Kurz erklärt: Asset Recovery bezeichnet das Zurückholen von Vermögenswerten, die durch eine Straftat entzogen wurden. Bei Kryptowerten umfasst der Begriff die gesamte Kette von der forensischen Spurverfolgung über die Sicherung beim Verwahrer bis zur Auskehr an die Geschädigten. Entscheidend für den Erfolg ist nicht die Qualität der Analyse, sondern die Frage, ob die Mittel einen greifbaren Intermediär erreicht haben — und ob rechtzeitig zugegriffen wird.
Was der Begriff umfasst
Asset Recovery ist kein feststehender Rechtsbegriff, sondern die Sammelbezeichnung für ein Bündel von Maßnahmen mit einem gemeinsamen Ziel: entzogene Vermögenswerte zu identifizieren, zu sichern und dem Berechtigten zuzuführen.
Bei Kryptowerten verbindet der Begriff drei Disziplinen, die getrennt betrachtet wenig ausrichten. Die forensische Analyse beantwortet, wohin die Mittel geflossen sind. Das Verfahrensrecht liefert die Instrumente, um an einem Endpunkt zuzugreifen. Die Verfahrensführung sorgt dafür, dass der Anspruch angemeldet und durchgesetzt wird.
Fehlt eine dieser Komponenten, bleibt die Arbeit folgenlos. Eine brillante Analyse ohne rechtliche Umsetzung produziert einen Bericht; eine Anzeige ohne technische Sachdarstellung landet mangels Ermittlungsansatz in der Einstellung.
Abzugrenzen ist Asset Recovery von der Vorstellung, Kryptowerte ließen sich technisch zurückholen. Das ist ausgeschlossen — eine bestätigte Transaktion ist nicht widerrufbar. Rückführung bedeutet immer, dass eine Person oder Stelle dazu gebracht wird, Werte herauszugeben. Wo es keine solche Stelle gibt, gibt es keine Rückführung.
Phase 1: Spurverfolgung
Am Anfang steht die Frage, wo die Mittel gelandet sind. Ausgangspunkt ist mindestens eine gesicherte Transaktions-ID oder Empfängeradresse.
Die On-Chain-Analyse verfolgt den Mittelfluss vorwärts und dokumentiert die typischen Verschleierungsmuster — Peel Chains, Netzwerkwechsel, Zuflüsse zu Mixern. Über Clustering und Attribution wird bestimmt, welchem Diensttyp ein Endpunkt zuzuordnen ist.
Das entscheidende Ergebnis dieser Phase ist nicht der vollständige Graph, sondern die Klassifizierung der Endpunkte. Für jeden nennenswerten Zweig ist zu beantworten: Liegt der Betrag bei einem regulierten Anbieter, bei einem Anbieter in einer Jurisdiktion ohne Kooperationsmechanismus, in einem Mixer oder in einer selbstverwahrten Wallet ohne Zuordnung?
Diese Klassifizierung entscheidet über alles Weitere. Endet die Spur in einem Mixer oder in einem Privacy-Netzwerk, ist Asset Recovery im engeren Sinne aussichtslos, und weiterer Aufwand ist nicht zu rechtfertigen. Seriöse Dienstleister sagen das an dieser Stelle — nicht später.
Phase 2: Sicherung
Ist ein greifbarer Endpunkt identifiziert, zählt Geschwindigkeit. Guthaben bei einer Plattform kann innerhalb von Stunden abgezogen werden.
Der schnellste Weg ist häufig der direkte Hinweis an den Anbieter. Regulierte Plattformen sind zugleich Verpflichtete nach dem Geldwäschegesetz und haben ein eigenes Interesse, inkriminierte Mittel nicht durchzuleiten. Viele frieren auf einen substantiierten Hinweis mit Transaktions-IDs und Sachverhaltsdarstellung vorläufig ein, noch bevor eine behördliche Anordnung vorliegt.
Parallel läuft der förmliche Weg: Strafanzeige mit technischer Sachdarstellung, damit die Staatsanwaltschaft eine Beschlagnahme oder einen Vermögensarrest erwirken kann. Ohne die technische Aufbereitung fehlt der Behörde regelmäßig der Ansatzpunkt, um überhaupt tätig zu werden.
