Kurz erklärt: Phishing im Kryptobereich bezeichnet das Erschleichen von Zugangsdaten, Wiederherstellungsphrasen oder Signaturen durch Vortäuschung einer vertrauenswürdigen Stelle. Anders als beim Onlinebanking gibt es keine Rückbuchung: Wer Zugriff auf eine Wallet erlangt, überträgt die Bestände unwiderruflich. Das macht Phishing im Kryptobereich zur folgenreichsten Angriffsform überhaupt.
Was den Kryptobereich unterscheidet
Phishing existiert seit Jahrzehnten. Der Unterschied liegt nicht in der Technik, sondern in der Konsequenz.
Beim Onlinebanking führt ein erfolgreicher Angriff zu einer Überweisung, die unter Umständen zurückgeholt werden kann; Banken haften in bestimmten Konstellationen, und es existiert eine Stelle, die eingreifen kann.
Bei Kryptowerten fehlt all das. Der Angreifer überträgt die Bestände in einer Transaktion, die nach Bestätigung endgültig ist. Es gibt keine Rückbuchung, keine Haftung eines Intermediärs bei selbstverwahrten Beständen und keine Stelle, an die man sich wenden könnte.
Hinzu kommt ein zweiter Unterschied: Wer eine Wiederherstellungsphrase erlangt, erhält nicht Zugriff auf ein Konto, sondern auf sämtliche daraus abgeleiteten Adressen — dauerhaft und unwiderruflich. Ein Passwortwechsel hilft nicht; die Wallet ist verloren, auch wenn sie im Moment noch unverändert erscheint.
Typische Angriffswege
Nachgebaute Anmeldeseiten. Eine optisch identische Kopie einer Handelsplattform oder Wallet-Oberfläche. Erreicht wird sie über einen Link in einer Nachricht, über eine leicht abweichende Adresse oder über eine bezahlte Suchanzeige, die über dem echten Ergebnis steht.
Support-Betrug. In öffentlichen Chatgruppen beobachten Täter Hilfegesuche und melden sich anschließend privat als vermeintlicher Kundendienst. Legitimer Support meldet sich niemals unaufgefordert und fragt niemals nach der Wiederherstellungsphrase.
Gefälschte Sicherheitswarnungen. E-Mails oder Nachrichten über einen angeblichen unbefugten Zugriff, verbunden mit der Aufforderung, die Wallet über einen Link zu „sichern“. Die erzeugte Dringlichkeit soll die Prüfung verhindern.
Übernommene Kanäle. Kompromittierte Konten bekannter Projekte verbreiten Links, denen Nutzer vertrauen, weil sie von der offiziellen Quelle zu stammen scheinen.
Gefälschte Wallet-Anwendungen. Programme außerhalb der offiziellen Vertriebswege, die bei der Einrichtung die Wiederherstellungsphrase abfragen und weiterleiten.
Signaturbasierte Varianten. Statt Zugangsdaten wird eine Signatur erschlichen, die eine Token-Freigabe erteilt — behandelt im Eintrag zum Wallet-Drainer.
Warum Zwei-Faktor-Verfahren unterschiedlich schützen
Zwei-Faktor-Authentifizierung wird pauschal empfohlen, unterscheidet sich in der Schutzwirkung aber erheblich.
Codes per SMS sind das schwächste Verfahren. Sie lassen sich über SIM-Swapping abfangen, bei dem der Angreifer die Rufnummer auf eine eigene Karte portieren lässt. Für Kryptokonten sind sie deshalb nicht geeignet.
Zeitbasierte Einmalcodes aus einer Authenticator-Anwendung sind besser, aber gegen Echtzeit-Phishing nicht immun: Gibt das Opfer den Code auf einer nachgebauten Seite ein, leitet der Angreifer ihn binnen Sekunden weiter.
Hardware-Sicherheitsschlüssel nach modernen Standards prüfen die Adresse der aufrufenden Seite kryptografisch. Auf einer nachgebauten Domain funktioniert die Anmeldung schlicht nicht — dieser Schutz greift auch dann, wenn der Nutzer die Fälschung nicht bemerkt.
