Airdrop-Scam: Gratis-Token als Einfallstor für Wallet-Diebstahl

Ein angeblich kostenloser Token landet im Wallet, ein Klick auf die passende Website genügt – und wenig später ist das gesamte Guthaben verschwunden.

Ein Airdrop Scam Betrug beginnt selten mit einer offensichtlichen Drohkulisse, sondern mit einem Geschenk: In der Wallet taucht plötzlich ein unbekannter Token auf, ein Social-Media-Post verspricht eine großzügige Verteilung neuer Coins an frühe Nutzer, und eine verlinkte Website bittet lediglich um eine kurze Bestätigung, um die vermeintlich kostenlosen Einheiten zu beanspruchen. Genau in diesem scheinbar risikofreien Moment liegt die eigentliche Gefahr, denn hinter der Bestätigung verbirgt sich häufig eine sogenannte Approval-Transaktion, mit der Angreifer sich dauerhaften Zugriff auf das gesamte Wallet-Guthaben verschaffen.

Anders als beim klassischen Phishing, bei dem eine gefälschte Login-Seite Zugangsdaten abgreift, nutzt der Airdrop-Scam legitime Blockchain-Mechanismen aus. Wallet-Drainer-Software lässt Nutzer eine technisch korrekte, aber inhaltlich manipulierte Signatur erteilen – die Blockchain selbst funktioniert dabei fehlerfrei, missbraucht wird allein das Vertrauen des Opfers in ein vermeintliches Geschenk. Dieser Beitrag ordnet die Betrugsmasche technisch und rechtlich ein und zeigt auf, welche Schritte Geschädigte nach einem solchen Wallet-Diebstahl in Betracht ziehen sollten – von der strafrechtlichen Anzeige über die Akteneinsicht bis zu den Grenzen einer zivilrechtlichen Rückholung.

Denn so ernüchternd es klingt: Anders als bei einer unautorisierten Banküberweisung gibt es bei einer signierten Blockchain-Transaktion keinen automatischen Erstattungsanspruch gegen ein Zahlungsinstitut. Wer die rechtlichen Handlungsoptionen kennt und schnell reagiert, kann die Erfolgsaussichten dennoch deutlich verbessern.

Wie ein Airdrop Scam Betrug technisch abläuft

Die klassische Airdrop-Betrugsmasche beginnt mit einem sogenannten Dusting: Angreifer versenden minimale Mengen eines neu erstellten Tokens an tausende Wallet-Adressen, ohne dass die Empfänger dafür etwas tun müssen. Über eine verlockende Bezeichnung des Tokens oder einen begleitenden Social-Media-Post – häufig über gefälschte Profile bekannter Projekte, wie es auch im Beitrag zum Instagram Betrug beschrieben wird – werden Nutzer auf eine Website gelockt, auf der sie den Token angeblich in echtes Guthaben umwandeln oder zusätzlich beanspruchen können.

Auf dieser Website fordert die Seite eine Wallet-Verbindung und anschließend eine Signatur an. Technisch handelt es sich dabei häufig um eine Token-Approval, also die Freigabe, dass ein fremder Smart Contract künftig ohne weitere Bestätigung auf bestimmte oder sogar alle Token in der Wallet zugreifen darf. Diese sogenannte Approval-Phishing-Technik ist von einer klassischen Transaktion optisch kaum zu unterscheiden, weshalb selbst technisch versierte Nutzer sie übersehen.

• Dusting: unaufgeforderte Zusendung minimaler Token-Mengen zur Kontaktaufnahme
• Fake-Claim-Website: optisch dem Original nachempfundene Seite mit Countdown und Verknappungsdruck
• Approval-Phishing: Freigabe eines Smart Contracts für unbegrenzten Token-Zugriff
• Wallet-Drainer: automatisiertes Skript, das nach erteilter Freigabe das Guthaben abzieht

Die Mechanik hinter Approvals ist keine Sicherheitslücke im technischen Sinne, sondern ein reguläres Feature dezentraler Anwendungen: Ohne Freigaben könnten Nutzer beispielsweise keine Token auf dezentralen Börsen tauschen. Der Wallet-Drainer nutzt also keine Software-Schwachstelle, sondern die berechtigte Erwartung, dass ein angezeigter Vorgang dem entspricht, was der Nutzer beabsichtigt. Diese Unterscheidung ist rechtlich bedeutsam: Es findet keine technische Manipulation eines Datenverarbeitungsvorgangs im Sinne eines Computerbetrugs statt, sondern die Täuschung eines Menschen.

