Wallets auf sichergestellten Geräten

Viele Kryptoverfahren werden dort entschieden, wo Schlüssel gefunden werden: auf einem sichergestellten Laptop, einem Telefon, einem kleinen Gerät in einer Schublade oder einem Blatt Papier in einem Buch. Ein Prüfer, der weiß, welche Spuren die einzelnen Wallet-Arten hinterlassen und wo diese zu finden sind, kann einen Verdächtigen mit On-Chain-Aktivitäten verknüpfen, noch sicherbare Gelder lokalisieren und vermeiden, das eine entscheidende Artefakt zu zerstören. Diese Lektion gibt einen Überblick über Wallet-Artefakte und die Indikatoren, die auf sie hinweisen; die nächsten drei Lektionen behandeln den Durchsuchungsort, die Datenerfassung und die Wiederherstellung.

Was eine Wallet hinterlässt

Eine Wallet enthält keine Coins. Sie enthält Schlüssel oder die Mittel zu deren Ableitung sowie Metadaten, die die Software für den Komfort des Nutzers speichert. Für einen Prüfer lassen sich Wallet-Artefakte in drei Klassen einteilen, die jeweils eine andere Frage beantworten.

Diese Unterscheidung bestimmt alle späteren Entscheidungen. Öffentliches Material wie ein erweiterter öffentlicher Schlüssel ermöglicht es einem Prüfer, sämtliche Adressen eines Kontos aufzulisten, ohne etwas transferieren zu können; BIP-32 beschreibt genau diese „Watch-only“-Nutzung. Schlüsselmaterial verleiht Verfügungsgewalt, sodass jeder, der es sieht, die Gelder ausgeben kann; seine Handhabung wird in der Lektion Hashing, Protokollierung, Beweismittelkette und Qualitätsmanagement behandelt. Nutzungsspuren belegen selten die Verfügungsgewalt, verknüpfen jedoch eine Person zu einem bestimmten Zeitpunkt mit einer Wallet.

Wallet-Arten und Speicherorte ihrer Artefakte

Der Speicherort von Artefakten hängt von der Wallet-Art, dem Betriebssystem und der Softwareversion ab. Die Tabelle zeigt das allgemeine Muster, keine Liste von Pfaden; die genauen Speicherorte für eine bestimmte Version finden Sie in forensischen Werkzeugen und in der Dokumentation der Wallet selbst.

Einige konkrete Beispiele aus Open-Source-Wallets verdeutlichen das Muster. Bitcoin Core speichert Wallets unter seinem Datenverzeichnis in Dateien, die normalerweise wallet.dat heißen: Ältere Legacy-Wallets verwenden Berkeley DB, während Deskriptor-Wallets, die mit Version 0.21 eingeführt wurden und seit Version 23.0 der Standard sind, SQLite verwenden. Seit Version 30.0 (Oktober 2025) können Legacy-Wallets nicht mehr geladen, sondern nur noch migriert werden. Daher gehören sowohl das Dateiformat als auch die zum Lesen verwendete Softwareversion in die Dokumentation. Electrum speichert für jede Wallet eine Datei in einem Ordner namens wallets im Electrum-Verzeichnis des Nutzers. In Chromium-basierten Browsern liegt der lokale Speicher einer Erweiterung im Profil in einem Ordner, der nach der ID der Erweiterung benannt ist. Damit lässt sich anhand der ID selbst feststellen, welche Wallet installiert war, auch wenn ihr Tresor verschlüsselt ist.

Daraus ergeben sich zwei praktische Punkte. Erstens ist auch eine verschlüsselte Wallet-Datei ein Beweismittel: Ihre Existenz, Zeitstempel und unverschlüsselten Metadaten geben häufig Aufschluss über Adressen und Aktivitäten, noch bevor ein Passwort bekannt ist. Zweitens kann der Hostcomputer einer Hardware-Wallet die erweiterten öffentlichen Schlüssel des Geräts enthalten. Diese können den gesamten Kontoverlauf offenlegen, ohne dass das Gerät überhaupt berührt werden muss.

