Im Kern von Bitcoin steht ein offenes Hauptbuch, sodass mit den richtigen Fähigkeiten jede Übertragung von Adresse zu Adresse zurückverfolgt werden kann. Eine ganze Industrie ist daraus entstanden: Händler verfolgen Wale und Zuflüsse zu Börsen, Blockchain-Forensik-Experten helfen, gestohlene Gelder zurückzuerlangen, und Compliance filtert "schmutzige" Coins heraus.
In diesem Leitfaden werden wir Schritt für Schritt durchgehen, wie man Transaktionen manuell analysiert, wie man die Arbeit mit Hilfe von Werkzeugen und Automatisierung auf ein Förderband bringt und auch, warum selbst die fortschrittlichste Nachverfolgung eine Wahrscheinlichkeit und keine hundertprozentige Antwort liefert.
Wir lassen grundlegende Definitionen und Marktmetriken außen vor — dafür gibt es ein separates Material in Kartenformat.
Teil 1. Manuelle Analyse von Transaktionen
Schritt 1. Eine Transaktion anhand der TXID finden
Jede Übertragung auf der Blockchain hat einen einzigartigen Identifikator — die TXID, den Transaktions-Hash. Dies ist eine lange Zeichenfolge, normalerweise aus 64 Zeichen, die das Netzwerk erhält, indem es alle Übertragungsdaten — Eingaben, Ausgaben, Beträge und Signaturen — durch den SHA-256-Algorithmus laufen lässt.
Es ist praktisch unmöglich, einen solchen Hash zu fälschen: Die kleinste Änderung der Daten ergibt eine völlig andere Zeichenfolge, sodass zwei identische TXIDs nicht existieren. Im Wesentlichen ist es eine "Belegnummer", mit der jeder Knoten im Netzwerk die Operation finden und verifizieren kann.
Die Art und Weise, wie man den Hash erhält, hängt davon ab, was man bereits hat:
- Wenn die Überweisung bereits erfolgt ist, kann sie im Verlauf einer Wallet oder Börse geöffnet werden. Neben der Transaktion gibt es normalerweise einen Link wie "Im Explorer anzeigen": Dieser führt zur Transaktionsseite, auf der die Kennung vollständig angezeigt wird;
- Wenn Sie nur die Adresse des Absenders oder Empfängers haben, wird sie in die Suchleiste eines beliebigen Blockchain-Explorers eingefügt. Die Adresshistorie wird mit allen Überweisungen geöffnet; die benötigte Transaktion kann anhand von Betrag und Datum identifiziert werden, und ihr Hash kann auf der eigenen Seite der Transaktion gefunden werden.
Schritt 2. Verständnis der Struktur einer Transaktion: Eingaben, Ausgaben und Wechselgeld
Im Gegensatz zu einem Bankkonto speichert Bitcoin den Kontostand nicht als einzelne Zahl. Das Netzwerk arbeitet nach dem UTXO (unspent transaction output)-Modell: Gelder existieren als separate "Banknoten" unterschiedlicher Nennwerte, während die Wallet nur die Schlüssel zu ihnen speichert. Der verfügbare Kontostand ist die Summe aller solcher Ausgaben, die vom Eigentümer kontrolliert werden.
Eine "Banknote" kann nicht teilweise ausgegeben werden. Bei einer Zahlung geht eine solche Ausgabe vollständig in die Transaktion ein, und im Gegenzug erstellt das Netzwerk zwei neue: eine an den Empfänger, die zweite als Wechselgeld zurück an den Absender an eine neue Adresse.
Nehmen wir ein Beispiel. Alice hat eine Ausgabe von 5 BTC und überweist 0,01 BTC an Bob. Auf der Blockchain erscheinen eine Eingabe von 5 BTC, eine Zahlung von 0,01 BTC und Wechselgeld von ~4,99 BTC (abzüglich der Gebühr).