Häufig werden solche Kampagnen professionell inszeniert und mit gefälschten Verifizierungsbadges, angeblichen Partnerschaften mit bekannten Börsen oder nachgeahmten Domains echter Projekte flankiert – vergleichbar mit der Vorgehensweise, die im Beitrag zum Token Listing Betrug beschrieben wird. Auch gefälschte Wallet-Apps in App-Stores gehören zum Instrumentarium, wie im Beitrag zum App Store Betrug dargestellt.

Strafrechtliche Einordnung: § 263 StGB als zentrale Norm

Da beim Airdrop-Scam ein Mensch über die Natur der angezeigten Transaktion getäuscht wird und nicht primär ein Datenverarbeitungsvorgang manipuliert wird, ist strafrechtlich vorrangig der klassische Betrug nach § 263 StGB einschlägig. Die Täuschung liegt in der Vorspiegelung, es handle sich um einen legitimen Token-Claim, der Irrtum in der Fehlvorstellung des Opfers über den tatsächlichen Umfang der erteilten Freigabe, die Vermögensverfügung in der Signatur selbst.

§ 263a StGB, der Computerbetrug, tritt demgegenüber in den Hintergrund und kommt allenfalls ergänzend in Betracht, etwa wenn zusätzlich technische Manipulationen am Frontend eingesetzt werden. Für die strafrechtliche Verfolgung bedeutsam ist zudem die Verjährung: Einfacher Betrug verjährt nach fünf Jahren gemäß § 78 StGB, bei bandenmäßiger Begehung nach zehn Jahren – ein Zeitfenster, das bei der oft internationalen und arbeitsteiligen Organisation solcher Drainer-Kampagnen relevant werden kann.

Zivilrechtliche Ansprüche gegen die Täter

Neben dem Strafrecht bestehen grundsätzlich zivilrechtliche Ansprüche gegen die identifizierbaren Täter, insbesondere aus § 826 BGB wegen vorsätzlicher sittenwidriger Schädigung sowie über § 823 Abs. 2 BGB in Verbindung mit § 263 StGB als Schutzgesetz. Das praktische Problem liegt selten in der rechtlichen Anspruchsgrundlage, sondern in der Durchsetzbarkeit: Die Täter agieren häufig unter Pseudonymen aus dem Ausland, sodass eine Titulierung und anschließende Vollstreckung ohne Identifizierung faktisch ins Leere läuft.

Für die regelmäßige Verjährung solcher Ansprüche gelten die allgemeinen Fristen der §§ 195, 199 BGB: drei Jahre ab Kenntnis von Anspruch und Schädiger, kenntnisunabhängig höchstens zehn Jahre ab Entstehung des Anspruchs. Wird der Täter erst Jahre später identifiziert, etwa im Zuge einer strafrechtlichen Ermittlung, kann die Verjährungsfrist entsprechend erst mit dieser Kenntnis zu laufen beginnen.

Warum die Rückholung gestohlener Krypto-Werte so schwierig ist

Anders als bei einer Überweisung über ein reguliertes Bankkonto existiert bei einer signierten Blockchain-Transaktion keine Instanz, die den Vorgang nachträglich rückgängig machen kann. Die Transaktion ist mit der Bestätigung im jeweiligen Netzwerk technisch unwiderruflich. Ein Erstattungsanspruch nach dem Muster des § 675u BGB, wie er bei nicht autorisierten Zahlungsvorgängen besteht, greift hier nicht, weil es sich weder um einen regulierten Zahlungsdienst noch um eine nicht autorisierte Transaktion im rechtlichen Sinne handelt – die Signatur wurde vom Opfer selbst, wenn auch getäuscht, erteilt.

Realistische Ansatzpunkte liegen daher vor allem an den Berührungspunkten mit der regulierten Finanzwelt: Sobald die gestohlenen Werte auf eine zentrale Börse transferiert und dort in Fiat-Geld umgetauscht werden sollen, muss die Börse ihre Know-Your-Customer-Pflichten erfüllen. Eine zügige Meldung der betroffenen Wallet-Adresse an Börsen und spezialisierte Blockchain-Analytics-Dienste kann verhindern, dass die Beute unbemerkt in das reguläre Finanzsystem eingespeist wird.

