Airdrop-Betrug: Wenn der Gratis-Token Ihre Wallet leert

Beim Airdrop Betrug Krypto geben Angreifer vor, kostenlose Token zu verschenken – tatsächlich erbeuten sie per Drainer-Contract den gesamten Wallet-Inhalt in Sekunden.

Kostenlose Token klingen verlockend. Beim sogenannten Airdrop Betrug Krypto versprechen Betrüger, bekannte Blockchain-Projekte wie Uniswap, Arbitrum oder Solana verschenkten neue Token an bestehende Wallet-Inhaber. Wer auf den angeblichen "Claim"-Link klickt, landet auf einer täuschend echt gestalteten Website – und gibt dort unbewusst einer schädlichen Smart-Contract-Funktion Zugriff auf sein gesamtes Guthaben.

Tückisch an dieser Masche ist, dass der Verlust oft in Sekunden eintritt, nachdem die Transaktion bestätigt wurde. Der Wallet-Inhaber hat selbst unterschrieben – scheinbar freiwillig. Das macht die rechtliche Aufarbeitung schwieriger als bei klassischem Bankphishing, ist aber keineswegs aussichtslos.

Dieser Beitrag erklärt, wie Airdrop-Betrug technisch funktioniert, welche Straftatbestände nach deutschem Recht greifen und welche zivilrechtlichen Ansprüche nach §§ 195, 199 BGB noch verfolgt werden können.

Was ist Airdrop Betrug Krypto? Definition und rechtliche Einordnung

Ein legitimer Airdrop ist eine Marketingmaßnahme von Krypto-Projekten: Token werden an bestehende Wallet-Adressen verteilt, ohne dass der Empfänger aktiv handeln muss. Beim betrügerischen Pendant wird stattdessen eine Claim-Seite präsentiert, auf der Nutzer ihre Wallet verbinden und eine Transaktion signieren sollen.

Mit dieser Signatur erteilen sie dem hinterlegten Smart Contract eine Vollmacht – vergleichbar mit einem unterschriebenen Blanko-Scheck. Der sogenannte Wallet-Drainer nutzt diese Erlaubnis, um alle Token und Coins in Millisekunden auf eine Adresse der Täter zu übertragen. Auf der Blockchain ist die Transaktion anschließend unveränderlich gespeichert.

Strafrechtlich erfüllt dies in erster Linie den Tatbestand des § 263 StGB (Betrug), da das Opfer durch Täuschung zu einer eigenen Vermögensverfügung verleitet wird; ergänzend kann § 263a StGB (Computerbetrug) in Betracht kommen, soweit der Drainer-Contract einen Datenverarbeitungsvorgang manipuliert. Im Sonderfall, dass falsche Prospektangaben über als Kapitalanlage beworbene Token verbreitet werden, kann zudem § 264a StGB in Betracht kommen; für das typische Drainer-Szenario greift diese Norm jedoch regelmäßig nicht. Wer solche Maschen aus dem Bereich des Anlagebetrugs kennt und die zehn wichtigsten Warnsignale versteht, ist besser geschützt.

Wie die Masche technisch abläuft: Claim-Seite und Drainer-Contract

Die Angreifer klonen die offizielle Website eines bekannten Projekts oder schalten gezielte Werbung in sozialen Netzwerken. Der einzige Unterschied zur echten Domain ist häufig ein einzelner vertauschter Buchstabe oder eine andere Top-Level-Domain. Betroffene finden solche Seiten oft als gesponserte Suchergebnisse oder über kompromittierte Social-Media-Konten.

Auf der Seite werden Nutzer gebeten, ihr Wallet (MetaMask, Phantom, Ledger) zu verbinden. Danach öffnet sich ein Signatur-Dialog, der technisch nach einer harmlosen Bestätigung aussieht. Tatsächlich verbirgt sich dahinter ein "Approve"-Aufruf nach dem ERC-20-Standard: Der Nutzer erteilt dem Drainer-Contract eine unbegrenzte Ausgabeerlaubnis.

