Blockchain-Forensik bei Strafverfolgungsbehörden

FIFO, LIFO.. was denn nun? Aus Polizeikreisen hören wir die wildesten Theorien, wie man in der Blockchain ermittelt, um Kryptobetrug oder Diebstahl von Kryptowährungen aufzuklären. Wir haben uns daher gefragt: Was stimmt denn nun?

Dieser Bericht analysiert systematisch die Methoden, Tools, Fallbeispiele und Rechtsgrundlagen, die Strafverfolgungsbehörden in Deutschland (BKA, LKA) und der EU (EUROPOL) seit 2018 bei Blockchain-Forensik-Ermittlungen einsetzen. Im Mittelpunkt stehen: (1) technische Ansätze zur Transaktionsverfolgung und -zuordnung (UTXO-Analyse, Multi-Input-Clustering,
Change-Clustering, vorwärts/rückwärts Tracing), (2) führende kommerzielle Analyse-Tools (Chainalysis Reactor, Elliptic, TRM Labs) sowie EU-entwickelte Open-Source-Tools aus dem TITANIUM-Projekt, (3) bedeutende Ermittlungsfälle inkl. Hydra Market, ChipMixer, eXch,
movie2k.to/LKA Sachsen und cryptomixer.io, sowie (4) rechtliche Grundlagen nach StPO, StGB, GwG und EU-Recht (MiCA, AMLA). Der Bericht schließt mit einer Vergleichstabelle der wichtigsten Tools und einem Katalog offener Rechtsfragen.

Grundlagen der Blockchain-Forensik

Blockchain-Forensik bezeichnet die systematische Auswertung öffentlich zugänglicher Transaktionsdaten dezentraler Distributed-Ledger-Systeme (DLT) zum Zweck der strafrechtlichen Aufklärung. Da Bitcoin und die meisten anderen Kryptowährungen auf einem öffentlichen,
unveränderlichen Transaktionsregister basieren, ist – entgegen der verbreiteten Wahrnehmung als anonymes Zahlungsmittel – grundsätzlich jede Transaktion für jeden einsehbar.

Dies begründet das Kernparadoxon moderner Kryptoermittlungen: Kryptowährungen sind pseudonym, jedoch radikal
transparent. Nach Locard’s Exchange Principle hinterlässt jede kriminelle Transaktion permanente Spuren in der
Blockchain. Strafverfolgungsbehörden nutzen diese Eigenschaft, um illegale Geldflüsse nachzuverfolgen, Akteure zu identifizieren und Beweismittel gerichtsfest zu sichern. Laut Thomson Reuters konnten Ermittler allein 2025 ueber 22 Milliarden US-Dollar an illegalen Kryptovermögen sicherstellen.

Wesentliche technische Voraussetzungen für forensische Blockchain-Analysen sind:

• Öffentliche Einsehbarkeit: Alle Transaktionen, Adressen und Beträge sind im Blockchain-Explorer
  abrufbar.
• Unveränderlichkeit (Immutabilität): Einmal bestätigte Transaktionen können nicht nachträglich
  verändert oder gelöscht werden.
• Pseudonymität: Reale Identitäten sind nicht direkt erkennbar – die Verbindung zur Person
  erfordert Off-Chain-Informationen (KYC-Daten von Börsen, IP-Adressen, OSINT).
• UTXO-Modell (bei Bitcoin): Jedes Bitcoin-Output ist einer einzigen Transaktion zugeordnet, was
  die Nachverfolgbarkeit erleichtert.

Technische Methoden der Transaktionsverfolgung

Vorwärts- und Rueckwärts-Tracing

Die grundlegendste Methode ist das sequenzielle Verfolgen von Geldfluessen:

• Forward Tracing: Ausgehend von einer bekannten Startadresse (z.B.
  Ransomware-Empfangsadresse) werden alle ausgehenden Transaktionen bis zum letzten
  bekannten Verwahrungsort verfolgt.
• Backward Tracing: Ausgehend von einer bekannten Zieladresse (z.B. Exchange-Einzahlung)
  werden eingehende Transaktionen rueckverfolgt, um die kriminelle Quelle zu identifizieren.
• Bidirektionale Analyse: Kombination beider Verfahren zur Erstellung eines vollständigen
  Transaktionsgraphen, der Herkunft und Verbleib illegaler Gelder offenbart.

Clustering-Verfahren (Adress-Clustering)

Clustering ist die zentrale Methode, um scheinbar separate Bitcoin-Adressen einer gemeinsamen
Entität zuzuordnen. Zwei Hauptverfahren werden unterschieden:

KI-gestützte Mustererkennung (KriptoSare)

Das im EU-Projekt TITANIUM (Tools for the Investigation of Transactions in Underground Markets) entwickelte KriptoSare-Verfahren
trainiert Machine-Learning-Klassifikatoren, um Bitcoin-Adressen in sechs Kategorien einzuordnen: Exchanges, Darknet-Marktplätze, Mining-Pools, Gambling-Dienste, Mixing-Dienste sowie sonstige Dienste. Das System analysiert dabei u.a.:

• Transaktionsvolumen (gesendete/empfangene Beträge)
• Saldenentwicklung im Zeitverlauf
• Anzahl und Häufigkeit der Transaktionen
• Verhältnis von Sender- zu Empfänger-Adressen
• Nutzung von Single-Use-Adressen
  

Das BKA war als einer der deutschen Partner aktiv am TITANIUM-Projekt beteiligt, gemeinsam mit
dem Karlsruher Institut fuer Technologie (KIT) und der dence GmbH.

