Wallet-Screening ist die Prüfung einer Krypto-Wallet-Adresse auf Risikosignale in einem Betrugsfall. Für Fraud-Analysten bei Banken, Fintechs und Krypto-Börsen ist es nützlich, wenn es zusammen mit Zahlungs- und Kommunikationskontext gelesen wird, nicht isoliert für sich. Dieser Leitfaden konzentriert sich auf genau diese Aufgabe. Für den weiter gefassten Ablauf siehe Erkennung von Zahlungsbetrug, Fall-Monitoring, Prüfungen von Bankkonten, Geschenkkarten-Zahlungsketten und Prüfung von Betrüger-E-Mail-Adressen. Sie können sich auch die Active Defense-Startseite, wöchentlichen Scam-Briefings und monatlichen Scam-Datenberichte ansehen.
Was Wallet-Screening in Betrugsfällen bedeutet
Wallet-Screening in Betrugsfällen bedeutet, eine Krypto-Wallet-Adresse auf Risikosignale zu prüfen, die einem Analysten helfen, über die nächsten Schritte in einem Fall zu entscheiden. Einfach gesagt ist es eine Methode, aus einer Wallet-Adresse einen Ermittlungsinput zu machen, der Triage, Eskalation, Monitoring oder eine vertiefte Prüfung unterstützen kann.
Im Arbeitsalltag umfasst das in der Regel einige praktische Prüfungen:
- ob das Adressformat zur jeweiligen Chain passt
- ob die Wallet in früheren internen oder externen Daten aufgetaucht ist
- ob sie im selben Fall zusammen mit anderen verdächtigen Indikatoren erscheint
Das ist wichtig, weil eine Wallet selten isoliert auftaucht. Sie kann in einer Kundenmeldung, einer verdächtigen E-Mail oder einem laufenden Scam-Chat erscheinen, und das Team, das den Fall bearbeitet, muss sie oft schnell einschätzen.
Gleichzeitig sollte Wallet-Screening nicht mit einem Beweis verwechselt werden. Es beweist für sich genommen weder, wer eine Wallet kontrolliert, noch eine kriminelle Absicht, noch dass jeder Geldfluss über diese Adresse betrügerisch ist.
Der operative Nutzen hängt vom Zeitpunkt ab. Vor einer Zahlung kann Screening helfen, eine Intervention zu stützen. Nach einer Zahlung kann es beim Verknüpfen von Fällen, beim Monitoring und bei der Gewinnung von Intelligence helfen.
Das ist für verschiedene Institutionen wertvoll:
- Banken können Fiat-Off-Ramp-Verhalten sehen
- Fintechs können Kontofinanzierungen oder Überweisungen sehen
- Börsen können Einzahlungen oder Auszahlungsziele sehen
In Scam-Operationen funktioniert eine pragmatische Definition am besten: Wallet-Screening hilft dabei, eine Adresse in ein bewertetes Ermittlungssignal umzuwandeln. Es unterstützt Entscheidungen, ist aber nicht das endgültige Urteil über den Fall.
Was Wallet-Screening Ihnen sagen kann – und was nicht
Wallet-Screening kann einem Analysten sagen, ob eine Krypto-Adresse in einem Betrugsfall ein Tätigwerden rechtfertigt. Zuerst kann es eine enge Frage beantworten: Passt die Zeichenfolge zu einer unterstützten Chain wie BTC, ETH, TRON oder SOL? Von dort aus kann es zeigen, ob die Adresse zusammen mit anderen Scam-Signalen im selben Fall auftaucht und ob sie sich über getrennte Fälle hinweg wiederholt.
Das macht Wallet-Screening nützlich für Ermessensentscheidungen wie:
- ob die Adresse die Priorität erhöhen sollte
- ob zwei Meldungen zusammengehören könnten
- ob der Fall auf weitere zusammenhängende Aktivitäten hin überwacht werden sollte
Was es nicht leisten kann: den Fall allein zu entscheiden.
