Von der Adresse über die Entität zur Person: Zuordnung und Kennzeichnung

Die meisten Ermittlungen werden eingeleitet, um eine Frage über Menschen zu beantworten: Wer erhielt das Lösegeld, wer betrieb den Betrug, wer verfügt jetzt über die gestohlenen Gelder? Eine Blockchain beantwortet Fragen über Adressen. Dazwischen liegt eine Kette eigenständiger Schlussfolgerungen (ein Cluster, eine Kennzeichnung, die einen Dienst benennt, ein Datensatz, der ein Konto benennt, und Beweise dafür, dass eine Person es kontrollierte), jede mit eigenen Belegen und Fehlermöglichkeiten. Ein Prüfer, der diese Kette zu einem einzigen Satz zusammenzieht („Die Adresse gehört zu Person 2“), bietet der Gegenseite eine leichte Angriffsfläche. Diese Lektion erläutert die Ebenen der Zuordnung, wie Kennzeichnungen erstellt, bewertet und versioniert werden und wie die Kette so dokumentiert wird, dass sich jedes Glied überprüfen lässt.

Fünf Ebenen der Zuordnung

Die Adressebene selbst enthält zwei Aussagen. Dass Vermögenswerte eine Adresse erreicht haben, ist eine deterministische Tatsache, die jeder überprüfen kann. Dass eine bestimmte Person die Adresse kontrolliert, ist on-chain überhaupt nicht sichtbar. Kontrolle lässt sich durch eine gültige signierte Nachricht, durch die Sicherstellung des Schlüssels auf einem beschlagnahmten Gerät auf rechtlicher Grundlage oder durch einen authentifizierten Datensatz des Dienstes nachweisen, der besagt, dass der Dienst den Schlüssel verwahrt.

Cluster werden in den Lektionen 4.1 bis 4.4 behandelt. Hier kommt es darauf an, die fünf Aussagen auseinanderzuhalten, anzugeben, welche Ebene jede Feststellung erreicht, und niemals zuzulassen, dass eine starke untere Ebene einer schwachen oberen Ebene ihre Beweiskraft verleiht.

Jede Ebene hat andere Fehlermöglichkeiten

• Clusterfehler. Eine Heuristik führt zwei nicht zusammengehörige Wallets zusammen, oder ein CoinJoin wird als einzelner Eigentümer interpretiert, und eine Kennzeichnung wird auf Adressen übertragen, zu denen sie nicht gehört.
• Dienstfehler. Eine Kennzeichnung ist veraltet (die Börse hat ihre Hot Wallets gewechselt), wurde aus unbekannter Quelle kopiert oder einer Kategorie ohne konkrete Entität zugeordnet.
• Kontoinhaberfehler. Der Dienst ordnet eine Einzahlung falsch zu, verwendet eine Einzahlungsadresse nach der Kontoschließung erneut oder stellt Unterlagen für den falschen Zeitraum bereit.
• Identitätsfehler. Der Kontoinhaber ist nicht die handelnde Person: Ein Finanzagent hat das Konto für jemand anderen eröffnet, die Identitätsdokumente wurden gestohlen oder gekauft, das Konto wurde übernommen oder mehrere Personen nutzten dieselben Zugangsdaten.

KYC-Unterlagen zeigen Ihnen, wessen Dokumente bei der Kontoeröffnung vorgelegt wurden, nicht, wer den Auszahlungsauftrag eingegeben hat. Ermittler stützen den Schritt vom Kontoinhaber zur Einzelperson durch unabhängige Belege: Anmelde-IP-Adressen und Gerätekennungen, die zu den Verbindungen des Verdächtigen passen, die auf einem beschlagnahmten Telefon gefundene Börsen-App, Banküberweisungen vom eigenen Konto des Verdächtigen oder Nachrichten, in denen die Transaktion besprochen wird.

Kennzeichnungen: die Dienstebene

Ein Cluster zeigt Ihnen, dass Adressen zusammengehören; eine Kennzeichnung zeigt Ihnen, wem oder was sie gehören. Eine Kennzeichnung ist eine Aussage mit drei Bestandteilen:

• Bezugsobjekt: eine Adresse, ein Contract oder ein Cluster bei einer bestimmten Blockhöhe.
• Behauptung: der Name einer Entität („Börse K“), eine Kategorie („Börsen-Einzahlungsadresse“, „Bridge“, „Mixer“, „Exploit“, „Betrug“) oder beides.
• Grundlage: Quelle und Belege, das Beobachtungsdatum und eine Bewertungsstufe von A bis D.

