Der folgende Fall basiert auf einem fiktiven Szenario. Er dient ausschließlich der Veranschaulichung der Funktionsweise sogenannter Dust Attacks und beschreibt keine reale Person oder ein tatsächliches Ermittlungsverfahren.
Dust Attacks berühren gleich zwei Interessen, die für die forensische und juristische Praxis zentral sind: Sie sind zum einen ein Deanonymisierungswerkzeug, das dieselbe Heuristik nutzt wie die seriöse Crypto forensics, und zum anderen eine Quelle möglicher Fehlattribution, die die Verwertbarkeit einer Clusterbildung untergraben kann. Dieser Beitrag ordnet beides ein.
Der Mechanismus: von einem Satoshi zum Wallet-Cluster
Ausgangspunkt ist ein Kleinstbetrag. Eine Wallet erhält 0,00000001 BTC, einen einzelnen Satoshi, von einem unbekannten Absender. Wirtschaftlich ist der Betrag wertlos, technisch aber ein vollwertiger Unspent Transaction Output (UTXO).
Entscheidend wird der Vorgang erst später. Erstellt die Wallet-Software eine reguläre Transaktion, etwa eine Auszahlung an eine Börse, kombiniert sie automatisch mehrere vorhandene UTXOs, unter Umständen auch den zuvor erhaltenen Dust. Aus Sicht der Blockchain-Analyse greift dann die Common-Input-Ownership-Heuristik: Werden mehrere Eingänge in einer Transaktion gemeinsam ausgegeben, gilt dies als starkes Indiz, dass sie von derselben Partei kontrolliert werden. Der zuvor isolierte Dust verbindet sich so mit dem übrigen Guthaben, und mehrere zuvor getrennte Adressen lassen sich zu einem gemeinsamen Cluster zusammenführen.
Welche Informationen sich aus öffentlichen Blockchain-Daten ableiten lassen
Ist ein Cluster gebildet, erweitert sich das Bild über weitere öffentlich einsehbare Daten. Ableitbar sind unter anderem, auf welchen Börsen regelmäßig Ein- und Auszahlungen erfolgen, wie hoch die ungefähren Bestände sind, wie häufig Transaktionen stattfinden, welche Adressen miteinander verbunden sind und wann größere Bestände bewegt werden. Sämtliche Erkenntnisse stammen ausschließlich aus On-Chain-Daten. Wie diese Auswertung methodisch funktioniert und wo ihre Grenzen liegen, ordnet die Darstellung zur Crypto forensics in practice a.
Für die Ermittlungspraxis ist genau diese Verkettung wertvoll, weil sie Cash-out-Punkte und Vermögensbewegungen sichtbar macht. Für die betroffene Person dagegen bedeutet dieselbe Verkettung einen erheblichen Verlust an Pseudonymität.
Vom Dusting zum Phishing: der eigentliche Angriffsvektor
In den meisten Fällen dient eine Dust Attack nicht dem unmittelbaren Diebstahl. Der Kleinstbetrag ist Aufklärung, nicht Angriff. Die aus dem Cluster gewonnenen Informationen fließen häufig erst Wochen oder Monate später in einen gezielten Angriff ein, typischerweise Phishing oder Social Engineering. Eine glaubwürdig personalisierte E-Mail, die die genutzte Börse korrekt benennt und zur erneuten Verifizierung auffordert, führt das Opfer auf eine Phishing-Seite zur Abfrage der Seed Phrase.
Für die anwaltliche und forensische Aufarbeitung ist relevant, dass an dieser Stelle strafrechtlich fassbares Verhalten beginnt. Zur rechtlichen Einordnung nach einem erfolgreichen Zugriff siehe die rechtliche Zuordnung gestohlener Kryptowährungen bei Phishing.
Rechtliche Einordnung: Ist eine Dust Attack strafbar?
Der bloße Versand minimaler Kryptobeträge ist in vielen Rechtsordnungen nicht ausdrücklich verboten. Relevanz gewinnt eine Dust Attack erst als Teil eines weitergehenden Vorgehens, etwa im Zusammenhang mit Phishing, Identitätsdiebstahl, Betrug, dem Ausspähen personenbezogener Daten oder der Vorbereitung weiterer Straftaten. Ob im Einzelfall ein Straftatbestand erfüllt ist, hängt von den konkreten Umständen und der anwendbaren Rechtsordnung ab. Für die Beratung bedeutet das, das Dusting selten isoliert, sondern als Vorbereitungshandlung eines Gesamtkomplexes zu bewerten.
Das Fehlattributions-Risiko: warum Dust die Beweisführung stören kann
Für die forensische Beweisführung ist ein Aspekt besonders wichtig, der in verbraucherorientierten Darstellungen meist fehlt: Dusting kann Cluster-Zuordnungen verfälschen. Wird fremder Dust unbemerkt mit dem Guthaben eines Nutzers ausgegeben, entsteht on-chain eine Verbindung, die keine tatsächliche Kontrolle durch dieselbe Partei widerspiegelt. Ein Analyst, der die Common-Input-Ownership-Heuristik unkritisch anwendet, kann dadurch Adressen zusammenführen, die in Wahrheit nicht zusammengehören.
