Bitcoin Wallet verfolgen — Adressen, Geldflüsse und Cluster-Analyse

1. Grundlagen: Was ist ein Bitcoin Wallet?

Ein weit verbreitetes Missverständnis ist die Vorstellung, ein Bitcoin Wallet funktioniere wie ein Bankkonto mit einem einzigen Saldo. Tatsächlich ist ein Wallet eine Sammlung kryptografischer Schlüsselpaare, die beliebig viele Bitcoin-Adressen erzeugen können. Jede Adresse ist ein öffentlicher Empfangspunkt, vergleichbar mit einer IBAN — allerdings kann ein Wallet Hunderte oder Tausende solcher Adressen besitzen.

Moderne HD-Wallets (Hierarchical Deterministic Wallets) erzeugen für jede eingehende Transaktion automatisch eine neue Adresse. Dieses Verhalten erhöht die Privatsphäre, macht die Verfolgung aber anspruchsvoller, da ein einzelnes Wallet über Dutzende verschiedener Adressen agieren kann. Die zentrale Herausforderung der Wallet-Verfolgung besteht darin, alle zu einem Wallet gehörenden Adressen zu identifizieren und den gesamten Geldfluss als Einheit zu analysieren.

Das UTXO-Modell einfach erklärt

Bitcoin verwendet kein kontenbasiertes System wie eine Bank. Stattdessen arbeitet Bitcoin mit sogenannten UTXOs — Unspent Transaction Outputs (unverbrauchte Transaktionsausgänge). Stellen Sie sich UTXOs als digitale Geldscheine vor: Wenn Sie 0,5 BTC erhalten, entsteht ein UTXO über 0,5 BTC. Wenn Sie später 0,3 BTC an jemanden senden, wird Ihr 0,5-BTC-UTXO vollständig "verbraucht" und es entstehen zwei neue UTXOs: 0,3 BTC an den Empfänger und 0,2 BTC als Wechselgeld (Change) zurück an Ihr eigenes Wallet (abzüglich Transaktionsgebühren).

Dieses Modell ist entscheidend für die Verfolgung, denn es bedeutet: Jede Transaktion hat Inputs (die verbrauchten UTXOs) und Outputs (die neu erzeugten UTXOs). Die Inputs verraten, woher die Mittel stammen. Die Outputs zeigen, wohin sie fließen. Und das Wechselgeld führt in der Regel zurück zum Absender-Wallet — ein Umstand, den Analysten nutzen, um weitere Adressen desselben Wallets zu identifizieren.

2. Blockchain-Explorer: Ihr Werkzeug zur Wallet-Verfolgung

Blockchain-Explorer sind Web-Anwendungen, die sämtliche Daten der Bitcoin-Blockchain in einer lesbaren Form darstellen. Sie sind das grundlegende Werkzeug für jeden, der ein Bitcoin Wallet verfolgen möchte. Drei Explorer haben sich als besonders zuverlässig und leistungsfähig etabliert.

Blockchain.com Explorer

Der Explorer von Blockchain.com ist der bekannteste und am längsten etablierte Blockchain-Explorer. Er bietet eine übersichtliche Darstellung von Adressen, Transaktionen und Blöcken. Geben Sie eine Bitcoin-Adresse in die Suchleiste ein und Sie sehen sofort den aktuellen Kontostand, die Anzahl der Transaktionen, den Gesamteingang und Gesamtausgang, sowie eine chronologische Liste aller Transaktionen. Für eine erste Einschätzung — etwa ob eine Adresse aktiv ist oder wann die letzte Transaktion stattfand — ist Blockchain.com ein guter Startpunkt.

Blockchair

Blockchair bietet deutlich umfangreichere Analysefunktionen als Blockchain.com. Neben den Standard-Adressinformationen zeigt Blockchair auch eine Privatsphäre-Bewertung (Privacy Score) für Adressen und Transaktionen. Besonders nützlich für die Wallet-Verfolgung ist die Möglichkeit, mehrere Blockchains gleichzeitig zu durchsuchen (Bitcoin, Ethereum, Litecoin und weitere). Blockchair unterstützt zudem SQL-ähnliche Abfragen über die API, was für systematische Analysen wertvoll ist.

Mempool.space

Mempool.space ist ein Open-Source-Explorer, der sich durch eine besonders detaillierte Darstellung des Bitcoin-Mempools (der Warteschlange unbestätigter Transaktionen) auszeichnet. Für die Wallet-Verfolgung ist Mempool.space besonders nützlich bei zeitkritischen Untersuchungen: Sie können sehen, ob eine Transaktion bereits bestätigt wurde oder noch aussteht, und die Transaktionsgebühren analysieren. Die Visualisierung von Inputs und Outputs ist hervorragend aufbereitet und erleichtert das manuelle Tracing erheblich.

