Was Krypto-Forensik ist

Jede Krypto-Ermittlung bringt Verbindungen und Zahlen hervor, doch nur einige davon können vor Gericht, in einem Antrag auf Einfrieren von Vermögenswerten oder bei einer Insolvenzforderung Gewicht haben. Krypto-Forensik ist die Disziplin, Erkenntnisse über Flüsse, Bestände und Kontrolle digitaler Vermögenswerte so zu gewinnen, dass eine andere qualifizierte Person sie überprüfen, wiederholen und infrage stellen kann. Diese Lektion erläutert, was forensische Arbeit von bloß analytischer Arbeit unterscheidet, welchen Fällen sie dient und wer sie durchführt.

Analytische und forensische Arbeit

Dieselben Blockchain-Daten dienen zwei Arten von Arbeit. Analytische Arbeit beantwortet Fragen schnell genug, um handeln zu können: Welche Börse hat eine Einzahlung erhalten, wie stark ist ein Kunde einem Mixer ausgesetzt, ist eine Wallet noch aktiv? Sie toleriert Arbeitsannahmen, verwendet das jeweils schnellste Werkzeug und wird danach beurteilt, ob sie nützlich war.

Forensische Arbeit beantwortet Fragen nach einem Beweismaßstab. Die Erkenntnis stützt sich auf gesicherte Quelldaten, wird mit einer angegebenen Methode gewonnen, so dokumentiert, dass sie erneut durchgeführt werden kann, und unter Angabe ihrer Grenzen formuliert. Sie wird danach beurteilt, ob sie der Prüfung durch einen gegnerischen Sachverständigen und durch das Gericht standhält.

Die meisten Fälle beginnen als analytische Arbeit und werden forensisch, sobald eine Entscheidung mit rechtlichen Folgen von ihnen abhängt. Die Gefahr besteht darin, analytische Abkürzungen – etwa ein nicht verifiziertes Label oder eine nicht dokumentierte Tracing-Regel – in eine Aussage zu übernehmen, die als Beweis herangezogen wird. Gute Teams behandeln jeden Fall von der Aufnahme an als potenziell forensisch, denn die Herkunft danach zu rekonstruieren, ist zeitaufwendig und manchmal unmöglich.

Reproduzierbar, dokumentiert, vertretbar

Drei Kriterien unterscheiden eine forensische Erkenntnis von einer bloßen Meinung.

Reproduzierbar. Eine andere untersuchende Person kommt mit denselben Quellen und derselben Methode zum selben Ergebnis. Bei einer öffentlichen Blockchain ist dies ungewöhnlich gut möglich: Jede txid, jeder Block und jeder Betrag kann erneut von einem unabhängigen Node abgerufen werden. Nicht automatisch reproduzierbar ist jedoch die darauf aufbauende Interpretation: eine Clustering-Heuristik, ein Label eines Drittanbieters oder eine Tracing-Methode. ISO/IEC 27037 nennt Wiederholbarkeit (dieselbe Methode, dieselbe Umgebung, dasselbe Ergebnis) und Reproduzierbarkeit (dieselbe Methode, andere Werkzeuge oder Bedingungen, dasselbe Ergebnis) neben Prüfbarkeit und Begründbarkeit als Eigenschaften, die der Umgang mit digitalen Beweismitteln aufweisen sollte.

Dokumentiert. Jeder Schritt wird während seiner Durchführung festgehalten: was abgefragt wurde, aus welcher Quelle, mit welcher Werkzeugversion, zu welcher Uhrzeit in UTC und was zurückgegeben wurde. Wenn ein Schritt nicht dokumentiert ist, muss eine prüfende Person davon ausgehen, dass er nicht wie beschrieben stattgefunden hat. Die Lektion Hashing, Protokollierung und Beweismittelkette behandelt die praktischen Abläufe.

Vertretbar. Die Methode passt zur Fragestellung, ihre bekannten Schwächen werden angegeben, Alternativen wurden berücksichtigt und die Schlussfolgerung geht nicht über die Beweislage hinaus. Eine vertretbare Erkenntnis nimmt die Fragen vorweg, die ein Sachverständiger der Verteidigung stellen wird (siehe die Lektion Offenlegung und Prüfung durch die Verteidigung).

Eine hilfreiche Gewohnheit ist es, in jeder Aussage drei Ebenen zu trennen:

• Beobachtung: was die Blockchain oder eine Aufzeichnung zeigt;
• Schlussfolgerung: was die untersuchende Person daraus und mit welcher Methode ableitet;
• Annahme: was als gegeben vorausgesetzt wird, etwa die Richtigkeit eines Labels.

Was die Krypto-Forensik untersucht

Die Techniken sind dieselben, doch jeder Falltyp hat typische Ausgangspunkte, Fragestellungen und Endpunkte.

Öffentlich bekannte Fälle zeigen die Bandbreite. Nach dem Ransomware-Angriff auf Colonial Pipeline im Jahr 2021 verfolgten Ermittler die Lösegeldzahlung von 75 BTC über mehrere Adressen und konnten etwa 63,7 BTC zurückerlangen, die sich bei einer davon befanden. Beim Bitfinex-Hack von 2016 verfolgten Ermittler über mehrere Jahre etwa 119.754 gestohlene BTC und erlangten 2022 mehr als 94.000 BTC zurück, nachdem sie eine Datei in einem Online-Speicherkonto entschlüsselt hatten, die private Schlüssel enthielt. In beiden Fällen war die On-Chain-Verfolgung nur ein Teil der Ermittlung: Hinzu kamen rechtliche Verfahren, Geräte- und Cloud-Beweise sowie eine Dokumentation, die die Erkenntnisse verwertbar machte.

