Kurz erklärt: Wallet-Attribution ist die Zuordnung eines Adressclusters zu einem realen Akteur — einer Handelsplattform, einem Dienst, einer Organisation oder einer Person. Sie ist der Schritt, an dem die pseudonyme Blockchain mit der wirklichen Welt verbunden wird, und damit der entscheidende Punkt jeder forensischen Untersuchung. Ihre Belastbarkeit hängt vollständig von der Qualität der zugrunde liegenden Off-Chain-Quelle ab.
Vom Cluster zum Akteur
Nach dem Clustering liegt eine Entität vor: eine Menge zusammengehöriger Adressen mit erkennbarem Bestand und Verhalten. Was fehlt, ist der Name.
Diese Lücke lässt sich mit Blockchain-Daten allein nicht schließen. Die On-Chain-Analyse kann Verhalten beschreiben — sie kann feststellen, dass ein Cluster wie eine Handelsplattform agiert, weil es viele kleine Zuflüsse und wenige große Abflüsse zeigt. Sie kann aber nicht feststellen, welche Plattform es ist.
Jede Attribution beruht deshalb auf einer Off-Chain-Quelle. Deren Qualität bestimmt die Belastbarkeit der Aussage — nicht die Menge der ausgewerteten Transaktionsdaten. Ein Gutachten, das hunderte Seiten Transaktionsanalyse enthält und die entscheidende Zuordnung auf eine unbelegte Datenbankangabe stützt, ist an der wichtigsten Stelle schwach.
Zu unterscheiden ist zwischen zwei Zielrichtungen. Die Dienstattribution ordnet ein Cluster einem Anbieter zu — das reicht für die Frage, ob ein rechtlicher Zugriff möglich ist. Die Personenattribution ordnet es einem Menschen zu; sie ist deutlich anspruchsvoller und in der Regel Sache der Ermittlungsbehörden.
Belastbare Quellen
Eigene Testtransaktionen. Die stärkste selbst erzeugbare Quelle. Wer bei einem Anbieter ein Konto eröffnet und eine Einzahlung vornimmt, erhält eine Einzahlungsadresse, die nachweislich diesem Anbieter gehört. Über die Common-Input-Heuristik verbindet sich diese Adresse mit dem übrigen Cluster des Anbieters. Das Verfahren ist reproduzierbar und in einem Gutachten vollständig darstellbar — der entscheidende Vorteil gegenüber übernommenen Angaben.
Veröffentlichte Adressen. Adressen, die ein Akteur selbst publiziert hat: Spendenadressen, Angaben auf Webseiten, Zahlungsadressen in Erpressungsschreiben. Ihre Aussagekraft ist hoch, sofern die Veröffentlichung dokumentiert ist.
Behördliche und gerichtliche Quellen. Adressen aus Anklageschriften, Urteilen, Beschlagnahmemitteilungen und Sanktionslisten wie der OFAC-SDN-Liste. Diese Quellen sind zitierfähig und überprüfbar.
Angaben Geschädigter. Bei Betrugsfällen liefern Betroffene die Empfängeradresse aus ihrer eigenen Transaktionshistorie. In Verbindung mit Kommunikationsverläufen ist das eine belastbare Zuordnung zur Betrugsplattform — und der übliche Ausgangspunkt.
Kommerzielle Attributionsdatenbanken
Analyseanbieter pflegen umfangreiche Datenbanken, die Adresscluster benannten Diensten zuordnen. Sie sind der schnellste Weg zur Einordnung eines Endpunkts und in der Praxis unverzichtbar.
Ihre Schwäche ist grundsätzlicher Natur: Die Methodik wird nicht offengelegt. Wie eine Zuordnung zustande kam, welche Quellen ihr zugrunde liegen und wie zuverlässig sie ist, bleibt Geschäftsgeheimnis. Für den Anwender ist die Angabe damit nicht überprüfbar.
Hinzu kommt, dass Zuordnungen veralten. Dienste werden übernommen, stellen den Betrieb ein oder ändern ihre Adressverwaltung. Eine Attribution ist deshalb stets eine Aussage mit Zeitbezug.