Bei zentral verwalteten Stablecoins besteht ein zusätzlicher Hebel: Der Emittent kann einzelne Adressen sperren, unabhängig davon, wer den privaten Schlüssel besitzt. Das ist der einzige Fall, in dem eine selbstverwahrte Adresse ohne Schlüssel erreichbar ist.
Die Erfahrung aus der Fallbearbeitung ist eindeutig: Was in den ersten Tagen nicht gesichert wurde, ist in aller Regel dauerhaft verloren. Der Aufwand gehört deshalb an den Anfang, nicht in die Verfahrensmitte.
Phase 3: Titel oder Einziehung
Eine Sperrung ist vorläufig. Sie muss durch eine Entscheidung unterlegt werden, die den Zugriff dauerhaft macht.
Im Strafverfahren geschieht das über die Einziehung nach §§ 73 ff. StGB. Sie setzt grundsätzlich eine Verurteilung voraus; bei unbekannten oder nicht verfolgbaren Tätern kommt die selbständige Einziehung nach § 76a StGB in Betracht, die für Kryptosachverhalte mit Auslandsbezug häufig der einzig gangbare Weg ist.
Im Zivilverfahren geht es um einen vollstreckbaren Titel gegen den Anspruchsgegner. Vorgeschaltet sind Arrest oder einstweilige Verfügung zur Sicherung. Der Vorteil liegt darin, dass der Geschädigte das Verfahren selbst steuert und nicht auf staatsanwaltschaftliche Priorisierung angewiesen ist. Der Nachteil sind Kostenrisiko und die Notwendigkeit, einen greifbaren Anspruchsgegner zu benennen.
In der Praxis werden beide Wege kombiniert: die strafrechtliche Sicherung wegen ihrer Schnelligkeit und behördlichen Zugriffsmöglichkeiten, das Zivilverfahren für die individuelle Durchsetzung. Die Abstimmung gehört in anwaltliche Hand — insbesondere weil Erkenntnisse aus dem Strafverfahren über Akteneinsicht für das Zivilverfahren nutzbar gemacht werden können.
Phase 4: Auskehr
Der letzte Schritt wird am häufigsten unterschätzt: Gesicherte Werte gelangen nicht automatisch zu den Geschädigten.
§ 459h StPO regelt die Entschädigung des Verletzten aus eingezogenen Werten. Voraussetzung ist, dass der Anspruch angemeldet und belegt ist. Wer im Verfahren nicht in Erscheinung tritt, wird bei der Verteilung nicht berücksichtigt — auch dann nicht, wenn seine Schädigung aus den Akten hervorgeht.
Reichen die gesicherten Mittel nicht für alle Geschädigten, erfolgt eine quotale Verteilung. Bei großen Komplexen mit hunderten Betroffenen sind Quoten im niedrigen einstelligen Prozentbereich üblich.
Für die Anmeldung ist eine belastbare Schadensdarstellung erforderlich: Zahlungsbelege, Transaktions-IDs, Empfängeradressen und die Zuordnung zum Tatkomplex. Genau hier zeigt sich ein Nutzen der forensischen Aufarbeitung, der unabhängig von einer Rückführung besteht — ein Gutachten macht den individuellen Schadensanteil nachweisbar und hebt ihn von unsubstantiierten Anmeldungen ab.
Verfahren dieser Größenordnung laufen häufig über Jahre. Eine frühe Anmeldung ist auch dann sinnvoll, wenn zunächst nichts gesichert wurde — Sicherungen erfolgen mitunter erst spät im Verfahren.
Grenzüberschreitende Durchsetzung
Kryptosachverhalte sind fast immer grenzüberschreitend, und die Durchsetzbarkeit hängt maßgeblich davon ab, wo der Endpunkt liegt.
Innerhalb der EU gilt die Verordnung (EU) 2018/1805 über die gegenseitige Anerkennung von Sicherstellungs- und Einziehungsentscheidungen. Sie ersetzt das klassische Rechtshilfeersuchen durch ein Anerkennungsverfahren mit engen Fristen. Für Asset Recovery ist das der Unterschied zwischen Wochen und Monaten — und damit häufig zwischen Erfolg und Misserfolg.