Rollen in einer Krypto-Ermittlung

Incident-Responder bei Börsen und Protokollen leisten nach einem Diebstahl häufig die erste Arbeit. Ihre Notizen und Exporte werden später zu Beweismitteln, weshalb auch sie dieselbe Sorgfalt walten lassen müssen. Ein vom Gericht bestellter Sachverständiger arbeitet für das Gericht und nicht für eine der Parteien.

In kleinen Teams kann eine Person mehrere Rollen übernehmen. Das ist praktikabel, sofern in jeder Ausgabe dokumentiert wird, welche Rolle sie erstellt hat. Ein Informationsbericht eines Analysten kann auf sensiblen Quellen beruhen und ist nicht für das Gericht bestimmt; eine Erkenntnis aus einer forensischen Untersuchung hingegen schon. Die Vermischung beider – beispielsweise indem eine Informationsbewertung in eine Beweisaussage eingefügt wird – ist ein häufiger Grund dafür, dass Erkenntnisse ausgeschlossen oder nur gering gewichtet werden.

Ein ausgearbeitetes Beispiel: dieselbe Frage, zwei Antworten

Ein Opfer meldet eine Zahlung von 3,0 ETH an eine gefälschte Anlageplattform. Ein Analyst öffnet ein Tracing-Werkzeug und schreibt: „Die Gelder gingen an Börse K.“ Das ist ein Ermittlungsansatz. Die forensische Fassung lautet:

Erkenntnis F-03

• Beobachtung: txid 0x9c1e…44ab (Block 19.204.117, 2024-02-11 08:42:19 UTC) transferierte 3,0 ETH von der Adresse des Opfers 0x5D0f…a1C2 an 0xA1b2…9F.
• Beobachtung: 0xA1b2…9F sendete 2,98 ETH an 0x77cd…e310 in der txid 0x41b0…7d2e (Block 19.204.160). 0x77cd…e310 überwies sein Guthaben später vollständig an 0xE3f9…08B1.
• Schlussfolgerung: 0x77cd…e310 ist eine Einzahlungsadresse von Börse K. Grundlage: die Überweisung des gesamten Guthabens an 0xE3f9…08B1, die von zwei unabhängigen Quellen als Hot Wallet von Börse K bezeichnet wird (Snapshots S-07 und S-08).
• Annahme: Die Labels in S-07 und S-08 sind korrekt.
• Vertrauensgrad: Beobachtungen gesichert (am eigenen Node erneut verifiziert, 2024-03-02); Zuordnung wahrscheinlich, bis sie durch Unterlagen von Börse K bestätigt wird.

Jede Beobachtung kann von jeder Person anhand der Blockchain erneut überprüft werden. Die Schlussfolgerung nennt ihre Grundlage und die Belege, auf die sie sich stützt. Die Annahme wird offengelegt statt verschwiegen, und die Angabe zum Vertrauensgrad zeigt den Lesenden, was die Schlussfolgerung ändern könnte: Unterlagen der Börse. Die Einstufung des Vertrauensgrads wird in der Lektion Tracing nach einem Beweismaßstab behandelt.

Wie CF zu IDFE-BA und IDFE-CC passt

CF baut auf zwei anderen IDFE-Kursen auf und wiederholt deren Inhalte nicht. Clustering und seine Fehlerraten werden in den IDFE-BA-Lektionen Die Heuristik der gemeinsamen Eingabezugehörigkeit und Bewertung der Clusterqualität behandelt; Allokationsregeln wie FIFO und Haircut in Geldflüsse vorwärts und rückwärts verfolgen; die Herkunft von Labels in Zuordnung und Kennzeichnung. Wie Börsen Transaktionen überwachen, melden und auf Behörden reagieren, wird in den IDFE-CC-Lektionen Meldepflichten für verdächtige Transaktionen und Einfrieren von Vermögenswerten, Anfragen von Strafverfolgungsbehörden und Rückgewinnung von Vermögenswerten behandelt.

CF ergänzt diese Inhalte um die forensische Ebene: den Ermittlungszyklus und die rechtliche Befugnis (dieses Modul), das Tracing und die Zuordnung nach einem Beweismaßstab, Geräte und Wallet-Wiederherstellung mit rechtmäßiger Befugnis, Integrität der Beweismittel, Sachverständigengutachten und Aussagen sowie die Sicherung und Rückgabe von Vermögenswerten.

Prüfungsschwerpunkt: der Unterschied zwischen analytischer und forensischer Arbeit; der Beweismaßstab als reproduzierbar, dokumentiert und vertretbar; die Eigenschaften der ISO/IEC 27037: Wiederholbarkeit, Reproduzierbarkeit, Prüfbarkeit und Begründbarkeit; die Trennung von Beobachtung, Schlussfolgerung und Annahme in einer Erkenntnis; die untersuchten Falltypen und ihre typischen Ausgangspunkte und Endpunkte; die Rollen von Ermittler, untersuchender Person, Analyst, Sachverständigem, Incident-Responder und vom Gericht bestelltem Sachverständigen; warum Informationsberichte und beweisgestützte Erkenntnisse voneinander getrennt bleiben müssen.