{"id":3247,"date":"2026-08-11T15:22:29","date_gmt":"2026-08-11T13:22:29","guid":{"rendered":"https:\/\/finanz-forensik.de\/?p=3247"},"modified":"2026-08-11T15:22:31","modified_gmt":"2026-08-11T13:22:31","slug":"recovery-scam-nach-kapitalanlagebetrug-zeitfenster","status":"publish","type":"post","link":"https:\/\/finanz-forensik.de\/en\/recovery-scam-nach-kapitalanlagebetrug-zeitfenster\/","title":{"rendered":"Recovery scam after investment fraud: When the second scam arrives faster than help"},"content":{"rendered":"\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Seit etwa zwei Monaten f\u00e4llt uns in der Fallaufnahme etwas auf, das wir f\u00fcr berichtenswert halten, auch wenn wir es ausdr\u00fccklich als Beobachtung und nicht als belegte Statistik verstanden wissen wollen. Der Recovery Scam nach Kapitalanlagebetrug ist kein neues Ph\u00e4nomen. Neu ist die Geschwindigkeit, mit der er auf den ersten Schaden folgt. F\u00fcr Rechtsanw\u00e4lte, Unternehmen und Privatpersonen hat das unmittelbare Konsequenzen, weil sich der zu analysierende Schaden ver\u00e4ndert, bevor \u00fcberhaupt jemand mit der Aufkl\u00e4rung beginnt.<\/p>\n

Recovery Scam nach Kapitalanlagebetrug: was sich in der Fallaufnahme ver\u00e4ndert hat<\/h2>\n

Bis vor Kurzem meldeten sich Gesch\u00e4digte eines Kapitalanlage- oder Kryptobetrugs in der Regel dann bei uns, wenn sie den Betrug gerade erkannt hatten. Die Auszahlung wurde verweigert, die Plattform reagierte nicht mehr, oder der freundliche \u201eBetreuer“ verlangte pl\u00f6tzlich eine Steuer, die es nicht gibt. Der Verlust stand fest, die Betr\u00e4ge waren beziffert, und der Auftrag lautete: Wohin sind die Mittel geflossen?<\/p>\n

Inzwischen h\u00f6ren wir in den Erstgespr\u00e4chen zunehmend eine l\u00e4ngere Vorgeschichte. Der Anlagebetrug ist nicht mehr das letzte Ereignis vor der Kontaktaufnahme, sondern das vorletzte. Dazwischen liegt ein zweiter Betrug, der genau an dem Punkt ansetzt, an dem der erste erkannt wurde.<\/p>\n

Wie ein Recovery Scam typischerweise abl\u00e4uft<\/h2>\n

Das Muster ist in den F\u00e4llen, die wir sehen, bemerkenswert einheitlich:<\/p>\n

Kapitalanlagebetrug \u2192 vermeintliche R\u00fcckholagentur \u2192 weitere Zahlungen \u2192 keine R\u00fcckzahlung \u2192 Kontaktaufnahme mit uns.<\/b><\/b><\/p>\n

Der Schaden, den wir anschlie\u00dfend analysieren, ist nicht mehr der urspr\u00fcngliche. Er ist um die Zahlungen der zweiten Phase gewachsen, und diese Zahlungen sind oft in Betr\u00e4gen erfolgt, die sich Betroffene nach dem ersten Verlust eigentlich nicht mehr leisten konnten. Wer die Strukturen hinter diesen Anbietern im Detail nachvollziehen m\u00f6chte, findet eine ausf\u00fchrliche Darstellung in unserer Analyse zu Recovery Scams nach Kryptobetrug<\/a>.<\/p>\n

Warum das Zeitfenster nach einem Kapitalanlagebetrug kleiner geworden ist<\/h2>\n

Zwischen dem Erkennen eines Betrugs und dem Aufsuchen professioneller Hilfe lag fr\u00fcher eine Phase der Orientierung. Betroffene sprachen mit ihrer Bank, erstatteten Anzeige, suchten nach Kanzleien oder forensischen Dienstleistern. In dieser Phase wurde selten Geld bewegt.<\/p>\n

