Ethik, Privatsphäre, Datenschutz und Sicherheit der Ermittler

Kryptoermittlungen greifen tief in das Leben von Menschen ein: in Börsenunterlagen, Chats, Geräte und die Finanzen von Menschen, die nichts Unrechtes getan haben. Blockchain-Daten sind öffentlich, doch nicht alles, was daraus abgeleitet wird, darf bedenkenlos erhoben oder weitergegeben werden: Sobald eine Adresse mit einer Person verknüpft ist, werden pseudonyme Einträge zu einer dauerhaften Aufzeichnung ihrer Finanzen. Eine falsche Verknüpfung kann eine unschuldige Person Belästigung, Betrug oder körperlichen Gefahren aussetzen. Dieselbe Arbeit setzt Ermittler feindseligen Zielpersonen, belastendem Material und ihren eigenen Verzerrungen aus. Ethische Versäumnisse beeinträchtigen Beweismittel, gefährden Menschen und liefern der Verteidigung ihre stärksten Argumente. Diese Lektion behandelt die Abwägungen, die in jedem Fall zu treffen sind, von der ersten Anfrage bis zur letzten Offenlegung.

Warum auch öffentliche Daten Schutz benötigen

Drei Eigenschaften machen On-Chain-Daten sensibler, als sie erscheinen:

• Verknüpfbarkeit: Eine einzige Zuordnung erschließt eine vollständige Historie. Wird eine einzelne Adresse mit einem Namen verknüpft, werden sämtliche vergangenen und künftigen Transaktionen des dahinterstehenden Clusters offengelegt.
• Dauerhaftigkeit: Das Hauptbuch lässt sich nicht berichtigen. Eine heute veröffentlichte falsche Zuordnung bleibt für jeden, der später danach sucht, mit diesen Transaktionen verbunden.
• Aggregation: Einzeln unbedenkliche Fakten (ein Eintrag bei einem Namensdienst, ein Beitrag in sozialen Medien, ein Einzahlungsmuster) ergeben zusammen ein Profil, das keine einzelne Quelle offenbart hat.

Die Schäden sind konkret: Öffentlich bekannt gewordene Opfer werden zur Zielscheibe von Betrügern, die eine „Wiederbeschaffung“ versprechen; Menschen, die bekanntermaßen hohe Guthaben besitzen, wurden erpresst und körperlichem Zwang ausgesetzt; falsch identifizierte Personen verlieren Konten oder ihren guten Ruf; und ein öffentlicher Beitrag, der die Adresse eines Verdächtigen nennt, kann diesen warnen, bevor Gelder eingefroren werden. Die meisten Datenschutzregelwerke behandeln identifizierende Informationen auch dann als personenbezogene Daten, wenn sie öffentlich sind. Die folgenden Vorgehensweisen bilden unabhängig vom örtlichen Recht einen professionellen Mindeststandard; die Rechtsabteilung entscheidet, wie sie im jeweiligen Rechtsraum anzuwenden sind.

Erforderlichkeit, Verhältnismäßigkeit und Datenminimierung

Jeder eingriffsintensive Schritt sollte zwei Prüfungen bestehen. Erforderlichkeit: Ist dieser Schritt notwendig, um eine Frage innerhalb des Untersuchungsumfangs zu beantworten, oder würde ein weniger eingriffsintensiver Schritt ausreichen? Verhältnismäßigkeit: Ist der Eingriff in die Privatsphäre, auch die Dritter, angesichts der Schwere des Sachverhalts und des möglichen Erkenntniswerts angemessen? Das internationale Menschenrecht und die Schutzvorkehrungen beider Übereinkommen gegen Cyberkriminalität (Artikel 15 des Budapester Übereinkommens, Artikel 24 des UN-Übereinkommens gegen Cyberkriminalität) bauen auf diesen Grundsätzen auf. Einen Exploit mit einem Schaden im neunstelligen Bereich bis zu Einzahlungsadressen von Börsen zurückzuverfolgen, ist verhältnismäßig; dabei ein Profil jeder kleinen Gegenpartei zu erstellen, ist es nicht.

