OSINT und die Verknüpfung von On-Chain- und Off-Chain-Identifikatoren

Recherchen in offenen Quellen liefern oft die Verbindung, die eine On-Chain-Analyse nicht herstellen kann: einen Beitrag, in dem ein Verdächtiger eine Adresse veröffentlicht hat, die Registrierungshistorie einer Betrugswebsite oder einen auf einer zweiten Plattform wiederverwendeten Nutzernamen. Solche Überschneidungen waren der Ausgangspunkt vieler Identifizierungen. Sie sind aber auch häufige Fehlerquellen, denn Identifikatoren können kopiert, gefälscht, weiterverkauft und zufällig übereinstimmend sein. Ein Screenshot ohne URL, ohne Zeitangabe und ohne Aufzeichnung darüber, wie er gefunden wurde, ist vor Gericht leicht angreifbar. Diese Lektion behandelt, wie Sie Recherchen in offenen Quellen planen, Inhalte mit Herkunftsnachweis erfassen, die verschiedenen Arten von Verknüpfungen zwischen On-Chain- und Off-Chain-Daten beurteilen und eine Verknüpfung prüfen, bevor Sie sich darauf stützen.

Informationen, Erkenntnisse und Beweismittel

Das Berkeley-Protokoll über digitale Ermittlungen anhand offener Quellen, das im Dezember 2020 vom Human Rights Center der UC Berkeley School of Law gemeinsam mit dem UN Office of the High Commissioner for Human Rights veröffentlicht wurde, ist die wichtigste internationale Referenz für die Arbeit mit offenen Quellen, die für gerichtliche Verfahren bestimmt ist. Es unterscheidet drei Kategorien:

• Informationen aus offenen Quellen: Informationen, die jedes Mitglied der Öffentlichkeit ohne besonderen rechtlichen Status oder unbefugten Zugriff einsehen, erwerben oder anfordern kann.
• Erkenntnisse aus offenen Quellen (OSINT): Informationen aus offenen Quellen, die hauptsächlich der Entscheidungsunterstützung dienen, etwa dazu, Schwerpunkte festzulegen oder zu entscheiden, was angefordert werden soll.
• Beweismittel aus offenen Quellen: Informationen aus offenen Quellen mit Beweiswert, auf die sich die Feststellung von Tatsachen in Verfahren stützen kann.

Die meisten OSINT-Ergebnisse in einem Kryptofall bleiben Erkenntnisse, die auf den anzusprechenden Dienst hinweisen. Nur Inhalte, die nach beweistauglichen Standards erhoben und gesichert werden, können zu Beweismitteln werden. Planen Sie dies daher bereits ab der ersten Suche ein: Eine verschwundene Seite lässt sich nicht erneut erfassen. Hinsichtlich des Speicherorts der Daten erlaubt das Budapester Übereinkommen einer Vertragspartei den Zugriff auf öffentlich zugängliche gespeicherte Computerdaten unabhängig davon, wo diese geografisch gespeichert sind (Artikel 32(a)); die nationalen Vorschriften für Online-Recherchen von Ermittlern gelten weiterhin und werden von den Rechtsberatern der Einheit festgelegt.

Planung und Auftreten

Die Arbeit mit offenen Quellen folgt dem Erkenntniszyklus: Ausrichtung (Was müssen wir wissen?), Erhebung, Verarbeitung, Analyse, Weitergabe und Rückmeldung. Das Berkeley-Protokoll beschreibt die Ermittlungsschritte als Online-Recherchen, vorläufige Bewertung, Erhebung, Sicherung, Verifizierung und Ermittlungsanalyse. Halten Sie vor der Suche einen kurzen Erhebungsplan in der Fallakte fest:

Der Plan beschränkt die Recherche auf das für die Fragestellung Erforderliche (Datenminimierung gehört neben Genauigkeit, Sicherung und Sicherheit durch Technikgestaltung zu den Grundsätzen des Berkeley-Protokolls) und beantwortet die spätere Frage, warum eine Quelle durchsucht wurde oder nicht.

