Sicherheit, Unsicherheit und Sprache

Fast jede On-Chain-Erkenntnis, die über „diese Transaktion hat stattgefunden“ hinausgeht, ist eine Schlussfolgerung. Leser handeln auf Grundlage der Worte, mit denen Analysten sie ausdrücken. Wenn ein Analyst „wahrscheinlich“ schreibt und damit 60 % meint, während ein Compliance-Beauftragter 90 % darunter versteht, wird ein Konto auf einer schwächeren Grundlage eingefroren, als irgendjemand beabsichtigt hatte. In dieser Lektion geht es darum, Beobachtungen von Schlussfolgerungen zu trennen, Wahrscheinlichkeiten mithilfe einer festgelegten Skala auszudrücken und für jede Erkenntnis die Sicherheit und Einschränkungen anzugeben.

Warum Worte ohne Skala versagen

Das Problem ist alt. In seinem Essay Words of Estimative Probability aus dem Jahr 1964 beschrieb der Analyst Sherman Kent eine Einschätzung aus dem Jahr 1951, in der ein Angriff als „ernsthafte Möglichkeit“ bezeichnet wurde. Als man Kollegen, die den Text gebilligt hatten, fragte, welche Chancen sie im Sinn hatten, reichten ihre Antworten von etwa 20 % bis 80 %. Dieselbe Formulierung hatte für Menschen, die sich darauf geeinigt hatten, gegensätzliche Bedeutungen.

On-Chain-Berichte leiden unter derselben Bedeutungsverschiebung. Wörter wie „legt nahe“, „weist darauf hin“, „könnte“ und „scheint“ kommen in Tracing-Berichten häufig vor und sind nahezu bedeutungslos: Alles könnte zutreffen. Die in professionellen Analysegemeinschaften verwendete Lösung ist ein Wahrscheinlichkeitsmaßstab: eine veröffentlichte Liste von Begriffen, die numerischen Bereichen zugeordnet sind, ergänzt durch eine separate Angabe der Konfidenz.

Fakt, Schlussfolgerung, Annahme und Beurteilung

Ordnen Sie jede Aussage einer von vier Kategorien zu, bevor Sie die Formulierungen auswählen. Die Kategorien lassen sich gut den Datenebenen der On-Chain-Arbeit zuordnen.

Fakten brauchen kein Wahrscheinlichkeitswort: Formulieren Sie sie als Fakten und nennen Sie den Transaktions-Hash und die Blockhöhe. Bei Schlussfolgerungen muss die Methode genannt werden. Annahmen müssen dokumentiert werden, denn dort versagen Berichte: Eine Annahme, die sich als falsch herausstellt, entwertet unbemerkt jede darauf aufbauende Beurteilung. Beurteilungen enthalten sowohl eine Wahrscheinlichkeitsangabe als auch eine Konfidenzstufe.

Eine hilfreiche Gewohnheit ist, die Kategorie direkt im Satz sichtbar zu machen: „Wir haben beobachtet …“, „Dies weist nach der Sweep-Heuristik darauf hin, dass …“, „Wir nehmen an …“, „Wir beurteilen …“.

Skalen für Wahrscheinlichkeitseinschätzungen

Zwei häufig zitierte öffentliche Skalen zeigen, wie dies umgesetzt wird. Sie sind Beispiele aus der Praxis staatlicher Analysestandards und keine Regeln, die für andere verbindlich sind: die US Intelligence Community Directive 203 (ICD 203, Analytic Standards, unterzeichnet im Januar 2015) und der Wahrscheinlichkeitsmaßstab des britischen Professional Head of Intelligence Assessment (PHIA; Leitlinien, neu veröffentlicht im März 2025).

Beachtenswert ist Folgendes:

• Keine der beiden Skalen reicht bis 0 % oder 100 %. Gewissheiten werden als Fakten und nicht als Schätzungen formuliert.
• An den Rändern unterscheiden sich die Skalen. „Wahrscheinlich“ umfasst bei der einen 55–80 % und bei der anderen etwa 55–75 %; außerdem lässt der PHIA-Maßstab Lücken zwischen seinen Bereichen. Leser können nicht wissen, welche Bedeutung Sie meinen, wenn Sie es nicht angeben.
• ICD 203 bietet zwei gleichwertige Begriffssätze an (die Hauptbegriffe und die oben in Klammern stehenden Alternativen, sodass „vermutlich“ dasselbe bedeutet wie „wahrscheinlich“) und rät Analysten nachdrücklich davon ab, die beiden Sätze in einem Bericht zu vermischen.