Strafanzeige und Akteneinsicht als Geschädigter

Trotz der technischen Hürden bleibt die Strafanzeige der erste und wichtigste Schritt. Sie dokumentiert den Vorfall amtlich, setzt Ermittlungen bei Staatsanwaltschaft und spezialisierten Cybercrime-Dezernaten in Gang und schafft die Grundlage für spätere zivilrechtliche Schritte. Als Verletzter im Sinne der Strafprozessordnung steht Geschädigten zudem ein Recht auf Akteneinsicht nach § 406e StPO zu, wenn ein berechtigtes Interesse dargelegt wird.

Praktisch erfolgt die Akteneinsicht meist über einen Rechtsanwalt, zwingend vorgeschrieben ist eine anwaltliche Vertretung dafür jedoch nicht – auch nicht anwaltlich vertretene Verletzte können unter Aufsicht Einsicht nehmen oder Kopien erhalten. Über die Ermittlungsakte lassen sich mitunter IP-Adressen, beschlagnahmte Server oder Kontoverbindungen von Mittätern ermitteln, die für zivilrechtliche Ansprüche relevant werden. Ergänzend regelt § 475 StPO Auskünfte für sonstige Privatpersonen über einen Rechtsanwalt.

Die Rolle regulierter Börsen und die MiCAR-Aufsicht

Seit dem 30. Dezember 2024 gilt in der EU die Krypto-Verordnung MiCAR (VO (EU) 2023/1114), die Anbieter von Kryptowerte-Dienstleistungen einer einheitlichen Aufsicht unterstellt. Wer die Plattform kennt, über die gestohlene Werte abfließen sollen, sollte deren Lizenzstatus prüfen, statt pauschal von einem unregulierten Umfeld auszugehen – viele große Börsen verfügen mittlerweile über eine vollständige CASP-Lizenz mit EWR-weitem Passporting.

Für Geschädigte relevant ist außerdem die Travel Rule (VO (EU) 2023/1113), die seit demselben Datum gilt: Bei jedem Transfer zwischen zwei Krypto-Dienstleistern müssen vollständige Auftraggeber- und Begünstigtenangaben mitgesendet werden, unabhängig vom Betrag. Das erschwert es Tätern, gestohlene Werte anonym zwischen mehreren regulierten Börsen zu bewegen, sofern die beteiligten Plattformen die Vorgaben tatsächlich einhalten. Ähnliche Fallkonstellationen mit manipulierten Handelsplattformen beschreibt der Beitrag zum Fake Exchange Betrug.

Geldwäscherechtlich relevant wird die Kette außerdem dort, wo Erlöse aus dem Airdrop-Scam bewusst über fremde Konten oder Wallets weitergeleitet werden: Wer sich dafür zur Verfügung stellt, macht sich unter Umständen selbst nach § 261 StGB wegen Geldwäsche strafbar – der Grundtatbestand setzt Vorsatz voraus, die in Absatz 6 geregelte Variante genügt bereits Leichtfertigkeit. Das betrifft insbesondere sogenannte Money Mules, die sich gegen eine Provision als Zwischenstation zur Verfügung stellen, ohne die Herkunft der Gelder zu hinterfragen. Für Geschädigte kann diese Norm indirekt relevant werden, wenn im Zuge der Ermittlungen solche Zwischenstationen identifiziert werden und dieselben zivilrechtlichen Ansprüche wie gegen die eigentlichen Drainer-Betreiber greifen.

Steuerliche Behandlung eines Diebstahlsverlusts

Kryptowährungen gelten nach der Rechtsprechung des Bundesfinanzhofs als andere Wirtschaftsgüter, deren Veräußerungsgewinne innerhalb der einjährigen Haltefrist nach § 23 EStG steuerpflichtig sind. Für Geschädigte eines Airdrop-Scams stellt sich häufig die umgekehrte Frage: Lässt sich der Verlust der gestohlenen Werte steuerlich geltend machen?

