Attributionsquellen und ihre Zuverlässigkeit

Jede Attribution in einem forensischen Bericht beruht auf einer Quelle, und die Verteidigung wird zu jeder einzelnen nachfragen: Woher stammt diese Kennzeichnung, wann war sie zutreffend, wer hat sie überprüft und könnte sie von anderswo übernommen worden sein? Die Quellen reichen von Unterlagen, die ein Dienst im Rahmen eines rechtlichen Verfahrens bereitgestellt hat, bis zu einer nicht erläuterten Kennzeichnung in einem öffentlichen Explorer. Diese Lektion stellt die wichtigsten Kategorien von Attributionsquellen, ihre typische Zuverlässigkeit und eine Methode zu ihrer Bewertung, zeitlichen Einordnung und zum Abgleich vor. Sie baut auf den Kennzeichnungsquellen und Verknüpfungsgraden auf, die in der Lektion Von der Adresse über die Entität zur Person: Attribution und Kennzeichnung beschrieben werden.

Quellenkategorien im Überblick

Die Tabelle ist ein Ausgangspunkt. Eine selbst veröffentlichte Liste auf einer Domain, die eine fremde Identität vortäuscht, ist wertlos; eine Community-Kennzeichnung, die Sie bis zu einem Gerichtsdokument zurückverfolgen, ist belastbar. Bewerten Sie den konkreten Eintrag, nicht die Kategorie.

Unterlagen von Diensten und Emittenten

Börsen, Verwahrer und Stablecoin-Emittenten verfügen über die Unterlagen, die die Dienstebene mit der Kontoinhaberebene verbinden (siehe die Lektion Von der Adresse über die Entität zur Person: Attribution und Kennzeichnung). Unterlagen, die als Reaktion auf ein rechtliches Verfahren bereitgestellt werden, sind in einem Fall in der Regel die stärkste Attributionsquelle, müssen aber dennoch geprüft werden:

• Authentifizieren Sie die bereitgestellten Unterlagen: Wer hat sie über welchen Kanal und mit welcher begleitenden Erklärung bereitgestellt, und welchen Hashwert hatte jede Datei beim Eingang (siehe die Lektion Hashwertbildung, Protokollierung, Beweismittelkette und Qualitätsmanagement)?
• Prüfen Sie den Umfang: Stimmen Zeitraum, Konto und Vermögenswert mit der Anfrage überein?
• Gleichen Sie die Unterlagen mit der Blockchain ab: Jede Ein- und Auszahlung in den Unterlagen sollte einer Transaktion entsprechen, die Sie auf einem Knoten verifizieren können, mit demselben Betrag und einer plausiblen Zeitangabe. Abweichungen zeigen interne Übertragungen, Off-Chain-Kontobuchungen oder Fehler auf (siehe die Lektion Börsen- und Cloud-Konten als Beweismittel).
• Denken Sie daran, was KYC ist: die von einem Kunden eingereichten Dokumente, die nach dem damaligen Standard des Dienstes überprüft wurden.

Ein Stablecoin-Emittent kann auch bestätigen, dass und wann er eine Adresse eingefroren hat; seine Aufzeichnungen über die Einfrierung sind eine Primärquelle.

Beschlagnahmte Datenbanken

Die Stilllegung von Darknet-Marktplätzen, verwahrenden Mixern und illegalen Börsen liefert häufig Serverabbilder mit Benutzerkonten, Einzahlungsadressen und internen Übertragungsprotokollen. Solche Daten können die Attribution Tausender Adressen auf einmal ermöglichen und werden häufig über Kanäle der polizeilichen Zusammenarbeit zwischen Behörden ausgetauscht (siehe die Lektion Verwahrende Mixer).

Behandeln Sie eine beschlagnahmte Datenbank als Beweismittel mit eigener Herkunftsgeschichte. Der Prüfer, der sich darauf stützt, benötigt die Beweismittelkette der beschlagnahmenden Behörde, den Hashwert des Abbilds und ein Verständnis des Schemas: Welche Spalte enthält die Einzahlungsadresse, welche Zeitzone verwenden die Zeitstempel, enthalten die Datensätze Testkonten, stornierte Bestellungen oder generierte, aber nie verwendete Adressen? Eine für einen Nutzer generierte Einzahlungsadresse, auf der nie Mittel eingegangen sind, beweist nichts über einen Werttransfer. Validieren Sie eine Stichprobe der Datensätze anhand der Blockchain, bevor Sie sich auf den Rest stützen.

