Wallet leergeräumt – was bedeutet das und wie kann es zu einem Verlust von Kryptowährungen kommen?

Wenn eine Wallet plötzlich leer ist oder ein erheblicher Teil der darin verwahrten Kryptowährungen ohne erkennbaren Anlass verschwunden ist, entsteht bei Betroffenen häufig zunächst ein Gefühl völliger Unklarheit. Auf dem Bildschirm ist möglicherweise nur noch ein deutlich reduziertes Guthaben oder gar kein Bestand mehr zu sehen. Gleichzeitig können in der Transaktionshistorie Überweisungen erscheinen, die der Wallet-Inhaber nicht selbst vorgenommen zu haben glaubt. In anderen Fällen wurde die Transaktion sogar selbst ausgelöst, allerdings aufgrund einer Täuschung, eines angeblichen Sicherheitsvorgangs oder der falschen Auskunft einer Person, die sich als Mitarbeiter einer Kryptobörse, als Anlageberater oder als technischer Support ausgegeben hat.

Der Ausdruck „Wallet leergeräumt“ beschreibt deshalb zunächst nur das Ergebnis: Kryptowährungen wurden aus einer Wallet oder von einem damit verbundenen Konto an eine andere Adresse übertragen. Die Bezeichnung sagt noch nicht, auf welche Weise der Abfluss erfolgt ist. Für die weitere Aufarbeitung ist diese Unterscheidung entscheidend. Es macht einen erheblichen Unterschied, ob ein unbekannter Dritter unmittelbar auf eine Wallet zugreifen konnte, ob Zugangsdaten kompromittiert wurden, ob eine Transaktion durch eine manipulierte Webseite ausgelöst wurde oder ob der Betroffene selbst eine Übertragung vorgenommen hat, dabei aber über deren tatsächlichen Zweck getäuscht wurde.

Bei einem Verlust von Kryptowährungen sollte daher nicht vorschnell davon ausgegangen werden, dass lediglich „die Wallet gehackt“ wurde. Technisch und rechtlich muss zunächst rekonstruiert werden, was tatsächlich geschehen ist. Welche Adresse hat die Kryptowährung empfangen? Wann wurde die Transaktion ausgelöst? Von welcher Ausgangsadresse erfolgte der Transfer? Welche weiteren Transaktionen folgten anschließend? Wurde der Betrag vollständig an eine einzige Zieladresse übertragen oder auf mehrere Adressen verteilt? Gibt es Hinweise auf eine Kryptobörse oder einen anderen Dienstleister? Und vor allem: Wer hatte zu welchem Zeitpunkt die Möglichkeit, die betreffende Transaktion auszulösen?

Eine Wallet ist dabei nicht mit einem klassischen Bankkonto gleichzusetzen. Bei einer eigenen Kryptowallet werden die für Transaktionen erforderlichen kryptografischen Berechtigungen grundsätzlich über Schlüssel verwaltet. Je nach technischer Ausgestaltung kann dies beispielsweise über eine Seed Phrase, einen Private Key oder andere Zugangskomponenten erfolgen. Wer über die erforderliche Berechtigung verfügt, kann eine Transaktion auf der jeweiligen Blockchain signieren und dadurch eine Übertragung auslösen. Ist diese Berechtigung in die Hände eines unbefugten Dritten gelangt, kann das erhebliche Folgen haben.

Besonders problematisch ist, dass eine einmal bestätigte Blockchain-Transaktion in vielen Netzwerken nicht einfach wie eine gewöhnliche Fehlbuchung rückgängig gemacht werden kann. Deshalb kommt der zeitnahen Feststellung des tatsächlichen Transaktionsverlaufs eine besondere Bedeutung zu. Die Blockchain kann dokumentieren, von welcher Adresse welche Vermögenswerte zu welchem Zeitpunkt an welche Zieladresse übertragen wurden. Daraus ergibt sich allerdings noch nicht automatisch die Identität der Person, die hinter einer Adresse steht. Genau an dieser Stelle beginnt die eigentliche technische und rechtliche Aufarbeitung.

Eine Wallet kann beispielsweise durch die Preisgabe einer Seed Phrase kompromittiert worden sein. Die Seed Phrase ist eine Folge von Wörtern, aus der sich je nach Wallet-System die erforderlichen Schlüssel beziehungsweise Wallet-Strukturen ableiten lassen. Wird diese Wiederherstellungsphrase einem Dritten bekannt, kann dieser unter Umständen die damit verbundenen Vermögenswerte kontrollieren. Ein ähnliches Risiko kann bestehen, wenn ein Private Key abgegriffen wurde. Die genaue technische Situation hängt dabei von der verwendeten Wallet und ihrer Architektur ab.

Ein häufiger Fehler besteht darin, sensible Zugangsinformationen auf einer Webseite einzugeben, die einer echten Wallet- oder Kryptodienstleistung täuschend ähnlich sieht. Phishing-Seiten können beispielsweise dazu auffordern, eine Wallet zu „verifizieren“, „zu synchronisieren“, „zu entsperren“ oder für eine angebliche Sicherheitsprüfung zu bestätigen. Der Betroffene glaubt möglicherweise, eine technische Störung zu beheben. Tatsächlich gelangen die eingegebenen Informationen jedoch an einen Dritten. Bei bestimmten Angriffen geht es nicht einmal darum, die Seed Phrase unmittelbar abzufragen. Stattdessen wird der Nutzer dazu gebracht, eine Transaktion oder eine sogenannte Token-Freigabe zu bestätigen, deren Bedeutung er nicht erkennt.

Auch gefälschte Supportkontakte spielen eine wichtige Rolle. Ein Betroffener sucht beispielsweise Hilfe, weil eine Transaktion angeblich feststeckt oder ein Guthaben nicht angezeigt wird. Kurz darauf meldet sich eine Person, die sich als Mitarbeiter einer Kryptobörse, eines Wallet-Anbieters oder eines technischen Supports ausgibt. Unter Hinweis auf eine angebliche Sicherheitsprüfung wird der Betroffene aufgefordert, eine bestimmte Anwendung zu installieren, einen QR-Code zu scannen, eine Wallet zu verbinden oder eine Transaktion zu bestätigen. Für den Betroffenen kann dies wie ein normaler technischer Vorgang wirken. Tatsächlich kann damit jedoch eine ungewollte Vermögensübertragung ermöglicht werden.

Besondere Vorsicht ist auch bei sogenannten Recovery- oder Rückholversprechen geboten. Wer bereits Kryptowährungen verloren hat, befindet sich häufig in einer besonders angreifbaren Situation. Betrüger können gezielt Personen kontaktieren, die zuvor schon Opfer eines Kryptobetrugs geworden sind. Sie behaupten beispielsweise, die verschwundenen Kryptowährungen identifizieren oder zurückführen zu können. Anschließend verlangen sie Gebühren für eine angebliche Freischaltung, eine Wallet-Verifizierung, eine steuerliche Prüfung oder eine technische Wiederherstellung. Wird daraufhin eine weitere Zahlung oder eine neue Wallet-Transaktion verlangt, kann sich der Schaden erheblich vergrößern.

Eine leergeräumte Wallet kann außerdem mit einem zuvor kompromittierten Endgerät zusammenhängen. Wenn Schadsoftware auf einem Computer oder Smartphone installiert wurde, können Zugangsdaten oder andere sicherheitsrelevante Informationen abgegriffen werden. Auch eine Fernwartungssoftware kann problematisch sein, wenn ein unbekannter Dritter dadurch Zugriff auf das Gerät erhält. In Betrugsfällen wird Betroffenen beispielsweise erklärt, ein vermeintlicher Berater müsse eine technische Störung überprüfen. Während der Fernzugriff aktiv ist, können sensible Daten sichtbar werden oder Transaktionen vorbereitet beziehungsweise ausgelöst werden.

Nicht jeder Verlust beruht jedoch auf einem klassischen technischen Angriff. Gerade im Zusammenhang mit Anlage- und Trading-Betrug kann der Betroffene eine Kryptowährung selbst übertragen haben. Er wurde dann möglicherweise durch einen angeblichen Broker, Anlageberater oder Mitarbeiter einer Tradingplattform dazu gebracht, die Transaktion vorzunehmen. Die Person hinter dem Kontakt behauptet beispielsweise, das Geld müsse auf eine bestimmte Wallet übertragen werden, damit ein Investment ausgeführt, ein Gewinn verbucht oder eine Auszahlung vorbereitet werden könne. Tatsächlich kann die angegebene Wallet einem Betrüger oder einem von ihm kontrollierten Netzwerk zugeordnet sein.

In solchen Fällen kann die Wallet technisch vollkommen normal funktionieren. Das Problem liegt nicht zwingend in einer Sicherheitslücke der Wallet, sondern in der Täuschung, die der Transaktion vorausgegangen ist. Für die rechtliche Bewertung ist deshalb nicht allein entscheidend, ob der Betroffene selbst auf „Senden“ geklickt hat. Ebenso wichtig ist die Frage, unter welchen Umständen die Zahlung veranlasst wurde, welche Angaben der Kommunikationspartner gemacht hat und ob der Empfänger tatsächlich dem angegebenen Zweck entsprach.

Das ist insbesondere bei vermeintlichen Anlageangeboten relevant. Ein Nutzer wird vielleicht über soziale Netzwerke, Messenger, eine Webseite oder eine Empfehlung auf eine angebliche Investmentplattform aufmerksam. Dort wird ihm ein persönlicher Ansprechpartner zugewiesen. Dieser erklärt, wie Kryptowährungen erworben und anschließend an eine bestimmte Wallet übertragen werden sollen. Auf einer Plattform wird möglicherweise gleichzeitig ein wachsendes Guthaben angezeigt. Der Betroffene glaubt daher, sein Vermögen befinde sich weiterhin unter seiner Kontrolle oder werde gewinnbringend investiert. Erst bei einer späteren Auszahlung wird deutlich, dass die dargestellten Werte möglicherweise nicht mit tatsächlich verfügbaren Vermögenswerten übereinstimmen.

Besonders auffällig kann die Situation werden, wenn eine Auszahlung zunächst grundsätzlich möglich erscheinen soll, anschließend jedoch immer neue Voraussetzungen genannt werden. Beispielsweise wird behauptet, vor der Auszahlung müsse eine Steuer entrichtet, eine Sicherheitsleistung hinterlegt, ein Herkunftsnachweis erbracht oder eine angebliche Compliance-Prüfung bezahlt werden. Leistet der Betroffene diese Zahlung, folgt möglicherweise die nächste Forderung. Eine solche Entwicklung kann ein wichtiges Indiz für eine betrügerische Struktur sein. Sie sollte deshalb nicht isoliert betrachtet werden, sondern gemeinsam mit den Zahlungswegen, den Wallet-Adressen, der Kommunikation und den Angaben des angeblichen Anbieters.

Auch die bloße Anzeige eines Guthabens auf einer Webseite beweist nicht, dass dieses Guthaben tatsächlich vorhanden ist. Bei einer zentral betriebenen Plattform kann ein Nutzer einen Kontostand sehen, ohne selbst unmittelbar über die zugrunde liegenden Kryptowährungen zu verfügen. Eine optisch professionell gestaltete Benutzeroberfläche kann deshalb keine verlässliche Aussage darüber treffen, wo sich die Vermögenswerte tatsächlich befinden. Entscheidend sind die nachprüfbaren Zahlungs- und Transaktionsdaten.

Eine weitere Besonderheit besteht darin, dass Kryptowährungen nicht ausschließlich über eine einzelne Transaktion verschwinden müssen. Ein Täter kann einen eingegangenen Betrag unmittelbar auf eine weitere Wallet übertragen. Von dort kann der Betrag auf mehrere Adressen verteilt werden. Einzelne Teilbeträge können anschließend erneut weitergeleitet werden. Dadurch entsteht eine Kette von Transaktionen, die ohne technische Analyse schwer vollständig zu überblicken sein kann. Für die Aufarbeitung ist deshalb nicht immer nur die erste Zieladresse interessant. Auch die nachfolgenden Bewegungen können Hinweise auf den weiteren Weg der Vermögenswerte liefern.

Die Blockchain selbst kann dabei eine wichtige Datenquelle sein. Je nach verwendeter Blockchain lassen sich Transaktionszeitpunkte, Beträge, Ausgangsadressen und Zieladressen öffentlich nachvollziehen. Ein Transaktions-Hash dient dabei als eindeutige Referenz für einen konkreten Vorgang. Wer über den entsprechenden Hash verfügt, kann die dazugehörigen Blockchain-Daten in einem geeigneten Explorer überprüfen. Für die rechtliche Aufarbeitung reicht es jedoch regelmäßig nicht aus, lediglich einen Screenshot einer einzelnen Transaktion vorzulegen. Sinnvoller ist eine strukturierte Zusammenstellung des gesamten relevanten Transaktionsverlaufs.

Wichtig ist außerdem die Unterscheidung zwischen einer Wallet-Adresse und einer identifizierten Person. Eine Blockchainadresse besteht zunächst nur aus einer technischen Zeichenfolge. Aus der Adresse allein ergibt sich normalerweise nicht der Name desjenigen, der darüber verfügt. Eine weitergehende Identifizierung kann unter Umständen möglich werden, wenn die Vermögenswerte später eine zentralisierte Kryptobörse oder einen anderen Dienstleister erreichen. Dort können je nach Anbieter und den konkreten Umständen Identifikations- und Kontodaten vorhanden sein. Ob solche Informationen tatsächlich verfügbar sind und rechtlich genutzt werden können, hängt jedoch vom jeweiligen Sachverhalt ab.

Deshalb sollte ein Betroffener nach dem Feststellen eines Wallet-Verlusts möglichst genau dokumentieren, welche Wallet betroffen war. Dazu gehören insbesondere die eigene Wallet-Adresse, die Zieladresse des Abflusses und die jeweiligen Transaktions-Hashes. Ebenfalls wichtig können der Zeitpunkt der Transaktion, die verwendete Blockchain, die Art und Menge der übertragenen Kryptowährung sowie gegebenenfalls weitere Folgeadressen sein. Bei mehreren Transaktionen sollte nicht nur der erste Abfluss dokumentiert werden.

Auch die Entstehungsgeschichte des Verlusts ist von großer Bedeutung. Wer beispielsweise eine Nachricht von einem angeblichen Broker erhalten hat, sollte diese Kommunikation nicht auf die reine Zahlungsaufforderung reduzieren. Relevant können bereits frühere Nachrichten sein, in denen Renditen versprochen, Plattformzugänge erklärt oder Wallet-Übertragungen begründet wurden. Ebenso können Telefonnummern, E-Mail-Adressen, Webseiten, Social-Media-Profile, Namen angeblicher Mitarbeiter und verwendete Unternehmensbezeichnungen wichtige Ansatzpunkte liefern.

Bei einem technischen Verdacht sollte außerdem festgehalten werden, welche Geräte und Anwendungen verwendet wurden. Dazu gehören insbesondere die Wallet-App, die verwendete Kryptobörse, das Smartphone oder der Computer und gegebenenfalls Browser oder Browser-Erweiterungen. Wenn kurz vor dem Verlust eine neue Anwendung installiert, eine verdächtige Webseite besucht oder ein unbekannter Supportkontakt Zugriff auf das Gerät erhalten hat, kann dies für die Ursachenanalyse relevant sein.

Besonders kritisch ist die Seed Phrase. Wenn der Verdacht besteht, dass diese kompromittiert wurde, sollte nicht einfach davon ausgegangen werden, dass eine Änderung des Passworts ausreicht. Die technische Sicherheitslage hängt davon ab, welche Art von Wallet verwendet wurde und welche Zugangsdaten tatsächlich betroffen sind. Bei noch vorhandenen Vermögenswerten kann eine sichere technische Prüfung erforderlich sein, bevor weitere Transaktionen durchgeführt werden. Eigenständige Experimente mit einer möglicherweise kompromittierten Wallet können zusätzliche Risiken schaffen.

Wer feststellt, dass eine Wallet leergeräumt wurde, sollte außerdem vermeiden, den Sachverhalt ausschließlich anhand des sichtbaren Guthabens zu beurteilen. Ein angezeigter Kontostand kann sich beispielsweise auf Token beziehen, die nicht tatsächlich vorhanden sind, oder es können unterschiedliche Netzwerke und Wallet-Adressen miteinander verwechselt werden. Umgekehrt kann ein scheinbar verschwundener Betrag auf eine technische oder organisatorische Ursache zurückzuführen sein, die nicht mit einem Angriff gleichzusetzen ist. Eine belastbare Bewertung setzt daher die Prüfung der tatsächlichen Transaktionen voraus.

Für die rechtliche Beurteilung ist anschließend entscheidend, welcher Sachverhalt festgestellt werden kann. Bei einem unbefugten Zugriff stellen sich andere Fragen als bei einer durch Täuschung veranlassten Übertragung. Wieder anders kann die Situation sein, wenn ein Dritter die Kryptowährungen zunächst auf eine eigene Wallet übertragen hat und diese anschließend über mehrere weitere Adressen bewegt wurden. Auch die Frage, ob eine Kryptobörse, ein Zahlungsdienstleister oder ein anderer professioneller Anbieter in den Zahlungsweg eingebunden war, kann für die weitere Prüfung relevant werden.

Ein spezialisierter Anwalt betrachtet deshalb nicht nur den Verlustbetrag. Entscheidend ist das Gesamtbild: Wie kam der Kontakt zustande? Welche Versprechen wurden gemacht? Welche Wallet wurde verwendet? Wer hat die Transaktion ausgelöst? Welche Adresse erhielt die Kryptowährungen? Welche Folgebewegungen sind erkennbar? Welche Dienstleister waren beteiligt? Welche Daten liegen über die Kommunikationspartner vor? Und welche Beweismittel können diese Abläufe belegen?

Gerade bei komplexen Fällen können technische und rechtliche Betrachtung nicht voneinander getrennt werden. Eine Blockchainanalyse kann beispielsweise zeigen, dass ein bestimmter Betrag von der Wallet des Betroffenen zu einer anderen Adresse übertragen wurde und anschließend weitere Transfers stattfanden. Sie kann unter Umständen auch Anhaltspunkte dafür liefern, dass ein Teil der Vermögenswerte später eine bekannte Kryptobörse erreicht hat. Daraus folgt jedoch noch nicht automatisch, dass die verantwortliche Person identifiziert oder ein Anspruch erfolgreich durchgesetzt werden kann. Die technischen Erkenntnisse müssen mit den übrigen Beweismitteln und den rechtlichen Möglichkeiten zusammengeführt werden.

Betroffene sollten daher möglichst früh eine vollständige Dokumentation des Vorgangs erstellen. Dazu gehören die Wallet-Adresse, Transaktions-Hashes, Screenshots, Nachrichten, E-Mails, Telefonnummern, Namen der Kontaktpersonen, Webseiten, Vertragsunterlagen und gegebenenfalls Nachweise über den ursprünglichen Erwerb der Kryptowährungen. Je genauer sich der Ablauf rekonstruieren lässt, desto besser kann geprüft werden, ob ein technischer Angriff, eine Täuschung, ein unbefugter Zugriff oder eine andere Ursache vorliegt.

Der Begriff „Wallet leergeräumt“ ist somit keine abschließende rechtliche oder technische Diagnose. Er beschreibt einen auffälligen Vermögensabfluss, dessen Ursache zunächst ermittelt werden muss. Gerade weil Kryptowährungstransaktionen technisch nachvollziehbare Spuren hinterlassen können, sollte ein ungewöhnlicher Abfluss nicht vorschnell als endgültig ungeklärt betrachtet werden. Gleichzeitig wäre es unseriös, allein aufgrund einer sichtbaren Blockchainbewegung eine Rückgewinnung der Kryptowährungen zu versprechen.

Ob und welche Möglichkeiten bestehen, hängt vielmehr von der konkreten Wallet, der verwendeten Blockchain, dem Transaktionsverlauf, der Identifizierbarkeit der Empfänger, den beteiligten Kryptodienstleistern und der Entstehung des Schadens ab. Eine sorgfältige Analyse kann dabei helfen, zwischen einem technischen Angriff, einer betrügerisch veranlassten Transaktion und anderen Ursachen zu unterscheiden und die nächsten rechtlichen und technischen Schritte auf eine belastbare Tatsachengrundlage zu stellen.

Wallet leergeräumt – diese Anzeichen sprechen für einen unbefugten Zugriff oder Betrug

Wenn eine Wallet plötzlich kein oder deutlich weniger Guthaben aufweist, stellt sich für Betroffene zunächst eine entscheidende Frage: Handelt es sich tatsächlich um einen unbefugten Zugriff oder um eine andere Ursache? Nicht jeder unerwartete Kontostand bedeutet automatisch, dass ein Angreifer Kryptowährungen gestohlen hat. Umgekehrt kann ein unbefugter Zugriff auf den ersten Blick schwer zu erkennen sein, insbesondere wenn der Betroffene erst Tage später bemerkt, dass Vermögenswerte fehlen. Entscheidend ist deshalb eine möglichst genaue Betrachtung der Transaktionsdaten, der verwendeten Wallet und der Vorgeschichte.

Ein besonders deutliches Warnsignal sind ausgehende Transaktionen, die der Wallet-Inhaber nicht selbst veranlasst hat. Wird beispielsweise Bitcoin, Ether oder ein anderer Token von der eigenen Wallet an eine unbekannte Adresse übertragen, ohne dass der Nutzer diese Transaktion bewusst ausgelöst hat, besteht ein konkreter Anlass für eine technische Prüfung. Das gilt insbesondere dann, wenn der Abfluss kurz nach einem verdächtigen Login, einer unbekannten Wallet-Verbindung, einer Phishing-Nachricht oder einem Kontakt mit einem angeblichen Supportmitarbeiter erfolgt ist.

Dabei sollte zunächst zwischen einer unbekannten Transaktion und einer unbekannten Zieladresse unterschieden werden. Eine Adresse kann einem Nutzer bereits früher begegnet sein, ohne dass er sie noch eindeutig zuordnen kann. Deshalb sollte nicht allein der Umstand, dass eine Zieladresse unbekannt erscheint, als Beweis für einen Diebstahl angesehen werden. Vielmehr muss geprüft werden, wann und unter welchen Umständen die Transaktion entstanden ist und ob sie tatsächlich durch den Wallet-Inhaber autorisiert wurde.

Ein weiteres starkes Indiz kann ein vollständiger oder nahezu vollständiger Abfluss sein. Wenn sich beispielsweise über längere Zeit Kryptowährungen in einer Wallet befunden haben und innerhalb weniger Minuten fast der gesamte Bestand übertragen wird, obwohl keine entsprechende Verfügung geplant war, ist eine nähere Untersuchung angezeigt. Besonders auffällig ist ein solcher Vorgang, wenn unmittelbar danach weitere Transaktionen folgen und der ursprüngliche Betrag auf mehrere neue Adressen verteilt wird.

Auch die zeitliche Abfolge kann wichtige Hinweise liefern. Wurde zunächst eine unbekannte Anwendung installiert und wenige Minuten später eine Wallet-Transaktion ausgelöst? Wurde unmittelbar vor dem Abfluss eine verdächtige Webseite besucht? Hat ein angeblicher Broker kurz zuvor erklärt, man müsse zur Auszahlung eine bestimmte Wallet-Verbindung bestätigen? Oder wurde eine Nachricht empfangen, in der ein Nutzer aufgefordert wurde, seine Seed Phrase oder andere Zugangsdaten einzugeben? Solche Zusammenhänge können für die Rekonstruktion des Vorgangs wesentlich sein.

Phishing gehört zu den häufigen Ursachen, die zu einem Verlust von Kryptowährungen führen können. Dabei wird der Betroffene auf eine gefälschte Webseite oder über eine täuschend echte Nachricht dazu gebracht, vertrauliche Informationen preiszugeben oder eine Transaktion zu bestätigen. Die Gestaltung kann dabei professionell wirken. Logos, Farben, Domainnamen und Texte können so gewählt sein, dass die Seite auf den ersten Blick wie das Angebot einer bekannten Kryptobörse oder eines Wallet-Anbieters erscheint.

Besonders gefährlich sind Nachrichten, die ein unmittelbares Handeln verlangen. Ein Nutzer erhält beispielsweise die Mitteilung, seine Wallet sei gesperrt, eine Transaktion müsse bestätigt werden oder das Konto müsse aus Sicherheitsgründen neu verifiziert werden. Anschließend wird ein Link bereitgestellt. Wer diesen Link öffnet, gelangt möglicherweise auf eine manipulierte Seite. Dort kann eine Anmeldung oder eine Wallet-Verbindung verlangt werden. Die technische Handlung, die der Nutzer für eine reine Sicherheitsprüfung hält, kann tatsächlich eine ungewollte Berechtigung oder Transaktion auslösen.

Auch angebliche Supportmitarbeiter können eine solche Täuschung einsetzen. Ein Nutzer sucht beispielsweise nach Hilfe, weil eine Auszahlung nicht funktioniert oder ein Guthaben nicht angezeigt wird. Kurz darauf meldet sich ein vermeintlicher Mitarbeiter per Messenger, Telefon oder E-Mail. Er erklärt, die Ursache liege bei einer technischen Sperre. Um diese zu beseitigen, müsse der Betroffene eine bestimmte Anwendung installieren, den Bildschirm freigeben oder eine Wallet verbinden. Wenn anschließend Kryptowährungen verschwinden, sollte genau geprüft werden, welche Handlungen während des Kontakts vorgenommen wurden.

Ein besonderes Warnsignal ist die Aufforderung, die Seed Phrase mitzuteilen. Eine legitime technische Unterstützung benötigt grundsätzlich nicht einfach die vollständige Wiederherstellungsphrase einer fremden Wallet, um ein Problem zu lösen. Wer von einer unbekannten Person zur Übermittlung einer Seed Phrase aufgefordert wird, sollte deshalb von einem erheblichen Sicherheitsrisiko ausgehen. Gleiches gilt für die Weitergabe von Private Keys oder vergleichbaren geheimen Zugangsinformationen.

Allerdings muss auch bei einer kompromittierten Seed Phrase nicht nur auf den Zeitpunkt der Preisgabe geschaut werden. Entscheidend ist, wann anschließend tatsächlich Transaktionen erfolgten. Die zeitliche Verbindung kann einen wichtigen Hinweis liefern. Wenn beispielsweise unmittelbar nach der Weitergabe einer Wiederherstellungsphrase sämtliche Vermögenswerte aus der Wallet abfließen, ergibt sich ein anderer Sachverhalt als bei einem Abfluss, der bereits Tage zuvor stattgefunden hat.

Ein weiteres Anzeichen können unbekannte Berechtigungen sein. Bei bestimmten Token und Smart-Contract-Systemen kann eine Wallet nicht nur eine einzelne Überweisung ausführen. Nutzer können Anwendungen oder Smart Contracts bestimmte Rechte einräumen. Wird eine solche Berechtigung unter Täuschung erteilt, kann dies später zu unerwarteten Vermögensabflüssen führen. Für Betroffene ist die technische Bedeutung solcher Freigaben häufig schwer einzuschätzen. Deshalb sollte bei einem auffälligen Verlust nicht nur nach klassischen Überweisungen gesucht werden, sondern auch geprüft werden, welche Interaktionen mit Smart Contracts oder Token-Freigaben stattgefunden haben.

Gerade bei dezentralen Anwendungen kann die Situation komplizierter sein. Ein Nutzer verbindet seine Wallet mit einer Webseite und bestätigt eine Transaktion, die auf den ersten Blick harmlos erscheint. Tatsächlich kann die Transaktion jedoch eine Berechtigung enthalten, durch die ein Dritter später auf bestimmte Token zugreifen kann. Der eigentliche Abfluss findet dann möglicherweise erst zu einem späteren Zeitpunkt statt. Wer nur den Zeitpunkt des sichtbaren Verlusts betrachtet, kann deshalb den entscheidenden Zusammenhang übersehen.