3. Transaktions-Inputs und Outputs verstehen

Jede Bitcoin-Transaktion besteht aus mindestens einem Input und mindestens einem Output. Die Inputs referenzieren frühere UTXOs und beweisen, dass der Absender über die Mittel verfügt. Die Outputs definieren, an welche Adressen die Mittel fließen und in welcher Höhe. Um ein Wallet effektiv zu verfolgen, müssen Sie lernen, diese Struktur zu lesen.

Inputs: Woher kommt das Geld?

Die Inputs einer Transaktion zeigen, welche UTXOs verbraucht werden. Jeder Input referenziert eine frühere Transaktion und einen bestimmten Output-Index. Wenn eine Transaktion mehrere Inputs hat, bedeutet das, dass der Absender UTXOs von verschiedenen Adressen zusammenführt. Dies ist ein starkes Signal dafür, dass alle Input-Adressen zum selben Wallet gehören — eine Erkenntnis, die in der Cluster-Analyse als Common-Input-Ownership-Heuristik bekannt ist.

Outputs: Wohin fließt das Geld?

Die Outputs zeigen die Empfängeradressen und die jeweiligen Beträge. In den meisten Transaktionen gibt es mindestens zwei Outputs: den eigentlichen Zahlungsoutput an den Empfänger und einen Change-Output (Wechselgeld), der an eine Adresse des Absender-Wallets zurückfließt. Die Identifikation des Change-Outputs ist ein zentraler Schritt in der Wallet-Verfolgung, da er eine weitere Adresse des untersuchten Wallets offenbart.

Change-Adressen erkennen

Erfahrene Analysten verwenden mehrere Indikatoren, um Change-Outputs zu identifizieren. Typische Hinweise sind: Der Change-Betrag ist keine runde Zahl (z. B. 0,04738291 BTC statt 0,05 BTC). Die Change-Adresse verwendet denselben Adresstyp wie die Input-Adressen (z. B. alle beginnen mit "bc1"). Die Change-Adresse wurde vorher nie verwendet (frisch generierte Adresse). In manchen Fällen verraten auch die Wallet-Software-Muster den Change-Output — etwa wenn der Change-Output stets an einer bestimmten Position (erster oder letzter Output) steht.

4. Multi-Hop-Tracing: Dem Geld über mehrere Stationen folgen

In der Praxis sendet ein Betrüger gestohlene Bitcoin selten direkt an eine Börse. Stattdessen werden die Gelder über mehrere Zwischenstationen geleitet — sogenannte Hops. Jeder Hop ist eine eigenständige Transaktion, die den Geldfluss verschleiern soll. Beim Multi-Hop-Tracing verfolgen Sie den Weg der Bitcoin von der Ursprungsadresse über alle Zwischenstationen bis zum endgültigen Ziel.

Das Vorgehen ist systematisch: Beginnen Sie bei der Ursprungsadresse (z. B. die Adresse, an die Sie Bitcoin gesendet haben). Identifizieren Sie die ausgehenden Transaktionen dieser Adresse. Verfolgen Sie den relevanten Output (nicht den Change) zur nächsten Adresse. Wiederholen Sie diesen Vorgang für jede Zwischenstation. Bei jeder Stufe können die Gelder gesplittet werden (ein Input, mehrere Outputs) oder aggregiert (mehrere Inputs, ein Output). Splitting erfordert, dass Sie alle relevanten Pfade parallel verfolgen, was die Analyse exponentiell komplexer macht.

In der Praxis umfassen die meisten Betrugsfälle 3 bis 15 Hops. Erfahrene Betrüger nutzen jedoch weit mehr Zwischenstationen oder kombinieren Multi-Hop-Tracing mit Mixing und CoinJoin, um die Analyse zu erschweren. Ab einer gewissen Komplexität ist eine manuelle Verfolgung mit Blockchain-Explorern nicht mehr praktikabel — hier wird professionelle Forensik-Software notwendig.

