Jede jemals durchgeführte Bitcoin- und Ethereum-Transaktion ist öffentlich, dauerhaft und für jeden durchsuchbar. Diese Tatsache lässt Krypto-Ermittlungen einfach erscheinen, und genau deshalb scheitern die meisten Krypto-Ermittlungen. Das Ledger ist nicht anonym — es ist pseudonym, und die gesamte Disziplin besteht darin, die Lücke zwischen diesen beiden Wörtern zu schließen.
Eine Adresse ist ein Pseudonym. Geld zwischen Adressen zu verfolgen ist trivial und sagt für sich genommen fast nichts aus. Die eigentliche Arbeit ist Zuordnung: festzustellen, welche reale Entität eine Adresse kontrolliert — und dieser Beweis liegt fast nie auf der Blockchain selbst.
Die eine Unterscheidung, die alles verändert: UTXO vs. Konto
Bitcoin und Ethereum benötigen unterschiedliche Techniken, und die meisten Anleitungen überspringen das.
Bitcoin ist eine UTXO-Chain. Eine Transaktion verbraucht frühere Outputs und erzeugt neue, und eine Wallet hält typischerweise Hunderte von Adressen. Das macht Bitcoin besser nachverfolgbar, als man erwartet, weil es die Common-Input-Ownership-Heuristik offenlegt: Wenn mehrere Adressen zusammen als Inputs einer Transaktion ausgegeben werden, kontrolliert fast sicher dieselbe Wallet sie alle. Rekursiv über die Chain angewendet, fasst dies Tausende Adressen zu einer einzigen Entität zusammen. Das ist das Fundament, auf dem jedes kommerzielle Tracing-Produkt aufbaut.
Ethereum ist eine Konto-Chain. Guthaben liegen auf persistenten Adressen, es gibt also kein Input-Clustering zu betreiben. Zuordnung kommt stattdessen aus Verhalten: Finanzierungsmuster, Vertragsinteraktionen, ENS-Namen, NFT-Bestände und die Zeitfingerabdrücke einer Adresse, die dieselben Gas-Einstellungen wiederverwendet.
Bitcoin-Denken auf Ethereum anzuwenden, oder umgekehrt, erzeugt selbstsicheren Unsinn. Zuerst feststellen, auf welchem Modell man sich befindet.
Die vier Werkzeugfamilien
1. Block-Explorer — lesen das Ledger. Blockchair deckt Bitcoin und die meisten großen Chains mit wirklich guter Filterung ab; Etherscan ist die Referenz für Ethereum und EVM-Chains, und seine Kennzeichnung bekannter Verträge und Exchange-Wallets ist die nützlichste kostenlose Zuordnungsdatenquelle. Bitnodes kartiert die erreichbaren Knoten des Netzwerks. Explorer beantworten was geschah. Sie beantworten nicht wer.
2. Clustering und Zuordnung — gruppieren Adressen zu Entitäten und versehen sie mit Namen. Arkham Intel veröffentlicht Entitätsbezeichnungen für eine große Menge an Exchange-, institutionellen und namentlich genannten Individualadressen und ist die nützlichste kostenlose Zuordnungsquelle. MetaSleuth und Breadcrumbs bauen beide visuelle Flussgraphen über mehrere Hops auf, was so ein mehrstufiges Tracing lesbar hält. Bitcoin Whoswho durchsucht Adressen nach Betrugsmeldungen und öffentlichen Erwähnungen — wirklich nützlich für den häufigen Fall, dass die einem übergebene Adresse eine Betrugsadresse ist.
3. Analytik und Datensätze — Mit Dune kann man indizierte Blockchain-Daten mit SQL abfragen und Tausende Community-Dashboards lesen; Bitquery stellt ähnliche Daten über eine API bereit, wenn man sie programmatisch benötigt. Diese Familie nutzt man, wenn die Frage ein Muster über viele Transaktionen ist statt der Geschichte einer einzelnen.