Für Bestände von Bedeutung ist die Kombination aus Hardware-Schlüssel für Plattformkonten und einer Hardware-Wallet für selbstverwahrte Bestände der wirksamste erreichbare Schutz.
Schutzmaßnahmen
- Keine Links aus Nachrichten. Plattformen und Wallet-Anwendungen ausschließlich über selbst gespeicherte Lesezeichen aufrufen — nie über Links aus E-Mails, Chats oder Suchanzeigen.
- Wiederherstellungsphrase niemals eingeben. Keine legitime Anwendung fragt sie ab. Jede Abfrage ist ein Angriff, ohne Ausnahme.
- Kein unaufgeforderter Support. Wer sich von sich aus als Kundendienst meldet, ist keiner.
- Anwendungen nur aus offiziellen Quellen beziehen und die Herkunft prüfen.
- Bestände trennen. Eine gesonderte Wallet mit kleinen Beträgen für Interaktionen, langfristige Bestände auf einer Adresse, die nie mit einer Anwendung verbunden wird.
- Empfängeradressen vor dem Absenden prüfen — vollständig, nicht nur die ersten und letzten Zeichen. Schadsoftware ersetzt Adressen in der Zwischenablage, und Angreifer erzeugen gezielt Adressen mit gleichem Anfang und Ende.
Angriffe auf Unternehmen
Im Unternehmenskontext verschiebt sich das Angriffsmuster. Ziel ist selten die Wallet eines Einzelnen, sondern der Zugriff auf betriebliche Bestände oder auf Zahlungsprozesse.
Gezielte Ansprache von Schlüsselpersonen. Angegriffen werden Mitarbeiter mit Zeichnungsbefugnis oder Zugriff auf Verwahrlösungen. Die Ansprache ist recherchiert und nimmt Bezug auf reale Vorgänge, Projekte oder Kollegen — Informationen, die aus öffentlichen Profilen und Unternehmenswebseiten stammen.
Manipulierte Zahlungsanweisungen. Eine vermeintliche Anweisung der Geschäftsführung fordert eine eilige Zahlung in Kryptowerten, häufig verbunden mit Vertraulichkeit und Zeitdruck. Die Struktur entspricht dem aus dem Zahlungsverkehr bekannten Chefbetrug.
Angriffe über Bewerbungen und Dienstleister. Präparierte Dateien in Bewerbungsunterlagen oder kompromittierte Zugänge von Dienstleistern eröffnen den Zugriff auf interne Systeme.
Wirksame Gegenmaßnahmen sind organisatorisch, nicht technisch: Verfahren, bei denen mehrere Personen gemeinsam zeichnen müssen, ein verbindlicher Rückrufprozess über einen bekannten Kanal bei jeder Zahlungsanweisung, betragsabhängige Freigabestufen und die Trennung von operativen Beständen und Reserven.
Für Verpflichtete kommt hinzu, dass ein erfolgreicher Angriff aufsichtsrechtliche Folgepflichten auslösen kann — die interne Aufarbeitung sollte das von Beginn an mitdenken.
Nach einem Vorfall
Bei preisgegebener Wiederherstellungsphrase ist die gesamte Wallet mit allen abgeleiteten Adressen verloren. Verbliebene Bestände gehören unverzüglich auf eine neu erzeugte Wallet — dieser Schritt hat Vorrang vor allem anderen, auch vor der Anzeige. Die kompromittierte Wallet darf nicht weiterverwendet werden.
Bei kompromittiertem Plattformkonto Passwort ändern, alle aktiven Sitzungen beenden, Zwei-Faktor-Verfahren neu einrichten, Auszahlungsadressen prüfen und den Anbieter unterrichten. Anders als bei selbstverwahrten Beständen besteht hier eine Gegenstelle, die eingreifen kann.
Bei erteilten Token-Freigaben sind diese zu widerrufen, sonst können später eingehende Mittel unmittelbar wieder abfließen.
Dokumentation: Adresse der aufgerufenen Seite, Zeitpunkt, Transaktions-IDs der Abflüsse und die Empfängeradressen. Diese Angaben sind Grundlage jeder Verfolgung — und häufig zeigt sich, dass dieselbe Empfängeradresse zahlreiche weitere Geschädigte hat.
