Krypto-Betrug: Was du jetzt tun solltest, und warum deine Daten zuerst kommen

Etwas ist weg. Coins, die nicht mehr in der Wallet liegen. Eine Plattform, die nicht mehr antwortet. Oder jemand, dem du vertraut hast, ist nicht mehr erreichbar.

Du bist damit nicht allein. In der Praxis von Robert und Johannes, über 600 Fälle seit 2021, taucht in etwa zwei bis drei von zehn Datenbeständen ein Betrugsbezug auf. Vor allem in alten Historien.

Dieser Artikel sagt dir, was du jetzt tust, was du sicherst und was deine Daten zeigen können. Er sagt dir nicht, ob du dein Geld zurückbekommst. Das kann dir vorab niemand seriös sagen.

01 Was du jetzt sofort tun solltest

1. Nichts mehr zahlen. Keine „Gebühr“, keine „Steuer“, keine „Freischaltung“, damit eine Auszahlung angeblich kommt. Die Polizei rät ausdrücklich, keine weiteren Zahlungen zu leisten.
2. Offene Berechtigungen widerrufen. Wenn du auf einer Website deine Wallet verbunden und etwas bestätigt hast: Prüf deine Freigaben mit revoke.cash oder dem Token Approval Checker von Etherscan und widerrufe, was du nicht kennst. Das verhindert weitere Abflüsse über diese Freigabe. Was schon weg ist, bringt es nicht zurück.
3. Seed-Phrase preisgegeben? Wallet aufgeben. Dann hilft Widerrufen nicht. Was noch da ist, kommt auf eine neue Wallet, die betroffenen Adressen nutzt du nicht mehr.
4. Bank informieren, wenn Geld per Überweisung oder Karte geflossen ist.
5. Sichern, solange du Zugriff hast. Screenshots von Plattform, Chats und E-Mails, Transaktions-Hashes, Wallet-Adressen. Dazu die CSV-Exporte aller Börsen, die du genutzt hast, und zwar über den ganzen Zeitraum, nicht nur das aktuelle Jahr.
6. Anzeige erstatten, bei jeder Polizeidienststelle oder online über die Internetwache deines Bundeslandes. In Österreich erstattest du Anzeige bei jeder Polizeiinspektion und kannst Betrugsseiten zusätzlich bei Watchlist Internet melden.
7. Keine „Recovery“-Angebote mit Vorkasse. Sie melden sich ungefragt, nennen sich Kanzlei, Agentur oder Behörde und wollen vor der Auszahlung eine Gebühr. Watchlist Internet nennt eine solche Vorab-Gebühr „ein untrügliches Zeichen für kriminelle Absichten“, die Verbraucherzentrale kennt keinen Fall, in dem so Geld zurückkam. Wer für die Rückholung vorab Geld will, ist nicht seriös, auch wenn er sich als Behörde ausgibt, etwa als BaFin.

Die Anzeige wartet nicht auf die Aufbereitung. Sichern und anzeigen kommt zuerst, das Ordnen danach.

02 Warum deine Daten das Fundament für alles Weitere sind

Polizei, Anwalt, Forensik und Steuerberatung stellen dir am Ende dieselbe Grundfrage: Was ist von welcher deiner Adressen wann, in welcher Höhe, wohin gegangen?

Klingt einfach. Ist es selten. Krypto-Daten liegen typischerweise verteilt und lückenhaft über viele Plattformen. Gern vergessen: die erste Börse, eine Hardware-Wallet, eine Chain. Kunden sagen oft „das war ja nur auf meinem Ledger“. Die Hardware-Wallet gehört aber genauso in die Daten wie die Börse.

Daraus folgt der Satz, um den sich dieser Artikel dreht:

Solange eine eigene Quelle fehlt, kann jeder unerklärte Abgang auch ein Transfer zu dir selbst sein. Das Steuertool zeigt ihn dann als ungepaarte Buchung, und die Ursache ist meistens schlicht: Die Gegenseite ist nicht importiert. Erst wenn alles drin ist und der Abgang trotzdem allein steht, wird daraus eine belastbare Aussage: Hier ist etwas an eine fremde Adresse gegangen.