Obfuskationstechniken und Gegenmaßnahmen

Geldwäscher in Krypto-Sachverhalten greifen auf ein begrenztes, aber wirkungsvolles Repertoire an Verschleierungstechniken zurück – und die Strafverfolgungsbehörden begegnen jeder dieser Methoden inzwischen mit einem etablierten forensischen Gegenkonzept.

Den klassischen Einstieg bilden Bitcoin-Mixer beziehungsweise Tumbler wie ChipMixer oder cryptomixer.io, in denen die Coins zahlreicher Nutzer zusammengeführt und neu vermischt werden, um die Herkunft einzelner Beträge zu verschleiern. Forensisch begegnen Ermittler diesem Ansatz über die Analyse charakteristischer Aktivitätsmuster, über KYC-Abfragen bei Börsen, sobald die gewaschenen Coins ausgezahlt werden, sowie – als wirksamstes Mittel – über die Beschlagnahme der zugrunde liegenden Serverinfrastruktur.

Eine zunehmend dominante Rolle spielt das Chain-Hopping beziehungsweise der Cross-Chain-Swap: Coins werden über No-KYC-Exchanges zwischen verschiedenen Kryptowährungen getauscht, um die Spur zu unterbrechen. Hier kommen Cross-Chain-Forensik-Tools wie der Elliptic Navigator zum Einsatz; flankierend setzen die Behörden – etwa im Rahmen der Operation Final Exchange – auf die Sicherstellung der Exchange-Server, um die Tauschvorgänge nachträglich aus den Logs zu rekonstruieren.

Anders gelagert ist die Herausforderung bei Privacy Coins wie Monero oder ZCash, bei denen Sender, Empfänger und Betrag kryptografisch verschleiert werden. Eine direkte On-Chain-Verfolgung scheidet hier weitgehend aus; übrig bleiben Timing-Analysen, die Auswertung von IP-Metadaten sowie die Überwachung der On- und Off-Ramps – Methoden mit anerkannt begrenzter Wirksamkeit.

Eine weitere bewährte Verschleierungstechnik sind sogenannte Peel Chains, also die serielle Übertragung kleiner Teilbeträge über Hunderte aufeinanderfolgender Adressen. Diesem Muster begegnen die Ermittler mit automatisierter Graph-Traversierung und visueller Mustererkennung, wie sie etwa Chainalysis Reactor leistet.

Eng damit verzahnt sind schließlich Swapping-Services und No-KYC-Exchanges – anonyme Krypto-zu-Krypto-Tauschbörsen ohne Identitätsprüfung, wie zuletzt eXch.cx. Hier setzt die Strafverfolgung primär auf die Zerschlagung der Infrastruktur und die Beschlagnahme der Serverdaten, wie sie das BKA in den Jahren 2024 und 2025 bereits mehrfach erfolgreich durchgeführt hat.

Transaktionszuordnungsansätze: FIFO, LIFO, UTXO

Die Frage, welche Transaktionen einer bestimmten Straftat zuzurechnen sind, steht sowohl bei der steuerrechtlichen Gewinnermittlung als auch bei der strafrechtlichen Einziehung von Kryptovermögen im Zentrum jeder forensischen Auswertung. In der Praxis kommen dabei mehrere Zuordnungsmethoden zum Einsatz, deren Anwendungsbereiche und Wirkungen sich deutlich unterscheiden.

Den steuerrechtlichen Regelfall bildet die FIFO-Methode (First In, First Out), nach der die zuerst angeschafften Einheiten auch als erste veräußert gelten. Das Bundesfinanzministerium hat in seinem Schreiben vom 6. März 2025 (IV C 1 – S 2256/00042/064/043) ausdrücklich bestätigt, dass FIFO bei Kryptowährungen die primär anzuwendende Bewertungsmethode ist; in systematischer Hinsicht stützt sich diese Anwendung auf § 23 EStG, der FIFO bereits für Fremdwährungsbeträge vorschreibt. Zugleich dient FIFO der Berechnung der einjährigen steuerlichen Haltefrist.

Daneben hat das Finanzgericht Nürnberg mit Urteil vom 22. Januar 2025 (3 K 760/22) die LIFO-Methode (Last In, First Out) als gesetzlich zulässig anerkannt, weil es an einer spezialgesetzlichen Regelung für Kryptowährungen bislang fehlt. Da LIFO die jüngeren – und damit häufig zu höheren Kursen erworbenen – Einheiten zuerst ausbucht, kann die Methodenwahl im Einzelfall zu erheblich abweichenden steuerlichen Ergebnissen führen.

Technisch präziser als jede pauschale Verbrauchsreihenfolge ist für Bitcoin die UTXO-Methode (Unspent Transaction Output). Sie behandelt jedes einzelne UTXO als eigenständige, abgrenzbare Werteinheit und erlaubt es in der forensischen Ermittlung, exakt zu bestimmen, aus welcher früheren Transaktion ein konkreter Coin stammt. Gerade bei der gerichtsfesten Dokumentation von Transaktionsketten ist dieser Detailgrad regelmäßig der entscheidende Faktor.

