Der Ermittlungslebenszyklus: von der Frage zur Hypothese

Eine Kryptoermittlung ist ein Projekt mit rechtlichen Folgen und scheitert auf vorhersehbare Weise: Fristen zur Datensicherung werden versäumt, der Untersuchungsumfang verschiebt sich, Ergebnisse bleiben ungeprüft und später kann niemand erklären, warum eine Spur nicht weiterverfolgt wurde. Sie kann auch unbemerkt scheitern: On-Chain-Daten sind so eng miteinander verknüpft, dass ein Ermittler, der von einer bevorzugten Erklärung ausgeht, fast immer Transaktionen finden kann, die diese scheinbar bestätigen. Ein festgelegter Lebenszyklus gibt jeder Phase einen Zweck, ein Ergebnis und einen Eintrag in der Fallakte; eine präzise formulierte Frage und konkurrierende Hypothesen sichern dabei die Unvoreingenommenheit der Analyse.

Die Phasen im Überblick

ISO/IEC 27043 gliedert Ermittlungen in Prozesse der Bereitschaft, Initialisierung, Erhebung und Untersuchung. Begleitende Prozesse wie Autorisierung, Dokumentation und Beweismittelkette laufen durchgehend mit: Sie ziehen sich von der Fallaufnahme bis zum Abschluss durch die Ermittlungen und sind keine eigenständigen Phasen. Die Phasen verlaufen auch nicht linear. Die Analyse offenbart neue Ausgangskennungen, etwa ein zweites Opfer oder eine Bridge zu einer anderen Blockchain, und führt den Fall damit zur Festlegung des Untersuchungsumfangs und zur Erhebung zurück; eine Überprüfung, die eine Lücke aufdeckt, führt zurück zur Planung. Jede Schleife hinterlässt einen datierten Eintrag, der die Änderung erläutert.

Fallaufnahme und Triage

Die Fallaufnahme erfasst die Meldung so, wie sie eingeht: wer sie erstattet hat, was behauptet wird, sämtliche angegebenen Kennungen (txids, Adressen, Konto-IDs, Screenshots, Chat-Exporte), Ereigniszeiten in UTC, den angegebenen Verlust und bereits unternommene Schritte der meldenden Person. Denn ein Opfer, das die Adresse des Betrügers veröffentlicht oder die Börse kontaktiert hat, könnte die betroffene Person bereits gewarnt haben.

Die Triage legt die Priorität fest. Geschwindigkeit entscheidet häufig über den Ausgang; deshalb zielen die Faktoren darauf ab, ob sofortiges Handeln noch etwas bewirken kann.

Gelder, die vor zwei Jahren durch einen Mixer geleitet wurden, werden erfasst, aber nicht vorrangig bearbeitet. Dokumentieren Sie die Triage-Entscheidung und ihre Gründe: Auch eine Entscheidung, nicht zu handeln, muss später möglicherweise erklärt werden.

Vom Auftrag zur beantwortbaren Frage

Aufträge gehen selten in einer unmittelbar nutzbaren Form ein. „Finden Sie die Betrüger“ oder „Wer steckt hinter dieser Wallet?“ beschreiben ein Anliegen, aber keine Frage, die sich anhand von Daten beantworten lässt. Eine gute Frage ist konkret (sie benennt die Vermögenswerte, Adressen oder Ereignisse), begrenzt (zeitlich, hinsichtlich der Hops oder des Aufwands), anhand rechtmäßig beschaffbarer Daten beantwortbar, entscheidungsrelevant (die Antwort verändert das weitere Handeln: einfrieren, Unterlagen anfordern, die Akte schließen) und neutral (sie nimmt die Antwort nicht vorweg).

Die erste Umformulierung verzichtet auf „wer“: Die Identität einer Privatperson lässt sich gewöhnlich nicht allein anhand von Blockchain-Daten bestimmen. Für den Fall benötigt werden vielmehr die Art der Entität und die Dienste, bei denen Off-Chain-Unterlagen vorliegen (Lektion 3.4). Fragen sind außerdem beschreibend (was geschehen ist), erklärend (warum oder welche Art von Akteur) oder abschätzend (etwas nicht Beobachtbares oder noch nicht Eingetretenes, etwa ob die verbleibenden Gelder eine Börse erreichen werden); jede Art erfordert eine andere Antwort und Konfidenzaussage (Lektion 9.2).

