Kurz erklärt: Eine Peel Chain (wörtlich: Schälkette) ist ein Verschleierungsmuster, bei dem von einem großen Betrag schrittweise jeweils ein kleiner Teil abgespalten und weitergeleitet wird, während der Rest zur nächsten Adresse wandert. Über hunderte Schritte entsteht eine lange Kette. Ziel ist es, die manuelle Verfolgung zu erschweren und Teilbeträge zu erzeugen, die unterhalb typischer Aufmerksamkeitsschwellen liegen.
Der Ablauf
Ausgangspunkt ist ein größerer Betrag auf einer Adresse. Von dort geht eine Transaktion ab, die zwei Ausgänge erzeugt: einen kleinen Teilbetrag an ein Ziel — etwa eine Handelsplattform oder einen Tauschdienst — und den verbleibenden Rest an eine neue Adresse desselben Akteurs.
Von dieser neuen Adresse wiederholt sich der Vorgang. Erneut wird ein kleiner Teil abgespalten, der Rest wandert weiter. Nach hundert Schritten ist der ursprüngliche Betrag in hundert Teilzahlungen zerlegt, verteilt über hundert verschiedene Adressen.
Der Aufbau ähnelt einer gewöhnlichen Zahlungsfolge mit Wechselgeld — und genau darin liegt die beabsichtigte Wirkung. Jede einzelne Transaktion sieht unauffällig aus. Auffällig ist erst das Muster über viele Schritte hinweg.
Praktisch wird die Kette automatisiert abgearbeitet; die Abstände zwischen den Schritten liegen häufig im Minutenbereich, teilweise mit eingebauten Verzögerungen zur Verschleierung der Automatisierung.
Was damit erreicht werden soll
Erschwerung der manuellen Verfolgung. Wer eine Kette Schritt für Schritt von Hand verfolgt, benötigt für hundert Schritte erhebliche Zeit. Ohne Werkzeugunterstützung ist das kaum leistbar.
Unterschreiten von Schwellen. Kleine Teilbeträge lösen bei manchen Anbietern weniger Prüfungen aus als eine einzelne große Einzahlung. Die Erwartung, unterhalb bestimmter Beträge unbemerkt zu bleiben, trifft allerdings nur begrenzt zu — die Meldepflicht bei Verdacht kennt keine Betragsgrenze, und die Aufteilung ist selbst ein anerkanntes Verdachtsmuster.
Verteilung des Risikos. Wird eine Einzahlung blockiert, betrifft das nur einen Bruchteil des Gesamtbetrags. Der Rest bleibt in der Kette und kann anders geleitet werden.
Zeitgewinn. Die Abarbeitung über Stunden oder Tage verzögert den Zeitpunkt, zu dem der Gesamtbetrag greifbar wäre — und Zeit arbeitet gegen die Sicherung.
Warum das Muster forensisch gut auswertbar ist
Anders als ein Mixer unterbricht eine Peel Chain die Kette nicht. Jeder Schritt ist eine gewöhnliche Transaktion mit sichtbaren Vorgängern. Die Verbindung zwischen Anfang und Ende bleibt technisch vollständig erhalten.
Automatisierte Verfolgung bewältigt hunderte Schritte in Sekunden. Der Aufwand, den das Muster für den Menschen erzeugt, spielt gegenüber einem Werkzeug keine Rolle.
Hinzu kommt: Die Struktur ist charakteristisch und maschinell erkennbar. Ein Muster aus vielen aufeinanderfolgenden Transaktionen mit jeweils einem kleinen und einem großen Ausgang, wobei der große jeweils zur nächsten neuen Adresse führt, tritt bei normaler Nutzung nicht auf. Die Erkennung einer Peel Chain ist daher zuverlässig.
Für die Bewertung ist das erheblich: Der Einsatz einer Peel Chain ist ein Indiz für Verschleierungsabsicht. Er lässt sich nicht als versehentliches oder gewöhnliches Verhalten erklären. In einem Gutachten ist das eine belastbare Feststellung — anders als viele Aussagen, die auf Heuristiken beruhen.
Die eigentliche Herausforderung liegt nicht in der Verfolgung, sondern in der Auswertung der Endpunkte: Hundert Teilzahlungen an möglicherweise zwanzig verschiedene Dienste erzeugen einen erheblichen Bearbeitungsaufwand, und jede Teilzahlung ist für sich genommen zu klein, um eine eigene Maßnahme zu rechtfertigen.