Aus der US-amerikanischen forensischen Praxis stammt schließlich die Methode des niedrigsten Zwischensaldos (Lowest-Intermediate Balance). Sie begrenzt den verfolgbaren Betrag auf den niedrigsten Saldo, der zwischen einer Einzahlung und der späteren Ausgangstransaktion in einer Wallet verzeichnet wurde. Bedeutung erlangt dieser Ansatz vor allem in Schadenersatzklagen, weil er den Anspruch auf den tatsächlich noch im Vermögen befindlichen Betrag deckelt.

Für die strafrechtliche Bewertung – insbesondere die Einziehung nach §§ 73 ff. StGB – ist nicht die steuerliche Verbrauchsreihenfolge maßgeblich, sondern die tatsächliche Transaktionshistorie und der nachgewiesene Ursprung aus einer konkreten Vortat. In diesem Kontext dominiert die UTXO-Analyse: Sachverständige verfolgen einzelne UTXO-Pfade, um zu belegen, dass bestimmte Coins kausal auf eine kriminelle Handlung zurückgehen. Erst auf dieser Grundlage trägt die Surrogatseinziehung nach § 73b StGB.

Forensische Analyse-Tools im Vergleich

Drei fuehrende kommerzielle Plattformen dominieren den Markt fuer Blockchain-Forensik-Software,
die von Strafverfolgungsbehörden weltweit eingesetzt werden:

Der Markt für Blockchain-Forensik-Werkzeuge wird heute von einer überschaubaren Gruppe spezialisierter Anbieter geprägt, deren Plattformen sich in Funktionsumfang, Chain-Abdeckung und Behördennähe deutlich unterscheiden – und zugleich preislich in einer Größenordnung bewegen, die nahezu ausschließlich institutionellen Anwendern offensteht.

Der etablierte Marktführer ist Chainalysis mit Sitz in New York. Das Unternehmen vertreibt mit Reactor das zentrale Ermittlungswerkzeug, ergänzt um KYT für laufende Compliance-Überwachung und das narrativ orientierte Storyline. Die Plattform deckt nach eigenen Angaben mehr als 27 Blockchains, rund 40 Millionen Assets und 134.000 zugeordnete Entitäten ab. Genutzt wird sie unter anderem vom BKA, FBI, IRS und DOJ sowie von über 1.500 weiteren Institutionen; eigenen Angaben zufolge wurden auf ihrer Basis bereits Vermögenswerte im Umfang von rund 34 Milliarden US-Dollar gesichert. Die Jahreslizenzen liegen typischerweise zwischen 20.000 und 50.000 US-Dollar.

Den europäischen Gegenpol bildet das in London ansässige Elliptic, dessen Produktportfolio mit Lens (Screening), Navigator (Monitoring) und Investigator (Forensik) die gesamte Compliance- und Ermittlungskette abdeckt. Mit Unterstützung für über 100 Blockchains, rund zwei Milliarden Adressen und mehr als 1.130 Cross-Chain-Bridges adressiert Elliptic vor allem Regulatoren und Finanzinstitute; zu den bekannten Kunden zählen Revolut und Coinbase, die nach Anbieterangaben monatlich rund zwei Millionen Screenings auf der Plattform durchführen. Die Jahreslizenz liegt typischerweise zwischen 15.000 und 30.000 US-Dollar.

Ein vergleichsweise junger, aber rasch wachsender Wettbewerber ist TRM Labs aus San Francisco. Mit den Modulen Forensics, Triage, Wallet Screening und Graph Visualizer deckt TRM mehr als 45 Blockchains, 2,4 Milliarden Adressen und rund 200 Millionen Assets ab. Zu den Nutzern zählen Europol, FBI und der US Secret Service; allein die T3 Unit hat im Lauf eines Jahres rund 250 Millionen US-Dollar mithilfe der Plattform gesichert, und 92 Prozent der Anwender berichten nach Herstellerangaben von verwertbaren Ermittlungsansätzen. Die Lizenzkosten bewegen sich zwischen 18.500 und 100.000 US-Dollar pro Jahr.

Eine besondere Stellung im deutschen Kontext nimmt QLUE der Blockchain Intelligence Group ein. Die Plattform bietet Multi-Chain-Graphing, Attributionsdaten und Cross-Chain-Tracing und wird von Strafverfolgungsbehörden bereits seit 2015 eingesetzt – im deutschen Raum unter anderem bei BKA-Ermittlungen im Komplex movie2k.to, in denen QLUE für die visuelle Aufbereitung der Transaktionsstrukturen genutzt wurde. Die Preise sind nur auf Anfrage erhältlich.

Abgerundet wird das Spektrum durch CipherTrace, das nach der Übernahme durch Mastercard im Jahr 2021 in dessen Compliance-Infrastruktur integriert wurde. Die Plattform setzt traditionell auf AML-Compliance, attribuiert mehr als 2.000 Krypto-Entitäten und stützt sich auf proprietäre Clustering-Algorithmen für Bitcoin, Ethereum und weitere Chains. Kunden sind vor allem Banken, Börsen und Behörden; auch hier wird die Preisgestaltung nur auf Anfrage offengelegt.