Seed-Phrasen außerhalb der Wallet

Das wertvollste Artefakt befindet sich häufig in keiner Wallet-Software. Eine BIP-39-Seed-Phrase (auch als Mnemonic oder Wiederherstellungsphrase bezeichnet) kodiert 128 bis 256 Bits Entropie zuzüglich einer Prüfsumme als 12, 15, 18, 21 oder 24 Wörter aus einer Liste mit 2.048 Wörtern. Jeder, der sie besitzt, kann die Wallet mit jeder kompatiblen Software wiederherstellen. Deshalb schreiben Nutzer sie auf, und deshalb taucht sie an Orten auf, die mit der Wallet nichts zu tun haben:

• Wiederherstellungskarten in Hardware-Wallet-Verpackungen, Notizbücher, Haftnotizen, Buchränder;
• gestanzte oder gravierte Metallplatten und Unterlegscheiben, die Feuer und Überschwemmungen überstehen sollen;
• Fotos und Screenshots in der Fotogalerie sowie deren Kopien in Cloud-Fotomediatheken;
• Notiz-Apps, Textdateien, Tabellenkalkulationen, Passwortmanager, E-Mail-Entwürfe und an sich selbst gesendete Nachrichten.

Die englische BIP-39-Liste ist so aufgebaut, dass die ersten vier Buchstaben jedes Wort eindeutig identifizieren. Deshalb enthalten viele Metall-Backups nur vier Buchstaben pro Wort. Eine Liste mit 12 bis 24 kurzen, gebräuchlichen englischen Wörtern, häufig nummeriert, ist das Muster, das Sie erkennen sollten. Nicht jede Phrase entspricht BIP-39: Electrum erzeugt Seeds nach einem eigenen Versionsnummernsystem, ältere Monero-Wallets verwenden ein Format mit 25 Wörtern, und Shamir-Backups nach SLIP-39 teilen ein Geheimnis in mehrere Anteile mit jeweils 20 oder 33 Wörtern auf. Dokumentieren Sie den Phrasentyp so, wie Sie ihn vorfinden, und lassen Sie den Standard erst in der Wiederherstellungsphase bestimmen (siehe die Lektion Wallet-Wiederherstellung auf rechtmäßiger Grundlage).

Eine Seed-Phrase kann zusätzlich durch eine Passphrase geschützt sein, ein weiteres Geheimnis, das die aus denselben Wörtern abgeleitete Wallet verändert. Nutzer bewahren sie häufig getrennt von den Wörtern auf, sodass oft nur eines von beiden gefunden wird. Zu weiterem Schlüsselmaterial, das Sie erkennen sollten, gehören private Schlüssel im Wallet Import Format (im Bitcoin-Mainnet beginnen sie mit 5, K oder L), erweiterte private Schlüssel (xprv, zprv), QR-Codes auf Papier-Wallets sowie physische Münzen oder Karten mit einem Schlüssel unter einem manipulationsanzeigenden Aufkleber.

Wallet-Indikatoren am Durchsuchungsort erkennen

Durchsuchungskräfte ohne Krypto-Spezialkenntnisse benötigen eine kurze Liste dazu, wonach sie suchen und was sie nicht berühren sollten.

Geräte: kleine Geräte in USB-Stick-Form oder Kartengröße mit Bildschirm oder Tasten; zugehörige Kabel und Verpackungen; Einplatinencomputer; Ersatz- oder alte Telefone; USB-Laufwerke und Speicherkarten; Mining-Hardware.

Papier und Metall: Wortlisten, Wiederherstellungskarten, Metallplatten, QR-Codes, ausgedruckte Adressen, Notizen mit PINs oder „Wörtern“, Bücher mit markierten Wörtern.

Kontext: Belege von Krypto-Geldautomaten, Schreiben und Karten von Börsen, Zwei-Faktor-Token, Notizbücher mit Handelsaufzeichnungen, Bücher und Handbücher zu Wallets.

Bildschirme: geöffnete Wallet-Apps oder Börsensitzungen auf einem laufenden Computer oder Telefon, die die in der Lektion Durchsuchung und Sicherstellung von Kryptowerten vor Ort behandelten Entscheidungen zum Umgang mit laufenden Systemen erfordern.