Datenminimierung bedeutet, nur das zu erheben und aufzubewahren, was die Fragestellung erfordert. Sie findet sich in den OECD-Datenschutzleitlinien (1980, überarbeitet 2013) als Grundsatz der Erhebungsbegrenzung. Das Berkeley-Protokoll zu digitalen Open-Source-Ermittlungen (Human Rights Center der UC Berkeley gemeinsam mit dem UN-Menschenrechtsbüro, 2020) führt sie als methodischen Grundsatz auf: Erheben und verarbeiten Sie nur das, was durch einen konkret benennbaren Zweck gerechtfertigt, dafür erforderlich und dazu verhältnismäßig ist.

Halten Sie die Begründung in der Fallakte fest. „Wir brauchten es“ ist keine Rechtfertigung; „Frage 3 lässt sich ohne Anmelde-IP-Adressen für den Zeitraum der Übertragungen nicht beantworten“ ist eine.

Begleitdaten

Fast jede Auskunft enthält Begleitdaten: Informationen über Personen außerhalb der Ermittlungen. Ein Börsenhauptbuch zeigt die Gegenparteien jeder internen Übertragung; ein beschlagnahmtes Telefon enthält Nachrichten von Familie und Freunden; eine beschlagnahmte Serverdatenbank enthält Tausende von Nutzern, von denen die meisten nie verdächtig waren. Bewährte Vorgehensweisen:

• minimieren: Fordern Sie nur das an, extrahieren Sie nur das und bewahren Sie nur das auf, was der Untersuchungsumfang erfordert;
• trennen: Halten Sie Begleitdaten vom Arbeitsdatenbestand getrennt; Identitäten gehören in einen zugriffsbeschränkten Anhang, den nur Personen lesen können, die ihn benötigen;
• zweckgebunden nutzen: Durchsuchen Sie diese Daten nicht ohne neue Befugnis und dokumentierte Entscheidung nach sachfremden Ermittlungsansätzen;
• regelgebunden aufbewahren und löschen: Wenden Sie die durch Richtlinien festgelegte und beim Abschluss bestätigte Aufbewahrungsfrist an.

Sobald eine Adresse mit einer namentlich bekannten Person verknüpft wird, wird ihre Historie zu personenbezogenen Finanzdaten. Deshalb enthalten Berichte und Anhänge Adressen und Identitäten Dritter nur dort, wo ein Befund sie erfordert.

Verzerrungen und Tunnelblick

Der Bestätigungsfehler führt dazu, dass Ermittler Beweise suchen und stärker gewichten, die ihre bestehenden Überzeugungen stützen. Der Ankereffekt erschwert es, die erste Einordnung oder den ersten Verdächtigen loszulassen. Kontextuelle Verzerrung entsteht, wenn ein Prüfer Dinge erfährt, die für die technische Fragestellung irrelevant sind, etwa dass der Verdächtige gestanden hat, und die Daten in diesem Licht interpretiert. Tunnelblick ist das Ergebnis auf Fallebene: Eine einzige Theorie wird unter Ausschluss anderer verfolgt. Die Nachverfolgung von Kryptowerten ist besonders anfällig, weil Heuristiken plausible Verknüpfungen erzeugen und eine bestimmt wirkende Werkzeuganzeige wie eine Tatsache erscheint.

Wirksame Kontrollmaßnahmen:

1. Formulieren Sie bei der Planung konkurrierende Hypothesen und halten Sie fest, welche Beweise jede davon ausschließen würden (Lektion 1.2).
2. Geben Sie Prüfern nur die Informationen, die ihre Aufgabe erfordert. Die lineare sequenzielle Entblindung, 2015 von Dror und Kollegen in der Forensik vorgeschlagen, sieht vor, dass Prüfer die Beweismittel analysieren und dokumentieren, bevor sie Referenzmaterial oder Fallkontext erhalten, die sie beeinflussen könnten.
3. Nutzen Sie für zentrale Befunde eine Blindverifikation: Ein zweiter Prüfer führt die Arbeit erneut durch, ohne das erste Ergebnis zu kennen.
4. Dokumentieren Sie widerlegende Beweise und den Umgang damit. Eine Akte, die nur stützende Beweise enthält, wirft die Frage auf, was weggelassen wurde.