Für die Verwendung im Gutachten folgt daraus eine klare Regel: Übernommene Zuordnungen sind als solche zu kennzeichnen, mit Anbieter und Abrufdatum. Wo die Zuordnung tragend ist, sollte sie durch eine eigene Beobachtung gestützt werden — im Regelfall durch eine Testtransaktion.
Die Unterscheidung zwischen „durch eigene Testtransaktion bestätigt“ und „aus einer Datenbank übernommen“ ist im Verfahren erheblich. Sie entscheidet darüber, ob die Aussage überprüfbar ist.
Attribution zu Personen
Die Zuordnung zu einem Menschen erfordert regelmäßig Zugriffsmöglichkeiten, die Privaten nicht offenstehen.
Der übliche Weg führt über KYC-Daten: Erreicht eine Spur eine Plattform mit Identifizierungspflicht, kann über ein behördliches Auskunftsverlangen der Kontoinhaber ermittelt werden. Das ist der Grund, warum die Verfolgung nicht auf einen vollständigen Transaktionsgraphen zielt, sondern auf den ersten Endpunkt mit Identifizierungspflicht.
Weitere Ansätze — Auswertung beschlagnahmter Datenträger, Verbindungsdaten, Zeugenaussagen — sind ebenfalls den Ermittlungsbehörden vorbehalten.
Eine Grenze verdient Hervorhebung: Ein identifizierter Kontoinhaber ist nicht zwingend der Handelnde. Verifizierte Konten werden gehandelt, und Finanzagenten stellen ihre Konten gegen Provision zur Verfügung. Die Attribution liefert einen Anknüpfungspunkt, keinen Täternachweis.
Fehlattribution und ihre Folgen
Eine falsche Zuordnung ist der schwerwiegendste Fehler der Disziplin, weil sie unmittelbar Personen betrifft.
Typische Ursachen sind ein fehlerhaftes Cluster, das Adressen Dritter enthält, eine veraltete Datenbankangabe, ein übersehener Nested Exchange, dessen Aktivität der großen Plattform zugerechnet wird, und die Verwechslung von Verwahrer und Kunde — eine Adresse einer Börse gehört der Börse, nicht dem Nutzer, der dort einzahlt.
Die Folgen reichen von blockierten Konten unbeteiligter Nutzer über falsche Verdachtsmeldungen bis zu Ermittlungsmaßnahmen gegen Unbeteiligte. Weil Attributionsangaben zwischen Anbietern und Behörden weitergegeben werden, kann sich ein Fehler zudem verbreiten und ist schwer zu korrigieren.
Wirksame Gegenmaßnahmen sind: Prüfung der Clusterbildung vor der Attribution, Kennzeichnung jeder Quelle, Verwendung mehrerer unabhängiger Belege für tragende Zuordnungen und die konsequente Trennung zwischen Beobachtung und Bewertung in der Darstellung.
Beweiswert im Verfahren
Vor Gericht sind Transaktionsdaten und Attributionsaussagen von völlig unterschiedlichem Gewicht.
Transaktionsdaten sind stark: manipulationsresistent, öffentlich einsehbar und von jedem Dritten mit einem Blockchain-Explorer nachrechenbar. Dass eine bestimmte Transaktion zu einem bestimmten Zeitpunkt einen bestimmten Betrag an eine bestimmte Adresse übertragen hat, ist überprüfbar.
Attributionsaussagen sind schwach, wenn sie nicht belegt sind. Die Aussage „diese Adresse gehört der Plattform X“ ist keine Beobachtung, sondern eine Schlussfolgerung aus einer Off-Chain-Quelle. Ihre Überzeugungskraft steht und fällt damit, ob diese Quelle benannt und nachvollziehbar ist.
Für ein Gutachten ergibt sich daraus eine Struktur: Beobachtungen und Bewertungen sind getrennt darzustellen, jede Zuordnung ist mit Quelle und Datum zu belegen, verwendete Heuristiken sind zu benennen, und Unsicherheiten sind auszuweisen statt geglättet.
Ein Gutachten, das Zuordnungen ohne Begründung als Tatsache behauptet, ist im Verfahren wenig wert — unabhängig davon, wie umfangreich die übrige Analyse ausfällt.