Außerhalb der EU bleibt es beim Weg über die internationale Rechtshilfe nach dem IRG und den einschlägigen Abkommen. Dieser Weg dauert typischerweise Monate. Ob er sich lohnt, ist eine Frage der Größenordnung.
Praktisch ergibt sich daraus eine Priorisierungsregel: Zweige, die bei einem Anbieter im europäischen Rechtsraum enden, werden zuerst verfolgt. Zweige, die in Jurisdiktionen ohne Kooperationsmechanismus laufen, werden dokumentiert, aber nicht mit Vorrang bearbeitet.
Mit dem wachsenden Kreis MiCA-zugelassener Anbieter verbessert sich diese Lage strukturell — es gibt schlicht mehr Endpunkte, an denen ein Zugriff möglich ist.
Kosten und Wirtschaftlichkeit
Asset Recovery ist aufwendig, und die Kosten fallen an, bevor feststeht, ob etwas zurückkommt. Eine nüchterne Abwägung gehört an den Anfang.
Sinnvoll ist ein zweistufiges Vorgehen. Zunächst eine begrenzte Voranalyse mit der einzigen Frage, ob greifbare Endpunkte existieren. Sie ist deutlich weniger aufwendig als eine vollständige Untersuchung und beantwortet die Wirtschaftlichkeitsfrage. Erst danach wird über die Vollanalyse und die rechtlichen Schritte entschieden.
Gegen eine Fortführung sprechen: Mittel unmittelbar in einem Mixer oder Privacy-Netzwerk, ein Vorfall, der viele Monate zurückliegt, ein Schaden in einer Größenordnung, die den Aufwand nicht trägt, oder ein Endpunkt in einer Jurisdiktion ohne jede Kooperation.
Dafür sprechen: ein Endpunkt bei einem regulierten Anbieter, ein zeitnaher Vorfall, eine Größenordnung, die auch eine Teilquote lohnend macht, und Anhaltspunkte, dass derselbe Tatkomplex weitere Geschädigte hat — denn die Bündelung mehrerer Fälle verändert sowohl die Ermittlungspriorität als auch die Kostenverteilung erheblich.
Zu berücksichtigen ist auch der Nutzen jenseits der Rückführung: eine belastbare Schadensdokumentation für Anzeige, Steuer und etwaige zivilrechtliche Schritte entsteht ohnehin.
Weitere Ersatzwege neben der Rückführung
Der Blick richtet sich verständlicherweise zuerst auf die entzogenen Mittel selbst. Daneben bestehen jedoch Ersatzwege, die häufig übersehen werden und im Einzelfall aussichtsreicher sind.
Versicherung. Bei Unternehmen kommen Vertrauensschaden- und Cyberversicherungen in Betracht, insbesondere wenn der Schaden über eine Manipulation von Mitarbeitern oder über kompromittierte Zugänge entstanden ist. Der Deckungsumfang variiert erheblich; entscheidend sind die Obliegenheiten — verspätete Anzeige gegenüber dem Versicherer kann die Leistung kosten. Die Prüfung gehört deshalb in die ersten Tage, nicht ans Ende des Verfahrens.
Haftung von Intermediären. Denkbar sind Ansprüche gegen Beteiligte, die Pflichten verletzt haben — etwa ein Verwahrer, der entgegen seinen Pflichten aus MiCA Kundenbestände nicht getrennt gehalten hat, oder ein Anbieter, der trotz eindeutiger Verdachtsmomente ausgezahlt hat. Solche Ansprüche sind anspruchsvoll zu begründen und setzen eine genaue Rekonstruktion des Ablaufs voraus. Ein forensisches Gutachten ist dafür regelmäßig die Grundlage.
Steuerliche Berücksichtigung. Ob ein Verlust aus einem Betrugsfall steuerlich anzuerkennen ist, hängt von der Konstellation ab und ist umstritten — Einzelheiten im Eintrag zur Krypto-Besteuerung. Für die Geltendmachung ist dieselbe Dokumentation erforderlich, die auch die Anzeige stützt. Der Aufwand fällt also ohnehin an.
Diese Wege schließen einander nicht aus. Sinnvoll ist, sie parallel zu prüfen, statt sie nacheinander abzuarbeiten — Fristen laufen unterschiedlich.
