Der Ablauf einer Ermittlung

Eine Krypto-Ermittlung ist ein Projekt mit rechtlichen Folgen und scheitert auf vorhersehbare Weise: Sicherungsfristen werden versäumt, der Umfang weitet sich aus, Feststellungen werden nicht überprüft und später kann niemand erklären, warum eine Spur fallengelassen wurde. Ein klar definierter Ablauf gibt jeder Phase einen Zweck, ein Ergebnis und einen Eintrag in der Fallakte. Diese Lektion führt durch die Phasen, die sie verbindende Fallakte und eine durchgespielte Fallannahme.

Die Phasen im Überblick

ISO/IEC 27043 beschreibt Ermittlungen auf ähnliche Weise und gliedert die Arbeit in Vorbereitungs-, Initialisierungs-, Erhebungs- und Untersuchungsprozesse. Dabei laufen parallele Prozesse wie die Einholung von Genehmigungen, die Dokumentation und die Wahrung der Beweismittelkette durchgehend mit. Die Kernaussage lässt sich unmittelbar übertragen: Manche Aktivitäten sind keine Phasen, sondern durchgängige Aufgaben, die von der Fallannahme bis zum Abschluss laufen.

Die Phasen verlaufen außerdem nicht streng linear. Die Analyse ergibt regelmäßig neue Ausgangskennungen, etwa ein zweites Opfer oder eine Verbindung zu einer anderen Chain. Dadurch kehrt die Fallbearbeitung zur Umfangsbestimmung und Erhebung zurück; jede solche Schleife sollte einen datierten Eintrag hinterlassen, der die Änderung erklärt.

Fallannahme und Erstbewertung

Bei der Fallannahme wird die Meldung so erfasst, wie sie eingegangen ist: wer die Meldung gemacht hat, was behauptet wird, alle angegebenen Kennungen (TxIDs, Adressen, Konto-IDs, Screenshots, Chat-Exporte), wann sich die Ereignisse in UTC zugetragen haben, der angegebene Verlust und was die meldende Person bereits unternommen hat. Der letzte Punkt ist wichtig. Ein Opfer, das die Adresse des Betrügers in sozialen Medien veröffentlicht oder die Börse direkt kontaktiert hat, könnte die beschuldigte Person bereits gewarnt haben.

Bei der Erstbewertung wird die Priorität festgelegt. In Kryptofällen entscheidet oft die Geschwindigkeit über den Ausgang. Die wichtigsten Faktoren betreffen die Frage, ob sofortiges Handeln noch etwas bewirken kann.

Ein Fall, bei dem Gelder vor zwei Jahren über einen Mixer gewaschen wurden, wird weiterhin erfasst, aber nicht zuerst bearbeitet. Die Erstbewertung und ihre Gründe müssen dokumentiert werden; auch die Entscheidung, nicht zu handeln, muss möglicherweise später erklärt werden.

Umfangsbestimmung

Eine Umfangsbeschreibung umfasst vier Elemente.

• Ausgangskennungen: die Kennungen, mit denen der Fall beginnt. Jede muss auf der Chain überprüft werden, bevor man sich darauf stützt. Opfer lesen Screenshots falsch, kopieren gekürzte Adressen und verwechseln Netzwerke; eine TxID, die nicht existiert oder zu einer anderen Chain gehört, ist keine Seltenheit.
• Chains und Vermögenswerte: die Netzwerke und Token, die zum Umfang gehören. Dasselbe EVM-Adressformat ist auf vielen Chains gültig; deshalb muss angegeben werden, welche geprüft wurden.
• Zeitraum: Start- und Endzeit in UTC, mit einem Puffer vor dem ersten bekannten Ereignis.
• Fragen: konkret und beantwortbar. „Wo befinden sich die Gelder des Opfers jetzt, und bei welchen Dienstleistern sind die Konten, die sie erhalten haben?“ lässt sich beantworten; „Finde die Betrüger“ nicht – zumindest nicht durch eine untersuchende Fachkraft.

Eine schleichende Ausweitung des Umfangs ist nicht grundsätzlich falsch, eine undokumentierte Ausweitung jedoch schon. Wenn sich der Umfang ändert, müssen die Änderung, ihr Grund, die genehmigende Person und das Datum dokumentiert werden.

