Was Kryptoforensik ist

Jede Kryptoermittlung liefert Verknüpfungen und Zahlen, doch nur einige davon können vor Gericht, bei einem Antrag auf Einfrieren von Vermögenswerten oder bei einer Forderung im Insolvenzverfahren Gewicht haben. Kryptoforensik ist die Disziplin, Feststellungen zu den Flüssen, Beständen und der Kontrolle digitaler Vermögenswerte so zu treffen, dass eine andere qualifizierte Person sie überprüfen, wiederholen und hinterfragen kann. Jede Feststellung beruht auf Daten, die jemand abgerufen, dekodiert und interpretiert hat; ein Prüfer, der nicht angeben kann, welcher Knoten die Daten geliefert hat, welche Software sie dekodiert hat und wessen Kennzeichnungen angewendet wurden, kann die Feststellung nicht verteidigen. Diese Lektion erläutert, was eine Tätigkeit forensisch macht, welchen Fällen sie dient, wer sie ausführt und welchen Beitrag jede Ebene der Blockchain-Daten leistet.

Analytische Arbeit und forensische Arbeit

Dieselben Blockchain-Daten unterstützen zwei Arten von Arbeit. Analytische Arbeit beantwortet Fragen schnell genug, um handeln zu können: Welche Börse hat eine Einzahlung erhalten, wie stark ist ein Kunde einem Mixer ausgesetzt, ob eine Wallet noch aktiv ist. Sie lässt Arbeitshypothesen zu, verwendet das jeweils schnellste Werkzeug und wird danach beurteilt, ob sie nützlich war. Forensische Arbeit beantwortet Fragen nach einem beweisrechtlichen Standard: Die Feststellung beruht auf gesicherten Quelldaten, wird mit einer angegebenen Methode getroffen, so dokumentiert, dass sie erneut erarbeitet werden kann, und unter Angabe ihrer Grenzen formuliert. Sie wird danach beurteilt, ob sie der Prüfung durch einen gegnerischen Sachverständigen und durch das Gericht standhält.

Die meisten Fälle beginnen als analytische Arbeit und werden forensisch, sobald eine Entscheidung mit rechtlichen Folgen von ihnen abhängt. Die Falle besteht darin, analytische Abkürzungen wie eine ungeprüfte Kennzeichnung oder eine undokumentierte Rückverfolgungsregel in die Beweisführung zu übernehmen. Gute Einheiten behandeln jeden Fall bereits bei der Annahme als potenziell forensisch, weil die nachträgliche Rekonstruktion der Datenherkunft zeitaufwendig und manchmal unmöglich ist.

Reproduzierbar, dokumentiert, verteidigungsfähig

Drei Prüfmaßstäbe unterscheiden eine forensische Feststellung von einer Meinung.

Reproduzierbar. Ein anderer Prüfer gelangt mit denselben Quellen und derselben Methode zum selben Ergebnis. Auf einer öffentlichen Blockchain ist dies ungewöhnlich gut erreichbar: Jede txid, jeder Block und jeder Betrag können erneut von einem unabhängigen Knoten abgerufen werden. Nicht automatisch reproduzierbar ist die darauf aufbauende Interpretation: eine Clustering-Heuristik, eine Kennzeichnung eines Dritten, eine Rückverfolgungsmethode. ISO/IEC 27037 nennt Wiederholbarkeit (gleiche Methode, gleiche Umgebung, gleiches Ergebnis) und Reproduzierbarkeit (gleiche Methode, andere Werkzeuge oder Bedingungen, gleiches Ergebnis) neben Auditierbarkeit und Begründbarkeit als Eigenschaften, die der Umgang mit digitalen Beweismitteln aufweisen sollte.

Dokumentiert. Jeder Schritt wird während seiner Durchführung aufgezeichnet: was abgefragt wurde, aus welcher Quelle, mit welcher Werkzeugversion, zu welchem Zeitpunkt in UTC und welches Ergebnis zurückkam. Wenn die Aufzeichnung einen Schritt nicht ausweist, muss eine überprüfende Person davon ausgehen, dass er nicht wie beschrieben stattgefunden hat. Lektion 8.3 behandelt die praktische Umsetzung.

