Krypto-Forensik rekonstruiert Geldflüsse auf öffentlichen Blockchains und verbindet sie mit rechtmäßig erhobenen Zusatzinformationen. Eine Adresse oder sichtbare Transaktion beweist jedoch keine reale Identität. Belastbare Ermittlungen kombinieren daher Explorer-Daten, Graphanalyse, Attribution, OSINT und – soweit zulässig – Auskünfte von Börsen oder anderen Diensten.
Was Krypto-Forensik leisten kann – und was nicht
Blockchains speichern Transaktionen dauerhaft und öffentlich. Ermittler können dadurch nachvollziehen, wann ein Betrag eine Adresse verlassen hat, welche weiteren Adressen er erreicht und ob Geld auf mehrere Wege verteilt oder später zusammengeführt wurde. Die Adresse selbst enthält normalerweise aber keinen Namen und keine Kontaktdaten.
Die Zuordnung zu einer Person oder Organisation entsteht erst durch zusätzliche Belege: etwa eine verifizierte Dienstleisteradresse, Daten eines zentralen Anbieters, öffentliche Beiträge oder andere rechtmäßig erlangte Informationen. Anbieter wie Elliptic und Chainalysis kennzeichnen Adressen und Gruppen anhand eigener Daten, Regeln und Verhaltensmuster. Solche Labels sind Analysehinweise mit Herkunft und Vertrauensgrad, keine automatische Identitätsfeststellung.
Das Ergebnis einer Untersuchung ist deshalb eine nachvollziehbare Beweiskette: Welche Transaktionen wurden beobachtet, nach welcher Regel wurden Beträge weiterverfolgt, welche externe Information stützt eine Attribution und wo bleiben Unsicherheiten?
What’s actually slowing this PC down?
Pick the symptom - the matching free tool is one click away.
#1 Best Overall
Der Ermittlungsablauf von der ersten Spur bis zum Bericht
1. Ausgangspunkt unverändert festhalten
Beginne mit dem konkreten Hinweis: Opferadresse, Transaktions-ID, Netzwerk, Token, Betrag, Zeitpunkt und Beschreibung des Betrugssachverhalts. Originalnachrichten, Rechnungen oder Screenshots werden getrennt und unverändert aufbewahrt. So bleibt erkennbar, was ursprünglich gemeldet wurde und was erst durch die Analyse hinzukam.
2. Eine begrenzte Ermittlungsfrage formulieren
Lege fest, ob die Herkunft einer Einzahlung, der weitere Abfluss, eine Zusammenführung mehrerer Zahlungen oder ein möglicher Auszahlungsdienst geklärt werden soll. Ein vollständiger Transaktionsgraph kann sehr groß werden. Definiere deshalb Start- und Endpunkte, maximale Hops, relevante Zeiträume und Abbruchkriterien und dokumentiere jede Begrenzung.
3. Öffentliche Blockchain-Daten prüfen
Ein Explorer zeigt auf einem unterstützten Netzwerk Blöcke, Transaktionen, Tokenbewegungen und die Aktivität einer Adresse. Kostenlose Explorer sind für die erste Prüfung geeignet, liefern aber in der Regel keine verlässliche reale Identität. Kontrolliere immer, ob Netzwerk, Tokenstandard und angezeigte Zeitangaben zum Fall passen.
4. Den Geldfluss als gerichteten Graphen rekonstruieren
Stelle Adressen oder Dienste als Knoten und Übertragungen als gerichtete Kanten dar. Erfasse jeden Hop, Aufteilungen (Splits), Zusammenführungen und zeitliche Abstände. Bei einer Weiterleitung muss die Zuordnungsregel feststehen: Wird der gesamte Eingang verfolgt, ein proportionaler Anteil oder nur der Betrag bis zur Höhe der ursprünglichen Zahlung? Unterschiedliche Regeln können bei zusammengelegten Geldern zu unterschiedlichen Ergebnissen führen.
Recommended Free Tools
5. Cluster und Attribution kritisch bewerten
Clustering gruppiert Adressen, die wahrscheinlich von derselben Entität kontrolliert werden. Ein Cluster ist keine bewiesene juristische Person. Prüfe, welche Datenquelle, Heuristik oder bestätigte Adresse ein Label begründet, wann es zuletzt aktualisiert wurde und ob Gegenindizien vorliegen. Halte Annahmen und Vertrauensgrad für jede Zuordnung separat fest.
6. On-Chain-Spuren mit OSINT abgleichen
Vergleiche Adressen, Domains, Betrugsseiten, öffentliche Warnungen, soziale Medien und andere frei zugängliche Hinweise. Identität, Zeitpunkt und Herkunft jedes Fundes müssen unabhängig geprüft werden; ein Profilname oder ein kopiertes Adressfragment ist allein kein ausreichender Beleg.