Was realistisch erreichbar ist
Zur Erwartungshaltung gehört Klarheit, auch wenn sie unbequem ist.
Die vollständige Rückführung ist die Ausnahme. Sie kommt vor allem dann vor, wenn sehr schnell gehandelt wurde und die Mittel noch unverändert bei einem kooperativen Anbieter lagen — typischerweise innerhalb von Stunden bis wenigen Tagen nach der Tat.
Der Regelfall bei aufgeklärten Komplexen ist eine Quote. Sie ergibt sich aus dem Verhältnis zwischen gesichertem Vermögen und Gesamtschaden aller angemeldeten Geschädigten und liegt bei großen Verfahren häufig im niedrigen einstelligen Prozentbereich.
Der häufigste Ausgang ist, dass keine Rückführung gelingt, weil die Mittel verschleiert wurden oder in Jurisdiktionen ohne Zugriff liegen. Das ist keine Frage der Qualität der Analyse, sondern der Faktenlage.
Wer diese Verteilung kennt, trifft bessere Entscheidungen — insbesondere die Entscheidung, nach einer negativen Voranalyse nicht weiter zu investieren. Das ist kein Scheitern, sondern das korrekte Ergebnis einer Prüfung.
Wenn mehrere Geschädigte betroffen sind
Bei organisierten Betrugskomplexen ist der Einzelfall die Ausnahme. Dieselbe Plattform, dieselben Empfängeradressen und dasselbe Vorgehen betreffen typischerweise dutzende bis hunderte Betroffene. Diese Struktur zu nutzen, verändert die Aussichten erheblich.
Ermittlungspriorität. Ein Einzelfall mit mittlerem Schaden konkurriert bei der Staatsanwaltschaft mit einer hohen Zahl vergleichbarer Verfahren. Ein Komplex mit vielen Geschädigten und sechs- oder siebenstelligem Gesamtschaden wird anders behandelt. Die Zusammenführung ist deshalb kein organisatorisches Detail, sondern oft die Voraussetzung dafür, dass überhaupt ermittelt wird.
Nachweis über Adressüberschneidungen. Die On-Chain-Analyse kann den Zusammenhang zwischen scheinbar getrennten Fällen belegen: dieselbe Empfängeradresse, dasselbe Verschleierungsmuster, dieselbe Sammeladresse. Das ist ein Nachweis, den kein einzelner Geschädigter allein führen kann — und einer der stärksten Gründe für eine forensische Aufarbeitung.
Kostenverteilung. Eine gemeinsame Untersuchung verteilt den Aufwand. Für Betroffene, bei denen sich eine eigene Analyse wirtschaftlich nicht rechnet, wird die Beteiligung an einer gemeinsamen Aufarbeitung dadurch überhaupt erst möglich.
Vorsicht bei Interessengemeinschaften. Zugleich ist dieses Umfeld ein bevorzugtes Jagdrevier für die zweite Welle. Gruppen, die Geschädigte sammeln und dann eine Vorauszahlung für eine gemeinsame „Rückholaktion“ verlangen, sind ein bekanntes Muster des Recovery-Scams. Seriöse Bündelungen laufen über eine benannte, überprüfbar zugelassene Kanzlei mit Aufwandsabrechnung.
Auswahl eines Dienstleisters
Der Markt ist unübersichtlich, und Geschädigte sind eine bevorzugte Zielgruppe für die zweite Betrugswelle.
Merkmale seriöser Anbieter: überprüfbare Identität und Sitz, Abrechnung nach Aufwand statt Erfolgsprovision, offene Aussage zu den Erfolgsaussichten vor Beauftragung, Bereitschaft zu einer begrenzten Voranalyse, ausdrücklicher Hinweis darauf, dass eine Rückholung nicht zugesichert werden kann, und — bei rechtlicher Vertretung — eine über die Rechtsanwaltskammer überprüfbare Zulassung.
Merkmale unseriöser Angebote: Erfolgsversprechen, Vorkasse für die „Freischaltung“ von Guthaben, unaufgeforderte Kontaktaufnahme unter Verweis auf den bekannten Schadensfall, Honorarforderung ausschließlich in Kryptowerten, Zeitdruck und fehlende überprüfbare Identität.