Genau dieses Zeitfenster scheint zunehmend besetzt zu sein, bevor Betroffene es nutzen k\u00f6nnen. Die Kontaktaufnahme durch die vermeintlichen R\u00fcckholer erfolgt in den F\u00e4llen, die wir sehen, h\u00e4ufig kurz nach dem Zusammenbruch der urspr\u00fcnglichen Plattform, manchmal innerhalb weniger Tage.<\/p>\n

Daraus leiten wir eine Arbeitshypothese ab, die wir bewusst als solche kennzeichnen: Gesch\u00e4digte von Krypto- und Kapitalanlagebetrug werden offenbar sehr zeitnah und gezielt von Recovery-Anbietern beziehungsweise Recovery-Scammern angesprochen. Ob das im Einzelfall \u00fcber weitergegebene Daten, \u00f6ffentlich zug\u00e4ngliche Informationen, gemeinsame T\u00e4terstrukturen oder schlicht denselben Personenkreis in anderer Rolle geschieht, l\u00e4sst sich nur fallbezogen untersuchen. Die zeitliche N\u00e4he beider Phasen ist aber bemerkenswert.<\/p>\n

Woher wissen Recovery-Scammer, dass jemand Geld verloren hat?<\/h2>\n

Wenn sich unaufgefordert jemand meldet, der bereits wei\u00df, dass jemand Geld verloren hat, ist das kein Zufall und kein Gl\u00fccksfall. Es ist der wichtigste Befund des Gespr\u00e4chs.<\/p>\n

F\u00fcr die Herkunft dieses Wissens kommen mehrere Erkl\u00e4rungen in Betracht. Gesch\u00e4digtendaten werden innerhalb krimineller Netzwerke weitergegeben und gehandelt. Die T\u00e4ter des urspr\u00fcnglichen Betrugs verf\u00fcgen ohnehin \u00fcber den vollst\u00e4ndigen Datensatz: Name, Kontaktdaten, Zahlungshistorie, Risikobereitschaft, verf\u00fcgbare Mittel. Und es ist ohne Weiteres denkbar, dass T\u00e4ter lediglich die Rolle wechseln. Aus dem angeblichen Broker wird, nicht zwingend unter demselben Namen, aber m\u00f6glicherweise innerhalb derselben Infrastruktur, ein vermeintlicher Ermittler.<\/p>\n

Aus T\u00e4tersicht ist ein bereits gesch\u00e4digter Anleger die attraktivste Zielgruppe \u00fcberhaupt. Die Zahlungsbereitschaft ist erwiesen, die Zahlungswege sind bekannt, und die Motivation ist so hoch wie nie zuvor. Der erste Betrug schafft damit die Voraussetzung f\u00fcr den zweiten. Welche Rolle dabei auch Werbeplattformen spielen k\u00f6nnen, behandeln wir in unserem Whitepaper zur Haftung von Werbeplattformen bei Recovery-Scams<\/a>.<\/p>\n

Vorauszahlung, Sperrvermerk, Screenshot: die Werkzeuge der Recovery-Scammer<\/h2>\n

Recovery Scams laufen fast ausnahmslos \u00fcber Vorauszahlungen. Verlangt werden Freigabe- oder Aktivierungsgeb\u00fchren, angebliche Blockchain- oder Netzwerkkosten, Steuern, Versicherungen, AML- oder KYC-Geb\u00fchren, Sicherheitsleistungen, Rechtskosten oder Erfolgsprovisionen, die vorab f\u00e4llig sein sollen. Die Bezeichnungen wechseln, das Muster nicht: Bevor das angeblich gefundene Geld flie\u00dft, muss Geld flie\u00dfen.<\/p>\n

Untermauert wird das h\u00e4ufig mit Material, das echt aussieht und teilweise sogar echt ist: Wallet-Adressen, Transaktions-Hashes, Screenshots aus Blockchain-Explorern, Sperrvermerke, Beh\u00f6rdenschreiben.<\/p>\n

Sichtbarkeit ist nicht Verf\u00fcgungsgewalt: warum ein Transaktions-Hash nichts beweist<\/h2>\n