Operative Sicherheit und offene Quellen

Auch Ermittler hinterlassen Spuren. Zuordenbare Recherche erfolgt offen im Namen der Behörde oder des Unternehmens, etwa beim Versenden einer Anfrage an einen Anbieter. Nicht zuordenbare Recherche verbirgt die Identität des Ermittlers, etwa beim Aufrufen einer Betrugswebsite oder des Forums einer Zielperson, und nutzt dafür eigens vorgesehene, richtlinienkonforme Geräte und Rechercheidentitäten. Passwörter zu erraten oder sich bei fremden Konten anzumelden, ist niemals Recherche in offenen Quellen. Alles, was über passives Betrachten hinausgeht, etwa die Kontaktaufnahme mit einer Zielperson oder das Erstellen von Tarnidentitäten, ist verdeckte Arbeit, die eine ausdrückliche Genehmigung erfordert; private Analysten sollten sie grundsätzlich unterlassen, da sie den Fall beeinträchtigen und gegen das Gesetz verstoßen kann.

Kryptospezifische Risiken:

• Interaktion mit Adressen von Zielpersonen. Eine „Testtransaktion“ an die Adresse eines Verdächtigen zu senden, Nachrichten zu signieren oder eine Wallet mit einer Betrugswebsite zu verbinden, warnt die Zielperson und kann die eigenen Systeme des Ermittlers kompromittieren. Unterlassen Sie dies.
• Abfragen, die Informationen preisgeben. Öffentliche Explorer, RPC-Anbieter und APIs Dritter sehen, was von wo abgefragt wird; wiederholte Abfragen zu einer kleinen Gruppe von Adressen können das Interesse daran offenlegen. Abfragen über einen eigenen Knoten vermeiden dies und verbessern zudem die Reproduzierbarkeit.
• Vorwarnung. Verfrühte Kontosperren, die Kontaktaufnahme mit Kontaktpersonen, das Folgen von Konten in sozialen Medien oder das Veröffentlichen von Adressen können eine Zielperson warnen, bevor Geräte beschlagnahmt oder Gelder gesichert sind. Stimmen Sie den Zeitpunkt mit der Ermittlungsleitung ab.
• Persönliche Gefährdung. Ermittler, die in Berichten oder Gerichtsunterlagen namentlich genannt werden, können zur Zielscheibe von Belästigung, Doxxing oder Phishing werden. Halten Sie persönliche Konten getrennt und privat.

Sichern Sie bei Material aus offenen Quellen jedes Element mit seiner URL, dem Erfassungszeitpunkt in UTC und einem kryptografischen Hash der gespeicherten Datei und verifizieren Sie es unabhängig: Ein Screenshot eines Beitrags ist eine Behauptung, keine Tatsache, bis eine zweite Quelle oder On-Chain-Daten, die der Beitrag nicht hätte fälschen können, ihn bestätigen. Vermeiden Sie Daten aus Datenschutzverletzungen, etwa geleakte Kundendatenbanken, sofern die Organisation dafür keine eindeutige Rechtsgrundlage und Richtlinie hat. Ein Namensdiensteintrag, der zu einem wie ein Personenname aussehenden Namen aufgelöst wird, kann dieser Person, einem Identitätsbetrüger oder jemandem gehören, der den Namen später verkauft hat: Er ist ein zu überprüfender Ermittlungsansatz, niemals eine zu veröffentlichende Zuordnung. Das Berkeley-Protokoll beschreibt außerdem digitale, physische und psychosoziale Sicherheitsmaßnahmen für Online-Ermittler; Lektion 4.7 wendet es an.

Befunde verantwortungsvoll weitergeben

Was enthalten sein darf und wie zu schwärzen ist

Für jedes Dokument, das das Team verlässt, gilt grundsätzlich: keine Adressen, Kennungen oder Namen, die auf eine Privatperson hinweisen, es sei denn, der Empfänger benötigt sie zum Handeln (eine Börse zum Einfrieren eines Kontos, eine Behörde zur Durchführung einer rechtlichen Maßnahme) und erhält sie über einen zugriffsbeschränkten Kanal. In einem öffentlichen Bericht sind in der Regel zulässig: Namen von Diensten, Protokollen und Unternehmen; Adressen, die Behörden, Gerichte oder die geschädigte Organisation veröffentlicht haben; Exploit-Smart-Contracts und Adressen, die bei einem öffentlich gemeldeten Vorfall unmittelbar gestohlene Gelder erhalten haben. Nicht zulässig sind: Adressen von Opfern, unbeteiligte Gegenparteien und Privatpersonen, die allein aufgrund von Schlussfolgerungen zugeordnet wurden.