Auch unbekannte Netzwerkaktivitäten können Hinweise liefern. Kryptowährungen existieren auf unterschiedlichen Blockchains und Netzwerken. Ein Betroffener kann beispielsweise feststellen, dass sein Bestand auf einem bestimmten Netzwerk verschwunden ist, während andere Vermögenswerte weiterhin vorhanden sind. Daraus lässt sich nicht ohne Weiteres auf einen Angriff schließen. Es sollte vielmehr geprüft werden, ob der Bestand tatsächlich übertragen wurde, ob ein anderer Token betroffen ist oder ob eine technische Anzeigeproblematik vorliegt.

Ein auffälliger Wallet-Verlust kann zudem mit einem kompromittierten Browser zusammenhängen. Browser-Erweiterungen, manipulierte Webseiten oder Schadsoftware können unter bestimmten Umständen dazu führen, dass sicherheitsrelevante Informationen abgegriffen oder Transaktionen manipuliert werden. Besonders kritisch sind Situationen, in denen der Nutzer unmittelbar vor dem Verlust eine unbekannte Erweiterung installiert oder einer Webseite ungewöhnliche Berechtigungen eingeräumt hat.

Auch ein kompromittiertes Smartphone kann eine Rolle spielen. Viele Wallets und Kryptobörsen verwenden mobile Anwendungen und zusätzliche Authentifizierungsverfahren. Wenn ein Angreifer Zugriff auf das Gerät oder auf bestimmte Konten erhält, kann dies unter Umständen den Weg zu weiteren Zugangsdaten eröffnen. Deshalb sollte bei einem ungewöhnlichen Wallet-Abfluss auch berücksichtigt werden, ob das verwendete Gerät zuvor auffälliges Verhalten gezeigt hat.

Ein weiterer Hinweis kann eine unerwartete Passwort- oder Sicherheitsänderung sein. Wenn ein Betroffener plötzlich Benachrichtigungen über neue Anmeldungen, Passwortänderungen, neue Geräte oder Sicherheitsbestätigungen erhält, die er nicht selbst ausgelöst hat, sollte dies dokumentiert werden. Solche Hinweise können den zeitlichen Ablauf eines möglichen unbefugten Zugriffs näher eingrenzen.

Besonders relevant sind auch E-Mails über neue Logins. Eine solche Nachricht beweist zwar noch nicht, dass Kryptowährungen gestohlen wurden. Sie kann jedoch zusammen mit einem späteren Wallet-Abfluss ein wichtiges Indiz darstellen. Deshalb sollten automatische Benachrichtigungen von Kryptobörsen, Wallet-Diensten oder E-Mail-Anbietern nicht gelöscht werden, auch wenn sie auf den ersten Blick nur wie technische Routineinformationen wirken.

Bei einem Betrug durch einen angeblichen Anlageberater ist die Situation wiederum häufig anders. Hier kann der Betroffene die Kryptowährungen selbst übertragen haben. Er glaubt beispielsweise, damit eine Investition zu tätigen oder sein Guthaben auf eine angeblich sichere Verwahradresse zu verschieben. Später stellt sich heraus, dass die angegebene Zieladresse nicht zu einem seriösen Anbieter gehörte. In diesem Fall wäre die Transaktion technisch vom Betroffenen autorisiert worden. Das bedeutet jedoch nicht, dass kein Betrug vorliegen kann.

Für die rechtliche Bewertung ist deshalb die Entstehungsgeschichte der Transaktion entscheidend. Eine Blockchain zeigt grundsätzlich, dass eine bestimmte Adresse Vermögenswerte an eine andere Adresse übertragen hat. Sie zeigt nicht automatisch, warum der Nutzer diese Transaktion durchgeführt hat. Wenn die Übertragung durch falsche Angaben, eine vorgetäuschte Investition oder eine manipulierte Kommunikation veranlasst wurde, müssen diese Umstände anhand anderer Beweismittel rekonstruiert werden.

Ein wichtiges Warnsignal für einen solchen Anlagebetrug kann die Verbindung zwischen einer angeblichen Handelsplattform und einer privaten Wallet sein. Der Betroffene erhält beispielsweise die Anweisung, Kryptowährungen zu kaufen und anschließend an eine bestimmte Adresse zu senden. Als Begründung wird erklärt, dies sei für die Aktivierung des Tradingkontos, die Zuordnung des Kapitals oder die technische Verifizierung erforderlich. Wenn sich später herausstellt, dass die Kryptowährungen nicht auf einem tatsächlich kontrollierten Anlagekonto gelandet sind, sollte der gesamte Zahlungsweg untersucht werden.

Besonders verdächtig kann es werden, wenn nach der ersten Übertragung weitere Zahlungen verlangt werden. Der angebliche Anbieter erklärt vielleicht, die Auszahlung sei wegen einer Steuer, einer Sicherheitsleistung, einer Liquiditätsprüfung oder einer angeblichen Compliance-Anforderung noch nicht möglich. Der Betroffene soll deshalb weitere Kryptowährungen senden. Werden diese ebenfalls an unbekannte Wallets übertragen, kann ein Muster entstehen, das über den ursprünglichen Verlust hinausgeht.

Ein ähnliches Muster kann bei sogenannten Recovery-Betrügereien auftreten. Ein Geschädigter wird kontaktiert und erhält die Zusage, dass die bereits verlorenen Kryptowährungen gefunden worden seien. Um diese angeblich identifizierten Vermögenswerte freizuschalten, soll er erneut eine Zahlung leisten oder eine Wallet verbinden. Wenn danach erneut Kryptowährungen abfließen, liegt möglicherweise ein weiterer Betrug vor. Gerade deshalb sollten Betroffene nach einem ersten Wallet-Verlust besonders vorsichtig mit unaufgeforderten Hilfsangeboten sein.

Auch wechselnde Wallet-Adressen können ein Warnsignal darstellen. Wenn ein angeblicher Ansprechpartner zunächst eine bestimmte Adresse nennt und kurz darauf eine andere, sollte nachvollziehbar dokumentiert werden, welche Adresse zu welchem Zeitpunkt angegeben wurde. Eine wechselnde Empfängerstruktur kann unterschiedliche Ursachen haben, ist aber in Verbindung mit widersprüchlichen Erklärungen und ständig neuen Zahlungsforderungen auffällig.

Gleiches gilt für wechselnde Unternehmensnamen. Ein Betrüger kann gegenüber dem Betroffenen als Mitarbeiter eines Unternehmens auftreten, während die tatsächlichen Zahlungsdaten auf einen völlig anderen Namen lauten. Wenn Kryptowährungen angeblich an einen bekannten Anbieter gesendet werden sollen, die Transaktion aber auf eine nicht nachvollziehbare private Wallet führt, sollte dieser Widerspruch dokumentiert und geprüft werden.

Eine professionell wirkende Webseite ist ebenfalls kein ausreichender Nachweis für die Seriosität eines Anbieters. Betrügerische Plattformen können über längere Zeit aktiv sein und umfangreiche Benutzeroberflächen bereitstellen. Dort können angebliche Gewinne, Kontostände und offene Positionen angezeigt werden. Entscheidend ist deshalb nicht, wie überzeugend eine Oberfläche aussieht, sondern ob sich die behaupteten Vermögenswerte und Transaktionen anhand unabhängiger Daten nachvollziehen lassen.

Bei einer Wallet, die vollständig leergeräumt wurde, sollte außerdem geprüft werden, ob nur eine Kryptowährung oder mehrere Vermögenswerte betroffen sind. Wenn beispielsweise Bitcoin, Ether und verschiedene Token innerhalb eines kurzen Zeitraums verschwinden, kann dies auf eine umfassendere Kompromittierung hindeuten. Wenn dagegen nur ein einzelner Token betroffen ist, können andere technische Ursachen in Betracht kommen, etwa eine bestimmte Token-Freigabe oder eine Interaktion mit einem Smart Contract.

Auch die Reihenfolge der Transaktionen kann aufschlussreich sein. Ein Angreifer kann zunächst einen kleinen Betrag übertragen und anschließend den gesamten verbleibenden Bestand verschieben. Ein solcher Testtransfer kann unter Umständen dazu dienen, die Funktionsfähigkeit eines Zugriffs zu überprüfen. Aus einer einzelnen kleinen Transaktion sollte allerdings nicht automatisch auf einen Angriff geschlossen werden. Erst die Verbindung mit weiteren Umständen ermöglicht eine belastbare Einschätzung.

Besondere Aufmerksamkeit verdient die Zieladresse. Wenn der gesamte Betrag zunächst an eine einzige neue Adresse übertragen und von dort unmittelbar weitergeleitet wird, kann dies auf eine gezielte Weiterleitung hindeuten. Wird der Betrag dagegen auf viele Adressen verteilt, kann die weitere Analyse komplexer werden. Auch eine anschließende Verbindung zu einer bekannten Kryptobörse kann für die weitere Aufklärung relevant sein.

Eine solche Analyse sollte möglichst nicht bei der ersten Zieladresse enden. Kryptowährungen können über mehrere Stationen bewegt werden. Die ursprüngliche Zieladresse kann beispielsweise lediglich eine Zwischenstation sein. Danach können weitere Wallets folgen, bevor Vermögenswerte einen zentralisierten Dienstleister erreichen. Deshalb ist es wichtig, den Transaktionsverlauf vollständig zu dokumentieren und nicht nur den ersten sichtbaren Transfer zu betrachten.

Gleichzeitig gibt es technische Grenzen. Nicht jede Wallet lässt sich einer bestimmten Person zuordnen. Eine Blockchain-Adresse enthält grundsätzlich keine unmittelbar sichtbare Identität. Auch die Zuordnung einer Adresse zu einer Kryptobörse bedeutet nicht automatisch, dass der Kontoinhaber bekannt ist oder dass seine Daten ohne Weiteres zugänglich sind. Deshalb sollte eine Blockchainanalyse nicht mit einer Identifizierungsgarantie verwechselt werden.

Für Betroffene ist außerdem wichtig, zwischen einem technischen Indiz und einem rechtlichen Beweis zu unterscheiden. Eine unbekannte Transaktion kann ein starkes Warnsignal sein, muss aber im Kontext des gesamten Sachverhalts bewertet werden. Eine Chatnachricht kann eine Täuschung dokumentieren, beweist aber für sich genommen nicht zwingend den gesamten Zahlungsweg. Erst die Verbindung verschiedener Informationen kann ein schlüssiges Gesamtbild ergeben.

Deshalb sollten möglichst viele Originalinformationen erhalten bleiben. Dazu gehören nicht nur Screenshots, sondern wenn möglich auch die ursprünglichen E-Mails, vollständige Chatverläufe, Wallet- und Börsenberichte sowie die konkreten Transaktionsdaten. Bei Nachrichten sollte nicht nur die einzelne Zahlungsaufforderung gespeichert werden. Auch die vorherige Kommunikation kann wichtig sein, weil sie zeigt, wie das Vertrauen aufgebaut wurde und welche Angaben zur Veranlassung der Zahlung gemacht wurden.

Ebenso sollten Telefonnummern, E-Mail-Adressen und verwendete Webseiten dokumentiert werden. Bei Messenger-Kommunikation können Benutzernamen oder Profilinformationen relevant sein. Auch Namen angeblicher Berater, Broker oder Supportmitarbeiter sollten vollständig festgehalten werden. Wenn sich diese Angaben später als falsch herausstellen, kann die Diskrepanz zwischen behaupteter Identität und tatsächlichem Kommunikationsweg für die Rekonstruktion des Falls wichtig sein.

Wer den Verdacht hat, dass seine Wallet kompromittiert wurde, sollte außerdem nicht versuchen, durch eigene Gegenmaßnahmen den mutmaßlichen Angreifer zu kontaktieren. Direkte Kommunikation kann dazu führen, dass weitere Informationen preisgegeben werden oder der Täter erkennt, dass der Betroffene den Vorgang bemerkt hat. Noch problematischer ist es, wenn der Betroffene auf angebliche technische Unterstützung reagiert und erneut sensible Zugangsdaten oder Wallet-Berechtigungen offenlegt.

Auch vermeintliche Spezialisten, die nach einem Wallet-Verlust unaufgefordert ihre Hilfe anbieten, sollten kritisch geprüft werden. Ein seriöses Hilfsangebot wird nicht allein dadurch glaubwürdig, dass jemand behauptet, Blockchaintransaktionen verfolgen oder Kryptowährungen zurückholen zu können. Entscheidend sind nachvollziehbare Angaben zur eigenen Identität, zum konkreten Prüfungsumfang und zu den tatsächlichen technischen und rechtlichen Möglichkeiten. Insbesondere sollte niemand eine Seed Phrase oder einen Private Key an einen angeblichen Helfer übermitteln.

Wenn eine Wallet leergeräumt wurde, kann deshalb eine strukturierte Prüfung in mehreren Ebenen sinnvoll sein. Zunächst ist festzustellen, welche Transaktionen tatsächlich stattgefunden haben. Danach sollte geklärt werden, ob der Betroffene diese Transaktionen selbst ausgelöst oder autorisiert hat. Anschließend ist die Ursache des Vorgangs zu untersuchen: Phishing, kompromittierte Zugangsdaten, Schadsoftware, Fernzugriff, manipulierte Wallet-Verbindung, Täuschung oder eine andere Ursache. Erst danach lässt sich sinnvoll beurteilen, welche weiteren technischen und rechtlichen Schritte in Betracht kommen.

Bei einem möglichen unbefugten Zugriff sollte außerdem geprüft werden, ob noch Vermögenswerte vorhanden sind, die durch denselben Zugriff gefährdet sein könnten. Das betrifft insbesondere weitere Wallets, Börsenkonten und Zugangsdaten. Wenn mehrere Konten dieselben Zugangsdaten verwenden oder eine Seed Phrase möglicherweise kompromittiert wurde, kann das Problem über den bereits festgestellten Verlust hinausgehen.

Auch hier gilt jedoch: Eine vorschnelle technische Maßnahme kann unter Umständen Beweismittel verändern oder die spätere Rekonstruktion erschweren. Deshalb sollte zunächst dokumentiert werden, was passiert ist. Anschließend kann je nach konkreter Situation eine sichere technische Bereinigung oder Übertragung verbleibender Vermögenswerte erforderlich sein. Die richtige Vorgehensweise hängt von der verwendeten Wallet und dem konkreten Sicherheitsproblem ab.

Für eine rechtliche Prüfung ist schließlich die Frage zentral, ob sich aus den vorhandenen Informationen ein nachvollziehbarer Zusammenhang zwischen dem Schaden und bestimmten Personen, Unternehmen, Wallets oder Dienstleistern herstellen lässt. Dabei können die technische Transaktionshistorie, Kommunikationsdaten und sonstige Beweismittel zusammengeführt werden. Eine solche Gesamtbetrachtung ist häufig aussagekräftiger als die isolierte Betrachtung einer einzelnen Blockchain-Transaktion.

Ein leerer Wallet-Bestand ist daher ernst zu nehmen, sollte aber nicht zu vorschnellen Schlussfolgerungen führen. Die entscheidenden Hinweise liegen häufig in der Kombination aus Transaktionsdaten, zeitlichem Ablauf, Zugangsvorgängen, Kommunikation und den Handlungen des Betroffenen unmittelbar vor dem Verlust. Je früher diese Informationen vollständig gesichert werden, desto besser lässt sich später nachvollziehen, ob ein unbefugter Zugriff, eine technische Kompromittierung oder eine durch Täuschung ausgelöste Vermögensübertragung vorliegt.

Wer eine unbekannte Transaktion entdeckt, sollte insbesondere den Transaktions-Hash, die Ausgangs- und Zieladresse, den Zeitpunkt und den übertragenen Vermögenswert sichern. Zusätzlich sollten alle Informationen aufbewahrt werden, die erklären können, warum diese Transaktion entstanden ist. Erst die Verbindung dieser technischen und tatsächlichen Informationen ermöglicht eine belastbare Bewertung.

Bei einem Wallet-Verlust geht es deshalb nicht allein um die Frage, ob eine Kryptowährung „gestohlen“ wurde. Entscheidend ist, wie der Abfluss technisch erfolgte, wodurch er ermöglicht oder veranlasst wurde und welche Spuren anschließend entstanden sind. Diese Unterscheidung ist für die weitere technische Untersuchung ebenso wichtig wie für die Prüfung möglicher rechtlicher Ansprüche. Eine sorgfältige Aufarbeitung kann zeigen, welche Ansatzpunkte tatsächlich vorhanden sind und welche Informationen für die nächsten Schritte benötigt werden.

Wallet leergeräumt – was Betroffene unmittelbar sichern und veranlassen sollten

Wenn eine Wallet leergeräumt wurde, zählt zunächst eine möglichst geordnete Reaktion. Gerade in der ersten Phase besteht die Gefahr, dass Betroffene aus Sorge oder Zeitdruck weitere Fehler machen. Sie versuchen möglicherweise, den unbekannten Empfänger zu kontaktieren, eine angebliche Supportnummer anzurufen, erneut eine Wallet zu verbinden oder einer Person zu vertrauen, die verspricht, den Verlust kurzfristig rückgängig machen zu können. Bei einem möglichen Kryptobetrug kann dadurch zusätzlicher Schaden entstehen. Deshalb sollte zunächst Ruhe bewahrt und der bisherige Ablauf so vollständig wie möglich dokumentiert werden.

Der erste Schritt besteht darin, festzustellen, was tatsächlich passiert ist. Ein scheinbar leerer Wallet-Bestand sollte nicht allein anhand einer App-Anzeige beurteilt werden. Entscheidend ist die Transaktionshistorie auf der jeweiligen Blockchain. Zu prüfen ist insbesondere, ob Kryptowährungen tatsächlich von der eigenen Wallet an eine andere Adresse übertragen wurden, welche Beträge betroffen sind und zu welchem Zeitpunkt die Transaktionen stattgefunden haben. Dabei sollte für jede relevante Transaktion der Transaktions-Hash gesichert werden.

Der Transaktions-Hash ist eine eindeutige technische Referenz für einen bestimmten Blockchain-Vorgang. Er ermöglicht es, die betreffende Transaktion später wiederzufinden und anhand der Blockchain-Daten zu überprüfen. Für eine spätere rechtliche oder technische Analyse kann dieser Hash wesentlich sein. Deshalb sollte er nicht lediglich in einer flüchtigen Browseransicht belassen werden. Sinnvoll ist es, die Daten zusätzlich strukturiert zu dokumentieren und zusammen mit den übrigen Unterlagen aufzubewahren.

Neben dem Transaktions-Hash sollten die beteiligten Wallet-Adressen festgehalten werden. Dazu gehören insbesondere die eigene Ausgangsadresse und die jeweilige Zieladresse. Wenn anschließend weitere Transfers erfolgt sind, sollten auch die Folgeadressen dokumentiert werden. Bei mehreren Transaktionen empfiehlt sich eine chronologische Übersicht. So lässt sich später leichter nachvollziehen, wann welche Kryptowährung von welcher Adresse zu welcher anderen Adresse bewegt wurde.

Auch der genaue Zeitpunkt ist relevant. Es sollte festgehalten werden, wann der Betroffene den Verlust erstmals bemerkt hat und wann die betreffenden Blockchain-Transaktionen tatsächlich stattgefunden haben. Diese beiden Zeitpunkte können voneinander abweichen. Ein Abfluss kann bereits Stunden oder Tage vor seiner Entdeckung erfolgt sein. Die Differenz kann wiederum wichtige Hinweise auf den möglichen Ablauf geben.

Wenn die Wallet mit einer Kryptobörse verbunden war, sollten auch dort sämtliche relevanten Informationen gesichert werden. Dazu können Login-Hinweise, Sicherheitsbenachrichtigungen, Geräteinformationen, Auszahlungsübersichten und E-Mails gehören. Wurde beispielsweise kurz vor dem Verlust ein neues Gerät registriert oder eine Sicherheitsfunktion verändert, kann dies für die Rekonstruktion wichtig sein. Solche automatischen Nachrichten sollten daher nicht vorschnell gelöscht werden.

Dasselbe gilt für die verwendete Wallet-Anwendung. Betroffene sollten notieren, welche Wallet sie verwendet haben und auf welchem Gerät sie installiert war. Je nach System können unterschiedliche technische Voraussetzungen bestehen. Es kann sich beispielsweise um eine mobile Software-Wallet, eine Browser-Wallet, eine Hardware-Wallet oder eine andere Form der Verwahrung handeln. Diese Unterscheidung kann für die Ursachenanalyse entscheidend sein.

Besonders wichtig ist die Frage, ob die Seed Phrase oder ein Private Key möglicherweise an eine andere Person gelangt ist. Wenn ein Betroffener diese Informationen auf einer Webseite eingegeben, fotografiert, per Messenger versendet oder einer angeblichen Supportperson mitgeteilt hat, sollte dieser Umstand vollständig dokumentiert werden. Auch wenn die Weitergabe zunächst scheinbar keinen unmittelbaren Verlust verursacht hat, kann sie später mit einem Abfluss zusammenhängen.

Eine Seed Phrase sollte niemals als gewöhnliches Passwort betrachtet werden. Je nach Wallet-System kann sie den Zugang zu erheblichen Vermögenswerten ermöglichen. Wenn sie kompromittiert wurde, kann ein einfaches Ändern des Wallet-Passworts unter Umständen nicht ausreichen. Welche Schutzmaßnahme erforderlich ist, hängt von der konkreten Wallet-Struktur ab. Bei noch vorhandenen Vermögenswerten kann deshalb eine fachkundige technische Prüfung sinnvoll sein, bevor weitere Aktionen durchgeführt werden.

Auch Private Keys dürfen nicht weitergegeben werden. Gleiches gilt für Wiederherstellungscodes und andere geheime Zugangsinformationen. Wer nach einem Verlust von Kryptowährungen von einer angeblichen Hilfsperson aufgefordert wird, solche Informationen zu übermitteln, sollte besonders vorsichtig sein. Ein vermeintlicher Supportmitarbeiter, Broker oder Recovery-Spezialist benötigt nicht allein deshalb Zugriff auf die Wallet, weil er behauptet, den Verlust untersuchen zu wollen.

Ein häufiger Fehler besteht darin, nach einem Wallet-Verlust sofort nach einem „Wallet Recovery Service“ zu suchen und einer unbekannten Person weitreichenden Zugriff einzuräumen. Die besondere emotionale Situation eines Geschädigten kann von weiteren Betrügern ausgenutzt werden. Sie können behaupten, die verlorenen Kryptowährungen bereits gefunden zu haben, und anschließend eine Gebühr, Steuer, Sicherheitsleistung oder technische Freischaltung verlangen. Wird diese Forderung erfüllt, kann ein zweiter finanzieller Schaden entstehen.

Deshalb sollten Betroffene nach einem Verlust grundsätzlich keine weiteren Zahlungen leisten, solange nicht nachvollziehbar geklärt ist, wem die Zahlung zugutekommen soll und warum sie erforderlich sein soll. Das gilt besonders dann, wenn der ursprüngliche Kontakt bereits mit einem Betrug zusammenhängen könnte. Eine Person, die zunächst eine Auszahlung verhindert und anschließend für die angebliche Freigabe des Geldes erneut Kryptowährungen verlangt, sollte nicht allein aufgrund professioneller Kommunikation als vertrauenswürdig angesehen werden.

Parallel zur technischen Sicherung sollten sämtliche Kommunikationsdaten erhalten bleiben. Dazu gehören E-Mails, Messenger-Nachrichten, SMS, Telefonverläufe und gegebenenfalls Nachrichten über soziale Netzwerke. Bei einem angeblichen Broker oder Anlageberater sollte die Kommunikation möglichst vollständig dokumentiert werden. Nicht nur die konkrete Aufforderung zur Übertragung ist wichtig. Auch vorherige Nachrichten können zeigen, wie der Kontakt aufgebaut wurde, welche Versprechen gemacht wurden und welche Erklärungen der Übertragung vorausgingen.

Wenn ein angeblicher Berater behauptet hat, die Kryptowährungen würden auf einem bestimmten Anlagekonto verwahrt, sollte diese Aussage ebenfalls gesichert werden. Dazu können Screenshots der Plattform, Kontostände, angebliche Gewinnanzeigen und Auszahlungsversprechen gehören. Solche Darstellungen können später wichtig sein, wenn geprüft werden soll, ob eine Täuschung über die tatsächliche Verwendung der übertragenen Kryptowährungen stattgefunden hat.

Besonders relevant sind Angaben über die Person, die den Betroffenen zur Übertragung veranlasst hat. Der vollständige Name, ein verwendeter Firmenname, Telefonnummern, E-Mail-Adressen, Messenger-Profile und Webseiten sollten festgehalten werden. Wenn unterschiedliche Namen verwendet wurden, sollten diese ebenfalls dokumentiert werden. Dasselbe gilt für angebliche Zulassungen, Geschäftsadressen oder Unternehmensangaben, sofern sie dem Betroffenen mitgeteilt wurden.

Auch Domains und Webseiten sollten gesichert werden. Eine Webseite kann später verändert oder vollständig entfernt werden. Ein Screenshot allein kann daher zwar hilfreich sein, sollte aber möglichst durch weitere vorhandene Informationen ergänzt werden. Dazu können gespeicherte E-Mails mit Links, Chatnachrichten, PDF-Dokumente oder Vertragsunterlagen gehören. Je vollständiger der ursprüngliche Kommunikationsstand erhalten bleibt, desto besser kann die Entwicklung des Geschehens nachvollzogen werden.

Wenn der Verdacht besteht, dass ein Computer oder Smartphone kompromittiert wurde, sollte der Betroffene außerdem dokumentieren, was unmittelbar vor dem Verlust geschehen ist. Wurde eine unbekannte Anwendung installiert? Wurde ein Browser-Plug-in hinzugefügt? Wurde eine Fernwartungssoftware installiert? Hat eine unbekannte Person Zugriff auf den Bildschirm erhalten? Wurde eine Wallet mit einer neuen Webseite verbunden? Solche Details können entscheidend sein.

Fernwartungssoftware verdient besondere Aufmerksamkeit. Bei einem angeblichen technischen Support kann ein Betroffener aufgefordert worden sein, eine Software zu installieren, damit ein Mitarbeiter den Computer „prüfen“ kann. Während des Zugriffs können jedoch sensible Informationen sichtbar werden. Unter Umständen kann der Angreifer Zugangsdaten erfassen oder den Nutzer zu bestimmten Transaktionen anleiten. Wenn anschließend Kryptowährungen fehlen, sollte die gesamte Fernwartungssituation dokumentiert werden.

Eine solche Dokumentation sollte auch den Namen der verwendeten Software und möglichst den Zeitpunkt der Installation enthalten. Wenn die Software noch installiert ist, sollte nicht unüberlegt weiter mit dem Gerät gearbeitet werden. Je nach Situation kann es sinnvoll sein, zunächst eine fachkundige technische Einschätzung einzuholen. Ziel sollte sein, einerseits weitere Zugriffe zu verhindern und andererseits relevante Informationen für die spätere Aufklärung nicht unnötig zu verändern.

Bei noch vorhandenen Kryptowährungen kann die Sicherheitslage besonders dringend sein. Wenn eine Wallet möglicherweise kompromittiert wurde, muss geprüft werden, ob weitere Vermögenswerte ebenfalls gefährdet sind. Das kann beispielsweise mehrere Token, mehrere Adressen oder verbundene Anwendungen betreffen. Eine bloße Betrachtung des bereits verschwundenen Betrags reicht dann nicht aus.