Geleakte Daten: rechtliche und ethische Grenzen

Durch Datenlecks offengelegte Kundendatenbanken und andere Datendumps kursieren in Foren und werden mitunter Ermittlern angeboten. Sie sind verlockend, weil sie Adressen oder E-Mail-Adressen mit Namen verknüpfen können. Sie bergen aber auch Gefahren:

• Rechtmäßigkeit: Bereits der Besitz oder die Verarbeitung gestohlener personenbezogener Daten kann rechtswidrig sein, und die Vorschriften unterscheiden sich je nach Rechtsordnung erheblich. Die Nutzung erfordert eine klare Rechtsgrundlage und eine schriftliche Richtlinie der Organisation, über die Rechtsberater entscheiden, nicht der Prüfer.
• Authentizität: Datendumps werden häufig neu zusammengestellt, mit älteren Datenlecks zusammengeführt oder teilweise erfunden.
• Datenschutz: Die Daten betreffen viele unbeteiligte Personen. Verhältnismäßigkeit und Datenminimierung sind zu beachten (siehe die Lektion Ethik, Privatsphäre, Datenschutz und Sicherheit von Ermittlern).
• Offenlegung und Fairness: Material, das nicht offengelegt oder authentifiziert werden kann, kann einen Fall schwächen.

Soweit eine Nutzung überhaupt zulässig ist, ist ein geleakter Datensatz höchstens ein Ermittlungsansatz, der am unteren Ende der Skala eingestuft wird. Die Tatsache muss durch eine rechtmäßige Quelle erneut festgestellt werden, üblicherweise durch eine Anfrage an den Dienst, dessen Daten geleakt wurden.

Kommerzielle und Community-Kennzeichnungen

Analysewerkzeuge enthalten umfangreiche proprietäre Kennzeichnungsbestände. Diese sind häufig gut recherchiert, doch die Methode hinter einer einzelnen Kennzeichnung ist selten einsehbar, und Kennzeichnungen ändern sich zwischen Versionen ohne Hinweis. Für die forensische Nutzung gilt:

1. Dokumentieren Sie das Werkzeug, die Version, den Kennzeichnungstext, die Kategorie sowie Datum und Uhrzeit des Abrufs, und fertigen Sie eine Bildschirmaufnahme oder einen Export an (siehe die Lektion Werkzeuge, Reproduzierbarkeit und Validierung).
2. Erfragen Sie die Grundlage jeder Kennzeichnung, von der eine Feststellung abhängt: Testtransaktion, öffentliche Veröffentlichung, Unterlagen oder heuristische Erweiterung.
3. Bestätigen Sie entscheidungsrelevante Kennzeichnungen unabhängig, beispielsweise durch eine eigene Testeinzahlung, eine selbst veröffentlichte Liste oder eine Bestätigung des Dienstes.

Für Community-Kennzeichnungen wie öffentliche Explorer-Kennzeichnungen, offene Datensätze und von Nutzern eingereichte Betrugsmeldungen besteht keinerlei Gewähr. Betrugsmeldungen können böswillig gegen unbeteiligte Adressen eingereicht werden. Nutzen Sie sie zur Bildung von Hypothesen und verfolgen Sie anschließend jede bis zu ihrem Ursprung zurück; Kopien eines einzigen Ursprungs zählen nur einmal (die Lektion Von der Adresse über die Entität zur Person: Attribution und Kennzeichnung bezeichnet dies als zirkuläre Berichterstattung).

Quelle und Information getrennt bewerten

In der nachrichtendienstlichen Praxis werden zwei Aspekte unabhängig voneinander bewertet: wie zuverlässig die Quelle ist und wie glaubwürdig die konkrete Einzelinformation ist. Das NATO-„Admiralty“-System verwendet die Buchstaben A bis F für die Quellenzuverlässigkeit (von vollständig zuverlässig bis nicht beurteilbar) und die Zahlen 1 bis 6 für die Glaubwürdigkeit der Information (von durch andere Quellen bestätigt bis nicht beurteilbar). Viele Strafverfolgungsbehörden, darunter Europol, verwenden eine Vier-mal-vier-Version: Quellen A, B, C oder X (nicht bewertbar) und Informationen 1 bis 4, von Informationen, deren Richtigkeit nicht in Zweifel steht, bis zu Informationen, die der Quelle nicht aus eigener Kenntnis bekannt sind und die nicht bestätigt werden können.