Abgrenzung zu verwandten Mustern
Die Peel Chain wird häufig mit anderen Strukturen verwechselt, die anders zu bewerten sind.
Fan-out. Hier wird ein Betrag in einem einzigen Schritt auf viele Adressen verteilt, statt schrittweise abgespalten. Das Muster ist schneller abgearbeitet, aber auffälliger — eine Transaktion mit hundert Ausgängen fällt sofort ins Auge. Peel Chains sind gerade deshalb beliebter, weil jeder Einzelschritt unauffällig bleibt.
Konsolidierung. Das Gegenstück: Viele kleine Eingänge werden zu einem großen Betrag zusammengeführt. Forensisch ist das besonders wertvoll, weil dabei die Common-Input-Heuristik greift und zahlreiche Adressen auf einmal einem Cluster zugeordnet werden. Täter vermeiden Konsolidierungen deshalb — wo sie dennoch auftreten, ist das ein Bearbeitungsfehler mit erheblichem Erkenntniswert.
Gewöhnliche Wechselgeldfolge. Eine Wallet, die regelmäßig Zahlungen leistet, erzeugt eine strukturell ähnliche Kette. Der Unterschied liegt in der Gleichförmigkeit: Bei echtem Zahlungsverhalten variieren Beträge, Zeitabstände und Empfängertypen erheblich, und die Empfänger sind unterschiedlicher Art. Bei einer Peel Chain ist all das auffällig einheitlich.
Diese Abgrenzung gehört in jede Bewertung. Die Feststellung „Peel Chain“ trägt ein Verschleierungsindiz — sie darf deshalb nicht vorschnell auf jede Wechselgeldfolge angewandt werden.
Erkennungsmerkmale
- Lange Folge von Transaktionen mit jeweils genau zwei Ausgängen.
- Ein kleiner, ein großer Ausgang je Schritt, wobei der große jeweils die Kette fortsetzt.
- Neue Adressen für jeden Folgeschritt, ohne Wiederverwendung.
- Regelmäßige Zeitabstände, die auf Automatisierung hindeuten.
- Gleichartige Zielbeträge der abgespaltenen Teile.
- Ziele desselben Typs — häufig dieselben Handelsplattformen oder Tauschdienste über viele Schritte hinweg.
Abzugrenzen ist das Muster von legitimem Verhalten. Eine Wallet, die regelmäßig kleine Zahlungen leistet, erzeugt ebenfalls eine Folge mit Wechselgeld. Der Unterschied liegt in der Regelmäßigkeit, der Gleichförmigkeit der Beträge und darin, dass bei einer Peel Chain kein erkennbarer wirtschaftlicher Zweck hinter den Einzelzahlungen steht.
Bedeutung für Verpflichtete
Für Anbieter, die Einzahlungen entgegennehmen, ist das Muster aus einer besonderen Perspektive relevant: Sie sehen jeweils nur eine kleine Einzahlung, nicht die Kette.
Eine Exposure-Analyse, die die Vorgeschichte der eingehenden Mittel über mehrere Ebenen betrachtet, deckt den Zusammenhang auf. Wo nur die unmittelbar vorangehende Transaktion geprüft wird, bleibt er verborgen — ein Grund, warum die gewählte Prüftiefe eine bewusste methodische Entscheidung sein muss.
Erkennt ein Verpflichteter das Muster, liegt regelmäßig ein Anhaltspunkt vor, der verstärkte Sorgfaltspflichten und häufig eine Verdachtsmeldung auslöst. Die Aufteilung in kleine Beträge ist dabei nicht entlastend, sondern belastend — sie ist selbst ein anerkanntes Verdachtsmuster.
Für Betroffene eines Betrugsfalls ist die Peel Chain eine vergleichsweise gute Nachricht: Die Spur bleibt erhalten, das Muster belegt Verschleierungsabsicht, und die Endpunkte sind bestimmbar. Ob sich daraus eine Sicherung ergibt, hängt davon ab, ob die Teilbeträge regulierte Anbieter erreicht haben — siehe Asset Recovery.
Häufige Fragen
Was ist eine Peel Chain?
