
Asset Recovery in der Praxis. Wie BTC, ETH und USDT nach Kryptobetrug eingefroren, gesichert und ausgefolgt werden
Reale anonymisierte Fälle zeigen, wie gestohlene Kryptowährungen nach Betrug tatsächlich zurückkommen können
Wer nach einem Kryptobetrug Hilfe sucht, begegnet häufig zwei völlig unterschiedlichen Realitäten. Die eine Realität besteht aus Recovery Scams. Angebliche Spezialfirmen, internationale Behördenpartner oder private Sicherheitsdienste versprechen schnelle Auszahlungen, garantierte Rückholung oder angeblich bereits beschlagnahmte Kryptowährungen. Fast immer geht es dabei um neue Gebühren, Steuern, Freischaltungen oder erfundene Compliance-Kosten.
Die andere Realität ist deutlich nüchterner, aber auch deutlich wirksamer. Gestohlene Kryptowährungen können in bestimmten Fällen tatsächlich nachverfolgt, eingefroren, sichergestellt und später an Geschädigte ausgefolgt werden. Dafür braucht es aber keine geheimen Recovery-Programme, sondern belastbare Blockchain-Forensik, saubere Beweise, Plattformkommunikation, behördliche Maßnahmen und rechtliche Prüfung.
Dieser Artikel zeigt anhand pseudonymisierter und teilweise zusammengeführter Praxisfälle, wie solche Rückführungen tatsächlich entstehen können.
Die Fälle stammen aus der operativen Arbeit von AQ Forensics. Einzelne Details wurden bewusst verändert, verdichtet oder kombiniert, um Mandantschaften, laufende Verfahren, Plattformen und beteiligte Stellen zu schützen.
Warum Kryptowährungen nicht einfach zurückgebucht werden können
Bei einer Banküberweisung kann unter bestimmten Voraussetzungen eine Rückbuchung, Sperre oder Rückfrage erfolgen.
Bei Blockchain-Transaktionen ist das anders. Eine bestätigte Transaktion auf einer Blockchain kann grundsätzlich nicht einfach rückgängig gemacht werden.
Bitcoin, Ethereum, Tron und andere Netzwerke funktionieren nicht wie ein zentrales Bankkonto, bei dem eine einzelne Stelle eine Buchung korrigiert.
Was jedoch möglich ist, ist die Nachverfolgung der Vermögenswerte. Blockchain-Forensik analysiert, wohin gestohlene Kryptowährungen geflossen sind, über welche Wallets sie bewegt wurden, ob Swaps stattgefunden haben und ob die Assets bei einer identifizierbaren Plattform angekommen sind.
Wenn gestohlene Assets bei einer Exchange, einem Broker, einem Zahlungsdienstleister oder einem verwahrenden Dienstleister landen, kann eine Sicherung möglich werden. Dafür müssen die Transaktionen nachvollziehbar dokumentiert und dem Geschädigten plausibel zugeordnet werden.
„Kryptowährungen bewegen sich so schnell wie das Internet selbst. Erfolgreiche Krypto-Ermittlungen beginnen deshalb nicht morgen – sondern sofort.“
Sicherstellung, Beschlagnahme und Ausfolgung – die wichtigsten Begriffe
Sicherstellung
bedeutet, dass Vermögenswerte vorläufig gesichert werden, um sie für ein Verfahren, eine spätere Entscheidung oder eine mögliche Rückgabe zu erhalten.
Beschlagnahme
ist ein stärkerer strafprozessualer Eingriff. Sie erfolgt regelmäßig auf behördlicher oder gerichtlicher Grundlage und dient dazu, Beweismittel oder Vermögenswerte dem Zugriff zu entziehen.
Ausfolgung
bedeutet, dass ein sichergestellter oder beschlagnahmter Gegenstand nach rechtlicher Prüfung an eine berechtigte Person herausgegeben wird.