Jeder Beobachter kann den gesamten Vorgang über einen Explorer sehen — eine "runde" Zahlung ist leicht von "fraktionalem" Wechselgeld zu unterscheiden. Die Bestimmung der Wechseladresse in der Blockchain-Forensik basiert auf diesem Merkmal.
Schritt 3. Überprüfen von Bestätigungen und dem Mempool
Eine gesendete Transaktion erreicht die Blockchain nicht sofort. Zuerst landet die Überweisung im Mempool — einer gemeinsamen Warteschlange von Operationen, die auf die Aufnahme in einen Block warten. In dieser Phase sind Verzögerungen möglich: Miner priorisieren normalerweise Operationen mit höheren Gebühren, sodass eine Überweisung mit zu niedrigen Gebühren lange in der Warteschlange bleiben kann.
Sobald die Operation einen Block erreicht, erhält sie ihre erste Bestätigung. Nachdem der Datensatz in einen Block aufgenommen wurde, erhält er seine erste Bestätigung. Mit jeder weiteren Bestätigung wächst das Maß an Zuverlässigkeit, und die Wahrscheinlichkeit einer Stornierung wird immer geringer. Für kleine Beträge sind ein oder zwei Bestätigungen normalerweise ausreichend, während es bei großen Zahlungen üblich ist, auf sechs zu warten.
Es ist praktisch, dies in Echtzeit über den Hash zu verfolgen: Der Explorer zeigt an, ob die Überweisung in der Warteschlange hängt, in welchem Block sie gelandet ist, wie viele Bestätigungen sie erhalten hat und welche Gebühr der Absender bezahlt hat. Wenn die Operation lange feststeckt, wird auf derselben Seite der Grund vorgeschlagen — am häufigsten eine zu niedrige Gebühr.
Schritt 4. Den Weg einer Münze nachverfolgen
Jede Eingabe einer neuen Operation bezieht sich auf einen spezifischen Ausgang einer der vorherigen — durch seinen Hash, und sie kann mehrere Eingaben und Ausgaben gleichzeitig haben. Daher bilden Übertragungen kein einzelnes Kettenmuster, sondern ein verzweigtes Netzwerk: Münzen darin konvergieren und divergieren zwischen Adressen.
Entlang dieses Netzwerks kann die Bewegung von Geldern in beide Richtungen verfolgt werden — vorwärts zu neuen Adressen und zurück, bis zur Coinbase-Transaktion, in der sie erstmals als Belohnung für einen geschürften Block erschienen.
In der Praxis folgt ein Analyst den Ausgangsadressen und schaut, wohin die Gelder als nächstes gingen. Dann wiederholen sie dasselbe mit den neuen Adressen — Schritt für Schritt, bis eine vollständige Kette zusammenkommt.
So entstehen charakteristische Routen auf der Blockchain: eine Übertragung zu einer Börse, die Aufspaltung einer großen Summe in Teile oder der Abzug von gestohlenen Geldern durch mehrere Zwischen-Wallets.
Beispiel: Im Jahr 2025 zeigte die Adresse eines frühen Investors nach 13 Jahren der Untätigkeit zum ersten Mal Aktivität und übertrug 909 BTC (etwa 85 Millionen Dollar) an eine neue Wallet. Diese Münzen wurden 2012–2013 empfangen, als der Preis von Bitcoin nicht über ein paar Dollar hinausging.
Eine solche Übertragung ist in jedem Explorer sichtbar: Es reicht aus, die Adresse zu öffnen, den Ausgangsketten zu folgen und zu sehen, wohin sich die Gelder als nächstes bewegten.
Teil 2. Analyse auf ein Förderband bringen
Manuelle Analyse ist gut, wenn es ein oder zwei Transaktionen gibt. Aber das Hauptbuch wird jede Sekunde aufgefüllt, und Tausende von Übertragungen können nicht mit dem Auge erfasst werden.
Hier kommt die Automatisierung zur Rettung: Programme fordern selbstständig Daten aus dem Netzwerk an, berechnen Kennzahlen und senden zur richtigen Zeit eine Benachrichtigung. Lassen Sie uns die drei Ebenen betrachten – Zugriff auf Daten, Analytik und Überwachung.
