eines möglichen Anspruchsgegners. Eine Blockchain-Adresse allein enthält normalerweise keinen Namen. Wenn die gestohlenen Kryptowährungen auf einer unbekannten Wallet liegen, ist damit noch nicht geklärt, wer diese Wallet kontrolliert. Eine technische Analyse kann möglicherweise Verbindungen zu bekannten Kryptodienstleistern aufzeigen. Ob daraus eine Person identifiziert werden kann, hängt jedoch von den zusätzlichen Informationen und der konkreten Transaktionsstruktur ab.

Wenn eine Verbindung zu einer zentralen Kryptobörse festgestellt wird, kann sich ein weiterer Prüfungsansatz ergeben. Dort können unter Umständen Informationen über den Nutzer vorhanden sein. Welche Daten tatsächlich vorliegen und ob beziehungsweise unter welchen Voraussetzungen sie rechtlich genutzt werden können, hängt vom jeweiligen Anbieter und den rechtlichen Rahmenbedingungen ab. Die bloße Feststellung einer Börsenadresse bedeutet deshalb noch nicht, dass der Inhaber automatisch bekannt ist.

Auch wenn eine Person identifiziert werden kann, bedeutet dies nicht automatisch, dass die Kryptowährungen noch vorhanden sind. Die Vermögenswerte können zwischenzeitlich weitertransferiert, verkauft oder in andere Kryptowährungen umgewandelt worden sein. Für eine realistische Einschätzung muss daher nicht nur die Identität eines möglichen Anspruchsgegners, sondern auch der aktuelle Verbleib der Vermögenswerte betrachtet werden.

Bei der Prüfung kann deshalb zwischen verschiedenen Szenarien unterschieden werden. Im günstigeren Fall lassen sich die gestohlenen Kryptowährungen über eine relativ kurze Transaktionskette bis zu einer identifizierbaren Stelle verfolgen. In einem schwierigeren Fall werden die Vermögenswerte über zahlreiche Wallets verteilt und anschließend über weitere technische Strukturen bewegt. Dazwischen liegen zahlreiche Varianten, bei denen die Erfolgsaussichten erst nach einer genaueren Analyse beurteilt werden können.

Eine Blockchainanalyse kann hierbei wichtige Erkenntnisse liefern. Sie kann beispielsweise zeigen, welche Adresse die Kryptowährungen zuerst erhalten hat und welche weiteren Transfers anschließend stattfanden. Sie kann außerdem Hinweise darauf geben, ob bestimmte Adressen miteinander verbunden sind oder ob eine Zieladresse möglicherweise zu einem bekannten Dienstleister gehört. Daraus ergibt sich jedoch noch keine Garantie für eine Rückgewinnung.

Der Begriff „auffindbar“ muss deshalb genau verstanden werden. Eine Kryptowährung kann technisch nachvollziehbar sein, ohne dass ihr Inhaber bekannt ist. Umgekehrt kann ein möglicher Inhaber bekannt sein, obwohl sich die ursprünglichen Coins inzwischen nicht mehr eindeutig von anderen Vermögenswerten unterscheiden lassen. Technische Nachverfolgung und rechtliche Durchsetzung sind zwei unterschiedliche Ebenen.

Bei einer realistischen Prüfung sollte außerdem festgestellt werden, ob die gestohlenen Vermögenswerte noch auf der Blockchain identifizierbar sind. Wenn beispielsweise 5 Ether aus einer Wallet transferiert wurden und diese anschließend auf einer weiteren Adresse liegen, kann der Zusammenhang unter Umständen relativ klar nachvollziehbar sein. Wenn die 5 Ether dagegen über zahlreiche Transaktionen verteilt und mit anderen Vermögensströmen vermischt wurden, kann die Zuordnung erheblich schwieriger werden.

Auch Umwandlungen in andere Vermögenswerte können die Analyse verändern. Ein Täter kann beispielsweise einen Token gegen einen anderen Token tauschen oder Vermögenswerte über verschiedene Plattformen bewegen. Dadurch endet die ursprüngliche Transaktionsspur nicht zwangsläufig, sondern setzt sich in einer anderen Form fort. Die Analyse muss dann feststellen, wie der ursprüngliche Vermögenswert in den nachfolgenden Transaktionen abgebildet wird.