Hier lohnt eine Unterscheidung, die in unserer t\u00e4glichen Arbeit zentral ist. Eine Transaktion auf einer \u00f6ffentlichen Blockchain nachzuweisen, ist trivial, denn jede dieser Transaktionen ist f\u00fcr jeden einsehbar. Zu wissen, wo Mittel gelandet sind, sagt aber nichts dar\u00fcber aus, ob jemand dar\u00fcber verf\u00fcgen kann.<\/p>\n

Verf\u00fcgungsgewalt \u00fcber Kryptowerte hat, wer den privaten Schl\u00fcssel besitzt oder wer als Verwahrer \u00fcber das Konto entscheidet. Ein Dritter, der Screenshots vorlegt, geh\u00f6rt in aller Regel zu keiner dieser beiden Gruppen. Wer also \u201eWir haben Ihre Bitcoins gefunden“ sagt, sagt im besten Fall etwas Zutreffendes und zugleich v\u00f6llig Belangloses.<\/p>\n

Tats\u00e4chliche Sperrungen sind m\u00f6glich, aber sie laufen \u00fcber andere Wege. Stablecoin-Emittenten k\u00f6nnen Token blockieren, B\u00f6rsen k\u00f6nnen Konten einfrieren. Wie das in der Praxis abl\u00e4uft, zeigen wir am Beispiel eingefrorener Kryptow\u00e4hrungen durch Tether und Circle<\/a>. Entschieden wird das nie von einem anrufenden Dritten.<\/p>\n

Was Blockchain-Forensik leisten kann und was nicht<\/h2>\n

Ein Artikel \u00fcber R\u00fcckholversprechen, geschrieben von einem Unternehmen, das Blockchain-Forensik anbietet, muss an dieser Stelle deutlich werden.<\/p>\n

Wir f\u00fchren keine Kryptowerte zur\u00fcck. Wir k\u00f6nnen es nicht, und niemand, der von au\u00dfen auf eine fremde Wallet blickt, kann es. Was eine Krypto-Forensik<\/a> leisten kann, ist die Rekonstruktion des Mittelflusses: welche Betr\u00e4ge wann wohin geflossen sind, \u00fcber welche Zwischenadressen, bis zu welchem Dienstleister. Das Ergebnis ist ein Bericht, mit dem Ermittlungsbeh\u00f6rden, Staatsanwaltschaften und Kanzleien arbeiten k\u00f6nnen, etwa um ein Auskunfts- oder Sicherungsersuchen an eine B\u00f6rse zu richten, das sich auf konkrete Transaktionen st\u00fctzt statt auf eine blo\u00dfe Adressangabe. Welche Nachweise daf\u00fcr erforderlich sind, haben wir gesondert dargestellt: Kryptobetrug beweisen<\/a>.<\/p>\n

Ob daraus eine R\u00fcckf\u00fchrung wird, entscheidet nicht der Forensiker. Es entscheiden die beteiligten Dienstleister, die zust\u00e4ndigen Beh\u00f6rden und am Ende ein Gericht. Wer etwas anderes verspricht, verspricht etwas, das er nicht halten kann. Wie ein abgewehrter Recovery-Scam im konkreten Fall aussieht, zeigt unser Fallbericht zu Aufbereitung, Asset Freeze und Recovery-Scam<\/a>.<\/p>\n

Und noch etwas geh\u00f6rt zur Ehrlichkeit dieses Themas: Auch wir kontaktieren Gesch\u00e4digte nicht unaufgefordert. Wenn sich jemand unter unserem Namen oder dem einer anderen Firma meldet, ohne dass der Kontakt gesucht wurde, sollte das \u00fcber bekannte Wege gepr\u00fcft werden, nicht \u00fcber die Rufnummer oder den Link aus der Nachricht. Dass unser Name daf\u00fcr missbraucht wird, ist keine Theorie: siehe unsere Warnung vor finanzforensik.com<\/a>.<\/p>\n

Recovery Scam erkennen: sechs Merkmale unseri\u00f6ser R\u00fcckholanbieter<\/h2>\n

Es gibt keine einzelne Eigenschaft, die einen unseri\u00f6sen Anbieter sicher entlarvt. Es gibt aber eine Reihe von Merkmalen, die in der Summe deutlich sind:<\/p>\n