Kurz erklärt: Ein Cluster ist eine Gruppe von Blockchain-Adressen, die nach forensischer Bewertung mit hoher Wahrscheinlichkeit von derselben Stelle kontrolliert werden. Wird einem Cluster ein Name zugeordnet — etwa eine Handelsplattform oder ein Dienst —, spricht man von einer Entität. Cluster sind das Bindeglied zwischen roher Transaktionsspur und der Aussage, wer am anderen Ende steht; sie beruhen auf Wahrscheinlichkeitsannahmen, nicht auf Gewissheit.
Warum Adressen allein nichts aussagen
Eine Blockchain-Adresse ist eine Zeichenfolge. Sie trägt keinen Namen, keinen Sitz und keine Kennung. Neue Adressen lassen sich beliebig und kostenlos erzeugen; moderne Wallet-Software erzeugt für jeden Zahlungseingang eine neue.
Eine Auswertung, die bei einzelnen Adressen stehen bleibt, produziert deshalb ein zersplittertes Bild: Tausende Adressen, keine Struktur. Erst die Zusammenfassung zu Clustern macht daraus etwas Lesbares — aus tausend Adressen werden zwölf handelnde Stellen, von denen einige benennbar sind.
Damit ist zugleich gesagt, worin das Risiko liegt: Die Zusammenfassung ist eine Interpretationsleistung. Sie kann falsch sein, und wenn sie falsch ist, ist das gesamte darauf aufbauende Ergebnis falsch.
Wie Cluster gebildet werden
Zwei Verfahren tragen den Großteil der Arbeit.
Gemeinsame Eingaben. Verbraucht eine Transaktion mehrere Eingänge gleichzeitig, muss der Absender über die Schlüssel zu allen verfügt haben. Diese Annahme ist bei Netzwerken mit Ausgabenmodell sehr belastbar — sie versagt jedoch bei Verfahren, die absichtlich Eingänge mehrerer Personen zusammenführen. Genau darauf beruht die Wirkung solcher Verschleierungsverfahren: Sie erzeugen gezielt falsche Cluster.
Wechselgeld-Erkennung. Bei einer Zahlung entsteht meist ein Rückfluss an den Absender. Welcher der Ausgänge das ist, wird anhand von Merkmalen geschätzt — etwa ein glatter Betrag beim Empfänger, ein ungerader beim Rest, oder ein Adressformat, das mit dem Eingang übereinstimmt. Diese Heuristik ist deutlich schwächer und die häufigste Fehlerquelle in der Praxis.
Hinzu kommen zeitliche und verhaltensbezogene Merkmale: wiederkehrende Tageszeiten, typische Gebührenwahl, Software-Signaturen. Sie stützen ein Cluster, tragen es aber nicht allein.
Vom Cluster zur benannten Entität
Ein Cluster wird erst dann praktisch nutzbar, wenn ihm ein Akteur zugeordnet werden kann. Diese Zuordnung erfolgt nicht aus der Blockchain, sondern von außen.
Übliche Grundlagen sind eigene Testzahlungen an einen Dienst, öffentlich bekannte Adressen, behördliche Listungen, Angaben aus Gerichtsverfahren und die Datenbanken kommerzieller Analyseanbieter. Letztere decken den Großteil der Fälle ab — und geben ihre Grundlage nicht offen.
Daraus folgt die wichtigste Regel für die Darstellung: Die Herkunft jeder Zuordnung gehört benannt. Eine Aussage wie „die Mittel gingen an eine bestimmte Handelsplattform“ hat einen völlig anderen Wert, je nachdem, ob sie auf einer eigenen Testzahlung, einer behördlichen Veröffentlichung oder der Einstufung eines Anbieters beruht.
Fehlerquellen
Vier Fehler treten regelmäßig auf und sollten in jedem Gutachten adressiert werden.
Übergroße Cluster. Ein einziger falscher Zusammenschluss kann zwei getrennte Akteure zu einem verschmelzen. Das ist besonders folgenreich, weil es eine Verbindung zwischen Personen suggeriert, die nicht besteht.
