Die kurze Antwort: On-Chain-Forensik verfolgt Gelder nach einem Vorfall
On-Chain-Forensik ist die blockchainübergreifende Nachverfolgung von Geldern, nachdem etwas schiefgegangen ist. Sie arbeitet rückblickend. Ermittler beginnen mit einer relevanten Adresse oder Transaktion und folgen dem Geld über mehrere Stationen, Bridges und Protokolle. Die Kernfrage ist einfach: Wohin flossen die Gelder und wer hielt sie am Ende? Sie steht im Zentrum fast jedes Diebstahls-, Betrugs- oder Geldwäschefalls mit Bezug zu einer öffentlichen Blockchain.
Die zwei bestimmenden Merkmale sind rückblickend und mehrstufig. On-Chain-Forensik prüft keine Transaktion vor ihrer Abwicklung und ist keine dauerhafte Kontrolle innerhalb eines Compliance-Programms. Sie beginnt nach einem Vorfall, Diebstahl oder verdächtigen Ereignis und rekonstruiert das Geschehen anhand des Transaktionsgraphen vorwärts und rückwärts bis zu einem identifizierbaren Ziel.
Blockchain-Analyse dient häufig als Oberbegriff für alles, was sich aus On-Chain-Daten ableiten lässt. On-Chain-Forensik ist der ermittelnde Teil: Sie beantwortet „Was geschah und wohin floss das Geld?“ statt „Ist die Gegenpartei regelkonform?“. Die Fragen überschneiden sich, sind aber nicht dieselbe Aufgabe. Wer sie vermischt, wählt das falsche Werkzeug.
On-Chain-Forensik, AML und Transaktionsmonitoring
Am klarsten wird On-Chain-Forensik durch die Abgrenzung von zwei häufig damit verwechselten Disziplinen. Forensik ist rückblickende, mehrstufige Arbeit von Ermittlern. AML ist Compliance-Arbeit von Verantwortlichen innerhalb eines Pflichtenrahmens statt einer einzelnen Untersuchung. Dieser Rahmen beginnt bei den FATF-Standards. Transaktionsmonitoring, häufig KYT genannt, ist hier die echtzeitnahe Kontrolle vor einer Transaktion, die deren Risiko oder das einer Adresse vor der Wertbewegung bewertet. Drei benachbarte Ebenen beantworten drei Fragen: Forensik fragt nach dem Geschehen, AML nach den Regeln, Monitoring nach der Freigabe dieser Transaktion. Eine Forensikfrage beginnt mit einem Ereignis, eine Compliance-Frage mit Pflichten, eine Monitoring-Frage mit einer eingehenden Transaktion.
Person, Zeitpunkt und Blickrichtung unterscheiden sich. Ermittler blicken auf ein vergangenes Ereignis zurück. Compliance-Verantwortliche überblicken ein dauerhaftes Pflichtenprogramm. Ein Monitoring-System blickt auf die nächste Transaktion voraus. Wer diese Ebenen vermischt, versucht Ermittlungen mit Screening-Tools oder Compliance-Programme mit Tracing-Tools zu betreiben. Ihre Trennung ermöglicht die passende Werkzeugwahl.
Die Unterscheidung ist nicht nur begrifflich. Forensik fragt, was geschah; AML, was die Regeln verlangen; Monitoring, ob eine konkrete Zahlung zulässig sein sollte. Weil die Fragen verschieden sind, ist die Grenze real. Forensik nur als Unterbereich von Compliance zu behandeln, unterschätzt ihre Aufgabe.
Wofür On-Chain-Forensik eingesetzt wird
On-Chain-Forensik erfüllt wenige konkrete Aufgaben, meist nach einem bereits eingetretenen Ereignis.
Am häufigsten ist die Nachverfolgung gestohlener Gelder. Werden ein DeFi-Protokoll, eine Bridge oder eine Wallet geleert, folgen Ermittler den Werten durch Angreiferadressen, Mixer und Börseneinzahlungen bis zu ihrem Verbleib. Ziel ist die Benennung des Akteurs, Dienstes oder der Wallet am Ende, damit die Spur Rückgewinnung, Sperren oder eine Weiterleitung an die Strafverfolgung unterstützt. Öffentliche Blockchains ermöglichen diese Untersuchung ohne fremde Erlaubnis.