Rank #3
- Students build unmatched deductive-reasoning skills as they become crime-solving stars
- Most scenarios have more than one plausible outcome, allowing individuals or groups to broadly interpret evidence
- Includes interpretive handwriting, body language, fingerprinting, and many more activities
7. Cross-Chain-Bewegungen gesondert untersuchen
Bei Bridges, Swaps oder anderen Wechsel- und Transferdiensten kann die Verbindung zwischen zwei Netzwerken nicht unmittelbar aus den jeweiligen Chain-Daten hervorgehen. Notiere daher, ob die Verbindung durch korrespondierende Transaktionen, eine Dienstleister-Attribution oder eine analytische Annahme hergestellt wurde. Prüfe außerdem, ob die eingesetzte Plattform beide Netzwerke und den konkreten Dienst abdeckt.
8. Identitätsdaten rechtmäßig anfordern
Börsen und andere zentral betriebene Dienste können KYC-, Konto- oder Auszahlungsdaten besitzen. Ob diese Daten verfügbar sind, hängt von Sitz, Zuständigkeit, Speicherfristen und dem jeweils erforderlichen Verfahren ab. Blockchain-Analyse allein erzeugt keinen Namen und ersetzt keine rechtmäßige Auskunft oder Beschlagnahme.
Windows Errors? Fix Them Before They Spread
Repair common Windows errors and clear accumulated junk for a smoother, more stable PC - no reinstall needed.Free scan · no reinstallOutdated Drivers Are Slowing You Down
One free scan finds every outdated or missing driver and matches the right update for your exact hardware.Free scan · exact hardware matchMethoden, die in der Praxis zusammenspielen
Transaktionsgraph und Betragslogik
Eine Visualisierung macht Pfade, Verzweigungen und Zusammenführungen schneller prüfbar als eine reine Liste von Hashes. Für jeden Pfad sollten Ursprungsbetrag, verbleibender Betrag, Gebührenbehandlung und die Regel zur Weiterverfolgung festgehalten werden. Bei Misch- oder Sammeldiensten ist eine eindeutige Einzelzuordnung häufig nicht möglich; dann muss das Ergebnis als Wahrscheinlichkeits- oder Szenarioanalyse formuliert werden.
Adresscluster und Dienstleister-Labels
Cluster können gemeinsame Kontrolle nahelegen, beispielsweise durch wiederkehrende Transaktionsmuster. Ein Label kann auf einer bestätigten Adresse, einer Meldung oder einem erkannten Verhalten beruhen. Dokumentiere deshalb Label-Quelle, Erstellungsdatum, verwendete Kategorie und eventuelle Unsicherheit, statt das Label als Tatsache zu übernehmen.
OSINT und Kontextbeweise
Öffentliche Webseiten, Social-Media-Konten und Betrugswarnungen liefern Kontext, der in der Blockchain nicht steht. Sichere den Fund mit Abrufzeitpunkt und unverändertem Export. Inhalte können nachträglich geändert oder gelöscht werden; eine archivierte Kopie ist daher wichtiger als ein bloßer Verweis auf eine URL.
Cross-Chain- und Dienstanalyse
Bridges, dezentrale Börsen, Swaps und Auszahlungsdienste erzeugen zusätzliche Übergänge und unterschiedliche Datenformate. Behandle jeden Übergang als eigene Beweisfrage. Eine Plattformabdeckung für eine Chain bedeutet nicht automatisch Abdeckung des verwendeten Bridges- oder Swap-Protokolls.
Do these 3 things before closing this tab:
1Scan for outdated or missing drivers - takes under a minute2Repair Windows errors before they cause bigger problems3Fix the driver behind crashes, sound loss and screen glitchesBest Value
Werkzeugtypen und ihre Grenzen
| Werkzeugtyp | Geeignet für | Grenzen und Prüfpunkte |
|---|---|---|
| Öffentlicher Blockchain-Explorer | Einzelne Transaktionen, Blöcke und Adressaktivität in einem Netzwerk | Meist keine reale Identität; Netzwerk-, Token- und Darstellungsabdeckung prüfen. |
| Spezialisierte Analyseplattform | Clustering, Attribution, Graphvisualisierung sowie je nach Anbieter Netzwerk- und Cross-Chain-Analyse | Anbieterabdeckung, Herkunft und Validierung der Labels, Methodik, Kosten und exportierbare Ergebnisse prüfen. |
| OSINT-Quellen und Meldungen | On-Chain-Hinweise mit Betrugsseiten, Social-Media- und anderen öffentlichen Informationen verbinden | Identität, Zeitpunkt und Herkunft jedes Hinweises unabhängig verifizieren. |
| Schulung und Fachunterstützung | Sichere Durchführung, Interpretation und Erstellung verständlicher Berichte | Zuständigkeiten, rechtliches Fachwissen, technische Expertise und sichere Arbeitsumgebung klären. |
Vergleiche konkrete Produkte anhand von Netzwerk- und Assetabdeckung, Cross-Chain-Unterstützung, Datenherkunft, Attributionsqualität, Transparenz der Analyse, reproduzierbaren Exporten, Zugriffsschutz und Gesamtkosten. FATF/OECD weist darauf hin, dass Werkzeuge sich ergänzende Funktionen haben und professionelle Ressourcen kostspielig sein können. Anbieterbeschreibungen – auch von Elliptic oder Chainalysis – sind Produktangaben und kein unabhängiger Nachweis für allgemeine Marktführerschaft oder gerichtliche Zulässigkeit.