Das EU-Forschungsprojekt TITANIUM und der Klassifikator KriptoSare

Das bislang bedeutendste europäische Forschungsvorhaben zur Entwicklung forensischer Methoden für Kryptowährungs-Ermittlungen ist das von der Europäischen Kommission geförderte Projekt TITANIUM (Tools for the Investigation of Transactions in Underground Markets), das von 2017 bis 2020 lief. Beteiligt waren fünfzehn Partner aus sieben europäischen Staaten – darunter das BKA, das Austrian Institute of Technology (AIT), das Karlsruher Institut für Technologie (KIT) sowie mehrere europäische KMU.

Den technischen Kern des Projekts bildet KriptoSare, ein KI-gestützter Klassifikator, der Bitcoin-Adressen in sechs Kategorien einordnet: Exchange, Darknet-Marktplatz, Mining, Gambling, Mixing und Sonstiges. Ergänzt wird dieses Werkzeug durch eine Reihe weiterer Bausteine, die TITANIUM gezielt für den Einsatz in europäischen Strafverfahren entwickelt hat: technische Safeguards zur DSGVO-konformen Erhebung und Verarbeitung von Blockchain-Daten, eine unveränderliche Protokollierung sämtlicher Ermittlungshandlungen für die nachgelagerte Prüfung durch Aufsichtsbehörden sowie normierte Metadatenformate, die den grenzüberschreitenden Informationsaustausch zwischen Strafverfolgungsbehörden ermöglichen sollen. Die Praxistauglichkeit dieser Bausteine wurde im Januar 2019 in sogenannten Field Labs mit rund sechzig Experten aus Deutschland, Finnland, Österreich und Spanien erprobt.

Begleitet wurde TITANIUM von Anfang an juristisch: Das Zentrum für Angewandte Rechtswissenschaft (ZAR) des KIT prüfte fortlaufend, ob die entwickelten Tools mit dem nationalen Strafprozessrecht und den EU-weit geltenden Vorgaben in Einklang stehen. Als besondere Herausforderung erwies sich dabei § 98a StPO: Die Vorschrift erlaubt zwar einen rasterfahndungsähnlichen Abgleich öffentlich zugänglicher Daten, eine ausdrückliche Ermächtigungsgrundlage für die systematische Auswertung von Blockchain-Daten fehlt jedoch. Der Rechtsgutachter Dr. Michael Koenen (Universität Bonn) schlägt deshalb de lege ferenda die Einführung eines neuen § 98a Abs. 2 S. 2 StPO vor, der diese Lücke schließen soll.

Erfolgreiche Ermittlungsfälle in Deutschland und der EU (2018–2026)

Die jüngere Ermittlungsgeschichte deutscher und europäischer Behörden im Bereich der Blockchain-Forensik ist eng mit einer Reihe spektakulärer Darknet- und Mixer-Verfahren verknüpft, die wir an dieser Stelle in chronologischer Reihenfolge nachzeichnen.
Den Auftakt markiert die Zerschlagung von Hydra Market im Jahr 2022. Mit rund 17 Millionen Nutzern, 19.000 registrierten Händlern und einem seit 2015 generierten Bitcoin-Umsatz von etwa fünf Milliarden US-Dollar war Hydra der weltweit größte russischsprachige Darknet-Marktplatz und betrieb sogar einen plattformeigenen Bitcoin-Mixer. In einer koordinierten Aktion von BKA und ZIT Frankfurt gemeinsam mit dem US Department of Justice, FBI, DEA und IRS wurde die in Deutschland gehostete Server-Infrastruktur beschlagnahmt; sichergestellt wurden dabei 543 Bitcoin im damaligen Gegenwert von rund 23 Millionen Euro. Der Marktplatz wurde anschließend abgeschaltet.

Im Folgejahr gelang mit der Ausschaltung von ChipMixer im Jahr 2023 der bis dahin größte Schlag gegen einen reinen Mixing-Dienst. Über die Plattform waren seit 2017 rund 154.000 Bitcoin – etwa 2,8 Milliarden Euro – gewaschen worden; zu den Kunden zählten unter anderem Hydra Market, die Ransomware-Gruppe LockBit und die nordkoreanische Lazarus Group. BKA und ZIT Frankfurt sicherten in Zusammenarbeit mit FBI, Europol und Homeland Security die Server in Deutschland und beschlagnahmten rund 44 Millionen Euro sowie sieben Terabyte an Daten – seinerzeit die höchste Kryptosicherstellung des BKA überhaupt.

Mit der Operation Final Exchange im Jahr 2024 verlagerte sich der Ermittlungsschwerpunkt auf anonyme Tauschdienste: BKA und Generalstaatsanwaltschaft Frankfurt (ZIT) zerschlugen 47 russischsprachige No-KYC-Exchanges, die von Ransomware-Akteuren, Botnet-Betreibern und Darknet-Händlern genutzt wurden – und teilweise zur Umgehung der gegen russische Banken verhängten Sanktionen dienten. Sichergestellt wurden Serverinfrastruktur, Transaktionsdaten und IP-Adressen, die zugleich Ausgangspunkt für eine Vielzahl weiterer Verfahren wurden.

Den vorläufigen Höhepunkt dieser Ermittlungslinie bildete 2025 die Schließung der Swap-Plattform eXch. Die seit 2014 aktive, sowohl im Clear- als auch im Darknet erreichbare Börse hatte einen Umsatz von rund 1,9 Milliarden US-Dollar erzielt und unter anderem als Teilkanal für die Wäsche der 1,5 Milliarden US-Dollar aus dem Bybit-Hack der nordkoreanischen Lazarus Group gedient. BKA, ZIT Frankfurt und der niederländische FIOD beschlagnahmten Kryptowerte im Umfang von 34 Millionen Euro sowie acht Terabyte Daten – die dritthöchste Kryptosicherstellung in der Geschichte des BKA.

