Gegengutachten Krypto-Bericht: ein Fall aus der Praxis

Eine häufige Situation: worum geht es bei einem Gegengutachten zu einem Krypto-Bericht?

Der ursprüngliche Bericht kam zu dem Schluss, dass eine Partei Verfügungsgewalt über ein Cluster von gut sechzig Adressen mit einem erheblichen Bestand hatte, und rechnete diesen gesamten Bestand dieser Partei zu. Der Aufbau des Berichts war gepflegt: eine sauber gestaltete Übersicht, eine grafische Darstellung der Geldströme und eine Schlussfolgerung in zwei Sätzen. Was fehlte, war die Begründung des Schritts, auf dem alles ruhte.

Dieser Schritt war die Clusterbildung. Adressen wurden einander und der Partei zugeordnet auf Grundlage von zwei Dingen: dem Umstand, dass sie gemeinsam als Eingabe in Transaktionen genutzt worden waren, und einem Kennzeichen aus einem kommerziellen Datensatz, das das Cluster einem bestimmten Dienst zuschrieb. Beides sind brauchbare Hinweise. Keines von beiden ist eine Feststellung.

Das ursprüngliche Stück war ein Gutachten einer anderen Stelle, erstellt im Auftrag der Gegenseite.

Was ist ein falsch zugeordnetes Cluster genau?

Ein falsch zugeordnetes Cluster ist eine Gruppe von Adressen, die als Eigentum einer Partei dargestellt wird, während die Verknüpfung auf einer Annahme beruht, die nicht zutrifft. Clusterbildung arbeitet mit Faustregeln, deren bekannteste lautet, dass Adressen, die gemeinsam als Eingabe in einer Transaktion erscheinen, meist von derselben Partei verwaltet werden. Diese Faustregel stimmt oft und nicht immer.

Es gibt zwei Situationen, in denen die Faustregel bricht. Die erste ist eine verwahrende Stelle, die Guthaben vieler Kundschaft in einer einzigen Transaktion zusammenführt; dann erscheinen Adressen verschiedener Menschen nebeneinander als Eingabe. Die zweite ist eine Transaktionsform, bei der mehrere Beteiligte bewusst gemeinsam eine Transaktion aufbauen. In beiden Fällen legt die Blockchain-Analyse einen Zusammenhang nahe, den es nicht gibt.

Wie verlief die Prüfung?

Die Prüfung verlief in sechs Schritten, wobei jede Schlussfolgerung aus dem ursprünglichen Bericht auf die zugrunde liegende Angabe zurückgeführt wurde, auf der sie ruhen müsste. Was sich nicht zurückführen ließ, wurde als solches festgehalten.

1. Die Schlussfolgerungen aus dem Bericht als einzelne, prüfbare Behauptungen aufschreiben.
2. Je Behauptung nachschlagen, auf welcher Angabe im Bericht sie beruht.
3. Jede genannte Adresse und jeden Transaktions-Hash eigenständig auf der Kette kontrollieren.
4. Die Clusterlogik rekonstruieren: warum gehören diese Adressen laut dem Bericht zusammen.
5. Prüfen, ob es alternative Erklärungen gibt, die dieselben Angaben erklären.
6. Festhalten, welche Schlussfolgerungen bestehen bleiben, welche abgeschwächt werden und welche entfallen.

Paucitas verwendet keine automatisierte Analysesoftware, in keiner Rolle. Jede Transaktion und jeder Transaktions-Hash wird einzeln geprüft, bevor sie in einen Bericht aufgenommen wird.

Bei einem Gegengutachten ist das keine Stilfrage, sondern eine Notwendigkeit, weil Sie ein Ergebnis nicht mit derselben Art von Automatismus prüfen können, die dieses Ergebnis hervorgebracht hat.

Was kam bei Schritt 3 und 4 zutage?

Bei der Kontrolle der einzelnen Transaktionen zeigte sich, dass zwei der Transaktionen, die das Cluster zusammenhielten, keine Transaktionen der Partei waren, sondern Zusammenführungen durch eine verwahrende Stelle. Nehmen Sie diese zwei Transaktionen aus der Argumentation, dann zerfällt das Cluster in drei einzelne Gruppen, von denen nur eine der Partei zuzuschreiben war.

Zudem stammte das Kennzeichen aus dem kommerziellen Datensatz aus einer Zeit, bevor der betreffende Dienst den Eigentümer gewechselt hatte. Das Kennzeichen beschrieb also eine Lage, die zum Zeitpunkt der beanstandeten Transaktionen nicht mehr bestand. Im ursprünglichen Bericht stand dieses Kennzeichen als Tatsache, ohne Datum und ohne Quellenangabe.

