Wallet-Tracing: Wie Blockchain-Analyse den Geldfluss sichtbar macht

Wallet-Tracing ist das Herzstück der Krypto-Forensik. Dieser Artikel erklärt technisch, wie es funktioniert — welche Heuristiken eine Spur belastbar machen, wo die Grenzen liegen und was am Ende konkret dokumentiert wird.

Die Grundidee — Pseudonymität, nicht Anonymität

Die Bitcoin-Blockchain ist transparent: Jede Transaktion ist seit dem Genesis-Block 2009 öffentlich einsehbar. Was sie nicht direkt verrät: Wer hinter einer Wallet-Adresse steht. Diese Eigenschaft heißt Pseudonymität.

Wallet-Tracing nutzt genau diese Pseudonymität. Die Adressen lassen sich nicht direkt einer Person zuordnen — aber durch eine Reihe von Heuristiken einem Cluster. Und dieses Cluster gehört häufig zu einer identifizierbaren Entität — meist einer Krypto-Börse, einem OTC-Desk oder einer sanktionierten Adresse.

Die wichtigsten Cluster-Heuristiken

Common-Input-Ownership-Heuristik

Die zuverlässigste Heuristik bei Bitcoin. Wenn mehrere Adressen gemeinsam als Eingabe in einer Transaktion verwendet werden, hat sie ein und dieselbe Person signiert. Das setzt voraus, dass diese Person über die privaten Schlüssel aller Eingabe-Adressen verfügt — also gehören sie zum gleichen Wallet beziehungsweise zum gleichen Cluster.

Diese Heuristik versagt nur, wenn CoinJoin verwendet wird — eine Technik, mit der mehrere Parteien bewusst gemeinsame Transaktionen signieren. CoinJoin lässt sich allerdings statistisch erkennen.

Change-Detection

Bitcoin nutzt das UTXO-Modell: Wenn Sie 0,5 BTC haben und 0,3 BTC senden, werden die restlichen 0,2 BTC als „Wechselgeld" an eine neue Adresse Ihres eigenen Wallets zurückgesendet. Diese Change-Adresse gehört Ihnen. Erkennt man dieses Muster, ordnet man die Change-Adresse demselben Cluster zu.

Time-Correlation

Adressen, die in eng korrelierten Zeitfenstern aktiv werden, gehören oft zusammen. Diese Heuristik allein ist schwach, in Kombination mit den anderen aber sehr stark.

Bekannte Entitäts-Labels

Forensik-Plattformen wie Chainalysis und TRM Labs pflegen Datenbanken mit Millionen bekannter Adressen — von Börsen-Hot-Wallets bis zu sanktionierten Adressen. Trifft die Spur auf eine solche bekannte Adresse, ist die Identifikation eindeutig.

Was eine Spur unterbrechen kann

Mixer und CoinJoin

Mixer wie das von OFAC sanktionierte Tornado Cash vermischen Inputs und Outputs vieler Nutzer. Vollständige Anonymisierung ist allerdings ein Mythos — neuere Verfahren (Heuristik-basiertes Demixing, Volumen- und Timing-Analyse) erlauben in vielen Fällen eine Wahrscheinlichkeits-Aussage.

Privacy-Coins

Monero (XMR) und Zcash (ZEC) verwenden Ring-Signaturen bzw. Zero-Knowledge-Proofs und sind on-chain praktisch nicht traceable. Wer Coins über eine Privacy-Coin-Konversion schickt, unterbricht die Spur effektiv — die Konversionspunkte selbst (an einer Börse) sind aber meist dokumentiert.

Cross-Chain-Bridges

Bridges transferieren Werte zwischen Blockchains (z. B. Ethereum nach Polygon, BNB Chain, Avalanche). Auch hier hinterlässt der Übergang On-Chain Spuren — moderne Forensik kann Cross-Chain-Spuren rekonstruieren, der Aufwand ist allerdings höher.

Peeling-Chains

Eine Peeling-Chain ist eine lange Sequenz kleiner Transaktionen, in der bei jedem Schritt ein kleiner Betrag abgespalten und der Großteil weitergeleitet wird. Klassisches Geldwäsche-Muster, das eine Spur über viele Hops zieht. Forensisch trotzdem rekonstruierbar.

Was wir konkret dokumentieren

Im Bericht erscheinen pro identifiziertem Knoten:

• Wallet-Adresse
• Cluster-Zugehörigkeit (soweit identifiziert)
• Entitäts-Label (Börse, Mixer, OTC-Desk, Privat-Wallet)
• Eingangs-/Ausgangsbeträge (BTC/ETH/USDT etc.)
• Zeitstempel jeder Transaktion
• Transaktions-Hashes (für Anzeige und Anwalt verifizierbar)
• Bewertung der Beweisstärke (hoch / mittel / niedrig)

Wo die Spur endet — und was das bedeutet

Die meisten Krypto-Spuren enden bei einer großen zentralisierten Börse — Binance, Coinbase, Kraken, Bitfinex, OKX. Diese Börsen sind KYC-pflichtig: Hinter jeder Empfänger-Adresse steht eine Person, deren Identität bei der Börse hinterlegt ist.

Diese Identität bekommen Sie als Privatperson nicht direkt — aber Ihr Anwalt kann über eine zivilrechtliche Auskunftsklage oder über eine staatsanwaltschaftliche Anfrage an die Compliance-Stelle der Börse die Identifizierung anstoßen. Die meisten Börsen kooperieren mit Behörden — Binance veröffentlicht jährlich Compliance-Berichte zu solchen Anfragen.

Endet die Spur bei einem Privat-Wallet ohne Bezug zu einer Börse, sind die Optionen begrenzt. Eine spätere Cluster-Überschneidung mit einem bekannten Wallet (z. B. eine spätere Einzahlung bei einer Börse) kann den Fall nachträglich öffnen.

Hinweis: Wallet-Tracing ist Analyseleistung. Die anschließende Rückgewinnung erfolgt über Anzeige, Anwalt und Exchange-Compliance — siehe Anleitung „Anzeige bei Krypto-Betrug".

Welche Blockchains wir analysieren

• Bitcoin (BTC) und alle Forks (Bitcoin Cash, Litecoin)
• Ethereum (ETH) und alle ERC-20-Tokens (USDT, USDC, DAI, WBTC etc.)
• Tron (TRX) und TRC-20-Tokens (USDT-TRC-20 ist eine extrem häufige Scam-Variante)
• Solana (SOL) und SPL-Tokens
• Polygon, BNB Chain, Avalanche, Arbitrum, Optimism und andere EVM-Chains
• Auf Anfrage: Cardano, Cosmos, Polkadot — die meisten öffentlichen Blockchains sind analysierbar.

Fazit

Wallet-Tracing ist analytische Handarbeit auf öffentlichen Daten. Es macht den Geldfluss sichtbar und liefert eine Grundlage für Anzeige, Anwalt, Versicherung und Steuer. Bei kryptofinder24 erhalten Sie den Forensik-Bericht zum Festpreis von 790 € in 24 Stunden, Geld zurück wenn wir nichts finden. Festpreis-Auftrag starten.

Weiterführend: Krypto-Forensik Schritt für Schritt, Pig-Butchering-Warnsignale, Pillar-Leitfaden Krypto-Forensik. Unsere AGB.