Kryptobetrug: Gelder retten mit Kryptoforensik | IT-Medienrecht

Kryptobetrug: Der Weg von der Entdeckung zur rechtlichen Aufarbeitung

Kryptobetrug wirkt oft wie ein finaler Zustand: Ein Klick zu viel, eine Wallet verknüpft, eine Signatur bestätigt – und Vermögenswerte verschwinden in Sekunden. Hinzu kommt ein hartnäckiger Mythos: Kryptowährungen seien „anonym“ und damit faktisch nicht verfolgbar. Das Gegenteil ist häufig der Fall. Gerade die Transparenz öffentlicher Blockchains eröffnet Ansatzpunkte, um Geldflüsse nachzuvollziehen, Beweise zu sichern und rechtliche Maßnahmen zu platzieren. Entscheidend ist, technische Analyse und juristische Strategie nicht als getrennte Welten zu behandeln, sondern als gemeinsame Kette: Trace, Attribution, Beweisführung, Maßnahmenpaket.

Dieser Beitrag beleuchtet praxisnah, juristisch sauber und technisch verständlich die Schnittstellen, an denen die Wahrscheinlichkeit realer Recovery-Erfolge typischerweise entsteht.

Kryptoforensik: Nicht „Wer war das?“, sondern „Wohin ist es geflossen?“

Kryptoforensiker analysieren Transaktionen und Wallet-Interaktionen, die im Zusammenhang mit betrügerischen oder strafbaren Aktivitäten stehen. Der Kern ist selten ein „Hacker-Roman“, sondern forensische Handarbeit. Dazu gehören die Untersuchung von Zeitlinien, Adress-Clustern, Token-Swaps, Brücken (Bridges), Mixer-Mustern, Contract-Interaktionen und die Aufstellung von Zuordnungshypothesen. Ziel ist eine belastbare Rekonstruktion des Vermögensabflusses in einer Form, die später als Beweismittel nutzbar ist.

Der erste Perspektivwechsel ist dabei zentral: In vielen Fällen geht es weniger um die sofortige Identifizierung einer natürlichen Person. Vielmehr steht die Identifizierung von Infrastrukturen im Vordergrund, insbesondere zentralisierter Kryptobörsen. An diesen Börsen kehrt eine Identitätspflicht faktisch „zurück“. Spätestens bei Fiat-On-/Off-Ramps wird die KYC/AML-Compliance relevant – und damit ein wichtiger rechtlicher Hebelraum.

Typische Szenarien von Kryptobetrug

Kryptobetrug tritt in verschiedenen Formen auf. Häufig nutzen Täter psychologische Tricks oder technische Schwachstellen aus, um an die Vermögenswerte ihrer Opfer zu gelangen. Im Folgenden werden die gängigsten Betrugsmaschen erläutert.

Scheinbar seriöse Trading-Plattformen mit Renditeversprechen

Viele Betrugsfälle beginnen mit professionell gestalteten Websites, die hohe Renditen versprechen. Opfer interagieren mit „Account Managern“, sehen scheinbare Handelsdashboards und angebliche Auszahlungsprozesse. Technisch liegt hier jedoch häufig kein echtes Trading vor. Stattdessen handelt es sich um einen Zahlungstrichter: Einzahlungen gehen direkt oder über Zwischenadressen in Täter-Wallets. „Gewinne“ werden lediglich in den Benutzeroberflächen simuliert.

Love Scam mit Krypto-Komponente

Love Scams nutzen emotionale Bindungen, um Überweisungen oder Krypto-Transfers „plausibel“ zu machen. Die Besonderheit hierbei ist der oft lange Kommunikationsstrang über Messenger, E-Mail oder Social Media. Dieser kann später ein beweisrechtlich sehr wertvolles Dokument sein, sofern er sauber gesichert wird.

„Drainer“: Wallet-Verknüpfung und Signatur als Einfallstor

Drainer sind gefälschte Websites, die bekannte Kryptodienste täuschend echt imitieren. Der Schaden entsteht hier nicht durch eine klassische „Überweisung“, sondern durch die Erteilung von Berechtigungen (Approvals) oder Signaturen. Diese erlauben es, Transaktionen ohne weitere Zustimmung des Nutzers durchzuführen. Betroffene verbinden ihre Wallet, bestätigen eine Signatur (häufig ohne klare Lesbarkeit der Konsequenzen) und geben damit die technische Erlaubnis, Token automatisiert abzuziehen oder zu transferieren.