Eine zweite, ebenso prägende Fallgruppe betrifft die Einziehung und Verwertung großer Kryptobestände aus klassischen Vermögensdelikten.
Der Movie2k-Komplex des LKA Sachsen aus dem Jahr 2024 stellt die bislang größte Kryptosicherstellung der deutschen Justizgeschichte dar. Die Betreiber des Raubkopienportals movie2k.to hatten ihre Einnahmen über Jahre hinweg in Bitcoin investiert; nach ihrer Identifizierung übergaben sie schließlich rund 50.000 BTC im Gegenwert von etwa 2,17 Milliarden Euro freiwillig in eine BKA-Wallet. Das LKA Sachsen führte anschließend eine Notveräußerung nach § 111p StPO durch und verkaufte die Bitcoin noch vor Anklageerhebung – ein Vorgehen, das die Staatsanwaltschaft Dresden bis heute beschäftigt und das auf §§ 111b ff. StPO, § 73 StGB sowie dem Urheberrechtsgesetz aufbaut.
Im Jahr 2025 folgte die Abschaltung des Mixing-Dienstes cryptomixer.io, des ältesten kontinuierlich betriebenen Bitcoin-Mixers (aktiv seit 2016) mit einem Umsatz im Milliardenbereich. Die in der Schweiz gehosteten Server und die zugehörigen Mailaccounts wurden beschlagnahmt, 25 Millionen Euro sichergestellt und die Plattform offline genommen. Rechtsgrundlage waren § 261 StGB (Geldwäsche) sowie der für kriminelle Handelsplattformen zugeschnittene § 127 StGB.

Im März 2026 nahmen LKA Stuttgart und die Steuerfahndung Baden-Württemberg im Verfahren Stuttgart/Frankfurt zwei Männer fest, die zwischen 2015 und 2018 einen Bitcoin-Mixer betrieben und dabei ETH-Transaktionen im Volumen von rund 140 Millionen US-Dollar abgewickelt hatten. Im Rahmen der Wohnungsdurchsuchungen wurden umfangreiche Beweismittel sichergestellt; die Vorwürfe stützen sich auf § 261 StGB, § 127 StGB, das KWG sowie § 370 AO (Steuerhinterziehung).

Bereits 2021 hatte das Verfahren um den Wallstreet Market – nach Hydra zeitweise zweitgrößter Darknet-Marktplatz der Welt – Maßstäbe für die strafprozessuale Verwertung von Kryptovermögen gesetzt. Das LG Frankfurt verurteilte drei Angeklagte zu Freiheitsstrafen; die ZIT verwertete die beschlagnahmten Kryptowerte in einem innovativen Verfahren gemeinsam mit dem Bankhaus Scheich und erzielte einen Erlös von rund 100 Millionen Euro zugunsten des Landes Hessen. Rechtsgrundlage waren § 29a BtMG, § 261 StGB sowie §§ 73 ff. StGB.

Eine grundlegend andere, aber dogmatisch ebenso bedeutsame Akzentuierung lieferte schließlich das LG München I im Jahr 2024: Der Angeklagte hatte Bitcoin im Wert von mehreren Hunderttausend Euro von unbekannten Darknet-Verkäufern deutlich unter Marktwert angekauft. Das Gericht wertete die Anonymität der Verkäufer in Kombination mit dem auffälligen Preisabschlag als ausreichendes Indiz für eine kriminelle Herkunft der Coins und verurteilte den Käufer nach § 261 Abs. 1 StGB wegen Geldwäsche – ein Urteil, dessen Indizienlogik für die anwaltliche Beratung von Krypto-Käufern auf Sekundärmärkten erhebliche praktische Bedeutung hat.

Rechtsgrundlagen der Blockchain-Forensik in Strafverfahren

Sicherstellung von Geld nach Kryptobetrug (StPO)

Die strafprozessualen Befugnisnormen für Blockchain-Ermittlungen in Deutschland verteilen sich auf eine überschaubare Zahl klassischer Vorschriften, die durch die Rechtsprechung schrittweise auf die Besonderheiten von Kryptowerten zugeschnitten worden sind.

Den Ausgangspunkt bildet § 94 StPO, der die Sicherstellung körperlicher Gegenstände als Beweismittel regelt. Im Krypto-Kontext sind das vor allem Hardware-Wallets und sonstige Datenträger, auf denen Private Keys gespeichert sind – sie können als körperliche Sachen ohne Weiteres beschlagnahmt werden. Die Beschlagnahmeanordnung selbst richtet sich nach § 98 StPO und bedarf grundsätzlich richterlicher Anordnung; bei Gefahr im Verzug kann die Staatsanwaltschaft auf Grundlage des § 98 Abs. 1 S. 2 StPO selbst tätig werden – eine Konstellation, die angesichts der hohen Volatilität von Kryptowerten in der Praxis regelmäßig vorliegt.