Bei Transfers zwischen verschiedenen Blockchains kann die technische Rekonstruktion zusätzlich anspruchsvoll werden. Werden Vermögenswerte über eine Bridge oder eine andere Cross-Chain-Infrastruktur bewegt, muss möglicherweise sowohl die ursprüngliche als auch die nachfolgende Blockchain untersucht werden. Eine einfache Suche nach der ursprünglichen Wallet-Adresse reicht dann unter Umständen nicht aus.

Auch die Frage, ob die Kryptowährungen noch unter Kontrolle des ursprünglichen Empfängers stehen, kann relevant sein. Werden sie nach dem Diebstahl sofort weitertransferiert, kann dies die Zuordnung erschweren. Verbleiben sie dagegen längere Zeit auf einer bestimmten Adresse, kann sich daraus eine andere Ausgangslage ergeben. Die Dauer allein entscheidet allerdings nicht über eine mögliche Rückgewinnung.

Ein weiterer Faktor ist die Geschwindigkeit, mit der der Verlust erkannt und dokumentiert wurde. Bei Kryptowährungen können Vermögenswerte innerhalb kurzer Zeit über mehrere Adressen bewegt werden. Eine frühzeitige und vollständige Dokumentation kann deshalb dazu beitragen, die ursprüngliche Transaktionskette genauer zu rekonstruieren. Sie ersetzt allerdings keine spätere rechtliche Prüfung.

Besonders vorsichtig sollten Betroffene mit Anbietern umgehen, die eine Rückgewinnung unabhängig vom konkreten Sachverhalt garantieren. Aussagen wie „Wir holen Ihre Kryptowährungen sicher zurück“ oder „Die gestohlenen Coins wurden bereits gefunden“ sind ohne nachvollziehbare technische und rechtliche Grundlage nicht ausreichend. Eine seriöse Einschätzung muss vielmehr erklären können, welche Vermögenswerte tatsächlich identifiziert wurden und worauf die jeweilige Aussage beruht.

Das gilt auch dann, wenn ein Anbieter einen professionellen Eindruck vermittelt. Eine Webseite, ein vermeintliches Zertifikat, eine technische Grafik oder ein angeblicher Blockchainbericht beweist allein nicht, dass eine Rückgewinnung tatsächlich möglich ist. Entscheidend ist, ob die angegebenen Transaktionen auf der Blockchain nachvollziehbar sind und ob aus ihnen konkrete weitere Ansatzpunkte entstehen.

Besondere Vorsicht ist geboten, wenn nach dem ursprünglichen Wallet-Diebstahl erneut Geld oder Kryptowährungen verlangt werden. Betrüger können sich gezielt an Personen wenden, die bereits einen finanziellen Schaden erlitten haben. Sie behaupten beispielsweise, die Vermögenswerte seien eingefroren oder identifiziert und müssten nur noch gegen eine Zahlung freigegeben werden. Auch eine solche Situation sollte als eigenständiger Vorgang kritisch geprüft werden.

Eine angebliche Freischaltungsgebühr sagt für sich genommen nichts darüber aus, ob die gestohlenen Kryptowährungen tatsächlich existieren oder kontrolliert werden können. Dasselbe gilt für Forderungen nach angeblichen Steuern, Sicherheitsleistungen, Verifikationszahlungen oder technischen Gebühren. Vor einer weiteren Zahlung sollte deshalb geklärt werden, wer die Zahlung verlangt, welche konkrete Leistung dafür erbracht werden soll und ob die behaupteten technischen Voraussetzungen überprüfbar sind.

Für die realistische Bewertung kann es hilfreich sein, mehrere Fragen nacheinander zu beantworten. Erstens: Welche Kryptowährungen und welche Mengen sind betroffen? Zweitens: Von welcher Wallet gingen sie ab? Drittens: Welche Transaktion verursachte den Verlust? Viertens: Welche Zieladresse erhielt die Vermögenswerte? Fünftens: Welche Folgebewegungen lassen sich feststellen? Sechstens: Gibt es Hinweise auf eine zentrale Plattform oder einen identifizierbaren Dienstleister? Siebtens: Gibt es Informationen über eine Person oder Organisation, die für den Vorgang verantwortlich sein könnte? Und schließlich: Welche rechtlichen Möglichkeiten bestehen unter den konkreten Umständen?