Die zweite Aufgabe ist die Zuordnung der Akteure hinter Geldwäsche. Was Geldwäsche bedeutet, erläutert FinCEN. Werden illegale Gelder durch mehrere Adress- und Dienstebenen bewegt, um legitim zu erscheinen, rekonstruiert Forensik diese Schichtung und verbindet den letzten Halter mit der Quelle. Die dritte Aufgabe ist Due Diligence vor Investitionen. Vor dem Einstieg in einen Token oder ein Projekt untersucht ein Team Finanzierung und Liquidität des Deployers auf Rug Pulls oder verdeckte Hochrisikoverbindungen. Viertens folgen Berichte und Belege. Aus der fertigen Untersuchung werden ein teilbares Diagramm und eine schriftliche Spur für Börsen, Aufsicht oder Gerichte. Jede Aufgabe erzeugt etwas Dauerhaftes: ein gespeichertes Diagramm, ein benanntes Ziel und übergebbare Dokumentation.
Wenn unbelastete und belastete Gelder zusammenfließen: Poison, Haircut und FIFO
Die schwierigste Frage ist nicht das Finden des Geldes, sondern die Zuordnung der Belastung, wenn illegale und unbelastete Gelder dieselbe Adresse nutzen. Drei Methoden liefern unterschiedliche Antworten. Poison behandelt alles, was belastete Gelder berührt, als belastet. Das markiert aggressiv auch Adressen, deren Besitzer die Herkunft nicht kannten. Haircut verteilt die Belastung proportional, sodass sie mit jeder Station abnimmt, bis sie jeden noch so niedrigen Schwellenwert unterschreitet. FIFO und LIFO behandeln Gelder als geordnete Warteschlange: zuerst hinein, zuerst hinaus oder zuletzt hinein, zuerst hinaus. Der englische Präzedenzfall Clayton’s Case von 1876 wandte zuerst hinein, zuerst hinaus an. Die Methode entscheidet über markierte Adressen, die Schlüssigkeit von Rückgewinnungsansprüchen und die Belastbarkeit einer Schlussfolgerung. Ein tragfähiger Bericht nennt deshalb Methode und Begründung. Ein Tool, das seine Methode zur Belastungszuordnung nicht offenlegt, beantwortet eine andere Frage als die Aufsicht.
Wie MetaSleuth zur Forensikebene passt
Diese Aufgaben benötigen ein Werkzeug für mehrstufige Pfade über mehrere Blockchains. Hier wird die Ermittlungsebene konkret. MetaSleuth ist BlockSecs Krypto-Nachverfolgungs- und Ermittlungsplattform, offiziell als Plattform für Geldflussnachverfolgung und Ermittlungen positioniert. Sie verfolgt Gelder über mehrere Stationen, visualisiert Tokenbewegungen zwischen Adressen und unterstützt Cross-Chain-Analyse beim Wechsel der Blockchain.
MetaSleuth ist für diese Arbeit gebaut: für Unternehmensteams in Vorfallsreaktion und Geldflussnachverfolgung, Anleger nach einem Diebstahl sowie Aufsichts- und Strafverfolgungsbehörden bei grenzüberschreitenden Compliance-Ermittlungen. Stand 2026 nutzen weltweit mehr als 100 Strafverfolgungs- und Compliance-Stellen die Plattform.
Eine Tracing-Plattform ist das Instrument, mit dem Ermittler aus einer forensischen Frage eine konkrete Antwort machen; sie ersetzt jedoch nicht das forensische Handwerk: die Arbeit mit Graph, Pfad und Ziel. MetaSleuth stellt es für die Ermittlungsebene bereit. Praktisch öffnen Ermittler ein Diagramm, erweitern ausgehende Transfers Schritt für Schritt und lesen den resultierenden Pfad als Antwort statt als Hypothese.
Die nächsten Schritte
Wollen Sie verstehen, wohin eine Geldspur tatsächlich führt, beginnen Sie eine Ermittlung, statt ein weiteres Screening durchzuführen. Wählen Sie eine relevante Adresse, folgen Sie ihren ausgehenden Transfers im Graphen und prüfen Sie, ob die Spur zu einem benannten Akteur oder einer Sackgasse führt. Der Unterschied ist die Zuordnung. Genau darum geht es bei dieser Arbeit.
Lernen Sie On-Chain-Forensik mit MetaSleuth und machen Sie aus dem abstrakten Konzept eine sichtbare, speicherbare und teilbare Nachverfolgung.
Dieser Artikel gehört zum MetaSleuth-Leitfaden für Ermittlungen und Forensik, der Nachverfolgungsmethoden, Beweishandhabung und Werkzeugkategorien durchgängig behandelt.