Verwahradressen. Handelsplattformen verwalten Kundengelder in Sammeladressen. Ein Zufluss dorthin bedeutet nur, dass die Plattform erreicht wurde — nicht, wer der Kunde ist. Die Aussage endet dort und wird nur durch Auskunft der Plattform fortgesetzt.
Zeitliche Verschiebung. Cluster-Zuordnungen sind Momentaufnahmen. Ein Dienst kann seine Adressen geändert haben; eine Zuordnung von heute muss für einen Vorgang vor drei Jahren nicht gelten.
Zirkelschluss. Wird ein Cluster gebildet, weil eine Adresse als zugehörig gilt, und gilt sie als zugehörig, weil sie im Cluster liegt, ist die Beweisführung wertlos. Solche Ketten sind in kommerziellen Werkzeugen nicht immer erkennbar.
Beweiswert
Vor Gericht ist ein Cluster eine fachliche Schlussfolgerung, keine Tatsachenfeststellung. Es kann überzeugen, wenn nachvollziehbar dargelegt wird, welche Heuristik angewendet wurde, welche Adressen darunter fallen und wo die Unsicherheit liegt.
Ein Gutachten sollte deshalb drei Dinge trennen: was in der Blockchain unmittelbar steht (Beobachtung), was daraus mit welcher Methode gefolgert wird (Bewertung), und was offen bleibt (Grenzen). Wird diese Trennung eingehalten, hält die Darstellung auch einer kritischen Prüfung durch die Gegenseite stand.
Wird sie nicht eingehalten — etwa wenn eine Cluster-Zuordnung als Tatsache präsentiert wird —, genügt ein einziger begründeter Einwand, um die gesamte Auswertung in Zweifel zu ziehen.
Häufige Fragen
Ist ein Cluster ein Beweis dafür, wem Adressen gehören?
Nein. Ein Cluster ist eine methodisch begründete Schlussfolgerung auf gemeinsame Kontrolle. Sein Wert hängt davon ab, welche Heuristik angewendet wurde und wie sauber die Grenzen offengelegt sind.
Welche Heuristik ist die verlässlichste?
Die Annahme gemeinsamer Eingaben: Wer mehrere Eingänge in einer Transaktion verbraucht, muss über alle Schlüssel verfügt haben. Sie versagt allerdings genau dort, wo Verfahren absichtlich Eingänge mehrerer Personen zusammenführen. Die Wechselgeld-Erkennung ist deutlich schwächer.
Mein Geld ist in ein Cluster einer Handelsplattform geflossen. Was bedeutet das?
Dass die Plattform erreicht wurde — nicht, wer dort Kunde ist. Handelsplattformen verwalten Kundengelder in Sammeladressen. Die Spur setzt sich nur durch Auskunft der Plattform fort, die über die Staatsanwaltschaft oder ein zivilrechtliches Auskunftsverlangen zu erlangen ist.
Zusammenfassung
Cluster fassen Adressen zu vermuteten Kontrolleinheiten zusammen und machen eine Transaktionsspur überhaupt erst lesbar. Gebildet werden sie über gemeinsame Eingaben und Wechselgeld-Erkennung, benannt werden sie durch Zuordnung von außen. Beides sind Wahrscheinlichkeitsaussagen mit klaren Fehlerquellen — übergroße Cluster, Verwahradressen, veraltete Zuordnungen, Zirkelschlüsse. Vor Gericht trägt ein Cluster nur, wenn Beobachtung, Bewertung und Grenzen getrennt dargestellt werden.
Weiterführende Quellen
- Europol — Internet Organised Crime Threat Assessment (IOCTA): www.europol.europa.eu
- OFAC — Specially Designated Nationals and Blocked Persons List: ofac.treasury.gov
- Satoshi Nakamoto — Bitcoin: A Peer-to-Peer Electronic Cash System (PDF): bitcoin.org