Anzeige erstatten und keine Rückholangebote gegen Vorkasse annehmen.
Häufige Fragen
Warum ist Phishing bei Krypto folgenreicher als beim Onlinebanking?
Weil es keine Rückbuchung gibt. Eine bestätigte Blockchain-Transaktion ist endgültig, bei selbstverwahrten Beständen haftet kein Intermediär, und es existiert keine Stelle, die eingreifen könnte.
Fragt ein Anbieter jemals nach meiner Wiederherstellungsphrase?
Niemals. Keine legitime Anwendung und kein legitimer Support benötigt sie. Jede Abfrage ist ein Angriff — ohne Ausnahme.
Reicht Zwei-Faktor-Authentifizierung als Schutz?
Das hängt vom Verfahren ab. SMS-Codes sind über SIM-Swapping abfangbar und für Kryptokonten ungeeignet. Zeitbasierte Codes sind gegen Echtzeit-Phishing nicht immun. Nur Hardware-Sicherheitsschlüssel prüfen die Adresse der Seite kryptografisch und schützen auch dann, wenn der Nutzer die Fälschung nicht bemerkt.
Kann eine Suchanzeige zu einer gefälschten Seite führen?
Ja. Bezahlte Anzeigen auf Markennamen bekannter Anwendungen sind ein verbreiteter Weg; die Anzeige steht über dem echten Ergebnis. Rufen Sie Plattformen ausschließlich über selbst gespeicherte Lesezeichen auf.
Ich habe meine Wiederherstellungsphrase eingegeben — was jetzt?
Die gesamte Wallet mit allen abgeleiteten Adressen ist verloren. Übertragen Sie verbliebene Bestände sofort auf eine neu erzeugte Wallet — dieser Schritt hat Vorrang vor allem anderen. Die kompromittierte Wallet darf nicht weiterverwendet werden.
Warum genügt es nicht, Anfang und Ende einer Adresse zu vergleichen?
Weil Angreifer gezielt Adressen mit identischem Anfang und Ende erzeugen. Schadsoftware ersetzt zudem kopierte Adressen in der Zwischenablage. Die Prüfung muss vollständig erfolgen.
Wie schützen sich Unternehmen gegen Krypto-Phishing?
Vor allem organisatorisch: Zeichnungsverfahren mit mehreren Beteiligten, ein verbindlicher Rückruf über einen bekannten Kanal bei jeder Zahlungsanweisung, betragsabhängige Freigabestufen und die Trennung operativer Bestände von Reserven. Technische Maßnahmen allein greifen zu kurz, weil die Angriffe auf Prozesse zielen.
Zusammenfassung
Phishing im Kryptobereich erschleicht Zugangsdaten, Wiederherstellungsphrasen oder Signaturen durch Vortäuschung einer vertrauenswürdigen Stelle. Folgenreicher als beim Onlinebanking, weil eine Rückbuchung ausgeschlossen ist und bei selbstverwahrten Beständen kein Intermediär haftet. Angriffswege sind nachgebaute Anmeldeseiten, unaufgeforderter Support, gefälschte Sicherheitswarnungen, übernommene Projektkanäle und manipulierte Anwendungen. Zwei-Faktor-Verfahren schützen sehr unterschiedlich — nur Hardware-Sicherheitsschlüssel prüfen die Adresse der aufrufenden Seite. Nach Preisgabe der Wiederherstellungsphrase ist die gesamte Wallet verloren; verbliebene Bestände gehören sofort auf eine neue Adresse.
Weiterführende Quellen
- BSI — Blockchain sicher gestalten: www.bsi.bund.de
- § 263 StGB — Betrug, Gesetze im Internet: www.gesetze-im-internet.de
- Polizeiliche Kriminalprävention der Länder und des Bundes — Betrug: www.polizei-beratung.de
- NIST — Computer Security Resource Center Glossary: csrc.nist.gov
- FBI Internet Crime Complaint Center — Internet Crime Report 2024 (PDF): www.ic3.gov
- BKA — Bundeslagebild Cybercrime: www.bka.de
- Europol — IOCTA 2026: The evolving threat landscape: www.europol.europa.eu