Visualisierung von Geldflüssen und visuellen Beweismitteln für Gerichte

Die meisten Leser eines Berichts zur Nachverfolgung sehen sich zuerst die Abbildungen an, und manche lesen den Text überhaupt nicht. Richter und Geschworene erinnern sich noch an das Flussdiagramm, wenn sie die Transaktionstabelle längst vergessen haben. Damit sind Abbildungen der überzeugendste Teil eines Kryptofalls – und zugleich der Teil, der am ehesten angegriffen wird: Ein Diagramm, das mehr Gewissheit vermittelt als der Bericht oder sich nicht auf die Daten zurückführen lässt, kann die Glaubwürdigkeit aller weiteren Aussagen des Sachverständigen beschädigen. Diese Lektion behandelt die Auswahl und Erstellung der passenden Visualisierung, ihre unverfälschte und lesbare Gestaltung sowie ihre Aufbereitung als Beweisstück, das ein Gericht nachvollziehen, überprüfen und seiner Entscheidung zugrunde legen kann. Der Bericht, in den die Abbildungen eingebettet sind, wird in Lektion 9.2 behandelt.

Wählen Sie die Visualisierung anhand der Frage

Gehen Sie von der Frage aus, die der Leser beantwortet haben muss, nicht von dem Werkzeug, das Sie gerade geöffnet haben.

Jede Visualisierung vereinfacht, und jede blendet etwas aus. Eine Abbildung für das Gericht sollte eine Aussage treffen: Enthält der Bericht vier Feststellungen, benötigt er möglicherweise vier Abbildungen oder eine Übersicht mit Detailabbildungen, die jeweils einer nummerierten Feststellung zugeordnet sind.

Sankey-Diagramme

Ein Sankey-Diagramm stellt Flüsse als Bänder dar, deren Breite proportional zum bewegten Wert ist. Es ist nach Matthew Sankey benannt, der 1898 ein solches Diagramm nutzte, um die Energieeffizienz einer Dampfmaschine zu zeigen, und ist die anschaulichste Möglichkeit, die Aufteilung einer Summe darzustellen. Durchgerechnetes Beispiel: Eine Adresse eines Angreifers hält nach dem Tausch seiner Beute 941,2 ETH, und drei Bänder gehen von ihr aus: 600 ETH an einen Cross-Chain-Swap-Dienst, 300 ETH an eine Bridge und 41,2 ETH, die unverändert dort verblieben. Die Breiten stehen im Verhältnis 600 : 300 : 41,2, sodass der Leser sofort erkennt, dass fast zwei Drittel in eine Richtung gingen.

Regeln für ein unverfälschtes Sankey-Diagramm:

• Wahren Sie die Werterhaltung. Was in einen Knoten eingeht, entspricht dem, was ihn verlässt, zuzüglich dessen, was verbleibt. Zeigen Sie Gebühren, nicht ausgegebene Guthaben und nicht nachverfolgte Beträge als ausdrückliche Bänder ("Gebühren 0,002 BTC", "unbewegt 41,2 ETH", "nicht nachverfolgt"); lassen Sie sie niemals stillschweigend verschwinden.
• Eine Einheit pro Diagramm. Erstellen Sie für jeden Vermögenswert ein eigenes Sankey-Diagramm oder rechnen Sie zum Zeitpunkt jeder Übertragung in eine einzige Währung um und geben Sie die Kursquelle an.
• Ordnen Sie die Spalten nach Übertragungsschritt oder Zeit, von links nach rechts, und geben Sie an, welches Prinzip Sie verwenden.
• Vermeiden Sie Zyklen. Rückflüsse gehören in einen Flussgraphen.

Die Daten hinter einem Sankey-Diagramm sind eine Kantenliste (Quelle, Ziel, Wert), die direkt aus einer Falltabelle nachverfolgter ETH-Übertragungen mit denselben Spalten wie transactions (Lektion 2.7) erzeugt wird:

-- Kantenliste für ein Sankey-Diagramm: zwischen beschrifteten Entitäten bewegter Wert
SELECT
  COALESCE(ls.entity, t.from_address) AS source,
  COALESCE(lt.entity, t.to_address)   AS target,
  SUM(t.value) / 1e18                 AS eth_moved,   -- Wert in wei, wie in transactions
  COUNT(*)                            AS transfers
FROM traced_transfers t
LEFT JOIN labels ls ON ls.address = t.from_address
LEFT JOIN labels lt ON lt.address = t.to_address
GROUP BY 1, 2
ORDER BY eth_moved DESC;

Die Left Joins verwenden Entitätsnamen, wenn eine Beschriftung vorhanden ist, und behalten andernfalls die ursprüngliche Adresse bei. Eine einzige Sammelkategorie "Unbeschriftet" würde dagegen nicht zusammengehörige Adressen zusammenführen und Flüsse darstellen, die nie stattgefunden haben. Die Joins setzen eine Beschriftung pro Adresse voraus (andernfalls werden Summen vervielfacht; siehe Lektion 2.8), und die Division durch 1e18 ergibt in vielen Datenbank-Engines eine Gleitkommazahl. Wandeln Sie daher in eine Dezimalzahl mit hoher Genauigkeit um, wenn exakte Zahlen wichtig sind.