Rückgabe in natura
bedeutet, dass nicht ein umgerechneter Geldwert ausgezahlt wird, sondern genau der Vermögenswert zurückgegeben wird, der gesichert wurde. Bei Kryptowährungen kann dies bedeuten, dass BTC, ETH oder USDT ausgefolgt werden und nicht der entsprechende Eurobetrag. Diese Begriffe sind wichtig, weil sie erklären, warum ein eingefrorenes Wallet-Guthaben nicht automatisch eine sofortige Auszahlung auf ein Bankkonto bedeutet.
Fall 1: Investment Scam über MetaTrader und eingefrorene USDT
Ein Geschädigter investierte über mehrere Wochen hinweg rund 115.000 Euro in einen angeblichen Investment- und Trading-Fall. Die Einzahlungen erfolgten in Form von USDT. Das Muster war typisch für einen Investment Scam. Eine professionell wirkende Plattform, angebliche Handelsgewinne, betreute Einzahlungen und spätere Auszahlungsprobleme.
Aus forensischer Sicht waren die Transaktionsflüsse in diesem Fall nicht besonders komplex. Die Gelder konnten nachvollzogen werden. Dabei wurden zwei Exchanges identifiziert, auf denen wesentliche Teile der Assets landeten.
Durch schnelle Aufbereitung und Meldung konnten knapp 96.000 Euro eingefroren werden. Das war zunächst ein sehr großer Erfolg. Dennoch war der Fall damit nicht abgeschlossen.
Die zuständige Behörde stellte das Verfahren ein, weil kein Täter ausgeforscht werden konnte. Für Geschädigte ist das schwer nachvollziehbar. Vermögenswerte können identifiziert und eingefroren sein, während die Täteridentität weiterhin ungeklärt bleibt.
Wir empfahlen der Mandantschaft, einen Rechtsanwalt hinzuzuziehen. Der Anwalt focht den Einstellungsbescheid an und erreichte die Wiederaufnahme des Verfahrens. Insgesamt wurde das Verfahren in diesem Fall zweimal eingestellt.
Beim zweiten Mal ging es nicht mehr nur um die Täterfrage, sondern um die Verwahrung und Rückführung von Kryptowährungen. Zum damaligen Zeitpunkt fehlte in Österreich noch eine ausreichende gesetzliche und praktische Grundlage für bestimmte behördliche Schritte im Umgang mit gesicherten Kryptowerten. Diese Grundlage wurde später geschaffen.
Monate später wurde die Mandantschaft durch den leitenden Ermittler kontaktiert. Es ging um die Frage, wie ein erster Teilbetrag ausgefolgt werden könne. Entweder in USDT oder als Fiat-Geld auf das Bankkonto.
Aus praktischer Sicht empfahlen wir eine Auszahlung in Fiat-Geld. Der Grund lag nicht in der Bequemlichkeit, sondern in der Compliance-Praxis. Wenn ein Geschädigter USDT erhält und diese anschließend über eine Kryptobörse verkauft, muss er gegenüber der Plattform regelmäßig erklären können, woher diese Assets stammen. Eine direkte Fiat-Auszahlung hätte diesen zusätzlichen Mittelherkunftsnachweis vereinfacht.
Ein Mittelherkunftsnachweis ist der Nachweis, aus welcher legitimen Quelle Vermögenswerte stammen. Banken und Kryptoplattformen benötigen solche Nachweise im Rahmen ihrer Geldwäscheprävention und Compliance-Prüfung.
Drei Wochen später kam die Antwort, dass eine Auszahlung in Fiat-Geld nicht möglich sei.
Ein Richter entschied sinngemäß, dass eine Behörde keine Wechselstube sei. Dem Geschädigten stehe das zu, was sichergestellt wurde. In diesem Fall also USDT und nicht der umgerechnete Eurobetrag.
Das ist ein Beispiel für Rückgabe in natura. Der konkrete Vermögenswert wird ausgefolgt, nicht ein anderer wirtschaftlicher Gegenwert.
Der Geschädigte musste sich daher unter Anleitung ein Wallet einrichten, das USDT empfangen konnte. Anschließend wurden rund 25.000 USDT an eine verifizierte Kryptobörse übertragen, bei der der Geschädigte bereits ein Konto hatte. Die Plattform wurde vorab über den Sachverhalt informiert. Da der Fallverlauf, die Herkunft und die Unterlagen sauber belegt werden konnten, stellte der Empfang und spätere Wechsel der USDT kein wesentliches Problem dar.