Independent reader supportYour contribution helps us test, update, and keep practical guides available for everyone.Beweise reproduzierbar sichern
Ein zweiter Analyst muss denselben Weg nachvollziehen können. Bewahre deshalb für jeden relevanten Schritt Folgendes auf:
- Transaktions-ID, Netzwerk, Adressen, Token, Betrag und beobachteten Zeitpunkt;
- Screenshot oder Export mit Abrufzeitpunkt und verwendeter Plattform;
- Quellennachweis jedes Labels, Clusters und externen Hinweises;
- Regeln für Hop-Grenzen, Betragszuordnung, Gebühren und Zusammenführungen;
- getrennte Kennzeichnung von beobachteten Fakten, Anbieterattributionen, Annahmen und Schlussfolgerungen;
- Änderungs- und Versionsstand der verwendeten Daten sowie eine verständliche Erläuterung für Nicht-Spezialisten.
Arbeite in einer abgesicherten Ermittlungsumgebung mit kontrollierten Zugriffsrechten und einem festgelegten Export- und Aufbewahrungsprozess. Bei beschlagnahmten Kryptowerten kommen Seed-Phrase-Verwaltung, Offline-Aufbewahrung und eine lückenlose Verwahrkette hinzu. Diese Aufgaben sind eigenständige Fachthemen und dürfen nicht mit der bloßen Sichtbarkeit einer Transaktion verwechselt werden.
Typische Fehlinterpretationen und ihre Korrektur
- „Öffentlich“ bedeutet „bekannt“: Eine sichtbare Adresse enthält normalerweise keine verifizierte Personenzuordnung.
- Ein Label ist ein Beweis: Labels und Cluster sind modell- und datenabhängige Hinweise; Herkunft und Vertrauensgrad gehören in den Bericht.
- Jeder Hop lässt sich eindeutig zuordnen: Bei Sammeladressen, Mischmustern und zusammengeführten Geldern hängt die Zuordnung von offengelegten Regeln ab.
- Ein Chain-Explorer deckt den gesamten Fall ab: Wechsel in andere Netzwerke, Bridges und Dienste können separate Datenquellen und Attributionen erfordern.
- Eine Analyse garantiert Rückholung: Sie kann Spuren und mögliche Kontrollpunkte sichtbar machen, verspricht aber weder eine Rückerstattung noch einen Ermittlungserfolg.
- Ein einzelner OSINT-Fund genügt: Öffentliche Inhalte müssen zeitlich, technisch und hinsichtlich ihrer Urheberschaft gegengeprüft werden.
Was belastbare Fälle zeigen
Europol meldete 2025 in einer konkreten internationalen Ermittlung gegen ein Netzwerk gefälschter Krypto-Anlageplattformen, dass mehr als 700 Millionen Euro gewaschen worden seien. Diese Summe beschreibt den genannten Einzelfall; sie ist weder eine allgemeine Betrugsquote noch eine Schätzung des weltweiten Schadens und erlaubt keine Erfolgswahrscheinlichkeit für einzelne Opfer.
Der Europol-Bericht von 2022 behandelt Definitionen, Fallbeispiele und Herausforderungen der kriminellen Nutzung von Kryptowährungen. Für eine allgemeine, repräsentative Betrugsstatistik mit eindeutigem Originaldatensatz liegt daraus keine belastbare Zahl vor. Aussagen zu Markt- oder Schadenssummen brauchen daher immer einen klaren Zeitraum, eine Region und eine Primärquelle.
CEPOL beschreibt als Ziel seines Webinars, die Fähigkeiten von Strafverfolgungsbehörden zu erhöhen, damit allgemeine Finanzermittler Kryptowährungsuntersuchungen effizient selbst durchführen können. Das unterstreicht, warum Methodik, Visualisierung und sichere Arbeitsumgebung ebenso wichtig sind wie das einzelne Analyseprodukt.
Quick Recap
Praxis-Checkliste vor dem Abschlussbericht
- Ist die ursprüngliche Opferadresse oder Transaktions-ID unverändert dokumentiert?
- Sind Netzwerk, Token, Zeitraum, Betrag und Untersuchungsfrage eindeutig festgelegt?
- Kann jeder Hop im Graphen mit Quelle, Zeitstempel und Zuordnungsregel nachvollzogen werden?
- Sind Cluster und Labels als Hinweise mit Herkunft und Vertrauensgrad gekennzeichnet?
- Wurde jeder Cross-Chain-Übergang als Transaktionsbeleg, Anbieterattribution oder Annahme klassifiziert?
- Sind OSINT-Funde unabhängig verifiziert und reproduzierbar gesichert?
- Ist klar getrennt, was die Blockchain selbst zeigt und welche Identitätsdaten erst durch ein rechtmäßiges Verfahren erhoben werden müssten?
- Kann eine zweite Person die Analyse in derselben sicheren Umgebung nachvollziehen?
Product prices and availability are accurate as of the date/time indicated and are subject to change. Any price and availability information displayed on Amazon at the time of purchase will apply.
