Kurz erklärt: Beweissicherung bei Kryptosachverhalten umfasst zwei sehr unterschiedliche Aufgaben: die Dokumentation der dauerhaft verfügbaren Blockchain-Daten in reproduzierbarer Form und die sofortige Sicherung der flüchtigen Umgebungsdaten — Kommunikationsverläufe, Plattformoberflächen, Kontoauszüge und Zugangsmittel. Die zweite Aufgabe ist die dringlichere: Blockchain-Daten bleiben, alles andere verschwindet.
Zwei Datenkategorien
Der wichtigste Gedanke zuerst, weil er die Reihenfolge des Vorgehens bestimmt.
Dauerhafte Daten sind die Transaktionen in der Blockchain. Sie werden nicht gelöscht, sind öffentlich einsehbar und Jahre später unverändert abrufbar. Sie stehen unter keinem Zeitdruck.
Flüchtige Daten ist alles andere: Chatverläufe, die die Täter löschen; Plattformoberflächen, die abgeschaltet werden; E-Mails, die im Spam-Ordner automatisch verschwinden; Transaktionshistorien bei Börsen, die nach Kontoschließung nicht mehr abrufbar sind; Zugangsdaten und Geräte, deren Zustand sich ändert.
Die verbreitete Reihenfolge ist genau falsch herum: Betroffene beschäftigen sich zuerst mit der Blockchain-Spur, weil sie technisch interessant wirkt, und versäumen dabei die Sicherung der Umgebungsdaten. Wenige Tage später sind Plattform und Chatverlauf verschwunden.
Die richtige Reihenfolge lautet deshalb: erst das Flüchtige, dann das Dauerhafte.
Was Betroffene sofort sichern sollten
Kommunikation vollständig. Sämtliche Chatverläufe im Volltext exportieren, nicht nur einzelne Screenshots. Viele Messenger bieten eine Exportfunktion. Zusätzlich Screenshots mit sichtbarem Kontaktnamen und Zeitstempel.
Die Plattform. Vollständige Adresse notieren, Screenshots der Oberfläche mit sichtbarem Kontostand, der Auszahlungsmaske und etwaiger Fehlermeldungen. Wenn möglich die Seite als Datei speichern.
Zahlungsbelege. Kontoauszüge der Fiat-Zahlungen, Kreditkartenabrechnungen, Belege über den Erwerb von Kryptowerten.
Transaktionshistorie der Börse. Bei der regulären Plattform, über die eingezahlt wurde, den vollständigen Export der Transaktionshistorie einschließlich der Empfängeradressen herunterladen. Dies ist der wichtigste einzelne Beleg, weil er den Übergang vom eigenen Konto zur Täteradresse dokumentiert.
Transaktions-IDs und Adressen in Textform notieren, nicht nur als Bildschirmfoto — sie werden für die Verfolgung maschinell benötigt.
Kontaktdaten der Täter: Rufnummern, Profilnamen, E-Mail-Adressen, Firmenbezeichnungen.
All das gehört an einen Ort, der nicht mit dem betroffenen Konto verbunden ist.
Reproduzierbare Dokumentation der Blockchain-Daten
Blockchain-Daten sind zwar dauerhaft verfügbar, aber eine Untersuchung bildet stets einen Zustand zu einem bestimmten Zeitpunkt ab. Weil Folgetransaktionen hinzukommen, muss der Untersuchungsstand festgehalten werden.
Üblich ist, die relevanten Rohdaten zu exportieren und mit einem Hashwert zu versehen. Der Hash ist eine Prüfsumme, die sich bei jeder Änderung der Daten verändert. Wird er zusammen mit dem Zeitpunkt der Erhebung dokumentiert, lässt sich später belegen, dass die ausgewerteten Daten unverändert sind.
Zu dokumentieren sind außerdem die verwendete Datenquelle — eigener Netzwerkknoten, konkreter Explorer oder Analysewerkzeug samt Version — und der Abrufzeitpunkt. Diese Angaben wirken pedantisch, entscheiden aber darüber, ob ein Dritter die Analyse nachvollziehen kann.
Der Vorteil gegenüber klassischer IT-Forensik ist erheblich: Die Blockchain selbst ist manipulationsresistent und von jedem unabhängig überprüfbar. Ein Gericht kann eine behauptete Transaktion selbst nachschlagen. Diese Eigenschaft macht Transaktionsdaten zu einem ungewöhnlich starken Beweismittel — anders als die daraus gezogenen Schlussfolgerungen.
