Recovery scam after investment fraud: When the second scam arrives faster than help

Seit etwa zwei Monaten fällt uns in der Fallaufnahme etwas auf, das wir für berichtenswert halten, auch wenn wir es ausdrücklich als Beobachtung und nicht als belegte Statistik verstanden wissen wollen. Der Recovery Scam nach Kapitalanlagebetrug ist kein neues Phänomen. Neu ist die Geschwindigkeit, mit der er auf den ersten Schaden folgt. Für Rechtsanwälte, Unternehmen und Privatpersonen hat das unmittelbare Konsequenzen, weil sich der zu analysierende Schaden verändert, bevor überhaupt jemand mit der Aufklärung beginnt.

Recovery Scam nach Kapitalanlagebetrug: was sich in der Fallaufnahme verändert hat

Bis vor Kurzem meldeten sich Geschädigte eines Kapitalanlage- oder Kryptobetrugs in der Regel dann bei uns, wenn sie den Betrug gerade erkannt hatten. Die Auszahlung wurde verweigert, die Plattform reagierte nicht mehr, oder der freundliche „Betreuer“ verlangte plötzlich eine Steuer, die es nicht gibt. Der Verlust stand fest, die Beträge waren beziffert, und der Auftrag lautete: Wohin sind die Mittel geflossen?

Inzwischen hören wir in den Erstgesprächen zunehmend eine längere Vorgeschichte. Der Anlagebetrug ist nicht mehr das letzte Ereignis vor der Kontaktaufnahme, sondern das vorletzte. Dazwischen liegt ein zweiter Betrug, der genau an dem Punkt ansetzt, an dem der erste erkannt wurde.

Wie ein Recovery Scam typischerweise abläuft

Das Muster ist in den Fällen, die wir sehen, bemerkenswert einheitlich:

Kapitalanlagebetrug → vermeintliche Rückholagentur → weitere Zahlungen → keine Rückzahlung → Kontaktaufnahme mit uns.

Der Schaden, den wir anschließend analysieren, ist nicht mehr der ursprüngliche. Er ist um die Zahlungen der zweiten Phase gewachsen, und diese Zahlungen sind oft in Beträgen erfolgt, die sich Betroffene nach dem ersten Verlust eigentlich nicht mehr leisten konnten. Wer die Strukturen hinter diesen Anbietern im Detail nachvollziehen möchte, findet eine ausführliche Darstellung in unserer Analyse zu Recovery Scams nach Kryptobetrug.

Warum das Zeitfenster nach einem Kapitalanlagebetrug kleiner geworden ist

Zwischen dem Erkennen eines Betrugs und dem Aufsuchen professioneller Hilfe lag früher eine Phase der Orientierung. Betroffene sprachen mit ihrer Bank, erstatteten Anzeige, suchten nach Kanzleien oder forensischen Dienstleistern. In dieser Phase wurde selten Geld bewegt.

Genau dieses Zeitfenster scheint zunehmend besetzt zu sein, bevor Betroffene es nutzen können. Die Kontaktaufnahme durch die vermeintlichen Rückholer erfolgt in den Fällen, die wir sehen, häufig kurz nach dem Zusammenbruch der ursprünglichen Plattform, manchmal innerhalb weniger Tage.

Daraus leiten wir eine Arbeitshypothese ab, die wir bewusst als solche kennzeichnen: Geschädigte von Krypto- und Kapitalanlagebetrug werden offenbar sehr zeitnah und gezielt von Recovery-Anbietern beziehungsweise Recovery-Scammern angesprochen. Ob das im Einzelfall über weitergegebene Daten, öffentlich zugängliche Informationen, gemeinsame Täterstrukturen oder schlicht denselben Personenkreis in anderer Rolle geschieht, lässt sich nur fallbezogen untersuchen. Die zeitliche Nähe beider Phasen ist aber bemerkenswert.

Woher wissen Recovery-Scammer, dass jemand Geld verloren hat?

Wenn sich unaufgefordert jemand meldet, der bereits weiß, dass jemand Geld verloren hat, ist das kein Zufall und kein Glücksfall. Es ist der wichtigste Befund des Gesprächs.

Für die Herkunft dieses Wissens kommen mehrere Erklärungen in Betracht. Geschädigtendaten werden innerhalb krimineller Netzwerke weitergegeben und gehandelt. Die Täter des ursprünglichen Betrugs verfügen ohnehin über den vollständigen Datensatz: Name, Kontaktdaten, Zahlungshistorie, Risikobereitschaft, verfügbare Mittel. Und es ist ohne Weiteres denkbar, dass Täter lediglich die Rolle wechseln. Aus dem angeblichen Broker wird, nicht zwingend unter demselben Namen, aber möglicherweise innerhalb derselben Infrastruktur, ein vermeintlicher Ermittler.

Aus Tätersicht ist ein bereits geschädigter Anleger die attraktivste Zielgruppe überhaupt. Die Zahlungsbereitschaft ist erwiesen, die Zahlungswege sind bekannt, und die Motivation ist so hoch wie nie zuvor. Der erste Betrug schafft damit die Voraussetzung für den zweiten. Welche Rolle dabei auch Werbeplattformen spielen können, behandeln wir in unserem Whitepaper zur Liability of advertising platforms in recovery scams.