Auch weitere Wallets sollten überprüft werden, wenn sie mit denselben kompromittierten Zugangsinformationen verbunden sein könnten. Gleiches gilt für Kryptobörsenkonten. Wenn ein Angreifer möglicherweise Zugangsdaten erlangt hat, können mehrere Konten betroffen sein. Passwörter sollten gegebenenfalls von einem sicheren Gerät aus geändert und zusätzliche Sicherheitsmechanismen aktiviert werden. Welche Schritte konkret sinnvoll sind, hängt jedoch von der Art des kompromittierten Systems ab.

Bei einem Verdacht auf einen kompromittierten E-Mail-Account sollte auch dieser gesichert werden. E-Mail-Konten können für Passwortänderungen und Sicherheitsbestätigungen anderer Dienste verwendet werden. Ein Angreifer, der Zugriff auf das E-Mail-Konto erlangt, kann dadurch unter Umständen weitere Konten gefährden. Deshalb sollte nicht nur die Wallet isoliert betrachtet werden.

Auch bei einem Mobiltelefon sollte geprüft werden, ob unbekannte Anwendungen oder Profile installiert wurden. Hat eine fremde Person Zugriff auf das Gerät erhalten, sollte dies dokumentiert werden. Dasselbe gilt für ungewöhnliche Login-Benachrichtigungen oder neue Geräte, die bei einem Dienst registriert wurden.

Eine weitere wichtige Sofortmaßnahme ist die Sicherung finanzieller Nachweise. Wenn Kryptowährungen ursprünglich über eine Banküberweisung, eine Kreditkartenzahlung oder einen anderen Zahlungsweg erworben wurden, sollten die entsprechenden Belege aufbewahrt werden. Dazu können Kontoauszüge, Überweisungsbelege, Zahlungsbestätigungen und Unterlagen der Kryptobörse gehören. Sie können später helfen, den ursprünglichen Geldfluss und die Höhe des entstandenen Schadens zu bestimmen.

Bei einem komplexen Fall kann es sinnvoll sein, eine eigene Schadensübersicht anzulegen. Darin sollte für jede relevante Transaktion festgehalten werden, wann sie erfolgte, welcher Vermögenswert übertragen wurde, welcher Betrag betroffen war, von welcher Adresse die Übertragung ausging und welche Zieladresse angegeben wurde. Wenn zusätzlich Fiat-Zahlungen erfolgt sind, sollten diese ebenfalls aufgenommen werden.

Eine solche Übersicht verhindert, dass wichtige Transaktionen nur anhand einzelner Screenshots rekonstruiert werden müssen. Sie erleichtert außerdem die spätere Prüfung durch einen Anwalt oder einen technischen Sachverständigen. Gerade wenn viele einzelne Zahlungen stattgefunden haben, kann eine strukturierte Chronologie erhebliche Zeit sparen.

Die Schadensübersicht sollte nicht nur erfolgreiche Transaktionen enthalten. Auch fehlgeschlagene Überweisungen, abgelehnte Auszahlungen oder auffällige technische Vorgänge können relevant sein. Wenn eine Plattform beispielsweise zunächst eine Auszahlung angekündigt und anschließend eine weitere Zahlung verlangt hat, sollte auch dieser Ablauf dokumentiert werden. Dadurch kann sichtbar werden, ob sich bestimmte Muster wiederholt haben.

Besonders sorgfältig sollten Betroffene mit der Bezeichnung von Transaktionen umgehen. Eine Transaktion sollte nicht ohne Prüfung als „Diebstahl“ bezeichnet werden, wenn sie möglicherweise selbst ausgelöst wurde. Für die spätere rechtliche Bewertung ist es hilfreicher, zunächst sachlich zu dokumentieren, was tatsächlich passiert ist. Beispielsweise kann festgehalten werden: „Am 12. September wurde ohne meine bewusste Veranlassung ein Betrag von X an die Adresse Y übertragen.“ Die Frage, ob dies rechtlich als unbefugter Zugriff, Betrug oder eine andere Handlung einzuordnen ist, kann anschließend anhand der gesamten Umstände geprüft werden.

Auch scheinbar nebensächliche Informationen können später wichtig werden. Hat der angebliche Berater eine bestimmte Formulierung verwendet? Wurde eine konkrete Frist genannt? Wurde behauptet, eine Wallet sei „gesichert“ oder „freigeschaltet“? Wurde erklärt, warum eine Transaktion an eine bestimmte Adresse erfolgen sollte? Solche Details können dabei helfen, den Täuschungsmechanismus zu rekonstruieren.

Bei Chats sollten Betroffene möglichst nicht nur einzelne Nachrichten weiterleiten. Ein isolierter Screenshot kann den Kontext verlieren. Besser ist es, den gesamten relevanten Gesprächsverlauf zu sichern, soweit dies technisch möglich ist. Dabei sollte darauf geachtet werden, dass Datum und Uhrzeit erkennbar bleiben. Auch die Identität beziehungsweise das Profil des Kommunikationspartners sollte dokumentiert werden.

E-Mails sollten möglichst im Original erhalten bleiben. Neben dem sichtbaren Inhalt können technische Informationen wie Absenderadresse, Empfangszeit und enthaltene Links relevant sein. Bei verdächtigen Nachrichten sollte nicht unbedacht auf Links geklickt werden. Die bloße Neugier, wohin ein Link führt, kann bei einer noch bestehenden Kompromittierung weitere Risiken schaffen.

Auch die ursprüngliche Wallet-Adresse sollte genau notiert werden. Bei manchen Kryptowährungen können unterschiedliche Netzwerke oder Adressformate zu Verwechslungen führen. Deshalb sollte die Information möglichst direkt aus der Wallet oder einer verlässlichen Transaktionsansicht übernommen werden. Ein Übertragungsfehler bei einer Zeichenfolge kann eine spätere Analyse erheblich erschweren.

Wenn mehrere Wallets betroffen sind, sollten diese getrennt dokumentiert werden. Für jede Wallet kann eine eigene Übersicht mit Adresse, Netzwerk, Vermögenswerten und relevanten Transaktionen erstellt werden. Ebenso sollten die zugehörigen Anwendungen und Geräte notiert werden. Auf diese Weise lässt sich später prüfen, ob ein gemeinsamer Angriffspunkt existiert.

Ein weiterer wichtiger Punkt ist die Dokumentation von Token-Freigaben und Smart-Contract-Interaktionen. Wenn der Verlust nicht durch eine gewöhnliche Überweisung, sondern durch eine bestimmte Vertragsinteraktion entstanden sein könnte, sollte auch diese Transaktion gesichert werden. Die technische Bedeutung einer solchen Transaktion kann für Laien schwer verständlich sein. Dennoch sollten die entsprechenden Daten nicht gelöscht werden, nur weil der Betroffene ihre Bedeutung zunächst nicht einordnen kann.

Bei einem möglichen Phishing-Angriff sollte auch die betreffende Webseite dokumentiert werden, soweit dies ohne weiteres Öffnen möglich ist. Domainname, E-Mail-Adresse des Absenders und die konkrete Nachricht können wichtige Hinweise liefern. Wenn die Seite später nicht mehr erreichbar ist, bleiben zumindest diese Informationen erhalten.

Wenn der Betroffene über eine Kryptobörse gehandelt hat, sollten die dort verfügbaren Transaktions- und Kontodaten exportiert oder gesichert werden, soweit der Dienst dies anbietet. Dazu können Einzahlungen, Auszahlungen, Kauf- und Verkaufsvorgänge sowie Sicherheitsmeldungen gehören. Die Unterlagen können dabei helfen, den Weg von Fiatgeld zu Kryptowährungen und anschließend zur betroffenen Wallet zu rekonstruieren.

Auch der Zeitpunkt des Kaufs kann relevant sein. Bei einem späteren Schaden muss gegebenenfalls nachvollzogen werden, welche Kryptowährungen ursprünglich erworben wurden und in welchem Umfang. Bei mehreren Käufen und Transfers kann die Rekonstruktion komplex werden. Eine frühzeitige Sicherung der Börsendaten erleichtert deshalb die spätere Zuordnung.

Betroffene sollten außerdem vorsichtig sein, wenn eine vermeintliche Hilfsperson behauptet, sie könne die Wallet direkt überprüfen. Eine unbekannte Person sollte niemals ohne klare Notwendigkeit Zugang zu einer Wallet erhalten. Insbesondere sollte niemals eine Seed Phrase oder ein Private Key übertragen werden. Auch das Verbinden einer Wallet mit einer unbekannten Webseite kann Risiken verursachen.

Ein seriöses Hilfsangebot sollte nachvollziehbar erklären können, welche Informationen für eine Prüfung tatsächlich benötigt werden. Für eine erste rechtliche Bewertung sind häufig Transaktionsdaten, Kommunikationsverläufe, Zahlungsbelege und Angaben zu den beteiligten Personen oder Unternehmen wesentlich. Der vollständige Zugang zu einer Wallet ist dafür nicht automatisch erforderlich.

Wenn bereits weitere Zahlungsforderungen eingegangen sind, sollten diese ebenfalls dokumentiert werden. Das gilt insbesondere für angebliche Steuern, Gebühren, Sicherheitsleistungen, Compliance-Zahlungen oder Freischaltungsbeträge. Die konkrete Begründung für jede Forderung kann später zeigen, wie der Betrug aufgebaut war und ob nach dem ersten Verlust weitere Schäden entstanden sind.

Auch bei einem angeblichen Recovery-Angebot sollten alle Informationen aufbewahrt werden. Telefonnummern, E-Mails, Webseiten und Wallet-Adressen des neuen Kontakts können relevant sein. Ein zweiter Betrugsversuch kann sich inhaltlich deutlich vom ursprünglichen Vorgang unterscheiden und dennoch mit diesem zusammenhängen.

Nach der ersten Sicherung sollte der Betroffene entscheiden, welche weiteren Schritte technisch und rechtlich sinnvoll sind. Bei einem möglichen unbefugten Zugriff kann die Absicherung verbliebener Konten im Vordergrund stehen. Bei einem durch Täuschung ausgelösten Transfer kann dagegen die Rekonstruktion der Kommunikation und des Zahlungswegs besonders wichtig sein. Wenn eine Kryptobörse beteiligt ist, kann deren Rolle gesondert betrachtet werden.

Die Frage, ob eine technische Transaktion noch gestoppt oder rückgängig gemacht werden kann, lässt sich bei Kryptowährungen nicht pauschal beantworten. In vielen Blockchain-Systemen gibt es keinen mit einer klassischen Bankbuchung vergleichbaren einfachen Mechanismus zur nachträglichen Rücknahme einer bereits bestätigten Transaktion. Umso wichtiger ist es, den weiteren Weg der Vermögenswerte möglichst früh zu dokumentieren und zu prüfen.

Eine Blockchainanalyse kann dabei Hinweise liefern, ob die Kryptowährungen noch in Bewegung sind und welche weiteren Adressen beteiligt sind. Sie kann unter Umständen auch zeigen, ob Vermögenswerte einen Dienstleister erreichen, bei dem eine Identifizierung des Nutzers grundsätzlich möglich sein könnte. Daraus folgt allerdings nicht automatisch, dass die Vermögenswerte gesichert oder zurückerlangt werden können. Die technische Nachverfolgung ist vielmehr ein Baustein der weiteren Prüfung.

Wer einen Anwalt einschalten möchte, sollte deshalb möglichst nicht nur die Höhe des Schadens nennen. Für eine sinnvolle erste Prüfung ist es hilfreicher, die wesentlichen Daten geordnet bereitzustellen: Wallet-Adresse, Transaktions-Hashes, betroffene Kryptowährungen, Zeitpunkte, Zieladressen, relevante Kommunikationspartner, Zahlungsbelege und eine kurze Chronologie. Bei einem größeren oder komplexeren Sachverhalt kann zusätzlich eine ausführlichere Dokumentation erforderlich sein.

Auch die eigene Schilderung sollte möglichst sachlich bleiben. Es ist nicht notwendig, technische Vorgänge bereits juristisch zu bewerten. Viel wichtiger ist eine klare Darstellung dessen, was wann geschehen ist. Eine chronologische Schilderung kann beispielsweise mit dem ersten Kontakt beginnen, anschließend die behauptete Investitionsmöglichkeit oder technische Aufforderung beschreiben und danach die einzelnen Zahlungen und Wallet-Transaktionen aufführen.

Bei einem möglichen Anlagebetrug sollte zusätzlich dokumentiert werden, welche Renditen, Gewinne oder Kontostände versprochen beziehungsweise angezeigt wurden. Wenn eine Auszahlung zunächst zugesagt und später von weiteren Zahlungen abhängig gemacht wurde, gehört auch dies in die Chronologie. So kann nachvollzogen werden, wie sich der Schaden entwickelt hat.

Wenn ein Fernzugriff stattgefunden hat, sollte die Chronologie auch diesen Vorgang enthalten. Wann wurde die Software installiert? Wer forderte dazu auf? Welche Anwendung wurde verwendet? Was sollte der angebliche Support angeblich tun? Welche Wallet oder Kryptobörse war zu diesem Zeitpunkt geöffnet? Wann erfolgte anschließend der erste verdächtige Abfluss? Solche zeitlichen Zusammenhänge können bei der technischen Prüfung erheblich sein.

Wichtig ist außerdem, dass Betroffene nicht aus Angst vor einer unangenehmen Erklärung relevante Informationen zurückhalten. Auch wenn beispielsweise eine Seed Phrase weitergegeben, eine unbekannte Software installiert oder eine Transaktion selbst bestätigt wurde, sollte dies vollständig mitgeteilt werden. Eine rechtliche und technische Bewertung kann nur dann sinnvoll erfolgen, wenn der tatsächliche Ablauf bekannt ist. Das Verschweigen eines solchen Umstands kann die spätere Analyse erschweren.

Dasselbe gilt für bereits geleistete weitere Zahlungen. Wenn nach dem ersten Verlust nochmals Kryptowährungen an angebliche Helfer, Broker oder Dienstleister übertragen wurden, sollte auch dieser Vorgang dokumentiert werden. Es kann sich um einen eigenständigen weiteren Schaden handeln oder um einen Teil desselben Täuschungssystems.

Nach Möglichkeit sollte außerdem festgehalten werden, ob und wann der Betroffene den jeweiligen Anbieter kontaktiert hat. Antworten des angeblichen Brokers, Wallet-Anbieters oder Supports sollten vollständig erhalten bleiben. Wenn ein Anbieter nach dem Verlust bestimmte Erklärungen abgegeben hat, können diese für die spätere Bewertung relevant sein.

Besondere Vorsicht ist bei Löschungen geboten. Aus Verärgerung oder Scham werden Chats, E-Mails oder Profile manchmal entfernt. Damit können jedoch Informationen verloren gehen, die später wichtig wären. Auch wenn eine Nachricht unangenehm ist oder der Betroffene sich vorgeworfen fühlt, zu leichtgläubig gewesen zu sein, sollte sie zunächst erhalten bleiben.

Eine sachliche Dokumentation hilft außerdem dabei, den Fall von der eigenen Erinnerung zu entlasten. Bei komplexen Betrugsfällen können sich über Wochen zahlreiche Kontakte, Zahlungen und Erklärungen angesammelt haben. Unter Stress werden Zeitpunkte und Reihenfolgen leicht verwechselt. Eine frühzeitig erstellte Chronologie reduziert dieses Risiko.

Wer eine Wallet leergeräumt vorfindet, sollte daher möglichst in dieser Reihenfolge vorgehen: zunächst den tatsächlichen Blockchain-Abfluss feststellen, anschließend Transaktions-Hashes und Wallet-Adressen sichern, danach Kommunikations- und Zahlungsdaten vollständig zusammentragen und parallel prüfen, ob weitere Konten oder Wallets gefährdet sein könnten. Erst auf dieser Grundlage sollte die weitere technische und rechtliche Strategie festgelegt werden.

Entscheidend ist, dass keine weiteren Kryptowährungen aufgrund bloßer Versprechen an unbekannte Empfänger übertragen werden. Auch angebliche Freischaltungs-, Verifizierungs- oder Wiederherstellungszahlungen sollten kritisch geprüft werden. Ein bereits entstandener Verlust wird nicht dadurch behoben, dass ohne nachvollziehbare Grundlage weiteres Geld oder weitere Kryptowährungen an einen unbekannten Empfänger gesendet werden.

Die Frage, ob noch Möglichkeiten bestehen, Vermögenswerte zu sichern oder Ansprüche durchzusetzen, hängt vom konkreten Verlauf ab. Eine frühzeitige und vollständige Dokumentation verbessert jedoch die Grundlage für jede weitere Prüfung. Insbesondere bei Kryptowährungen können Transaktionen technisch nachvollziehbare Spuren hinterlassen. Diese Spuren sind dann besonders wertvoll, wenn sie mit den übrigen Informationen über die Kommunikation, die Zahlungsanweisungen und die beteiligten Personen oder Unternehmen verbunden werden können.

Ein leergeräumtes Wallet sollte deshalb nicht nur als verlorenes Guthaben betrachtet werden. Es ist zugleich ein technischer Vorgang, dessen Spuren gesichert werden können, und möglicherweise Teil eines größeren Betrugsgeschehens. Je genauer der Ablauf dokumentiert wird, desto besser lässt sich später feststellen, ob ein unbefugter Zugriff, eine kompromittierte Zugangsinformation, eine manipulierte Wallet-Verbindung oder eine durch Täuschung veranlasste Übertragung vorliegt. Diese Unterscheidung bildet die Grundlage dafür, die weiteren technischen und rechtlichen Möglichkeiten gezielt zu prüfen.

Wallet leergeräumt – wie lassen sich Wallets und Kryptotransaktionen nachvollziehen?

Wenn eine Wallet leergeräumt wurde, stellt sich für Betroffene häufig unmittelbar die Frage, wohin die Kryptowährungen anschließend gelangt sind. Bei einer klassischen Banküberweisung lässt sich anhand des Kontoauszugs erkennen, an welches Konto ein Betrag überwiesen wurde. Bei Kryptowährungen funktioniert die Nachvollziehbarkeit anders. Die Transaktion wird auf einer Blockchain gespeichert und kann je nach verwendetem Netzwerk öffentlich eingesehen werden. Sichtbar sind dabei insbesondere die beteiligten Adressen, der übertragene Betrag, der Zeitpunkt und die technische Transaktionsreferenz. Die eigentliche Herausforderung besteht darin, aus diesen Daten den weiteren Weg der Vermögenswerte zu rekonstruieren und gegebenenfalls einen Bezug zu realen Personen oder Dienstleistern herzustellen.

Eine Wallet-Adresse ist zunächst lediglich eine technische Kennung. Aus einer Zeichenfolge wie einer Bitcoin- oder Ethereum-Adresse lässt sich nicht automatisch der Name desjenigen ablesen, der sie kontrolliert. Das ist einer der wichtigsten Punkte bei der Aufarbeitung eines Wallet-Betrugs. Eine Blockchainanalyse kann sehr detailliert zeigen, was mit einem Vermögenswert technisch geschehen ist. Sie kann aber nicht allein aus der Existenz einer Adresse beweisen, welche natürliche oder juristische Person dahintersteht. Für die rechtliche Aufarbeitung müssen deshalb Blockchain-Daten mit weiteren Informationen verbunden werden.

Der Ausgangspunkt ist regelmäßig die konkrete Transaktion, durch die die Kryptowährungen aus der Wallet des Betroffenen abgeflossen sind. Hier sollte zunächst festgestellt werden, welche Blockchain betroffen ist. Anschließend werden die Ausgangsadresse, die Zieladresse, der Betrag, der Zeitpunkt und der Transaktions-Hash erfasst. Bei mehreren Abflüssen sollte jeder einzelne Vorgang dokumentiert werden. Dadurch entsteht eine belastbare Grundlage für die weitere Analyse.

Der Transaktions-Hash ist dabei besonders wichtig. Er ermöglicht die eindeutige Zuordnung eines bestimmten Blockchain-Vorgangs. Wer über diesen Hash verfügt, kann die betreffende Transaktion in einem geeigneten Blockchain-Explorer überprüfen. Je nach Blockchain lassen sich dabei verschiedene Informationen anzeigen, etwa die Eingangs- und Ausgangsadressen, die übertragenen Vermögenswerte, die Blocknummer und der Zeitpunkt der Bestätigung. Für eine spätere rechtliche Prüfung sollte der Hash zusammen mit den übrigen Unterlagen aufbewahrt werden.

Bei einem einfachen Fall kann die erste Analyse relativ übersichtlich sein. Eine Wallet enthält beispielsweise einen bestimmten Bestand an Kryptowährungen. Innerhalb eines kurzen Zeitraums wird der gesamte Bestand an eine zuvor unbekannte Adresse übertragen. Die Zieladresse hat keine erkennbare Verbindung zur bisherigen Nutzung des Betroffenen. Eine solche Transaktion kann ein wichtiges Indiz für einen unbefugten Abfluss sein. Sie beantwortet jedoch noch nicht die entscheidende Frage, wer hinter der Zieladresse steht.

Deshalb endet eine sinnvolle Untersuchung nicht bei der ersten Zieladresse. Zu prüfen ist, was anschließend mit dem übertragenen Vermögenswert geschieht. Wird der Betrag unmittelbar weitergeleitet? Wird er auf mehrere Adressen verteilt? Bleibt er über längere Zeit auf derselben Adresse? Werden weitere Vermögenswerte aus unterschiedlichen Quellen dorthin übertragen? Oder gelangt der Betrag später zu einem Dienstleister, dessen Infrastruktur möglicherweise identifizierbar ist?

Gerade die Folgebewegungen können für die Aufklärung erheblich sein. Ein Täter kann beispielsweise eine Wallet nur als Zwischenstation verwenden. Der Betrag wird zunächst von der Wallet des Geschädigten an eine neue Adresse gesendet und von dort wenige Minuten später an eine weitere Adresse übertragen. Anschließend erfolgt möglicherweise eine Aufteilung auf mehrere Wallets. Eine Untersuchung, die nur die erste Zieladresse betrachtet, würde diesen weiteren Zahlungsweg nicht erfassen.

Bei solchen mehrstufigen Bewegungen spricht man vereinfacht von einer Transaktionskette. Für die Analyse kann es erforderlich sein, mehrere aufeinanderfolgende Transaktionen miteinander zu verbinden. Dabei wird nicht nur betrachtet, wohin ein Betrag unmittelbar gelangt ist, sondern auch, welche weiteren Bewegungen daraus entstehen. Je länger die Kette wird, desto anspruchsvoller kann die technische Bewertung werden.

Eine besondere Herausforderung entsteht, wenn ein Betrag auf mehrere Adressen verteilt wird. Beispielsweise können aus einer ursprünglichen Transaktion drei oder mehr weitere Transfers entstehen. Die einzelnen Teilbeträge können wiederum unterschiedliche Wege nehmen. In einem solchen Fall muss zunächst nachvollzogen werden, welche Bewegungen wirtschaftlich und technisch mit dem ursprünglichen Abfluss zusammenhängen.

Dabei darf nicht allein auf identische Beträge geachtet werden. Gebühren, Wechselvorgänge, Token-Swaps und andere technische Vorgänge können dazu führen, dass sich die ursprünglich übertragene Summe später nicht mehr in derselben Form wiederfindet. Eine Analyse muss deshalb die jeweilige Blockchain und die dort verwendeten Transaktionsmechanismen berücksichtigen.

Bei bestimmten Kryptowährungen und Netzwerken können zusätzliche technische Besonderheiten hinzukommen. Token können beispielsweise über Smart Contracts übertragen oder mit anderen Vermögenswerten getauscht werden. Ein zunächst gestohlener Token kann dadurch in einen anderen Token umgewandelt werden. Anschließend kann der neue Vermögenswert an eine weitere Adresse übertragen werden. Für Betroffene ist ein solcher Vorgang oft nicht mehr anhand der ursprünglichen Transaktion verständlich. Eine detaillierte Analyse kann jedoch zeigen, welche Schritte aufeinanderfolgten.

Auch sogenannte Bridges können bei bestimmten Blockchain-Transaktionen eine Rolle spielen. Dabei können Vermögenswerte beziehungsweise entsprechende Repräsentationen zwischen verschiedenen Blockchain-Netzwerken bewegt werden. Für eine Untersuchung bedeutet das, dass der Zahlungsweg nicht zwingend innerhalb einer einzigen Blockchain endet. Die Analyse muss gegebenenfalls Netzwerkgrenzen berücksichtigen.

Ebenso können dezentrale Handelsprotokolle verwendet werden. Ein Vermögenswert kann zunächst an eine Zieladresse übertragen und anschließend über einen dezentralen Mechanismus in einen anderen Vermögenswert umgewandelt werden. Dadurch verändert sich die technische Darstellung des ursprünglichen Betrags. Dennoch können entsprechende Transaktionen unter bestimmten Voraussetzungen miteinander in Verbindung gebracht werden.

Die technische Nachverfolgung wird noch anspruchsvoller, wenn Vermögenswerte über zahlreiche Adressen bewegt oder bewusst verschleiert werden. Dazu können verschiedene Verschleierungstechniken gehören. Auch sogenannte Mixer oder andere Systeme, die Transaktionszusammenhänge erschweren, können die Analyse beeinflussen. Das bedeutet jedoch nicht automatisch, dass jede Spur verloren ist. Es bedeutet vielmehr, dass die Aussagekraft einzelner Transaktionen sorgfältiger bewertet werden muss.

Eine weitere wichtige Frage ist, ob die Zieladresse mit einer Kryptobörse oder einem anderen Kryptodienstleister verbunden werden kann. Zentralisierte Kryptobörsen verwalten häufig große Mengen unterschiedlicher Nutzerkonten und Wallets. Wenn ein gestohlener oder betrügerisch erlangter Betrag an eine solche Infrastruktur gelangt, kann dies für die weitere rechtliche Prüfung relevant sein. Die technische Zuordnung einer Adresse zu einem Dienstleister ist allerdings nicht gleichbedeutend mit der Identifizierung des konkreten Kontoinhabers.

Hier kommt die Bedeutung von KYC-Daten ins Spiel. KYC steht für „Know Your Customer“ und bezeichnet Verfahren, mit denen ein Dienstleister seine Kunden identifiziert. Bei regulierten oder entsprechend organisierten Kryptodienstleistern können daher grundsätzlich personenbezogene Informationen über Kontoinhaber vorhanden sein. Ob diese Daten tatsächlich existieren, welche Informationen gespeichert werden und unter welchen Voraussetzungen sie rechtlich zugänglich gemacht werden können, hängt vom jeweiligen Dienstleister und den konkreten Umständen ab.

Für eine rechtliche Aufarbeitung kann deshalb die Frage entscheidend sein, ob sich eine Wallet-Adresse einer bestimmten Kryptobörse oder einem anderen VASP zuordnen lässt. VASP steht für „Virtual Asset Service Provider“ und wird als Sammelbegriff für bestimmte Anbieter von Dienstleistungen rund um virtuelle Vermögenswerte verwendet. Die konkrete rechtliche Einordnung eines Dienstleisters muss jedoch anhand seiner tatsächlichen Tätigkeit und des jeweiligen Rechtsrahmens geprüft werden.

Die Verbindung zu einem Dienstleister kann ein wichtiger Ermittlungsansatz sein, ersetzt aber keine weitere Prüfung. Eine Adresse kann beispielsweise mit einer Börse in Verbindung stehen, ohne dass aus den öffentlich sichtbaren Blockchain-Daten hervorgeht, welchem Kundenkonto sie zugeordnet ist. Für diese Zuordnung können zusätzliche Informationen erforderlich sein. Genau deshalb ist es sinnvoll, technische Erkenntnisse und rechtliche Schritte miteinander zu verbinden.