Was kam bei Schritt 5 zutage?

Bei der Suche nach alternativen Erklärungen zeigte sich ein Szenario, das dieselben Transaktionsangaben ebenso gut erklärte und in dem die Partei nur über einen Bruchteil des Bestands Verfügungsgewalt hatte. Dieses alternative Szenario war im ursprünglichen Bericht weder genannt noch widerlegt.

Das ist der Punkt, an dem ein Gegengutachten inhaltlich den Unterschied macht. Nicht indem behauptet wird, das Gegenteil sei wahr, sondern indem gezeigt wird, dass die Angaben mehr als ein Ergebnis zulassen und dass der Bericht dieses andere Ergebnis nicht ausgeschlossen hat. Wir beschreiben ehrlich, bis wohin der Weg nachvollziehbar ist und wo die Unsicherheit beginnt.

Was legte die Prüfung offen?

Die Wirkung war, dass das der Partei zugerechnete Vermögen erheblich niedriger ausfiel und dass die Schlussfolgerung des ursprünglichen Berichts nicht länger von der eigenen Begründung getragen wurde. Damit verschob sich die Diskussion von der Höhe eines Betrags zu der Frage, ob der Betrag überhaupt festgestellt worden war.

Wichtig zu verstehen: Es wurde nichts darüber nachgewiesen, was die Partei sehr wohl besaß. Ein Gegengutachten, das die Begründung eines Berichts widerlegt, beweist nicht das Gegenteil. Es zeigt, dass eine Schlussfolgerung nicht getragen ist, und das ist rechtlich etwas anderes als der Beweis von Unschuld oder von Abwesenheit.

Was diese Lage zeigt, ist, was ein Gegengutachten offenlegt: dass die Schlussfolgerungen des ursprünglichen Berichts von den zugrunde liegenden Angaben nicht getragen wurden.

Warum geht es bei der Clusterzuordnung so oft schief?

Es geht schief, weil eine Clusterbildung ein Wahrscheinlichkeitsurteil ist, das in Berichten oft als Feststellung aufgeschrieben wird. Ein Cluster ist das Ergebnis von Faustregeln plus Kennzeichen, und Kennzeichen veralten: Ein Dienst wechselt den Eigentümer, eine Adresse wird erneut genutzt, ein Anbieter ändert seine Infrastruktur. Wer dieses Kennzeichen ohne Datum übernimmt, übernimmt eine Momentaufnahme als ewige Wahrheit.

Hinzu kommt, dass die Darstellung meist überzeugender ist als der Inhalt. Eine Grafik mit Pfeilen zwischen Kreisen liest sich wie ein Beweis, während jeder Pfeil eine Annahme enthalten kann. Bei der Beurteilung von Beweiskraft ist die Frage nicht, wie überzeugend das Bild ist, sondern ob sich jede Linie darin auf einen Transaktions-Hash zurückführen lässt.

Welche Anforderungen muss ein Bericht erfüllen, um prüfbar zu sein?

Ein prüfbarer Bericht enthält je Schlussfolgerung die Angaben, auf denen diese Schlussfolgerung ruht, einschließlich Adressen, Transaktions-Hashes und Zeitpunkten, und benennt ausdrücklich die Annahmen und deren Tragfähigkeit. Ohne diese drei ist ein Bericht nicht zu kontrollieren und damit nicht zu widerlegen, was ihn paradoxerweise gerade in einem Verfahren schwach macht.

Konkret achtet eine Prüfung darauf: Stehen alle Hashes darin, ist bei jedem Kennzeichen die Quelle und das Datum vermerkt, ist die Clusterlogik beschrieben statt vorausgesetzt, sind alternative Szenarien genannt und widerlegt, und ist eine Erklärung der Unabhängigkeit enthalten. Siehe auch, welche Anforderungen ein Blockchain-Bericht erfüllen muss, um Bestand zu haben.

Was kann ein Gegengutachten nicht?

Ein Gegengutachten prüft eine Begründung und liefert keine entgegengesetzte Sicherheit. Die folgenden Grenzen gelten ohne Ausnahme:

• Paucitas macht keine Zusage zum Ergebnis einer Untersuchung.
• Ein Bericht von Paucitas beschränkt sich auf sachliche Feststellungen und deren Auswertung.
• Paucitas stellt nicht eigenständig fest, wer sich hinter einer Krypto-Adresse verbirgt. Festgehalten wird aber, an welchen Dienstleister oder welche Stelle Guthaben gegangen sind.
• Transaktionen außerhalb der Blockchain, etwa interne Buchungen innerhalb einer Börse, sind in Blockchain-Angaben nicht sichtbar und werden nur berücksichtigt, wenn zugrunde liegende Unterlagen vorhanden sind.
• Paucitas erteilt keine steuerliche oder rechtliche Beratung und tritt nicht als Interessenvertretung einer der Parteien auf.