03 Drei Muster, die wir in Krypto-Daten sehen

1. Das Projekt, das sich später als Scam herausstellte

Du hast einen Token gekauft, Geld in ein Protokoll gelegt, an einem Pool teilgenommen. Später ist das Projekt tot, der Token wertlos, die Macher verschwunden.

In den Daten ist das kein Abgang an einen Fremden. Es sind echte Transaktionen: Du hast getauscht, eingezahlt, bezahlt. Und genau deshalb gehören sie in die Doku.

Die häufige Falle: Der Token wird im Tool als Spam markiert, weil man ihn nicht mehr sehen will. Damit fallen alle Transaktionen mit diesem Token aus der Berechnung, auch der Tausch, mit dem du ihn gekauft hast. Die Bilanz weicht dann an Stellen ab, die mit dem Token scheinbar nichts zu tun haben.

Davon zu trennen sind Scam-Token, die dir ungefragt geschickt wurden. Sie tragen oft den Ticker eines echten Assets, etwa „USDC“. Ein Tool, das Assets über den Ticker erkennt, bewertet sie dann mit dem echten Marktpreis, und es entstehen absurde Werte. Ob echt oder Fake, entscheidet der Contract im Block-Explorer. Der Fix: Contract als Scam markieren oder den Ticker umbenennen, zum Beispiel in „USDC-SCAM“.

Die Faustregel: Was du bezahlt hast, bleibt drin. Was dir ungefragt geschickt wurde, fliegt raus.

2. Phishing: die Bestätigung, die mehr erlaubt als gedacht

Eine Mail, ein Link, eine Website, die aussieht wie die echte. Du verbindest deine Wallet und bestätigst etwas.

Oft ist das eine Berechtigung (englisch Approval): Sie erlaubt einem Smart Contract, Token aus deiner Wallet zu bewegen. Ohne dass du jede einzelne Bewegung noch einmal bestätigst. Ist das Limit unbegrenzt, kann der Contract die Wallet leerräumen. Dafür braucht der Angreifer weder deine Seed-Phrase noch deinen Private Key, nur deine Bestätigung. Werkzeuge, die genau das automatisiert ausnutzen, heißen Drainer.

Besonders tückisch sind Permit-Signaturen: Die Berechtigung wird außerhalb der Blockchain unterschrieben. Es sieht aus, als würdest du dich nur auf einer Website anmelden, und die üblichen Wallet-Warnungen fehlen.

Was das für deine Daten heißt: Bei einer klassischen Berechtigung steht die Freigabe selbst als eigene Transaktion on-chain im Block-Explorer. Bei einer Permit-Signatur nicht. Sie erscheint erst on-chain, wenn der Angreifer sie einlöst, oft unmittelbar vor oder zusammen mit dem Abzug. Im Steuertool sieht ein Drainer-Abgang unspektakulär aus: eine ganz normale Auszahlung an eine Adresse, die das Tool nicht kennt. Nichts im Tool sagt dir, dass es Diebstahl war. Das erkennst du erst, wenn alle deine eigenen Adressen in den Daten sind und diese eine übrig bleibt.

Und Vorsicht in die andere Richtung: Nicht jeder Abgang im Tool ist echt. Nach echten Überweisungen schicken Angreifer gefälschte Token-Transfers mit gleichem Betrag an Doppelgänger-Adressen, die vorne und hinten aussehen wie echte, auch wie deine eigene. Ein Wallet-Import kann sie als echte „USDC“- oder „ETH“-Auszahlung übernehmen. Dann sieht es nach mehr Verlust aus, als passiert ist, mit Minusbeständen in Höhe der Fake-Beträge. Auch hier entscheidet der Contract.

3. Die Vertrauensperson, die „für dich tradet“

Das folgende Beispiel ist konstruiert. Das Muster nicht.

