Kurz erklärt: Ein krypto-forensisches Gutachten stellt die Ergebnisse einer Blockchain-Untersuchung so dar, dass Dritte sie nachvollziehen und überprüfen können. Es dient als Grundlage für Strafanzeige, Sicherungsmaßnahmen, zivilrechtliche Schritte und die Anmeldung von Ansprüchen. Sein Wert bemisst sich nicht am Umfang, sondern an der Nachvollziehbarkeit jeder einzelnen Schlussfolgerung.
Wann ein Gutachten gebraucht wird
Nicht jeder Fall rechtfertigt den Aufwand. Sinnvoll ist ein Gutachten typischerweise in vier Konstellationen.
Für die Strafanzeige. Ermittlungsbehörden benötigen einen technischen Anknüpfungspunkt. Eine Anzeige, die lediglich einen Schaden behauptet, führt regelmäßig zur Einstellung. Eine Anzeige mit dokumentiertem Mittelfluss und benanntem Endpunkt liefert der Staatsanwaltschaft eine Handlungsoption.
Für Sicherungsmaßnahmen. Beschlagnahme und Vermögensarrest setzen voraus, dass ein konkreter Vermögenswert bezeichnet werden kann. Die Zuordnung leistet das Gutachten.
Für die Anspruchsanmeldung. Bei der Auskehr aus eingezogenem Vermögen zählt der belegte individuelle Schadensanteil. Ein Gutachten hebt eine Anmeldung von unsubstantiierten Forderungen ab.
Für zivilrechtliche und steuerliche Zwecke. Ansprüche gegen Intermediäre, Versicherungsfälle und die Geltendmachung eines Verlusts erfordern eine belastbare Darstellung des Sachverhalts.
In allen Fällen gilt: Der Nutzen besteht unabhängig davon, ob eine Rückführung gelingt.
Aufbau
Ein belastbares Gutachten folgt einer wiederkehrenden Struktur.
Auftrag und Fragestellung. Wer hat was in Auftrag gegeben, welche Fragen sollen beantwortet werden, welche ausdrücklich nicht.
Grundlagen. Welche Unterlagen und Angaben lagen vor, von wem stammen sie, wann wurden sie erhoben. Hier gehört auch hin, was nicht vorlag.
Methodik. Welche Datenquellen wurden genutzt, welche Heuristiken angewandt, welches Zurechnungsverfahren, welche Tiefenbegrenzung, wie wurde mit Kleinstbeträgen und Vermischungspunkten umgegangen.
Feststellungen. Die beobachteten Transaktionen mit Zeitstempel, Betrag, Adressen und Transaktions-ID — nachrechenbar für jeden Dritten.
Bewertung. Die daraus gezogenen Schlüsse, jeweils mit Begründung und ausgewiesener Unsicherheit.
Ergebnis und Grenzen. Zusammenfassende Beantwortung der Fragestellung, ausdrücklich einschließlich dessen, was nicht festgestellt werden konnte.
Die Reihenfolge ist kein Formalismus. Sie zwingt dazu, Beobachtung und Bewertung getrennt zu halten.
Trennung von Beobachtung und Bewertung
Dies ist das zentrale Qualitätsmerkmal, und es entscheidet über die Verwertbarkeit.
Beobachtung ist, was in der Blockchain steht: Am 14. März um 09:12 Uhr wurden 2,4 BTC von Adresse A an Adresse B übertragen, Transaktions-ID lautet wie folgt. Diese Aussage kann ein Gericht mit einem Blockchain-Explorer selbst prüfen.
Bewertung ist alles Weitere: dass Adresse B zu einem Cluster gehört, dass dieses Cluster einer bestimmten Plattform zuzuordnen ist, dass ein bestimmter Anteil der Mittel aus dem Schadensfall stammt. Jede dieser Aussagen beruht auf einer Methode mit Fehlerquellen.
Werden beide Ebenen sprachlich vermengt, entsteht der Eindruck, es handle sich durchgehend um Tatsachen. Das ist der häufigste Mangel schwacher Gutachten — und er fällt erst auf, wenn die Gegenseite gezielt nachfragt.
Praktisch bedeutet das eine Disziplin in der Formulierung: nicht „die Mittel flossen an die Börse X“, sondern „die Mittel flossen an Adresse B; diese ist nach eigener Testtransaktion vom 3. Mai der Börse X zuzuordnen“.
Methodische Offenlegung
Ergebnisse sind nur so überprüfbar wie die Methode, die zu ihnen geführt hat. Vier Punkte gehören ausnahmslos offengelegt.