Auch die Ursache des Verlusts muss berücksichtigt werden. Wurde die Wallet durch einen technischen Angriff kompromittiert, können andere Fragen im Mittelpunkt stehen als bei einer Täuschung durch einen angeblichen Anlageberater. Bei einer manipulierten Webseite kann die Kommunikation mit dem Betreiber entscheidend sein. Bei einem vermeintlichen Supportkontakt können Fernzugriff, Zugangsdaten und Kommunikationsverläufe relevant werden. Bei einer selbst signierten Transaktion muss untersucht werden, unter welchen Umständen die Signatur zustande kam.

Diese Unterschiede können auch beeinflussen, welche Personen oder Unternehmen für eine weitere Prüfung relevant sind. Bei einem Phishing-Angriff kann der Betreiber einer gefälschten Webseite eine Rolle spielen. Bei einem angeblichen Broker kann es um den tatsächlichen Betreiber einer Plattform und die beteiligten Kommunikationskanäle gehen. Bei einem kompromittierten Gerät können technische Umstände entscheidend sein. Bei einer Kryptobörse kann dagegen die Frage relevant werden, ob und wie die Zieladresse einem Nutzerkonto zugeordnet werden kann.

Eine realistische Rückgewinnungsprüfung sollte deshalb nicht bei der Frage enden, ob „der Täter bekannt“ ist. Es kann mehrere relevante Akteure geben. Entscheidend ist, welche Rolle die jeweilige Person oder Organisation tatsächlich gespielt hat und ob sich daraus ein rechtlich relevanter Anspruch ergeben könnte.

Dabei kann auch die Vermögenssituation eines möglichen Anspruchsgegners eine praktische Rolle spielen. Selbst ein berechtigter Anspruch führt nicht automatisch dazu, dass der gesamte Schaden tatsächlich ausgeglichen werden kann. Deshalb sollte die wirtschaftliche Durchsetzbarkeit einer Forderung von der bloßen Existenz eines möglichen Anspruchs unterschieden werden.

Bei identifizierten Vermögenswerten kann außerdem die Frage der Vermögenssicherung relevant werden. Wenn nachvollziehbar ist, dass bestimmte Vermögenswerte noch vorhanden sind, kann geprüft werden, welche rechtlichen Möglichkeiten bestehen, eine weitere Verschiebung zu verhindern oder die spätere Durchsetzung eines Anspruchs zu unterstützen. Ob solche Maßnahmen möglich und sinnvoll sind, hängt jedoch stark vom Einzelfall ab.

Auch hier gilt: Eine bekannte Wallet-Adresse bedeutet nicht automatisch, dass eine technische Zugriffsmöglichkeit besteht. Wer eine fremde Wallet kontrolliert, verfügt grundsätzlich über die entsprechenden Zugangsmittel. Eine Blockchainanalyse kann die Adresse sichtbar machen, aber nicht ohne Weiteres die Kontrolle über die dort befindlichen Kryptowährungen übertragen.

Bei zentralen Plattformen kann die Situation anders aussehen, weil dort technische und organisatorische Strukturen vorhanden sind, die sich von einer selbst verwalteten Wallet unterscheiden. Trotzdem kann auch hier nicht automatisch angenommen werden, dass ein Dienstleister Vermögenswerte sichern oder herausgeben muss. Die konkrete rechtliche Grundlage und die tatsächlichen Umstände müssen geprüft werden.

Für eine realistische Bewertung sollte außerdem der Unterschied zwischen Schadensersatz und der Rückgabe konkreter Kryptowährungen berücksichtigt werden. Wenn die ursprünglichen Coins oder Token nicht mehr eindeutig verfügbar sind, kann eine rechtliche Prüfung möglicherweise andere Ansprüche in den Mittelpunkt stellen. Ob ein Anspruch auf Ersatz des entstandenen Schadens besteht, hängt wiederum von den konkreten rechtlichen Voraussetzungen ab.