Eine gescreente Wallet beweist nicht, wer die Adresse kontrolliert. Sie beweist keine Absicht. Sie erklärt nicht die vollständige Rolle jeder Adresse in einem Zahlungsweg. Sie bedeutet auch nicht, dass eine Wallet mit wenig oder ohne Historie risikoarm ist. In der Scam-Arbeit tauchen manche Adressen nur kurz auf und verschwinden dann wieder.
Die wichtigste Grenze ist der Kontext. Eine Adresse bedeutet mehr, wenn Sie wissen, wie sie erlangt wurde, in welcher Nachricht sie übermittelt wurde und was sonst noch mit ihr einging. Eine Wallet, die zusammen mit Bankdaten, einer Telefonnummer, einem Messenger-Konto oder einem Payment-Handle gesendet wurde, ist nützlicher als dieselbe Wallet, die ohne jeden umgebenden Kontext in einen Fall kopiert wurde.
Aus diesem Grund behandelt Active Defense Wallets als bewertete Indikatoren, nicht als abschließende Schlussfolgerungen. Das Produkt extrahiert Krypto-Wallets aus Betrügernachrichten in laufenden Telegram- und E-Mail-Chats und bewertet jede einzelne. Diese Wallet-Signale werden noch nützlicher, wenn Analysten sie zusammen mit den übrigen Indikatoren aus derselben Konversation prüfen.
Wie Analysten Wallet-Screening in realen Scam-Workflows einsetzen
Ein typischer Workflow beginnt beim Eingang eines Falls. Ein verdächtiger Chat, eine E-Mail oder eine Kundenmeldung enthält eine Wallet-Adresse, und der Analyst prüft sie als eines der ersten Fallsignale. Das Ziel in dieser Phase ist nicht, zu einer endgültigen Schlussfolgerung zu kommen. Es geht darum zu entscheiden, was als Nächstes geschehen soll.
Dieses frühe Screening hilft bei der Triage. Eine gescreente Wallet kann eine schnelle Eskalation stützen, darauf hindeuten, dass der Fall zu einem bestehenden Cluster gehört, oder anzeigen, dass das Team auf weitere eingehende Informationen warten sollte, bevor es einen größeren Schritt geht.
Der Workflow wird nützlicher, wenn die Wallet mit anderen Indikatoren aus demselben Fall und aus anderen Fällen verglichen wird. Wenn dieselbe Wallet zusammen mit derselben Telefonnummer, demselben Telegram-Konto, derselben Bankverbindung oder demselben wiederverwendeten Foto in mehreren Chats auftaucht, können Analysten diese Chats einem Akteur zuordnen, statt sie als getrennte Meldungen zu behandeln.
Hier verändert Live-Erfassung das Arbeitstempo. Active Defense extrahiert Krypto-Wallets aus dem, was Betrüger in laufenden Telegram- und E-Mail-Konversationen senden, und bewertet jede Wallet zusammen mit den übrigen Indikatoren, die im Chat übergeben werden. Das Produkt extrahiert Wallets für BTC, ETH, TRON und SOL aus Betrügernachrichten.
Der Zeitpunkt ist wichtig, weil aktuelle Indikatoren operativ etwas anderes sind als späte Indikatoren. Wenn eine Wallet und zugehörige Signale erfasst werden, während der Betrüger noch im Gespräch ist, können Fraud-Teams mit aktueller Intelligence arbeiten, statt auf eine spätere Opfermeldung zu warten.
Jeder Kunde erhält einen eigenen Feed mit STIX-2.1-Export, was Teams dabei hilft, walletbezogene Intelligence in ihre eigenen Tools und Fall-Workflows zu übernehmen.
Woher Wallet-Daten in Betrugsermittlungen kommen
Wallet-Daten in Betrugsermittlungen können aus vielen Quellen stammen. Teams können eine Wallet-Adresse über eine Kundenbeschwerde, einen Screenshot, eine E-Mail, einen Chat-Export, eine Zahlungsanweisung oder eine laufende Konversation mit einem Betrüger erhalten.