5. Exchange-Adressen identifizieren

Das primäre Ziel jeder Wallet-Verfolgung bei Betrugsfällen ist es, festzustellen, ob und wo die gestohlenen Bitcoin auf einer regulierten Börse (Exchange) eingezahlt wurden. Regulierte Börsen wie Binance, Coinbase, Kraken, Bitpanda oder Bitstamp unterliegen KYC-Pflichten (Know Your Customer) und müssen die Identität ihrer Nutzer verifizieren. Wenn gestohlene Gelder auf einer solchen Börse identifiziert werden, können Strafverfolgungsbehörden die Kontoinhaber-Daten anfordern und die Gelder einfrieren lassen.

Die Identifikation von Exchange-Adressen erfolgt über spezialisierte Datenbanken. Professionelle Blockchain-Analyse- Firmen pflegen umfangreiche Zuordnungslisten, die bestimmte Adressen bekannten Börsen zuweisen. Einige dieser Zuordnungen basieren auf öffentlichen Informationen (z. B. Cold-Wallet-Adressen, die Börsen bei Audits offenlegen), andere auf proprietaerer Analyse. Auch Dienste wie WalletExplorer.com ordnen Adressen bekannten Entitäten zu, allerdings mit eingeschränkter Abdeckung.

6. Cluster-Analyse: Alle Adressen eines Wallets finden

Die Cluster-Analyse ist die zentrale Methode der Bitcoin-Forensik. Ihr Ziel: Alle Adressen identifizieren, die von derselben Entität (Person, Organisation, Börse) kontrolliert werden, und diese zu einem Cluster zusammenfassen. Dies ermöglicht ein vollständiges Bild des Geldvermögens und des Transaktionsverhaltens einer Entität.

Common-Input-Ownership-Heuristik

Die wichtigste Heuristik basiert auf einer einfachen Annahme: Wenn eine Transaktion mehrere Input-Adressen hat, gehören alle diese Adressen wahrscheinlich zum selben Wallet. Der Grund ist technisch: Um eine Transaktion mit mehreren Inputs zu signieren, muss der Absender die privaten Schlüssel aller Input-Adressen besitzen. In der Regel kontrolliert eine einzelne Person oder Entität diese Schlüssel. Durch systematische Anwendung dieser Heuristik über Tausende von Transaktionen lassen sich große Adress-Cluster aufbauen.

Change-Address-Heuristik

Ergänzend zur Common-Input-Ownership wird die Change-Address-Heuristik verwendet. Wenn ein Output als Wechselgeld identifiziert wird (anhand der zuvor beschriebenen Kriterien), wird die Change-Adresse dem Absender-Cluster zugeordnet. In Kombination mit der Common-Input-Ownership- Heuristik ergibt sich ein immer vollständigeres Bild aller Adressen eines Wallets.

Grenzen der Cluster-Analyse

Cluster-Analyse ist nicht fehlerfrei. CoinJoin-Transaktionen (siehe Abschnitt 8) kombinieren absichtlich Inputs verschiedener Nutzer in einer einzelnen Transaktion, wodurch die Common-Input-Ownership-Heuristik versagt. Ebenso können fortgeschrittene Wallet-Software und manuelles Coin-Management (Coin Control) die Change-Erkennung erschweren. Professionelle Forensik-Tools berücksichtigen diese Gegenmaßnahmen und verwenden zusätzliche statistische und zeitbasierte Methoden, um Cluster trotzdem korrekt zu bilden.

7. Typische Muster bei Betrugswallets

Erfahrene Blockchain-Analysten erkennen Betrugswallets häufig an wiederkehrenden Verhaltensmustern. Diese Muster helfen, den Charakter einer Adresse einzuschätzen, bevor eine vollständige Analyse vorliegt.

Sammlung und Weiterleitung (Peel Chain)

Eine häufige Technik von Betrügern ist die sogenannte Peel Chain. Dabei wird ein großer Betrag schrittweise in kleinen Portionen an verschiedene Adressen ausgezahlt, wobei bei jeder Transaktion ein kleiner Betrag "abgeschält" und der Rest an eine neue Adresse weitergeleitet wird. Das Ergebnis ist eine lange Kette aufeinanderfolgender Transaktionen. Peel Chains sind mit professionellen Tools gut erkennbar und nachverfolgbar.

Schnelle Durchleitung (Pass-Through)

Einige Betrugswallets zeigen ein charakteristisches Pass-Through-Muster: Die Adresse empfängt Bitcoin und leitet nahezu den gesamten Betrag innerhalb weniger Minuten oder Stunden weiter. Diese Adressen dienen als reine Durchleitungsstationen und werden oft nur einmal verwendet. Ein Wallet mit vielen solchen Adressen deutet auf ein organisiertes Netzwerk hin.