Festlegung des Untersuchungsumfangs

Die Beschreibung des Untersuchungsumfangs legt die Fragen und die Grenzen jeder Feststellung fest.

Ausgangskennungen, also die Kennungen, von denen der Fall ausgeht, werden vor ihrer Verwendung auf der Blockchain verifiziert: Opfer lesen Screenshots falsch, kopieren gekürzte Adressen und verwechseln Netzwerke. Zudem ist dasselbe EVM-Adressformat auf vielen Blockchains gültig; geben Sie daher an, welche geprüft wurden. Geben Sie den Zeitraum sowohl als Blockhöhen als auch mit UTC-Datumsangaben an und berücksichtigen Sie einen Vorlauf vor dem ersten bekannten Ereignis; Blockbereiche sind exakt, Zeitstempel unterliegen Einschränkungen (Lektion 2.1).

Tiefenbegrenzungen sind wichtig, weil der Umfang der Nachverfolgung explosionsartig wächst: Sendet jede Adresse durchschnittlich an drei weitere, ergeben fünf Hops 3^5 = 243 Pfade und zehn Hops 59.049. Eine Abbruchregel bei Verwahrdiensten ist keine Bequemlichkeit: Hinter einer Hot Wallet gehören die Bewegungen nicht mehr zum ursprünglichen Eigentümer. Eine kurze Abfrage zur Größenabschätzung, die die unterschiedlichen Gegenparteien der Ausgangskennungen im Blockbereich zählt, prüft den Untersuchungsumfang: 40 sind handhabbar; 40.000 deuten darauf hin, dass eine Ausgangskennung zu einem Dienst gehört und die Frage überdacht werden muss.

Eine schleichende Ausweitung des Untersuchungsumfangs ist nicht an sich falsch, wohl aber eine undokumentierte Ausweitung. Wenn sich der Untersuchungsumfang ändert, halten Sie fest, was sich geändert hat, warum, wer dies genehmigt hat und an welchem Datum.

Planung und konkurrierende Hypothesen

Der Ermittlungsplan führt Aufgaben, die jeweils benötigten Daten, die für jede Quelle erforderliche Rechtsgrundlage (Lektion 1.3), Zuständigkeiten, Fristen und Abhängigkeiten auf. Ersuchen ins Ausland können Monate dauern und werden deshalb frühzeitig, parallel zur On-Chain-Arbeit, eingeleitet.

Eine Hypothese ist eine überprüfbare Erklärung dessen, was die Daten zeigen. Schreiben Sie mehrere auf, bevor Sie eine davon bewerten, nehmen Sie auch eine unbedenkliche Erklärung auf, formulieren Sie sie möglichst so, dass sie sich gegenseitig ausschließen, und fragen Sie „Was könnte dieses Muster noch hervorrufen?“, bis keine neuen Antworten mehr hinzukommen. Bei einem gemeldeten Anlagebetrug: Die Betreiber haben die Gelder an sich genommen; ein Dritter hat die Wallet des Opfers kompromittiert; oder die Plattform war ein echtes, wenn auch scheiterndes Unternehmen. Aus der Fallakte muss hervorgehen, welche Hypothesen geprüft wurden und welche Beweise sie ausgeschlossen haben.

Struktur ist wichtig, denn wie Richards Heuer, ein ehemaliger CIA-Analyst, es ausdrückte, verhalten sich kognitive Verzerrungen wie optische Täuschungen: Das Wissen um sie lässt sie nicht verschwinden. Lektion 1.5 behandelt Maßnahmen gegen Verzerrungen im Allgemeinen; die On-Chain-Ausprägungen sind:

Hypothesen prüfen: ACH

Die Analyse konkurrierender Hypothesen (ACH) ist die Technik, die Heuer in Psychologie der nachrichtendienstlichen Analyse (1999) beschrieb; sie stammt aus der nachrichtendienstlichen Praxis, nicht aus dem Recht. Ihre acht Schritte: (1) Hypothesen identifizieren, idealerweise gemeinsam mit Kollegen, die den Fall anders sehen; (2) die wesentlichen Beweise auflisten, einschließlich Annahmen und erwarteter, aber fehlender Beweise; (3) eine Matrix erstellen und jede Zelle als vereinbar, unvereinbar oder nicht anwendbar kennzeichnen; (4) die Matrix verfeinern und Beweise entfernen, die keine Unterscheidung ermöglichen; (5) versuchen, Hypothesen zu widerlegen, sodass diejenige mit den wenigsten Unvereinbarkeiten übrig bleibt; (6) prüfen, wie empfindlich die Schlussfolgerung von einigen wenigen entscheidenden Beweisstücken abhängt; (7) die relative Wahrscheinlichkeit aller Hypothesen darlegen; (8) Meilensteine festlegen, also künftige Beobachtungen, die einen anderen Verlauf der Ereignisse anzeigen würden.

Der zentrale Gedanke ist die diagnostische Aussagekraft: Beweise, die mit jeder Hypothese vereinbar sind, sagen nichts darüber aus, welche zutrifft, ganz gleich, wie viele davon Sie sammeln. Ein einzelnes Beweisstück, das mit zwei Hypothesen unvereinbar ist, kann die Frage dagegen entscheiden.

Eine Beispielmatrix

Die Bitcoin-Adresse bc1q…m4x2 erhält innerhalb von sechs Tagen 38 kleine Zahlungen von 38 Adressen und gibt sie anschließend alle in einer Transaktion mit zwei Outputs aus. Drei Hypothesen passen: H1, es handelt sich um eine Einzahlungsadresse einer Börse, deren Gelder in eine Hot Wallet übertragen werden; H2, ein Eigentümer konsolidiert seine eigenen Coins bei niedrigen Gebühren; H3, ein Dieb sammelt Outputs aus früheren Peel-Chains ein.

E1 und E5 haben keine diagnostische Aussagekraft; E2 passt zu H1, weil Börsen Gelder von beliebigen Absendern empfangen. H1 weist keine Unvereinbarkeiten auf, H2 drei und H3 zwei. Sensitivität: E3 und E4 tragen die Schlussfolgerung, und beide beruhen auf derselben Kennzeichnungsquelle (E3 aufgrund der Common-Input-Logik aus Lektion 4.1). Ist diese Quelle falsch, bricht H1 zusammen. Deshalb wird die Kennzeichnung unabhängig geprüft, beispielsweise indem bestätigt wird, dass sich das Muster der Sammeltransfers über viele Einzahlungsadressen hinweg wiederholt. Meilenstein: Falls bc1q…m4x2 jemals Gelder an eine andere Adresse als die bekannte Hot Wallet der Börse sendet, verdient H1 eine erneute Prüfung. Die Gelder haben höchstwahrscheinlich einen Verwahrdienst erreicht. Der nächste Schritt ist daher ein Ersuchen um Unterlagen auf dem Rechtsweg, nicht eine weitere Nachverfolgung.

Von der Erhebung bis zum Abschluss

Die Erhebung beschafft Daten auf der richtigen Rechtsgrundlage und sichert sie für eine spätere Verifizierung (Lektion 8.2). Die Analyse macht daraus Feststellungen mit Methode, Grundlage und Konfidenzangabe (Modul 3). Die Überprüfung ist eine eigenständige Phase, keine Gefälligkeit: Ein Prüfer, der die Arbeit nicht selbst durchgeführt hat, vollzieht die entscheidenden Hops anhand der Rohdaten erneut nach und hinterfragt jede Schlussfolgerung. Meinungsverschiedenheiten und ihre Klärung werden in der Akte festgehalten (Lektion 8.3). Es folgen Berichterstattung (Lektion 9.2) und Offenlegung, einschließlich nicht verwendeten Materials sowie der Herkunft von Werkzeugen und Kennzeichnungen (Lektion 8.4). Der Abschluss wird leicht vernachlässigt: Der Vermerk hält das Ergebnis, offene Spuren, noch einbehaltene Vermögenswerte und die Verfügungsberechtigten, Aufbewahrungsfristen für Beweise und personenbezogene Daten sowie gewonnene Erkenntnisse fest. Kryptofälle werden häufig wieder aufgenommen, wenn lange ruhende Gelder Jahre später bewegt werden. Die Akte muss es daher einem anderen Prüfer ermöglichen, dort weiterzumachen, wo der vorherige aufgehört hat.