Planung und Hypothesen

Der Ermittlungsplan führt die Aufgaben, die für jede Aufgabe benötigten Datenquellen, die für jede Quelle erforderliche Rechtsgrundlage (siehe die Lektion Rechtsgrundlage und internationale Zusammenarbeit), die jeweils verantwortliche Person, Fristen und Abhängigkeiten auf. Anfragen an ausländische Anbieter können Monate dauern; deshalb werden sie frühzeitig und parallel zur On-Chain-Arbeit gestellt.

Hypothesen sorgen für eine objektive Ermittlung. Halten Sie mindestens zwei Erklärungen fest, die zu den Fakten bei der Fallannahme passen, und benennen Sie die Beweise, anhand derer sie sich unterscheiden lassen. Bei einem gemeldeten Anlagebetrug könnten die Hypothesen lauten: Die Betreiber der Plattform haben die Gelder an sich genommen; die eigene Wallet des Opfers wurde von einer Drittpartei kompromittiert; oder die Plattform war ein echtes, wenn auch scheiterndes Unternehmen. Die IDFE-BA-Lektion Von der Frage zur Hypothese behandelt die Analyse konkurrierender Hypothesen. Die zusätzliche forensische Anforderung besteht darin, dass aus der Fallakte hervorgehen muss, welche Hypothesen geprüft wurden und welche Beweise sie widerlegt haben.

Erhebung, Analyse und Überprüfung

Erhebung bedeutet, Daten auf der richtigen Rechtsgrundlage zu beschaffen und so zu sichern, dass sie später überprüft werden können: On-Chain-Daten mit Blockreferenzen, Rückmeldungen von Anbietern, Geräteabbilder, Webaufzeichnungen. Die Lektion On-Chain-Beweise sichern behandelt die Verfahren.

Die Analyse macht aus gesicherten Daten Feststellungen, die jeweils mit Methode, Grundlage und Konfidenzgrad angegeben werden, wie in Modul 2 vermittelt.

Die Überprüfung ist eine eigenständige Phase und keine bloße Gefälligkeit. Eine prüfende Person, die nicht an der Arbeit beteiligt war, kontrolliert die Methode, wiederholt die wichtigsten Schritte anhand der Rohdaten und hinterfragt jede Schlussfolgerung. Meinungsverschiedenheiten und ihre Klärung werden in der Fallakte dokumentiert. Ergibt die Überprüfung eine Lücke, geht die Arbeit zurück in die Planungsphase: Es werden weitere Daten erhoben, eine andere Methode angewandt oder eine engere Aussage getroffen. Die Lektion Qualitätsmanagement in der forensischen Einheit beschreibt Peer-Review und Validierung ausführlicher.

Berichterstattung, Offenlegung und Abschluss

Die Berichterstattung umfasst die Erstellung der Aussage oder des Sachverständigengutachtens und seiner Anlagen (siehe die Lektion Den forensischen Bericht verfassen). Bei der Offenlegung werden der Gegenseite die Verfahrensanforderungen entsprechenden Materialien zugänglich gemacht, einschließlich nicht verwendeter Materialien sowie der Herkunft von Tools und Bezeichnungen (siehe die Lektion Offenlegung und Prüfung durch die Verteidigung).

Der Abschluss wird leicht vernachlässigt. Ein Abschlussvermerk hält das Ergebnis, noch offene Spuren, weiterhin verwahrte Vermögenswerte und deren verantwortliche Stelle, Aufbewahrungsfristen für Beweise und personenbezogene Daten sowie Erkenntnisse aus dem Fall fest. Kryptofälle werden häufig wieder aufgenommen, wenn inaktive Gelder Jahre später bewegt werden. Deshalb muss die Fallakte es einer anderen untersuchenden Fachkraft ermöglichen, dort weiterzumachen, wo die letzte aufgehört hat.

Fallverwaltung und eine durchgespielte Fallannahme

Die Fallakte ist der zentrale Ablageort für alle Fallunterlagen: Fallannahme, Umfang und Änderungen, Plan, Kopien der Rechtsgrundlagen, Anfragen und Rückmeldungen, Beweismittelprotokoll, zeitnahe Notizen, Feststellungen, Überprüfungsprotokolle, Berichte, Offenlegung und Abschluss. Der Zugriff ist beschränkt und wird protokolliert.