Das zweite Merkmal ist das belastbarste: Wo eine Zahlung verlangt wird, damit vorhandenes Guthaben freigegeben wird, liegt ausnahmslos ein Recovery-Scam vor. Häufig agieren dabei dieselben Gruppen, die den ursprünglichen Schaden verursacht haben — die vermeintliche Detailkenntnis des Anrufers ist deshalb ein Warnzeichen, kein Qualitätsmerkmal.
Sofortmaßnahmen nach einem Schadensfall
Die Weichen werden in den ersten Stunden gestellt.
Zahlungen einstellen. Jede weitere Zahlung erhöht ausschließlich den Schaden. Forderungen nach Steuern oder Gebühren zur Freigabe von Guthaben sind Teil der Masche.
Beweise sichern, bevor sie verschwinden. Vollständige Kommunikationsverläufe, Screenshots der Plattform mit sichtbarem Kontostand, deren Adresse, alle Transaktions-IDs und Empfängeradressen, Kontoauszüge der Fiat-Zahlungen und die Transaktionshistorie der genutzten Börse. Plattformen werden abgeschaltet, Verläufe gelöscht.
Die genutzte Börse informieren. Sie kann die Empfängeradresse markieren und im Rahmen ihrer Pflichten reagieren, ohne eine behördliche Anordnung abzuwarten.
Anzeige mit technischer Sachdarstellung. Eine Anzeige binnen Stunden mit den wesentlichen Angaben ist mehr wert als eine perfekt aufbereitete nach zwei Wochen.
Anspruch anmelden und die Anmeldung im weiteren Verfahren aktuell halten.
Keine Rückholangebote gegen Vorkasse annehmen.
Häufige Fragen
Kann gestohlene Kryptowährung technisch zurückgeholt werden?
Nein. Eine bestätigte Blockchain-Transaktion ist nicht widerrufbar. Rückführung bedeutet immer, dass eine Person oder Stelle zur Herausgabe gebracht wird — typischerweise ein regulierter Verwahrer auf behördliche oder gerichtliche Anordnung. Wo es keine solche Stelle gibt, gibt es keine Rückführung.
Wie schnell muss ich handeln?
So schnell wie möglich. Guthaben bei einer Plattform kann innerhalb von Stunden abgezogen werden. Was in den ersten Tagen nicht gesichert wurde, ist in aller Regel dauerhaft verloren. Eine unvollständige Anzeige binnen Stunden ist wertvoller als eine perfekte nach zwei Wochen.
Wie hoch sind die Chancen auf Rückführung?
Die vollständige Rückführung ist die Ausnahme und setzt Handeln innerhalb von Stunden bis wenigen Tagen voraus. Der Regelfall bei aufgeklärten Komplexen ist eine Quote, bei großen Verfahren häufig im niedrigen einstelligen Prozentbereich. Der häufigste Ausgang ist, dass keine Rückführung gelingt.
Lohnt sich eine Untersuchung, wenn die Mittel in einem Mixer gelandet sind?
Für die Rückführung in aller Regel nicht — die Spur endet dort meist. Ein Nutzen bleibt gleichwohl: Zeitpunkt und Betrag des Zuflusses belegen die Verschleierungsabsicht, und die Verknüpfung zu weiteren Geschädigten kann einen verfolgbaren Komplex begründen.
Was kostet Asset Recovery?
Das hängt vom Umfang ab. Sinnvoll ist ein zweistufiges Vorgehen: zunächst eine begrenzte Voranalyse mit der Frage, ob greifbare Endpunkte existieren, danach die Entscheidung über die Vollanalyse. Seriöse Anbieter rechnen nach Aufwand ab, nicht nach Erfolg.
Bekomme ich automatisch etwas, wenn Vermögen eingezogen wird?
Nein. Die Auskehr nach § 459h StPO setzt voraus, dass Sie Ihren Anspruch angemeldet und belegt haben. Wer im Verfahren nicht in Erscheinung tritt, wird bei der Verteilung nicht berücksichtigt — auch dann nicht, wenn die Schädigung aus den Akten hervorgeht.
Was ist der Unterschied zwischen dem strafrechtlichen und dem zivilrechtlichen Weg?