Ein Beispiel für eine Fallaufnahme

Die Fallakte ist der zentrale, zugriffsbeschränkte Ort, an dem der Fall dokumentiert wird: Fallaufnahme, Untersuchungsumfang und Änderungen, Plan, Rechtsgrundlage, Ersuchen und Antworten, Beweismittelverzeichnis, Notizen, Feststellungen, Überprüfungen, Berichte, Offenlegung und Abschluss.

Ein Opfer meldet den Verlust von 48.500 USDT auf Tron durch fünf Zahlungen innerhalb von drei Wochen an eine Handelsplattform, die nicht mehr antwortet.

1. Ausgangskennungen verifizieren. Vier txids werden auf Tron bestätigt. Die fünfte, aus einem Screenshot, befindet sich nicht auf Tron, sondern auf Ethereum, wo das Opfer eine Testzahlung gesendet hatte; beide Tatsachen werden dokumentiert.
2. Vorwärts verfolgen und priorisieren. Die letzte Zahlung über 9.800 USDT erreichte eine Adresse, von der vor zwei Stunden ein Sammeltransfer an eine als Börse K gekennzeichnete Hot Wallet erfolgte: Gelder bei einem Verwahrdienst, kürzlich bewegt, hohe Priorität.
3. Handeln. Ersuchen um Datensicherung und freiwilliges Einfrieren gehen noch am selben Vormittag an Börse K (Lektion 1.4); die Frage, ob der Stablecoin-Emittent die Empfängeradresse einfrieren könnte, wird in den Plan aufgenommen.
4. Untersuchungsumfang festlegen. Ausgangskennungen, zwei Blockchains, ein Zeitraum, der eine Woche vor der ersten Zahlung beginnt, drei Fragen und konkurrierende Hypothesen werden schriftlich festgehalten.

{
  "case_id": "CF-2026-0147",
  "received_utc": "2026-03-04T09:15:00Z",
  "allegation": "investment scam; funds sent to an unresponsive trading platform",
  "seeds": [
    {"chain": "tron", "type": "txid", "value": "7b2f…d9e0", "verified": true},
    {"chain": "ethereum", "type": "txid", "value": "0x3a8c…f71b", "verified": true,
     "note": "screenshot labeled Tron; found on Ethereum"}
  ],
  "reported_loss": {"asset": "USDT", "amount": "48500.00"},
  "priority": "high",
  "priority_reason": "9,800 USDT reached a suspected Exchange K deposit address 2 hours before intake",
  "immediate_actions": ["preservation request P-01", "voluntary freeze request F-01"],
  "assigned_to": "examiner-07",
  "authority_status": "production order requested"
}

Das Protokoll zeigt verifizierte Ausgangskennungen, die Abweichung und ihre Klärung, den Grund für die Priorität sowie jede Maßnahme mit einem Verweis auf das Ersuchen in der Akte. Zwei von fünf Ausgangskennungen sind dargestellt; die vollständige Liste gehört in die Beschreibung des Untersuchungsumfangs. Beträge werden als Zeichenfolgen gespeichert, um Rundungen zu vermeiden.

Prüfungsschwerpunkt: Rechnen Sie mit Fragen zu den neun Phasen und ihren Ergebnissen in der Fallakte, den begleitenden Prozessen nach ISO/IEC 27043 und den Triage-Faktoren. Sie sollten einen vagen Auftrag in eine konkrete, begrenzte, beantwortbare, entscheidungsrelevante und neutrale Frage umformulieren können; die Elemente des Untersuchungsumfangs aufzählen können (verifizierte Ausgangskennungen, Zeiträume anhand von Blockhöhen, Hop-Grenzen, Abbruchregeln bei Verwahrdiensten); und erklären können, warum der Aufwand mit der Tiefe explosionsartig wächst (3^5 = 243). Kennen Sie konkurrierende Hypothesen einschließlich einer unbedenklichen Erklärung, On-Chain-Verzerrungen und ACH: Rangfolge nach Unvereinbarkeiten, diagnostische Aussagekraft, Sensitivität und Meilensteine. Erkennen Sie ein sachgerechtes Aufnahmeprotokoll und einen sachgerechten Abschlussvermerk.