Wie der Ermittler online auftritt, ist für die Sicherheit und für den Fall von Bedeutung. Zuordenbare Recherche ist als Tätigkeit der Behörde oder des Unternehmens erkennbar und kann betroffene Personen warnen. Nicht zuordenbare Recherche nutzt eine Infrastruktur, die die Organisation nicht erkennen lässt, und beschränkt sich auf passives Betrachten; sie eignet sich für die meisten OSINT-Recherchen zu Zielpersonen. Verdeckte Arbeit, bei der unter einer angenommenen Identität mit Zielpersonen interagiert wird, ist keine passive OSINT-Recherche und erfordert eine besondere rechtliche Befugnis. Das Berkeley-Protokoll warnt davor, dass Täuschungen, etwa der Beitritt zu geschlossenen Gruppen unter falschen Vorwänden, Persönlichkeitsrechte verletzen und eine Ermittlung beeinträchtigen können. Selbst die Abfrage einer verdächtigen Adresse in einem öffentlichen Explorer verrät dessen Betreiber, dass sich jemand dafür interessiert; sensible Abfragen gehören auf Ihren eigenen Knoten (Lektion 1.5).

Suche, Erfassung und Herkunftsnachweis

Suchoperatoren ("…" für eine exakte Zeichenfolge, site:, -term, OR, intitle:, filetype: und bei manchen Suchmaschinen before: und after:) unterscheiden sich je nach Suchmaschine und ändern sich. Dokumentieren Sie deshalb bei jedem Ergebnis die exakte Suchanfrage. Für Kryptofälle gilt:

• Suchen Sie nach vollständigen Adressen, mit und ohne Anführungszeichen, über mehrere Suchmaschinen, Code-Repositories und Paste-Websites hinweg; ein Treffer für eine lange, eindeutige Zeichenfolge ist selten Zufall, kann aber eine Kopie sein. Suchen Sie nach Nutzernamen und ihren Varianten (Unterstriche, Ziffern, Ersetzungen).
• Prüfen Sie Webarchive wie die Wayback Machine des Internet Archive auf Versionen aus der Zeit, bevor eine Betrugswebsite ihre Einzahlungsadressen entfernte oder ein Nutzer einen Beitrag bearbeitete; zitieren Sie die Archiv-URL und den Erfassungszeitpunkt so, wie das Archiv ihn verzeichnet.
• Erst erfassen, dann analysieren. Live-Seiten verändern sich und verschwinden, mitunter weil die Zielperson das Interesse bemerkt hat.

Zu jedem Inhalt sind genügend Angaben erforderlich, um später nachzuweisen, worum es sich handelte, woher er stammte, wann und wie er erfasst wurde und dass er nicht verändert wurde. Die SWGDE empfiehlt in ihren Bewährten Verfahren zur Erfassung von Online-Inhalten (Dokument 21-F-001), die vollständige URL-Abfolge zu erfassen, Datum, Uhrzeit und Zeitzone des Zugriffs zu dokumentieren, Metadaten zu sichern, für jede erfasste Datei mit NIST-zugelassenen Algorithmen Hashwerte zu bilden sowie den Prüfer, den Browser und die Zugriffs-IP zu dokumentieren; das Berkeley-Protokoll ergänzt die verwendeten Werkzeuge und die eingesetzte Software. Ein Eintrag im Erhebungsprotokoll:

{
  "item_id": "OS-0007",
  "case_id": "CF-2026-0142",
  "url": "https://forum.example/t/48213?page=3#post-912",
  "query": "\"bc1q…7k3f\" site:forum.example",
  "captured_utc": "2026-03-06T10:41:12Z",
  "method": "full-page capture + HTML source + WARC",
  "tool": "open-source capture tool v3.2, browser 128",
  "files": [
    {"name": "OS-0007.warc.gz", "sha256": "5b0e…11d4"},
    {"name": "OS-0007.png", "sha256": "c3a9…7e20"}
  ],
  "archive_copy": "web archive capture requested 2026-03-06T10:44Z",
  "posture": "non-attributable, research host RH-2",
  "collector": "EX-07",
  "note": "post dated 2023-11-14 shows address in user signature"
}

Der Eintrag umfasst eine WARC-Datei (das als ISO 28500 standardisierte Webarchivformat), die den HTTP-Austausch bewahrt, einen lesbaren Screenshot und den HTML-Quelltext, jeweils mit bei der Erfassung gebildetem Hashwert, sowie eine unabhängige Archivkopie als Aufzeichnung eines Dritten. Die Notiz trennt das im Beitrag angezeigte Datum, eine Angabe der Plattform, vom Erfassungszeitpunkt, der eigenen Beobachtung des Prüfers.