Der zweiachsige Ansatz eignet sich gut für die Attribution. Eine zuverlässige Quelle kann eine Information weitergeben, die ihr nicht aus erster Hand bekannt ist; ein unbekannter Forennutzer kann eine Adresse veröffentlichen, die anschließend durch die Blockchain gestützt wird. Eine beispielhafte 6x6-Zuordnung:

Dokumentieren Sie beide Codes bei jeder Kennzeichnung im Attributionsprotokoll des Falls, zusammen mit dem A–D-Grad der Verknüpfung (siehe die Lektion Von der Adresse über die Entität zur Person: Attribution und Kennzeichnung). Die beiden Skalen sind getrennt: Eine hier mit A codierte Quelle macht die Verknüpfung nicht zu einer Verknüpfung des Grades A.

Kennzeichnungen überprüfen, zeitlich einordnen und abgleichen

Jede Kennzeichnung ist für einen bestimmten Zeitraum zutreffend. Ein praktisches Prüfverfahren:

1. Verfolgen Sie sie bis zum Ursprung zurück. Finden Sie die erste Veröffentlichung oder Unterlage, nicht die Kopie, die Sie gesehen haben.
2. Sichern Sie sie und ordnen Sie sie zeitlich ein. Archivieren Sie die Seite oder Unterlage mit URL, UTC-Erfassungszeit und Hashwert (siehe die Lektion OSINT und die Verknüpfung von On-Chain- und Off-Chain-Kennungen).
3. Prüfen Sie das Aktivitätszeitfenster. Passt die On-Chain-Aktivität der Adresse zur behaupteten Rolle in diesem Zeitraum? Eine als Hot Wallet einer Börse gekennzeichnete Adresse, auf der seit 2021 keine Bewegungen mehr stattfinden, sagt nichts über Einzahlungen im Jahr 2026 aus.
4. Prüfen Sie das Verhalten. Verhält sich die Adresse entsprechend der Kategorie: gebündelte Weiterleitungen bei Einzahlungsadressen, breite Verteilung an zahlreiche Empfänger bei Hot Wallets, Vertrags-Code bei einer Bridge?
5. Suchen Sie eine zweite, unabhängige Quelle für jede Kennzeichnung, von der eine Feststellung abhängt.

Wenn Quellen einander widersprechen, bilden Sie keinen Mittelwert:

Behalten Sie die verworfene Kennzeichnung im Protokoll und dokumentieren Sie den Grund, aus dem sie nicht berücksichtigt wurde. Widersprüche zwischen Quellen sind genau das, wonach Sachverständige der Verteidigung suchen. Zu zeigen, dass Sie diese gefunden und aufgelöst haben, ist überzeugender, als den Eindruck zu erwecken, sie nie bemerkt zu haben (siehe die Lektion Offenlegung und Prüfung durch die Verteidigung).

Prüfungsschwerpunkt: die wichtigsten Quellenkategorien, ihre Stärken und Risiken sowie die jeweilige Überprüfung; Authentifizierung, Umfangsprüfung und Abgleich von Dienstunterlagen; Validierung beschlagnahmter Datenbanken (Herkunft, Schema, Zeitzonen, Adressen ohne Guthabeneingang); rechtliche Grenzen sowie Grenzen hinsichtlich Authentizität und Datenschutz bei geleakten Daten und die erneute Feststellung von Tatsachen durch rechtmäßige Quellen; Dokumentation kommerzieller Kennzeichnungen und Nachfrage nach ihrer Grundlage; zirkuläre Berichterstattung; zweiachsige Bewertung von Quelle und Information (das NATO-Admiralty-System 6x6 und die 4x4-Versionen der Strafverfolgungsbehörden); zeitliche Einordnung von Kennzeichnungen anhand von Aktivitätszeitfenstern; Auflösung von Widersprüchen zwischen Quellen und Aufbewahrung der Begründungen.