Verteidigungsfähig. Die Methode passt zur Fragestellung, ihre bekannten Schwächen werden genannt, Alternativen wurden berücksichtigt und die Schlussfolgerung geht nicht über die Beweislage hinaus. Eine verteidigungsfähige Feststellung nimmt die Fragen vorweg, die ein Sachverständiger der Verteidigung stellen wird (Lektion 8.4).

Eine nützliche Gewohnheit ist es, in jeder Aussage drei Ebenen zu trennen:

• Beobachtung: was die Blockchain oder eine Aufzeichnung zeigt;
• Schlussfolgerung: was der Prüfer daraus ableitet und mit welcher Methode;
• Annahme: was als gegeben vorausgesetzt wird, etwa die Richtigkeit einer Kennzeichnung.

Was die Kryptoforensik untersucht

Die Techniken sind dieselben, doch jeder Falltyp hat typische Ausgangspunkte (Startpunkte), Fragen und Endpunkte.

Öffentlich bekannte Fälle zeigen die Bandbreite. Nach dem Ransomware-Angriff auf Colonial Pipeline im Jahr 2021 verfolgten Ermittler das Lösegeld von 75 BTC zurück und gewannen etwa 63,7 BTC zurück, die auf einer Adresse gehalten wurden. Beim Bitfinex-Hack von 2016 verfolgten Ermittler über mehrere Jahre etwa 119.754 gestohlene BTC und gewannen 2022 mehr als 94.000 BTC zurück, nachdem sie eine Datei in einem Online-Speicherkonto entschlüsselt hatten, die private Schlüssel enthielt. In beiden Fällen war die Rückverfolgung nur ein Teil des Falls: Der Rest bestand aus rechtlichen Verfahren, Geräte- und Cloud-Beweismitteln sowie einer Dokumentation, die die Feststellungen nutzbar machte.

Rollen in einer Kryptoermittlung

Incident-Response-Fachkräfte bei Börsen und Protokollen leisten nach einem Diebstahl häufig die Arbeit der ersten Stunden. Ihre Notizen und Exporte werden später zu Beweismitteln, weshalb sie dieselbe Sorgfalt benötigen. Ein gerichtlich bestellter Sachverständiger arbeitet für das Gericht und nicht für eine der Parteien.

In kleinen Einheiten kann eine Person mehrere Rollen übernehmen; das ist praktikabel, wenn bei jedem Arbeitsergebnis festgehalten wird, in welcher Rolle es erstellt wurde. Ein Erkenntnisbericht kann auf sensiblen Quellen beruhen und ist nicht für das Gericht verfasst; ihn in eine beweisführende Stellungnahme zu kopieren, ist ein häufiger Grund dafür, dass Feststellungen ausgeschlossen werden oder ihnen nur geringes Gewicht beigemessen wird.

Woher Blockchain-Daten stammen

Blockchain-Daten liegen auf drei Ebenen vor, die jeweils auf der darunterliegenden aufbauen.

Knotenrohdaten sind die maßgebliche Datengrundlage: Jeder ehrliche vollständige Knoten derselben Blockchain liefert für denselben Block-Hash dieselben Bytes zurück. Dekodierte Daten sind nur so zuverlässig wie der Dekoder, der den Skripttyp oder die Schnittstelle des Vertrags (seine ABI) kennen muss. Angereicherte Daten fügen Beurteilungen hinzu: Preise von einem ausgewählten Markt, Kennzeichnungen aus einer ausgewählten Quelle, Cluster aus ausgewählten Heuristiken. Je höher die Ebene, desto nützlicher sind die Daten und desto mehr Annahmen bringen sie mit sich.