Arten von Verknüpfungen und ihre Stärke

Jede Verknüpfung wird anhand der Skala aus Lektion 4.5 einzeln bewertet, und eine Kette von Verknüpfungen erhält die Einstufung ihres schwächsten Glieds. Die Spalte zur Stärke ist ein typischer Ausgangspunkt, keine Einstufung: Eine von Ihnen selbst verifizierte Signatur ist ein direkter Beweis für die Kontrolle zum Signaturzeitpunkt (A auf dieser Skala), ein einzelner Beitrag oder Registrierungsdatensatz ist ein Indikator mit bekannten Fehlerquellen (C), ein Nutzername oder eine Übereinstimmung der Aktivitätszeiten allein ist in der Regel ein Ermittlungsansatz (D), und jede dieser Verknüpfungen steigt auf B, wenn ein unabhängiger Indikator anderer Art sie bestätigt.

Signierte Nachrichten und Namensdienste

Die stärkste Überschneidung ist eine signierte Nachricht. Nach BIP-322 (Bitcoin) oder EIP-191 (Ethereum) signiert der Inhaber eines Schlüssels einen Text, und jeder kann die Signatur überprüfen. Eine gültige Signatur zeigt, dass der Unterzeichner zu diesem Zeitpunkt für die Adresse signieren konnte. BIP-322 selbst weist darauf hin, was dies nicht beweist: dass der Unterzeichner weiterhin die Gelder kontrolliert oder eine frühere Transaktion gesendet hat. Verifizieren Sie jede Signatur selbst mit einer offenen Implementierung und dokumentieren Sie das Werkzeug und dessen Version.

Der Ethereum Name Service (ENS) ordnet Namen und Adressen in zwei Richtungen mit unterschiedlichem Gewicht zu. Die Vorwärtsauflösung (Name zu Adresse) wird vom Inhaber des Namens festgelegt und kann ohne Zustimmung der betreffenden Adresse auf jede beliebige Adresse verweisen; sie zeigt, was der Namensinhaber anzeigen wollte. Die Rückwärtsauflösung (Adresse zu primärem Namen) wird durch eine Transaktion von der Adresse selbst festgelegt. Sie ist somit eine Aussage der Person, die die Adresse zum Zeitpunkt der Festlegung kontrollierte, und damit stärker, insbesondere wenn Vorwärts- und Rückwärtsauflösungseinträge übereinstimmen. Namen enthalten außerdem Texteinträge wie url, email, com.twitter und avatar. Sie laufen ab: Nach der Nachfrist und einem 21-tägigen Zeitraum mit sinkendem Aufpreis kann jeder einen abgelaufenen Namen registrieren. Dokumentieren Sie deshalb die Registrierungshistorie und den Block, in dem jeder Eintrag festgelegt wurde. Verifizierungsabzeichen für Wallets und Funktionen zum „Verbinden einer Wallet“ auf Plattformen sind Aussagen der jeweiligen Plattform; deren Aufzeichnungen darüber, welches Konto welche Adresse verknüpft hat, können angefordert werden.

Nutzernamen, E-Mail-Adressen und Domains

Menschen verwenden Nutzernamen mehrfach. Bei den Ermittlungen zu Silk Road fand ein Ermittler auf der Suche nach den frühesten Online-Erwähnungen des Marktplatzes Beiträge vom Januar 2011, in denen ein Nutzername die Website in zwei Foren bewarb. Ein späterer Beitrag desselben Nutzernamens, mit dem ein Entwickler gesucht wurde, enthielt eine persönliche E-Mail-Adresse für Antworten. Daraus entstand ein Ermittlungsansatz, der auf dem Rechtsweg weiterverfolgt wurde. Gewichten Sie eine Übereinstimmung von Nutzernamen anhand ihrer Seltenheit (quietharbor_77 in zwei Foren ist aussagekräftiger als crypto_king; suchen Sie danach, wie viele nicht miteinander verbundene Nutzer ihn verwenden), der Konsistenz von Themen, Stil, Zeitzonen und Datumsangaben, der Kontohistorie (bei einem Konto, das am Tag nach einer öffentlichen Warnung angelegt wurde, ist Nachahmung wahrscheinlicher als Wiederverwendung) und der zeitlichen Richtung (die früheste Verwendung ist gewöhnlich am wichtigsten). Eine Übereinstimmung stützt eine Hypothese; das dahinterstehende Konto ist ein Konto bei einem Dienst, dessen Bestandsdaten angefordert werden können (Lektion 1.4).