Für die vorläufige Sicherung von Einziehungsgegenständen greifen die §§ 111b bis 111f StPO. Dabei ist die Wallet-Architektur entscheidend: Bei custodial Wallets erfolgt der Zugriff über die Pfändung der Forderung gegen die verwahrende Börse nach §§ 111e, 111f StPO, bei non-custodial Wallets dagegen über die Beschlagnahme der den Private Key tragenden Datenträger. Droht der Wertverfall, eröffnet § 111p StPO darüber hinaus die Notveräußerung; LG Hanau und LKA Sachsen haben 2024 bestätigt, dass die typische Kursvolatilität von Kryptowerten eine solche Notveräußerung regelmäßig trägt.

Eine besondere Stellung nimmt § 98a StPO ein, der die klassische Rasterfahndung normiert. Argumentativ lässt sich die systematische Auswertung von Blockchain-Daten auf diese Vorschrift stützen, doch ist die Rechtslage bis heute umstritten: Koenen schlägt 2024 de lege ferenda einen neuen § 98a Abs. 2 S. 2 StPO vor, um die bislang fehlende ausdrückliche Ermächtigungsgrundlage zu schaffen. Hinzu tritt § 100a StPO, der die Telekommunikationsüberwachung bei besonders schwerwiegenden Straftaten erlaubt – relevant insbesondere für Kommunikation über krypto-bezogene Dienste; die Rechtsprechung im Komplex der ANOM-Verfahren liefert hier wichtige Bewertungsmaßstäbe.

Krypto im materiellen Strafrecht (StGB)

Auf der Ebene des materiellen Strafrechts bilden fünf Normen das Rückgrat der Verfolgung krypto-bezogener Taten.

Zentrale Vorschrift ist § 261 StGB. Da Kryptowährungen Vermögenswerte im Sinne des § 261 Abs. 1 StGB sind, erfassen die Tatbestandsmerkmale der Geldwäsche typische Verhaltensmuster der Krypto-Underground-Economy: den Betrieb von Mixern, das Bereitstellen anonymer Exchange-Dienste und Wallet-zu-Wallet-Transfers sogenannter tainted funds. Flankierend wirkt der 2021 eingeführte § 127 StGB, der das Betreiben krimineller Handelsplattformen im Internet pönalisiert und unter anderem den rechtlichen Rahmen für die Operation Final Exchange sowie die Abschaltung von ChipMixer geliefert hat; auch klassische Bitcoin-Mixer fallen unter diesen Tatbestand.

Für die vermögensabschöpfungsrechtliche Seite sind die §§ 73 bis 73c StGB maßgeblich. Der BGH hat klargestellt, dass Kryptowährungen taugliche Einziehungsgegenstände sind; die konkrete Einziehung hat dabei Vorrang vor der Wertersatzeinziehung, und bei investierten Taterträgen kommt die Surrogatseinziehung in Betracht. § 73a StGB erweitert dieses Instrumentarium um die Einziehung ohne konkreten Tatnachweis, sofern die kriminelle Herkunft feststeht – der BGH hat in seiner Entscheidung 2 StR 12/22 ausdrücklich anerkannt, dass Krypto-Vermögen aus Escrow-Systemen auch ohne konkrete Tatverknüpfung in voller Höhe eingezogen werden kann.

Praktisch ungeklärt bleibt schließlich die Anwendung des § 303a StGB. Ob Blockchain-Transaktionen Daten im Sinne dieser Vorschrift sind, ist in der Literatur umstritten; das OLG Braunschweig hat in der Entscheidung 1 Ws 185/24 zumindest deutlich gemacht, dass die maßgebliche Datenveränderung nicht durch den Beschuldigten, sondern durch das Netzwerk selbst bewirkt wird – eine dogmatisch wichtige Weichenstellung für die Reichweite des Tatbestands.

⚠️ Warnhinweis: Wenn Geschädigte zu Geldwäschern werden

Sie haben Geld auf einer Krypto-Plattform investiert – und werden nun gebeten, eingehende Beträge auf andere Konten oder Wallets weiterzuleiten? Stoppen Sie sofort.

In zahlreichen Verfahren, die wir betreuen, beobachten wir ein wiederkehrendes Muster: Opfer von Anlagebetrug, Love Scam oder Pig Butchering werden von ihren vermeintlichen „Brokern“ oder „Account-Managern“ dazu verleitet, eingehende Zahlungen auf ihrem eigenen Konto entgegenzunehmen und anschließend in Krypto umzuwandeln oder an „Verrechnungskonten“ weiterzuleiten. Die Täter sprechen dabei von „Rückzahlungen“, „Bonus-Auszahlungen“, „Liquiditätspools“ oder „Steuerverrechnungen“.

Tatsächlich machen Sie sich in diesem Moment selbst strafbar.

Bei den eingehenden Geldern handelt es sich nahezu ausnahmslos um Beträge, die anderen Betrugsopfern abgenommen wurden. Sie agieren – ohne es zu wissen – als sogenannter Finanzagent beziehungsweise Money Mule. Wer solche Beträge weiterleitet, verwirklicht regelmäßig den Tatbestand der Geldwäsche nach § 261 StGB, der bereits mit Leichtfertigkeit erfüllt sein kann. Daneben drohen zivilrechtliche Rückforderungen der ursprünglichen Geschädigten, die Sperrung Ihrer Konten durch die Bank sowie Meldungen an die FIU und die Staatsanwaltschaft.