Für einen Bericht gilt praktisch: Wählen Sie eine Skala aus, geben Sie sie im Methodenteil des Berichts an und verwenden Sie für Beurteilungen ausschließlich deren Begriffe. Viele Teams ergänzen außerdem beim ersten Auftreten eines Begriffs den numerischen Bereich in Klammern.

Konfidenz ist keine Wahrscheinlichkeit

Wahrscheinlichkeit gibt an, wie wahrscheinlich eine Beurteilung ist. Konfidenz gibt an, wie solide die Grundlage dieser Beurteilung ist. Beides ist unabhängig voneinander. Eine Beurteilung kann bei geringer Konfidenz „wahrscheinlich“ sein (dünne Beweislage, die zufällig in eine Richtung weist) oder bei hoher Konfidenz „etwa gleich wahrscheinlich“ (hervorragende Daten, die tatsächlich zwei Erklärungen offenlassen).

Die PHIA-Leitlinien bewerten die Konfidenz als hoch, mittel oder niedrig. Maßgeblich sind die Informationsgrundlage, die angewandte analytische Strenge sowie die Komplexität und Volatilität des Untersuchungsgegenstands. ICD 203 enthält eine Schreibregel, die es sich zu übernehmen lohnt: Kombinieren Sie eine Konfidenzstufe und eine Wahrscheinlichkeitsangabe nicht im selben Satz. Formulieren Sie sie getrennt:

„Es ist sehr wahrscheinlich, dass bc1q…k8p0 eine Einzahlungsadresse der Börse K ist. Wir haben mittlere Konfidenz in diese Beurteilung: Das Konsolidierungsmuster ist eindeutig und die Hot Wallet erscheint in der eigenen veröffentlichten Adressliste der Börse K. Der Pfad zu bc1q…k8p0 beruht jedoch auf der Erkennung von Wechselgeld über mehrere Sprünge hinweg.“

Bei On-Chain-Analysen hängt die Konfidenz von Folgendem ab:

• Datenherkunft: finalisierte Blöcke sowie eine dokumentierte Node- oder Dataset-Version (siehe Datenqualität, Normalisierung und Herkunft).
• Zuverlässigkeit der Methode: Bei einigen Heuristiken sind bekannte Fehlermöglichkeiten vorhanden (siehe Bewertung der Clusterqualität).
• Unabhängigkeit der Belege: Zwei übereinstimmende Methoden (ein Abgleich von Betrag und Zeit sowie eine gemeinsame Gas-Finanzierungsadresse) zählen mehr als dieselbe Methode, die zweimal angewendet wird.
• Qualität der Labels: Selbst identifizierte Service-Adressen sind aussagekräftiger als Tags Dritter unbekannten Alters.
• Verbleibende Alternativen: Wenn nach ACH noch eine zweite Hypothese besteht, kann die Konfidenz nicht hoch sein (siehe Von der Fragestellung zur Hypothese).

Unsicherheit summiert sich entlang eines Traces

Jede erschlossene Verbindung in einem Trace bringt ihre eigene Unsicherheit mit sich, und eine Kette von Verbindungen ist schwächer als ihr schwächstes Glied. Nehmen wir zur Veranschaulichung an, dass vier aufeinanderfolgende Wechselgelderkennungsschritte jeweils als etwa 90 % zuverlässig beurteilt und als unabhängig betrachtet werden. Die Wahrscheinlichkeit, dass alle vier zutreffen, beträgt 0,9 × 0,9 × 0,9 × 0,9 ≈ 0,66: Die durchgehende Verbindung ist „wahrscheinlich“, nicht „sehr wahrscheinlich“, obwohl jeder einzelne Schritt „sehr wahrscheinlich“ war. Fehler sind in der Praxis selten unabhängig. Betrachten Sie dies daher als Hinweis auf die Richtung und nicht als Formel.