Innerhalb weniger Sekunden nach Bestätigung leert der Contract das Wallet. Die Transaktion erscheint im Blockchain-Explorer als reguläre Übertragung. Ohne technische Forensik ist nicht sofort erkennbar, dass es sich um einen Betrug handelt. Wer nach einem solchen Angriff die richtigen Sofortmaßnahmen bei einem Wallet-Hack kennt, kann zumindest weitere Verluste begrenzen.

Typische Warnsignale: Woran Sie einen Fake-Airdrop erkennen

Folgende Merkmale deuten auf einen betrügerischen Airdrop hin:

• Unaufgeforderte Benachrichtigungen: Legitime Airdrops werden direkt an Wallets ausgezahlt – Sie müssen nichts "claimen" und keine Seite aufrufen.
• Zeitdruck: Angebliche Fristen wie "Nur noch 2 Stunden" sollen zum schnellen Handeln verleiten, ohne Zeit zur Prüfung zu lassen.
• Unbekannte Domain: Gleicht die URL der offiziellen Seite nicht exakt? Selbst eine einzelne Abweichung ist ein Warnsignal.
• Unbegrenzte Token-Genehmigung: Überprüfen Sie im Wallet-Dialog die genaue Höhe der genehmigten Transaktion. "Unlimited" oder sehr hohe Zahlen sind Alarm-Zeichen.
• Gesponserte Werbung: Fake-Claim-Seiten werden häufig als bezahlte Anzeigen geschaltet – auch auf Google oder X (Twitter).
• Fehlende Projektankündigung: Prüfen Sie den offiziellen Discord- oder Telegram-Kanal des Projekts. Wenn dort kein Airdrop angekündigt ist, handelt es sich fast sicher um Betrug.

Rechtslage: Wer haftet bei Airdrop-Betrug?

Anders als beim klassischen Bankphishing gibt es hier keinen regulierten Zahlungsdienst-Anbieter, der nach § 675u BGB zur Erstattung verpflichtet wäre. Krypto-Wallets sind selbstverwaltete Software-Tools ohne gesetzlichen Einlagenschutz. Der Erstattungsanspruch richtet sich daher in erster Linie gegen die Täter selbst.

Schadensersatzansprüche können sich aus § 823 Abs. 2 BGB (Schutzgesetz-Verletzung, da §§ 263/263a StGB als Schutzgesetze gelten) sowie aus § 826 BGB (vorsätzliche sittenwidrige Schädigung) ergeben. Für die Durchsetzung müssen die Täter identifiziert werden – was ohne Blockchain-Forensik kaum gelingt.

Nutzt das Airdrop-Betrug-Projekt eine Plattform, die nach der MiCAR VO (EU) 2023/1114 als Krypto-Dienst-Anbieter (CASP) reguliert ist, entstehen zusätzliche Sorgfaltspflichten. Die EU-weite Übergangsfrist für CASP-Lizenzen endet am 01.07.2026; in Deutschland gilt nach dem KMAG eine kürzere Frist (bis Ende 2025). BaFin-regulierte Plattformen haben strengere Pflichten zur Kundenaufklärung – ein Unterlassen kann eigene Haftungsansprüche begründen.

Sofortmaßnahmen nach dem Verlust durch einen Fake-Airdrop

Nach dem Erkennen des Angriffs gilt: Schaden begrenzen und Beweise sichern. Handeln Sie systematisch – jede nicht gesicherte Spur kann später fehlen. Gerade bei Blockchain-Transaktionen sind Zeitstempel und Hash-Werte unverzichtbar, da Gerichte und Behörden diese Informationen zur Rekonstruktion des Sachverhalts benötigen.