Betrugsplattformen, gefälschte Börsen und Phishing-Kits benötigen Domains, und Domains hinterlassen Aufzeichnungen. Für generische Top-Level-Domains wurde das Registration Data Access Protocol (RDAP) am 28. Januar 2025 zur maßgeblichen Quelle für Registrierungsdaten und löste WHOIS ab. Öffentliche Antworten sind aus Datenschutzgründen häufig geschwärzt, sodass Angaben zum Registranten in der Regel auf dem Rechtsweg vom Registrar bezogen werden; das Zweite Zusatzprotokoll zum Budapester Übereinkommen sieht direkte Ersuchen um Informationen zur Domainnamenregistrierung vor (Artikel 6). Historische Registrierungsdaten und passives DNS zeigen, welche IP-Adressen eine Domain verwendet hat und welche anderen Domains diese gemeinsam nutzten. Certificate-Transparency-Protokolle (RFC 6962) erfassen öffentlich vertrauenswürdige TLS-Zertifikate in öffentlichen, nur ergänzbaren Protokollen. Eine Suche darin nach einer Betrugsmarke offenbart häufig verwandte Domains. Gemeinsam genutzte Infrastruktur verknüpft Websites zuverlässiger miteinander als mit einer Person: Eine gemeinsame IP-Adresse bei einem großen Hostingdienst ist schwach, während eine gemeinsame ungewöhnliche Analysekennung oder Einzahlungsadresse stark ist.

Kopieren, zeitliche Einordnung und IP-Belege

Adressen gehören zu den am häufigsten kopierten Zeichenfolgen im Internet. Spenden- und Zahlungsadressen werden von Fans, Betrügern und Aggregatoren erneut veröffentlicht. Beim Address Poisoning erstellen Angreifer ähnlich aussehende Adressen, deren erste und letzte Zeichen mit denen einer Gegenpartei des Opfers übereinstimmen, und senden winzige Transfers oder Transfers mit einem Wert von null, damit die ähnliche Adresse im Verlauf des Opfers erscheint; eine verkürzt angezeigte Adresse in einem Screenshot kann zu beiden passen. Einige Plattformen erlauben Bearbeitungen ohne sichtbare Historie. Vergleichen Sie daher mit Archiverfassungen. Vergleichen Sie stets die vollständige Adresse, Zeichen für Zeichen oder anhand eines Hashwerts. Die zeitliche Einordnung ist der stärkste Test: Ein Beitrag, der eine Adresse vor ihrer ersten On-Chain-Aktivität zeigt, ist wesentlich aussagekräftiger als einer, der nach einer öffentlichen Warnung erscheint, als jeder sie kopieren konnte. Im Beispiel ist der Beitrag OS-0007 auf 2023-11-14 datiert, und die Adresse erhielt im Dezember 2023 erstmals Gelder.

IP-Adressen stammen hauptsächlich aus auf dem Rechtsweg erlangten Aufzeichnungen von Diensten (Anmeldeprotokolle von Börsen, Wallet-Backends, Knoten- oder API-Anbieter) (Lektion 7.5). Biryukov, Khovratovich und Pustogarov (2014) zeigten, dass Beobachter von Peer-to-Peer-Netzwerken Bitcoin-Transaktionen manchmal mit der IP-Adresse verknüpfen können, die sie zuerst weitergeleitet hat. Dies ist jedoch kein routinemäßiger Beleg, und Tor verhindert es. Eine IP-Übereinstimmung erfordert Kontext: VPN-Ausgangsknoten, Tor, Carrier-NAT und gemeinsam genutzte Büros führen dazu, dass viele Personen hinter einer Adresse stehen, und Protokolle verwenden unterschiedliche Zeitzonen.

Aktivitätszeitprofile sind bestenfalls unterstützende Belege. Die Zählung der Transaktionen eines Clusters nach UTC-Stunde (in SQL mit EXTRACT(HOUR FROM block_timestamp) oder bei manchen Systemen mit HOUR() oder date_part('hour', …)) ergibt ein Profil, das mit den Beitragszeiten eines Nutzernamens verglichen werden kann. Beachten Sie die Grenzen: Die Blockzeit ist nicht der Sendezeitpunkt (bei Bitcoin können Blockzeitstempel um mehr als eine Stunde von der tatsächlichen Zeit abweichen), Bots arbeiten rund um die Uhr, und viele Menschen teilen eine Zeitzone.

