Wie Phishing Kryptowährung stiehlt

Die meisten Kryptowährungsdiebstähle beruhen nicht auf einem raffinierten Hack einer Blockchain oder einer Börse. Es geht darum, eine Person für ein paar Sekunden davon zu überzeugen, einen Link anzuklicken, eine Phrase einzutippen oder eine Transaktion zu genehmigen, die sie nicht vollständig verstanden hat. Das ist Phishing, und Branchenbeobachter stellen Jahr für Jahr übereinstimmend fest, dass es die häufigste Ursache für individuelle Krypto-Verluste ist, auch wenn sich die konkreten Tricks weiterentwickeln.

Die auf Blockchain-Sicherheit spezialisierte Firma Scam Sniffer berichtete, dass Wallet-Drainer-Phishing im Jahr 2025 bei mehr als 106.000 Wallets Verluste von rund 84 Millionen Dollar verursachte – ein deutlicher Rückgang gegenüber den 494 Millionen Dollar, die im Vorjahr bei über 332.000 Wallets verloren gingen. Der Rückgang der Gesamtverluste ist ermutigend, doch die weiterhin hohe Zahl einzelner Vorfälle erzählt eine wichtigere Geschichte: Die Werkzeuge, die Phishing-Angriffe antreiben, sind inzwischen billig, automatisiert und weit verbreitet, sodass Angreifer von gelegentlichen großen Beutezügen zu breiter angelegten Kampagnen gegen gewöhnliche Privatanleger übergegangen sind. Der durchschnittliche Verlust pro Opfer lag 2025 bei etwa 790 Dollar – ein Betrag, der niedrig genug ist, dass viele Opfer sich gar nicht erst die Mühe machen, ihn zu melden, was vermutlich bedeutet, dass die tatsächlichen Zahlen noch höher liegen.

Was Phishing im Krypto-Kontext tatsächlich bedeutet

Im traditionellen Bankwesen bedeutet Phishing üblicherweise, jemanden dazu zu bringen, ein Passwort in eine gefälschte Login-Seite einzugeben. Krypto-Phishing greift dieselbe Idee auf, hat aber mehr Wege, sie umzusetzen, denn ein Krypto-Wallet kann über ein Passwort, eine Seed-Phrase, einen privaten Schlüssel oder eine einzige bösartige Signatur kompromittiert werden. Zu verstehen, worauf ein Angreifer es dabei jeweils abgesehen hat, erklärt, warum die Nachrichten so aussehen, wie sie aussehen.

Phishing auf Zugangsdaten und Seed-Phrasen

Die älteste Form fragt schlicht nach Informationen. Eine gefälschte Börsen-Login-Seite, eine geklonte Wallet-App oder ein Support-Formular, das Sie auffordert, Ihre Wiederherstellungsphrase zur Identitätsprüfung einzugeben, wollen allesamt, dass Sie den Generalschlüssel zu Ihren Geldern direkt herausgeben. Eine vollständige Aufschlüsselung dieses spezifischen Mechanismus finden Sie in unserem Leitfaden zum Seed-Phrase-Diebstahl.

Phishing über bösartige Freigaben

Die modernere und inzwischen häufigere Technik fragt überhaupt nicht nach Ihrer Seed-Phrase. Stattdessen fordert Sie eine gefälschte Airdrop-Claim-Seite, ein NFT-Minting-Tool oder ein Token-Swap-Tool auf, Ihr Wallet zu verbinden und eine Transaktion zu genehmigen. In dieser Transaktion versteckt sich eine Smart-Contract-Berechtigung, die dem Angreifer das Recht gibt, jederzeit nach Belieben Token aus Ihrem Wallet zu bewegen – manchmal sofort, manchmal erst Tage oder Wochen später, wenn Sie längst vergessen haben, dass Sie die Seite jemals besucht haben. Da Sie die Freigabe technisch gesehen selbst signiert haben, lässt sich dies schwerer rückgängig machen und schwerer strafrechtlich verfolgen als der offene Diebstahl eines Passworts. Unser Leitfaden zu bösartigen Token-Freigaben behandelt diesen Mechanismus ausführlicher.