Auch der Zeitpunkt einer möglichen Einlieferung bei einer Kryptobörse kann relevant sein. Wenn ein Betrag unmittelbar nach dem Abfluss aus der Wallet des Geschädigten an eine Adresse transferiert wird, die einer zentralisierten Plattform zugeordnet werden kann, kann dadurch ein neuer Anknüpfungspunkt entstehen. Die Blockchain dokumentiert den Zeitpunkt und den Transfer. Weitere Informationen müssen gegebenenfalls über den betreffenden Dienstleister ermittelt werden.

Die Untersuchung kann außerdem zeigen, dass die Kryptowährungen nicht unmittelbar bei einer Börse landen. Ein Täter kann zunächst mehrere Zwischenadressen verwenden. Deshalb sollte eine Analyse nicht nach dem ersten Zwischenstopp beendet werden. Je nach Transaktionsstruktur kann es sinnvoll sein, den Verlauf über mehrere Ebenen hinweg zu verfolgen.

Eine sogenannte Multi-Hop-Analyse beschäftigt sich vereinfacht mit solchen mehrstufigen Transaktionswegen. Dabei wird untersucht, wie Vermögenswerte von einer Ausgangsadresse über mehrere weitere Adressen bewegt wurden. Ziel ist nicht lediglich, möglichst viele Adressen aufzuschreiben. Entscheidend ist die Frage, welche Bewegungen tatsächlich mit dem ursprünglichen Vermögensabfluss zusammenhängen und welche Schlussfolgerungen sich daraus belastbar ziehen lassen.

Die Qualität einer solchen Analyse hängt deshalb nicht allein von der Anzahl der gefundenen Transaktionen ab. Wichtig ist vielmehr die richtige Interpretation. Nicht jede spätere Transaktion einer Zieladresse muss zwangsläufig mit dem Schaden des Betroffenen zusammenhängen. Eine Adresse kann gleichzeitig Vermögenswerte aus verschiedenen Quellen empfangen. Ebenso kann ein Dienstleister interne technische Transfers durchführen, die keinen eigenständigen Abfluss zu einem bestimmten Nutzer darstellen.

Aus diesem Grund sollten technische Ergebnisse nicht überinterpretiert werden. Eine Aussage wie „Die Wallet wurde bis zu Adresse X verfolgt“ bedeutet nicht automatisch, dass die Person hinter X identifiziert wurde. Ebenso bedeutet die Feststellung einer Börsenadresse nicht ohne Weiteres, dass die Börse selbst für den Schaden verantwortlich ist. Die Blockchainanalyse liefert zunächst technische Tatsachen und mögliche Anknüpfungspunkte. Die rechtliche Bewertung muss darauf aufbauen, ohne aus den Daten mehr abzuleiten, als sie tatsächlich hergeben.

Für Betroffene ist es deshalb wichtig, zwischen drei unterschiedlichen Fragen zu unterscheiden. Erstens: Wo sind die Kryptowährungen technisch hingeflossen? Zweitens: Lässt sich eine der beteiligten Adressen einem konkreten Dienstleister oder einer Person zuordnen? Drittens: Welche rechtlichen Möglichkeiten ergeben sich aus dieser Zuordnung? Diese Fragen hängen miteinander zusammen, sind aber nicht identisch.

Die erste Frage lässt sich bei vielen öffentlichen Blockchains relativ gut untersuchen. Die zweite kann deutlich schwieriger sein. Die dritte erfordert schließlich eine rechtliche Bewertung des gesamten Sachverhalts. Ein spezialisiertes Vorgehen muss daher alle drei Ebenen berücksichtigen.

Besonders wichtig kann die ursprüngliche Wallet-Adresse des Geschädigten sein. Sie sollte eindeutig dokumentiert werden. Ebenso sollten alle relevanten Zieladressen in der Reihenfolge ihres Auftretens festgehalten werden. Wenn eine Zieladresse mehrfach verwendet wird, sollte dies ebenfalls vermerkt werden. Dadurch entsteht ein nachvollziehbares Transaktionsbild.

Auch die verschiedenen Vermögenswerte sollten getrennt betrachtet werden. Wenn beispielsweise Bitcoin und verschiedene Token betroffen sind, kann nicht einfach davon ausgegangen werden, dass alle Transaktionen demselben technischen Mechanismus folgen. Jeder Vermögenswert kann eine eigene Blockchain oder ein anderes Token-System verwenden. Die Analyse muss deshalb die jeweiligen technischen Gegebenheiten berücksichtigen.

Bei einem Wallet-Verlust kann es außerdem vorkommen, dass nicht nur ein einziger Abfluss stattgefunden hat. Ein Angreifer kann beispielsweise zunächst einen Teil des Bestands übertragen und einige Stunden später den Rest. In einem anderen Fall werden verschiedene Token zu unterschiedlichen Zeitpunkten bewegt. Eine vollständige Untersuchung muss deshalb einen ausreichenden Zeitraum berücksichtigen und darf sich nicht nur auf die erste auffällige Transaktion beschränken.

Auch zeitliche Muster können Hinweise liefern. Werden Vermögenswerte unmittelbar nach einer bestimmten Handlung des Betroffenen transferiert, kann dies für die Ursachenanalyse interessant sein. Beispielsweise kann ein Abfluss kurz nach einer Phishing-Eingabe, einer Wallet-Verbindung oder einer Fernwartung erfolgt sein. Solche zeitlichen Zusammenhänge beweisen allein noch keinen Angriff, können aber gemeinsam mit anderen Informationen ein wichtiges Indiz bilden.

Bei einem angeblichen Anlageberater kann die Blockchainanalyse eine andere Funktion haben. Hier steht möglicherweise nicht die Frage im Vordergrund, ob ein unbekannter Hacker Zugriff auf die Wallet erhalten hat. Stattdessen kann geprüft werden, wohin der Betroffene die Kryptowährungen aufgrund der Angaben des Beraters tatsächlich übertragen hat. Wenn sich die Zieladresse anschließend als Teil eines größeren Adressnetzwerks darstellt, kann dies helfen, den Zahlungsweg zu rekonstruieren.

Besonders relevant wird die technische Analyse, wenn der angebliche Anbieter behauptet, die Kryptowährungen würden auf einem bestimmten Kundenkonto oder in einem eigenen Anlageportfolio verwahrt. Die Blockchain kann gegebenenfalls zeigen, ob die übertragenen Vermögenswerte tatsächlich an die behauptete Infrastruktur gelangt sind. Wenn stattdessen eine private oder anderweitig nicht nachvollziehbare Adresse verwendet wurde, kann dies eine wichtige Abweichung zwischen der Darstellung des Anbieters und dem tatsächlichen Zahlungsweg darstellen.

Auch bei einer nicht ausgezahlten angeblichen Rendite kann die Analyse eine Rolle spielen. Wenn eine Plattform einen bestimmten Kontostand anzeigt, bedeutet dies nicht automatisch, dass die entsprechende Kryptowährung tatsächlich auf einer Blockchain vorhanden ist. Erst der Abgleich mit tatsächlichen Transaktionen kann zeigen, ob die dargestellten Werte mit realen Vermögensbewegungen übereinstimmen.

Dies ist insbesondere dann wichtig, wenn Betroffene über eine professionelle Benutzeroberfläche getäuscht wurden. Eine Plattform kann beispielsweise einen Gewinn von mehreren zehntausend Euro anzeigen, obwohl tatsächlich nie ein entsprechender Vermögenswert auf einer kontrollierbaren Wallet vorhanden war. Die Blockchainanalyse kann dann helfen, zwischen einer realen Transaktion und einer bloßen Darstellung innerhalb einer Plattform zu unterscheiden.

Die Nachverfolgung von Kryptowährungen kann auch bei einem sogenannten Recovery Scam relevant werden. Wenn ein angeblicher Rückholspezialist behauptet, bereits einen bestimmten Betrag identifiziert zu haben, sollte überprüft werden, ob die angegebene Transaktion tatsächlich existiert. Eine seriöse technische Prüfung sollte sich auf überprüfbare Blockchain-Daten stützen und nicht allein auf Screenshots oder Behauptungen.

Ein weiterer wichtiger Punkt ist die Unterscheidung zwischen Blockchain und Wallet-Anbieter. Die Blockchain selbst ist ein dezentrales technisches System. Ein Wallet-Anbieter kann dagegen lediglich eine Software bereitstellen, mit der Nutzer ihre Schlüssel verwalten oder Transaktionen anzeigen. Bei einer Kryptobörse wiederum kann der Dienstleister die Verwahrung der Vermögenswerte selbst übernehmen. Diese unterschiedlichen Modelle haben Auswirkungen darauf, welche Daten vorhanden sein können und wo nach weiteren Informationen gesucht werden muss.

Bei einer selbstverwahrten Wallet liegt die technische Kontrolle grundsätzlich beim Inhaber der Schlüssel. Ein Wallet-Anbieter muss deshalb nicht zwangsläufig über Informationen verfügen, die eine konkrete Transaktion einem Nutzer zuordnen. Bei einer zentralisierten Börse können dagegen interne Kontodaten vorhanden sein. Diese Unterschiede sind bei der rechtlichen und technischen Analyse zu berücksichtigen.

Eine Wallet-Adresse kann außerdem über längere Zeit unverändert verwendet werden. In anderen Fällen werden ständig neue Adressen erzeugt. Deshalb sollte nicht allein anhand der Anzahl der Adressen auf die Komplexität eines Sachverhalts geschlossen werden. Entscheidend ist, welche Transaktionen tatsächlich mit dem Schaden zusammenhängen.

Bei größeren Betrugsfällen kann die Analyse ein umfangreiches Netzwerk ergeben. Mehrere Geschädigte können möglicherweise Vermögenswerte an unterschiedliche Adressen senden, die später zusammengeführt werden. Wenn solche Zusammenhänge erkennbar sind, können sie für die Gesamtbewertung des Geschehens relevant sein. Eine solche Feststellung sollte allerdings nur auf nachvollziehbaren technischen Daten beruhen und nicht durch Vermutungen ersetzt werden.

Auch die Wiederverwendung von Wallet-Adressen kann Hinweise liefern. Wenn eine Zieladresse wiederholt Zahlungen aus unterschiedlichen Quellen erhält und diese anschließend nach einem ähnlichen Muster weiterleitet, kann dies ein Anknüpfungspunkt für eine weitergehende Untersuchung sein. Daraus folgt jedoch nicht automatisch eine bestimmte Identität oder Verantwortlichkeit.

Die Blockchainanalyse kann schließlich auch dazu beitragen, Prioritäten festzulegen. Wenn Vermögenswerte noch bewegt werden, kann die Frage relevant sein, welche Zieladressen zuletzt verwendet wurden und ob ein Kontakt zu einem identifizierbaren Dienstleister besteht. Wenn die Vermögenswerte dagegen bereits über zahlreiche Stationen bewegt wurden, kann eine umfassendere Rekonstruktion erforderlich sein.

Für die rechtliche Arbeit ist deshalb eine zeitnahe Sicherung der Blockchain-Daten wichtig. Transaktionen selbst verschwinden zwar nicht einfach aus einer öffentlichen Blockchain. Die Interpretation und Dokumentation des relevanten Transaktionsverlaufs sollte dennoch möglichst früh erfolgen. Je länger ein komplexer Vorgang zurückliegt und je mehr Folgebewegungen stattfinden, desto aufwendiger kann die Rekonstruktion werden.

Eine technische Analyse kann außerdem helfen, die Angaben eines Kommunikationspartners zu überprüfen. Wenn ein angeblicher Broker beispielsweise behauptet, eine Zahlung sei auf einem bestimmten Anlagekonto eingegangen, kann anhand der tatsächlichen Transaktionsdaten geprüft werden, ob die angegebene Adresse überhaupt die behauptete Funktion hatte. Ebenso kann untersucht werden, ob nach der Zahlung weitere Bewegungen stattgefunden haben, die nicht mit der Darstellung des Anbieters übereinstimmen.

Bei einem vermeintlichen Wallet-Support kann dagegen relevant sein, ob eine Transaktion tatsächlich durch den Betroffenen signiert wurde und welche Art von Berechtigung dabei erteilt wurde. Wenn der Betroffene glaubt, lediglich eine Sicherheitsbestätigung vorgenommen zu haben, die Blockchain aber eine Vermögensübertragung dokumentiert, kann dies für die Aufklärung des Täuschungsvorgangs erheblich sein.

Auch Smart-Contract-Interaktionen sollten bei Bedarf genauer betrachtet werden. Nicht jede Vermögensbewegung erscheint als einfache Überweisung von Wallet A zu Wallet B. Bei bestimmten Token-Systemen kann ein Smart Contract eine zentrale Rolle spielen. Die Transaktionsdaten können dann zusätzliche Informationen über aufgerufene Funktionen oder erteilte Berechtigungen enthalten. Für Laien ist die technische Bedeutung oft schwer verständlich, weshalb eine fachkundige Auswertung sinnvoll sein kann.

Eine weitere Schwierigkeit entsteht durch sogenannte Cross-Chain-Transaktionen. Werden Vermögenswerte zwischen verschiedenen Netzwerken bewegt, kann die direkte Verbindung zwischen einer Ausgangstransaktion und einer späteren Transaktion weniger offensichtlich sein. Je nach verwendeter Infrastruktur müssen unterschiedliche Datenquellen miteinander abgeglichen werden. Das kann die technische Untersuchung erheblich anspruchsvoller machen.

Auch zentralisierte Tauschvorgänge können den Zahlungsweg verändern. Ein Täter kann einen Vermögenswert in einen anderen umwandeln, bevor er ihn weiterleitet. Dadurch ändert sich nicht nur die technische Darstellung des Betrags, sondern möglicherweise auch die verwendete Blockchain. Eine sorgfältige Analyse muss solche Umwandlungen berücksichtigen.

Trotz dieser Schwierigkeiten sollte der Begriff „Blockchain ist anonym“ nicht zu einer falschen Schlussfolgerung führen. Öffentliche Blockchains können gerade deshalb wertvolle Spuren enthalten, weil Transaktionen dauerhaft beziehungsweise langfristig nachvollziehbar dokumentiert werden. Die Schwierigkeit liegt häufig weniger darin, den Transfer zu sehen, als darin, die technische Adresse mit einer realen Person oder einem verwertbaren rechtlichen Anknüpfungspunkt zu verbinden.

Umgekehrt wäre es aber ebenso falsch, jede Wallet automatisch für identifizierbar zu halten. Eine Adresse ist zunächst eine technische Information. Erst zusätzliche Daten können einen Bezug zu einer Person oder einem Unternehmen herstellen. Solche Daten können beispielsweise aus einem Kryptobörsenkonto, einer Kommunikation, einer Geschäftsbeziehung oder anderen Beweismitteln stammen.

Für Betroffene bedeutet dies: Eine Wallet sollte nach einem Verlust nicht vorschnell als „unauffindbar“ betrachtet werden, nur weil der Empfänger zunächst unbekannt ist. Gleichzeitig sollte niemand versprechen, dass eine bestimmte Person allein anhand einer Wallet-Adresse identifiziert oder dass die Kryptowährung sicher zurückerlangt werden kann. Die tatsächlichen Möglichkeiten hängen von der konkreten Transaktionsstruktur ab.

Eine professionelle Blockchainanalyse kann deshalb mehrere Ziele verfolgen. Sie kann zunächst den tatsächlichen Abfluss bestätigen, anschließend die Folgebewegungen rekonstruieren, mögliche Verbindungen zwischen verschiedenen Adressen erkennen und schließlich Anhaltspunkte für Kryptobörsen oder andere Dienstleister liefern. Diese Ergebnisse können anschließend in die rechtliche Bewertung einbezogen werden.

Dabei sollte die technische Untersuchung möglichst eng mit der vorhandenen Kommunikation abgeglichen werden. Wenn ein angeblicher Broker eine bestimmte Zieladresse genannt hat, sollte geprüft werden, ob tatsächlich genau dorthin überwiesen wurde. Wenn anschließend eine andere Adresse genannt wurde, sollte auch diese Zuordnung dokumentiert werden. Widersprüche zwischen Kommunikation und Blockchain können wichtige Hinweise liefern.

Auch die ursprünglichen Zahlungsnachweise sollten mit den Blockchain-Daten abgeglichen werden. Wenn ein Betroffener beispielsweise Kryptowährungen bei einer Börse gekauft und anschließend an eine externe Wallet übertragen hat, können die Börsendaten und die Blockchain gemeinsam den Zahlungsweg dokumentieren. Dadurch lässt sich besser feststellen, wann der Vermögenswert die Kontrolle des Betroffenen verlassen hat.

Bei der Frage nach einer möglichen Vermögenssicherung kann die technische Analyse ebenfalls relevant sein. Wenn Vermögenswerte noch bewegt werden oder bei einem identifizierbaren Dienstleister ankommen, kann dies einen Ansatzpunkt für weitere rechtliche Prüfungen darstellen. Ob daraus tatsächlich konkrete Sicherungsmaßnahmen möglich sind, hängt jedoch von den Umständen und den jeweils geltenden rechtlichen Voraussetzungen ab.

Die Blockchainanalyse ist somit kein Ersatz für rechtliche Arbeit, sondern eine wichtige Tatsachengrundlage. Sie kann technische Abläufe sichtbar machen, die aus einer bloßen Kommunikation oder einem Kontoauszug nicht hervorgehen. Umgekehrt kann sie ohne Kenntnis des gesamten Sachverhalts zu falschen Schlussfolgerungen führen. Die entscheidende Qualität entsteht aus der Verbindung von Transaktionsdaten, Kommunikationsunterlagen und rechtlicher Bewertung.

Wenn eine Wallet leergeräumt wurde, sollten Betroffene deshalb möglichst früh alle relevanten technischen Daten sichern. Dazu gehören die eigene Wallet-Adresse, die Zieladresse, der Transaktions-Hash, die betroffene Kryptowährung, der Betrag, der Zeitpunkt und sämtliche erkennbaren Folgeadressen. Bei mehreren Transaktionen sollte eine vollständige Übersicht erstellt werden.

Zusätzlich sollten Angaben über beteiligte Kryptobörsen, Wallet-Anbieter und andere Dienstleister festgehalten werden. Wenn ein bestimmter Anbieter als angeblicher Empfänger genannt wurde, sollte dies zusammen mit der entsprechenden Kommunikation dokumentiert werden. So kann später überprüft werden, ob die tatsächlichen Blockchain-Daten mit den Behauptungen des Kommunikationspartners übereinstimmen.

Wer einen spezialisierten Anwalt einschaltet, sollte diese Informationen möglichst geordnet zur Verfügung stellen. Ein Anwalt kann dann prüfen, welche technischen Fragen durch eine Blockchain- oder Walletanalyse geklärt werden sollten und welche rechtlichen Fragen sich daraus ergeben. Je nach Sachverhalt können insbesondere die Identifizierung möglicher Dienstleister, die Rekonstruktion des Zahlungswegs und die Prüfung möglicher Ansprüche eine Rolle spielen.

Entscheidend bleibt, dass eine technische Nachverfolgung nicht mit einer sicheren Rückgewinnung gleichgesetzt werden darf. Selbst wenn eine Transaktion bis zu einer bestimmten Kryptobörse verfolgt werden kann, ist damit noch nicht automatisch geklärt, ob die betreffenden Vermögenswerte noch vorhanden sind, welchem Kundenkonto sie zugeordnet wurden oder welche rechtlichen Maßnahmen möglich sind. Ebenso kann eine nicht identifizierte Wallet nicht ohne Weiteres einer bestimmten Person zugerechnet werden.

Die Aussagekraft einer Blockchainanalyse liegt deshalb vor allem darin, belastbare Spuren sichtbar und überprüfbar zu machen. Aus einem zunächst scheinbar vollständigen Verlust kann dadurch ein rekonstruierbarer Transaktionsweg werden. Ob daraus anschließend konkrete rechtliche Möglichkeiten entstehen, muss anhand des gesamten Sachverhalts geprüft werden.

Wer feststellt, dass seine Wallet leergeräumt wurde, sollte daher nicht nur den aktuellen Kontostand dokumentieren. Entscheidend ist der gesamte Weg der Kryptowährungen. Ausgangsadresse, Transaktions-Hash, Zieladresse, Folgeadressen, mögliche Kryptobörsen, Kommunikationsdaten und Zahlungsnachweise können zusammen ein wesentlich vollständigeres Bild ergeben. Je genauer diese Informationen gesichert und miteinander verknüpft werden, desto fundierter lässt sich beurteilen, was mit den Kryptowährungen geschehen ist und welche weiteren technischen oder rechtlichen Schritte in Betracht kommen.

Kanzlei Wilms – Experten für Online-Anlagebetrug

Die Kanzlei Wilms unterstützt seit Jahren Mandanten, die Opfer von Online-Anlagebetrug, Kryptobetrug, Fake Brokern, Investmentbetrug, Bitcoin-Betrug oder Recovery Scams geworden sind.

Unsere Mandanten kommen aus ganz Deutschland sowie aus dem Ausland. Viele Verfahren weisen internationale Bezüge auf und betreffen grenzüberschreitende Zahlungsströme, Kryptowährungen oder komplexe Unternehmensstrukturen.

Wir analysieren unter anderem:

• Banküberweisungen
• SEPA- und SWIFT-Zahlungen
• Kreditkartenzahlungen
• Zahlungsdienstleister
• Kryptobörsen und Wallet-Transaktionen
• internationale Zahlungsstrukturen

Mehr Informationen finden Sie in unserem Blog.

Wallet leergeräumt – was tun, wenn Kryptowährungen über eine Kryptobörse oder einen Dienstleister abfließen?

Wenn eine Wallet leergeräumt wurde und sich bei der Analyse der Transaktionen Hinweise auf eine Kryptobörse, einen Wallet-Dienstleister oder einen anderen Anbieter ergeben, verändert sich die weitere Prüfung. Die Blockchain kann zwar zeigen, dass Kryptowährungen an eine bestimmte Adresse übertragen wurden. Sie zeigt jedoch nicht ohne Weiteres, welche Person hinter dieser Adresse steht oder welchem konkreten Kundenkonto eine Einzahlung bei einer zentralisierten Plattform zuzuordnen ist. Genau an dieser Stelle treffen technische Analyse und rechtliche Aufarbeitung aufeinander.

Für Betroffene ist zunächst wichtig, zwischen verschiedenen Formen der Verwahrung zu unterscheiden. Bei einer selbstverwahrten Wallet kontrolliert der Nutzer grundsätzlich selbst die privaten Schlüssel beziehungsweise die für die Transaktion erforderlichen Zugangsdaten. Ein Anbieter kann in diesem Fall lediglich die Wallet-Software oder eine technische Benutzeroberfläche bereitstellen. Bei einer zentralisierten Kryptobörse können die Vermögenswerte dagegen innerhalb einer vom Anbieter verwalteten Infrastruktur liegen. Der Nutzer sieht dort möglicherweise einen Kontostand, ohne selbst über die privaten Schlüssel der betreffenden Bestände zu verfügen.

Diese Unterscheidung ist für die Frage, was nach einem unberechtigten Abfluss geprüft werden kann, von erheblicher Bedeutung. Wenn ein Angreifer eine selbstverwahrte Wallet kontrolliert und die Kryptowährungen anschließend an eine bekannte Börsenadresse überträgt, kann die Börse als möglicher weiterer Anknüpfungspunkt für die Aufklärung relevant werden. Wenn dagegen das Konto bei einer Kryptobörse selbst kompromittiert wurde, muss die Untersuchung stärker auf Login-Vorgänge, Geräte, Kontobewegungen und interne Transaktionsdaten des Anbieters ausgerichtet werden.

Ein leergeräumtes Wallet bedeutet deshalb nicht in jedem Fall dasselbe. Es kann sich um einen direkten Zugriff auf eine eigene Wallet handeln, um eine betrügerisch veranlasste Übertragung oder um einen unbefugten Zugriff auf ein Konto bei einem Dienstleister. Auch Mischformen sind möglich. Für die weitere rechtliche Bewertung muss zunächst geklärt werden, welche technische Konstellation tatsächlich vorliegt.

Bei einer selbstverwahrten Wallet ist die erste Frage häufig, an welche Adresse die Kryptowährungen übertragen wurden. Wenn diese Zieladresse einer Kryptobörse zugeordnet werden kann, kann dies einen wichtigen Anhaltspunkt darstellen. Die Blockchain dokumentiert den Transfer, während der Dienstleister möglicherweise zusätzliche Informationen über die anschließende Gutschrift besitzt.

Solche zusätzlichen Informationen können je nach Anbieter und konkretem Vorgang beispielsweise interne Kontodaten, Zeitpunkte der Einzahlung, Transaktionskennungen, technische Logdaten oder Informationen zur Identifizierung eines Kunden betreffen. Welche Daten tatsächlich vorhanden sind und unter welchen Voraussetzungen sie zugänglich gemacht werden können, lässt sich jedoch nicht pauschal beantworten.

Deshalb sollte nicht vorschnell angenommen werden, dass eine Kryptobörse automatisch den Namen des Empfängers offenlegen muss oder für den entstandenen Schaden verantwortlich ist. Die bloße Tatsache, dass eine Transaktion an eine Adresse des Anbieters gelangt ist, begründet für sich genommen noch keine Haftung. Entscheidend ist vielmehr, welche Rolle der Dienstleister tatsächlich hatte, welche Informationen vorliegen und welche rechtlichen Voraussetzungen für weitere Schritte bestehen.

Eine wichtige Rolle können sogenannte KYC-Daten spielen. Kryptodienstleister können im Rahmen ihrer Kundenidentifizierung Informationen über Nutzer erheben. Je nach Anbieter und Rechtsordnung können dazu beispielsweise Identitätsangaben und weitere Kundendaten gehören. Für die Aufklärung eines Betrugs kann eine solche Zuordnung von erheblicher Bedeutung sein, wenn sich die Spur der Kryptowährungen bis zu einer zentralisierten Plattform verfolgen lässt.

Dabei muss allerdings zwischen einer technischen Adresszuordnung und einer tatsächlichen Kontozuordnung unterschieden werden. Eine Blockchainanalyse kann unter Umständen erkennen, dass eine bestimmte Adresse zur Infrastruktur einer Börse gehört. Daraus folgt noch nicht automatisch, welchem Nutzerkonto die Einzahlung gutgeschrieben wurde. Die konkrete Zuordnung kann ausschließlich anhand der internen Daten des jeweiligen Dienstleisters möglich sein.

Bei einer solchen Konstellation kann die technische Analyse deshalb den entscheidenden ersten Schritt liefern. Sie kann zeigen, dass die Kryptowährungen nicht irgendwo im unüberschaubaren Blockchain-Netzwerk verschwunden sind, sondern beispielsweise an eine bekannte Plattform übertragen wurden. Die weitere Prüfung muss dann klären, welche Informationen dort zu diesem Vorgang vorhanden sein könnten.

Auch die zeitliche Abfolge kann wichtig sein. Wenn unmittelbar nach dem Abfluss aus der Wallet eine Einzahlung bei einer Kryptobörse erfolgt, kann die zeitliche Nähe zusammen mit Betrag, Vermögenswert und Zieladresse ein starkes Indiz für einen Zusammenhang darstellen. Werden anschließend weitere Bewegungen festgestellt, sollte auch deren Verlauf dokumentiert werden.