Der Restbetrag ist bis heute nicht vollständig zurückgeführt. Während der langen Verfahrensdauer meldete sich eine ausländische Behörde bei jener Exchange, auf der weitere Gelder lagen, und erhob ebenfalls Ansprüche auf die eingefrorenen Vermögenswerte.
Dieser Fall zeigt, wie komplex echte Rückführungen sein können. Einfrieren ist nicht gleich Auszahlung. Ein Verfahren kann trotz gesicherter Assets eingestellt werden. Anwaltliche Unterstützung kann entscheidend sein. Gesetzliche Grundlagen können sich während eines Falles verändern. Und mehrere Staaten können Ansprüche auf dieselben Vermögenswerte prüfen.
Warum Behörden nicht immer sofort handeln können
Bei Kryptobetrug entsteht häufig der Eindruck, Behörden müssten nur schnell genug auf eine Blockchain schauen und dann sei der Fall gelöst.
So einfach ist es nicht.
Nicht jede Polizeidienststelle verfügt über eigene On-Chain-Analysten. Nicht jede Stelle hat Lizenzen für spezialisierte Tools wie Chainalysis, TRM Labs, Crystal Intelligence oder vergleichbare Systeme. Diese Softwarelösungen sind teuer. Die Ausbildung ist anspruchsvoll. Die technische Entwicklung ist schnell.
Dazu kommen neue Chains, neue Stablecoins, neue Bridges, neue Swap-Dienstleister, neue Mixer, neue Betrugsmuster und neue regulatorische Anforderungen.
Gleichzeitig sind die Fallzahlen hoch.
Österreich verzeichnete laut BMI 2025 rund 63.459 Cybercrime-Anzeigen. In Deutschland weist das BKA für 2024 allein 131.391 Cybercrime-Fälle aus. Je nach Abgrenzung von Internetbetrug und Tatmittel Internet liegen internetbezogene Betrugszahlen höher. In der Schweiz stieg die digitale Kriminalität 2024 laut öffentlicher Kriminalstatistik um mehr als ein Drittel.
Das bedeutet nicht, dass Behörden untätig sind. Es bedeutet, dass hochspezialisierte Fälle auf stark belastete Strukturen treffen.
In der Praxis kann es daher vorkommen, dass forensische Analysen in behördlichen Verfahren erst nach 12 bis 18 Monaten erfolgen. Bei Kryptowerten ist diese Zeit entscheidend. Täter verschieben Assets oft innerhalb von Minuten, Stunden oder Tagen. Wenn Monate vergehen, sinkt die Chance auf eine Sicherstellung erheblich.
Genau an dieser Stelle setzt operative Blockchain-Forensik an. Sie soll frühzeitig Transaktionsdaten auswerten, Wallets identifizieren, Plattformen informieren und Sicherungsmaßnahmen vorbereiten, solange Assets noch erreichbar sind.
Fall 2: Impersonation Scam mit Trust Wallet und blockierten Swaps
Am 23. Dezember 2025 meldete sich ein Mandant bei uns.
Er hatte angeblich Kontakt mit dem Support einer Kryptobörse. Ihm wurde mitgeteilt, dass eine IP-Adresse aus Asien versucht habe, sich in sein Konto einzuloggen. Zur Absicherung solle er ein Trust Wallet herunterladen und ein Wallet wiederherstellen.
Geschichte klang in ihrer Gesamtheit sehr komplex, war aber vollkommen erfunden, um die Assets des Mandanten zu stehlen.
Dem Mandanten wurde erklärt, dass die Plattform die Assets nur versichern könne, wenn er elf Wörter einer Seed Phrase eingebe. Das zwölfte Wort werde telefonisch durch den Support mitgeteilt. Erst dadurch greife angeblich der Versicherungsschutz.
Einen solchen Versicherungsschutz gibt es nicht.
Es handelte sich um einen Impersonation Scam. Täter gaben sich als Support-Mitarbeiter einer Plattform aus. Die Assets wären auf der ursprünglichen Plattform sicher gewesen, wenn der Mandant sie nicht auf das neu eingerichtete Wallet übertragen hätte.