Sicherung von Zugangsmitteln
Bei behördlichen Maßnahmen steht etwas anderes im Vordergrund: die Sicherung der Mittel, mit denen über Kryptowerte verfügt werden kann.
Kryptowerte selbst lassen sich nicht beschlagnahmen — sie existieren nicht an einem Ort. Zugriff besteht nur über den privaten Schlüssel. Die Sicherstellung nach § 94 StPO richtet sich deshalb auf Rechner, Mobiltelefone, Hardware-Wallets, Datenträger und Papieraufzeichnungen mit Wiederherstellungswörtern.
Zeitkritisch ist der Gerätezustand. Ein laufendes, entsperrtes Gerät gibt Zugriff auf entschlüsselte Speicherinhalte, geöffnete Anwendungen und Sitzungen. Nach dem Ausschalten ist bei aktivierter Verschlüsselung häufig nichts mehr zugänglich. Das prägt die Vorgehensweise bei Durchsuchungen erheblich.
Die rechtliche Grenze wurde bereits an anderer Stelle beschrieben und gilt auch hier: Der Beschuldigte muss weder Passwort noch Wiederherstellungsphrase herausgeben. Gegenüber Dritten — insbesondere Verwahrern — greift dagegen die Herausgabepflicht nach § 95 StPO.
Zusammenarbeit mit Plattformen und Behörden
Ein Teil der entscheidenden Daten liegt nicht beim Betroffenen, sondern bei Dritten — und dort gelten eigene Fristen.
Die eigene Börse. Sie sollte unmittelbar über den Vorfall unterrichtet werden. Sie kann die Empfängeradresse intern markieren, im Rahmen ihrer geldwäscherechtlichen Pflichten reagieren und hält die Transaktionshistorie vor. Der Hinweis sollte Transaktions-IDs, Zeitpunkte und eine knappe Sachverhaltsdarstellung enthalten — je konkreter, desto eher wird er bearbeitet.
Die empfangende Plattform. Lässt sich der Endpunkt bestimmen, ist auch dieser Anbieter erreichbar. Viele frieren auf einen substantiierten Hinweis vorläufig ein, noch bevor eine behördliche Anordnung vorliegt. Kundendaten geben sie an Privatpersonen nicht heraus — dafür braucht es ein Verfahren.
Aufbewahrungsfristen. Kundendaten werden nach Ablauf der gesetzlichen Fristen gelöscht. Neben dem Abzug der Mittel ist das der zweite Grund, warum Zeit gegen die Aufklärung arbeitet: Auch wenn die Blockchain-Spur bestehen bleibt, kann die Identität dahinter irgendwann nicht mehr ermittelt werden.
Behörden. Die Anzeige sollte die gesicherten Unterlagen strukturiert enthalten, nicht als ungeordnete Sammlung. Eine chronologische Aufstellung mit Datum, Vorgang, Betrag und Belegverweis erhöht die Bearbeitungswahrscheinlichkeit erheblich.
Typische Fehler
Zu spät. Der häufigste und folgenreichste Fehler. Nach wenigen Tagen sind Plattform und Kommunikation verschwunden.
Nur Screenshots. Ein Bildschirmfoto eines Chatverlaufs zeigt einen Ausschnitt. Für die Auswertung wird der vollständige Text benötigt, für die Verfolgung die Transaktions-IDs in maschinenlesbarer Form.
Konto geschlossen. Manche Betroffene schließen aus Scham oder Ärger ihr Börsenkonto. Damit geht die Transaktionshistorie verloren — der wichtigste Einzelbeleg.
Kommunikation fortgesetzt. Weiterer Kontakt mit den Tätern in der Hoffnung auf Rückzahlung führt regelmäßig zu weiteren Zahlungen und zur Preisgabe zusätzlicher Daten.
Zugangsdaten preisgegeben. Auf Aufforderung übermittelte Seed-Phrasen oder installierte Fernwartungssoftware führen zum Verlust auch der verbliebenen Bestände.
Unsortierte Ablage. Belege ohne erkennbaren Zusammenhang erschweren die Auswertung erheblich. Hilfreich ist eine einfache chronologische Aufstellung: Datum, Vorgang, Betrag, Beleg.