Ein Phishing-Angriff von Anfang bis Ende

Es hilft, ein realistisches Beispiel durchzugehen, statt Phishing als abstrakte Kategorie zu behandeln, denn die einzelnen Schritte wirken jeweils für sich genommen unauffällig. Erst die Abfolge summiert sich zu einem Diebstahl.

Schritt eins: eine Warnung, die routinemäßig wirkt

Das Ziel erhält eine E-Mail, die auf den ersten Blick genau wie die Sicherheitsbenachrichtigungen aussieht, die die echte Börse regelmäßig versendet. Die Betreffzeile verweist auf einen Login von einem neuen Gerät an einem unbekannten Ort, der Absendername entspricht der Börse, und der Text enthält das echte Logo der Börse sowie eine Fußzeile, die direkt aus einer echten Nachricht kopiert wurde. Eine Schaltfläche mit der Aufschrift „Konto sichern" verlinkt auf eine Domain, die sich von der echten nur durch ein einziges Zeichen unterscheidet – etwa einen zusätzlichen Buchstaben, eine vertauschte Domain-Endung oder einen zwischen zwei Wörter eingefügten Bindestrich.

Schritt zwei: eine Login-Seite, die um eine zusätzliche Sache bittet

Die geklonte Seite ist optisch identisch mit dem echten Login-Bildschirm, oft erstellt durch das Kopieren des Quellcodes der echten Seite, sodass nichts zu sehen ist, was Verdacht erregen würde. Das Ziel gibt wie gewohnt seine E-Mail-Adresse und sein Passwort ein. Die gefälschte Seite fragt dann, genau wie die echte Seite es tun würde, nach einem Zwei-Faktor-Authentifizierungscode und leitet sowohl das Passwort als auch den Code in Echtzeit unbemerkt an die eigene Sitzung des Angreifers mit der echten Börse weiter – eine Technik, die manchmal als Adversary-in-the-Middle-Angriff bezeichnet wird. Da der Code innerhalb von Sekunden verwendet wird, bietet das kurze Gültigkeitsfenster, das die Zwei-Faktor-Authentifizierung normalerweise schützt, hier keinen Schutz.

Schritt drei: die stille Auszahlung

Mit einer aktiven, authentifizierten Sitzung ändert der Angreifer die Auszahlungsadresse des Kontos oder veranlasst, sofern die Börse dies zulässt, einfach eine Auszahlung an ein von ihm kontrolliertes Wallet. Bei einem Self-Custody-Wallet-Ablauf ist der entsprechende Schritt statt eines Logins eine Signaturanfrage, bei der das Ziel gebeten wird, eine scheinbar routinemäßige Transaktion zu genehmigen, die in Wirklichkeit eine Token-Freigabe oder ein hinter einem irreführenden Funktionsnamen verstecktes Transfer ist. In beiden Fällen haben die Gelder das Konto typischerweise bereits verlassen und beginnen, durch mehrere Zwischen-Wallets zu wandern, bis das Ziel überhaupt etwas Ungewöhnliches bemerkt.

Keiner dieser drei Schritte wirkt für sich genommen dramatisch. Eine E-Mail, eine Login-Seite, ein Eingabefeld für einen Code. Was Phishing wirksam macht, ist, dass jeder Schritt eine völlig normale Interaktion widerspiegelt, die das Ziel schon Dutzende Male zuvor durchgeführt hat, sodass nichts in der Abfolge das Zögern auslöst, das eine offensichtlicher verdächtige Anfrage hervorrufen würde.

Die Verbreitungswege, auf die Betrüger setzen

Der Mechanismus des Diebstahls ist nur die halbe Geschichte. Die andere Hälfte ist, wie der Phishing-Link Sie überhaupt erst erreicht, und genau hier sind Angreifer weitaus kreativer geworden.