Kleine Geräte können überall versteckt sein. In einem öffentlich bekannten Fall vom November 2021 stellten Ermittler bei der Vollstreckung eines Durchsuchungsbeschlusses etwa 50.000 BTC sicher, die 2012 vom Marktplatz Silk Road gestohlen worden waren. Laut offizieller Darstellung wurden die Bitcoin in einem in den Boden eingelassenen Tresor und auf einem Einplatinencomputer gefunden, der unter Decken in einer Popcorndose in einem Badezimmerschrank versteckt war. Ein Durchsuchungsplan für ein Kryptoverfahren sollte von solchen Verstecken ausgehen und die Durchsuchungskräfte darüber informieren, welche Bedeutung ein ungewöhnlicher Computer oder ein Blatt mit Wörtern haben kann.

Indikatoren dokumentieren, ohne sie zu zerstören

Die erste Regel beim Auffinden von Indikatoren lautet Zurückhaltung: finden, am Fundort fotografieren, dokumentieren, verpacken. Schalten Sie eine Hardware-Wallet nicht ein, geben Sie keine PINs ein und geben Sie eine gefundene Phrase niemals in eine Wallet, auf einer Website oder in ein Telefon ein, da dies Beweismittel verändert, andere Personen alarmieren und die Gelder gefährden kann. Ein Foto einer Seed-Phrase ist selbst Schlüsselmaterial und muss entsprechend gespeichert werden. Es darf nicht auf einem privaten Telefon verbleiben, das mit der Cloud synchronisiert wird.

Für jeden Indikator wird ein Protokolleintrag erstellt, der den Gegenstand mit seinem Fundort, seinem Zustand und der Person verknüpft, die ihn gefunden hat:

{
  "item": "CASE-0417-I-012",
  "type": "seed_backup_metal_plate",
  "location": "Bedroom 2, inside hollow book, shelf B",
  "found_by": "Searcher 3",
  "found_at_utc": "2026-03-14T06:52:10Z",
  "observed": "24 lines, 4 letters each; no passphrase visible",
  "photos": ["IMG_0451", "IMG_0452"],
  "photos_classified_as_key_material": true,
  "sealed_bag": "TE-88213",
  "words_transcribed": false
}

Der Eintrag dokumentiert, wo, wann und von wem die Platte gefunden wurde, was beobachtet wurde, ohne die Wörter in das Protokoll aufzunehmen, welche Fotos vorhanden sind und dass diese als Schlüsselmaterial eingestuft sind, sowie die Nummer des manipulationsanzeigenden Beutels. Dass words_transcribed auf false bleibt, ist beabsichtigt: Eine gegebenenfalls erforderliche Abschrift erfolgt später unter Vier-Augen-Kontrolle. Die Beweismittelkette wird anschließend wie in der Lektion Hashing, Protokollierung, Beweismittelkette und Qualitätsmanagement beschrieben fortgeführt.

Prüfungsschwerpunkt: die drei Artefaktklassen (Schlüsselmaterial, öffentliches Material, Nutzungsspuren) und die jeweils beantwortete Frage; die allgemeinen Speicherorte von Artefakten bei Desktop-, Mobil-, Browser-Erweiterungs-, Hardware- und verwahrten Wallets; warum eine verschlüsselte Wallet-Datei und die xpubs eines Hostcomputers weiterhin Beweiswert haben; BIP-39-Phrasenlängen (12 bis 24 Wörter, Liste mit 2.048 Wörtern) und die Vier-Buchstaben-Regel; Nicht-BIP-39-Formate (Electrum, ältere Monero-Seeds mit 25 Wörtern, SLIP-39-Anteile) und die separate Passphrase; Indikatoren am Durchsuchungsort für Geräte, Papier, Metall und Kontext; Zurückhaltung beim Auffinden von Indikatoren und Protokollierung jedes Fundes, wobei Fotos von Seed-Phrasen als Schlüsselmaterial zu behandeln sind.