Halten Sie Entitätskennzeichnungen und Kategoriekennzeichnungen auseinander. Sie können häufig sicher sein, dass eine Adresse eine Börsen-Einzahlungsadresse ist (sie leitet alles an eine Hot Wallet weiter), ohne zu wissen, zu welcher Börse sie gehört, und Sie können die Börse kennen, ohne den Kunden zu kennen.

Woher Kennzeichnungen stammen

Die wichtigsten Quellen sind Selbstangaben (veröffentlichte Reserveadressen einer Börse, dokumentierte Contracts eines Protokolls), eigene Testtransaktionen des Analysten, behördliche Veröffentlichungen (Anklageschriften, Beschlagnahmemitteilungen, Sanktionslisten), Offenlegungen von Opfern und zu Vorfällen, Recherchen in offenen Quellen über Organisationen sowie Kennzeichnungssammlungen Dritter (Explorer-Tags, Community-Datensätze, Anbieterdaten). Lektion 4.6 bewertet jede Quellengruppe und zeigt, wie sie überprüft und datiert werden kann; zwei Punkte gehören hierher.

Testtransaktionen sind die klassische Methode aus erster Hand: Zahlen Sie einen kleinen Betrag bei einem Dienst ein und beobachten Sie die Einzahlungsadresse und die Sammelübertragung. Meiklejohn et al. (2013, „A Fistful of Bitcoins“) führten 344 Transaktionen mit Börsen, Wallets, Glücksspielseiten und anderen Diensten durch, kennzeichneten 1.070 Adressen manuell und benannten durch Clustering 2.197 Cluster mit mehr als 1,8 Millionen Adressen.

Behördliche Veröffentlichungen sind in öffentlichkeitswirksamen Fällen wichtig. Nach dem Diebstahl über die Ronin-Bridge (2022) und dem Bybit-Diebstahl (2025) ordneten Behörden die Angriffe öffentlich einer staatsnahen Gruppe zu und veröffentlichten beteiligte Adressen. Stützen Sie sich bei den darin genannten Adressen auf solche Veröffentlichungen, machen Sie deutlich, dass die Zuordnung von der Behörde stammt, und behandeln Sie jede Ausweitung auf weitere Adressen als eigene Schlussfolgerung.

Zwei übereinstimmende Tags Dritter sind nicht zwangsläufig zwei Quellen: Explorer und Datensätze übernehmen Angaben voneinander, sodass ein falscher Tag an fünf Stellen erscheinen kann, obwohl er nur einen Ursprung hat (Zirkelberichterstattung). Verfolgen Sie jede Kennzeichnung bis zu ihrem Ursprung zurück, bevor Sie sie als Bestätigung werten.

Vererbung von Kennzeichnungen

Eine einer Ausgangsadresse zugewiesene Kennzeichnung wird auf jede Adresse in ihrem Cluster übertragen. Diese Vererbung von Kennzeichnungen macht Testtransaktionen so ergiebig und wirkt in beide Richtungen: Wenige Beobachtungen aus erster Hand können Millionen von Adressen kennzeichnen, und eine einzige fehlerhafte Clusterverknüpfung kann Millionen von Adressen falsch kennzeichnen. Eine Kennzeichnung ist daher niemals stärker als die Clusterverknüpfungen, über die sie übertragen wurde.

Die Vererbung benötigt Regeln. Eine gängige Vorgehensweise überträgt Entitätskennzeichnungen nur über Verknüpfungen mit hoher Beweiskraft, typischerweise Common-Input-Verknüpfungen unter Ausschluss von CoinJoins, und stoppt die Übertragung an jeder Verknüpfung, die eine zweite, abweichende Entitätskennzeichnung in dasselbe Cluster einbringen würde. Wechselgeldverknüpfungen und Verknüpfungen im Kontenmodell können weiterhin in einem Graphen dargestellt werden; die Kennzeichnung, die sie übertragen würden, wird jedoch als abgeleitet markiert und niedriger bewertet.