Nennen wir ihn Max. Ein Bekannter hat ihn empfohlen, er tradet angeblich erfolgreich und macht das auch für andere. Über zehn Monate schickst du ihm in mehreren Tranchen Coins, teils direkt von der Börse, teils von deiner Hardware-Wallet. Anfangs schickt er Screenshots mit Gewinnen. Irgendwann ist er nicht mehr erreichbar.

In den Daten sieht das so aus:

• Mehrere Auszahlungen an dieselbe Adresse, die in keiner deiner Quellen auftaucht.
• Nie ein Rückfluss. Keine Gewinne, die in einer deiner Wallets oder Börsen ankommen.
• Bei den Börsen-Auszahlungen steht im Export meistens der Transaktions-Hash oder die Zieladresse. Damit lässt sich die Tranche in der Regel eindeutig zuordnen.

Die Screenshots sagen „Gewinn“. Deine Daten sagen „nur Abgänge“. Dieser Widerspruch ist keine Bewertung, er ist eine Feststellung. Und genau die brauchst du, bevor jemand anderes weitermacht.

04 Was du für die Dokumentation sammelst

Deine Seite

• Liste aller Börsen, Wallets und DeFi-Protokolle, die du je genutzt hast. Auch geschlossene Börsen, auch die Hardware-Wallet.
• Alle Wallet-Adressen, jeweils mit Chain.
• CSV-Exporte über den ganzen Zeitraum. Für geschlossene Börsen eine Datenauskunft nach Art. 15 DSGVO.
• Bank- und Kreditkartenauszüge deiner Euro-Einzahlungen. Daraus lassen sich Anschaffungen oft ziemlich genau wiederherstellen.

Je verdächtigem Abgang

• Datum
• Coin und Menge
• Euro-Wert zum Zeitpunkt der Transaktion
• Zieladresse
• Transaktions-Hash

Der Kontext

• Website-Adresse und E-Mail bei Phishing, mit Screenshots
• Chats, Zusagen und Zahlungsbelege bei einer Vertrauensperson

Und wenn sich etwas nicht klären lässt: Lass die Lücke offen und schreib dazu, was du weißt. Eine kommentierte Lücke ist besser als eine plausible Buchung, die keiner belegen kann.

05 Und im Steuertool?

Ein gestohlener oder verlorener Abgang muss im Tool irgendwie gebucht werden, und das Label entscheidet, wie er im Report erscheint. CoinTracking hat dafür einen eigenen Transaktionstyp „Lost“ für verlorene oder gestohlene Coins. Ein als steuerfrei gebuchter Abfluss nimmt die Coins in allen Tools, mit denen wir arbeiten, aus dem gesamten Portfolio, technisch wie eine Auszahlung.

Wie der Verlust steuerlich zu behandeln ist, klärst du mit deiner Steuerberatung. TX-Partner ist keine Steuerberatungskanzlei. Wir liefern die Datengrundlage, auf der diese Entscheidung getroffen wird.

06 Wo die Dokumentation endet

Deine Daten reichen bis zu deiner letzten eigenen Adresse. Bis dahin lässt sich zeigen, was weggegangen ist und wohin.

Wer hinter der Zieladresse steht und wohin die Coins danach gewandert sind, beantworten Forensiker, zum Beispiel AQ Forensics.

Rechtliche Schritte gehören zu einem Anwalt. Die Ermittlung zur Polizei.

07 So helfen wir dir

Wir bereiten deine Krypto-Daten auf: alle Quellen, die sich beschaffen lassen, ins Tool, gegen die Blockchain abgeglichen, jeder Abgang mit Datum, Menge, Euro-Wert, Zieladresse und Hash. Was sich nicht klären lässt, steht offen und kommentiert drin. Damit gehst du zu Polizei, Anwalt, Forensik oder Steuerberatung.

Wir schauen uns deinen Fall an, bevor wir ein Angebot machen. Die Kosten stehen vor der Auftragserteilung fest.

Mehr zur Leistung: Krypto-Datenaufbereitung zum Festpreis. Wie eine Historie mit Lücken technisch wiederhergestellt wird: Krypto-Historie rekonstruieren.