Die Berechnung des Schadens kann bei Kryptowährungen besonders anspruchsvoll sein. Der Kurs kann zwischen dem Erwerb, dem Transfer und dem Zeitpunkt der späteren Bewertung erheblich schwanken. Deshalb sollte dokumentiert werden, welche Menge an Kryptowährungen betroffen war und wann der jeweilige Verlust eingetreten ist. Bei mehreren Transaktionen kann eine gesonderte Betrachtung erforderlich sein.

Auch eigene Wallet-Transfers müssen berücksichtigt werden. Wenn ein Betroffener Kryptowährungen regelmäßig zwischen mehreren eigenen Wallets bewegt hat, darf nicht jede spätere Transaktion automatisch als Diebstahl interpretiert werden. Für die Schadensberechnung und die technische Rekonstruktion muss klar bleiben, welche Wallets dem Betroffenen selbst zuzuordnen sind.

Bei größeren Fällen kann deshalb eine vollständige Wallethistorie sinnvoll sein. Dabei werden nicht nur die verdächtigen Transfers betrachtet, sondern auch die vorhergehenden und nachfolgenden Bewegungen. Ziel ist es, einen nachvollziehbaren Ausgangspunkt zu schaffen und interne Transfers von tatsächlich unbekannten Abflüssen zu unterscheiden.

Eine solche Untersuchung kann auch zeigen, dass ein vermeintlicher Verlust teilweise anders verlaufen ist als zunächst angenommen. Beispielsweise kann sich herausstellen, dass ein Teil der Kryptowährungen noch auf einer eigenen Wallet liegt, während nur ein bestimmter Teil transferiert wurde. Ebenso kann eine vermeintliche Zieladresse zu einem eigenen früher verwendeten Konto gehören. Eine genaue Prüfung verhindert dadurch Fehlinterpretationen.

Bei einem Betrug über eine angebliche Investmentplattform kann die Prüfung noch komplexer werden. Hier muss zunächst festgestellt werden, ob die angezeigten Kryptowährungen überhaupt real vorhanden waren. Wenn ein Plattformkonto lediglich einen hohen Kontostand anzeigt, ohne dass entsprechende Blockchaintransaktionen nachvollziehbar sind, kann die Situation anders zu bewerten sein als bei einem tatsächlichen Transfer aus der eigenen Wallet.

Auch eine angebliche Auszahlung kann überprüft werden. Wenn ein Betreiber behauptet, eine bestimmte Menge Kryptowährungen sei bereits an die Wallet des Kunden übertragen worden, sollte sich dies grundsätzlich mit den vorhandenen Blockchain-Daten abgleichen lassen, sofern tatsächlich eine On-Chain-Transaktion behauptet wird. Eine fehlende oder nicht passende Transaktion kann ein konkreter Widerspruch sein, der weiter untersucht werden sollte.

Bei einem klassischen Wallet-Diebstahl ist dagegen die Ausgangslage häufig eindeutiger: Eine bestimmte Wallet hatte einen bestimmten Bestand, anschließend erfolgte eine nicht erwartete Transaktion, und die Vermögenswerte wurden an eine unbekannte Adresse übertragen. Dann liegt der Schwerpunkt stärker auf der Frage, wie die Kontrolle über die Wallet erlangt wurde und wohin die Kryptowährungen anschließend gelangten.

Die rechtliche Prüfung kann außerdem klären, welche Ansprüche gegenüber identifizierten Personen oder Unternehmen grundsätzlich denkbar sind. Dabei kommen je nach Fall unterschiedliche rechtliche Grundlagen in Betracht. Es sollte jedoch vermieden werden, bereits aufgrund eines plausiblen Verdachts eine Haftung festzustellen. Die tatsächlichen Voraussetzungen müssen für jeden möglichen Anspruchsgegner gesondert geprüft werden.