Der letzte Punkt ist bei einem Gegengutachten der heikelste. Eine Prüfung, die geschrieben wurde, um eine Partei zu bedienen, ist in einem Verfahren wertlos, wie gut sie auch begründet sein mag. Unabhängigkeit ist hier keine Haltung, sondern eine Voraussetzung für Brauchbarkeit.

Was können Sie selbst tun und wann genügt das nicht?

Selbermachen beginnt damit, die Schlussfolgerungen aus dem Bericht als einzelne Behauptungen aufzuschreiben und je Behauptung zu benennen, worauf sie beruht. Fehlt bei einer Behauptung eine Adresse, ein Hash oder eine Quelle, dann haben Sie ohne Fachwissen bereits eine Lücke gefunden. Das ist brauchbares Material für Ihre Anwaltskanzlei. Zweifeln Sie, ob eine solche Lücke schwer genug wiegt, dann legen Sie sie vor, bevor Sie darauf prozessieren.

Selbermachen genügt nicht mehr, sobald die Diskussion um die Clusterlogik geht. Die Frage, ob zwei Adressen zusammengehören, lässt sich nicht mit gesundem Menschenverstand beantworten und verlangt eine Kontrolle der zugrunde liegenden Transaktionen. Zudem hat eine Prüfung durch oder im Namen einer Partei in einem Verfahren ein anderes Gewicht als eine Prüfung durch eine dritte Stelle ohne Interesse.

Was steht in einem Gegengutachten?

Der Bericht folgt der festen Gliederung: Anlass und Auftragsbeschreibung, Fragestellung, Reichweite, Ausgangspunkte, bereitgestellte Angaben, herangezogene Quellen, Arbeitsweise in Grundzügen, Prüfung und Qualitätssicherung, Vorbehalte und Einschränkungen, Feststellungen je Teil, zeitliche Übersicht, Auswertung und Zusammenhang, Schlussfolgerung, Erklärung der Unabhängigkeit und Anlagen. Nicht jeder Bericht enthält alle Teile, und die Gliederung wird auf das Ziel des Berichts abgestimmt.

Bei einem Gegengutachten ist das Kapitel mit den Feststellungen je Teil das schwerste, weil dort je Schlussfolgerung aus dem ursprünglichen Bericht steht, ob sie bestehen bleibt, abgeschwächt wird oder entfällt. Wann eine Prüfung in einem Streit ins Gewicht fällt und wann nicht, behandelt Gegengutachten im Krypto-Streitfall; dieser Beitrag handelt vom inhaltlichen Fehler selbst.

Wer beurteilt es letztlich und wo beginnt die Arbeit von Paucitas?

Das Gericht beurteilt den Beweiswert beider Berichte und kann selbst eine sachverständige Person bestellen; diese Gewichtung liegt ausschließlich beim Gericht. Polizei und Staatsanwaltschaft beurteilen strafrechtliche Aspekte und können Angaben anfordern, die einer privaten Stelle nicht zugänglich sind. Ihre Anwaltskanzlei bestimmt die Verfahrensstrategie.

Dort beginnt unsere Arbeit: festzustellen, was sachlich aus den Blockchain-Angaben folgt, damit diese Beteiligten auf einer prüfbaren Grundlage urteilen können. Siehe auch die Rolle eines unabhängigen Sachverständigen in Verfahren.

Wie lange dauert eine Prüfung und was kostet sie?

Eine Untersuchung von Paucitas dauert je nach Umfang der Akte und Dringlichkeit zwischen einem Arbeitstag und zwei Wochen. Ein Eilbericht kann innerhalb eines Arbeitstages vorliegen und in Ausnahmefällen noch am selben Tag. Eine reguläre Untersuchung ist meist innerhalb von drei Arbeitstagen fertig. Bei Akten mit vielen Transaktionen, mehreren Wallets oder fehlender Historie steigt die Dauer auf etwa zwei Wochen. Für Eilaufträge gilt ein Zuschlag.

Paucitas arbeitet je nach Art und Umfang des Falls mit einem Festpreis oder einem Stundensatz. Welche Form gilt, wird vorab bestimmt und schriftlich bestätigt. Eine Untersuchung beginnt erst, wenn die Kosten besprochen und bestätigt sind.

Liegt in Ihrem Fall ein Krypto-Bericht vor, dessen Begründung Sie nicht nachrechnen können, dann schauen wir in einem kostenlosen Erstgespräch unverbindlich mit, ob etwas Prüfbares darin steckt.