Clustering. Welche Heuristiken wurden verwendet, wie wurde mit erkannten CoinJoin-Transaktionen umgegangen. Ein nicht erkannter CoinJoin führt zu falschen Clustern, und der Fehler ist im Ergebnis nicht sichtbar.
Zurechnungsverfahren. Haircut, Poison oder FIFO — die Ergebnisse unterscheiden sich erheblich. Eine Belastungsquote ohne Angabe des Verfahrens ist Scheingenauigkeit.
Tiefenbegrenzung. Bis zu welcher Zahl von Zwischenschritten wurde verfolgt, welche Zweige wurden wegen Geringfügigkeit nicht weiterverfolgt. Jede Untersuchung trifft solche Auswahlentscheidungen; verschwiegen werden dürfen sie nicht.
Attributionsquellen. Für jede Zuordnung ist anzugeben, worauf sie beruht — eigene Testtransaktion, veröffentlichte Adresse, behördliche Quelle oder übernommene Datenbankangabe mit Anbieter und Abrufdatum. Die Attribution ist die schwächste Stelle jeder Analyse und deshalb am sorgfältigsten zu belegen.
Verwertbarkeit im Verfahren
Zu unterscheiden ist zwischen einem Privatgutachten und einem gerichtlich beauftragten Sachverständigengutachten.
Ein Privatgutachten ist prozessual qualifizierter Parteivortrag, kein Beweismittel im technischen Sinne. Es kann gleichwohl erhebliche Wirkung entfalten: Es strukturiert den Sachverhalt, liefert der Behörde einen Ermittlungsansatz und kann ein Gericht veranlassen, einen gerichtlichen Sachverständigen zu bestellen.
Ein gerichtliches Gutachten wird vom Gericht beauftragt; der Sachverständige unterliegt dessen Weisungen und kann in der Verhandlung befragt werden.
Für die Praxis heißt das: Ein Privatgutachten sollte so verfasst sein, dass es einer sachverständigen Überprüfung standhält. Wo es Schwächen glättet statt sie zu benennen, wird es in der Auseinandersetzung angreifbar — und beschädigt dann die eigene Position stärker, als es genutzt hat.
Ein Hinweis zur Rollenklarheit: Wer als Gutachter auftritt, sollte nicht zugleich ein wirtschaftliches Interesse am Ausgang haben. Eine Erfolgsprovision auf zurückgeholte Mittel ist mit der Rolle nicht vereinbar.
Umfang, Kosten und was ein Gutachten nicht leistet
Der Aufwand richtet sich nach der Fragestellung, nicht nach der Schadenshöhe. Sinnvoll ist ein zweistufiges Vorgehen.
Voranalyse. Eine begrenzte Untersuchung mit einer einzigen Frage: Existieren greifbare Endpunkte? Sie verfolgt die Hauptzweige bis zum ersten Dienst und klassifiziert diesen. Das Ergebnis kann lauten, dass die Mittel unmittelbar in einen Mixer geflossen sind und keine Aussicht besteht — eine wertvolle Auskunft, weil sie weiteren Aufwand erspart.
Vollgutachten. Erst wenn die Voranalyse Anknüpfungspunkte ergibt, lohnt die vollständige Untersuchung mit Clustering, Attribution, Zurechnung und rechtlicher Einordnung.
Klar zu benennen sind auch die Grenzen. Ein Gutachten stellt keine Identität fest — dafür braucht es Off-Chain-Quellen, die regelmäßig nur Behörden zugänglich sind. Es bewirkt keine Rückführung, sondern schafft deren Voraussetzungen. Und es kann eine Spur nicht wiederherstellen, die durch Privacy-Coins oder gut umgesetzte Vermischung unterbrochen wurde.
Ein Gutachter, der diese Grenzen vorab benennt, arbeitet korrekt. Wer sie erst in der Schlussbemerkung erwähnt, nachdem der Auftrag abgerechnet ist, hat den Auftraggeber im Unklaren gelassen.
Qualitätsmerkmale bei der Auswahl
Die Berufsbezeichnung ist nicht geschützt. Maßgeblich sind deshalb prüfbare Merkmale.
Dafür spricht: Abrechnung nach Aufwand, offene Aussage zu den Erfolgsaussichten vor Beauftragung, Bereitschaft zu einer begrenzten Voranalyse, überprüfbare Identität und Sitz, Bereitschaft, die Methodik offenzulegen, und ein Musterbericht, der Beobachtung und Bewertung erkennbar trennt.