• Wallet-Verbindung trennen: Rufen Sie sofort in Ihrer Wallet die Funktion "Connected Sites" oder "Permissions" auf und widerrufen Sie den Zugriff des schädlichen Contracts.
• Approve widerrufen: Nutzen Sie Tools wie Revoke.cash, um erteilte Token-Genehmigungen für alle Smart Contracts zu entziehen.
• Transaktions-Hash sichern: Speichern Sie den Hash der verdächtigen Transaktion aus dem Blockchain-Explorer (Etherscan, Solscan u.a.) – er ist wichtigstes Beweismittel.
• Screenshots und URLs: Sichern Sie die Fake-Claim-Seite, alle Kommunikation und Werbeanzeigen als Screenshot.
• Strafanzeige erstatten: Erstatten Sie Anzeige bei der Polizei wegen § 263 StGB und § 263a StGB. Viele Landeskriminalämter haben spezialisierte Cyber-Abteilungen.
• Blockchain-Forensik beauftragen: Professionelle Tracing-Dienste können Täter-Adressen identifizieren und Mittelflüsse dokumentieren – unverzichtbar für zivilrechtliche Schritte.

Geld zurückbekommen nach dem Angriff: Ansprüche und Fristen

Die Verjährungsfrist für Schadensersatzansprüche richtet sich nach §§ 195, 199 BGB: Die kenntnisabhängige Regelverjährung beträgt drei Jahre ab dem Schluss des Jahres, in dem Sie den Schaden und den Schädiger kannten oder grob fahrlässig nicht kannten. Die absolute Verjährungsfrist beträgt zehn Jahre ab Entstehung des Anspruchs (daneben 30 Jahre ab dem schädigenden Ereignis; maßgeblich ist die früher endende Frist). Opfer sollten diese Fristen unbedingt im Auge behalten und nicht auf eine außergerichtliche Klärung warten, die die Verjährung nicht hemmt.

Gelingt es mithilfe von Crypto-Tracing und Blockchain-Forensik, die Täter-Wallet einer Person oder einem Dienst zuzuordnen – etwa weil sie Gelder auf eine regulierte Börse eingezahlt haben –, können Herausgabeansprüche entstehen. Dort greifen ggf. der strafprozessuale Vermögensarrest (§ 111e StPO) bzw. die Beschlagnahme (§ 111c StPO).

Bei internationalem Bezug – was bei Krypto-Betrug häufig der Fall ist – ist anwaltliche Unterstützung besonders wertvoll. Erfahrungen aus dem Bereich Anlagebetrug im Ausland zeigen, dass frühzeitiges Handeln und lückenlose Dokumentation die Erfolgschancen erheblich steigern.

MiCAR und Regulierung: Was Krypto-Plattformen heute schulden

Die MiCAR VO (EU) 2023/1114 bringt erstmals einen einheitlichen EU-Rahmen für Krypto-Dienste. Plattformen, die Wallets verwalten oder Token ausgeben, benötigen EU-weit längstens bis zum 01.07.2026 eine CASP-Lizenz; in Deutschland läuft die nationale Übergangsfrist nach dem KMAG bereits Ende 2025 ab.

Was bedeutet das für Airdrop-Betrug? Wer ohne die erforderliche MiCAR-CASP-Lizenz erlaubnispflichtige Krypto-Dienstleistungen erbringt, verstößt gegen das CASP-Lizenzregime der MiCAR und macht sich nach den Sanktionsvorschriften der MiCAR bzw. des KMAG strafbar – ein weiterer Straftatbestand neben § 263 StGB. Opfer können die BaFin über solche Plattformen informieren und damit zu einer schnelleren Abschaltung beitragen.

Darüber hinaus sieht MiCAR Art. 70 eine Vermögenstrennung vor: Kunden regulierter Plattformen gelten bei Insolvenz als vorrangige Gläubiger. Das schützt zwar nicht vor Drainer-Angriffen, ist aber relevant, wenn eine Plattform selbst in finanzielle Schieflage gerät und Kundenvermögen vermischt hat. Wer auf einer nicht lizenzierten Plattform gehandelt hat, sollte auch prüfen, ob Ansprüche wegen des Betrugs auf Krypto-Börsen geltend gemacht werden können.

