Krypto-Forensik: So funktioniert Blockchain-Analyse Schritt für Schritt

Krypto-Forensik klingt komplizierter als sie ist. Im Kern beantwortet sie eine einfache Frage: Wo sind meine Coins gelandet? Dieser Artikel führt Sie durch die fünf Phasen einer Forensik-Analyse, die genutzten Werkzeuge und das Ergebnis, das Sie am Ende auf dem Tisch haben.

Was Krypto-Forensik leistet — und was nicht

Krypto-Forensik ist die systematische Rekonstruktion eines Geldflusses auf einer öffentlichen Blockchain. Die Blockchain ist transparent — jede Transaktion ist für jeden einsehbar. Anonym sind nur die Personen hinter den Wallet-Adressen. Forensik schlägt die Brücke zwischen Adresse und identifizierbarer Entität (Börse, OTC-Desk, sanktionierte Person), soweit das aus On-Chain-Daten ableitbar ist.

Was wir analysieren

Wir analysieren öffentliche Blockchain-Daten — Transaktionen, Adresszusammenhänge, Mengen, Zeitstempel, Mixer-Heuristiken, Bridge-Aktivität. Wir kombinieren diese On-Chain-Daten mit kommerziellen Datenbanken (Chainalysis, TRM Labs, Crystal), die bestimmte Adressen bestimmten Entitäten zuordnen.

Was wir nicht tun

Wir treiben kein Geld ein, wir hacken keine Wallets, wir kontaktieren keine Täter. Forensik ist Analyseleistung, nicht Inkasso und keine Rechtsdienstleistung. Wir liefern den Bericht — die nachfolgenden Schritte (Anzeige, Anwalt, Auskunftsklage gegen Börse) sind eine andere Disziplin.

Wichtig: Forensik = Analyse, kein Inkasso. Wir machen den Geldfluss sichtbar. Die Rückgewinnung erfolgt anschließend über Anzeige, Anwalt und Exchange-Compliance.

Die 5 Phasen einer Forensik-Analyse

Phase 1 — Datenaufnahme

Sie senden uns: Ihre Wallet-Adresse, den oder die Transaktions-Hashes, den Zeitpunkt der Tat, eine kurze schriftliche Falldarstellung. Optional: Screenshots der Trading-App, Chat-Verläufe, E-Mails. Aus diesen Daten leiten wir den Startpunkt der Analyse ab — typischerweise die erste Transaktion vom Opfer-Wallet zur Täter-Wallet.

Phase 2 — Clustering

Im Clustering gruppieren wir Wallet-Adressen, die mit hoher Wahrscheinlichkeit derselben Entität gehören. Die wichtigsten Heuristiken:

• Common-Input-Ownership: Wenn mehrere Adressen als Eingaben in derselben Bitcoin-Transaktion erscheinen, kontrolliert sie typischerweise dieselbe Person.
• Change-Detection: Bei Bitcoin-Transaktionen wird das Wechselgeld an eine neue Adresse desselben Eigners gesendet. Erkennt man dieses Muster, ordnet man die neue Adresse demselben Cluster zu.
• Time-Correlation: Adressen, die in eng korrelierten Zeitfenstern aktiv werden, gehören oft zusammen.

Phase 3 — Tracing

Mit dem Cluster als Startpunkt verfolgen wir die Coin-Spur über die einzelnen Hops. Ein Hop ist jede einzelne Transaktion vom Eingang zur Ausgangsadresse. Typische Spuren haben 3 bis 15 Hops — manche Pig-Butchering-Fälle mehrere Dutzend, vor allem wenn ein Mixer dazwischenliegt.

Phase 4 — Bewertung

Jeden Knoten der Spur klassifizieren wir: Ist das eine bekannte Börse? Ein Mixer? Ein OTC-Desk? Eine sanktionierte Adresse? Eine unbekannte Privat-Wallet? Diese Klassifizierung entscheidet, ob die Spur weiter verfolgbar ist und welche Handlungsoptionen am Ende bestehen.

Phase 5 — Bericht

Sie erhalten ein PDF von typischerweise 8 bis 15 Seiten mit Zusammenfassung, einer Visualisierung der Spur, allen Hash-Belegen, den identifizierten Adress-Clustern und einer Handlungsempfehlung. Die identifizierten Adressen liegen zusätzlich als CSV-Datei bei.

Werkzeuge, die Forensiker nutzen

Kommerzielle Plattformen

Die drei am häufigsten genutzten Tools sind:

• [Chainalysis Reactor](https://www.chainalysis.com/solution/reactor/) — Marktführer-Plattform mit der größten Adress-Datenbank und sehr starkem Bitcoin- und Ethereum-Tracing.
• [TRM Labs](https://www.trmlabs.com) — vergleichbar mit Chainalysis, mit Stärken bei Compliance- und Sanktions-Detection.
• Crystal Blockchain (Bitfury) — alternative Plattform mit guten Bridge- und Cross-Chain-Funktionen.

Open-Source-Alternativen

Wo kommerzielle Plattformen Lücken haben, setzen wir Open-Source-Werkzeuge ein:

• BlockSci — wissenschaftlich validiertes Cluster-Framework.
• [GraphSense](https://graphsense.info) — von der TU Wien entwickelt, sehr leistungsfähig bei großen Datenmengen.
• Eigene Python-Skripte für Mixer-Heuristiken und Bridge-Aktivität.

Was Mixer und Bridges für Forensik bedeuten

Ein Mixer (z. B. das sanktionierte Tornado Cash) versucht, Coin-Spuren zu verschleiern, indem er viele Inputs und Outputs vermischt. Vollständige Anonymisierung ist allerdings ein Mythos — neuere Verfahren (Heuristik-basiertes Demixing) erlauben in vielen Fällen eine Wahrscheinlichkeits-Aussage.

Eine Bridge transferiert Werte zwischen verschiedenen Blockchains (z. B. Ethereum nach Polygon). Auch hier hinterlässt der Übergang On-Chain Spuren, die rekonstruierbar sind — Cross-Chain-Tracing ist ein wachsendes Spezialgebiet.

Der typische Lebenszyklus eines Falls bei kryptofinder24

Damit Sie ein Gefühl für den Ablauf bekommen:

1. Sie schildern den Fall via Formular und laden Hashes plus Screenshots hoch.
2. Wir prüfen die Datenlage und bestätigen den Auftrag oder lehnen ab (z. B. wenn keine verwertbaren Hashes vorliegen).
3. Sie zahlen die 790 € per Überweisung oder Krypto.
4. Wir starten die Analyse — typischerweise innerhalb von 2 Stunden.
5. Sie erhalten den Bericht binnen 24 Stunden per E-Mail.
6. Bei Bedarf erklären wir den Bericht in einem 30-minütigen Telefonat.
7. Falls wir keine verwertbare Spur finden, erhalten Sie die 790 € zurück.

Fazit

Krypto-Forensik ist analytische Handarbeit auf öffentlichen Daten. Sie macht den Geldfluss sichtbar und liefert die Grundlage für Anzeige, Anwalt, Versicherung und Steuer. Bei kryptofinder24 erhalten Sie den Bericht zum Festpreis von 790 € in 24 Stunden, Geld zurück wenn wir nichts finden. Festpreis-Auftrag starten.

Weiterführend: Wallet-Tracing und Blockchain-Analyse, Sofortmaßnahmen bei Bitcoin-Diebstahl, Pillar-Leitfaden Krypto-Forensik. Unsere AGB.