Was Sie jetzt tun sollten:

• Stoppen Sie jede weitere Transaktion – auch wenn Ihnen die Auszahlung Ihrer eigenen Investition versprochen wird.
• Leiten Sie kein bereits eingegangenes Geld weiter. Lassen Sie es auf dem Konto stehen und informieren Sie Ihre Bank.
• Bewahren Sie sämtliche Kommunikation auf (Chats, E-Mails, Überweisungsbelege, Wallet-Adressen).
• Holen Sie umgehend anwaltlichen Rat ein, bevor Sie mit Bank, Polizei oder den Tätern weiter kommunizieren.

Aus eigener Verteidigung ist es entscheidend, dass Sie Ihre Rolle frühzeitig und korrekt einordnen lassen – als Geschädigter, nicht als Täterin. Wer wartet, bis die Staatsanwaltschaft anklopft, hat seine beste Argumentationsgrundlage bereits verloren.

Maisch.law berät bundesweit Betroffene von Kryptobetrug – auch in den Konstellationen, in denen aus Opfern unfreiwillig Beteiligte werden.

Geldwäschegesetz (GwG) und EU-Recht

Seit dem 1. Januar 2020 unterliegen Kryptoverwahrstellen als Finanzdienstleister dem deutschen Geldwäschegesetz. Auf europäischer Ebene wird dieser Rahmen durch eine inzwischen dichte Regulierungsarchitektur ergänzt, deren einzelne Bausteine für die Blockchain-Forensik unmittelbar von Bedeutung sind.

Die 5. EU-Geldwäscherichtlinie hat seit 2020 Kryptoverwahrstellen und Umtauschdienstleister ausdrücklich in den Kreis der Verpflichteten einbezogen und damit die KYC-Pflicht etabliert; daraus erwachsen den Strafverfolgungsbehörden konkrete Auskunftsansprüche gegen Börsen, die in vielen Verfahren erst die Brücke zwischen On-Chain-Spur und natürlicher Person schlagen. Seit 2024 wirkt die MiCA-Verordnung (Markets in Crypto-Assets) flankierend: Sie schafft EU-weit einheitliche Zulassungs- und Aufsichtspflichten für Krypto-Asset-Dienstleister (CASPs) und normiert in Art. 3 MiCA die Definitionen, die zugleich die strafrechtliche Einordnung von Kryptowerten als reguläre Wirtschaftsgüter erleichtern.

Hinzu tritt die neu geschaffene EU-Behörde zur Bekämpfung von Geldwäsche und Terrorismusfinanzierung – die AMLA –, die unter anderem die Aufsicht über grenzüberschreitend tätige Krypto-Dienstleister übernimmt und sich zu einer zentralen Datenquelle für transnationale Ermittlungen entwickeln dürfte. Ergänzend verpflichtet die TFR-Verordnung (Travel Rule) seit 2024 sämtliche CASPs zur Übermittlung von Transaktionsdaten bei Transfers, wodurch die Datenverfügbarkeit für Strafverfolgungsbehörden in der EU spürbar steigt. Den Kreis schließt die Richtlinie (EU) 2024/1260 zur Vermögenseinziehung, die erstmals ausdrückliche Regelungen für Kryptowerte enthält und dabei insbesondere die Zugriffsgeschwindigkeit und die Auditierbarkeit von Kryptowert-Sicherungen in den Mittelpunkt rückt – beides Aspekte, die in der Praxis über Erfolg oder Misserfolg der Vermögensabschöpfung entscheiden.

Offene Fragen und Forschungslücken

Trotz der erheblichen Fortschritte, die Praxis und Rechtsprechung in den vergangenen Jahren erzielt haben, bestehen an der Schnittstelle von Blockchain-Forensik, Strafrecht und Datenschutz weiterhin gewichtige offene Fragen, die wir als Kanzlei in laufenden Verfahren regelmäßig adressieren müssen.

Rechtliche Ermächtigungsgrundlage für die systematische Blockchain-Auswertung

§ 98a StPO normiert die klassische Rasterfahndung, wurde aber ersichtlich nicht für die Analyse öffentlich verfügbarer Blockchain-Daten konzipiert. Koenen schlägt deshalb de lege ferenda einen neuen § 98a Abs. 2 S. 2 StPO vor (Kripoz.de, 2024). Praktisch ungeklärt bleibt, ab welchem Umfang eine systematische Blockchain-Auswertung in einen grundrechtsintensiven Eingriff umschlägt und welche Richtervorbehalte ab diesem Punkt zu beachten sind.

DSGVO-Konformität beim Einsatz US-amerikanischer Tools für Krypto-Forensik

Chainalysis, Elliptic und TRM Labs sind US-amerikanische Anbieter. Werden ihre Plattformen in EU-Strafverfahren eingesetzt, stellt sich unweigerlich die Frage nach Drittlandstransfers personenbezogener Daten nach Art. 44 ff. DSGVO. Eine höchstrichterliche Klärung, ob und unter welchen Voraussetzungen Blockchain-Adressen als personenbezogene Daten gelten, steht bislang aus (TITANIUM-Projekt; Art. 44 DSGVO).

Beweiskraft von Blockchain-Forensik-Gutachten

Ausdrucke aus Blockchain-Explorern sind nach § 371 ZPO als Augenscheinsobjekte und nicht als Urkunden einzuführen; ihr Beweiswert hängt damit unmittelbar von einer sauberen Verifizierung über Hashwerte und Zeitstempel ab. Offen bleibt, welche Qualifikationsanforderungen an gerichtlich bestellte Sachverständige für Blockchain-Forensik zu stellen sind und ob – beziehungsweise welche – Zertifizierungsstandards künftig vorauszusetzen sind (Hortmannlaw.com, 2025; § 371 ZPO).