Die Quelle ist wichtig, weil passive Meldung und aktive Erfassung unterschiedliche Arten von Falldaten erzeugen. Wenn eine Organisation nur darauf angewiesen ist, dass Opfer melden, was ihnen geschickt wurde, erscheinen manche Indikatoren möglicherweise spät, kommen ohne vollständigen Kontext an oder werden gar nicht gemeldet.
Eine aktive Quelle funktioniert anders. Active Defense betreibt KI-gestützte Decoy-Personas, die Betrüger auf Telegram und per E-Mail im Gespräch halten, und verwandelt das, was Betrüger übergeben, in einen Threat-Intelligence-Feed. Dieser Feed umfasst:
- Krypto-Wallets
- Bankdaten
- Telefonnummern
- Messenger-Konten
- Links
- Geschenkkarten
- Payment-Handles
- Datei-Hashes
- Foto-Hashes
Jedem Indikator wird ein Konfidenzwert zugewiesen.
Auch die Aufbewahrung beeinflusst den Ermittlungswert. Jede Nachricht wird im Moment ihres Eingangs gespeichert, sodass eine spätere Aktion "für alle löschen" durch einen Betrüger die für die Analyse verfügbare Kopie nicht entfernt. Für Teams, die prüfen, wie laufende Scam-Konversationen gehandhabt werden, gilt: Antworten werden standardmäßig von KI entworfen und vor dem Versand von einem menschlichen Operator freigegeben.
Konsole und API laufen auf Azure in Deutschland. Leser, die laufende Muster verfolgen möchten, können sich auch die wöchentlichen Scam-Briefings auf Basis laufender Konversationen ansehen.
Wie gutes Wallet-Screening in der Praxis aussieht
Gutes Wallet-Screening erzeugt einen Falldatensatz, den ein anderer Analyst später prüfen kann, ohne raten zu müssen, was passiert ist. Die Wallet sollte zusammen mit der Ursprungsnachricht, dem Eingangszeitpunkt, der Chain, dem Konfidenzwert und den angrenzenden Details erfasst werden, die ihr Bedeutung geben.
In der Praxis bedeutet das, die Wallet an die Konversation zu binden, aus der sie stammt, statt sie in eine separate Notiz zu kopieren, aus der der Kontext entfernt wurde. Für ein Fraud-Team lautet die nützliche Frage nicht nur "Ist das eine Wallet?", sondern auch "Was kam zusammen mit ihr an, und können wir das bis zur ursprünglichen Nachricht zurückverfolgen?"
Ein solider Prozess umfasst in der Regel:
- die ursprüngliche Nachricht beim Eingang zu speichern
- Anhänge und Medien zusammen mit ihren Hashes aufzubewahren
- die Wallet als Indikator zu bewerten, statt sie als Schlussfolgerung zu behandeln
- eine rekonstruierbare Historie für spätere Prüfungen zu erhalten
- zu zeigen, ob derselbe Akteur auch andere Zahlungs- oder Kontaktdaten wiederverwendet hat
Dieser Datensatz ist wichtig, wenn ein Betrüger die Geschichte später verändert. Active Defense speichert jede Nachricht im Moment ihres Eingangs, sodass ein späteres "für alle löschen" die für die Analyse genutzte Kopie nicht entfernt. Außerdem speichert das Produkt Fotos, Sprachnachrichten und Dateien, was Analysten hilft, die Wallet zusammen mit dem übrigen Material zu prüfen, das der Betrüger gesendet hat.
Wie Sie beginnen, ohne zu groß zu bauen
Setzen Sie für Wallet-Screening zunächst einen engen Umfang. Wählen Sie zwei oder drei Entscheidungen aus, die es in den nächsten 90 Tagen unterstützen soll, etwa Fall-Zuweisung, Analysten-Übergabe oder Intelligence-Export. Messen Sie dann, ob gescreente Wallet-Daten in einer Form ankommen, die Ihr Team ohne zusätzliche Bereinigung nutzen kann.