Gerade bei Drainer-Fällen ist Geschwindigkeit entscheidend: Manche Berechtigungen lassen sich widerrufen („revoke approvals“). Abgeschlossene Transfers können jedoch nach On-Chain-Bestätigung nicht mehr „zurückgeholt“ werden. Dies macht die forensische Spurensicherung und anschließende Exchange-Intervention umso wichtiger.

Der zweite Mythos: „Anonymität“ schützt Täter dauerhaft

• Splitting: Aufteilung auf viele Adressen
• Peeling Chains: Ketten von Teilabzweigungen
• Swaps: Konvertierung in andere Assets
• Bridging: Wechsel auf andere Chains
• DeFi-Interaktionen: Nutzung von Liquidity Pools oder Aggregatoren
• Mixing-Muster: Vermischung mit „fremden“ Funds

• Splitting: Aufteilung auf viele Adressen.
• Peeling Chains: Ketten von Teilabzweigungen.
• Swaps: Konvertierung in andere Assets.
• Bridging: Wechsel auf andere Chains.
• DeFi-Interaktionen: Nutzung von Liquidity Pools oder Aggregatoren.
• Mixing-Muster: Vermischung mit „fremden“ Funds.

Diese Schritte sind nicht automatisch „unsichtbar“. Sie erhöhen zwar die Komplexität der Verfolgung, hinterlassen aber dennoch Spuren. Kryptoforensik setzt genau dort an: Sie erkennt Muster, bildet Cluster, löst Transaktionsgraphen konsistent auf, begründet Wahrscheinlichkeiten und erstellt eine saubere Dokumentation.

Erste Maßnahmen nach Feststellung: Beweise sichern und Schaden begrenzen

In der Praxis entscheidet sich in den ersten Tagen, ob später belastbare Ansprüche und wirksame Sicherungsmaßnahmen möglich sind. Typische Sofortmaßnahmen umfassen:

1. Beweise sichern
   • Vollständige Kommunikationsverläufe (Export, Screenshots, Metadaten soweit möglich).
   • Website-Inhalte dokumentieren (Impressum/fehlendes Impressum, Zahlungswege, Wallet-Adressen, AGB/Terms, „Support“-Chats).
   • Transaktionsdaten sichern: Tx-Hashes, Blocknummern, Zeitpunkte, Token-Contract-Adressen, Empfängeradressen.
2. Wallet-Sicherheit
   • Bei Drainer-Verdacht: Berechtigungen prüfen und widerrufen. Ggf. Assets in eine neue Wallet transferieren (sorgfältig, nicht hektisch).
   • Gerät/Browser prüfen (Malware-Risiko), ggf. eine saubere Arbeitsumgebung schaffen.
3. Sekundärbetrug vermeiden („Recovery Scams“)
   • Typischer Folgeangriff: Angebote zur „Funds Recovery gegen Vorkasse“, angebliche Kontakte zu Börsen/Behörden, gefälschte Aktenzeichen.
   • Grundregel: Keine Vorauszahlungen an „Recovery-Agenten“, keine Weitergabe von Seed Phrases, keine Remote-Zugriffe.

Forensisches Gutachten: Geldflussdiagramm als juristische Munition

• Transaktionsgraph / Geldflussdiagramm: Darstellung des Weges von Einzahlung über Zwischenstationen, Swaps/Bridges bis zu den Zielpunkten
• Tabellarische Transaktionsliste: Mit Hash, Timestamp, Asset, Betrag, Sender/Empfänger, Chain, Contract-Interaktionen
• Adress- und Clusteranalyse: Heuristiken müssen nachvollziehbar dokumentiert werden
• Attributionshypothesen: Zum Beispiel Indizien für Exchange-Wallet, Service-Wallet, Aggregator
• Belegmaterial: Block-Explorer-Nachweise, Screenshots mit Zeitstempel, konsistente Referenzen

• Transaktionsgraph / Geldflussdiagramm: Darstellung des Weges von Einzahlung über Zwischenstationen, Swaps/Bridges bis zu den Zielpunkten.
• Tabellarische Transaktionsliste: Mit Hash, Timestamp, Asset, Betrag, Sender/Empfänger, Chain, Contract-Interaktionen.
• Adress- und Clusteranalyse: Heuristiken müssen nachvollziehbar dokumentiert werden.
• Attributionshypothesen: Zum Beispiel Indizien für Exchange-Wallet, Service-Wallet, Aggregator.
• Belegmaterial: Block-Explorer-Nachweise, Screenshots mit Zeitstempel, konsistente Referenzen.