Dabei ist zu berücksichtigen, dass Kryptobörsen häufig Sammelstrukturen verwenden. Eine Adresse kann nicht zwingend einem einzelnen Nutzer zugeordnet werden. Mehrere Nutzer können Ein- und Auszahlungen über technische Adressen oder Wallet-Strukturen vornehmen, die vom Anbieter zentral verwaltet werden. Deshalb muss eine Blockchainanalyse die Infrastruktur des jeweiligen Dienstleisters berücksichtigen.

Auch interne Transfers können eine Rolle spielen. Die öffentlich sichtbare Blockchain zeigt möglicherweise eine Einzahlung an eine Börsenadresse. Was danach innerhalb des Systems des Anbieters geschieht, muss jedoch nicht vollständig öffentlich auf der Blockchain erscheinen. Der Anbieter kann interne Buchungen zwischen Nutzerkonten oder internen Wallets vornehmen. Diese Vorgänge sind für Außenstehende nicht zwangsläufig in derselben Weise sichtbar wie eine gewöhnliche Blockchain-Transaktion.

Das ist einer der Gründe, weshalb eine Blockchainanalyse an einem bestimmten Punkt an ihre technischen Grenzen kommen kann. Wenn die Kryptowährungen bei einer zentralisierten Plattform eingegangen sind und anschließend intern verbucht werden, lässt sich aus der öffentlichen Blockchain möglicherweise nicht mehr erkennen, welchem Nutzerkonto der Betrag zugeordnet wurde. Für diese Information können zusätzliche Daten des Dienstleisters erforderlich sein.

Ein solcher Übergang von öffentlich sichtbaren Blockchain-Daten zu nicht öffentlich zugänglichen Unternehmensdaten ist bei der rechtlichen Aufarbeitung besonders relevant. Die Analyse kann zunächst feststellen, wo der Vermögenswert technisch angekommen ist. Anschließend muss geprüft werden, ob und wie die darüber hinausgehenden Informationen rechtlich ermittelt werden können.

Bei einem kompromittierten Kryptobörsenkonto liegt die Situation wiederum anders. Hier kann der Täter möglicherweise direkt auf das Benutzerkonto des Betroffenen zugegriffen haben. In diesem Fall sind nicht nur die späteren Blockchain-Transaktionen interessant, sondern auch die Vorgänge, die dem Abfluss vorausgingen. Dazu können beispielsweise ungewöhnliche Login-Aktivitäten, neue Geräte, Änderungen an Sicherheitseinstellungen, neue Auszahlungsadressen oder andere auffällige Kontobewegungen gehören.

Besonders wichtig kann die Frage sein, ob eine neue Auszahlungsadresse hinterlegt wurde. Wenn ein Betroffener eine Kryptobörse bisher nur mit bestimmten eigenen Wallets genutzt hat und plötzlich eine unbekannte Adresse als Empfänger verwendet wird, kann dies ein relevanter Hinweis auf einen unbefugten Zugriff sein. Die Blockchain zeigt den tatsächlichen Abfluss; die internen Systeme des Dienstleisters können möglicherweise zusätzliche Informationen über die Einrichtung oder Nutzung dieser Auszahlungsadresse enthalten.

Auch ungewöhnliche zeitliche Muster können relevant sein. Ein Login aus einer bislang nicht verwendeten Umgebung, eine Änderung von Zugangsdaten und anschließend eine größere Auszahlung können zusammen ein anderes Bild ergeben als eine gewöhnliche Transaktion des Kontoinhabers. Keines dieser Merkmale beweist isoliert einen unbefugten Zugriff. In ihrer Gesamtheit können sie jedoch für die technische und rechtliche Bewertung bedeutsam sein.

Bei einer solchen Untersuchung sollten Betroffene möglichst genau zwischen eigenen Handlungen und unbekannten Vorgängen unterscheiden. Wurde die Auszahlung selbst ausgelöst? Wurde eine Transaktion lediglich bestätigt, obwohl ihr tatsächlicher Inhalt nicht erkannt wurde? Wurde eine Wallet mit einer unbekannten Website verbunden? Oder wurde möglicherweise der Zugang zu einem Börsenkonto übernommen? Die Antworten auf diese Fragen bestimmen wesentlich, welche Daten später benötigt werden.

Eine weitere Konstellation betrifft betrügerische Anlageplattformen. Hier kann ein Betroffener davon ausgehen, dass er Kryptowährungen an einen vermeintlichen Broker oder eine angebliche Investmentplattform überträgt. Tatsächlich wird die Zahlung möglicherweise direkt an eine fremde Wallet gesendet. In einem solchen Fall kann die angebliche Plattform lediglich eine Benutzeroberfläche sein, während die Kryptowährungen tatsächlich außerhalb der dargestellten Anlageumgebung bewegt werden.

Gerade bei solchen Fällen ist der Abgleich zwischen Plattformdarstellung und Blockchain wichtig. Eine Website kann beispielsweise einen hohen Kontostand anzeigen und eine bestimmte Wallet oder ein angebliches Kundenkonto nennen. Die Blockchain kann dagegen zeigen, dass die vom Betroffenen übertragenen Kryptowährungen unmittelbar an eine andere Adresse gingen und anschließend weitertransferiert wurden.

Auch die Behauptung, eine Auszahlung müsse zunächst durch eine zusätzliche Zahlung freigeschaltet werden, kann Anlass für eine genaue Prüfung sein. Wenn ein Anbieter beispielsweise eine angebliche Steuer, Liquiditätsprüfung, Sicherheitsleistung, Wallet-Verifizierung oder Compliance-Gebühr verlangt, sollte nicht allein auf die Darstellung innerhalb der Plattform vertraut werden. Entscheidend ist zunächst, ob überhaupt reale Vermögenswerte vorhanden sind und welcher Zahlungsweg tatsächlich feststellbar ist.

Wenn die angebliche Plattform weitere Kryptowährungen verlangt, kann auch die neue Zahlungsaufforderung technisch untersucht werden. Eine erneute Zahlung an eine andere Wallet kann beispielsweise zeigen, dass unterschiedliche Adressen verwendet werden. Werden mehrere dieser Adressen später miteinander verbunden, können daraus weitere Erkenntnisse über den Zahlungsweg entstehen.

Auch ein angeblicher Support kann eine Rolle spielen. Wenn ein Mitarbeiter einer Plattform behauptet, eine bestimmte Wallet gehöre zur technischen Abwicklung des Kundenkontos, sollte diese Behauptung nicht ungeprüft übernommen werden. Die tatsächlich auf der Blockchain sichtbare Transaktion kann eine andere Adresse ausweisen. Eine solche Abweichung kann für die weitere Sachverhaltsaufklärung relevant sein.

Bei einem Wallet-Betrug können außerdem sogenannte VASPs als mögliche Schnittstellen auftreten. Dazu können je nach konkreter Ausgestaltung unterschiedliche Anbieter gehören, die Dienstleistungen im Zusammenhang mit virtuellen Vermögenswerten erbringen. Entscheidend ist nicht die Bezeichnung des Unternehmens, sondern welche Funktion es tatsächlich erfüllt und welche Daten dort vorhanden sein könnten.

Die Zuordnung einer Adresse zu einem Anbieter kann auf unterschiedlichen technischen Grundlagen beruhen. Dazu können bekannte Adressbestände, öffentlich zugängliche Informationen, Transaktionsmuster und spezialisierte Blockchain-Analysewerkzeuge gehören. Eine solche Zuordnung sollte jedoch mit entsprechender Vorsicht behandelt werden. Blockchain-Adressen können ihre Funktion ändern, und große Dienstleister verwenden häufig komplexe Wallet-Strukturen.

Auch sogenannte Hot Wallets und Cold Wallets können bei der Analyse eine Rolle spielen. Eine Hot Wallet ist vereinfacht eine Wallet, die für laufende Transaktionen verwendet wird und technisch online verfügbar ist. Cold-Wallet-Strukturen dienen dagegen typischerweise der langfristigeren Verwahrung. Die konkrete Infrastruktur eines Dienstleisters kann aus mehreren Wallets und Adressen bestehen. Deshalb sollte nicht jede einzelne Adresse isoliert bewertet werden.

Bei größeren Plattformen können Einzahlungen verschiedener Nutzer auf gemeinsame technische Strukturen treffen. Eine bloße Übereinstimmung der Zieladresse bedeutet daher nicht, dass sämtliche dort eingegangenen Vermögenswerte derselben Person gehören. Für eine rechtlich verwertbare Zuordnung muss der konkrete Zahlungsvorgang möglichst genau mit weiteren Informationen verbunden werden.

Auch die Höhe der übertragenen Kryptowährungen kann für die Analyse relevant sein. Ein ungewöhnlich hoher Betrag, der unmittelbar nach einem Betrug an eine bestimmte Dienstleisterstruktur übertragen wird, kann eine andere Bedeutung haben als eine Vielzahl kleiner Transaktionen über einen längeren Zeitraum. Entscheidend bleibt jedoch stets der Gesamtzusammenhang.

Bei einem Wallet-Diebstahl kann es außerdem vorkommen, dass die Kryptowährungen zunächst an eine private Zwischenadresse übertragen und erst später bei einer Börse eingezahlt werden. In diesem Fall sollte nicht nur die Börsenadresse betrachtet werden. Die gesamte Kette zwischen der Wallet des Geschädigten und dem Dienstleister kann für die spätere Bewertung wichtig sein.

Wird ein Betrag dagegen über mehrere Börsen oder andere Dienste bewegt, können mehrere Anknüpfungspunkte entstehen. Das kann die Analyse erschweren, aber gleichzeitig zusätzliche Spuren schaffen. Jeder Dienstleister kann eine eigene Datenstruktur und eigene Informationen über Transaktionen oder Nutzerkonten besitzen.

Auch internationale Anbieter sind möglich. Kryptowährungen kennen keine nationalen Grenzen, und Betrüger können Dienste in verschiedenen Ländern nutzen. Eine technische Transaktion kann deshalb innerhalb kurzer Zeit über mehrere Rechtsräume hinweg verlaufen. Für die rechtliche Bearbeitung muss dann geprüft werden, welche Informationen bei welchen Stellen vorhanden sein könnten und welche rechtlichen Voraussetzungen für deren Verwendung bestehen.

Dabei sollte nicht automatisch angenommen werden, dass ein ausländischer Dienstleister nicht erreichbar oder eine weitere Aufklärung unmöglich ist. Ebenso wäre es falsch, eine bestimmte internationale Plattform allein aufgrund ihres Sitzes für verantwortlich zu halten. Entscheidend sind die konkreten Daten und die rechtliche Einordnung.

Ein weiterer wichtiger Punkt ist die Unterscheidung zwischen einer Kryptobörse und einem Zahlungsdienstleister. Nicht jedes Unternehmen, das Kryptowährungen verarbeitet, ist eine Börse im klassischen Sinn. Manche Anbieter ermöglichen lediglich den Kauf oder Verkauf, andere verwahren Vermögenswerte, andere stellen technische Infrastruktur bereit. Die tatsächliche Funktion kann für die weitere rechtliche Prüfung entscheidend sein.

Bei einer Wallet, die über eine mobile oder browserbasierte Anwendung genutzt wird, kann wiederum der Wallet-Anbieter selbst lediglich Software bereitstellen. Wenn die privaten Schlüssel ausschließlich beim Nutzer liegen, hat der Anbieter möglicherweise keinen Zugriff auf die betreffenden Vermögenswerte. Ein unberechtigter Abfluss aus einer solchen Wallet ist daher anders zu bewerten als eine Auszahlung von einem zentral verwalteten Börsenkonto.

Auch sogenannte Hardware-Wallets können betroffen sein. Wenn die privaten Schlüssel auf einem physischen Gerät verwaltet werden, kann ein leergeräumtes Wallet beispielsweise auf eine kompromittierte Seed Phrase, eine betrügerische Transaktion oder eine manipulierte Nutzungssituation zurückzuführen sein. Der Hersteller des Geräts ist dadurch nicht automatisch für den entstandenen Verlust verantwortlich. Entscheidend ist die konkrete Ursache des Abflusses.

Die rechtliche Prüfung sollte daher nicht allein von der Frage ausgehen, welcher Anbieter auf dem Bildschirm des Betroffenen angezeigt wurde. Maßgeblich ist vielmehr, welche technische Funktion der Anbieter tatsächlich hatte. Ein angeblicher Wallet-Anbieter kann beispielsweise nur eine Benutzeroberfläche gewesen sein. Eine angebliche Börse kann lediglich als Teil einer Betrugskulisse verwendet worden sein. Umgekehrt kann ein realer Dienstleister über Daten verfügen, die für die weitere Aufklärung wichtig sind.

Bei einer professionellen Analyse kann deshalb zunächst eine Art Transaktionskarte erstellt werden. Darin werden die Ausgangsadresse, sämtliche relevanten Zieladressen, die jeweiligen Transaktionen und mögliche Dienstleisterbezüge dargestellt. Dadurch lässt sich erkennen, an welchen Stellen weitere Informationen benötigt werden.

Eine solche Darstellung kann insbesondere dann hilfreich sein, wenn mehrere Kryptowährungen betroffen sind. Es kann vorkommen, dass Bitcoin an eine Adresse A und ein anderer Token an eine Adresse B übertragen wurde, während beide später auf unterschiedliche Wege weitergeleitet werden. Erst eine gemeinsame Betrachtung kann zeigen, ob sich daraus ein einheitliches Geschehen ergibt.

Auch die Kommunikationsdaten können mit den Blockchain-Daten verbunden werden. Wenn ein angeblicher Berater eine bestimmte Wallet-Adresse nennt, kann geprüft werden, ob diese Adresse tatsächlich verwendet wurde. Wenn später eine zweite Adresse mit einer angeblichen „Auszahlungsstelle“ genannt wird, kann auch dieser Zusammenhang überprüft werden. Dadurch lassen sich Aussagen des Kommunikationspartners mit objektiv nachvollziehbaren Transaktionen vergleichen.

Das kann insbesondere bei Anlage- und Trading-Betrug von Bedeutung sein. Dort erhalten Betroffene häufig den Eindruck, dass ihre Kryptowährungen auf einem persönlichen Handelskonto verwaltet werden. Tatsächlich kann die Zahlung bereits an eine externe Wallet geflossen sein. Wenn zusätzlich eine Plattform einen steigenden Kontostand anzeigt, kann die Blockchainanalyse helfen, die reale Vermögensbewegung von der bloßen Darstellung auf der Plattform zu trennen.

Bei einem sogenannten Recovery Scam kann ein ähnlicher Ansatz erforderlich sein. Wenn eine Person behauptet, eine bereits verlorene Kryptowährung identifiziert oder gesichert zu haben, sollte überprüft werden, ob die genannten Wallet-Adressen und Transaktionen tatsächlich existieren und in welchem Zusammenhang sie stehen. Eine seriöse Prüfung sollte sich nicht darauf beschränken, dass ein angeblicher Experte eine Blockchain-Adresse nennt.

Ein weiterer Aspekt ist die Frage, ob Vermögenswerte noch bewegt werden. Wenn die Blockchain zeigt, dass die betreffenden Kryptowährungen weiterhin auf einer bestimmten Adresse liegen, kann dies eine andere Ausgangssituation darstellen als bei Vermögenswerten, die bereits über zahlreiche weitere Adressen transferiert wurden. Ob daraus konkrete rechtliche Möglichkeiten entstehen, muss gesondert geprüft werden.

Bei einer zentralisierten Kryptobörse kann außerdem die Frage relevant sein, ob der Dienstleister die betreffende Einzahlung noch nachvollziehen kann. Je genauer Zeitpunkt, Transaktions-Hash, Zieladresse und Vermögenswert dokumentiert sind, desto klarer lässt sich der konkrete Vorgang beschreiben. Dies erleichtert die spätere technische und rechtliche Prüfung.

Gleichzeitig sollte vermieden werden, einen Dienstleister ohne ausreichende Grundlage als Täter oder Beteiligten zu bezeichnen. Eine Kryptobörse kann eine Einzahlung technisch verarbeitet haben, ohne selbst an dem Betrug beteiligt gewesen zu sein. Ob darüber hinausgehende rechtliche Fragen entstehen, hängt von den konkreten Umständen ab.

Dasselbe gilt für Wallet-Anbieter, Zahlungsdienstleister und andere Unternehmen. Ihre bloße technische Rolle bei einer Transaktion bedeutet nicht automatisch eine rechtliche Verantwortlichkeit für den Schaden. Eine solche Verantwortlichkeit muss anhand der jeweiligen Tatsachen und rechtlichen Voraussetzungen geprüft werden.

Für Betroffene kann es daher sinnvoll sein, nicht nur den Betrag des Verlusts festzuhalten, sondern auch den vollständigen Weg der Kryptowährungen zu dokumentieren. Dazu gehören die eigene Wallet-Adresse, die erste Zieladresse, alle erkennbaren Folgeadressen und mögliche Verbindungen zu Kryptobörsen oder anderen Dienstleistern. Bei einer größeren Transaktionskette sollte möglichst klar ersichtlich sein, welcher Transfer auf welchen vorherigen Transfer folgt.

Auch die verwendete Blockchain sollte eindeutig dokumentiert werden. Eine Bitcoin-Adresse kann nicht einfach mit einer Ethereum-Adresse gleichgesetzt werden. Bei Token auf einer bestimmten Blockchain kann zusätzlich der jeweilige Token beziehungsweise Smart Contract relevant sein. Eine eindeutige technische Zuordnung verhindert spätere Missverständnisse.

Wenn eine Börse oder ein anderer Dienstleister in der Transaktionskette auftaucht, sollte außerdem festgehalten werden, warum diese Zuordnung angenommen wird. Eine technische Analyse kann hierfür eine Grundlage liefern. Gegebenenfalls müssen weitere Informationen geprüft werden, bevor aus der technischen Zuordnung eine belastbare rechtliche Schlussfolgerung gezogen werden kann.

Die Zusammenarbeit zwischen Blockchainanalyse und juristischer Prüfung kann insbesondere bei komplexen Fällen entscheidend sein. Der technische Teil beantwortet Fragen zum tatsächlichen Verlauf der Vermögenswerte. Der rechtliche Teil bewertet, welche Bedeutung diese Tatsachen haben, welche Personen oder Unternehmen als mögliche Anspruchsgegner in Betracht kommen und welche weiteren Schritte geprüft werden sollten.

Eine solche Prüfung kann auch ergeben, dass bestimmte Annahmen des Betroffenen korrigiert werden müssen. Vielleicht wurde das Wallet nicht gehackt, sondern der Betroffene hat aufgrund einer Täuschung selbst eine Transaktion freigegeben. Vielleicht wurde die Kryptowährung gar nicht an die angebliche Investmentplattform übertragen, sondern unmittelbar an eine private Adresse. Oder die Vermögenswerte wurden nach dem ersten Abfluss über mehrere Börsen bewegt. Solche Unterschiede können für die rechtliche Einordnung erheblich sein.

Das Ziel einer Blockchainanalyse besteht deshalb nicht darin, möglichst schnell einen Schuldigen zu benennen. Ziel ist es, den tatsächlichen Zahlungsweg möglichst genau zu rekonstruieren. Erst auf dieser Grundlage lässt sich beurteilen, welche weiteren Informationen benötigt werden und welche rechtlichen Möglichkeiten geprüft werden können.

Wenn eine Wallet leergeräumt wurde und die Kryptowährungen anschließend bei einer Kryptobörse oder einem anderen Dienstleister auftauchen, sollte dieser Umstand daher besonders sorgfältig dokumentiert werden. Die technische Zuordnung kann ein wichtiger Anknüpfungspunkt für die weitere Aufklärung sein. Sie ersetzt jedoch weder die Identifizierung des konkreten Empfängers noch die rechtliche Prüfung möglicher Ansprüche.

Entscheidend ist letztlich die Verbindung mehrerer Informationsquellen: Blockchain-Daten, Wallet-Adressen, Transaktions-Hashes, Zahlungsnachweise, Kommunikationsverläufe, Angaben zu angeblichen Beratern oder Supportmitarbeitern sowie Informationen über beteiligte Kryptobörsen und Dienstleister. Erst aus diesem Gesamtbild lässt sich nachvollziehbar beurteilen, wie die Kryptowährungen aus der Wallet abgeflossen sind, welche Stationen sie anschließend durchlaufen haben und an welcher Stelle weitere rechtliche oder technische Ansatzpunkte bestehen.

Wallet leergeräumt – welche rechtlichen Möglichkeiten bestehen und wann kann ein Anwalt helfen?

Wenn eine Wallet leergeräumt wurde, steht für Betroffene regelmäßig nicht nur die technische Frage im Raum, wie die Kryptowährungen abgeflossen sind. Ebenso wichtig ist die rechtliche Frage, welche Möglichkeiten nach einem solchen Vermögensverlust überhaupt bestehen. Dabei kommt es entscheidend auf den konkreten Ablauf an. Ein unbefugter Zugriff auf eine selbstverwahrte Wallet ist rechtlich anders zu bewerten als eine Täuschung durch einen vermeintlichen Anlageberater, ein kompromittiertes Konto bei einer Kryptobörse oder eine Transaktion, die aufgrund einer manipulierten oder irreführenden Aufforderung selbst freigegeben wurde.

Deshalb lässt sich die rechtliche Situation nicht allein anhand des Umstands beurteilen, dass eine Wallet plötzlich leer ist. Entscheidend ist, wodurch der Vermögensabfluss verursacht wurde, wer daran beteiligt gewesen sein könnte, welche Personen oder Unternehmen identifizierbar sind und welche Informationen über den weiteren Verbleib der Kryptowährungen vorliegen. Eine fundierte rechtliche Prüfung beginnt daher mit der Rekonstruktion des tatsächlichen Geschehens.

Bei einem klassischen unbefugten Zugriff kann beispielsweise die Frage entstehen, ob ein Dritter ohne Zustimmung des Betroffenen auf die Wallet oder die dazugehörigen Zugangsmöglichkeiten zugegriffen und Kryptowährungen übertragen hat. Dabei muss zunächst technisch nachvollzogen werden, welche Transaktionen stattgefunden haben und ob der Betroffene diese selbst veranlasst oder lediglich unwissentlich ermöglicht hat.

Eine andere Situation liegt vor, wenn der Betroffene aufgrund einer Täuschung selbst eine Transaktion durchgeführt hat. Ein angeblicher Broker, Supportmitarbeiter oder Wallet-Experte kann beispielsweise erklären, eine bestimmte Transaktion sei notwendig, um eine Auszahlung zu ermöglichen oder das Wallet zu verifizieren. Tatsächlich kann die Transaktion dazu führen, dass die Kryptowährungen an eine vom Täter kontrollierte Adresse gelangen. Die technische Tatsache, dass der Betroffene die Transaktion selbst ausgelöst hat, beantwortet deshalb noch nicht die rechtliche Frage, unter welchen Umständen dies geschehen ist.

Gerade bei Kryptobetrug ist diese Unterscheidung wichtig. Eine Blockchain dokumentiert eine Transaktion, aber nicht die Kommunikation, die zu dieser Transaktion geführt hat. Deshalb müssen Blockchain-Daten mit den übrigen Informationen des Falls verbunden werden. Chatverläufe, E-Mails, Telefonkontakte, Webseiten, Vertragsunterlagen und Angaben eines angeblichen Beraters können für die rechtliche Bewertung ebenso relevant sein wie die Transaktionsdaten selbst.

Wenn die Kryptowährungen aufgrund einer Täuschung übertragen wurden, kann insbesondere zu prüfen sein, ob gegen die verantwortlichen Personen Ansprüche auf Rückzahlung oder Schadensersatz bestehen. Welche Ansprüche konkret in Betracht kommen, hängt vom Sachverhalt, den beteiligten Personen, den Vertragsbeziehungen und den jeweils anwendbaren rechtlichen Vorschriften ab.

Dabei sollte nicht vorschnell davon ausgegangen werden, dass derjenige, an dessen Wallet die Kryptowährungen zunächst gelangt sind, automatisch der einzige oder rechtlich verantwortliche Beteiligte ist. Betrugsstrukturen können aus mehreren Personen, Unternehmen, Vermittlern und technischen Dienstleistern bestehen. Die Aufgabe einer rechtlichen Prüfung kann deshalb darin bestehen, die einzelnen Rollen voneinander zu unterscheiden.

Bei einem angeblichen Anlageberater kann beispielsweise zunächst zu prüfen sein, wer tatsächlich mit dem Betroffenen kommuniziert hat, welche Aussagen über die Geldanlage gemacht wurden, an wen die Kryptowährungen übertragen wurden und welche wirtschaftliche Funktion die empfangenden Wallets hatten. Wenn sich die Angaben des Beraters nicht mit dem tatsächlichen Transaktionsverlauf decken, kann dies für die weitere Bewertung relevant sein.

Auch bei einem vermeintlichen Broker kann die Frage entstehen, ob überhaupt eine echte Anlagebeziehung bestanden hat. Eine professionell wirkende Handelsplattform, ein persönlicher Ansprechpartner und ein angeblich wachsendes Guthaben können den Eindruck einer realen Investition vermitteln. Wenn sich jedoch feststellen lässt, dass die eingezahlten Kryptowährungen unmittelbar oder nach wenigen Zwischenschritten an andere Wallets übertragen wurden, kann dies für die Rekonstruktion des Sachverhalts von Bedeutung sein.

Bei einem kompromittierten Konto einer Kryptobörse kann dagegen stärker geprüft werden, welche Sicherheits- und Zugriffsvorgänge stattgefunden haben. Dabei können beispielsweise Login-Daten, Geräteinformationen, Änderungen an Kontoeinstellungen, hinterlegte Auszahlungsadressen und die konkrete Auszahlungshistorie eine Rolle spielen. Ob daraus Ansprüche gegen den Anbieter entstehen, lässt sich nicht pauschal beantworten. Dafür müssen die tatsächlichen Umstände und die jeweiligen rechtlichen Beziehungen geprüft werden.

Ein zentraler Punkt ist die Frage, welche Person oder welches Unternehmen als möglicher Anspruchsgegner überhaupt identifiziert werden kann. Eine Wallet-Adresse allein enthält in der Regel keinen Namen. Deshalb kann eine Blockchainanalyse zunächst nur den technischen Zahlungsweg dokumentieren. Für die rechtliche Durchsetzung kann anschließend die Verbindung zu einer identifizierbaren Person oder einem Unternehmen entscheidend werden.

Diese Verbindung kann beispielsweise über eine Kryptobörse entstehen. Wenn gestohlene oder betrügerisch erlangte Kryptowährungen an eine zentralisierte Plattform gelangen, können dort unter Umständen zusätzliche Kundendaten vorhanden sein. Eine technische Zuordnung der Adresse zu einem Dienstleister kann deshalb ein wichtiger Anknüpfungspunkt sein. Ob daraus tatsächlich eine Identifizierung des Empfängers möglich ist, hängt von den vorhandenen Daten und den rechtlichen Möglichkeiten ihrer Erlangung ab.

Auch andere Informationsquellen können zur Identifizierung beitragen. Dazu gehören beispielsweise Unternehmensangaben, Webseiten, verwendete E-Mail-Adressen, Telefonnummern, Kommunikationskonten, Vertragsunterlagen oder Namen, unter denen ein angeblicher Berater aufgetreten ist. Solche Angaben sollten jedoch nicht isoliert betrachtet werden. Gerade bei Betrugsfällen werden häufig fremde Namen, kopierte Unternehmensangaben oder scheinbar seriöse Profile verwendet.

Eine rechtliche Prüfung muss daher zwischen der behaupteten Identität und der tatsächlich feststellbaren Identität unterscheiden. Ein Täter kann sich als Mitarbeiter eines real existierenden Unternehmens ausgeben, ohne tatsächlich dort beschäftigt zu sein. Ebenso kann eine betrügerische Plattform den Namen eines fremden Unternehmens verwenden. Aus diesem Grund sollte vor rechtlichen Schritten möglichst genau geklärt werden, mit wem der Betroffene tatsächlich kommuniziert hat.