Auch die Beweislage beeinflusst die realistische Einschätzung. Ein Fall, bei dem Wallet-Adresse, Transaktions-Hashes, Kommunikation, Zahlungsbelege und Angaben zu einem konkreten Vertragspartner vollständig vorhanden sind, kann anders bewertet werden als ein Fall, bei dem nur bekannt ist, dass vor längerer Zeit Kryptowährungen verschwunden sind. Deshalb sollte vor einer Entscheidung über weitere Maßnahmen zunächst geklärt werden, welche Informationen tatsächlich verfügbar sind.

Eine geordnete Fallakte kann dabei erheblich helfen. Sie sollte die technische Seite und die Kommunikation zusammenführen. Dazu gehören die betroffene Wallet, die Transaktionsdaten, die Ziel- und Folgeadressen, Informationen über Kryptobörsen und andere Dienstleister, Kontoauszüge, Überweisungsbelege, Chatverläufe, E-Mails, Screenshots und Vertragsunterlagen.

Auch die Namen und Kontaktdaten der beteiligten Personen sollten dokumentiert werden. Dazu können angebliche Berater, Supportmitarbeiter, Plattformbetreiber und sonstige Ansprechpartner gehören. Wenn sich später herausstellt, dass ein Name möglicherweise nur vorgegeben war, bleiben die ursprünglichen Angaben trotzdem als Teil der Sachverhaltsdokumentation relevant.

Bei der Einschätzung sollte außerdem berücksichtigt werden, ob die betroffenen Kryptowährungen noch auf der ursprünglichen Blockchain vorhanden sind. Wenn sie über eine andere Blockchain oder einen anderen Token weiterbewegt wurden, muss der Vermögensfluss entsprechend erweitert betrachtet werden. Ein Abbruch der Analyse bei der ersten Zieladresse kann zu einer unvollständigen Bewertung führen.

Die technische Nachverfolgung kann insbesondere dann wertvoll sein, wenn sich daraus konkrete Anknüpfungspunkte ergeben. Eine lange Liste von Folgeadressen allein ist dagegen noch kein Beweis für eine realistische Rückgewinnungsmöglichkeit. Entscheidend ist, ob die Transaktionsdaten zu einer identifizierbaren Person, einem Dienstleister oder einem noch vorhandenen Vermögenswert führen.

Bei einer solchen Bewertung sollte deshalb zwischen drei Fragen unterschieden werden: Ist der Vermögensfluss technisch nachvollziehbar? Lässt sich ein möglicher Empfänger oder Verantwortlicher identifizieren? Und gibt es eine rechtlich und praktisch umsetzbare Möglichkeit, einen Anspruch durchzusetzen oder vorhandene Vermögenswerte zu sichern? Erst wenn diese Ebenen zusammen betrachtet werden, kann die Rückgewinnung realistisch eingeschätzt werden.

Die erste Frage kann in vielen Fällen relativ gut beantwortet werden, weil öffentliche Blockchains Transaktionen nachvollziehbar dokumentieren. Die zweite Frage ist bereits schwieriger, weil eine Wallet-Adresse nicht automatisch einer Person zugeordnet ist. Die dritte Frage ist nochmals davon abhängig, welche rechtlichen und tatsächlichen Möglichkeiten gegen den identifizierten Empfänger bestehen.

Genau deshalb sollte eine Blockchainanalyse nicht mit dem Abschluss der Prüfung verwechselt werden. Sie kann einen wichtigen Teil der Aufklärung darstellen, muss aber in den tatsächlichen und rechtlichen Kontext eingeordnet werden. Ein technischer Bericht sollte deshalb nicht nur Transaktionen auflisten, sondern möglichst nachvollziehbar darstellen, welche Schlussfolgerungen aus den Daten gezogen werden können und welche nicht.

Für Betroffene kann es außerdem sinnvoll sein, zwischen gesicherten Tatsachen und offenen Fragen zu unterscheiden. Sicher kann beispielsweise sein, dass eine bestimmte Menge Bitcoin zu einem bestimmten Zeitpunkt an eine bestimmte Adresse übertragen wurde. Offen kann dagegen sein, wer diese Adresse kontrolliert und was anschließend mit den Bitcoins geschah. Eine seriöse Einschätzung sollte diese Unsicherheit nicht verschweigen.