Ein einfaches Einstiegspaket reicht in der Regel aus:
- Wallet-Extraktion für BTC, ETH, TRON und SOL
- Konfidenzbewertung für jede Wallet
- Export in Ihren bestehenden Ermittlungs-Workflow
Active Defense bietet ein kostenloses Feed-Muster für qualifizierte Leads und einen 90-Tage-Pilot für bis zu 500 Konversationen für 1.900 EUR netto, der anschließend auf das Abonnement angerechnet wird.
Fragen, die Fraud-Teams zum Wallet-Screening stellen
Was muss ein Wallet-Screening-Ergebnis enthalten, damit es nützlich ist?
Ein nützliches Wallet-Screening-Ergebnis sollte später von einem anderen Analysten überprüfbar sein, ohne raten zu müssen. Das bedeutet, die Adresse zusammen mit der exakten Nachricht, aus der sie stammt, dem Eingangszeitpunkt, der Chain und dem Score zu speichern.
Für Scam-Arbeit ist eine Wallet nützlicher, wenn der Datensatz auch die benachbarten Zahlungs- oder Kontaktdaten zeigt, die zusammen mit ihr eingingen.
Welche Wallet-Formate sind in Betrugsermittlungen am wichtigsten?
Der praktische Einstiegspunkt ist eine Abdeckung der Chains, die Teams häufig in Scam-Zahlungsanweisungen sehen. Active Defense extrahiert Krypto-Wallets aus Betrügernachrichten für:
- BTC
- ETH
- TRON
- SOL
So bleibt der Screening-Schritt auf Adressen fokussiert, die sich schnell in Fallsignale umwandeln lassen.
Warum ist die Aufbewahrung von Nachrichten für Wallet-Screening wichtig?
Wallet-Screening verliert an Wert, wenn die Ursprungsnachricht verschwindet. In Scam-Chats kann ein Absender Nachrichten später für alle entfernen. Wenn die Nachricht im Moment ihres Eingangs gespeichert wurde, sind die Wallet und ihr Kontext weiterhin zur Prüfung verfügbar.
Das ist wichtig, wenn Analysten rekonstruieren müssen, was gesendet wurde, Fälle vergleichen oder Intelligence aus der gespeicherten Historie exportieren wollen.
Wie sollten Teams mit Wallet-Treffern mit niedriger Konfidenz umgehen?
Treffer mit niedriger Konfidenz sollten sichtbar bleiben, aber sie sollten nicht genauso behandelt werden wie stärkere Treffer. Ein praktikabler Ansatz ist:
- die ursprüngliche Nachricht aufzubewahren
- den Score zusammen mit der Wallet zu speichern
- sie neben den anderen Indikatoren im selben Chat zu prüfen
- die Fallpriorität nur dann anzupassen, wenn der breitere Kontext dies stützt
So vermeiden Teams, aus einem schwachen Signal eine Schlussfolgerung zu machen.
Was ändert sich, wenn Wallet-Daten aus laufenden Scam-Chats stammen?
Die Erfassung laufender Chats liefert Fraud-Teams aktuelle Wallet-Daten aus Betrügerkonversationen auf Telegram und per E-Mail. Active Defense verwandelt das, was Betrüger übergeben, in einen Threat-Intelligence-Feed und gibt jedem Kunden einen eigenen Feed mit STIX-2.1-Export.
Standardmäßig werden Antworten von KI entworfen und vor dem Versand von einem menschlichen Operator freigegeben.
Wallet-Screening funktioniert am besten als Teil eines breiteren Scam-Signal-Sets
Eine Wallet-Adresse wird nützlicher, wenn der Falldatensatz zeigt, wie sie in das breitere Setup eines Betrügers passt.
Analysten können sie mit folgenden Punkten gewichten:
- Bankdaten
- Telefonnummern
- Messenger-Konten
- Links
- Geschenkkarten
- Payment-Handles
- Datei- und Foto-Hashes
Active Defense bewertet jeden Indikator und verknüpft Chats, die einen Indikator, ein wiederverwendetes Foto oder ein weitergeleitetes Konto teilen, zu einem Akteur.