Bei einem Wallet-Betrug kann außerdem die Frage der Vermögenssicherung relevant werden. Wenn sich feststellen lässt, dass bestimmte Vermögenswerte noch vorhanden sind oder über einen identifizierbaren Dienstleister verwahrt werden, kann geprüft werden, ob rechtliche Maßnahmen zur Sicherung des Vermögens in Betracht kommen. Ob dies im konkreten Fall möglich und sinnvoll ist, hängt unter anderem vom aktuellen Verbleib der Vermögenswerte und den rechtlichen Voraussetzungen ab.

Dabei ist der zeitliche Faktor nicht zu unterschätzen. Kryptowährungen können innerhalb weniger Minuten über mehrere Wallets weitergeleitet werden. Eine technische Spur kann dadurch erheblich komplexer werden. Auch wenn eine Transaktion dauerhaft auf der Blockchain dokumentiert bleibt, kann sich der tatsächliche wirtschaftliche Bezug der Vermögenswerte durch zahlreiche Folgebewegungen verändern.

Deshalb kann eine frühzeitige rechtliche und technische Prüfung sinnvoll sein. Ziel ist nicht, einen Erfolg zu versprechen, sondern möglichst schnell Klarheit über die vorhandenen Tatsachen zu gewinnen. Je früher bekannt ist, welche Wallets, Transaktionen und Dienstleister betroffen sind, desto gezielter kann die weitere Prüfung ausgerichtet werden.

Eine wichtige Rolle spielt dabei die Unterscheidung zwischen der Rückverfolgung von Kryptowährungen und der tatsächlichen Durchsetzung eines Anspruchs. Eine Blockchainanalyse kann beispielsweise ergeben, dass ein bestimmter Betrag zu einer bekannten Kryptobörse transferiert wurde. Daraus folgt jedoch nicht automatisch, dass der Betrag dort noch vorhanden ist oder dass der Dienstleister für den entstandenen Schaden einzustehen hat.

Ebenso kann eine identifizierte Zieladresse einen wichtigen Hinweis liefern, ohne dass damit bereits ein vollstreckbarer Anspruch verbunden ist. Die rechtliche Arbeit besteht darin, die technischen Erkenntnisse in den Gesamtzusammenhang einzuordnen und zu prüfen, welche Ansprüche gegenüber welchen Personen oder Unternehmen bestehen könnten.

Bei einem Betrug durch einen vermeintlichen Anlageberater können beispielsweise Schadensersatzansprüche in Betracht kommen, wenn die Voraussetzungen hierfür erfüllt sind. Entscheidend kann sein, welche Angaben gemacht wurden, ob diese objektiv falsch waren, ob der Betroffene aufgrund dieser Angaben Kryptowährungen übertragen hat und welcher konkrete Vermögensschaden entstanden ist. Auch die Identität des tatsächlichen Verantwortlichen muss möglichst belastbar geklärt werden.

Bei einem unbefugten Zugriff kann die rechtliche Bewertung wiederum andere Schwerpunkte haben. Hier kann es um die Frage gehen, wie der Zugriff technisch möglich wurde, welche Zugangsdaten oder Schlüssel betroffen waren und welche Person den Abfluss verursacht hat. Wenn der Angriff über eine kompromittierte Plattform oder einen bestimmten Dienst erfolgte, können zusätzliche rechtliche Fragen entstehen.

Auch bei einer betrügerischen Freigabe einer Transaktion kann die Ursache genauer untersucht werden. Wenn ein Betroffener beispielsweise durch einen gefälschten Supportmitarbeiter dazu gebracht wurde, eine Transaktion zu bestätigen, kann die Kommunikationssituation für die rechtliche Einordnung erheblich sein. Die Blockchain zeigt die bestätigte Transaktion, aber nicht, dass der Betroffene über deren tatsächlichen Zweck getäuscht wurde.

Deshalb sollte ein Anwalt nicht nur den Transaktions-Hash betrachten. Er benötigt möglichst den gesamten Sachverhalt. Dazu gehören die Entstehung des Kontakts, die Entwicklung der Kommunikation, die behauptete Funktion der Wallet oder Plattform, die konkreten Zahlungsaufforderungen und der Zeitpunkt der einzelnen Transaktionen.

Bei größeren Schäden kann außerdem eine strukturierte Vermögensaufstellung erforderlich sein. Es sollte möglichst genau festgestellt werden, welche Kryptowährungen betroffen waren, wann sie erworben wurden, von welcher Ausgangswallet sie übertragen wurden und welchen Wert sie zum jeweiligen Zeitpunkt hatten. Je nach Sachverhalt können auch weitere Kosten oder zusätzliche Zahlungen berücksichtigt werden müssen.

Eine solche Dokumentation ist nicht nur für die Berechnung eines möglichen Schadens relevant. Sie hilft auch dabei, die einzelnen Transaktionen technisch und wirtschaftlich miteinander zu verbinden. Gerade wenn mehrere Kryptowährungen oder mehrere Zahlungswege betroffen sind, kann eine genaue Chronologie entscheidend sein.

Bei einem Betrug über eine angebliche Investmentplattform kann beispielsweise eine Abfolge entstehen, in der zunächst eine kleinere Kryptowährungssumme eingezahlt wird. Anschließend wird ein angeblicher Gewinn angezeigt. Danach wird eine weitere Einzahlung verlangt, etwa für eine angebliche Freischaltung. Später folgt möglicherweise eine weitere Zahlungsforderung. Wenn diese Beträge an verschiedene Wallets fließen, können die einzelnen Transaktionen gemeinsam betrachtet werden.

Auch wenn eine Plattform behauptet, das Guthaben befinde sich weiterhin auf einem Kundenkonto, kann die technische Prüfung relevant sein. Wenn keine entsprechenden On-Chain-Bewegungen feststellbar sind, kann dies eine andere rechtliche Ausgangssituation schaffen als bei einem tatsächlich nachweisbaren Vermögensbestand. Die Darstellung einer Plattform sollte daher nicht mit einem real vorhandenen Blockchain-Guthaben gleichgesetzt werden.

Eine weitere rechtliche Frage kann sich ergeben, wenn mehrere Personen unter unterschiedlichen Namen mit dem Betroffenen kommuniziert haben. Ein sogenannter persönlicher Broker kann beispielsweise später von einem angeblichen Compliance-Mitarbeiter oder einem Auszahlungsspezialisten abgelöst werden. Wenn alle Beteiligten unterschiedliche Zahlungsaufforderungen stellen, sollten ihre Angaben und die jeweils verwendeten Wallets miteinander verglichen werden.

Solche Wechsel können für die Rekonstruktion eines Betrugsablaufs relevant sein. Sie beweisen allein noch keine gemeinsame Verantwortlichkeit. Sie können jedoch Anlass geben, die einzelnen Kommunikations- und Zahlungsstränge genauer miteinander abzugleichen.

Auch die verwendeten Unternehmen sollten geprüft werden. Eine Firma kann tatsächlich existieren, ohne etwas mit der konkreten Plattform oder dem Ansprechpartner zu tun zu haben. Umgekehrt kann ein Anbieter unter einer Gesellschaft auftreten, deren tatsächliche Geschäftstätigkeit von der Darstellung gegenüber dem Betroffenen abweicht. Eine rechtliche Prüfung sollte deshalb nicht nur den Namen einer Firma übernehmen, sondern deren tatsächliche Rolle im Sachverhalt untersuchen.

Bei internationalen Sachverhalten kann die Durchsetzung möglicher Ansprüche zusätzliche Herausforderungen mit sich bringen. Der Täter kann sich in einem anderen Land befinden, die Kryptobörse kann ihren Sitz außerhalb Deutschlands haben und die Kryptowährungen können über mehrere internationale Dienstleister bewegt worden sein. Das bedeutet nicht automatisch, dass keine rechtlichen Möglichkeiten bestehen. Es kann aber dazu führen, dass die Prüfung der Zuständigkeit, des anwendbaren Rechts und möglicher grenzüberschreitender Maßnahmen besonders sorgfältig erfolgen muss.

Auch bei einem ausländischen Anbieter sollte daher zunächst die technische Spur gesichert werden. Eine klare Dokumentation der Wallet-Adressen und Transaktionen kann die Grundlage für die weitere Bewertung bilden. Ohne diese Informationen bleibt häufig nur die Behauptung, dass Kryptowährungen „verschwunden“ seien. Mit ihnen kann dagegen nachvollziehbar dargestellt werden, wann und wohin die Vermögenswerte übertragen wurden.

Ein spezialisierter Anwalt kann außerdem prüfen, ob weitere Beteiligte in Betracht kommen. Dazu können je nach Fall nicht nur der unmittelbare Täter, sondern auch bestimmte Vermittler, Vertragspartner oder andere Beteiligte gehören. Eine solche Prüfung darf jedoch nicht auf einer pauschalen Verantwortungsannahme beruhen. Jede mögliche Anspruchsgrundlage muss anhand der konkreten Tatsachen geprüft werden.

Auch Dienstleister können eine Rolle spielen, ohne dass daraus automatisch eine Haftung folgt. Wenn eine Kryptobörse eine Einzahlung verarbeitet hat, kann sie möglicherweise wichtige Informationen über den Vorgang besitzen. Ob darüber hinaus rechtliche Ansprüche gegen den Dienstleister bestehen, hängt von dessen konkreter Rolle, den Vertragsbeziehungen, den Sicherheitsvorgängen und den einschlägigen rechtlichen Voraussetzungen ab.

Bei einem kompromittierten Börsenkonto können außerdem die jeweiligen Nutzungsbedingungen und Sicherheitsmechanismen relevant sein. Entscheidend kann beispielsweise sein, wie der Zugriff erfolgte, ob ungewöhnliche Vorgänge erkennbar waren und welche Informationen dem Anbieter zum betreffenden Zeitpunkt vorlagen. Eine pauschale Aussage über eine Verantwortlichkeit ist ohne diese Prüfung nicht möglich.

Auch die Frage, ob der Betroffene eine Transaktion selbst autorisiert hat, sollte differenziert betrachtet werden. Eine technisch selbst signierte Transaktion kann unter Umständen aufgrund einer Täuschung erfolgt sein. Eine fremde Transaktion kann dagegen auf einen unbefugten Zugriff hindeuten. Für die rechtliche Bewertung kommt es daher nicht allein auf den technischen Signaturvorgang an, sondern auf die Umstände, unter denen die Transaktion zustande kam.

Das ist besonders bei sogenannten Social-Engineering-Fällen wichtig. Der Betroffene wird dabei nicht unbedingt durch einen technischen Angriff zur Zahlung gebracht. Stattdessen manipuliert der Täter die Wahrnehmung des Opfers und bringt es dazu, eine bestimmte Handlung selbst vorzunehmen. Bei Kryptowährungen kann eine solche Handlung unmittelbar zu einem endgültigen Vermögensabfluss führen.

Auch gefälschte Supportkontakte können nach diesem Muster funktionieren. Ein angeblicher Mitarbeiter erklärt beispielsweise, das Wallet sei gefährdet und müsse durch eine bestimmte Transaktion „gesichert“ werden. Tatsächlich wird durch diese Transaktion der gesamte Bestand an eine fremde Adresse übertragen. Die rechtliche Aufarbeitung muss dann sowohl die technische Transaktion als auch die Täuschungssituation berücksichtigen.

Bei einer Wallet, die durch eine Seed Phrase kompromittiert wurde, stellt sich wiederum die Frage, wie der Täter an diese Informationen gelangt ist. Wurde die Seed Phrase auf einer gefälschten Website eingegeben? Wurde sie einer angeblichen Supportperson mitgeteilt? War sie auf einem kompromittierten Gerät gespeichert? Oder wurde sie anderweitig offengelegt? Die Ursache kann für die rechtliche Einordnung und die Identifizierung des Verantwortlichen relevant sein.

Auch ein Fernzugriff auf den Computer oder das Smartphone kann eine Rolle spielen. Wenn ein Betroffener einem angeblichen Supportmitarbeiter Zugriff auf sein Gerät ermöglicht hat und kurz danach Kryptowährungen abfließen, sollte dieser Zusammenhang genau dokumentiert werden. Dabei ist wiederum wichtig, zwischen dem technischen Ablauf und der rechtlichen Bewertung zu unterscheiden.

Ein Anwalt kann in einem solchen Fall prüfen, welche Informationen für die weitere Aufklärung benötigt werden. Dazu können beispielsweise Angaben zum verwendeten Gerät, zur Fernzugriffssoftware, zu den Kommunikationskontakten und zu den Transaktionszeiten gehören. Entscheidend ist, die technischen Ereignisse möglichst genau mit der Kommunikation zu verbinden.

Auch die Sicherung möglicher Ansprüche kann Bestandteil der anwaltlichen Prüfung sein. Wenn ein möglicher Anspruchsgegner identifiziert wurde und konkrete Anhaltspunkte dafür bestehen, dass Vermögenswerte vorhanden sein könnten, kann geprüft werden, welche rechtlichen Möglichkeiten zur Vermögenssicherung bestehen. Welche Maßnahme geeignet ist, hängt vom Einzelfall ab und kann nicht pauschal vorhergesagt werden.

Eine solche Prüfung ist von der bloßen Blockchainanalyse zu unterscheiden. Die Blockchain kann zeigen, dass sich Kryptowährungen auf einer bestimmten Adresse befinden. Ob und wie ein Zugriff auf diese Vermögenswerte rechtlich möglich ist, ist eine eigenständige Frage. Ebenso muss geprüft werden, wem die Adresse zugeordnet werden kann und welche rechtlichen Voraussetzungen für eine Sicherungsmaßnahme erfüllt sein müssen.

Bei einer komplexen Transaktionskette kann eine anwaltliche Bearbeitung deshalb sinnvollerweise mehrere Ebenen miteinander verbinden. Zunächst wird der Sachverhalt rekonstruiert. Danach werden die Wallets und Transaktionen analysiert. Anschließend werden mögliche Personen, Unternehmen und Dienstleister identifiziert. Erst danach kann belastbar geprüft werden, welche rechtlichen Ansprüche und Maßnahmen im konkreten Fall in Betracht kommen.

Für die erste rechtliche Einschätzung sind deshalb nicht nur Angaben zum Verlustbetrag wichtig. Besonders hilfreich sind eine möglichst vollständige Chronologie, die betroffenen Wallet-Adressen, die Transaktions-Hashes, Angaben zu den verwendeten Kryptobörsen und sämtliche Kommunikation mit den beteiligten Personen. Auch scheinbar nebensächliche Informationen können später eine Verbindung zwischen einem Kommunikationskontakt und einer Transaktion herstellen.

Betroffene sollten außerdem vorsichtig sein, wenn nach einem Wallet-Verlust neue Personen Kontakt aufnehmen und behaupten, die Kryptowährungen bereits identifiziert oder gesichert zu haben. Gerade bei bekannten Betrugssachverhalten kann der erste Verlust weitere Kontaktversuche auslösen. Ein angeblicher Spezialist kann dabei konkrete Wallet-Adressen oder angebliche Blockchain-Nachweise vorlegen, ohne tatsächlich über eine rechtliche oder technische Möglichkeit zur Sicherung des Vermögens zu verfügen.

Auch eine Forderung nach einer weiteren Zahlung sollte nicht allein deshalb als seriös angesehen werden, weil sie mit einer konkreten Wallet oder Transaktion begründet wird. Technische Angaben können echt sein und trotzdem in einen weiteren Betrugsversuch eingebettet werden. Vor einer weiteren Zahlung sollte deshalb unabhängig geprüft werden, welche Person tatsächlich dahintersteht und welche konkrete Grundlage für die Forderung besteht.

Die Einschaltung eines spezialisierten Anwalts kann insbesondere dann sinnvoll sein, wenn die technische Spur bereits komplex ist, mehrere Personen beteiligt sind, hohe Vermögenswerte betroffen sind oder eine grenzüberschreitende Struktur vorliegt. Ein Anwalt kann die rechtliche Bewertung übernehmen und gleichzeitig festlegen, welche technischen Informationen für die weitere Prüfung benötigt werden.

Dabei sollte die anwaltliche Tätigkeit nicht mit einem Versprechen verbunden werden, dass Kryptowährungen in jedem Fall zurückerlangt werden können. Ob eine Rückforderung oder ein Schadensersatzanspruch erfolgreich durchgesetzt werden kann, hängt unter anderem von der Identifizierbarkeit des Verantwortlichen, dem Verbleib der Vermögenswerte, den verfügbaren Beweisen und den rechtlichen Voraussetzungen ab.

Ebenso wenig kann aus einer erfolgreichen Blockchainanalyse automatisch auf einen finanziellen Erfolg geschlossen werden. Die technische Nachverfolgung ist ein wichtiger Bestandteil der Aufarbeitung, aber nur ein Teil des Gesamtverfahrens. Erst wenn die technische Spur mit einer Person oder einem Unternehmen und einer geeigneten rechtlichen Anspruchsgrundlage verbunden werden kann, entsteht eine Grundlage für die weitere Durchsetzung.

Gerade deshalb sollte eine Wallet, die vollständig leergeräumt wurde, nicht isoliert als technisches Problem betrachtet werden. Hinter dem Vermögensabfluss können ein unbefugter Zugriff, eine Täuschung, ein kompromittiertes Börsenkonto, ein gefälschter Supportkontakt oder ein Anlagebetrug stehen. Jede dieser Varianten erfordert eine etwas andere Prüfung.

Ein spezialisierter Anwalt kann dabei helfen, diese Varianten voneinander abzugrenzen. Er kann den vorhandenen Sachverhalt juristisch einordnen, die technischen Daten berücksichtigen und prüfen, gegen welche Personen oder Unternehmen möglicherweise Ansprüche bestehen. Je nach Fall können außerdem Fragen der internationalen Zuständigkeit, der Vermögenssicherung und der weiteren Identifizierung von Beteiligten relevant werden.

Für Betroffene ist deshalb vor allem eines wichtig: Eine leere Wallet bedeutet nicht automatisch, dass keinerlei rechtliche Prüfung mehr möglich ist. Entscheidend ist, ob sich der Vermögensabfluss nachvollziehen lässt, welche Informationen über die beteiligten Personen und Dienstleister vorhanden sind und ob daraus konkrete rechtliche Anknüpfungspunkte entstehen. Die Blockchain kann dabei eine wesentliche Tatsachengrundlage liefern, ersetzt aber nicht die juristische Bewertung.

Eine sorgfältige Bearbeitung verbindet deshalb technische und rechtliche Informationen. Aus dem Transaktions-Hash wird der konkrete Zahlungsweg rekonstruiert. Aus Wallet-Adressen und möglichen Börsenbezügen können weitere Anknüpfungspunkte entstehen. Kommunikationsdaten können zeigen, warum eine Transaktion durchgeführt wurde. Vertrags- und Unternehmensinformationen können helfen, die beteiligten Personen oder Gesellschaften einzuordnen. Erst das Zusammenspiel dieser Informationen ermöglicht eine belastbare Bewertung des Einzelfalls.

Wer nach einem leergeräumten Wallet anwaltliche Unterstützung sucht, sollte daher möglichst nicht nur den Verlustbetrag nennen. Aussagekräftiger sind konkrete Informationen darüber, wann die Wallet zuletzt vollständig war, wann der Abfluss bemerkt wurde, welche Transaktionen unbekannt sind, welche Wallet-Adressen betroffen sind, ob zuvor Kontakt zu einem Broker oder Support bestand und welche Kryptobörsen oder Dienstleister beteiligt waren.

Je genauer diese Angaben sind, desto gezielter kann geprüft werden, ob eine Blockchainanalyse sinnvoll ist, welche weiteren Daten benötigt werden und welche rechtlichen Schritte im konkreten Fall in Betracht kommen. Eine seriöse rechtliche Prüfung beginnt nicht mit einem Versprechen über das Ergebnis, sondern mit einer möglichst präzisen Rekonstruktion des tatsächlichen Geschehens.

Wallet leergeräumt – welche Beweise sind für die rechtliche Aufarbeitung besonders wichtig?

Wenn eine Wallet leergeräumt wurde, entscheidet die Qualität der vorhandenen Unterlagen wesentlich darüber, wie genau der Sachverhalt später rekonstruiert werden kann. Bei einem Verlust von Kryptowährungen reicht es häufig nicht aus, lediglich einen aktuellen Kontostand oder einen Screenshot der leeren Wallet vorzulegen. Für eine technische und rechtliche Prüfung ist vielmehr wichtig, den gesamten Vorgang nachvollziehbar zu dokumentieren: Welche Wallet war betroffen? Welche Kryptowährungen befanden sich dort? Wann erfolgte der Abfluss? An welche Adresse wurden die Vermögenswerte übertragen? Welche Kommunikation ging dem Vorgang voraus? Und welche weiteren Bewegungen lassen sich anschließend feststellen?

Besonders wichtig sind die technischen Daten der betreffenden Transaktionen. Dazu gehören die Wallet-Adresse, von der die Kryptowährungen abgeflossen sind, die jeweilige Zieladresse, der Transaktions-Hash, die betroffene Blockchain, der übertragene Vermögenswert, der Betrag und der Zeitpunkt der Transaktion. Bei mehreren Abflüssen sollte jede Transaktion einzeln erfasst werden. Eine bloße Angabe wie „meine Kryptowährungen wurden gestohlen“ beschreibt den Schaden, ermöglicht aber noch keine genaue Rekonstruktion des Zahlungswegs.

Der Transaktions-Hash ist dabei eine besonders wichtige Information. Er dient als eindeutige Referenz für einen bestimmten Blockchain-Vorgang. Über ihn kann nachvollzogen werden, welche Transaktion tatsächlich stattgefunden hat. Deshalb sollte der Hash nicht nur in einem Screenshot enthalten sein, sondern möglichst zusätzlich als Text dokumentiert werden. Dadurch lässt er sich später leichter überprüfen und mit weiteren Transaktionen verknüpfen.

Auch die ursprüngliche Wallet-Adresse sollte vollständig festgehalten werden. Bei einer selbstverwahrten Wallet kann dies die Adresse sein, von der die Kryptowährungen ohne Zustimmung abgeflossen sind. Wenn mehrere Adressen genutzt wurden, sollte nicht vorschnell davon ausgegangen werden, dass nur eine davon relevant ist. Je nach Wallet und Blockchain können verschiedene Adressen für unterschiedliche Vermögenswerte oder Transaktionen verwendet worden sein.

Ebenso wichtig sind die Empfängeradressen. Gerade bei einem leergeräumten Wallet sollte möglichst genau festgehalten werden, wohin die Kryptowährungen zunächst übertragen wurden. Wenn die Vermögenswerte anschließend weitergeleitet wurden, können auch die Folgeadressen relevant sein. Die Dokumentation sollte deshalb nicht bei der ersten Zieladresse enden, sofern weitere Transaktionen erkennbar sind.

Bei Token-Transaktionen sollte zusätzlich darauf geachtet werden, welcher konkrete Vermögenswert betroffen ist. Eine Wallet kann beispielsweise verschiedene Token enthalten, die auf derselben Blockchain verwaltet werden. Die reine Angabe der Blockchain genügt dann möglicherweise nicht. Für eine eindeutige Zuordnung können die Bezeichnung des Tokens und gegebenenfalls die zugehörige technische Kennung beziehungsweise Smart-Contract-Adresse relevant sein.

Auch Screenshots können wichtige Beweismittel sein. Sie sollten möglichst den Zustand der Wallet oder Plattform zu einem relevanten Zeitpunkt dokumentieren. Besonders hilfreich können Screenshots des Wallet-Bestands, der Transaktionshistorie, einer unbekannten Zieladresse oder einer auffälligen Meldung sein. Bei Plattformen sollten nach Möglichkeit auch die URL, der angezeigte Kontostand und relevante Angaben zur Transaktion erkennbar sein.

Screenshots sollten jedoch nicht die einzige Informationsquelle bleiben. Eine grafische Darstellung kann verändert oder aus dem Zusammenhang gerissen sein. Die dazugehörigen Blockchain-Daten können wesentlich aussagekräftiger sein. Deshalb sollte ein Screenshot, soweit möglich, mit dem entsprechenden Transaktions-Hash und den zugrunde liegenden Daten verknüpft werden.

Auch der Zeitpunkt ist wichtig. Betroffene sollten möglichst genau festhalten, wann sie zuletzt selbst auf die Wallet zugegriffen haben, wann sie einen ungewöhnlichen Vorgang bemerkt haben und wann die unbekannten Transaktionen stattgefunden haben. Je genauer die zeitliche Abfolge dokumentiert ist, desto besser können technische Vorgänge mit Kommunikationsereignissen und anderen Handlungen abgeglichen werden.

Bei einem Verdacht auf einen unbefugten Zugriff kann beispielsweise entscheidend sein, ob eine unbekannte Transaktion wenige Minuten nach einer bestimmten Handlung erfolgt ist. Wurde zuvor eine verdächtige Website geöffnet? Wurde eine Seed Phrase eingegeben? Bestand Kontakt zu einem angeblichen Supportmitarbeiter? Wurde eine Wallet mit einer unbekannten Anwendung verbunden? Oder wurde eine Fernzugriffssoftware installiert? Solche zeitlichen Zusammenhänge können für die Ursachenanalyse relevant sein.

Die Kommunikation mit angeblichen Beratern, Brokern oder Supportmitarbeitern sollte ebenfalls vollständig gesichert werden. Dazu gehören Chatverläufe, E-Mails, SMS, Nachrichten über Messenger sowie gegebenenfalls Aufzeichnungen über Telefonkontakte. Entscheidend ist möglichst der vollständige Zusammenhang und nicht nur einzelne Nachrichten, die eine bestimmte Aussage besonders deutlich erscheinen lassen.

Bei Messenger-Kommunikation sollten nach Möglichkeit nicht nur einzelne Screenshots gespeichert werden. Sinnvoll kann es sein, den gesamten relevanten Chatverlauf zu sichern. Dadurch bleibt nachvollziehbar, wie der Kontakt entstanden ist, welche Versprechungen gemacht wurden, wann Zahlungsaufforderungen erfolgten und welche Erklärungen zu den Kryptowährungen gegeben wurden.

Auch die verwendeten Telefonnummern können relevant sein. Wenn ein angeblicher Broker oder Supportmitarbeiter unter einer bestimmten Telefonnummer Kontakt aufgenommen hat, sollte diese Nummer zusammen mit den Nachrichten dokumentiert werden. Dasselbe gilt für E-Mail-Adressen, Benutzernamen, Profilnamen und sonstige Kommunikationskennungen.

Bei Webseiten sollten Betroffene möglichst die genaue Internetadresse dokumentieren. Wenn eine angebliche Handelsplattform verwendet wurde, kann die Domain für die spätere Prüfung relevant sein. Auch die dort angezeigten Unternehmensangaben, Kontaktdaten und Namen von angeblichen Ansprechpartnern können wichtige Informationen darstellen.

Besonders sorgfältig sollten Angaben zu angeblichen Beratern gesichert werden. Dazu gehören Name, Funktion, Telefonnummer, E-Mail-Adresse, verwendete Profile und die Angaben, die diese Person zu ihrer beruflichen Tätigkeit gemacht hat. Wenn beispielsweise behauptet wurde, der Ansprechpartner arbeite für eine bestimmte Investmentgesellschaft oder Kryptobörse, sollte diese Aussage ebenfalls dokumentiert werden.