Wann anwaltliche Beratung bei Airdrop-Betrug sinnvoll ist

Eine anwaltliche Beratung ist empfehlenswert, sobald der Schaden mehrere Hundert Euro übersteigt. Ein Rechtsanwalt koordiniert Strafanzeige, Blockchain-Forensik und mögliche Zivilklage – und prüft, ob Plattform-Betreiber oder Werbetreibende (z.B. Social-Media-Netzwerke) Mitverantwortung tragen. Dabei geht es auch darum, zivilrechtliche Sicherungsmaßnahmen wie Arrest oder Kontensperrung so früh wie möglich zu beantragen.

Beim Krypto-Betrug und den Wegen zur Rückforderung ist frühzeitiges Handeln entscheidend: Täter-Wallets werden häufig rasch geleert und Gelder durch Mixer-Dienste anonymisiert. Wer wartet, verliert wertvolle Spuren. Ähnliche Dynamiken kennen Betroffene des Krypto-Giveaway-Scam, der nach demselben Muster der falschen Versprechen operiert.

Auch eine datenschutzrechtliche Dimension ist nicht ausgeschlossen: Wenn bei der Fake-Claim-Seite personenbezogene Daten – E-Mail-Adresse, IP, Wallet-Adresse – gesammelt wurden, kann nach Art. 82 DSGVO ein Schadensersatzanspruch entstehen – ähnlich wie in Fällen, in denen der BGH (Urteil VI ZR 10/24 vom 18.11.2024) einen Kontrollverlust über persönliche Daten bereits als ausreichenden Schaden gewertet hat.

Ein spezialisierter Rechtsanwalt für Bank- und Kapitalmarktrecht kennt die besonderen Anforderungen an die Beweissicherung in Krypto-Fällen. Er koordiniert das Zusammenspiel zwischen strafrechtlicher Anzeige, forensischer Analyse und zivilrechtlicher Klage. Wer die Schritte zur Strafanzeige bei Kryptobetrug kennt, sichert sich entscheidende Vorteile für das weitere Vorgehen.

Erfahrungen aus vergleichbaren Fällen – etwa dem Fake-Exchange-Betrug im Krypto-Bereich oder manipulierten Wallet-Apps – zeigen: Je früher professionelle Forensiker die Blockchain-Spur sichern, desto größer ist die Chance, Gelder auf einer regulierten Plattform einzufrieren und rechtlich zu pfänden. Wer wartet, bis Täter die Mittel durch Mixer-Dienste anonymisiert haben, verliert diese Möglichkeit unwiederbringlich.

AK LAW Rechtsanwaltsgesellschaft mbH – Ihr Partner im Bank- und Kapitalmarktrecht

Die AK LAW Rechtsanwaltsgesellschaft mbH berät und vertritt Mandanten bundesweit im Bank- und Kapitalmarktrecht. Rechtsanwalt Dr. Michel de Araujo Kurth M.A. verfügt über langjährige Erfahrung im Bankwesen und in der anwaltlichen Praxis und hat sich auf die Vertretung von Mandanten in bank- und kapitalmarktrechtlichen Streitigkeiten spezialisiert.

Die Kanzlei begleitet Mandanten sowohl außergerichtlich als auch vor Gericht – von der ersten rechtlichen Einordnung über die Kommunikation mit Banken, Zahlungsdienstleistern und Finanzinstituten bis zur Durchsetzung von Schadensersatz- und Rückforderungsansprüchen. Beratungen finden in den Büros in Frankfurt am Main, Darmstadt und Offenbach am Main sowie bundesweit per Videokonferenz statt.

Wenn Sie rechtliche Unterstützung benötigen, stehen wir Ihnen jederzeit zur Verfügung. Kontaktieren Sie uns über unser Kontaktformular für ein unverbindliches Erstgespräch – telefonisch, per E-Mail oder online.

FAQs – Häufig gestellte Fragen zu Airdrop Betrug Krypto