Schritt 5. Verbindung zu Daten über API
Die erste Ebene ist der programmgesteuerte Zugriff auf die Blockchain über die APIs von Knoten und Explorern. Dies ist eine Schnittstelle, über die ein Skript dieselben Informationen anfordert, die wir zuvor auf der Transferseite sehen konnten (aber ohne menschliches Eingreifen und in beliebigem Umfang).
Der Dienst mempool.space bietet zwei Optionen zur Auswahl. Die REST API antwortet auf einmalige Anfragen: Transaktionsstatus, Adressensaldo, Zustand des Mempools. Die WebSocket API hält eine ständige Verbindung und sendet selbstständig Updates – Sie können sich für eine Adresse anmelden und jedes Mal ein Signal erhalten, wenn ein neuer Transfer darüber läuft.
Für Massenprüfungen sind Blockchair und Bitquery geeignet: Sie geben Daten für viele Adressen auf einmal zurück und unterstützen Webhooks.
Schritt 6. Automatisierung der Analytik
Die zweite Ebene sind Plattformen, die es Ihnen ermöglichen, eine Abfrage einmal zu schreiben und ein fertiges Dashboard anstelle eines einmaligen Ergebnisses zu erhalten.
Auf Dune werden Blockchain-Daten in der SQL-Sprache abgefragt und in Diagrammen angezeigt; ein Bericht über Austauschflüsse, Wal-Aktivitäten oder Top-Inhaber aktualisiert sich selbst, ohne eine wiederholte Abfrage.
Flipside ist ähnlich aufgebaut – es hat auch ein kostenloses Python SDK, über das Daten direkt in benutzerdefinierte Skripte gezogen werden können.
Der entscheidende Unterschied zur manuellen Methode ist einfach: Die Abfrage wird einmal geschrieben, funktioniert aber ständig. Früher überprüfte ein Analyst das Diagramm täglich – jetzt gibt es Dashboards, die sich selbst aktualisieren.
Schritt 7. Einrichtung von Überwachung und Benachrichtigungen
Die dritte Ebene sind Benachrichtigungen anstelle des manuellen Aktualisierens der Seite. Eine Kombination aus "API plus Bot" überwacht die benötigten Adressen und sendet eine Benachrichtigung, sobald Gelder ankommen oder abgehen. So funktionieren sowohl öffentliche Warnungen über große Wal-Handelsgeschäfte als auch private Warnungen, zum Beispiel über den Abzug von Münzen aus einer bestimmten Wallet.
Ein grundlegendes Set kann sogar ohne Programmierung konfiguriert werden: Plattformen wie Arkham bieten fertige Warnungen über Überweisungen und Wal-Aktivitäten, die per E-Mail oder in der App kommen. Für diejenigen, die ihre eigene Ereignisbehandlungslogik benötigen, sind Webhooks geeignet – sie senden automatisch eine Benachrichtigung an den Server, wenn ein bestimmtes Ereignis eintritt.
Teil 3. Verfolgung und ihre Grenzen
Schritt 8. Wie Blockchain-Forensik funktioniert
Der Höhepunkt der Automatisierung ist die Verfolgung gestohlener Münzen und die Untersuchung von Transaktionen. Forensische Engines wiederholen die Logik der manuellen Analyse, wenden sie jedoch im Maßstab des gesamten Netzwerks an.
Im Herzen dieser Technologie liegt das Clustering von Adressen durch Heuristiken, das heißt, Annahmeregeln; zwei davon sind besonders wichtig:
- gemeinsame Eingabe:Wenn mehrere UTXOs in einer Transaktion ausgegeben werden, werden sie mit hoher Wahrscheinlichkeit von einem einzigen Eigentümer kontrolliert;
- Änderung der Adressbestimmung:Durch die Funktion aus Schritt 2 — eine Rundzahlung versus Bruchänderung — ermittelt die Engine, welche der Ausgaben an den Sender zurückgegeben werden.