Für ein gerichtsverwertbares Gutachten heißt das: Die Heuristik ist ein Indiz, kein Beweis. Eine belastbare Attribution muss Dusting-Artefakte erkennen, gesondert behandeln und die Herleitung transparent machen. Wo On-Chain-Signale an ihre Grenzen stoßen, gilt dasselbe Prinzip wie bei der Zuordnung vermischter Bestände: Nachvollziehbarkeit der Methodik entscheidet über die Verwertbarkeit.
Seriöse Blockchain-Forensik nutzt keine Dust Attacks
Auch seriöse Ermittler analysieren Transaktionszusammenhänge und Wallet-Cluster, führen aber keine Dust Attacks durch. Die Auswertung erfolgt ausschließlich auf Basis öffentlich verfügbarer Blockchain-Daten und weiterer zulässiger Ermittlungsansätze. In Kryptobetrugsfällen helfen solche Analysen, Zahlungsströme nachzuvollziehen, Wallet-Gruppen zu identifizieren, Vermögensbewegungen zu dokumentieren, Cash-out-Punkte bei Börsen zu erkennen und gerichtsfeste Beweise aufzubereiten. Welche Nachweise für Strafanzeige und Rückforderung tragen, vertieft die Darstellung, was Blockchain-Nachweise leisten.
Conclusion
Eine Dust Attack wirkt harmlos, ist aber ein präziser Baustein der Deanonymisierung. Für Ermittlung und Mandatsarbeit ergibt sich daraus eine doppelte Aufgabe: Die Clusterbildung liefert wertvolle Ansätze zur Nachverfolgung, gleichzeitig verlangt Dusting eine kritische Prüfung jeder Zuordnung, um Fehlattributionen auszuschließen. Wer On-Chain-Erkenntnisse in einem Verfahren verwerten will, sollte beides beherrschen: die Heuristik nutzen und ihre Schwächen offenlegen.
Finanz Forensik erstellt Wallet-Cluster- und Fund-Flow-Analysen als gerichtsverwertbare Zuarbeit für Lawyers, Unternehmen und Behörden. Eine erste Falleinschätzung ist kostenfrei.
FAQs: Häufige Fragen zu Dust Attacks in der Forensik
Ein Angreifer sendet Kleinstbeträge, sogenannten Dust, an zahlreiche Wallets. Ziel ist meist nicht der Diebstahl, sondern die Deanonymisierung: Sobald der Empfänger den Dust gemeinsam mit anderem Guthaben ausgibt, lassen sich seine Adressen zu einem Cluster verknüpfen.
Sie besagt, dass mehrere in einer Transaktion gemeinsam ausgegebene Eingänge mit hoher Wahrscheinlichkeit derselben Partei gehören. Sie ist das zentrale Werkzeug der Clusterbildung und zugleich der Hebel, den eine Dust Attack ausnutzt.
Weil dieselbe Mechanik, die Angreifer zur Deanonymisierung nutzen, auch in der forensischen Attribution zum Einsatz kommt. Cluster machen Cash-out-Punkte und Vermögensbewegungen sichtbar, die für Nachverfolgung und Rückforderung entscheidend sind.
Ja. Wird fremder Dust unbemerkt mitausgegeben, entsteht eine On-Chain-Verbindung ohne tatsächliche gemeinsame Kontrolle. Eine unkritische Anwendung der Heuristik kann dadurch Adressen zusammenführen, die nicht zusammengehören.
Ein belastbares Gutachten erkennt Dusting-Artefakte, behandelt sie gesondert und legt die Herleitung transparent offen. Die Heuristik gilt als Indiz, nicht als Beweis. Nachvollziehbarkeit der Methodik entscheidet über die Verwertbarkeit.
Der bloße Versand minimaler Beträge ist vielerorts nicht ausdrücklich verboten. Strafrechtliche Relevanz entsteht erst, wenn das Dusting Teil eines größeren Vorgehens ist, etwa Phishing, Betrug oder das Ausspähen von Daten. Maßgeblich sind Einzelfall und Rechtsordnung.
Genutzte Börsen, ungefähre Bestände, Transaktionsfrequenz, verbundene Adressen und Bewegungszeitpunkte größerer Bestände. Alle Erkenntnisse stammen ausschließlich aus öffentlich einsehbaren Blockchain-Daten.
Nein. Seriöse Forensik arbeitet ausschließlich mit öffentlich verfügbaren Daten und zulässigen Ermittlungsansätzen. Aktive Dust-Angriffe gehören nicht dazu, ausgewertet werden ohnehin sichtbare On-Chain-Zusammenhänge.
Häufig steht das Dusting am Anfang. Die aus dem Cluster gewonnenen Informationen ermöglichen personalisierte Phishing-Angriffe, die erst Wochen später erfolgen. Der eigentliche Schaden entsteht dann außerhalb der Blockchain.
Durch Wallet-Cluster- und Fund-Flow-Analysen, die Attributionsketten belastbar dokumentieren und Dusting-Artefakte berücksichtigen, als gerichtsverwertbare Zuarbeit für Rechtsanwälte, Unternehmen und Behörden. Eine erste Falleinschätzung ist kostenfrei.