Knoten, Anbieter, Explorer und Data Warehouses

Was ein vollständiger Knoten beantworten kann, hängt davon ab, was er speichert. Bitcoin Core benötigt den optionalen Transaktionsindex (txindex=1), um jede bestätigte Transaktion anhand ihrer txid nachzuschlagen, und hat keinen Adressindex. Adresshistorien benötigen daher einen separaten Indexer (Open-Source-Beispiele sind Electrs, Fulcrum und Esplora). Ein Ethereum-Vollknoten in der Standardkonfiguration hält den Zustand (Guthaben, Vertragsspeicher) nur für neuere Blöcke vor, bei Geths standardmäßiger pfadbasierter Speicherung ungefähr für die letzten 128; historische Guthaben und die meisten Rückverfolgungen alter Transaktionen benötigen einen Archivknoten. Seit Juli 2025 unterstützen die wichtigsten Ethereum-Ausführungsclients außerdem den teilweisen Ablauf der Historie nach EIP-4444. Dadurch kann ein Knoten Blockkörper und Receipts aus der Zeit vor dem Merge (vor September 2022) verwerfen und dennoch alle Header behalten. Lektion 2.1 behandelt Knoten-APIs.

RPC-Anbieter betreiben Knoten für Sie, und Sie übernehmen deren Konfiguration, Ratenbegrenzungen und Fehler. Ein Block-Explorer eignet sich für einen ersten Blick, sollte aber nicht die alleinige Grundlage sein: Seine Methoden sind selten dokumentiert, seine Kennzeichnungen werden rückwirkend auf alte Transaktionen angewendet, und Explorer liefern unterschiedliche abgeleitete Werte, etwa für interne Transaktionen und Token-Guthaben. Ein Data Warehouse (eine spaltenorientierte Datenbank mit indexierten Blockchain-Daten) beantwortet Fragen zu vielen Transaktionen, ist aber nur so gut wie der ETL-Prozess, der es befüllt hat. Ein fundierter Arbeitsablauf nutzt einen Explorer zur Orientierung, ein Data Warehouse für große Datenmengen und einen Knoten zur Überprüfung der konkreten Transaktionen, von denen eine Feststellung abhängt (Lektion 2.7).

Ein durchgearbeitetes Beispiel: eine Zahlung, zwei Arten von Antworten

Ein Opfer meldet eine Zahlung von 3,0 ETH an eine gefälschte Anlageplattform. Ein Analyst öffnet ein Rückverfolgungswerkzeug und schreibt: „Die Mittel flossen an Börse K.“ Das ist ein Ermittlungsansatz. Die forensische Fassung lautet:

Feststellung F-03

• Beobachtung: txid 0x9c1e…44ab (Block 19.204.124, 2024-02-11 10:06:59 UTC) übertrug 3,0 ETH von der Adresse des Opfers 0x5D0f…a1C2 an 0xA1b2…9F.
• Beobachtung: 0xA1b2…9F sendete 2,98 ETH an 0x77cd…e310 in txid 0x41b0…7d2e (Block 19.204.160). 0x77cd…e310 leitete später sein gesamtes Guthaben an 0xE3f9…08B1 weiter.
• Schlussfolgerung: 0x77cd…e310 ist eine Einzahlungsadresse von Börse K. Grundlage: die vollständige Weiterleitung an 0xE3f9…08B1, die zwei unabhängige Quellen als Hot Wallet von Börse K kennzeichnen (Momentaufnahmen S-07 und S-08).
• Annahme: Die Kennzeichnungen in S-07 und S-08 sind zutreffend.
• Einstufung: Beobachtungen A, auf der Blockchain aufgezeichnet (auf eigenem Knoten erneut überprüft, 2024-03-02); Zuordnung der Einzahlungsadresse C, ein einzelnes Indiz (die vollständige Weiterleitung), das auf Kennzeichnungen Dritter beruht; Anhebung auf B, wenn die Unterlagen von Börse K dies bestätigen.

Jeder kann die Beobachtungen anhand der Blockchain erneut überprüfen. Die Schlussfolgerung benennt ihre Grundlage, die Annahme wird offengelegt statt verborgen, und die Einstufungszeile gibt an, was die Schlussfolgerung ändern würde: Unterlagen der Börse (Lektion 3.2 vertieft die Einstufung).