Häufige Fragen
Wie wird eine Adresse einem Unternehmen zugeordnet?
Über Off-Chain-Quellen: eigene Testtransaktionen, die eine Einzahlungsadresse nachweislich einem Anbieter zuordnen, veröffentlichte Adressen, behördliche Quellen wie Sanktionslisten sowie Angaben Geschädigter. Aus Blockchain-Daten allein ist eine Zuordnung nicht möglich.
Was ist eine Testtransaktion?
Der Analyst eröffnet bei einem Anbieter selbst ein Konto und zahlt einen Kleinbetrag ein. Die dabei zugeteilte Einzahlungsadresse gehört nachweislich diesem Anbieter und verbindet sich über die Common-Input-Heuristik mit dessen übrigem Cluster. Das Verfahren ist reproduzierbar und darstellbar.
Wie zuverlässig sind kommerzielle Attributionsdatenbanken?
Sie sind praktisch unverzichtbar, aber nicht überprüfbar — die Methodik ist Geschäftsgeheimnis. Zudem veralten Zuordnungen. Übernommene Angaben gehören mit Anbieter und Abrufdatum gekennzeichnet und sollten bei tragender Bedeutung durch eigene Beobachtung gestützt werden.
Kann eine Adresse einer bestimmten Person zugeordnet werden?
In der Regel nur über KYC-Daten einer Plattform, die per behördlichem Auskunftsverlangen erhoben werden. Privaten steht dieser Weg nicht offen. Und selbst dann gilt: Der identifizierte Kontoinhaber ist nicht zwingend der Handelnde.
Was passiert bei einer Fehlattribution?
Die Folgen reichen von blockierten Konten Unbeteiligter über falsche Verdachtsmeldungen bis zu Ermittlungsmaßnahmen gegen die falsche Person. Da Attributionsangaben zwischen Anbietern und Behörden weitergegeben werden, verbreitet sich ein Fehler zudem und ist schwer zu korrigieren.
Gehört eine Börsenadresse dem Kunden, der dort einzahlt?
Nein. Einzahlungsadressen gehören der Plattform, nicht dem Kunden. Die Verwechslung von Verwahrer und Kunde ist eine der häufigsten Ursachen für Fehlattributionen.
Was zählt vor Gericht mehr — Transaktionsdaten oder Attribution?
Transaktionsdaten sind stark, weil sie von jedem Dritten nachrechenbar sind. Attributionsaussagen sind Schlussfolgerungen aus Off-Chain-Quellen; ihr Wert hängt davon ab, ob die Quelle benannt und nachvollziehbar ist. Unbelegte Zuordnungen haben im Verfahren wenig Gewicht.
Zusammenfassung
Wallet-Attribution ordnet ein Adresscluster einem realen Akteur zu und verbindet damit die pseudonyme Blockchain mit der wirklichen Welt. Sie beruht stets auf einer Off-Chain-Quelle — Testtransaktionen, veröffentlichte Adressen, behördliche Quellen oder Angaben Geschädigter. Kommerzielle Datenbanken sind praktisch unverzichtbar, aber wegen der nicht offengelegten Methodik nicht überprüfbar und gehören gekennzeichnet. Die Zuordnung zu einer Person erfordert regelmäßig KYC-Daten und behördliche Befugnisse. Fehlattributionen treffen unmittelbar Unbeteiligte und verbreiten sich schwer korrigierbar — die Trennung zwischen Beobachtung und Bewertung ist deshalb keine Formalie.
Weiterführende Quellen
- Satoshi Nakamoto — Bitcoin: A Peer-to-Peer Electronic Cash System (PDF): bitcoin.org
- OFAC — Specially Designated Nationals and Blocked Persons List: ofac.treasury.gov
- § 10 GwG — Allgemeine Sorgfaltspflichten, Gesetze im Internet: www.gesetze-im-internet.de
- NIST — Computer Security Resource Center Glossary: csrc.nist.gov
- Europol — Internet Organised Crime Threat Assessment (IOCTA): www.europol.europa.eu
- BKA — Bundeslagebild Cybercrime: www.bka.de
- US-Finanzministerium — Sanktionierung von Tornado Cash, Pressemitteilung: home.treasury.gov