Rechtlich ist das Gutachten selten ein „Selbstzweck“. Es dient als Brücke zu Maßnahmen gegen konkrete Intermediäre. Insbesondere dann, wenn Zieladressen zu zentralisierten Börsen oder Zahlungsdienst-ähnlichen Strukturen führen, entsteht eine praktische Durchsetzungschance.

Juristische Hebel bei Kryptobetrug: Strafrecht, Zivilrecht, Eilrechtsschutz

Bei Kryptobetrug stehen verschiedene rechtliche Wege offen, um gegen die Täter vorzugehen und Vermögenswerte zu sichern. Eine Kombination dieser Ansätze ist oft die effektivste Strategie.

Strafanzeige und Vermögensabschöpfung

Kryptobetrug erfüllt häufig Straftatbestände wie Betrug (§ 263 StGB), Computerbetrug (§ 263a StGB) oder – je nach Konstellation – weitere Delikte. Die Einleitung eines Ermittlungsverfahrens hat zwei wesentliche Funktionen:

• Ermittlungsbefugnisse: Dazu gehören Auskunft, Beschlagnahme und internationale Rechtshilfe.
• Vermögenssicherung: Und perspektivisch die Vermögensabschöpfung, was praktisch wichtig ist, wenn Gelder an identifizierbaren Stellen „landen“.

In vielen Fällen ist der Strafverfolgungsdruck allein nicht ausreichend schnell. Daher sind Parallelstrategien üblich und oft unerlässlich.

Zivilrechtliche Ansprüche: Rückabwicklung, Schadensersatz, Delikt

• Bereicherungsrechtliche Rückforderung (§ 812 BGB) bei Leistung ohne Rechtsgrund bzw. irrtümlicher Leistung
• Deliktische Ansprüche (§ 823 Abs. 2 BGB i. V. m. Schutzgesetzen; § 826 BGB bei vorsätzlicher sittenwidriger Schädigung)
• Unterlassungs-/Beseitigungsansätze über anerkannte deliktsrechtliche Konstruktionen (fallabhängig)

• Bereicherungsrechtliche Rückforderung: (§ 812 BGB) bei Leistung ohne Rechtsgrund bzw. irrtümlicher Leistung.
• Deliktische Ansprüche: (§ 823 Abs. 2 BGB i. V. m. Schutzgesetzen; § 826 BGB bei vorsätzlicher sittenwidriger Schädigung).
• Unterlassungs-/Beseitigungsansätze: Über anerkannte deliktsrechtliche Konstruktionen (fallabhängig).

In Exchange-Konstellationen stellt sich zudem die Frage, ob und in welchem Umfang Mitwirkung, Auskunft oder Sicherung verlangt werden kann. Hier entscheidet weniger eine „Standardnorm“ als vielmehr die konkrete Rollenverteilung (Eigentum/Verfügungsgewalt, KYC-Daten, Sitz, AGB-Gerichtsstand, Zustellbarkeit, Compliance-Kontaktwege).

Eilrechtsschutz: Zeit als Risikofaktor

Krypto ist schnell. Auch das Recht muss in geeigneten Fällen schnell handeln können. Je nach Sachverhalt kommen Instrumente des vorläufigen Rechtsschutzes in Betracht (z. B. Arrest/einstweilige Maßnahmen). Diese dienen dazu, Vermögenswerte zu sichern oder Zugriffspunkte zu blockieren. Praktisch hängt die Umsetzbarkeit stark davon ab, ob eine zentrale Stelle identifiziert ist, die tatsächlich sperren kann (Börse, Custodian, Zahlungsabwickler).