Eine Seed Phrase ist der Generalschlüssel zu einem Wallet. Wer diese Wörter kennt, kann das Wallet wiederherstellen und über die darin befindlichen Kryptowährungen verfügen.
Wenn ein Opfer ein Wallet mit einer Seed Phrase wiederherstellt, die von Tätern vorgegeben wurde, kontrolliert das Opfer dieses Wallet nicht allein. Sendet es anschließend Kryptowährungen dorthin, sendet es die Assets faktisch an eine fremde Person.
Nach der Beauftragung analysierten wir die bereitgestellten Transaktionen. Dabei zeigte sich, dass noch erhebliche Teile der gestohlenen Kryptowährungen im Umlauf waren.
Wir labelten Wallets, meldeten verdächtige Adressen an internationale Compliance-Datenbanken, rekonstruierten Swaps und informierten relevante Plattformen. Solche Datenbanken werden von Exchanges, Zahlungsdienstleistern und Compliance-Abteilungen genutzt, um verdächtige Wallets zu erkennen und Transaktionen zu prüfen.
Die Maßnahmen griffen.
On-chain ließ sich nachvollziehen, dass die Täter mehrfach versuchten, Assets über Swap-Dienstleister in USDT auf Tron zu konvertieren. Mehrere Transaktionen wurden blockiert oder führten zu neuen Hinweisen.
Nach vier Tagen kam die erste Erfolgsmeldung. Eine Plattform konnte 5 ETH abfangen. Der Wert lag damals bei knapp 10.000 Euro.
In den folgenden Tagen wurden bei weiteren Plattformen kleinere und größere Beträge gesichert. Insgesamt dauerte es rund sieben Tage, bis beinahe die vollständige Schadenssumme abgefangen werden konnte.
Der Schriftverkehr mit den Plattformen, die Transaktionsrekonstruktionen und die Zuordnung der Assets wurden anschließend an die zuständige Behörde weitergeleitet. Diese übernahm die weiteren hoheitlichen Schritte.
Das ist ein zentraler Punkt. Forensiker und Anwälte können analysieren, dokumentieren, melden und vorbereiten. Sie haben aber keine staatlichen Befugnisse zur Beschlagnahme oder endgültigen Ausfolgung. Dafür braucht es je nach Land und Fall Behörden, Gerichte oder andere zuständige Stellen.
Fall 3: BTC aus einem Schweizer Verfahren und historische Verhaltensanalyse
In einem weiteren Fall aus der Schweiz war die Ausgangslage komplexer.
Der Mandant hatte bereits Monate zuvor Anzeige bei den zuständigen Behörden erstattet.
Nach unserer Einschätzung wurde dort sorgfältig gearbeitet. Dennoch waren noch erhebliche BTC-Bestände im Umlauf, die der Mandantschaft zugeordnet werden konnten.
Nach Beauftragung analysierten wir die Transaktionsdaten und identifizierten mehrere relevante Wallets.
Da der Fall schon älter war, standen auch historische Bewegungsdaten der Täter zur Verfügung. Das war ein Vorteil. Wir konnten nachvollziehen, welche Plattformen die Täter wiederholt nutzten, um Teile der gestohlenen Assets zu waschen oder weiterzuleiten.
Daraus entstand eine historische Verhaltensanalyse.
Eine solche Analyse untersucht wiederkehrende Muster. Welche Plattformen werden regelmäßig genutzt. Welche Wallets tauchen mehrfach auf. Welche Beträge werden in welchen Abständen bewegt. Welche Chains und Dienstleister werden bevorzugt.
Auf dieser Grundlage informierten wir eine relevante Plattform, dass sie wiederholt für geldwäschenahe Aktivitäten missbraucht worden war. Gleichzeitig wurde darauf hingewiesen, dass bereits behördliche Ermittlungen bestanden und künftig eingehende Zahlungen aus den Täterstrukturen geprüft und abgefangen werden sollten.
Tage und Wochen vergingen.
Dann kam die Erfolgsmeldung. Knapp 100.000 US-Dollar in BTC konnten erfolgreich abgefangen werden.