Vorauszahlung, Sperrvermerk, Screenshot: die Werkzeuge der Recovery-Scammer

Recovery Scams laufen fast ausnahmslos über Vorauszahlungen. Verlangt werden Freigabe- oder Aktivierungsgebühren, angebliche Blockchain- oder Netzwerkkosten, Steuern, Versicherungen, AML- oder KYC-Gebühren, Sicherheitsleistungen, Rechtskosten oder Erfolgsprovisionen, die vorab fällig sein sollen. Die Bezeichnungen wechseln, das Muster nicht: Bevor das angeblich gefundene Geld fließt, muss Geld fließen.

Untermauert wird das häufig mit Material, das echt aussieht und teilweise sogar echt ist: Wallet-Adressen, Transaktions-Hashes, Screenshots aus Blockchain-Explorern, Sperrvermerke, Behördenschreiben.

Sichtbarkeit ist nicht Verfügungsgewalt: warum ein Transaktions-Hash nichts beweist

Hier lohnt eine Unterscheidung, die in unserer täglichen Arbeit zentral ist. Eine Transaktion auf einer öffentlichen Blockchain nachzuweisen, ist trivial, denn jede dieser Transaktionen ist für jeden einsehbar. Zu wissen, wo Mittel gelandet sind, sagt aber nichts darüber aus, ob jemand darüber verfügen kann.

Verfügungsgewalt über Kryptowerte hat, wer den privaten Schlüssel besitzt oder wer als Verwahrer über das Konto entscheidet. Ein Dritter, der Screenshots vorlegt, gehört in aller Regel zu keiner dieser beiden Gruppen. Wer also „Wir haben Ihre Bitcoins gefunden“ sagt, sagt im besten Fall etwas Zutreffendes und zugleich völlig Belangloses.

Tatsächliche Sperrungen sind möglich, aber sie laufen über andere Wege. Stablecoin-Emittenten können Token blockieren, Börsen können Konten einfrieren. Wie das in der Praxis abläuft, zeigen wir am Beispiel eingefrorener Kryptowährungen durch Tether und Circle. Entschieden wird das nie von einem anrufenden Dritten.

Was Blockchain-Forensik leisten kann und was nicht

Ein Artikel über Rückholversprechen, geschrieben von einem Unternehmen, das Blockchain forensics anbietet, muss an dieser Stelle deutlich werden.

Wir führen keine Kryptowerte zurück. Wir können es nicht, und niemand, der von außen auf eine fremde Wallet blickt, kann es. Was eine Crypto forensics leisten kann, ist die Rekonstruktion des Mittelflusses: welche Beträge wann wohin geflossen sind, über welche Zwischenadressen, bis zu welchem Dienstleister. Das Ergebnis ist ein Bericht, mit dem Ermittlungsbehörden, Staatsanwaltschaften und Kanzleien arbeiten können, etwa um ein Auskunfts- oder Sicherungsersuchen an eine Börse zu richten, das sich auf konkrete Transaktionen stützt statt auf eine bloße Adressangabe. Welche Nachweise dafür erforderlich sind, haben wir gesondert dargestellt: Kryptobetrug beweisen.

Ob daraus eine Rückführung wird, entscheidet nicht der Forensiker. Es entscheiden die beteiligten Dienstleister, die zuständigen Behörden und am Ende ein Gericht. Wer etwas anderes verspricht, verspricht etwas, das er nicht halten kann. Wie ein abgewehrter Recovery-Scam im konkreten Fall aussieht, zeigt unser Fallbericht zu Aufbereitung, Asset Freeze und Recovery-Scam.

Und noch etwas gehört zur Ehrlichkeit dieses Themas: Auch wir kontaktieren Geschädigte nicht unaufgefordert. Wenn sich jemand unter unserem Namen oder dem einer anderen Firma meldet, ohne dass der Kontakt gesucht wurde, sollte das über bekannte Wege geprüft werden, nicht über die Rufnummer oder den Link aus der Nachricht. Dass unser Name dafür missbraucht wird, ist keine Theorie: siehe unsere Warning about finanzforensik.com.

Recovery Scam erkennen: sechs Merkmale unseriöser Rückholanbieter

Es gibt keine einzelne Eigenschaft, die einen unseriösen Anbieter sicher entlarvt. Es gibt aber eine Reihe von Merkmalen, die in der Summe deutlich sind:

• Unaufgeforderte Kontaktaufnahme: Das stärkste Signal. Seriöse Dienstleister erfahren nicht von sich aus, dass jemand Geld verloren hat.
• Vorauszahlung als Bedingung: Gleich unter welchem Namen. Eine Gebühr, die erst die Auszahlung freischaltet, ist kein Geschäftsmodell, sondern ein Betrugsmerkmal.
• Zeitdruck: „Nur noch 48 Stunden“, „das Konto wird sonst geschlossen“, „die Sperre läuft ab“. Druck ersetzt Prüfung, genau darauf zielt er ab.
• Behauptete Kontrolle statt beschriebener Beobachtung: „Wir haben die Gelder eingefroren“ ist eine Behauptung über Verfügungsgewalt. Sie muss erklärt werden können.
• Amtliche Anmutung: Angebliche Mitarbeiter von Aufsichtsbehörden, Gerichten oder Ermittlungsbehörden, die Zahlungen entgegennehmen. Behörden tun das nicht.
• Zahlungswege ohne Rückholmöglichkeit: Kryptowerte, Gutscheincodes, Zahlungsdienste ohne Chargeback.