• Suchmaschinenanzeigen, die die echte Wallet- oder Börsen-Website für deren eigenen Markennamen überbieten und Suchende zu einem pixelgenauen Klon leiten
• Gefälschte Browser-Erweiterungen, die in offiziellen App-Stores gelistet sind und bekannte Wallets nachahmen
• Direktnachrichten auf X, Telegram oder Discord von Konten, die sich als Support-Mitarbeiter oder Projektteams ausgeben
• E-Mail-Kampagnen, die Sicherheitswarnungen von Börsen fälschen und vor einem Login-Versuch warnen, der sofortige Verifizierung erfordert
• Kompromittierte oder geklonte Social-Media-Konten echter Krypto-Projekte, die gefälschte Airdrop- oder Mint-Links posten
• SMS-Nachrichten, die behaupten, eine Auszahlung sei blockiert worden, und den Empfänger auffordern, seine Identität über einen Link zu bestätigen

Warum Suchmaschinen zu einem bevorzugten Kanal geworden sind

Bezahlte Suchplatzierungen sind für Phishing-Operationen attraktiv, weil sie nicht davon abhängen, einen Spamfilter auszutricksen oder die Kontoverifizierung einer Plattform zu umgehen – es reicht, für einen Anzeigenplatz zu bezahlen. Eine Suche nach dem Namen eines bekannten Wallets kann ein gesponsertes Ergebnis oberhalb der echten Website liefern, und weil der Besucher den Markennamen selbst eingetippt hat, statt auf einen unaufgeforderten Link zu klicken, geht er oft davon aus, dass das oberste Ergebnis legitim sein muss. Werbeplattformen entfernen diese Anzeigen zwar, sobald sie gemeldet werden, doch neue tauchen meist innerhalb weniger Tage über andere Konten wieder auf, sodass der Kanal weiterhin Opfer produziert, selbst wenn einzelne Anzeigen entfernt werden.

Warum Telegram und Discord besonders anfällig für Missbrauch bleiben

Krypto-Communitys sind im Vergleich zu den meisten anderen Branchen überproportional auf Telegram und Discord vertreten, und beide Plattformen machen es denkbar einfach, ein Konto mit einem Anzeigenamen und Profilbild zu erstellen, das dem Support-Team eines echten Projekts stark ähnelt. Ein Betrüger kann einem öffentlichen Server beitreten, den Kanal nach jemandem durchsuchen, der ein Problem schildert, und innerhalb von Sekunden eine Direktnachricht senden – ganz ohne irgendetwas kompromittieren zu müssen. Da die Server selbst offiziell sind und voller echter Teilnehmer, verleiht das Umfeld dem Betrüger eine Art geliehene Glaubwürdigkeit, die eine kalte E-Mail niemals erreicht.

Forscher haben zudem einen deutlichen Anstieg KI-generierter Phishing-Inhalte festgestellt: Eine Analyse aus dem Jahr 2025 fand einen Anstieg von rund 70 Prozent bei KI-verfassten Phishing-E-Mails, die natürlicher klingen und sowohl für Spamfilter als auch für menschliche Leser schwerer als solche zu erkennen sind als die holprigeren, fehlerhaften Nachrichten von vor einigen Jahren. KI-Tools haben es außerdem deutlich billiger gemacht, überzeugende geklonte Websites, übersetzte Phishing-Kampagnen für nicht englischsprachige Nutzer und personalisierte Nachrichten zu erstellen, die sich auf die tatsächliche Aktivität eines Ziels beziehen – etwa einen kürzlichen NFT-Kauf oder einen bestimmten Token-Bestand, der aus öffentlichen Blockchain-Daten stammt.

Warum Phishing auch bei erfahrenen Nutzern noch funktioniert

Es ist verlockend anzunehmen, dass Phishing nur Anfänger erwischt, doch das zeigen die Daten nicht. Erfahrene Trader haben durch eine einzige fehlerhaft angeklickte Freigabe sechs- und siebenstellige Summen verloren, oft weil der Druck eines laufenden Token-Launches oder eines zeitlich begrenzten Airdrop-Fensters Menschen dazu bringt, zu handeln, bevor sie sorgfältig lesen. Betrüger erzeugen absichtlich Dringlichkeit – einen Countdown-Timer, die Behauptung, nur die ersten tausend Wallets seien berechtigt, eine Warnung, das Konto werde in 24 Stunden gesperrt –, weil Dringlichkeit genau die Vorsicht außer Kraft setzt, die sonst einen unbekannten Domainnamen oder eine ungewöhnliche Berechtigungsanfrage auffallen ließe.

Gefälschter Kundensupport ist eine besonders wirksame Variante dieses Musters, da er einen Moment ausnutzt, in dem das Opfer bereits um seine Gelder besorgt ist und aktiv nach Hilfe sucht. Dieses Vorgehen ist verbreitet genug, um eine eigene Erklärung zu verdienen – nachzulesen in unserem Artikel über gefälschten Kundensupport-Betrug.