Kryptobörsen als „Flaschenhals“: Compliance als Angriffspunkt

Viele Täter müssen früher oder später ihre Kryptowährungen in Fiat-Geld umwandeln oder verwahrte Accounts nutzen. Zentralisierte Börsen sind oft die Schnittstelle, an der Identitätsdaten, Zahlungsdaten und Compliance-Prozesse existieren. Genau dort entfaltet das forensische Gutachten seine Wirkung. Typische Schritte sind:

• Kontakt zur Compliance-/Legal-Abteilung: Mit strukturierter Darstellung des Money-Flow.
• Sperr-/Freeze-Anträge: Bezogen auf identifizierte Accounts/Adressen.
• Anstoß interner Untersuchungen: Durch Verdachtsmeldelogik und AML-Flags.
• Sicherung von Daten: Wie KYC-Datensatz, Login-Historie und Auszahlungsadressen (abhängig von Rechtsrahmen und Kooperation).

Die Erfolgswahrscheinlichkeit steigt, wenn Anfragen nicht „im Nebel“ bleiben. Sie müssen präzise, technisch belastbar und rechtlich sauber begründet sein. Pauschale E-Mails mit der Forderung „Geld zurück“ führen praktisch selten zu verwertbaren Ergebnissen.

Beweisrechtliche Qualität: Was später vor Gericht trägt

• Konsistente Quellenlage: Explorer-Daten, Transaktionshashes und gesicherte Screenshots
• Methodentransparenz: Wie wurden Cluster gebildet, welche Heuristiken kamen zum Einsatz, welche Unsicherheiten bestehen
• Reproduzierbarkeit: Ein Dritter muss die Schritte nachvollziehen können
• Chain-of-Custody: Bei Off-Chain-Beweisen (Chats, E-Mails, Dateien)

• Konsistente Quellenlage: Explorer-Daten, Transaktionshashes und gesicherte Screenshots.
• Methodentransparenz: Wie wurden Cluster gebildet, welche Heuristiken kamen zum Einsatz, welche Unsicherheiten bestehen.
• Reproduzierbarkeit: Ein Dritter muss die Schritte nachvollziehen können.
• Chain-of-Custody: Bei Off-Chain-Beweisen (Chats, E-Mails, Dateien).

Gerade in gemischten Fällen, die On-Chain-Daten, Kommunikation und Plattform-UI-Informationen verbinden, entsteht die Beweisstärke aus der Verknüpfung: Transaktion X korrespondiert zeitlich und inhaltlich mit Zahlungsaufforderung Y und UI-Ereignis Z.

Realistische Erwartungen: Was gut geht – und was Grenzen hat

• Reine DeFi-Kaskaden ohne zentralen Endpunkt
• Sehr frühes Mixing und Bridging über mehrere Ökosysteme
• Geringe Beträge, bei denen die Kosten unverhältnismäßig wären
• Fehlende Beweise (keine Hashes, keine Kommunikationsdaten, keine Wallet-Dokumentation)

• Reine DeFi-Kaskaden ohne zentralen Endpunkt.
• Sehr frühes Mixing und Bridging über mehrere Ökosysteme.
• Geringe Beträge, bei denen die Kosten unverhältnismäßig wären.
• Fehlende Beweise (keine Hashes, keine Kommunikationsdaten, keine Wallet-Dokumentation).

Trotzdem gilt: Der „Best-Case“ ist nicht selten, wenn schnell gehandelt wird und ein zentraler Endpunkt erreicht werden kann. Gerade bei klassischen Scam-Plattformen führt der Geldfluss häufig zu Börsen-Infrastruktur – und dann zählt Professionalität in der Aufbereitung. Wenn der Kontext passt, können auch allgemeine Herausforderungen für Startups oder digitale Unversehrtheit thematisch relevant sein.

Fazit

Die Symbiose aus technischer Kryptoforensik und juristischer Durchsetzung ist in vielen Fällen der einzige realistische Weg, um nach Kryptobetrug überhaupt noch Handlungsspielräume zu schaffen. Kryptoforensik liefert Struktur, Hypothesen und Beweise. Das Recht hingegen bietet die notwendigen Hebel: Ermittlungsdruck, Sicherungsmaßnahmen, eine fundierte Anspruchsarchitektur und die korrekte Adressierung der Intermediäre.

Werden beide Stränge sauber verzahnt, wird aus dem anfänglichen Kontrollverlust häufig wieder ein steuerbarer Fall. Dies geschieht durch einen dokumentierten Geldfluss, klare Adressaten und ein Maßnahmenpaket, das nicht auf Hoffnung basiert, sondern auf rechtlicher Verwertbarkeit.