Dagegen spricht: Zusicherung einer Rückholung, Erfolgsprovision, Vorkasse für die „Freischaltung“ von Guthaben, unaufgeforderte Kontaktaufnahme unter Verweis auf den bekannten Schadensfall und Berichte, die Zuordnungen ohne Quellenangabe als Tatsache behaupten.
Das dritte Merkmal ist das eindeutigste: Wo eine Zahlung verlangt wird, damit vorhandenes Guthaben freigegeben wird, liegt ein Recovery-Scam vor — unabhängig davon, wie professionell der Auftritt wirkt.
Ein seriöser Gutachter sagt vor der Beauftragung, wenn die Aussichten gering sind. Genau daran lässt sich die Rolle am zuverlässigsten erkennen.
Häufige Fragen
Wozu brauche ich ein forensisches Gutachten, wenn das Geld nicht zurückkommt?
Es liefert der Strafverfolgung einen Ermittlungsansatz, ermöglicht Sicherungsmaßnahmen, macht den individuellen Schadensanteil bei einer späteren Auskehr nachweisbar und stützt zivilrechtliche, versicherungsrechtliche und steuerliche Schritte. Der Nutzen besteht unabhängig von einer Rückführung.
Ist ein Privatgutachten vor Gericht verwertbar?
Es ist prozessual qualifizierter Parteivortrag, kein Beweismittel im technischen Sinne. Es kann den Sachverhalt strukturieren, der Behörde einen Ansatz liefern und ein Gericht zur Bestellung eines Sachverständigen veranlassen. Voraussetzung ist, dass es einer sachverständigen Überprüfung standhält.
Was muss in einem Gutachten offengelegt werden?
Die verwendeten Clustering-Heuristiken und der Umgang mit CoinJoin, das Zurechnungsverfahren bei Vermischungen, die Tiefenbegrenzung der Verfolgung und für jede Zuordnung die zugrunde liegende Quelle mit Datum.
Woran erkenne ich ein schwaches Gutachten?
Daran, dass Beobachtung und Bewertung sprachlich vermengt werden, Zuordnungen ohne Quellenangabe als Tatsache erscheinen, das Zurechnungsverfahren fehlt und Unsicherheiten geglättet statt benannt werden.
Darf ein Gutachter erfolgsabhängig vergütet werden?
Das ist mit der Rolle nicht vereinbar. Wer als Sachverständiger auftritt, sollte kein wirtschaftliches Interesse am Ausgang haben. Seriöse Anbieter rechnen nach Aufwand ab.
Wie umfangreich muss ein Gutachten sein?
Der Umfang sagt nichts über die Qualität. Entscheidend ist, dass jede Schlussfolgerung nachvollziehbar begründet ist. Ein knappes, methodisch sauberes Gutachten ist mehr wert als ein umfangreicher Bericht mit unbelegten Zuordnungen.
Sollte ich direkt ein Vollgutachten beauftragen?
In der Regel nicht. Sinnvoll ist zuerst eine begrenzte Voranalyse mit der Frage, ob greifbare Endpunkte existieren. Ergibt sie, dass die Mittel unmittelbar in einen Mixer geflossen sind, erspart das den weiteren Aufwand — auch das ist ein verwertbares Ergebnis.
Zusammenfassung
Ein krypto-forensisches Gutachten macht die Ergebnisse einer Blockchain-Untersuchung für Dritte überprüfbar. Es folgt einer festen Struktur von Auftrag über Grundlagen, Methodik und Feststellungen bis zu Bewertung und Grenzen. Zentrales Qualitätsmerkmal ist die Trennung zwischen Beobachtung — nachrechenbaren Transaktionsdaten — und Bewertung, also Clusterbildung, Attribution und Zurechnung. Offenzulegen sind Heuristiken, Zurechnungsverfahren, Tiefenbegrenzung und jede Attributionsquelle. Der Nutzen besteht unabhängig davon, ob eine Rückführung gelingt; eine Erfolgsprovision ist mit der Gutachterrolle nicht vereinbar.
Weiterführende Quellen
- § 94 StPO — Sicherstellung und Beschlagnahme, Gesetze im Internet: www.gesetze-im-internet.de
- § 111b StPO — Vermögensarrest, Gesetze im Internet: www.gesetze-im-internet.de
- § 73 StGB — Einziehung von Taterträgen, Gesetze im Internet: www.gesetze-im-internet.de
- Satoshi Nakamoto — Bitcoin: A Peer-to-Peer Electronic Cash System (PDF): bitcoin.org
- NIST — Computer Security Resource Center Glossary: csrc.nist.gov
- BSI — Blockchain sicher gestalten: www.bsi.bund.de
- BKA — Bundeslagebild Cybercrime: www.bka.de