Auch Vertragsunterlagen können eine wichtige Rolle spielen. Dazu gehören angebliche Anlageverträge, Nutzungsbedingungen, Kontoeröffnungsunterlagen, PDF-Dokumente, Rechnungen, Zahlungsaufforderungen oder sonstige Unterlagen, die im Zusammenhang mit der vermeintlichen Investition übermittelt wurden. Gerade bei betrügerischen Plattformen können solche Dokumente später Hinweise auf verwendete Namen, Gesellschaften oder Zahlungswege liefern.

Dabei sollte auch scheinbar nebensächliche Kommunikation aufbewahrt werden. Eine Nachricht wie „Ihr Geld befindet sich noch in der Prüfung“ kann im Gesamtzusammenhang relevant sein, wenn anschließend eine weitere Zahlung verlangt wurde. Ebenso können Angaben zu angeblichen Steuern, Gebühren, Sicherheitsleistungen oder Wallet-Prüfungen zeigen, wie der Betroffene zu weiteren Zahlungen bewegt werden sollte.

Auch E-Mails mit technischen Informationen sollten vollständig gespeichert werden. Dazu gehören beispielsweise Nachrichten zur Kontoeröffnung, Passwortänderungen, Login-Benachrichtigungen, Transaktionsbestätigungen oder Hinweise auf neue Geräte. Bei einem kompromittierten Konto können solche Nachrichten helfen, die zeitliche Abfolge des unbefugten Zugriffs zu rekonstruieren.

Wenn eine Kryptobörse beteiligt war, sollten auch deren Transaktions- und Kontodaten gesichert werden. Dazu können Einzahlungs- und Auszahlungsübersichten, Kontostände, hinterlegte Wallet-Adressen und Bestätigungsnachrichten gehören. Wenn der Anbieter eine Transaktions-ID oder eine interne Referenznummer angegeben hat, sollte auch diese aufbewahrt werden.

Bei einem leergeräumten Börsenkonto können zusätzlich Informationen über ungewöhnliche Logins relevant sein. Falls der Dienstleister Hinweise zu neuen Geräten, Sicherheitsänderungen oder verdächtigen Zugriffen angezeigt hat, sollten diese Daten gesichert werden. Auch Änderungen an der Zwei-Faktor-Authentifizierung oder an hinterlegten Auszahlungsadressen können für die spätere Prüfung wichtig sein.

Die Nachweise über den ursprünglichen Erwerb der Kryptowährungen sollten ebenfalls berücksichtigt werden. Kontoauszüge, Überweisungsbelege, Kaufbestätigungen und Abrechnungen einer Kryptobörse können zeigen, wann und auf welchem Weg die Kryptowährungen erworben wurden. Sie können außerdem helfen, die Höhe des tatsächlich entstandenen Vermögensschadens zu bestimmen.

Bei Überweisungen an eine Kryptobörse sollten insbesondere Empfängername, IBAN und BIC dokumentiert werden, soweit solche Zahlungsdaten vorhanden sind. Auch der Verwendungszweck kann relevant sein. Wenn mehrere Zahlungen erfolgt sind, sollte möglichst jede einzelne Zahlung erfasst werden.

Bei einer Zahlung über einen Zahlungsdienstleister sollten ebenfalls die verfügbaren Transaktionsdaten gesichert werden. Dazu können Zahlungsbestätigungen, Referenznummern, Empfängerangaben und Nachrichten des Dienstleisters gehören. Eine vollständige Dokumentation kann später helfen, den Weg vom Ausgangskonto bis zum Erwerb oder Transfer der Kryptowährungen nachzuvollziehen.

Wichtig ist außerdem, zwischen Fiat-Zahlungen und Kryptowährungstransaktionen zu unterscheiden. Eine Überweisung in Euro auf ein bestimmtes Konto und die anschließende Übertragung von Kryptowährungen an eine Wallet sind unterschiedliche Vorgänge. Für eine rechtliche Aufarbeitung können jedoch beide miteinander verbunden werden müssen. Deshalb sollte die zeitliche Abfolge beider Zahlungswege möglichst genau dokumentiert werden.

Wenn ein Betroffener Kryptowährungen über eine Börse gekauft und anschließend an eine externe Wallet übertragen hat, können beispielsweise drei Informationsquellen zusammengeführt werden: der Bankbeleg über die Einzahlung, die Kaufabrechnung der Kryptobörse und die Blockchain-Transaktion an die externe Wallet. Zusammen können diese Unterlagen deutlich genauer zeigen, wann der Vermögenswert in die Verfügung des Betroffenen gelangte und wann er anschließend abgeflossen ist.

Bei einem leergeräumten Wallet sollte außerdem geprüft werden, ob die Seed Phrase oder ein privater Schlüssel möglicherweise offengelegt wurde. Die Seed Phrase selbst sollte selbstverständlich nicht an einen unbekannten Dritten weitergegeben werden. Für die rechtliche Aufarbeitung kann jedoch wichtig sein, wie, wann und gegenüber wem eine solche Information möglicherweise offengelegt wurde.

Wenn eine angebliche Supportperson ausdrücklich nach einer Seed Phrase, einem privaten Schlüssel oder Zugangsdaten gefragt hat, sollte die entsprechende Kommunikation gesichert werden. Eine solche Aufforderung kann für die Bewertung eines möglichen Täuschungsvorgangs relevant sein. Auch wenn der Betroffene die Informationen nicht tatsächlich übermittelt hat, kann die Anfrage selbst ein wichtiger Bestandteil des Sachverhalts sein.

Gleiches gilt für Aufforderungen, eine Wallet mit einer bestimmten Website oder Anwendung zu verbinden. Wenn anschließend eine unbekannte Transaktion erfolgt, kann die Verbindung zwischen der Website, dem Smart Contract und dem späteren Vermögensabfluss für die technische Analyse relevant sein. Deshalb sollte die betreffende Internetadresse möglichst genau dokumentiert werden.

Wenn eine Fernzugriffssoftware verwendet wurde, sollten auch deren Angaben gesichert werden. Dazu gehören der Name der verwendeten Anwendung, Zeitpunkt der Sitzung und möglichst die betreffenden Kommunikationsnachrichten. Es sollte außerdem festgehalten werden, welche Person den Fernzugriff verlangt hat und mit welcher Begründung.

Dabei ist Vorsicht bei nachträglichen Veränderungen am betroffenen Gerät geboten. Wenn ein technischer Angriff vermutet wird, können bestimmte Daten für eine spätere Analyse relevant sein. Betroffene sollten daher nicht eigenständig versuchen, mögliche technische Spuren durch umfangreiche Änderungen am Gerät zu beseitigen, ohne zuvor zu prüfen, welche Informationen benötigt werden.

Auch Passwortänderungen und Sicherheitsmaßnahmen sollten dokumentiert werden. Wenn nach dem Vorfall Passwörter geändert, Geräte abgemeldet oder Sicherheitsfunktionen aktiviert wurden, kann die zeitliche Abfolge relevant sein. Dies gilt insbesondere bei kompromittierten Kryptobörsenkonten.

Eine weitere wichtige Informationsquelle sind die Konto- und Wallet-Historien. Wenn eine Wallet-Anwendung eine Transaktionsübersicht exportieren kann, sollte diese Möglichkeit genutzt werden. Bei Kryptobörsen können gegebenenfalls Kontoauszüge oder Transaktionsberichte heruntergeladen werden. Solche Dateien können später wesentlich übersichtlicher sein als eine große Zahl einzelner Screenshots.

Bei der Beweissicherung sollte außerdem darauf geachtet werden, die Originaldateien möglichst unverändert aufzubewahren. E-Mails, PDF-Dateien, Chat-Exporte und Transaktionsdaten sollten nicht nur durch Screenshots ersetzt werden. Wenn ein Originaldokument verfügbar ist, sollte dieses zusätzlich gesichert werden.

Auch Dateinamen und Speicherorte können sinnvoll strukturiert werden. Bei umfangreichen Sachverhalten kann beispielsweise nach Datum, Zahlungsweg oder beteiligtem Kommunikationspartner sortiert werden. Entscheidend ist weniger die konkrete Ordnerstruktur als die Möglichkeit, später schnell nachvollziehen zu können, welches Dokument zu welchem Ereignis gehört.

Eine chronologische Darstellung kann dabei besonders hilfreich sein. Sie sollte möglichst mit dem ersten Kontakt beginnen und die weiteren Ereignisse in zeitlicher Reihenfolge erfassen. Dazu gehören die Kontaktaufnahme, die angebliche Anlageberatung, die ersten Einzahlungen, die Übertragung von Kryptowährungen, die Darstellung von Gewinnen, spätere Zahlungsforderungen und schließlich die Feststellung des Vermögensverlusts.

Auch Zeitpunkte, an denen sich Angaben des Anbieters änderten, sollten festgehalten werden. Wenn zunächst ein bestimmtes Wallet als Empfänger genannt wurde und später eine andere Adresse, kann diese Veränderung relevant sein. Gleiches gilt, wenn sich Namen von Ansprechpartnern, Unternehmensbezeichnungen oder angebliche Gründe für eine weitere Zahlung ändern.

Besonders wichtig können widersprüchliche Angaben sein. Wenn ein angeblicher Broker behauptet, die Kryptowährungen befänden sich auf einer bestimmten Plattform, die Blockchain aber einen Transfer an eine völlig andere Adresse zeigt, sollte dieser Widerspruch dokumentiert werden. Die rechtliche Bewertung kann dann prüfen, welche Bedeutung dieser Unterschied hat.

Auch die Darstellung eines angeblichen Guthabens sollte gesichert werden. Wenn eine Plattform beispielsweise einen Kontostand von 100.000 Euro oder einen bestimmten Kryptobestand angezeigt hat, kann ein Screenshot dieses Zustands relevant sein. Gleichzeitig sollte festgehalten werden, ob sich ein entsprechender realer Vermögenswert auf der Blockchain nachvollziehen lässt.

Bei einem behaupteten Gewinn sollte außerdem dokumentiert werden, wie dieser berechnet oder dargestellt wurde. Nicht selten werden auf betrügerischen Plattformen Kontostände angezeigt, die den Eindruck eines erheblichen Gewinns erzeugen. Für die rechtliche Prüfung kann relevant sein, ob diese Darstellung mit tatsächlichen Transaktionen übereinstimmt.

Auch Zahlungsaufforderungen nach angeblichen Gewinnen sollten vollständig gesichert werden. Wenn eine Auszahlung erst nach Zahlung einer weiteren Gebühr möglich sein soll, sollte die entsprechende Nachricht mit Datum und Absender dokumentiert werden. Gleiches gilt für Forderungen nach angeblichen Steuern, Sicherheitsleistungen, Liquiditätsnachweisen oder Wallet-Prüfungen.

Bei mehreren Folgezahlungen sollte jeweils festgehalten werden, welche Begründung für die Zahlung genannt wurde und an welche Wallet oder welches Konto die Zahlung tatsächlich erfolgte. Dadurch kann später geprüft werden, ob sich ein wiederkehrendes Muster erkennen lässt.

Bei einem Wallet-Betrug können auch Telefonnummern und E-Mail-Adressen eine Verbindung zwischen verschiedenen Kontakten herstellen. Wenn mehrere Personen unter unterschiedlichen Namen auftreten, sollten die jeweiligen Kontaktdaten gegenübergestellt werden. Dadurch kann sich beispielsweise zeigen, dass mehrere angebliche Mitarbeiter dieselbe Telefonnummer oder Domain verwenden.

Auch Social-Media-Profile und Messenger-Konten können relevant sein. Wenn der Kontakt über soziale Netzwerke entstanden ist, sollte das betreffende Profil möglichst vollständig dokumentiert werden. Dazu können der Profilname, die verwendete URL, das Profilbild und die Kommunikation gehören. Dabei sollte jedoch nicht allein aus einem Profil auf die tatsächliche Identität geschlossen werden.

Bei der Beweissicherung sollte außerdem darauf geachtet werden, keine Zugangsdaten unnötig weiterzugeben. Ein Anwalt oder technischer Dienstleister benötigt für die Prüfung nicht automatisch die Seed Phrase oder einen privaten Schlüssel. Solche hochsensiblen Zugangsinformationen sollten nicht leichtfertig an Dritte übermittelt werden.

Auch ein seriöser rechtlicher Ansprechpartner sollte nicht verlangen, dass ein Betroffener seine privaten Schlüssel oder eine Seed Phrase in einem Chat preisgibt, nur um eine Transaktion zu überprüfen. Für die technische Analyse reichen in vielen Fällen öffentliche Wallet-Adressen und Transaktionsdaten aus. Ob darüber hinausgehende Informationen überhaupt benötigt werden, sollte konkret geprüft werden.

Ein weiterer wichtiger Bereich betrifft die Beweissicherung bei einer möglichen Wallet-Kompromittierung. Wenn der Betroffene vermutet, dass eine Seed Phrase oder ein privater Schlüssel bekannt geworden ist, sollte die mögliche Ursache dokumentiert werden. Dazu kann beispielsweise gehören, wann die Seed Phrase eingegeben wurde, auf welcher Website dies geschah und wer zuvor dazu aufgefordert hatte.

Wenn eine gefälschte Wallet-Anwendung installiert wurde, sollte auch deren Name und Herkunft dokumentiert werden. Wurde die Anwendung über einen bestimmten Link heruntergeladen? Wurde sie von einem angeblichen Supportmitarbeiter empfohlen? Gab es danach ungewöhnliche Transaktionen? Solche Details können für die technische Rekonstruktion relevant sein.

Bei einem Angriff über einen Browser kann auch die verwendete Website eine Rolle spielen. Eine täuschend echte Website kann dazu verwendet werden, Zugangsdaten abzufragen oder eine schädliche Transaktion vorzubereiten. Die genaue Domain und der Zeitpunkt des Besuchs können deshalb wichtige Informationen darstellen.

Wenn eine Wallet über einen Smart Contract kompromittiert wurde, können außerdem die entsprechenden Transaktionsdaten und Vertragsadressen relevant sein. Eine bloße Beschreibung wie „Ich habe auf einen Link geklickt und danach war mein Wallet leer“ reicht für eine technische Analyse oft nicht aus. Die konkrete Transaktion kann wesentlich genauer zeigen, welche Aktion stattgefunden hat.

Auch bei einem sogenannten Approval-Vorgang kann die Dokumentation relevant sein. Bei bestimmten Token-Systemen kann eine Wallet einem Smart Contract oder einer anderen Adresse eine Berechtigung für bestimmte Token erteilen. Der spätere Abfluss kann dann technisch anders aussehen als eine einfache Überweisung. Für die rechtliche Aufarbeitung kann deshalb die genaue Transaktionsart von Bedeutung sein.

Bei einem leergeräumten Wallet sollten Betroffene außerdem alle relevanten Blockchain-Netzwerke berücksichtigen. Wenn verschiedene Kryptowährungen betroffen sind, können unterschiedliche Blockchains beteiligt sein. Die Dokumentation sollte daher für jede Blockchain getrennt und eindeutig erfolgen.

Eine weitere wichtige Information ist die Höhe des tatsächlichen Schadens. Bei Kryptowährungen kann der Wert erheblich schwanken. Für eine rechtliche Prüfung kann deshalb relevant sein, wie viele Einheiten des jeweiligen Vermögenswerts tatsächlich übertragen wurden und zu welchem Zeitpunkt der Schaden eingetreten ist. Die konkrete Schadensberechnung muss anhand des Einzelfalls erfolgen.

Auch frühere Käufe und Einzahlungen können relevant sein, wenn der Betroffene nachweisen muss, dass er über die betreffenden Kryptowährungen tatsächlich verfügte. Kontoauszüge und Börsenabrechnungen können dabei eine wichtige Ergänzung zu den Blockchain-Daten darstellen.

Wenn der Betroffene Kryptowährungen aus mehreren Quellen zusammengeführt hat, sollte möglichst nachvollziehbar dokumentiert werden, welche Bestände aus welchen Transaktionen stammen. Dies kann insbesondere dann relevant sein, wenn nur ein Teil des Wallet-Bestands betroffen war oder mehrere unterschiedliche Vermögenswerte übertragen wurden.

Bei umfangreichen Fällen kann eine Tabelle hilfreich sein, in der jede relevante Transaktion mit Datum, Uhrzeit, Vermögenswert, Betrag, Ausgangsadresse, Zieladresse und Transaktions-Hash erfasst wird. Zusätzlich können Hinweise zur Kommunikation oder zu einem bestimmten Ereignis aufgenommen werden. Eine solche strukturierte Darstellung erleichtert die spätere technische und rechtliche Prüfung erheblich.

Wichtig ist dabei, keine Vermutungen als Tatsachen einzutragen. Wenn beispielsweise nur vermutet wird, dass eine bestimmte Wallet dem Täter gehört, sollte dies auch als Vermutung gekennzeichnet werden. Die technische Zuordnung kann später überprüft werden. Eine saubere Trennung zwischen gesicherten Fakten und eigenen Schlussfolgerungen erhöht die Aussagekraft der gesamten Dokumentation.

Auch scheinbar kleine Informationen können später entscheidend werden. Eine Telefonnummer, die zunächst unbedeutend erscheint, kann mit einem weiteren Kontakt übereinstimmen. Eine Wallet-Adresse, die zunächst nur als Zwischenstation erscheint, kann später mit einem Dienstleister in Verbindung gebracht werden. Ein bestimmter Name kann in mehreren Dokumenten auftauchen. Deshalb sollten relevante Informationen nicht vorschnell aussortiert werden.

Gleichzeitig sollte die Beweissicherung nicht dazu führen, dass wahllos sämtliche verfügbaren Daten gesammelt werden, ohne sie zu ordnen. Für eine rechtliche Prüfung ist eine nachvollziehbare Struktur wichtiger als eine möglichst große Menge ungeordneter Dateien. Ziel sollte eine Dokumentation sein, aus der sich der Sachverhalt Schritt für Schritt nachvollziehen lässt.

Besonders hilfreich ist deshalb eine kurze schriftliche Chronologie. Darin kann festgehalten werden, wann der erste Kontakt entstand, welche Versprechen oder Erklärungen abgegeben wurden, wann die erste Zahlung erfolgte, welche Kryptowährungen wann übertragen wurden, wann weitere Forderungen gestellt wurden und wann der Betroffene den Verlust bemerkte.

Diese Chronologie sollte möglichst mit den vorhandenen Belegen verknüpft werden. Hinter einem Datum kann beispielsweise die zugehörige E-Mail, der Chatverlauf, der Bankbeleg oder der Transaktions-Hash angegeben werden. Dadurch entsteht aus einer persönlichen Schilderung eine nachvollziehbare Dokumentation.

Wenn ein Anwalt mit der Prüfung beauftragt wird, können diese Unterlagen eine erhebliche Zeitersparnis ermöglichen. Der Sachverhalt muss dann nicht vollständig aus einzelnen Nachrichten und Screenshots rekonstruiert werden. Stattdessen kann gezielt geprüft werden, welche rechtlichen Fragen offen sind und welche technischen Transaktionen weiter analysiert werden müssen.

Für die rechtliche Bewertung kann außerdem wichtig sein, welche Angaben der Betroffene selbst gemacht oder bestätigt hat. Wenn beispielsweise eine Transaktion aufgrund einer bestimmten Anweisung freigegeben wurde, sollte auch diese Anweisung dokumentiert werden. Daraus lässt sich später besser beurteilen, ob eine bewusste Übertragung, eine Täuschung oder ein unbefugter Zugriff vorlag.

Auch die Frage, welche Informationen der Betroffene zum Zeitpunkt der Transaktion hatte, kann relevant sein. Eine Transaktion kann technisch korrekt ausgeführt worden sein, obwohl der Betroffene über deren tatsächlichen Zweck getäuscht wurde. Die entsprechende Kommunikation kann deshalb für die rechtliche Bewertung wichtiger sein als die bloße technische Tatsache, dass eine Signatur erfolgt ist.

Wenn dagegen eine Transaktion vollständig unbekannt ist, sollten alle Hinweise auf mögliche vorherige Zugriffe dokumentiert werden. Dazu gehören ungewöhnliche Login-Meldungen, Sicherheitswarnungen, unbekannte Geräte oder Änderungen an Kontoeinstellungen. Solche Informationen können die technische Ursache eines Abflusses näher eingrenzen.

Auch nach dem Verlust eingehende Nachrichten sollten aufbewahrt werden. Betrüger versuchen teilweise, nach dem ersten Vermögensverlust erneut Kontakt aufzunehmen. Solche Nachrichten können Hinweise darauf enthalten, woher die Täter vom vorherigen Vorgang wissen oder welche Informationen ihnen bereits bekannt sind.

Bei angeblichen Rückholangeboten ist besondere Vorsicht geboten. Wenn eine unbekannte Person behauptet, aufgrund einer bestimmten Blockchainanalyse bereits Zugriff auf die gestohlenen Kryptowährungen zu haben, sollten die Angaben unabhängig überprüft werden. Eine weitere Zahlung sollte nicht allein aufgrund solcher Behauptungen erfolgen.

Die Beweissicherung sollte sich deshalb nicht nur auf den ursprünglichen Verlust konzentrieren. Auch spätere Kontaktaufnahmen, neue Zahlungsforderungen und Behauptungen über eine angebliche Wiederherstellung können für die Gesamtbewertung des Sachverhalts relevant sein.

Für eine anwaltliche Prüfung ist letztlich ein möglichst vollständiges, aber geordnetes Beweispaket besonders hilfreich. Dazu können die Blockchain-Daten, Wallet-Adressen, Transaktions-Hashes, Screenshots, Chatverläufe, E-Mails, Telefonnummern, Webseiten, Vertragsunterlagen, Bankbelege, Börsendaten und Angaben zu den beteiligten Personen gehören.

Entscheidend ist nicht, dass jede denkbare Information vorhanden ist. Entscheidend ist, dass die vorhandenen Informationen den Ablauf nachvollziehbar machen. Wenn einzelne Unterlagen fehlen, sollte dies offen angegeben werden. Fehlende Dokumente können dann gezielt identifiziert und, soweit möglich, nachträglich beschafft werden.

Bei einem leergeräumten Wallet sollte daher möglichst früh eine strukturierte Beweissicherung erfolgen. Die technischen Transaktionen bilden die Grundlage für die Rekonstruktion des Vermögensabflusses. Die Kommunikation kann erklären, warum eine Transaktion durchgeführt wurde. Zahlungsunterlagen können den wirtschaftlichen Schaden dokumentieren. Angaben zu Börsen und Dienstleistern können weitere Anknüpfungspunkte liefern.

Aus der Kombination dieser Informationen kann sich ein deutlich genaueres Bild ergeben als aus einem einzelnen Screenshot oder einer einzelnen Wallet-Adresse. Gerade bei komplexen Kryptobetrugsfällen ist diese Verbindung entscheidend, weil der technische Zahlungsweg und die tatsächliche Täuschungssituation nur gemeinsam eine vollständige Bewertung ermöglichen.

Wer seine Wallet leergeräumt vorfindet, sollte deshalb möglichst nicht erst im späteren Verlauf versuchen, den Sachverhalt aus dem Gedächtnis zu rekonstruieren. Die relevanten Daten sollten gesichert, zeitlich geordnet und mit den jeweiligen Transaktionen verbunden werden. Auf diese Weise entsteht eine belastbare Grundlage für eine technische Blockchainanalyse und die anschließende rechtliche Prüfung.

Wallet leergeräumt – wie ein spezialisierter Anwalt den Fall prüfen und aufarbeiten kann

Wenn eine Wallet leergeräumt wurde, stehen Betroffene häufig vor einem komplexen Problem: Die Kryptowährungen sind nicht mehr dort, wo sie ursprünglich verwahrt wurden, gleichzeitig ist für einen Außenstehenden oft schwer zu erkennen, was genau passiert ist. Möglicherweise wurde auf die Wallet unbefugt zugegriffen. Vielleicht wurde eine Transaktion aufgrund einer Täuschung selbst freigegeben. Möglich ist auch, dass Kryptowährungen im Zusammenhang mit einem angeblichen Investment, einem vermeintlichen Broker oder einem gefälschten Supportkontakt an eine fremde Wallet übertragen wurden. Eine spezialisierte anwaltliche Prüfung setzt deshalb nicht erst bei der Frage an, „wo das Geld geblieben ist“, sondern bei der Rekonstruktion des gesamten Vorgangs.

Am Anfang steht regelmäßig die Erfassung des Sachverhalts. Dabei ist entscheidend, wann der erste Kontakt zu einem Anbieter, Broker, Berater oder angeblichen Supportmitarbeiter entstanden ist, welche Aussagen gemacht wurden, welche Zahlungen erfolgten und wann der Betroffene den Verlust der Kryptowährungen bemerkte. Bei einem technischen Angriff kann dagegen die Frage im Vordergrund stehen, wann zuletzt ein eigener Zugriff auf die Wallet erfolgte und wann die erste unbekannte Transaktion auf der Blockchain sichtbar wurde.

Diese zeitliche Rekonstruktion ist deshalb wichtig, weil sich ein Wallet-Verlust technisch und rechtlich nur dann sinnvoll bewerten lässt, wenn die einzelnen Ereignisse miteinander verbunden werden. Eine unbekannte Transaktion kann beispielsweise wenige Minuten nach einer verdächtigen Kontaktaufnahme erfolgt sein. Ein anderes Mal liegt zwischen einem angeblichen Supportgespräch und dem Abfluss ein längerer Zeitraum. Die zeitliche Abfolge kann Hinweise darauf geben, welche Ursache näher untersucht werden sollte.

Ein spezialisierter Anwalt wird deshalb zunächst unterscheiden, ob es sich wahrscheinlich um einen unbefugten Zugriff, eine Täuschung, einen Anlagebetrug, eine Kompromittierung eines Börsenkontos oder eine andere Form des Vermögensabflusses handelt. Diese Einordnung ist keine bloße Formalität. Sie bestimmt, welche Tatsachen besonders relevant sind und welche rechtlichen Fragen anschließend geprüft werden müssen.

Bei einem unbefugten Zugriff kann beispielsweise untersucht werden, wie ein Dritter technisch Zugriff auf die Wallet erlangt haben könnte. Bei einer betrügerisch veranlassten Transaktion steht dagegen stärker im Vordergrund, welche Angaben der Betroffene erhalten hat und warum er die Transaktion vorgenommen oder bestätigt hat. Bei einem kompromittierten Konto bei einer Kryptobörse können wiederum die dort vorhandenen Zugriffs- und Transaktionsdaten eine zentrale Rolle spielen.

Ein wichtiger Bestandteil der anwaltlichen Prüfung sind die Blockchain-Daten. Der Anwalt kann anhand der vorhandenen Wallet-Adressen und Transaktions-Hashes zunächst feststellen lassen, welche Vermögenswerte tatsächlich abgeflossen sind. Dabei kann es sinnvoll sein, die technische Analyse durch einen darauf spezialisierten Dienst oder eine fachkundige Blockchainanalyse zu ergänzen.

Ziel ist nicht lediglich festzustellen, dass eine Transaktion stattgefunden hat. Entscheidend ist vielmehr, den weiteren Weg der Kryptowährungen möglichst vollständig zu rekonstruieren. Wohin wurde der Betrag zunächst übertragen? Welche Folgeadressen wurden verwendet? Wurde der Betrag aufgeteilt? Wurde ein anderer Token erworben? Wurden die Vermögenswerte über verschiedene Netzwerke bewegt? Taucht eine Kryptobörse oder ein anderer Dienstleister in der Transaktionskette auf?

Eine solche Analyse kann aus einem zunächst unübersichtlichen Sachverhalt eine nachvollziehbare Transaktionsstruktur machen. Gerade wenn mehrere Transaktionen stattgefunden haben, ist dies für die rechtliche Bewertung von erheblicher Bedeutung.