Flussgraphen, Zeitleisten und Clusterkarten

Ein Flussgraph stellt Adressen oder Entitäten als Kästen und Übertragungen als Pfeile dar – die typische Darstellung der Nachverfolgungsarbeit (Lektion 3.1).

• Verwenden Sie ein geschichtetes Layout von links nach rechts, bei dem jede Spalte einen Übertragungs- oder Zeitschritt darstellt, sodass Leser dem Geld wie einem Text folgen. Kräftebasierte Layouts dienen ausschließlich der Exploration: Die Position ist dort ein Ergebnis des Algorithmus, und zwei nahe beieinander gezeichnete Knoten wirken miteinander verbunden, selbst wenn sie es nicht sind.
• Unterscheiden Sie Beobachtetes von Erschlossenem. Durchgezogene Pfeile für auf der Blockchain aufgezeichnete Übertragungen; gestrichelte Pfeile für Schlussfolgerungen (eine anhand von Betrag und Zeit ermittelte Bridge-Zuordnung, eine Einstufung als Wechselgeldausgang), mit der Bewertungsstufe oder dem Wahrscheinlichkeitsbegriff daneben.
• Beschriften Sie Kanten mit Betrag, Datum und einer kurzen Transaktionsreferenz; führen Sie den vollständigen Hash im Anhang auf.
• Zeigen Sie, wo die Nachverfolgung endete, und warum: "Verwahrdienst, Unterlagen angefordert" oder "nicht weiter nachverfolgt". Die Grenze ist eine Entscheidung, nicht das Ende des Geldflusses.
• Halten Sie den Graphen klein. Oberhalb von etwa 30 bis 50 Knoten ist ein Graph nicht mehr lesbar. Fassen Sie Peel Chains ("Peel Chain, 9 Übertragungsschritte") und Cluster zu einzelnen Kästen zusammen und führen Sie die Details im Anhang auf.

Unabhängig davon, welches Werkzeug Sie verwenden (zu den offenen Werkzeugen gehören Graphviz für geschichtete Layouts sowie Gephi oder Cytoscape für die Exploration), exportieren Sie die Kantenliste zusammen mit der Abbildung.

Eine Zeitleiste beantwortet die Fragen "wann" und "in welcher Reihenfolge". Dies ist vor Gericht oft wichtiger als der Pfad, weil es On-Chain-Ereignisse mit Zeugenaussagen verknüpft und zeigt, ob Zeit für ein Einfrieren blieb. Zeigen Sie Blockzeiten in UTC mit Blockhöhen und, wenn Ereignisse mit Zeugenaussagen verglichen werden müssen, zusätzlich die von den Zeugen erlebte Ortszeit mit angegebener Zeitverschiebung. Verwenden Sie bei chainübergreifenden Fällen eine Swimlane pro Blockchain, damit eine Bridge-Einzahlung und ihre Freigabe nebeneinander stehen. Unterscheiden Sie On-Chain-Ereignisse (eine bestätigte Transaktion) von Off-Chain-Ereignissen (die Meldung des Opfers, ein Ersuchen um Einfrieren, eine Festnahme) durch Form oder Bahn, nicht nur durch Farbe. Lassen Sie Lücken sichtbar: Eine dreiwöchige Pause vor einer Einzahlung ist ein Beweisanzeichen; kennzeichnen Sie jede Achsenunterbrechung.

Eine Clusterkarte zeigt die Entitätszuordnung: jedes Cluster als umschließenden Bereich mit seinen Adressen oder seiner Adressanzahl und jeden Verknüpfungsgrund (gemeinsame Eingänge, gemeinsam genutzte Einzahlungsadresse) als eigenen Linienstil. Wenn die Blasenfläche eine Größe darstellt, geben Sie an, ob sie die Adressanzahl oder das Guthaben abbildet, und warnen Sie den Leser, wenn ein Cluster verdächtig groß ist (Lektion 4.4).

Landkarten bergen ein besonderes Risiko. Die IP-Geolokalisierung anhand von Anbieterunterlagen ist nur näherungsweise genau, und Adressen können zu VPNs, Hosting-Anbietern oder Mobilfunknetzen gehören. Zeigen Sie solche Standorte als Region oder Radius mit Quelle und Datum, niemals als Markierung auf einer Straße. Der eingetragene Sitz eines Anbieters, seine Server und seine Kunden können sich in drei verschiedenen Ländern befinden; eine Karte darüber, "wohin das Geld ging", muss angeben, was davon sie zeigt.