Eine Verknüpfung verifizieren und prüfen

Erfasste Inhalte sind zunächst Behauptungen, bis sie auf Authentizität, Zuverlässigkeit, Relevanz und Beweiswert geprüft wurden. Untersuchen Sie die Quelle (Wer hat den Inhalt veröffentlicht? Ist das Konto authentisch und etabliert?), den Inhalt (Ist er in sich und mit anderen Informationen konsistent?) und die technischen Spuren (Metadaten, Seitenstruktur, Archivhistorie). Die Blockchain bietet eine starke unabhängige Kontrollmöglichkeit für datierte Behauptungen. Schreiben Sie anschließend die konkurrierenden Erklärungen auf (der Verfasser kontrolliert die Adresse; hat sie kopiert; seine Identität wurde vorgetäuscht oder sein Konto kompromittiert) sowie die Belege für und gegen jede Erklärung.

Fragen Sie sich, wie häufig eine Verknüpfung zufällig auftreten würde. Wenn ein Verdächtiger zehn Minuten nach einer Einzahlung von 0,5 ETH an anderer Stelle 0,5 ETH von Börse K abgehoben hat, zählen Sie, wie viele Auszahlungen von 0,5 ETH die Hot Wallets von Börse K in diesem Zeitfenster vorgenommen haben; waren es vierzig, ist die Übereinstimmung schwach. Gehen Sie anschließend eine Checkliste durch:

1. Ist der Identifikator selten, und haben Sie geprüft, wie viele andere ihn verwenden?
2. Wurde er beobachtet, bevor der Fall öffentlich bekannt wurde?
3. Könnte er kopiert, nachgeahmt oder durch Address Poisoning eingeschleust worden sein?
4. Passt der Zeitpunkt der Off-Chain-Aufzeichnung zur On-Chain-Aktivität?
5. Gibt es eine unabhängige zweite Verknüpfung, idealerweise anderer Art?
6. Wurden die konkurrierenden Erklärungen aufgeschrieben und geprüft?

Dokumentieren Sie auch Verknüpfungen, die die Prüfung anhand der Checkliste nicht bestanden haben.

Dokumentation für das Gericht

Ein Beweisstück aus offenen Quellen ist belastbar, wenn ein anderer Prüfer denselben Weg nachvollziehen und jeden Inhalt überprüfen könnte. Die Fallakte enthält den Erhebungsplan und seine Änderungen; das mit einem Hashwert versehene Erhebungsprotokoll und die Erfassungen mit dokumentierter Beweismittelkette (Lektionen 8.2 und 8.3); zeitnah angefertigte Notizen, einschließlich ergebnisloser Suchen; die Verifizierung jedes Inhalts, auf den man sich stützt; und eine Erklärung zum Recherchemodus, die bestätigt, dass weder unbefugte Zugriffe noch Täuschungen stattgefunden haben. Zitieren Sie im Bericht Inhalte anhand ihrer Kennung, zitieren Sie nur das Erforderliche und schwärzen Sie Angaben zu unbeteiligten Personen; Verknüpfungen zu Privatpersonen bleiben in einem zugriffsbeschränkten Anhang, bis sie auf dem Rechtsweg bestätigt sind.

Prüfungsschwerpunkt: Informationen, Erkenntnisse und Beweismittel aus offenen Quellen im Berkeley-Protokoll (2020) und dessen Ermittlungsschritte; Artikel 32(a) des Budapester Übereinkommens; ein Erhebungsplan mit Abbruchregel; zuordenbare, nicht zuordenbare und verdeckte Recherchemodi und warum verdeckte Arbeit eine besondere Befugnis erfordert; Dokumentation der exakten Suchanfrage und Erfassung vor der Analyse; Erhebungsaufzeichnungen mit vollständiger URL, UTC-Zeit, Methode, Werkzeugversion, SHA-256-Hashwerten und WARC (ISO 28500) gemäß SWGDE 21-F-001; die Arten von Verknüpfungen und ihre typische Stärke; was eine signierte Nachricht (BIP-322, EIP-191) beweist und was nicht; ENS-Vorwärts- gegenüber Rückwärtsauflösung und Ablauf; Gewichtung von Übereinstimmungen bei Nutzernamen (Seltenheit, Konsistenz, Kontohistorie, erste Verwendung); RDAP seit dem 28. Januar 2025, passives DNS, Certificate Transparency (RFC 6962) und gemeinsam genutzte Infrastruktur; kopierte Adressen, Address Poisoning und Vergleich vollständiger Adressen; Grenzen der Korrelation von IP-Adressen und Aktivitätszeiten; Berücksichtigung von Basisraten und die Checkliste gegen zufällige Verknüpfungen.