Vor jeder weiteren Zahlung sollte unabhängig geprüft werden: Wer ist der Anbieter, seit wann existiert er, wer handelt dort? Gehören Domain, Rufnummer und E-Mail-Adresse tatsächlich zu dieser Organisation? Gibt es die genannte Kanzlei oder Behörde? Und lässt sich die behauptete Kontrolle über die angeblich gefundenen Vermögenswerte technisch nachvollziehen, oder wird lediglich eine öffentlich einsehbare Transaktion gezeigt? Eine erste strukturierte Einordnung ermöglicht unser Crypto Recovery Scam Check.

Was nach einem erkannten Kapitalanlagebetrug zuerst zu tun ist

Die wichtigste Regel ist eine Verzögerungsregel: Nach dem Erkennen eines Anlagebetrugs sollte kein Geld mehr aufgrund von Rückholversprechen fließen, bevor Anbieter, Zahlungsgrund und behauptete Rückholmöglichkeit unabhängig geprüft sind. Der Verlust ist bereits eingetreten. Ein paar Tage Prüfung ändern daran nichts, eine übereilte Zahlung dagegen schon.

Sinnvoll ist stattdessen, zuerst die Beweislage zu sichern, vollständig und unverändert. Dazu gehören Transaktions-Hashes und Wallet-Adressen, Kontoauszüge und Überweisungsbelege, sämtliche Kommunikationsverläufe einschließlich Metadaten, Rufnummern, E-Mail-Adressen und Domains, Screenshots der Plattform mit sichtbarer URL, Vertragsunterlagen und alle Zahlungsaufforderungen. Erfahrungsgemäß verschwinden Plattformen und Chatverläufe schnell. Was heute noch abrufbar ist, ist es in zwei Wochen möglicherweise nicht mehr.

Danach lässt sich in Ruhe klären, was technisch, forensisch und rechtlich tatsächlich möglich ist: Strafanzeige, Auskunftsersuchen an die beteiligten Dienstleister, gegebenenfalls eine Blockchain-Analyse als Grundlage dafür.

Was der Recovery Scam für Rechtsanwälte und Ermittlungsarbeit bedeutet

Für Rechtsanwälte verschiebt sich die Ausgangslage in mehrfacher Hinsicht. Der Gesamtschaden ist höher, aber er setzt sich aus zwei rechtlich unterschiedlich zu bewertenden Vorgängen zusammen, die getrennt dokumentiert werden müssen. Die Zahlungswege der zweiten Phase führen zudem häufig zu anderen Dienstleistern als die der ersten und eröffnen damit teilweise eigene Ansatzpunkte für Auskunfts- und Sicherungsersuchen. Wie wir Kanzleien dabei zuarbeiten, beschreiben wir unter Financial Forensics for Lawyers.

Hinzu kommt ein Risiko, das in dieser Konstellation regelmäßig unterschätzt wird: Wer in der zweiten Phase Zahlungen weiterleitet oder Konten zur Verfügung stellt, kann selbst in ein Geldwäscheverfahren geraten. Wir haben diese Konstellation ausführlich beschrieben unter Betrugsopfer als unfreiwillige Geldwäscher.

Privatpersonen, die zunächst eine Ersteinschätzung benötigen, finden unter unserer Marke Crypto Investigation den passenden Einstieg.

Fazit: Aus dem Betrugsfall wird eine Betrugskette

Was wir derzeit sehen, deutet darauf hin, dass sich aus einem Betrugsfall zunehmend eine Betrugskette entwickelt. Der wirtschaftliche Schaden endet nicht mit dem Zusammenbruch der Plattform. Die Erkenntnis des ersten Betrugs kann zum Ausgangspunkt des zweiten werden.

Für die Prävention hat das eine Konsequenz. Es genügt nicht mehr, vor Anlagebetrug zu warnen. Die Warnung muss unmittelbar weitergehen: Wer gerade festgestellt hat, dass er Opfer geworden ist, befindet sich möglicherweise bereits in der Zielgruppe für den nächsten Versuch, und dieser Versuch kommt schneller, als die meisten erwarten.

Der gefährlichste Moment ist inzwischen womöglich genau derjenige, in dem jemand glaubt, den ersten Betrug endlich durchschaut zu haben. Wenn Sie einen konkreten Fall einordnen lassen möchten, nehmen Sie Kontakt mit uns auf.