Eine Abbildung ist ein Beweisstück

Vor Gericht ist eine Abbildung Teil der Beweise oder zumindest eine Zusammenfassung, auf die sich das Gericht stützt. Ob ein Diagramm als eigenständiges Beweismittel oder lediglich als Hilfsmittel gilt, unterscheidet sich je nach Rechtssystem; behandeln Sie es in jedem Fall als Beweisstück. Es benötigt eine eindeutige Kennung und Version, die zum Bericht passen, den Datenstichtag und die Quelldaten, die Anhangszeilen, die jede Kante, jeden Betrag und jedes Datum belegen, sowie den Urheber und das Werkzeug. Erzeugen Sie Abbildungen aus Daten, statt sie zu zeichnen, und sichern Sie die Eingabedatei durch einen Hashwert ab, damit der Sachverständige der Gegenseite dieselbe Darstellung erneut erzeugen kann:

{
  "figure_id": "FIG-04",
  "version": 2,
  "title": "Bewegung der gestohlenen 41,6 BTC, 14. bis 16. März 2026",
  "source_file": "fig04_edges_v2.csv",
  "source_sha256": "9c1e…a07b",
  "appendix_rows": "A14-A31, B3-B9",
  "data_cutoff": {"bitcoin_block": 941350, "ethereum_block": 24812000},
  "generated_with": {"tool": "Open-Source-Bibliothek für Graphlayouts", "version": "12.1"},
  "supersedes": "FIG-04 v1, Bericht v1.0",
  "author": "Prüfer 2"
}

Wenn sich eine Abbildung zwischen Bericht und Verhandlung ändert, dokumentiert das Manifest den Grund, und die vor Gericht gezeigte Version muss die offengelegte sein. Eine Abbildung, die erstmals in der Verhandlung erscheint oder von der offengelegten Version abweicht, bietet eine leichte Angriffsfläche und kann ausgeschlossen werden (Lektion 8.4).

Gestaltung für den Gerichtssaal

Eine Abbildung für das Gericht dient dem Richter oder Spruchkörper, den Laienentscheidern in Systemen, die solche vorsehen, und dem Sachverständigen der Gegenseite, der jede Zahl überprüfen wird. Sie begegnet ihnen möglicherweise in gedruckten Unterlagen, häufig in Graustufen fotokopiert und verkleinert; projiziert in einem Gerichtssaal aus mehreren Metern Entfernung; auf geteilten Bildschirmen in Videoverhandlungen; oder in elektronischen Dateien auf beliebigen Geräten. Gestalten Sie für den ungünstigsten Fall: Drucken Sie die Abbildung in Graustufen in der Größe der Gerichtsunterlagen aus, betrachten Sie sie als Projektion vom hinteren Ende eines Raums und prüfen Sie, ob jede Beschriftung ohne Vergrößerung lesbar ist.

• Stellen Sie die Legende an den Anfang, ganz oben: "durchgezogene Linie: auf der Blockchain aufgezeichnete Übertragung; gestrichelte Linie: Schlussfolgerung des Sachverständigen mit ihrer Bewertungsstufe".
• Verwenden Sie verständliche Bezeichnungen: "Einzahlungsadresse bei Börse K", nicht "Cluster 88412".
• Berücksichtigen Sie den gesamten Wert: Wenn 41,6 BTC eingingen, zeigen Sie, wohin alle 41,6 BTC gingen, einschließlich Gebühren, unbewegter Guthaben und nicht nachverfolgter Beträge.

Unsicherheit darstellen

Unsicherheit, die im Bericht deutlich ist, verschwindet oft in der Abbildung. Bewerten Sie jede erschlossene Kante mit den Begriffen des Berichts selbst, etwa "starke Stützung" oder "sehr wahrscheinlich", und keinesfalls stärker. Zeigen Sie Bandbreiten, wenn Methoden zu unterschiedlichen Ergebnissen kommen: Wenn FIFO der Börse K 2,0 BTC zuordnet und Haircut 0,7 BTC (Lektion 3.3), zeigen Sie beide Werte oder die Bandbreite, nicht die günstigere Zahl. Zeigen Sie Kandidaten: Eine aus drei Möglichkeiten ausgewählte Bridge-Freigabe wird mit ihren Alternativen dargestellt oder mit "1 von 3 Kandidaten im Zeitfenster" beschriftet. Gerundet in der Abbildung, exakt im Anhang: "etwa 2,95 BTC" im Bild, acht Nachkommastellen in der Tabelle; "1.912.400,000000 USDC" in einer Abbildung suggeriert eine Gewissheit über die Zuordnung, die der Betrag nicht hergibt. Datieren Sie jeden Fiatwert, mit Kursquelle und der Angabe, ob er sich auf den Zeitpunkt der jeweiligen Übertragung, des Diebstahls oder des Berichts bezieht; in einem volatilen Markt können diese Werte um ein Vielfaches voneinander abweichen.