Einziehung bei fehlendem Private Key

Der BGH hat bereits klargestellt, dass eine Einziehungsanordnung auch dann zulässig ist, wenn der Private Key der betroffenen Wallet nicht bekannt ist. Praktisch ungeklärt ist hingegen, wie eine solche Anordnung bei self-custodied Wallets vollstreckt werden soll – insbesondere, ob Zwangsgeld oder Zwangshaft zur Herausgabe des Schlüssels angeordnet werden dürfen, ohne dass dies mit dem Nemo-tenetur-Grundsatz kollidiert (BGH 1 StR 412/16; Kanzlei Dr. Buchert).

Verwertbarkeit forensischer Cluster-Analysen als Beweismittel

Clustering-Heuristiken sind ihrem Wesen nach probabilistisch und können False Positives erzeugen. Es ist nicht abschließend geklärt, welchen Beweiswert eine Cluster-Attribution im deutschen Strafverfahren entfalten kann und auf welche Weise die methodenspezifische Fehlerquote gegenüber dem Gericht zu kommunizieren ist – eine Frage, die in der jüngeren forensischen Literatur an Schärfe gewinnt (Arxiv: Survey of Transaction Tracing Techniques, 2025).

Privacy Coins und die forensischen Grenzen der On-Chain-Analyse

Für Monero, ZCash und vergleichbare Privacy Coins sind die forensischen Möglichkeiten strukturell stark eingeschränkt. EUROPOL berichtet im IOCTA 2024 von einer steigenden Nutzung solcher Altcoins im kriminellen Umfeld – eine Entwicklung, die Strafverfolgungsbehörden vor systemische Herausforderungen stellt, weil das klassische Tracing-Instrumentarium hier weitgehend wirkungslos bleibt.

Cross-Chain- und DeFi-Forensik

Bridges, Swapping-Protokolle und dezentrale Exchanges (DEX) ermöglichen den nahezu anonymen Transfer von Werten zwischen verschiedenen Blockchains. Mit jedem zusätzlichen Hop sinkt die forensische Nachverfolgbarkeit erheblich. EUROPOL stuft diese Entwicklung als systemische Bedrohung ein; international anerkannte Standards für die Cross-Chain-Forensik fehlen bislang vollständig (EUROPOL, Common Challenges in Cybercrime, 2024).

Notveräußerung und mögliche Schadenersatzpflicht des Staates

§ 111p StPO erlaubt die Notveräußerung sichergestellter Vermögenswerte bei drohendem Wertverlust. Steigen die zuvor veräußerten Kryptowerte anschließend stark im Kurs und kommt es später zum Freispruch des Beschuldigten, stellt sich die – soweit ersichtlich noch nicht abschließend geklärte – Frage, ob der Staat für den entgangenen Kurszuwachs einstehen muss (KriPoZ 2026; § 111p StPO).

Fazit

Die Kette spektakulärer Sicherstellungen zwischen 2022 und 2026 zeigt, dass das Versprechen krimineller Akteure, sich in der vermeintlichen Anonymität von Bitcoin & Co. zu verstecken, technisch wie juristisch widerlegt ist. Allein 2025 sicherten Behörden weltweit Kryptovermögen im Umfang von über 22 Milliarden US-Dollar.

Diese Entwicklung speist sich aus dem Zusammenspiel professioneller forensischer Methoden – UTXO-Analyse, Clustering, KI-Klassifikation, Cross-Chain-Tracing über Chainalysis, Elliptic und TRM Labs – und eines inzwischen tragfähigen Rechtsrahmens aus § 127 StGB, §§ 73 ff. StGB, MiCA, TFR-Verordnung und der neuen AMLA. Besonders folgenreich ist die Verschiebung der Beweislogik: Das LG München I hat 2024 bestätigt, dass anonymer Verkäufer plus auffälliger Preisabschlag für eine Verurteilung wegen Geldwäsche genügen können.

Zugleich ist die Rechtslage an entscheidenden Punkten nicht ausjudiziert – von der fehlenden Ermächtigungsgrundlage für die systematische Blockchain-Auswertung über die DSGVO-Folgen US-amerikanischer Forensik-Tools bis zur Vollstreckung von Einziehungen ohne Private Key.

Für Betroffene heißt das im Klartext: Geschädigte sollten die heutigen Aufklärungschancen nicht unterschätzen – wer früh und strukturiert handelt, hat realistische Aussichten auf Spurensicherung und Rückführung. Käufer auf Sekundärmärkten und Empfänger fremder „Auszahlungen“ müssen umgekehrt erkennen, wie schnell aus einem vermeintlich harmlosen Vorgang eine Geldwäsche-Anklage wird.

Die Botschaft dieses Berichts lautet daher: Die Anonymität, die Bitcoin einst zu versprechen schien, war eine Illusion. Die Rechtssicherheit, die in deren Folge zu erwarten wäre, ist noch keine. Genau in dieser Lücke arbeiten wir als Kanzlei Maisch.law gemeinsam mit unseren kryptoforensischen Partnern – für Geschädigte ebenso wie für Beschuldigte, die zu Unrecht in den Sog dieser Verfahren geraten sind.