Ein Opfer meldet, innerhalb von drei Wochen in fünf Zahlungen 48.500 USDT im Tron-Netzwerk an eine Handelsplattform verloren zu haben, die nicht mehr reagiert. Die untersuchende Fachkraft bearbeitet die Fallannahme wie folgt:

1. Ausgangskennungen überprüfen. Vier TxIDs werden auf Tron bestätigt. Die fünfte, die einem Screenshot entnommen wurde, existiert nicht auf Tron. Sie wird auf Ethereum gefunden, wohin das Opfer eine Testzahlung gesendet hatte. Beide Angaben werden erfasst und die Abweichung vermerkt.
2. Schnelle Nachverfolgung. Die letzte Zahlung über 9.800 USDT erreichte vor zwei Stunden eine Adresse, von der die Gelder an eine Hot Wallet mit der Kennzeichnung Exchange K weitergeleitet wurden.
3. Erstbewertung. Gelder bei einem Verwahrdienst, kürzlich bewegt: hohe Priorität.
4. Sofortmaßnahmen. Noch am selben Morgen werden eine Sicherungsanfrage und eine freiwillige Einfrierungsanfrage an Exchange K gesendet (siehe die Lektion Zusammenarbeit mit Dienstleistern). Ob der Stablecoin-Emittent die Empfangsadresse einfrieren kann, wird für den Ermittlungsplan vermerkt.
5. Umfang und Hypothesen. Die Ausgangskennungen, zwei Chains, ein Zeitraum, der eine Woche vor der ersten Zahlung beginnt, drei Fragen und zwei konkurrierende Hypothesen werden schriftlich festgehalten.

Der Eintrag zur Fallannahme am Ende des Vormittags:

{
  "case_id": "CF-2026-0147",
  "received_utc": "2026-03-04T09:15:00Z",
  "allegation": "investment scam; funds sent to an unresponsive trading platform",
  "seeds": [
    {"chain": "tron", "type": "txid", "value": "7b2f…d9e0", "verified": true},
    {"chain": "ethereum", "type": "txid", "value": "0x3a8c…f71b", "verified": true,
     "note": "screenshot labeled Tron; found on Ethereum"}
  ],
  "reported_loss": {"asset": "USDT", "amount": "48500.00"},
  "priority": "high",
  "priority_reason": "9,800 USDT reached an Exchange K deposit address 2 hours before intake",
  "immediate_actions": ["preservation request P-01", "voluntary freeze request F-01"],
  "assigned_to": "examiner-07",
  "authority_status": "production order requested"
}

Der Eintrag zeigt die überprüften Ausgangskennungen, die Abweichung und ihre Klärung, den Grund für die Priorität sowie die ergriffenen Maßnahmen. Jeder Punkt enthält einen Verweis auf die entsprechende Anfrage in der Fallakte. Hier sind nur zwei der fünf Ausgangskennungen aufgeführt; die vollständige Liste gehört in die Umfangsbeschreibung. Beträge werden als Zeichenfolgen gespeichert, um Rundungen bei der Verarbeitung des Eintrags zu vermeiden.

Prüfungsschwerpunkt: die neun Phasen des Ermittlungsablaufs und das Ergebnis, das jede Phase in der Fallakte hinterlässt; ISO/IEC 27043 und das Konzept paralleler Prozesse wie Genehmigungen, Dokumentation und Beweismittelkette; Faktoren der Erstbewertung, die in Kryptofällen die Priorität erhöhen; die vier Elemente einer Umfangsbeschreibung und die Gründe, warum Ausgangskennungen On-Chain überprüft werden müssen; die Dokumentation von Umfangsänderungen; das Aufstellen konkurrierender Hypothesen und die Beweise, anhand derer sie sich unterscheiden lassen; Überprüfung als unabhängige Wiederholung der Prüfung; die Angaben, die ein Abschlussvermerk enthalten muss; die Inhalte eines soliden Eintrags zur Fallannahme.