Irreführende Visualisierungen vermeiden

Visualisierungen führen häufiger durch ihr Layout als durch falsche Daten in die Irre:

• Verkürzte oder uneinheitliche Achsen: Ein Balkendiagramm, das bei 900 ETH beginnt, lässt 950 wie das Doppelte von 925 erscheinen. Verwenden Sie für Diagramme, die verglichen werden sollen, denselben Maßstab.
• Fläche gegenüber Länge: Wenn der Blasenradius den Wert abbildet, vervierfacht eine Verdopplung des Radius die Fläche. Skalieren Sie die Fläche, nicht den Radius.
• Nicht gekennzeichnete logarithmische Skalen werden als linear gelesen.
• Wertende Farbgebung: Rot für eine lediglich verdächtigte Entität suggeriert ein Urteil; behalten Sie Warnfarben gesicherten Tatsachen vor, etwa einem bestätigten Exploit-Contract.
• Selektive Auslassung: Es werden nur Pfade gezeigt, die zum Verdächtigen führen, während größere Flüsse an andere Stellen weggelassen werden.

Bevor eine Abbildung in die Gerichtsunterlagen aufgenommen wird, führt eine Person, die sie nicht erstellt hat, eine Prüfung vor der Verhandlung durch:

Eine Animation, die Gelder durch Adressen "rasen" lässt, suggeriert eine Geschwindigkeit und Gewissheit, die die Daten möglicherweise nicht stützen, und lässt sich nicht in gedruckte Gerichtsunterlagen aufnehmen. Erstellen Sie für jede animierte Sequenz eine statische Version, legen Sie beide offen und sorgen Sie dafür, dass das letzte Einzelbild mit der statischen Abbildung identisch ist.

Barrierefreiheit

Berichte werden auf Telefonen gelesen, in Graustufen gedruckt und von Menschen mit Farbsehschwäche gelesen, die etwa 1 von 12 Männern und 1 von 200 Frauen betrifft. Die Web Content Accessibility Guidelines (WCAG 2.1 und 2.2) bieten auch für Dokumente nützliche Zielwerte: einen Textkontrast von mindestens 4,5:1 (3:1 für großen Text), mindestens 3:1 für bedeutungstragende grafische Elemente wie Linien und Bänder und niemals ausschließlich Farbe zur Vermittlung von Bedeutung. Durchgezogen für Beobachtetes und gestrichelt für Erschlossenes funktioniert auch in Graustufen. Versehen Sie jede Abbildung mit einem Alternativtext oder einer Bildunterschrift, die die Kernaussage wiedergibt ("zwei Drittel der Gelder gingen an den Cross-Chain-Swap"), nicht nur mit einer Beschreibung ("ein Sankey-Diagramm"), und nehmen Sie die zugrunde liegende Tabelle in den Anhang auf, damit Screenreader-Nutzer und prüfende Personen dieselben Informationen erhalten.

Prüfungsschwerpunkt: passende Visualisierung zur Frage (Sankey-Diagramm für Beträge, Flussgraph für Pfade, Zeitleiste für die Reihenfolge, Clusterkarte für die Entitätszuordnung) und eine Aussage pro Abbildung; Sankey-Regeln (Werterhaltung, ausdrückliche Darstellung von Gebühren und nicht nachverfolgten Beträgen, eine Einheit, keine Zyklen); Erstellung einer Kantenliste ohne Zusammenführung unbeschrifteter Adressen; geschichtete gegenüber kräftebasierten Layouts; durchgezogene Pfeile für aufgezeichnete Übertragungen, gestrichelte und bewertete Pfeile für Schlussfolgerungen sowie die Darstellung des Endpunkts der Nachverfolgung; UTC zuzüglich angegebener Ortszeit und getrennte On-Chain- und Off-Chain-Ereignisse auf Zeitleisten; IP-Geolokalisierung als Region mit Quelle, niemals als Straßenmarkierung; eine Abbildung als Beweisstück mit Kennung, Version, Stichtag, Quellhash und Anhangszeilen sowie Übereinstimmung mit der offengelegten Version; Gestaltung für Graustufendruck und Projektion; Darstellung methodenbedingter Bandbreiten, Zuordnungskandidaten und datierter Fiatwerte; irreführende Layouts und die Prüfung vor der Verhandlung; statische Versionen von Animationen; WCAG-Zielwerte von 4,5:1 für Text und 3:1 für Grafiken.