4. Off-Chain-Bestätigung — die Familie ohne Werkzeuge, und diejenige, die die meisten Fälle abschließt. Eine Adresse wird zu einer Person, weil sie in einer Forensignatur gepostet, mit einem KYC-geprüften Exchange-Konto verknüpft, in eine Lösegeldforderung eingefügt oder von einer Suchmaschine indiziert wurde. Die Adresse überall als reine Zeichenkette suchen, bevor man irgendetwas nachverfolgt.
Die Heuristiken, und wo genau sie versagen
Clustering ist Inferenz, kein Beweis, und die Fehlermodi sind gut bekannt.
CoinJoin und Mixer brechen absichtlich die Common-Input-Ownership. Ein CoinJoin kombiniert Inputs von vielen unabhängigen Wallets in einer Transaktion, sodass die Heuristik, die normalerweise korrekt clustert, jetzt Menschen zusammenfasst, die sich nie getroffen haben. Jeden Cluster, der einen CoinJoin enthält, als unzuverlässig behandeln, bis das Gegenteil bewiesen ist.
Exchange-Adressen clustern zu bedeutungslosen Super-Entitäten. Verwahrte Wallets halten Gelder für Millionen von Nutzern, sodass Clustering sie alle zu einem Knoten verschmilzt. Wenn ein Tracing bei einem großen Exchange-Cluster ankommt, ist es nicht bei einer Person angekommen — es ist an der Grenze dessen angekommen, was OSINT leisten kann.
Wechselgeld-Adresserkennung ist eine Vermutung. Zu identifizieren, welcher Output das Wechselgeld ist, liegt meist richtig und manchmal stark daneben, und Fehler summieren sich mit jedem Hop. Die Konfidenz sollte mit steigender Hop-Zahl sinken, und ein Tracing über mehr als wenige Hops ohne Off-Chain-Bestätigung ist eine Hypothese, kein Befund.
Wo das Tracing endet
Fast jede ehrliche Krypto-Ermittlung endet am selben Ort: Gelder erreichen eine verwahrte Exchange mit KYC-Pflichten, und die Identität hinter dem Konto liegt hinter einer Vorladung oder einer Anfrage der Strafverfolgung. Diesen Punkt zu erreichen ist ein echtes Ergebnis — genau das, was eine Weiterleitung braucht. Zu behaupten, die Person identifiziert zu haben, ist der Punkt, an dem glaubwürdige Arbeit zur Übertreibung wird.
Ein Arbeitsablauf, der standhält
- Chain und Modell feststellen. UTXO oder Konto. Technik entsprechend wählen.
- Die Adresse als Zeichenkette suchen — Suchmaschinen, GitHub, Paste-Seiten, soziale Plattformen, Betrugsdatenbanken. Der billigste Schritt und oft der entscheidende.
- Bekannte Kennzeichnungen prüfen. Arkham und Etherscans Tags sagen sofort, ob man auf eine Exchange, eine Bridge oder einen Vertrag blickt.
- Den Transaktionsgraphen lesen in einem Explorer, bevor irgendetwas automatisiert wird. Erste Finanzierung, größte Gegenparteien und Ruhemuster notieren.
- Sorgfältig clustern, dann den Cluster auf CoinJoins und Exchange-Adressen prüfen, bevor man ihm vertraut.
- Vorwärts bis zur Off-Ramp verfolgen, jeden Hop und den Grund dafür festhalten.
- Die eigene Konfidenz notieren pro Verbindung, und Zuordnung als Einschätzung kennzeichnen, sofern nicht Off-Chain-Beweise sie zur Tatsache machen.
Was Geld kostet
Die kostenlose Stufe ist hier ungewöhnlich stark. Explorer sind kostenlos und werden es immer bleiben — die Daten sind öffentlich. Arkhams Labels, Dunes Dashboards, die Basisgraphen von MetaSleuth und Breadcrumbs sind ohne Bezahlung nutzbar. Wofür man zahlt, ist Abdeckung und Gerichtsfestigkeit: Chainalysis, TRM Labs und Elliptic verkaufen kuratierte Zuordnung mit einem Beweisstandard, der vor Gericht standhält, plus Sanktionsprüfung. Für Journalismus, Forschung und Triage reicht die kostenlose Stufe wirklich aus. Für Rechtsstreitigkeiten oder Compliance nicht.