Aggregation (Sammler-Wallets)

Im Gegensatz zur Peel Chain sammeln Aggregation-Wallets eingehende Beträge von vielen verschiedenen Quellen und bündeln sie in einer großen Transaktion an eine Börse oder einen weiteren Dienst. Dieses Muster tritt häufig bei organisierten Betrugsoperationen auf, die gleichzeitig viele Opfer haben. Die Identifikation eines Sammler-Wallets kann Ermittlern helfen, das Ausmaß eines Betrugsnetzwerks zu bestimmen.

8. Grenzen der Wallet-Verfolgung: Mixer, CoinJoin und Lightning

Die Verfolgung von Bitcoin Wallets ist mächtig, hat aber technische Grenzen. Bestimmte Technologien wurden gezielt entwickelt, um die Nachverfolgbarkeit zu erschweren. Es ist wichtig, diese Grenzen realistisch einzuschätzen.

Bitcoin Mixer (Tumbler)

Mixer nehmen Bitcoin von mehreren Nutzern entgegen, vermischen die Gelder und senden jedem Nutzer Bitcoin von anderen Nutzern zurück. Das Ergebnis: Die Verbindung zwischen eingehenden und ausgehenden Transaktionen wird zerstört. Allerdings sind Mixer nicht perfekt. Betragskorrelation (wenn ein- und ausgehende Beträge übereinstimmen), zeitliche Analyse (Einzahlung und Auszahlung liegen zeitlich nahe beieinander) und die begrenzte Liquidität mancher Mixer können Analysten dennoch Hinweise geben. Zudem operieren die meisten Mixer in rechtlichen Grauzonen und wurden in mehreren Fällen von Strafverfolgungsbehörden abgeschaltet.

CoinJoin

CoinJoin ist ein dezentralisiertes Datenschutzprotokoll, bei dem mehrere Nutzer ihre Transaktionen zu einer einzigen großen Transaktion kombinieren. Anders als bei einem zentralisierten Mixer gibt es keinen einzelnen Betreiber, der die Zuordnungen kennt. Wasabi Wallet und JoinMarket sind bekannte Implementierungen. CoinJoin-Transaktionen sind in der Blockchain erkennbar (viele Inputs, viele Outputs mit gleichen Beträgen), aber die Zuordnung einzelner Inputs zu bestimmten Outputs ist mathematisch nur probabilistisch möglich — nicht deterministisch.

Lightning Network

Das Lightning Network ist eine sogenannte Layer-2-Lösung für Bitcoin. Transaktionen finden in privaten Zahlungskanälen statt und werden nicht einzeln auf der Blockchain aufgezeichnet. Nur die Eröffnungs- und Schließungstransaktionen der Kanäle sind öffentlich sichtbar. Die Verfolgung von Zahlungen innerhalb des Lightning Networks ist daher mit herkömmlicher Blockchain-Analyse nicht möglich. Für Betrugsermittler bedeutet das: Wenn gestohlene Bitcoin über das Lightning Network bewegt werden, endet die On-Chain-Spur bei der Kanal-Eröffnungstransaktion.

Cross-Chain-Swaps

Eine zunehmende Herausforderung sind sogenannte Cross-Chain-Swaps, bei denen Bitcoin gegen eine andere Kryptowährung getauscht wird — etwa über dezentrale Börsen (DEXs) oder Atomic Swaps. Die Spur endet auf der Bitcoin-Blockchain und muss auf einer anderen Blockchain (z. B. Ethereum, Monero) fortgesetzt werden. Monero ist dabei besonders problematisch, da es technisch anonyme Transaktionen ermöglicht.

9. Wann professionelle Blockchain-Forensik notwendig ist

Blockchain-Explorer und manuelles Tracing reichen für einfache Fälle — etwa eine direkte Transaktion an eine Börse — häufig aus. In vielen realen Betrugsfällen ist die Situation jedoch komplexer. Professionelle Blockchain-Forensik wird notwendig, wenn der Geldfluss über mehr als 5 Hops verläuft, wenn Splitting die Gelder auf Dutzende paralleler Pfade verteilt, wenn Mixer oder CoinJoin zum Einsatz kommen, wenn ein gerichtstaugliches Gutachten benötigt wird, oder wenn Strafverfolgungsbehörden eine formal dokumentierte Analyse verlangen.

Professionelle Tools wie Chainalysis Reactor, Elliptic oder CipherTrace haben Zugriff auf umfangreiche Adress-Datenbanken und können Cluster-Analysen automatisiert auf Millionen von Transaktionen anwenden. Sie identifizieren Exchange-Einzahlungen, flaggen bekannte Betrugsadressen und erzeugen visuell aufbereitete Transaktionsgraphen, die als Beweismittel verwertbar sind.