Neben der Clusterbildung wird die Erkennung typischer Geldwäsche-Schemata hinzugefügt. Dies ist zum Beispiel das Aufteilen von Summen oder "Peeling" — wenn immer wieder kleine Portionen von einer großen Wallet abgezweigt werden.
Als nächstes kommt die Risikobewertung und Zuordnung: Cluster mit realen Börsen, Dienstleistungen oder Personen verknüpfen. Sowohl kommerzielle Plattformen (Chainalysis, TRM, Elliptic) als auch offene Engines (GraphSense, BlockSci) tun dies.
Schritt 9. Kann der Automatisierung vertraut werden
Die automatische Analyse hat eine grundlegende Einschränkung. Clustering gibt eine Wahrscheinlichkeit, kein Faktum. Heuristiken machen Fehler: Zum Beispiel kombiniert die CoinJoin-Technologie absichtlich die UTXOs verschiedener Benutzer in einer Transaktion, was dazu führt, dass die Common-Input-Regel fehlschlägt.
Das Risiko eines Datenlecks kann auch manuell reduziert werden. Die Coin-Control-Funktion in Wallets (zum Beispiel Sparrow oder Trezor Suite) ermöglicht es Ihnen, selbst zu wählen, welchen UTXO Sie ausgeben möchten: Wählen Sie eine Ausgabe, die dem Zahlungsbetrag entspricht, und mischen Sie keine Coins aus verschiedenen Quellen in einer Transaktion. Dies reduziert das Wechselgeld und verhindert, dass die Common-Input-Heuristik ausgelöst wird — die Hinweise, auf denen das Clustering basiert.
Bitcoin bietet keine Anonymität, sondern Pseudonymität — eine schwächere Eigenschaft, die durch anhaltende Analysen oft "durchbrochen" wird, aber nicht immer: Das Ergebnis bleibt eine Schätzung, wenn auch eine gut fundierte. Wie Chainalysis betont, liefern Attributionsheuristiken ein probabilistisches Ergebnis statt Gewissheit, sodass eine Risikobewertung nur eine Grundlage für die Entscheidung des Analysten ist, nicht ein Urteil.
Daraus ergibt sich eine praktische Schlussfolgerung. Es ist wichtig, die automatische Gruppierung von Adressen von menschlich verifiziertem Attribution zu unterscheiden: die erste ist eine Hypothese, die zweite ist eine Schlussfolgerung. Das Ergebnis einer Risikobewertung ist ein Grund, sich eine Adresse genauer anzusehen, nicht ein Urteil über ihren Besitzer.
***
Das offene Hauptbuch macht jede Bitcoin-Übertragung nachvollziehbar — alle On-Chain-Analysen basieren darauf. Für manuelle Arbeiten sind die Grundlagen ausreichend: zu wissen, was ein TXID ist, das UTXO-Modell und die Mechanik des Wechsels zu verstehen, Eingaben, Ausgaben und Bestätigungen in einem Explorer zu lesen. Das reicht aus, um Transaktionsketten zu durchlaufen und zu sehen, wo die Gelder hinbewegten.
Automatisierung in Form von APIs, SQL-Dashboards und Bots beseitigt nicht die Notwendigkeit für diese Grundlagen — sie skaliert einfach die Arbeit: was ein Analyst von Hand mit einer Transaktion macht, wiederholen die Werkzeuge für das gesamte Netzwerk.
An der Spitze steht die Forensik mit Clustering und Risikobewertung. Sie basiert jedoch auf probabilistischen Heuristiken und liefert daher Hypothesen statt Beweise.
Es ist logisch, das Thema von unten nach oben zu beherrschen: zuerst den Explorer, dann APIs und Dashboards, und erst dann spezialisierte On-Chain-Analysetools. Gleichzeitig gilt: Je tiefer die Nachverfolgung, desto wichtiger ist es, das Wahrscheinliche vom Bewiesenen zu unterscheiden.
Quelle: ForkLog