Auch die Möglichkeit einer späteren Identifizierung kann von Bedeutung sein. Wenn eine zunächst unbekannte Adresse zu einem späteren Zeitpunkt mit einer zentralen Plattform interagiert, kann dadurch ein neuer Ansatz entstehen. Deshalb kann es sinnvoll sein, eine bereits dokumentierte Transaktionskette nicht als erledigt zu betrachten, sondern bei neuen Informationen erneut zu prüfen.

Eine fortlaufende Beobachtung oder spätere Aktualisierung einer Blockchainanalyse kann in bestimmten Fällen sinnvoll sein. Ob dieser Aufwand wirtschaftlich und rechtlich vertretbar ist, hängt wiederum von der Schadenshöhe und den konkreten Anhaltspunkten ab. Eine pauschale Empfehlung für jeden Fall wäre deshalb nicht angebracht.

Auch bei kleineren Schäden sollte jedoch nicht vorschnell davon ausgegangen werden, dass jede Aufklärung sinnlos ist. Entscheidend ist vielmehr, wie klar die Transaktionsspur ist und welche Informationen über die beteiligten Personen vorhanden sind. Umgekehrt kann ein sehr hoher Schaden schwierig durchsetzbar bleiben, wenn keine verwertbaren Anknüpfungspunkte vorhanden sind.

Für die wirtschaftliche Bewertung einer weiteren rechtlichen Bearbeitung sollte deshalb das Verhältnis zwischen Aufwand und realistischer Perspektive betrachtet werden. Eine umfangreiche internationale Untersuchung kann erhebliche Kosten verursachen. Vor entsprechenden Maßnahmen sollte daher möglichst klar sein, welche konkrete Frage damit beantwortet werden soll und welchen praktischen Nutzen das Ergebnis haben könnte.

Ein seriöser Ansatz besteht darin, zunächst die vorhandenen Daten auszuwerten und daraus die nächsten sinnvollen Prüfungsfragen abzuleiten. Erst danach sollte entschieden werden, ob eine weitergehende Blockchainanalyse, die Prüfung eines möglichen Anspruchsgegners oder weitere rechtliche Maßnahmen wirtschaftlich sinnvoll erscheinen.

Wer Kryptowährungen aus einer Wallet verloren hat, sollte sich deshalb nicht allein von der Aussage leiten lassen, die Coins seien „auf der Blockchain sichtbar“. Entscheidend ist, ob diese Sichtbarkeit zu verwertbaren Erkenntnissen führt. Eine nachvollziehbare Transaktion kann der Anfang einer Aufklärung sein. Sie ist aber nicht automatisch das Ende des Weges und auch kein Beweis dafür, dass das Vermögen ohne Weiteres zurückerlangt werden kann.

Eine realistische Rückgewinnungsprüfung sollte daher immer die gesamte Situation berücksichtigen: die Ursache des Wallet-Verlusts, die Höhe des Schadens, die betroffenen Kryptowährungen, die ursprüngliche Wallet, die Ziel- und Folgeadressen, mögliche Kryptobörsen oder andere Dienstleister, die vorhandenen Kommunikationsdaten und die Identifizierbarkeit möglicher Verantwortlicher.

Besonders wichtig ist dabei die Frage, ob noch konkrete Vermögenswerte vorhanden und nachvollziehbar sind. Wenn die Blockchain zeigt, dass die gestohlenen Kryptowährungen noch auf einer bestimmten Adresse liegen, kann dies für die weitere Prüfung relevant sein. Wenn die Vermögenswerte dagegen über zahlreiche Stationen verteilt oder in andere Vermögenswerte umgewandelt wurden, kann die Lage erheblich schwieriger sein.

Selbst bei einer günstigen technischen Ausgangslage bleibt die rechtliche Durchsetzung eine eigenständige Frage. Es muss geprüft werden, wer als Anspruchsgegner in Betracht kommt, welche rechtlichen Grundlagen bestehen und welche Maßnahmen unter den konkreten Umständen zulässig und sinnvoll sind. Ein Anspruch kann nicht allein aus einer Blockchainadresse abgeleitet werden.