ChainEvidence bietet Ihnen eine automatisierte Erstanalyse, die viele dieser professionellen Funktionen abdeckt: Multi-Hop- Tracing, Exchange-Identifikation, Risikobewertung und ein druckfertiges Beweis-PDF. Für die Mehrheit der Betrugsfälle — insbesondere Investment-Betrug und Romance Scams, bei denen die Gelder über einige Zwischenstationen zu einer Börse fließen — liefert die automatisierte Analyse die entscheidenden Ergebnisse.

10. Rechtliche Verwertbarkeit von Blockchain-Beweisen in Deutschland

In deutschen Gerichtsverfahren — sowohl straf- als auch zivilrechtlich — können Blockchain-Analysen als Beweismittel herangezogen werden. Die Verwertbarkeit hängt von der Qualität der Dokumentation und der Nachvollziehbarkeit der Methodik ab.

Urkundenbeweis und Sachverständigenbeweis

Ein professionell erstelltes Blockchain-Analyse-PDF kann als Urkundenbeweis gemäß § 415 ff. ZPO vorgelegt werden. In Strafverfahren kann ein Sachverständiger die Blockchain-Analyse dem Gericht als Gutachten präsentieren. Entscheidend ist, dass die Beweiskette lückenlos dokumentiert ist: Welche Adresse wurde untersucht, über welche Transaktionen floss das Geld, welche Heuristiken wurden angewendet, und zu welcher Schlussfolgerung führt die Analyse.

Anforderungen an die Beweisführung

Für die gerichtliche Verwertbarkeit sollte ein Blockchain-Beweis folgende Elemente enthalten: eine eindeutige Identifikation der untersuchten Adresse(n) und Transaktionen (inklusive TXIDs), eine nachvollziehbare Darstellung des Geldflusses (Transaktionsgraph), die Offenlegung der verwendeten Analyse-Methoden und Heuristiken, einen Zeitstempel der Analyse-Erstellung, sowie Quellen- angaben für die Exchange-Zuordnungen. Zudem sollte die Analyse von einer qualifizierten Stelle oder einem anerkannten Tool erstellt worden sein. ChainEvidence formatiert das Beweis-PDF genau nach diesen Kriterien.

Relevante Rechtsgrundlagen

Bei Kryptowährungsbetrug kommen in Deutschland insbesondere § 263 StGB (Betrug), § 263a StGB (Computerbetrug) und § 261 StGB (Geldwäsche) in Betracht. Im Zivilrecht ist § 812 BGB (ungerechtfertigte Bereicherung) relevant, wenn die Identität des Täters über die Blockchain-Analyse und Exchange-KYC-Daten ermittelt wurde. Das Geldwäschegesetz (GwG) verpflichtet zudem Krypto-Dienstleister zu umfassender Kundenidentifikation, was die Ermittlung von Endempfängern erleichtert.

11. Praktische Checkliste: Bitcoin Wallet verfolgen

Folgende Schritte fassen den gesamten Prozess der Wallet-Verfolgung zusammen:

Schritt 1: Sammeln Sie alle relevanten Bitcoin-Adressen und Transaktions-IDs (TXIDs). Prüfen Sie Transaktionsbestätigungen, Wallet-Exporte und jede Kommunikation, in der Adressen genannt werden.

Schritt 2: Geben Sie die Adressen in einen Blockchain-Explorer ein (Blockchain.com, Blockchair oder Mempool.space). Prüfen Sie den aktuellen Kontostand, die Transaktionshistorie und identifizieren Sie die ausgehenden Transaktionen.

Schritt 3: Verfolgen Sie den Geldfluss über alle Hops. Unterscheiden Sie dabei Zahlungsoutputs von Change-Outputs und dokumentieren Sie jeden Schritt.

Schritt 4: Prüfen Sie, ob die Zieladressen bekannten Börsen zugeordnet werden können. Nutzen Sie ChainEvidence oder andere Analyse-Tools für die automatische Exchange-Erkennung.

Schritt 5: Erstellen Sie ein Beweis-PDF mit dem vollständigen Transaktionsgraph und allen identifizierten Endpunkten.

Schritt 6: Erstatten Sie Strafanzeige mit dem Beweis-PDF und kontaktieren Sie die Compliance-Abteilungen der identifizierten Börsen mit Ihrem Polizei-Aktenzeichen.

Häufig gestellte Fragen