Wir rekonstruierten den Transaktionsverlauf akribisch und übermittelten die Analyse gemeinsam mit dem Plattform-Schriftverkehr an die zuständigen Schweizer Behörden. Diese übernahmen die weitere Verwahrung und behördliche Behandlung der Vermögenswerte.
Dieser Fall zeigt, dass auch ältere Fälle nicht automatisch aussichtslos sind. Wenn Täter wiederkehrende Muster nutzen und noch Assets im Umlauf sind, können Monitoring, historische Analyse und Plattformkommunikation Wirkung entfalten.
„Historische Wallet-Muster können in bestimmten Fällen wertvoller sein als einzelne Transaktionen.“
Warum eingefrorene Assets nicht sofort ausgezahlt werden
Für Geschädigte ist es schwer verständlich, wenn Assets eingefroren wurden, aber dennoch keine sofortige Rückzahlung erfolgt.
Der Grund liegt in der rechtlichen Prüfung.
Zunächst muss geklärt werden, ob die Vermögenswerte tatsächlich aus dem konkreten Betrug stammen. Dann muss geprüft werden, wem sie zugeordnet werden können. In manchen Fällen gibt es mehrere Geschädigte. In anderen Fällen melden sich ausländische Behörden oder Plattformen mit eigenen Ansprüchen. Außerdem muss die zuständige Stelle entscheiden, ob und in welcher Form eine Ausfolgung möglich ist.
Hier ist auch der Begriff Verfügungsverbot relevant. Ein Verfügungsverbot bedeutet, dass über einen Vermögenswert vorläufig nicht verfügt werden darf. Eine Plattform kann Assets also sperren, ohne sie sofort an eine Person auszuzahlen.
Ein weiterer wichtiger Begriff ist Geschädigteneigenschaft. Damit ist gemeint, dass eine Person nicht nur behauptet, Opfer zu sein, sondern ihre Betroffenheit nachvollziehbar belegen kann. Dazu gehören Transaktionen, Zahlungsnachweise, Kommunikation mit Tätern, Anzeigeunterlagen und eine saubere forensische Zuordnung.
Für Banken und Kryptoplattformen ist außerdem der AML-Kontext entscheidend. AML steht für Anti-Money-Laundering, also Geldwäscheprävention. Auch wenn ein Geschädigter rechtmäßig Geld zurückerhält, muss eine empfangende Plattform oder Bank verstehen können, warum plötzlich größere Kryptowerte oder Fiat-Beträge eingehen.
Deshalb ist der Mittelherkunftsnachweis auch bei Rückführungen wichtig.
Warum manche Rückführungen über Plattformen laufen
Nicht jedes Land behandelt eingefrorene Kryptowährungen gleich.
In manchen Staaten ermitteln Behörden den Sachverhalt, überlassen die praktische Rückabwicklung eindeutig zuordenbarer Assets aber teilweise der betroffenen Plattform und dem Geschädigten.
In solchen Fällen muss der Geschädigte regelmäßig seine Identität verifizieren, eine Strafanzeige vorlegen, die Herkunft der ursprünglichen Mittel belegen und eine empfangende Wallet oder ein Konto benennen. Die Plattform prüft anschließend Compliance-, AML- und Risikofragen.
Manche Plattformen verlangen für diesen Aufwand eine Bearbeitungsgebühr. Andere führen solche Rückzahlungen kostenlos durch. Die Abläufe unterscheiden sich erheblich.
Für Juristen, Ermittler und Banken ist dabei entscheidend, dass die Unterlagen nachvollziehbar sind. Ein Screenshot allein reicht nicht. Benötigt werden Transaktionsdaten, Wallet-Adressen, Zeitpunkte, Zahlungsnachweise, Korrespondenz, Identitätsnachweise, Mittelherkunftsnachweise und eine konsistente forensische Fallrekonstruktion.
Was echte Rückführungen von Recovery Scams unterscheidet
Reale Rückführungen haben fast immer eine nachvollziehbare Struktur.