Dabei muss allerdings zwischen technischer Nachverfolgung und Identifizierung unterschieden werden. Eine Blockchain kann zeigen, dass Kryptowährungen an eine bestimmte Adresse übertragen wurden. Daraus ergibt sich nicht automatisch der Name der Person, die diese Adresse kontrolliert. Eine anwaltliche Prüfung muss daher feststellen, ob zusätzliche Anknüpfungspunkte vorhanden sind, die eine Zuordnung zu einer Person oder einem Unternehmen ermöglichen.

Ein möglicher Anknüpfungspunkt kann eine Kryptobörse sein. Wenn die gestohlenen oder betrügerisch erlangten Kryptowährungen an eine Adresse transferiert wurden, die einer zentralisierten Plattform zugeordnet werden kann, kann geprüft werden, ob dort weitere Informationen über den Vorgang vorhanden sein könnten. Dazu können je nach Anbieter beispielsweise Kontodaten, Einzahlungsinformationen oder KYC-Daten gehören.

Ob solche Informationen tatsächlich vorhanden sind und wie sie rechtlich zugänglich gemacht werden können, hängt vom konkreten Dienstleister und vom jeweiligen Sachverhalt ab. Eine seriöse rechtliche Prüfung verspricht deshalb nicht, dass eine Kryptobörse in jedem Fall die Identität des Empfängers offenlegen wird. Sie prüft vielmehr, ob ein entsprechender Anknüpfungspunkt besteht und welche rechtlichen Möglichkeiten daran anknüpfen können.

Auch mehrere Dienstleister können in einem Fall eine Rolle spielen. Kryptowährungen können über eine erste Börse erworben, an eine private Wallet übertragen und anschließend über eine weitere Plattform oder einen anderen Dienst bewegt werden. Eine vollständige Aufarbeitung kann deshalb mehrere Stationen umfassen.

Besonders bei komplexen Kryptobetrugsfällen kann eine Multi-Hop-Analyse sinnvoll sein. Dabei wird untersucht, wie die Vermögenswerte über mehrere Wallets weitergeleitet wurden. Eine solche Analyse kann zeigen, ob sich bestimmte Adressen wiederholt begegnen, ob Vermögenswerte zusammengeführt oder aufgeteilt werden und ob an einer späteren Stelle eine Verbindung zu einem identifizierbaren Dienstleister entsteht.

Der Anwalt kann die technischen Ergebnisse anschließend in den rechtlichen Kontext einordnen. Eine bestimmte Wallet-Adresse kann beispielsweise technisch als Zieladresse identifiziert werden. Daraus muss dann die Frage entwickelt werden, ob diese Adresse einer Person, einem Unternehmen oder einem Dienstleister zugeordnet werden kann und welche rechtliche Bedeutung diese Zuordnung hat.

Bei einem Betrug durch einen vermeintlichen Anlageberater kann dies besonders relevant sein. Der Berater kann gegenüber dem Betroffenen behauptet haben, die Kryptowährungen würden auf einem persönlichen Anlagekonto verwahrt. Die Blockchain kann dagegen zeigen, dass die Vermögenswerte an eine fremde Wallet übertragen wurden. Eine solche Abweichung zwischen der Darstellung und dem tatsächlichen Zahlungsweg kann für die rechtliche Bewertung erheblich sein.

Auch angebliche Gewinne können überprüft werden. Wenn eine Plattform einen erheblichen Kontostand anzeigt, bedeutet dies nicht automatisch, dass die entsprechende Summe tatsächlich als Kryptowährung vorhanden ist. Eine Blockchainanalyse kann unter Umständen zeigen, ob entsprechende Vermögensbewegungen überhaupt stattgefunden haben. Dadurch kann die Darstellung der Plattform mit objektiv nachvollziehbaren Transaktionsdaten verglichen werden.

Bei einem angeblichen Broker kann außerdem geprüft werden, welche Wallet-Adressen tatsächlich verwendet wurden. Wenn der Ansprechpartner verschiedene Adressen nennt oder Zahlungen an unterschiedliche Empfänger verlangt, sollte der Zusammenhang zwischen den einzelnen Transaktionen untersucht werden. Dabei kann sich beispielsweise zeigen, dass verschiedene Zahlungsaufforderungen auf miteinander verbundene Adressen führten.

Auch die Kommunikation mit dem Anbieter kann dabei eine wichtige Rolle spielen. Ein Anwalt kann prüfen, welche Versprechen gemacht wurden, welche Angaben zur Verwahrung der Kryptowährungen erfolgten und aus welchem Grund weitere Zahlungen verlangt wurden. Besonders relevant können Aussagen sein, die den Eindruck einer realen Anlage oder eines vorhandenen Guthabens erzeugten.

Wenn beispielsweise erklärt wurde, eine Auszahlung könne erst nach Zahlung einer zusätzlichen Gebühr erfolgen, sollte geprüft werden, ob dies mit den übrigen Umständen des Falls übereinstimmt. Wurde bereits zuvor behauptet, die Kryptowährungen befänden sich vollständig auf einem Kundenkonto? Existieren tatsächlich entsprechende Blockchain-Transaktionen? Wurde die Wallet-Adresse des angeblichen Kundenkontos genannt? Solche Fragen können helfen, die tatsächliche Struktur des Vorgangs zu klären.

Bei einem technischen Wallet-Angriff liegt der Schwerpunkt dagegen häufig auf der Frage, wie der Angreifer Zugriff erhalten haben könnte. Ein Anwalt kann anhand der vorhandenen Informationen prüfen, ob Hinweise auf Phishing, eine kompromittierte Seed Phrase, eine gefälschte Wallet-Anwendung, eine manipulierte Website oder einen unbefugten Fernzugriff bestehen.

Auch die Kommunikation mit angeblichen Supportmitarbeitern kann hier wichtig sein. Wenn der Betroffene beispielsweise aufgefordert wurde, eine Seed Phrase einzugeben, eine bestimmte Anwendung zu installieren oder eine Wallet mit einer unbekannten Website zu verbinden, sollte geprüft werden, ob dieser Vorgang mit dem späteren Abfluss zeitlich und technisch zusammenpasst.

Bei einem kompromittierten Kryptobörsenkonto können wiederum andere Fragen entscheidend sein. Hier kann geprüft werden, wann sich unbekannte Geräte oder Zugriffe auf das Konto ergeben haben, ob Sicherheitsinformationen geändert wurden und wann die Auszahlung an eine unbekannte Adresse erfolgte. Je nach Anbieter können entsprechende Kontodaten eine wichtige Ergänzung zu den Blockchain-Daten darstellen.

Auch die Frage, ob eine Transaktion vom Betroffenen tatsächlich gewollt war, sollte genau betrachtet werden. Bei einer Blockchain ist sichtbar, dass eine Transaktion signiert und ausgeführt wurde. Daraus folgt jedoch nicht automatisch, dass der Betroffene über deren tatsächlichen Inhalt und Zweck informiert war. Eine Täuschung kann dazu führen, dass eine Person eine technisch gültige Transaktion ausführt, obwohl sie davon ausgeht, damit etwas völlig anderes zu bewirken.

Diese Unterscheidung kann bei der rechtlichen Bewertung entscheidend sein. Ein angeblicher Supportmitarbeiter kann beispielsweise behaupten, eine Transaktion diene der Sicherung der Wallet. Tatsächlich wird der gesamte Bestand an eine fremde Adresse übertragen. Die technische Transaktion ist dann eindeutig, die Frage nach der Täuschung ergibt sich aber erst aus der Kommunikation und den Umständen.

Ein spezialisierter Anwalt wird deshalb nicht nur die Wallet-Adresse betrachten, sondern auch die Ursache der Transaktion untersuchen. Welche Informationen hatte der Betroffene? Welche Erklärung erhielt er? Welche Person gab die Anweisung? Welche Website oder Anwendung wurde verwendet? Wurde ein bestimmter Dienst als vertrauenswürdig dargestellt? Und wann erfolgte die tatsächliche Übertragung?

Aus diesen Informationen kann sich eine rechtliche Einordnung ergeben, die deutlich über die bloße Feststellung eines technischen Vermögensabflusses hinausgeht.

Ein weiterer Bereich ist die Prüfung möglicher Anspruchsgegner. Je nach Fall können unterschiedliche Personen oder Unternehmen in Betracht kommen. Dazu kann der unmittelbare Täter gehören, ein vermeintlicher Anlagevermittler, ein Vertragspartner oder ein Unternehmen, das tatsächlich hinter einer Plattform steht. Auch andere Beteiligte können relevant sein, wenn ihre konkrete Rolle dies rechtfertigt.

Dabei ist besondere Vorsicht bei der Identifizierung geboten. Betrüger verwenden häufig fremde Namen, kopierte Unternehmensangaben oder gefälschte Profile. Ein Name, der in einem Chat genannt wird, muss daher nicht der tatsächlichen Person entsprechen. Ebenso muss ein auf einer Website genanntes Unternehmen nicht tatsächlich hinter der Plattform stehen.

Die anwaltliche Prüfung kann deshalb auch eine Plausibilitätskontrolle der Unternehmens- und Kontaktdaten umfassen. Stimmen die angegebenen Firmendaten mit den tatsächlichen Informationen überein? Passt die angegebene Tätigkeit zum behaupteten Geschäftsmodell? Welche Gesellschaft hat Verträge oder Rechnungen ausgestellt? Welche Kontaktdaten wurden tatsächlich verwendet? Und gibt es einen nachvollziehbaren Zusammenhang zwischen dem Unternehmen und den Wallet-Adressen?

Auch die Zahlungswege können wichtige Hinweise liefern. Wenn neben Kryptowährungen auch Überweisungen in Euro erfolgt sind, können Kontoauszüge, Überweisungsbelege, IBAN und BIC zusätzliche Informationen liefern. Diese Daten können dabei helfen, den wirtschaftlichen Ablauf des Geschehens mit den Blockchain-Transaktionen zu verbinden.

Bei einer Investition kann beispielsweise zunächst eine Euro-Zahlung an einen bestimmten Empfänger erfolgt sein. Später wurden Kryptowährungen gekauft und an eine Wallet übertragen. Wenn diese Wallet anschließend leergeräumt wurde, müssen die einzelnen Vorgänge miteinander verknüpft werden. Nur so lässt sich beurteilen, welche Zahlungen tatsächlich zum geltend gemachten Schaden gehören.

Auch die Herkunft der Kryptowährungen kann relevant sein. Wenn der Betroffene die Vermögenswerte selbst gekauft hat, können Kaufabrechnungen und Börsenunterlagen den Bestand dokumentieren. Wenn Kryptowährungen bereits vor dem Kontakt mit dem angeblichen Broker vorhanden waren, kann deren Herkunft anders nachgewiesen werden. Die genaue Rekonstruktion kann deshalb auch für die Schadensberechnung wichtig sein.

Bei mehreren Verlusten sollte außerdem geprüft werden, ob ein einheitlicher Sachverhalt oder mehrere voneinander getrennte Vorgänge vorliegen. Ein Betroffener kann beispielsweise zunächst eine Wallet durch einen technischen Angriff verlieren und später von einer anderen Person kontaktiert werden, die eine angebliche Wiederherstellung anbietet. Die beiden Vorgänge sollten dann getrennt, aber gegebenenfalls auch in ihrem Zusammenhang betrachtet werden.

Gerade nach einem ersten Kryptoverlust besteht das Risiko weiterer Betrugsversuche. Personen können sich als Blockchain-Experten, Rechtsdienstleister oder Spezialisten für Vermögensrückführung ausgeben und behaupten, die gestohlenen Kryptowährungen bereits identifiziert zu haben. Ein Anwalt kann die dabei vorgelegten Informationen unabhängig bewerten und prüfen, ob überhaupt ein nachvollziehbarer technischer oder rechtlicher Ansatz besteht.

Eine weitere Zahlung sollte jedenfalls nicht allein deshalb erfolgen, weil ein angeblicher Spezialist eine Wallet-Adresse oder einen Transaktions-Hash nennt. Eine echte Blockchain-Transaktion beweist nicht, dass die Person, die sie präsentiert, tatsächlich Zugriff auf die betreffenden Vermögenswerte hat. Ebenso wenig beweist eine konkrete Adresse, dass die angebotene Rückführung tatsächlich möglich ist.

Bei der anwaltlichen Aufarbeitung kann deshalb auch geprüft werden, ob nach dem ursprünglichen Schaden weitere Kontakte entstanden sind. Die entsprechenden Nachrichten können zeigen, welche Informationen über den ursprünglichen Fall bekannt waren und welche neuen Behauptungen aufgestellt wurden.

Ein weiterer Bestandteil kann die Prüfung möglicher Vermögenssicherungsmaßnahmen sein. Wenn ein möglicher Anspruchsgegner identifiziert wurde und konkrete Anhaltspunkte für vorhandene Vermögenswerte bestehen, kann geprüft werden, ob rechtliche Maßnahmen zur Sicherung dieser Vermögenswerte in Betracht kommen. Die Voraussetzungen dafür müssen im Einzelfall geprüft werden.

Die Blockchain kann bei dieser Prüfung eine wichtige Tatsachengrundlage darstellen. Wenn beispielsweise nachvollziehbar ist, dass ein bestimmter Vermögenswert weiterhin auf einer identifizierbaren Adresse liegt, kann dies eine andere Ausgangslage schaffen als bei einem Vermögenswert, der bereits über zahlreiche weitere Stationen bewegt wurde. Daraus folgt jedoch nicht automatisch, dass eine Sicherung tatsächlich möglich ist.

Ebenso kann eine identifizierte Kryptobörse ein wichtiger Anknüpfungspunkt sein, ohne dass daraus eine automatische Verantwortlichkeit des Anbieters folgt. Es muss vielmehr geprüft werden, welche Rolle die Börse hatte, welche Daten vorhanden sind und welche rechtlichen Möglichkeiten bestehen.

Bei grenzüberschreitenden Fällen kann die anwaltliche Prüfung zusätzlich die Frage umfassen, in welchem Land sich mögliche Anspruchsgegner oder relevante Dienstleister befinden. Auch der Sitz einer Kryptobörse, der Standort eines Unternehmens oder die verwendete technische Infrastruktur können für die weitere Vorgehensweise relevant sein.

Die technische und rechtliche Aufarbeitung sollte deshalb möglichst früh miteinander verbunden werden. Eine Blockchainanalyse allein beantwortet nicht, welche Ansprüche bestehen. Eine rein rechtliche Betrachtung ohne genaue Kenntnis der Transaktionswege kann dagegen wichtige technische Zusammenhänge übersehen.

Ein spezialisierter Anwalt kann zunächst die vorhandenen Unterlagen sichten und feststellen, welche Informationen bereits ausreichend dokumentiert sind und wo Lücken bestehen. Dazu gehören insbesondere Wallet-Adressen, Transaktions-Hashes, Screenshots, Kontoauszüge, Chatverläufe, E-Mails, Vertragsunterlagen und Angaben zu beteiligten Personen oder Dienstleistern.

Anschließend kann die Transaktionshistorie strukturiert werden. Dabei werden die relevanten Abflüsse identifiziert und die weiteren Bewegungen der Kryptowährungen untersucht. Wenn mehrere Blockchains betroffen sind, kann eine getrennte und anschließend zusammengeführte Betrachtung erforderlich sein.

Die Ergebnisse können dann mit den Angaben des Betroffenen abgeglichen werden. Stimmen die vom angeblichen Broker genannten Wallet-Adressen mit den tatsächlichen Empfängeradressen überein? Wurden andere Adressen verwendet? Wann wurden die Kryptowährungen weitergeleitet? Tauchen Kryptobörsen oder andere Dienstleister auf? Gibt es Widersprüche zwischen der Darstellung des Anbieters und den objektiven Transaktionsdaten?

Gerade solche Widersprüche können für die rechtliche Bewertung besonders wertvoll sein. Eine Plattform kann beispielsweise behaupten, eine bestimmte Kryptowährung werde auf einem persönlichen Kundenkonto verwahrt. Wenn sich dagegen nachvollziehen lässt, dass der Betrag an eine externe Adresse transferiert wurde, entsteht eine konkrete Frage nach der tatsächlichen Verwendung der Gelder.

Auch die Darstellung angeblicher Gewinne kann in diesem Zusammenhang geprüft werden. Ein angezeigter Kontostand ist nicht ohne Weiteres mit einem real vorhandenen Blockchain-Bestand gleichzusetzen. Eine fachkundige Analyse kann untersuchen, ob die behaupteten Vermögenswerte tatsächlich vorhanden und dem Betroffenen zugeordnet waren.

Die rechtliche Prüfung kann anschließend klären, welche Bedeutung die festgestellten Abweichungen haben. Je nach Sachverhalt können Fragen des Betrugs, möglicher Schadensersatzansprüche, vertraglicher Beziehungen oder weiterer rechtlicher Anspruchsgrundlagen entstehen. Welche Ansprüche tatsächlich bestehen, kann nur anhand des konkreten Sachverhalts beurteilt werden.

Dabei ist auch die Beweislage entscheidend. Ein technischer Zahlungsweg allein reicht nicht immer aus, um sämtliche rechtlichen Voraussetzungen eines Anspruchs nachzuweisen. Umgekehrt kann eine detaillierte Kommunikation den Nachweis einer Täuschung unterstützen, obwohl die Identität des Täters noch nicht vollständig geklärt ist. Die einzelnen Beweismittel müssen deshalb miteinander verbunden werden.

Besonders hilfreich ist eine chronologische Fallakte. Darin sollten die einzelnen Ereignisse mit Datum, Uhrzeit und den jeweils vorhandenen Belegen erfasst werden. So kann beispielsweise nachvollzogen werden, wann ein angeblicher Broker eine bestimmte Wallet-Adresse nannte und wann genau eine entsprechende Transaktion erfolgte.

Auch Änderungen innerhalb der Kommunikation sollten dokumentiert werden. Wenn zunächst eine bestimmte Auszahlung versprochen wurde und später neue Bedingungen genannt werden, kann dies für die Bewertung des Ablaufs relevant sein. Gleiches gilt, wenn Ansprechpartner wechseln oder plötzlich zusätzliche Personen auftreten.

Bei einem technischen Angriff können dagegen andere Ereignisse im Vordergrund stehen. Wenn kurz vor dem ersten unbekannten Abfluss eine verdächtige Website besucht oder eine unbekannte Anwendung installiert wurde, sollte dieser Vorgang dokumentiert werden. Ein Anwalt kann dann prüfen, ob die technische Ursache weiter untersucht werden sollte.

Auch die Verwendung von Fernzugriffssoftware sollte genau festgehalten werden. Wenn ein angeblicher Supportmitarbeiter das Gerät des Betroffenen aus der Ferne steuerte, können Zeitpunkt, Name der Software und Kommunikationsverlauf für die Aufarbeitung relevant sein. Ob tatsächlich ein Zusammenhang mit dem Wallet-Abfluss besteht, muss anhand der technischen und zeitlichen Daten geprüft werden.

Eine spezialisierte Bearbeitung kann schließlich auch darin bestehen, die vorhandenen Informationen für weitere rechtliche Schritte aufzubereiten. Dabei geht es nicht darum, möglichst viele Maßnahmen gleichzeitig einzuleiten. Sinnvoller ist eine Reihenfolge, die sich aus dem konkreten Sachverhalt ergibt: Zuerst wird geklärt, was tatsächlich passiert ist. Danach werden mögliche Verantwortliche und Anknüpfungspunkte identifiziert. Anschließend wird geprüft, welche rechtlichen Möglichkeiten sinnvoll und realistisch sind.

Dieser strukturierte Ansatz ist gerade bei Kryptowährungsfällen wichtig, weil technische und rechtliche Fragen eng miteinander verbunden sind. Eine falsche Zuordnung einer Wallet kann zu einer falschen rechtlichen Bewertung führen. Umgekehrt kann eine rein technische Analyse wichtige Informationen aus der Kommunikation übersehen.

Ein Anwalt mit Erfahrung in Kryptobetrugsfällen sollte deshalb nicht nur den allgemeinen Begriff „Wallet leergeräumt“ betrachten, sondern den konkreten Zahlungs- und Kommunikationsweg untersuchen. Entscheidend ist, ob der Vermögensverlust durch einen technischen Angriff, eine Täuschung, einen Anlagebetrug, einen kompromittierten Dienstleisterzugang oder eine andere Konstellation verursacht wurde.

Für Betroffene kann die Vorbereitung auf eine anwaltliche Prüfung deshalb bereits einen wichtigen Unterschied machen. Besonders hilfreich sind eine kurze Chronologie, die betroffenen Wallet-Adressen, alle bekannten Transaktions-Hashes, Angaben zu den verwendeten Kryptowährungen, Zahlungsnachweise und die vollständige Kommunikation mit den beteiligten Personen.

Auch die Namen und Kontaktdaten der angeblichen Ansprechpartner sollten dokumentiert werden. Wenn mehrere Personen beteiligt waren, sollte möglichst klar erkennbar sein, wer welche Aussagen gemacht und welche Zahlungsaufforderungen gestellt hat.

Bei den technischen Daten sollten insbesondere unbekannte Zieladressen und Folgeadressen festgehalten werden. Wenn bereits eine Blockchainanalyse durchgeführt wurde, sollten auch deren Ergebnisse und die zugrunde liegenden Daten verfügbar sein. Wichtig ist, zwischen gesicherten technischen Feststellungen und bloßen Vermutungen zu unterscheiden.

Eine anwaltliche Prüfung kann dann feststellen, ob die bisherige Dokumentation ausreicht oder ob weitere technische Untersuchungen erforderlich sind. Gegebenenfalls kann eine spezialisierte Blockchainanalyse eingesetzt werden, um die Transaktionswege detaillierter zu rekonstruieren.

Dabei kann sich auch herausstellen, dass bestimmte Annahmen des Betroffenen nicht zutreffen. Vielleicht wurde die Wallet nicht direkt gehackt, sondern eine Transaktion aufgrund einer Täuschung selbst freigegeben. Vielleicht befand sich das angebliche Guthaben nie tatsächlich auf der Blockchain. Vielleicht wurden die Kryptowährungen zunächst an eine Börse übertragen und anschließend intern einem bestimmten Nutzerkonto gutgeschrieben. Solche Erkenntnisse können die rechtliche Bewertung erheblich verändern.

Auch ein vollständiger Verlust bedeutet deshalb nicht, dass eine Prüfung sinnlos ist. Die entscheidende Frage lautet vielmehr, welche Tatsachen noch nachvollziehbar sind und ob sich daraus konkrete rechtliche Ansatzpunkte ergeben. Die Blockchain kann dabei wichtige technische Spuren liefern, während Kommunikations- und Zahlungsunterlagen den Kontext herstellen.

Eine seriöse anwaltliche Beratung sollte daher keine pauschale Zusage enthalten, dass die Kryptowährungen zurückgeholt werden können. Ob eine Rückforderung oder ein Schadensersatzanspruch erfolgreich durchgesetzt werden kann, hängt von zahlreichen Faktoren ab. Dazu gehören insbesondere die Identifizierbarkeit möglicher Verantwortlicher, der Verbleib der Vermögenswerte, die Beweislage und die rechtlichen Voraussetzungen.

Ebenso wenig sollte allein die Existenz einer Wallet-Adresse als Beweis für eine bestimmte Person dargestellt werden. Eine belastbare Zuordnung erfordert gegebenenfalls zusätzliche Informationen. Gerade bei größeren Fällen kann die technische Untersuchung deshalb mehrere Stufen umfassen.

Am Ende der Prüfung sollte möglichst klar beantwortbar sein, was mit den Kryptowährungen nach dem Abfluss technisch geschehen ist, welche Personen oder Unternehmen als mögliche Verantwortliche oder Anspruchsgegner in Betracht kommen, welche Beweise für die jeweilige Bewertung vorliegen und welche rechtlichen Möglichkeiten daraus entstehen können.

Für Betroffene ist dabei vor allem wichtig, die Situation nicht auf den Satz „Meine Wallet ist leer“ zu reduzieren. Hinter diesem Satz kann ein technisch komplexer und rechtlich unterschiedlich zu bewertender Vorgang stehen. Eine vollständige Aufarbeitung kann zeigen, ob die Kryptowährungen tatsächlich von einem Angreifer übertragen wurden, ob eine Täuschung zur Transaktion geführt hat, ob eine Kryptobörse oder ein anderer Dienstleister in der Transaktionskette auftaucht und welche weiteren Informationen zur Identifizierung der Verantwortlichen vorhanden sind.

Ein spezialisierter Anwalt kann diese Informationen zusammenführen und daraus eine rechtliche Strategie entwickeln, ohne das Ergebnis vorwegzunehmen. Die technische Analyse schafft die Grundlage für die Rekonstruktion des Zahlungswegs. Die Kommunikation erklärt den Entstehungszusammenhang. Zahlungs- und Vertragsunterlagen dokumentieren den wirtschaftlichen Hintergrund. Gemeinsam ermöglichen diese Informationen eine deutlich fundiertere Prüfung als eine isolierte Betrachtung der leeren Wallet.

Wer nach einem leergeräumten Wallet rechtliche Unterstützung sucht, sollte deshalb möglichst vollständige Unterlagen bereitstellen und keine relevanten Informationen zurückhalten. Auch unangenehme oder vermeintlich eigene Fehler sollten offen angesprochen werden. Ob beispielsweise eine Seed Phrase eingegeben, eine Transaktion bestätigt oder einem angeblichen Supportmitarbeiter Fernzugriff gewährt wurde, kann für die rechtliche Bewertung entscheidend sein. Eine vollständige Darstellung ermöglicht eine realistischere Einschätzung der tatsächlichen Möglichkeiten.

Letztlich geht es bei der anwaltlichen Aufarbeitung nicht darum, eine bestimmte Rückgewinnung der Kryptowährungen zu versprechen. Es geht darum, den Vermögensabfluss technisch und rechtlich so genau wie möglich zu rekonstruieren, mögliche Verantwortliche und Anknüpfungspunkte zu identifizieren und auf dieser Grundlage zu prüfen, welche Ansprüche oder Maßnahmen im konkreten Fall bestehen können.

Gerade wenn eine Wallet vollständig leergeräumt wurde, kann eine solche strukturierte Prüfung sinnvoll sein. Denn zwischen dem ersten unbekannten Abfluss und der Frage nach möglichen rechtlichen Ansprüchen liegen mehrere Ebenen: die Blockchain, die Wallets, mögliche Kryptobörsen, technische Dienstleister, Kommunikationskontakte, Zahlungswege und schließlich die rechtliche Bewertung. Je genauer diese Ebenen miteinander verbunden werden, desto besser lässt sich beurteilen, welche weiteren Schritte im konkreten Fall sinnvoll sind.

Kanzlei Wilms – Experten bei Online-Anlagebetrug

Die Kanzlei Wilms unterstützt seit Jahren Mandanten, die Opfer von Online-Anlagebetrug, Kryptobetrug, Fake Brokern, Investmentbetrug, Bitcoin-Betrug oder Recovery Scams geworden sind.

Unsere Mandanten kommen aus ganz Deutschland sowie aus dem Ausland. Viele Verfahren weisen internationale Bezüge auf und betreffen grenzüberschreitende Zahlungsströme, Kryptowährungen oder komplexe Unternehmensstrukturen.

Wir analysieren unter anderem:

• Banküberweisungen
• SEPA- und SWIFT-Zahlungen
• Kreditkartenzahlungen
• Zahlungsdienstleister
• Kryptobörsen und Wallet-Transaktionen
• internationale Zahlungsstrukturen

Mehr Informationen finden Sie in unserem Blog.