Deshalb ist eine anwaltliche Prüfung insbesondere dann sinnvoll, wenn die Blockchain bereits konkrete Transaktionen erkennen lässt und zugleich weitere Informationen über den Ablauf vorhanden sind. Ein Anwalt kann die technische Analyse in die rechtliche Gesamtbewertung einordnen und prüfen, welche Ansätze tatsächlich weiterverfolgt werden können.

Am Ende einer seriösen Prüfung sollte nicht zwingend die Aussage stehen, dass die Kryptowährungen zurückgeholt werden können. Eine belastbare Einschätzung kann auch zu dem Ergebnis kommen, dass bestimmte Spuren vorhanden sind, die Identifizierung eines Anspruchsgegners aber derzeit nicht möglich ist oder dass die vorhandenen rechtlichen Möglichkeiten nur begrenzt erscheinen. Auch eine solche Einschätzung ist für Betroffene wertvoll, weil sie vor weiteren unnötigen Kosten und unrealistischen Erwartungen schützen kann.

Umgekehrt kann eine konkrete Transaktionskette zu einer identifizierbaren Stelle einen ernsthaften Ansatz für weitere Prüfungen darstellen. Wenn zusätzlich Kommunikationsdaten, Zahlungsbelege und andere Unterlagen vorhanden sind, kann sich daraus ein deutlich vollständigeres Bild ergeben. Ob daraus tatsächlich eine erfolgreiche Durchsetzung von Ansprüchen folgt, muss dennoch offenbleiben, bis die rechtlichen und tatsächlichen Voraussetzungen geprüft sind.

Für Betroffene sollte deshalb das Ziel einer professionellen Bearbeitung nicht in einem pauschalen Versprechen bestehen, verlorene Kryptowährungen „zurückzuholen“. Das Ziel sollte zunächst darin liegen, den Vermögensverlust möglichst genau zu rekonstruieren, die Blockchain-Spuren auszuwerten, mögliche Verantwortliche oder weitere Anknüpfungspunkte zu identifizieren und die vorhandenen rechtlichen Möglichkeiten realistisch zu bewerten.

Wer diese Prüfung strukturiert angeht, kann besser unterscheiden, ob lediglich eine technische Transaktionsspur vorhanden ist oder ob daraus tatsächlich konkrete Ansatzpunkte für eine Vermögenssicherung oder Anspruchsdurchsetzung entstehen. Gerade bei Kryptowährungen ist diese Unterscheidung entscheidend. Die Blockchain kann den Weg eines Vermögenswerts sichtbar machen. Ob daraus am Ende eine rechtlich und praktisch nutzbare Möglichkeit zur Rückgewinnung entsteht, hängt jedoch von den Umständen des jeweiligen Falls ab.

Wenn Kryptowährungen aus einer Wallet gestohlen wurden, sollten Betroffene daher weder vorschnell jede Hoffnung aufgeben noch sich auf garantierte Rückholungsversprechen verlassen. Sinnvoll ist eine sachliche Prüfung der vorhandenen Daten. Je genauer der ursprüngliche Vermögensbestand, der konkrete Abfluss, die weiteren Transaktionen und die beteiligten Personen oder Plattformen dokumentiert sind, desto fundierter kann beurteilt werden, welche Möglichkeiten im Einzelfall tatsächlich bestehen.

Kanzlei Wilms – Experten bei Online-Anlagebetrug

Die Kanzlei Wilms unterstützt seit Jahren Mandanten, die Opfer von Online-Anlagebetrug, Kryptobetrug, Fake Brokern, Investmentbetrug, Bitcoin-Betrug oder Recovery Scams geworden sind.

Unsere Mandanten kommen aus ganz Deutschland sowie aus dem Ausland. Viele Verfahren weisen internationale Bezüge auf und betreffen grenzüberschreitende Zahlungsströme, Kryptowährungen oder komplexe Unternehmensstrukturen.

Wir analysieren unter anderem:

• Banküberweisungen
• SEPA- und SWIFT-Zahlungen
• Kreditkartenzahlungen
• Zahlungsdienstleister
• Kryptobörsen und Wallet-Transaktionen
• internationale Zahlungsstrukturen

Mehr Informationen finden Sie in unserem Blog.