Sie beginnen nicht mit einer überraschenden Nachricht einer unbekannten Recovery-Firma. Sie beginnen nicht mit Vorauszahlungen für Steuern, AML-Zertifikate oder Wallet-Freischaltungen. Und sie erfolgen nicht über angebliche ausländische Spezialunternehmen, die im Auftrag einer Regierung Geld an Geschädigte auszahlen.
Reale Rückführungen beruhen auf Transaktionsdaten, Wallet-Zuordnung, Plattformkommunikation, behördlichen Akten, Identitätsprüfung, Compliance-Prüfung und einer rechtlichen Grundlage.
Wenn Assets erfolgreich sichergestellt werden, muss in der Regel zuerst das Ermittlungsverfahren abgeschlossen oder zumindest eine tragfähige Grundlage für die Ausfolgung geschaffen werden.
Das dauert häufig zwischen sechs Monaten und drei Jahren. In Ausnahmefällen geht es schneller. In komplexen internationalen Verfahren kann es länger dauern.
Geduld ist in solchen Verfahren keine Schwäche, sondern Teil der Realität.
Die Rolle von AQ Forensics
AQ Forensics ist kein Recovery-Versprechen und kein Anbieter geheimer Rückholprogramme.
AQ Forensics arbeitet als operativer Blockchain-Forensik Dienstleister. Unsere Aufgabe ist es, die faktische Grundlage für weitere Schritte zu schaffen.
Dazu gehören Transaktionsanalyse, Wallet-Attribution, Exchange-Identifikation, Beweissicherung, Fallrekonstruktion, Plattformkommunikation, Monitoring relevanter Wallets und die Aufbereitung von Unterlagen für Behörden, Kanzleien, Banken und Compliance-Stellen.
Wir können in geeigneten Fällen dazu beitragen, dass Assets identifiziert, gemeldet, eingefroren oder gesichert werden. Ob und wann diese Vermögenswerte ausgefolgt werden, hängt jedoch von Behörden, Gerichten, Plattformen, Rechtslage und Einzelfall ab.
Seriöse Blockchain-Forensik verspricht keine 100-prozentige Rückholung.
Sie schafft die belastbare Tatsachengrundlage, auf der weitere Maßnahmen überhaupt erst möglich werden.
Fazit: Rückführungen sind möglich, aber nie automatisch
Die beschriebenen Fälle zeigen, dass gestohlene Kryptowährungen in realen Verfahren zurückfließen können.
Es gibt eingefrorene USDT, abgefangene ETH, gesicherte BTC und erfolgreiche Teilergebnisse.
Jeder dieser Erfolge hatte eine gemeinsame Grundlage:
- schnelle Analyse
- saubere Dokumentation
- korrekte Zuordnung
- strukturierte Kommunikation
- behördliche Einbindung
Ohne Behörden kommen eingefrorene Assets in vielen Fällen nicht zurück.
Ohne forensische Grundlage wissen Behörden, Plattformen, Banken und Anwälte oft nicht, wo sie ansetzen sollen.
Und ohne Geduld lässt sich ein internationales Kryptobetrugsverfahren kaum seriös führen.
AQ Forensics unterstützt Geschädigte, Kanzleien, Unternehmen, Banken und Behörden bei der Analyse komplexer Kryptowährungsfälle, Asset-Tracing-Verfahren und der strukturierten Aufbereitung von Blockchain-Sachverhalten.
Wenn Sie von einem Betrug mit Kryptowährungen betroffen sind oder als Kanzlei, Unternehmen, Bank oder Ermittlungsstelle einen Fall mit digitalen Vermögenswerten prüfen müssen, kann AQ Forensics den Sachverhalt diskret analysieren.
AQ Forensics unterstützt Unternehmen, Kanzleien, Finanzdienstleister und Behörden bei
Blockchain-Analysen, Wallet-Risikobewertungen, Source-of-Funds-Prüfungen & Krypto-Ermittlungen
Weiterführende Analysen & Praxisfälle
- // AQ CASES 001 – Vom Krypto-Betrug zur Bitcoin-Sicherstellung
- // AQ INSIGHTS 001 - Cross-Chain Swaps rekonstruieren
- // AQ FILES 009 - Anatomie eines Betrugs mit gestohlenen Kryptowährungen