Häufige Fragen
Was muss ich nach einem Krypto-Betrug zuerst sichern?
Die flüchtigen Daten: vollständige Chatverläufe, Screenshots der Plattform mit Kontostand, deren Adresse, Kontoauszüge und vor allem den Export der Transaktionshistorie Ihrer regulären Börse. Blockchain-Daten bleiben dauerhaft verfügbar und haben Zeit.
Reichen Screenshots als Beweis?
Nur begrenzt. Für die Auswertung wird der vollständige Text der Kommunikation benötigt, für die Verfolgung müssen Transaktions-IDs und Adressen in maschinenlesbarer Textform vorliegen. Screenshots sind eine sinnvolle Ergänzung, kein Ersatz.
Soll ich mein Börsenkonto schließen?
Nein, jedenfalls nicht sofort. Mit der Kontoschließung geht die Transaktionshistorie verloren — der wichtigste Einzelbeleg, weil er den Übergang vom eigenen Konto zur Täteradresse dokumentiert. Exportieren Sie die Historie zuerst vollständig.
Wozu dient ein Hashwert bei der Beweissicherung?
Er ist eine Prüfsumme, die sich bei jeder Änderung der Daten verändert. Zusammen mit dem Erhebungszeitpunkt dokumentiert, belegt er, dass die ausgewerteten Daten unverändert sind — und macht die Analyse für Dritte nachvollziehbar.
Können Kryptowerte selbst beschlagnahmt werden?
Nicht unmittelbar — sie existieren nicht an einem Ort. Die Sicherstellung richtet sich auf die Zugangsmittel: Rechner, Mobiltelefone, Hardware-Wallets, Datenträger und Aufzeichnungen mit Wiederherstellungswörtern. Bei Verwahrern greift die Herausgabepflicht nach § 95 StPO.
Warum ist der Gerätezustand bei einer Durchsuchung wichtig?
Ein laufendes, entsperrtes Gerät gibt Zugriff auf entschlüsselte Speicherinhalte und geöffnete Sitzungen. Nach dem Ausschalten ist bei aktivierter Verschlüsselung häufig nichts mehr zugänglich.
Soll ich die empfangende Plattform selbst kontaktieren?
Ja, ein substantiierter Hinweis mit Transaktions-IDs und Sachverhaltsdarstellung ist sinnvoll — viele Anbieter frieren daraufhin vorläufig ein, noch bevor eine behördliche Anordnung vorliegt. Kundendaten erhalten Privatpersonen dagegen nicht; dafür ist ein Verfahren erforderlich.
Wie lange bleiben Beweise verfügbar?
Blockchain-Daten dauerhaft. Kundendaten bei Plattformen werden nach Ablauf der gesetzlichen Aufbewahrungsfristen gelöscht — die Identität hinter einer Adresse kann dann nicht mehr ermittelt werden, obwohl die Transaktionsspur bestehen bleibt.
Zusammenfassung
Beweissicherung bei Kryptosachverhalten trennt zwei Datenkategorien. Blockchain-Daten sind dauerhaft verfügbar und werden über Hashwerte und dokumentierte Abrufzeitpunkte reproduzierbar festgehalten. Alles andere ist flüchtig: Chatverläufe, Plattformen, Börsenhistorien und Gerätezustände verschwinden binnen Tagen. Die richtige Reihenfolge lautet deshalb erst das Flüchtige, dann das Dauerhafte. Behördlich richtet sich die Sicherstellung auf Zugangsmittel, weil Kryptowerte selbst nicht an einem Ort existieren. Häufigste Fehler sind verspätete Sicherung, bloße Screenshots und die vorschnelle Schliessung des Börsenkontos.
Weiterführende Quellen
- § 94 StPO — Sicherstellung und Beschlagnahme, Gesetze im Internet: www.gesetze-im-internet.de
- § 95 StPO — Herausgabepflicht, Gesetze im Internet: www.gesetze-im-internet.de
- BSI — Blockchain sicher gestalten: www.bsi.bund.de
- NIST — Computer Security Resource Center Glossary: csrc.nist.gov
- Satoshi Nakamoto — Bitcoin: A Peer-to-Peer Electronic Cash System (PDF): bitcoin.org
- Polizeiliche Kriminalprävention der Länder und des Bundes — Betrug: www.polizei-beratung.de
- BKA — Bundeslagebild Cybercrime: www.bka.de