Der strafrechtliche Weg nutzt behördliche Zugriffsmöglichkeiten und ist bei der Sicherung schneller, hängt aber von der Priorisierung der Staatsanwaltschaft ab. Der zivilrechtliche Weg wird vom Geschädigten selbst gesteuert, erfordert aber einen greifbaren Anspruchsgegner und birgt ein Kostenrisiko. In der Praxis werden beide kombiniert.
Woran erkenne ich einen unseriösen Anbieter?
Am verlässlichsten daran, dass eine Vorauszahlung verlangt wird, damit vorhandenes Guthaben freigegeben oder eine Rückholung eingeleitet wird. Weitere Merkmale: Erfolgsversprechen, unaufgeforderte Kontaktaufnahme, Honorar ausschließlich in Kryptowerten und fehlende überprüfbare Identität.
Hat eine forensische Untersuchung auch dann Wert, wenn nichts zurückkommt?
Ja. Sie dokumentiert den Schaden belastbar für Anzeige, Steuer und zivilrechtliche Schritte, liefert der Strafverfolgung verwertbare Anknüpfungspunkte und macht den individuellen Schadensanteil bei einer späteren Verteilung nachweisbar.
Zahlt eine Versicherung bei Krypto-Betrug?
Bei Unternehmen kommen Vertrauensschaden- und Cyberversicherungen in Betracht, insbesondere bei Manipulation von Mitarbeitern oder kompromittierten Zugängen. Der Deckungsumfang variiert stark, und Obliegenheiten wie die rechtzeitige Anzeige gegenüber dem Versicherer sind einzuhalten — die Prüfung gehört in die ersten Tage.
Bringt es etwas, sich mit anderen Geschädigten zusammenzuschließen?
Ja, erheblich. Ein Komplex mit vielen Geschädigten wird von der Staatsanwaltschaft anders priorisiert als ein Einzelfall, die Untersuchungskosten verteilen sich, und Adressüberschneidungen lassen sich forensisch nachweisen. Vorsicht ist bei Gruppen geboten, die Vorauszahlungen für eine gemeinsame Rückholaktion verlangen.
Zusammenfassung
Asset Recovery verbindet forensische Spurverfolgung, verfahrensrechtliche Sicherung und Anspruchsdurchsetzung. Entscheidend ist die Klassifizierung der Endpunkte: Nur wo Mittel einen greifbaren Intermediär erreicht haben, ist eine Rückführung überhaupt möglich. Die Sicherung entscheidet sich in den ersten Tagen, die dauerhafte Zuordnung über Einziehung oder zivilrechtlichen Titel, die Auskehr über § 459h StPO — und die setzt eine angemeldete, belegte Forderung voraus. Vollständige Rückführungen sind die Ausnahme; der Regelfall bei aufgeklärten Komplexen ist eine Quote. Angebote, die gegen Vorkasse eine Rückholung zusichern, sind Recovery-Scams.
Weiterführende Quellen
- § 94 StPO — Sicherstellung und Beschlagnahme, Gesetze im Internet: www.gesetze-im-internet.de
- § 111b StPO — Vermögensarrest, Gesetze im Internet: www.gesetze-im-internet.de
- § 73 StGB — Einziehung von Taterträgen, Gesetze im Internet: www.gesetze-im-internet.de
- § 76a StGB — Selbständige Einziehung, Gesetze im Internet: www.gesetze-im-internet.de
- § 459h StPO — Entschädigung des Verletzten, Gesetze im Internet: www.gesetze-im-internet.de
- Verordnung (EU) 2018/1805 über die gegenseitige Anerkennung von Sicherstellungs- und Einziehungsentscheidungen, EUR-Lex: eur-lex.europa.eu
- Gesetz über die internationale Rechtshilfe in Strafsachen (IRG), Gesetze im Internet: www.gesetze-im-internet.de
- Geldwäschegesetz (GwG), Gesetze im Internet: www.gesetze-im-internet.de
- Verordnung (EU) 2023/1114 über Märkte für Kryptowerte (MiCA), EUR-Lex: eur-lex.europa.eu
- Europol — Internet Organised Crime Threat Assessment (IOCTA): www.europol.europa.eu