Daraus folgen zwei Vorgehensweisen. Erstens: Geben Sie die Wahrscheinlichkeit für die durchgehende Aussage an und nicht nur für jeden einzelnen Sprung. Zweitens: Suchen Sie nach unabhängiger Bestätigung, die die Kette umgeht, etwa wenn dieselbe Einzahlungsadresse von beiden Enden aus finanziert wird.

Der Abgleich von Betrag und Zeit über Bridges hinweg (siehe Chain-übergreifendes Tracing) ist eine häufige Ursache für übermäßige Sicherheit. Quantifizieren Sie ihn, indem Sie zählen, wie viele Kandidaten es gibt:

-- Wie eindeutig ist ein Abgleich von Betrag und Zeit? Zähle mögliche Freigaben auf der Ziel-Blockchain
SELECT COUNT(*) AS candidates
FROM bridge_releases
WHERE chain_id = 10                          -- Ziel-Blockchain der Bridge
  AND block_time BETWEEN TIMESTAMP '2026-03-14 10:42:00'
                     AND TIMESTAMP '2026-03-14 11:02:00'
  AND amount_eth BETWEEN 99.80 AND 100.00;   -- Einzahlung von 100 ETH abzüglich einer Gebühr von bis zu 0.20

Die Abfrage zählt Freigaben auf der Ziel-Blockchain, die innerhalb von 20 Minuten nach der Einzahlung und innerhalb der Gebührentoleranz liegen. Ein Kandidat stützt einen Abgleich, der „wahrscheinlich“ oder noch wahrscheinlicher ist; fünf Kandidaten entsprechen vor Berücksichtigung anderer Belege einer Basiswahrscheinlichkeit von ungefähr eins zu fünf, und der Bericht muss dies angeben. Dokumentieren Sie das verwendete Zeitfenster und die Toleranz, da ein größeres Zeitfenster die Anzahl verändert.

Einschränkungen formulieren

Jeder Bericht braucht einen Abschnitt zu Einschränkungen, in dem steht, was die Analyse nicht erfassen konnte und wodurch sich die Schlussfolgerungen ändern würden. Typische Einschränkungen bei On-Chain-Analysen:

• Abdeckung: Blockchains, Token oder Ebenen außerhalb des Untersuchungsumfangs; auf Datenschutz ausgerichtete Blockchains, bei denen Beträge oder Verbindungen verborgen sind (siehe Weitere Blockchain-Designs, denen Analysten begegnen).
• Stichtag: Erkenntnisse gelten bis zu einer angegebenen Blockhöhe; die Mittel könnten seither bewegt worden sein.
• Heuristiken: Jede verwendete Methode und ihre bekannten Fehlermöglichkeiten, etwa dass CoinJoin die Common-Input-Heuristik außer Kraft setzt.
• Labels: Quellen, Daten und Angaben dazu, ob sie unabhängig überprüft wurden.
• Lücken bei Off-Chain-Daten: Verwahrungsbücher sind nicht einsehbar; ohne ein rechtliches Verfahren ist unbekannt, was innerhalb einer Börse geschah.
• Fehlende Belege: „Bis Block 24.812.000 wurde kein Abfluss beobachtet“ ist ein Fakt; „Die Mittel wurden nicht bewegt“ ist es nicht.

Ersetzen Sie vage Formulierungen durch abgestufte Aussagen:

Prüfungsschwerpunkt: Unterschied zwischen Fakt, Schlussfolgerung, Annahme und Beurteilung anhand von On-Chain-Beispielen; warum vage Verben („legt nahe“, „könnte“) irreführend sind, und Kents Beispiel der „ernsthaften Möglichkeit“; die Maßstäbe von ICD 203 und PHIA als Beispiele aus der Praxis, ihre Bereiche und Unterschiede (weder 0 % noch 100 %, Unterschiede an den Rändern, Lücken bei PHIA); Verwendung einer einzigen, ausdrücklich angegebenen Skala; Konfidenz im Unterschied zur Wahrscheinlichkeit und die Regel, beides nicht in einem Satz zu kombinieren; Faktoren, die die Konfidenz bei On-Chain-Analysen beeinflussen; wie sich Unsicherheit entlang eines Traces summiert (0,9^4 ≈ 0,66) und wie Kandidaten für Abgleiche von Betrag und Zeit gezählt werden; Inhalt eines Abschnitts zu Einschränkungen.