Jedes Kettenglied bewerten

Bewerten Sie jedes Glied der Kette, nicht nur die Schlussfolgerung. Die kursweit verwendete Skala aus Lektion 3.2 (A on-chain dokumentiert, B bestätigt, C einzelne Heuristik, D Schlussfolgerung) gilt auch für Kennzeichnungen, Kontrolle und Identität:

Bewerten Sie die Clusterverknüpfung und die Kennzeichnung getrennt sowie die Entität und die Kategorie getrennt. Diese Bewertungen der Kettenglieder sind von den zweiachsigen Quellen- und Informationscodes aus Lektion 4.6 (etwa A1) zu unterscheiden, die daneben dokumentiert werden. Ein durchgespielter Fall: Die Kennzeichnung „Börse K“ mit Bewertungsstufe B ist der Hot Wallet HW-3 zugewiesen und stammt aus der archivierten Reserveliste der Börse. Viertausend Einzahlungsadressen sind durch Sammelübertragungen mit HW-3 verbunden (Common Input, CoinJoin-Filter aktiviert). Jede erbt „Börse K“ nur über diese einzelne heuristische Verknüpfung; die geerbte Kennzeichnung hat daher die Bewertungsstufe C, nicht B, bis die Börse die Einzahlungsadressen bestätigt oder Unterlagen bereitstellt, die eine davon einem Konto zuweisen (B). Eine weitere Adresse ist über eine einzelne Wechselgeldverknüpfung verbunden; ihre Kennzeichnung wird als abgeleitet markiert und mit D bewertet. Ein Bericht, der ihre Gelder als Gelder der Börse zählt, muss dies angeben.

Die Regel des schwächsten Glieds gilt über alle fünf Ebenen hinweg. Ein Geldfluss mit Bewertungsstufe A, eine Clusterverknüpfung mit Bewertungsstufe C, ein authentifizierter Kontodatensatz (B) und eine Verbindung zwischen Kontoinhaber und Verdächtigem mit Bewertungsstufe D ergeben eine Aussage der Bewertungsstufe D, dass der Verdächtige die Gelder erhalten hat. Die richtige Reaktion besteht nicht darin, die Aussage vorsichtiger zu formulieren, sondern die Belege zu beschaffen, die das schwächste Glied stärken würden: Gerätebeweise, IP-Protokolle, Finanzunterlagen.

Die Bewertung erzwingt präzise Formulierungen. „Die Gelder erreichten eine Einzahlungsadresse der Börse K“ (Dienstebene), „Die Unterlagen der Börse K weisen die Adresse einem Konto auf den Namen von Person 2 zu“ (Kontoebene) und „Person 2 kontrollierte das Konto“ (Ebene der Einzelperson) sind drei Feststellungen, nicht eine. Lektion 9.2 behandelt die Formulierung von Berichten.

Warum die Identität normalerweise auf dem Rechtsweg ermittelt wird

Öffentliche Daten reichen gewöhnlich nur bis zur Dienstebene. Sobald Vermögenswerte in einen verwahrenden Dienst gelangen, besteht die Verbindung zwischen einer Einzahlungsadresse und einem Kunden nur noch in der Datenbank des Dienstes (Lektion 3.4). Der Zugang erfolgt auf dem Rechtsweg: durch eine Herausgabeanordnung, eine gerichtliche Anordnung oder ein Ersuchen einer zuständigen Behörde, häufig grenzüberschreitend. Die Budapest Convention verpflichtet ihre Vertragsparteien, Herausgabeanordnungen für Daten einschließlich Bestandsdaten vorzusehen, die sich im Besitz von Diensteanbietern befinden (Artikel 18). Ihr Zweites Zusatzprotokoll ergänzt Verfahren zur direkten Offenlegung von Bestandsdaten durch Diensteanbieter in einer anderen Vertragspartei (Artikel 7) und von Informationen zur Registrierung von Domänennamen (Artikel 6). Die Lektionen 1.3 und 1.4 behandeln das Verfassen und Versenden von Ersuchen.