Die Antwort fällt zurückhaltend aus: Ein Diebstahl ist mangels Veräußerung in der Regel kein anerkanntes privates Veräußerungsgeschäft im Sinne des § 23 EStG, sodass ein steuerlicher Verlustabzug in dieser Konstellation nicht automatisch besteht und die konkrete Behandlung im Einzelfall geprüft werden muss. Wer bereits vor dem Diebstahl steuerpflichtige Gewinne aus dem betroffenen Wallet realisiert hatte, sollte diese ohnehin unabhängig vom späteren Verlust ordnungsgemäß deklarieren.

Prävention: Approvals prüfen und Wallet-Hygiene

Da eine nachträgliche Rückholung häufig scheitert, kommt der Prävention besondere Bedeutung zu. Erteilte Token-Approvals lassen sich über spezialisierte Revoke-Tools jederzeit einsehen und widerrufen – eine regelmäßige Prüfung ist gerade nach der Interaktion mit unbekannten Websites empfehlenswert. Unaufgefordert zugesandte Token sollten grundsätzlich nicht angeklickt, verkauft oder mit der zugehörigen Website verbunden werden.

• Unbekannte, unaufgefordert erhaltene Token nicht anklicken oder zu Tauschbörsen weiterleiten
• Erteilte Approvals regelmäßig über ein Blockexplorer-Tool prüfen und nicht benötigte Freigaben widerrufen
• Für größere Bestände eine Hardware-Wallet mit separater Transaktionsprüfung nutzen
• Domains von Claim-Seiten vor jeder Signatur exakt gegenprüfen statt Suchmaschinen-Anzeigen zu vertrauen
• Bei Zweifeln an einer E-Mail zur angeblichen Hardware-Wallet-Aktualisierung besondere Vorsicht walten lassen, wie im Beitrag zum Ledger Phishing beschrieben

Fazit: Rechtliche Schritte nach dem Airdrop Scam Betrug einleiten

Ein Airdrop-Scam nutzt die Erwartung eines kostenlosen Vorteils gegen das Opfer und verschafft sich über eine scheinbar harmlose Signatur Zugriff auf das gesamte Wallet-Guthaben. Weder eine automatische Bankenerstattung noch eine technische Rückabwicklung der Blockchain-Transaktion stehen dabei zur Verfügung, was die rechtliche Aufarbeitung anspruchsvoll, aber nicht aussichtslos macht.

Wer schnell Strafanzeige erstattet, die betroffene Wallet-Adresse an Börsen und Analytics-Dienste meldet und über die Akteneinsicht nach § 406e StPO Informationen zu möglichen Tätern oder Zwischenstationen sichert, verbessert seine Erfolgsaussichten deutlich. Gerade bei größeren Schadenssummen empfiehlt sich eine frühzeitige anwaltliche Begleitung, um strafrechtliche und zivilrechtliche Schritte parallel und mit einer klaren Verjährungs-Strategie zu koordinieren – vergleichbar mit den Fallmustern, die auch beim Initial Coin Offering ICO Betrug zu beobachten sind.

Kanzlei Dr. Araujo Kurth – Ihr Partner im Bank- und Kapitalmarktrecht

Die Kanzlei Dr. Araujo Kurth berät und vertritt Mandanten bundesweit im Bank- und Kapitalmarktrecht. Rechtsanwalt Dr. Michel de Araujo Kurth M.A. verfügt über langjährige Erfahrung im Bankwesen und in der anwaltlichen Praxis und hat sich auf die Vertretung von Mandanten in bank- und kapitalmarktrechtlichen Streitigkeiten spezialisiert.

Die Kanzlei begleitet Mandanten sowohl außergerichtlich als auch vor Gericht – von der ersten rechtlichen Einordnung über die Kommunikation mit Banken, Zahlungsdienstleistern und Finanzinstituten bis zur Durchsetzung von Schadensersatz- und Rückforderungsansprüchen. Beratungen finden in den Büros in Frankfurt am Main, Darmstadt und Offenbach am Main sowie bundesweit per Videokonferenz statt.

Wenn Sie rechtliche Unterstützung benötigen, stehen wir Ihnen jederzeit zur Verfügung. Kontaktieren Sie uns über unser Kontaktformular für ein unverbindliches Erstgespräch – telefonisch, per E-Mail oder online.

FAQs – Häufig gestellte Fragen zu Airdrop Scam Betrug