Ein Verschleierungsmuster, bei dem von einem großen Betrag schrittweise kleine Teile abgespalten und weitergeleitet werden, während der Rest zur nächsten neuen Adresse wandert. Über hunderte Schritte entsteht eine lange Kette aus Teilzahlungen.
Unterbricht eine Peel Chain die Verfolgung?
Nein. Anders als ein Mixer bleibt jede Transaktion mit ihren Vorgängern verbunden. Automatisierte Verfolgung bewältigt hunderte Schritte in Sekunden — der Aufwand, den das Muster für Menschen erzeugt, spielt gegenüber einem Werkzeug keine Rolle.
Ist eine Peel Chain ein Beweis für Verschleierungsabsicht?
Sie ist ein starkes Indiz. Die Struktur tritt bei normaler Nutzung nicht auf und lässt sich nicht als versehentliches Verhalten erklären. Das macht die Feststellung belastbarer als viele Aussagen, die auf Heuristiken beruhen.
Warum werden die Beträge so klein gehalten?
Um Prüfschwellen zu unterschreiten, das Risiko zu verteilen und Zeit zu gewinnen. Die Erwartung, unterhalb bestimmter Beträge unbemerkt zu bleiben, trifft aber nur begrenzt zu — die Meldepflicht bei Verdacht kennt keine Betragsgrenze, und die Aufteilung ist selbst ein Verdachtsmuster.
Wie unterscheidet sich eine Peel Chain von normalem Zahlungsverhalten?
Durch Regelmäßigkeit und Gleichförmigkeit: gleichbleibende Zeitabstände, gleichartige Teilbeträge, für jeden Schritt eine neue Adresse und Ziele desselben Typs — ohne erkennbaren wirtschaftlichen Zweck hinter den Einzelzahlungen.
Was bedeutet das Muster für einen Anbieter, der eine Teilzahlung erhält?
Er sieht zunächst nur eine kleine Einzahlung. Erst eine Exposure-Analyse über mehrere Ebenen deckt den Zusammenhang auf. Wird das Muster erkannt, liegt regelmäßig ein Anhaltspunkt für verstärkte Sorgfaltspflichten und eine Verdachtsmeldung vor.
Worin unterscheidet sich eine Peel Chain von einer normalen Wechselgeldfolge?
In der Gleichförmigkeit. Bei echtem Zahlungsverhalten variieren Beträge, Zeitabstände und Empfängertypen erheblich. Bei einer Peel Chain sind Teilbeträge, Intervalle und Zieltypen auffällig einheitlich, ohne erkennbaren wirtschaftlichen Zweck.
Warum vermeiden Täter Konsolidierungen?
Weil beim Zusammenführen vieler Eingänge die Common-Input-Heuristik greift und zahlreiche Adressen auf einmal einem Cluster zugeordnet werden. Wo eine Konsolidierung dennoch auftritt, ist das ein Bearbeitungsfehler mit erheblichem Erkenntniswert.
Zusammenfassung
Bei einer Peel Chain wird von einem großen Betrag schrittweise ein kleiner Teil abgespalten, während der Rest zur nächsten neuen Adresse wandert. Ziel sind Erschwerung der manuellen Verfolgung, Unterschreiten von Prüfschwellen, Risikoverteilung und Zeitgewinn. Forensisch ist das Muster gut auswertbar: Die Kette bleibt technisch vollständig verbunden, automatisierte Verfolgung bewältigt sie in Sekunden, und die charakteristische Struktur ist zuverlässig erkennbar. Der Einsatz einer Peel Chain ist ein starkes Indiz für Verschleierungsabsicht. Die eigentliche Herausforderung liegt in der Auswertung vieler kleiner Endpunkte.
Weiterführende Quellen
- Satoshi Nakamoto — Bitcoin: A Peer-to-Peer Electronic Cash System (PDF): bitcoin.org
- Bitcoin Developer Reference — Transactions: developer.bitcoin.org
- § 10 GwG — Allgemeine Sorgfaltspflichten, Gesetze im Internet: www.gesetze-im-internet.de
- § 43 GwG — Meldepflicht bei Verdacht, Gesetze im Internet: www.gesetze-im-internet.de
- § 15 GwG — Verstärkte Sorgfaltspflichten, Gesetze im Internet: www.gesetze-im-internet.de
- Europol — Internet Organised Crime Threat Assessment (IOCTA): www.europol.europa.eu
- BKA — Bundeslagebild Cybercrime: www.bka.de