Schwärzung ist schwieriger, als sie erscheint. Eine Adresse zu kürzen (bc1q…7k3f), reicht nicht aus, wenn der Bericht zugleich den genauen Betrag und die Minute der Transaktion nennt: Jeder kann in diesem Block nach einem Output von 0,95000000 BTC suchen und die vollständige Adresse ermitteln. Runden Sie auch Beträge, vergröbern Sie Zeitangaben auf den Tag oder ersetzen Sie die Einzelheiten durch eine Bezeichnung.

Warnmeldungen zu gestohlenen Geldern

Nach einem Diebstahl zählen Minuten: Gelder bei einem Dienst lassen sich mitunter einfrieren, und Emittenten können zentral ausgegebene Stablecoins auf Vertragsebene einfrieren. Eine falsche Warnmeldung kann jedoch zur Sperrung eines unschuldigen Kunden führen. Benachrichtigen Sie die empfangenden Dienste direkt über deren veröffentlichte Compliance- oder Strafverfolgungskanäle, bevor Sie etwas öffentlich posten. Geben Sie nur das Minimum weiter: Adressen, Transaktionshashes, Beträge, Zeitstempel sowie die Wahrscheinlichkeit und den Vertrauensgrad jeder Verknüpfung (Lektion 9.2). Kennzeichnen Sie abgeleitete Verknüpfungen als solche: Eine Übereinstimmung von Betrag und Zeitpunkt ist ein Anlass zur Prüfung, nicht zum Einfrieren. Wägen Sie öffentliche Warnmeldungen ab: Ein Beitrag erreicht Dienste, die Sie noch nicht kontaktiert haben, verrät dem Dieb aber, welche Adressen überwacht werden; stimmen Sie sich mit der geschädigten Organisation ab und berichtigen Sie falsche Verknüpfungen unverzüglich.

Schwachstellen

Die Analyse eines Exploits zeigt manchmal, dass eine Schwachstelle noch nicht behoben ist oder dass Forks den verwundbaren Code übernommen haben und weiterhin Gelder halten. Koordinierte Offenlegung bedeutet, zunächst diejenigen vertraulich zu informieren, die das Problem beheben können, und erst zu veröffentlichen, nachdem sie angemessen Gelegenheit zum Handeln hatten. ISO/IEC 29147 (Offenlegung von Schwachstellen), ISO/IEC 30111 (Umgang mit Schwachstellen) und RFC 9116, der die Datei security.txt zur Angabe des Sicherheitskontakts eines Projekts definiert, sind nützliche Referenzen. Melden Sie nur das zur Behebung erforderliche Minimum, vereinbaren Sie einen Zeitplan, veröffentlichen Sie keinen funktionsfähigen Ausnutzungsweg, solange verwundbare Smart Contracts Gelder halten, und „retten“ Sie Gelder nicht selbst, es sei denn im Rahmen einer etablierten, dokumentierten Whitehat-Vereinbarung mit dem Projekt; die Rechtslage variiert je nach Rechtsraum.

Umgang mit Opfern

Opfer sind Zeugen, Beweismittelquellen und Menschen, die häufig ihre Ersparnisse verloren haben. Behandeln Sie sie mit Geduld und Respekt, erklären Sie, was geschehen wird und was nicht, und dokumentieren Sie, was sie auf welche Weise bereitstellen.

• Versprechen Sie keine Wiederbeschaffung. In vielen Fällen wird nichts zurückerlangt; falsche Hoffnung schadet und kann später gegen die Ermittlungen verwendet werden.
• Erheben Sie Beweismittel mit Einwilligung und dokumentieren Sie deren Herkunft. Fragen Sie, bevor Sie das Gerät oder Konto eines Opfers untersuchen, und erläutern Sie, was geprüft wird.
• Warnen Sie vor Wiederbeschaffungsbetrug. Opfer werden erneut von Personen ins Visier genommen, die gegen Gebühr eine Wiederbeschaffung der Gelder anbieten und sich häufig als Anwälte, Ermittler oder Behörden ausgeben (Lektion 10.4).
• Schützen Sie ihre Privatsphäre in Berichten und bei Offenlegungen.

