Cluster-Analyse
Verfahren der Blockchain-Forensik. Einzelne Adressen werden anhand von Transaktionsmustern und technischen Merkmalen einem gemeinsamen Inhaber zugeordnet. Aus Millionen Einzeladressen entstehen so handhabbare Einheiten wie Börsen, Dienste oder Täter-Wallets.
Abgrenzung
Die Cluster-Analyse ordnet Adressen zu Inhabern. Sie sagt nicht, wer der Inhaber ist; das ist die Attribution, die Wissen von außen braucht, etwa aus OSINT, aus Auskünften von Börsen oder aus Beschlagnahmen. Die Grundlage ist eine Heuristik: Wenn mehrere Adressen gemeinsam als Eingänge einer Transaktion dienen, kontrolliert sie mit hoher Wahrscheinlichkeit dieselbe Person, weil sie alle Schlüssel gebraucht hat. Diese Regel wurde 2013 in der Forschung beschrieben und ist bis heute das Fundament kommerzieller Analysewerkzeuge. Sie gilt für Blockchains mit Bitcoin-ähnlichem Aufbau; bei kontobasierten Systemen wie Ethereum greifen andere Verfahren.
Grenzen und Beweiswert
Die Heuristik kann irren: Coinjoin-Transaktionen führen absichtlich Eingänge verschiedener Personen zusammen, und ein Fehler in einem Cluster überträgt sich auf alle Adressen darin. Vor Gericht ist ein Cluster deshalb ein Indiz, kein Beweis. Belastbar wird er durch Bestätigung von außen: eine Börsenauskunft, die eine Adresse einer Person zuordnet, eine beschlagnahmte Wallet, ein Geständnis. Wer ein Cluster als Beweismittel einführt, muss die verwendeten Heuristiken benennen können, was bei kommerziellen Werkzeugen nicht immer möglich ist. Das berührt die Chain of Custody.
Quellen
Meiklejohn u. a., A Fistful of Bitcoins: Characterizing Payments Among Men with No Names (2013), Grundlagenarbeit zur Common-Input-Heuristik. Europol, IOCTA 2026, Abschnitt zu Kryptowert-Ermittlungen. FATF, Updated Guidance 2021, Abschnitt zu Blockchain-Analyse.
Im Nachschlagewerk
Eintrag IV.22 des Werks beschreibt die gängigen Heuristiken, ihre Fehlerquellen, die Anforderungen an die Dokumentation für ein Verfahren und die Frage, wie sich Ergebnisse verschiedener Werkzeuge gegeneinander prüfen lassen. Die Quellenzeile nennt Fundstelle, Fassung und Datum.
→ Vertiefung: Chain Trace Academy: ErmittlungstrainingFragen zu diesem Begriff
Was ist eine Cluster-Analyse?
Verfahren der Blockchain-Forensik. Einzelne Adressen werden anhand von Transaktionsmustern und technischen Merkmalen einem gemeinsamen Inhaber zugeordnet. Aus Millionen Einzeladressen entstehen so handhabbare Einheiten wie Börsen, Dienste oder Täter-Wallets.
Wovon ist die Cluster-Analyse abzugrenzen?
Die Cluster-Analyse ordnet Adressen zu Inhabern. Sie sagt nicht, wer der Inhaber ist; das ist die Attribution, die Wissen von außen braucht, etwa aus OSINT, aus Auskünften von Börsen oder aus Beschlagnahmen. Die Grundlage ist eine Heuristik: Wenn mehrere Adressen gemeinsam als Eingänge einer Transaktion dienen, kontrolliert sie mit hoher Wahrscheinlichkeit dieselbe Person, weil sie alle Schlüssel gebraucht hat. Diese Regel wurde 2013 in der Forschung beschrieben und ist bis heute das Fundament kommerzieller Analysewerkzeuge.
Wo liegen Grenzen und Beweiswert der Cluster-Analyse?
Die Heuristik kann irren: Coinjoin-Transaktionen führen absichtlich Eingänge verschiedener Personen zusammen, und ein Fehler in einem Cluster überträgt sich auf alle Adressen darin. Vor Gericht ist ein Cluster deshalb ein Indiz, kein Beweis. Belastbar wird er durch Bestätigung von außen: eine Börsenauskunft, die eine Adresse einer Person zuordnet, eine beschlagnahmte Wallet, ein Geständnis. Wer ein Cluster als Beweismittel einführt, muss die verwendeten Heuristiken benennen können, was bei kommerziellen Werkzeugen nicht immer möglich ist. Das berührt die Chain of Custody.
Kremp, Tobias: Cluster-Analyse. In: Glossar der digitalen Finanzkriminalität, digitale-enteignung.de, Stand September 2026. https://digitale-enteignung.de/glossar/cluster-analyse