Die Datendefinition ist ebenso wichtig. Auf die Frage, wie viel ETH 0xA1b2…9F im Februar 2024 erhalten hat, ergeben sowohl die Transaktionsliste eines Explorers als auch eine Data-Warehouse-Abfrage der Tabelle transactions insgesamt 41,20 ETH, während eine Abfrage, die interne Aufrufe aus der Tabelle traces hinzufügt, insgesamt 53,70 ETH ergibt. Keine dieser Antworten ist falsch. Die ersten beiden zählen nur Transaktionen auf oberster Ebene, bei denen die Adresse im Feld to steht; die zusätzlichen 12,50 ETH gingen über Vertragsaufrufe ein (eine Auszahlung aus einer Smart-Contract-Wallet), die nur in Traces sichtbar sind. Die Einbeziehung von Wrapped ETH, einem Token, das nur in Ereignisprotokollen sichtbar ist, würde eine weitere Antwort ergeben; die Zählung rückgängig gemachter Aufrufe, die in Traces aufgezeichnet werden, aber nichts übertragen haben, eine falsche. „53,70 ETH als nativer Wert in den Blöcken X bis Y erhalten, einschließlich erfolgreicher interner Übertragungen und ohne WETH“ ist eine Antwort, die ein anderer Prüfer reproduzieren kann.

Gewohnheiten für Reproduzierbarkeit

Was die Reproduzierbarkeit beeinträchtigt, ist selten die Rohdatenebene, die sich nach der Finalisierung nicht mehr ändert. Es ist alles darum herum:

• Veränderliche Bezugspunkte. „Neuester“ ändert sich alle paar Sekunden. Verankern Sie jede Abfrage an einer Blockhöhe und halten Sie den Hash dieses Blocks fest.
• Nicht dokumentierte Quellen. Notieren Sie den Knoten oder Anbieter, den Client und seine Version sowie die Version des Datensatzes und der Tabelle.
• Nicht dokumentierte Transformationen. Bewahren Sie die genaue Abfrage oder das genaue Skript auf, einschließlich Filtern und Einheitenumrechnungen.
• Veränderliche Kennzeichnungen. Halten Sie für jede Kennzeichnung die Quelle und das Datum fest, an dem Sie sie gelesen haben; Kennzeichnungen werden überarbeitet.
• Nicht finalisierte Daten. Neuere Blöcke können ersetzt werden (Lektion 2.1).

Eine Feststellung, die auf „Der Explorer hat es letzten Dienstag so angezeigt“ beruht, lässt sich nicht überprüfen; eine Feststellung, die auf einem benannten Block-Hash, einer gespeicherten Abfrage und einer dokumentierten Client-Version beruht, kann von jedem mit einem Knoten überprüft werden. Lektion 2.6 überführt diese Gewohnheiten in einen Herkunftsnachweis.

Prüfungsschwerpunkt: Rechnen Sie damit, analytische von forensischer Arbeit unterscheiden, den beweisrechtlichen Standard als reproduzierbar, dokumentiert und verteidigungsfähig erkennen und die Eigenschaften nach ISO/IEC 27037 (Wiederholbarkeit, Reproduzierbarkeit, Auditierbarkeit, Begründbarkeit) kennen zu müssen. Seien Sie darauf vorbereitet, Aussagen als Beobachtung, Schlussfolgerung oder Annahme einzuordnen, Falltypen ihren Startpunkten und Endpunkten zuzuordnen, die Rollen zu unterscheiden und zu erklären, warum Erkenntnisberichte nicht in beweisführende Stellungnahmen gehören. Zu den Daten: die drei Ebenen und ihre Annahmen, txindex und der fehlende Adressindex, Archivknoten für historische Zustände, EIP-4444, warum native, interne und Token-Übertragungen unterschiedliche Summen ergeben, sowie die Verankerung von Abfragen an einer Blockhöhe und einem Hash.