Wohlbefinden und belastende Inhalte

Manche Fälle erfordern die Sichtung von Darstellungen sexuellen Kindesmissbrauchs, gewaltextremistischen Inhalten oder dem Leid von Opfern. Bei den 2019 öffentlich bekannt gewordenen Ermittlungen zu Welcome to Video verfolgten Ermittler Bitcoin-Zahlungen zu einer Darknet-Website zurück, die Darstellungen von Kindesmissbrauch verbreitete. Diese Arbeit verband die Nachverfolgung mit der Konfrontation mit diesen Inhalten. Wiederholte Exposition verursacht Schäden, die sich im Laufe der Zeit aufbauen. Organisationseinheiten begrenzen sie durch gezielte Gestaltung der Arbeit: nur sichten, was die Aufgabe erfordert, verkleinerte Darstellungen, Graustufen oder Wiedergabe ohne Ton nutzen, Aufgaben wechseln, Alleinarbeit mit solchem Material vermeiden und vertrauliche psychologische Unterstützung mit regelmäßigen Gesprächen anbieten. Wohlbefinden betrifft auch die Beweisqualität: Erschöpfte, belastete Prüfer machen mehr Fehler.

Interessenkonflikte

Ein Prüfer muss unabhängig sein und auch so wahrgenommen werden. Typische Konflikte bei der Arbeit mit Kryptowerten:

• Besitz des Vermögenswerts oder Tokens, dessen Emittent, Börse oder Protokoll Gegenstand der Ermittlungen ist;
• frühere Tätigkeit für eine Partei, eine Börse oder ein Protokoll, die beziehungsweise das an dem Fall beteiligt ist;
• persönliche Verbindungen zum Opfer, zur Zielperson oder zu einem Sachverständigen der Gegenseite;
• eine erfolgsabhängige Vergütung, etwa ein Anteil an zurückerlangten Geldern, die sich nur schwer mit der Pflicht eines Sachverständigen gegenüber dem Gericht vereinbaren lässt.

Legen Sie mögliche Konflikte zu Beginn offen, dokumentieren Sie die Entscheidung darüber, ob die Arbeit fortgesetzt wird, und befolgen Sie die Richtlinie Ihrer Organisationseinheit zu persönlichen Kryptobeständen. Ein früh offengelegter Konflikt ist handhabbar; einer, der im Kreuzverhör entdeckt wird, kann die Beweisführung zu Fall bringen. Lektion 9.1 vertieft dies für Sachverständige vor Gericht.

Prüfungsschwerpunkt: Rechnen Sie mit Szenarien, die prüfen, ob ein Schritt oder eine Offenlegung erforderlich, verhältnismäßig und auf das Minimum beschränkt ist und wie die Begründung dokumentiert wird. Kennen Sie Verknüpfbarkeit, Dauerhaftigkeit und Aggregation sowie die Gründe, warum eine Zuordnung Blockchain-Daten personenbezogen macht; den Umgang mit Begleitdaten; kontextuelle Verzerrung und die zugehörigen Kontrollmaßnahmen (lineare sequenzielle Entblindung, Blindverifikation); zuordenbare, nicht zuordenbare und verdeckte Recherche sowie die Gründe, warum Ermittler niemals Transaktionen mit Adressen von Zielpersonen durchführen; Reidentifizierung anhand einer gekürzten Adresse in Verbindung mit genauem Betrag und Zeitpunkt; direkte, auf das Minimum beschränkte und mit Vertrauensgraden gekennzeichnete Warnmeldungen zu gestohlenen Geldern; koordinierte Offenlegung von Schwachstellen; den Umgang mit Opfern; die Begrenzung der Exposition gegenüber belastenden Inhalten; und die Offenlegung von Konflikten, einschließlich erfolgsabhängiger Vergütungen.