Recherchen in offenen Quellen können auf den oberen Ebenen Ermittlungsansätze liefern (Lektion 4.7), doch ein Ermittlungsansatz ist keine Identifizierung. Der belastbare Weg verläuft gewöhnlich so: On-Chain-Verfolgung bis zu einem Dienst, Ersuchen an den Dienst, Unterlagen, die einen Kontoinhaber benennen, und anschließend die Bestätigung dieses Kontoinhabers als handelnde Einzelperson. Bei den im Oktober 2019 bekannt gegebenen Ermittlungen zu Welcome to Video verfolgten Ermittler Bitcoin-Zahlungen an die Website und ihre Nutzer; der Standort des Servers der Website wurde über eine IP-Adresse ermittelt, die im eigenen Seitenquelltext der Website offengelegt war. In vielen Ländern folgten Festnahmen. Die Nachverfolgung zeigte den Ermittlern, wo sie suchen mussten; die Identifizierung beruhte auf Unterlagen, beschlagnahmten Servern und Beweisen, die lokale Behörden erhoben hatten.

Dies ist zugleich eine ethische Grenze. Die Zuordnung durch On-Chain-Analyse zielt auf Dienste, Organisationen und Aktivitätskategorien, nicht auf Privatpersonen. Kennzeichnen Sie eine offenbar private Wallet nach Kategorie („nicht zugeordnete private Wallet“) oder gar nicht; kombinieren Sie keine On-Chain-Muster mit offenen Quellen, um eine Person zu enttarnen, denn eine falsche Übereinstimmung kann eine unschuldige Person Belästigungen aussetzen. Behandeln Sie einen Namensdienst-Eintrag, der wie der Name einer Person aussieht, als Ermittlungsansatz, der echt sein, auf Identitätsvortäuschung beruhen oder weiterverkauft worden sein kann (Lektion 1.5).

Kennzeichnungen und Zuordnungen dokumentieren

Kennzeichnungen veralten: Börsen wechseln Hot Wallets und weisen Einzahlungsadressen neu zu, Dienste wechseln den Eigentümer, Proxy-Contracts werden aktualisiert, Namen bei Namensdiensten laufen ab und werden erneut registriert. Eine Kennzeichnung ohne Datum und Gültigkeitszeitraum lässt sich weder überprüfen noch korrigieren. Speichern Sie daher jede Kennzeichnung als versionierten Datensatz:

{
  "label_id": "lbl-000482",
  "version": 3,
  "subject": {"chain_id": 1, "address": "0xC4d8…27aB"},
  "entity": "Exchange K",
  "category": "exchange_deposit",
  "source_type": "test_transaction",
  "evidence": ["deposit tx 0x4f3a…c21e", "sweep tx 0x9b7d…e014"],
  "observed_at_block": 21000000,
  "valid_from": "2024-11-02",
  "valid_to": null,
  "grade": "B",
  "analyst": "analyst-17",
  "supersedes": "lbl-000482-v2"
}

valid_to bleibt leer, bis Belege zeigen, dass die Kennzeichnung nicht mehr gilt; supersedes erhält die Historie, sodass ein im letzten Jahr verfasster Bericht mit den damals aktuellen Kennzeichnungen reproduziert werden kann. Zu einer ordnungsgemäßen Pflege gehören außerdem die erneute Überprüfung besonders folgenreicher Kennzeichnungen vor jedem Bericht, Warnungen, wenn ein Cluster zwei unvereinbare Entitätskennzeichnungen erhält (oft das erste Anzeichen einer fehlerhaften Zusammenführung), und die Außerbetriebnahme statt der Löschung.

Die Zuordnung selbst bildet einen zweiten Datensatz, der für jedes Kettenglied Ebene, Grundlage und Bewertungsstufe benennt, damit ein Gutachter jedes Glied einzeln infrage stellen oder bestätigen kann:

{
  "attribution_id": "ATTR-11",
  "case_id": "CF-2026-0142",
  "subject": {"chain": "bitcoin-mainnet", "address": "bc1q…dx7e"},
  "valid_at": "2026-03-02T14:07:51Z",
  "links": [
    {"layer": "cluster", "claim": "mit 1.412 Einzahlungen in Hot Wallet HW-3 zusammengeführt",
     "basis": "Common Input, CoinJoin-Filter aktiviert", "grade": "C"},
    {"layer": "service", "claim": "HW-3 gehört zu Börse K",
     "basis": "selbst veröffentlichte Reserveliste, archiviert 2026-03-04, sha256 9e1c…b07a", "grade": "B"},
    {"layer": "account", "claim": "Konto K-778213 zugewiesen",
     "basis": "Unterlagenbereitstellung der Börse K, Beweisstück EV-0031", "grade": "B"},
    {"layer": "individual", "claim": "Konto von Person 2 kontrolliert",
     "basis": "nur KYC; IP- und Geräteprotokolle angefordert", "grade": "D"}
  ],
  "overall_grade": "D",
  "examiner": "EX-07"
}

Der Datensatz gibt den Zeitpunkt an, zu dem die Zuordnung gilt, da Einzahlungsadressen neu zugewiesen werden. Jedes Kettenglied verweist auf das gesicherte Beweisstück, auf dem es beruht. Die Gesamtbewertung entspricht dem schwächsten Glied, und die Grundlage auf der Ebene der Einzelperson zeigt genau, was fehlt. Wenn die IP- und Geräteprotokolle der Börse eintreffen und mit dem Heimanschluss des Verdächtigen übereinstimmen, können dieses Kettenglied und die Gesamtbewertung überarbeitet werden, wobei die alte Version erhalten bleibt. Beachten Sie, dass die Einzahlungsadresse die Dienstkennzeichnung der Bewertungsstufe B nur über die Clusterverknüpfung der Bewertungsstufe C erbt; deshalb ist die Unterlagenbereitstellung der Börse wichtig.

Häufige Fehler

• Ebenen zusammenziehen: „Die Adresse gehört zu Person 2“ schreiben, obwohl die Belege nur bis zur Dienstebene reichen.
• Den Kontoinhaber als handelnde Person behandeln, ohne dies zu bestätigen.
• Die Zeit außer Acht lassen: Eine im März gültige Zuordnung kann im Juni nach einer Neuzuweisung der Adresse falsch sein.
• Eine Kennzeichnung stärker bewerten als ihr Cluster oder Kopien eines einzigen Tags als Bestätigung zählen.
• Auf eine Hypothese fixiert bleiben: Sobald ein Verdächtiger benannt ist, wird jede neue Tatsache als Bestätigung gelesen. Dokumentieren Sie auf jeder Ebene konkurrierende Erklärungen und überprüfen Sie sie.
• Personen exponieren: Eine unbestätigte Verbindung zu einer Privatperson auf einer oberen Ebene bleibt in einer zugriffsbeschränkten Anlage und gehört niemals in gemeinsam genutzte Dokumente.

Prüfungsschwerpunkt: die fünf Ebenen (Adresse, Cluster, Dienst, Kontoinhaber, Einzelperson) sowie die jeweilige Aussage und die typischen Belege; dass die Kontrolle einer Adresse on-chain nicht sichtbar ist und wie sie nachgewiesen werden kann (signierte Nachricht, sichergestellter Schlüssel, authentifizierter Datensatz); eine Kennzeichnung als Aussage mit Bezugsobjekt, Behauptung und Grundlage sowie Entitäts- gegenüber Kategoriekennzeichnungen; Kennzeichnungsquellen, Testtransaktionen und ihre Hebelwirkung (344 Transaktionen, 1.070 Adressen, 2.197 Cluster), behördliche Veröffentlichungen mit ausdrücklicher Zuordnung zur jeweiligen Behörde und Zirkelberichterstattung; Vererbung von Kennzeichnungen und warum eine Kennzeichnung nicht stärker ist als die sie übertragenden Verknüpfungen; Bewertung jedes Kettenglieds von A bis D und die ebenenübergreifende Regel des schwächsten Glieds; warum KYC den Kontoinhaber identifiziert, nicht zwingend die handelnde Person; Identitätsermittlung auf dem Rechtsweg (Budapest Convention Artikel 18, Zweites Zusatzprotokoll Artikel 6 und 7); versionierte Kennzeichnungsdatensätze mit Gültigkeitszeiträumen und strukturierte Zuordnungsdatensätze; Zuordnung mit Ausrichtung auf Dienste, niemals auf die Enttarnung von Privatpersonen.