Wie Phishing zu einem industrialisierten Geschäft wurde

Ein wesentlicher Grund dafür, dass das Phishing-Volumen hoch geblieben ist, obwohl die Einzelverluste gesunken sind, liegt darin, dass das Betreiben einer Phishing-Kampagne kaum noch technisches Können erfordert. Sogenannte Phishing-Kits und Wallet-Drainer-Kits werden in Untergrundforen als fertige Pakete verkauft oder vermietet, komplett mit geklonten Website-Vorlagen, vorgefertigten Smart Contracts, die darauf ausgelegt sind, maximal weitreichende Freigaben anzufordern, und Dashboards, mit denen ein Käufer verfolgen kann, wie viele Wallets sich verbunden haben und wie viel bereits abgezogen wurde. Manche dieser Kits arbeiten nach einem Affiliate-Modell, bei dem der ursprüngliche Entwickler des Kits einen Anteil – oft rund 10 bis 20 Prozent – von allem einbehält, was ein Kunde mit dem Tool stiehlt, strukturell ähnlich einem legitimen Software-as-a-Service-Geschäft.

• Fertige geklonte Websites für beliebte Börsen und Wallets, bei denen der Käufer lediglich eine Wallet-Adresse eintragen muss, um gestohlene Gelder zu empfangen
• Drainer-Smart-Contracts, die standardmäßig auf die breitestmögliche Ausgabenfreigabe ausgelegt sind, um das Maximum aus einer einzigen Signatur herauszuholen
• Automatisierte Telegram-Bots, die den Betreiber in dem Moment alarmieren, in dem sich ein neues Wallet verbindet, damit zeitkritisches Leeren schnell erfolgen kann
• Support-ähnliche Kanäle innerhalb des kriminellen Marktplatzes selbst, über die Kit-Käufer Hilfe bei der Einrichtung ihrer Betrugsseiten erhalten können

Diese Industrialisierung erklärt ein Muster, das sonst verwirrend wirken würde: warum Phishing-Seiten, die dieselben Wallet-Marken angreifen, innerhalb weniger Tage nach ihrer Entfernung immer wieder auftauchen. Der Käufer eines Kits hat die Seite nicht von Grund auf selbst gebaut und benötigt kein tiefes technisches Wissen, um sie nach der Blacklistung der alten Domain auf einer neuen wieder zu starten.

Praktische Wege, Ihr Risiko zu verringern

• Setzen Sie Lesezeichen für die echten URLs der von Ihnen genutzten Börsen und Wallets, und rufen Sie diese niemals über ein Suchmaschinenergebnis oder einen Link in einer Nachricht auf
• Behandeln Sie jede Aufforderung zur Wallet-Verbindung als Entscheidung, die eine Pause verdient – besonders alles, was eine Freigabe statt einer einfachen Überweisung betrifft
• Verwenden Sie eine Wallet-Oberfläche oder Browser-Erweiterung, die vor dem Signieren decodiert und anzeigt, was eine Transaktion tatsächlich bewirkt
• Überprüfen und widerrufen Sie regelmäßig alte Token-Freigaben mit einem seriösen Widerrufs-Tool, da vergessene Berechtigungen ein häufiger Einstiegspunkt sind
• Betrachten Sie unaufgeforderte Direktnachrichten von Support-Konten grundsätzlich als Warnsignal, da seriöse Support-Teams in der Regel nicht selbst den Kontakt aufnehmen
• Nutzen Sie ein Hardware-Wallet für alle Bestände, die über das für aktives Trading Benötigte hinausgehen, da ein Hardware-Gerät einen physischen Bestätigungsschritt erzwingt, den ein Angreifer aus der Ferne nicht nachbilden kann
• Prüfen Sie die Zertifikatsdetails und die exakte Schreibweise einer Domain Zeichen für Zeichen, bevor Sie Zugangsdaten eingeben – besonders, wenn Sie über einen Link statt durch eigenes Eintippen auf die Seite gelangt sind

Eine kurze Checkliste, bevor Sie ein Wallet verbinden

Bevor Sie ein Wallet mit einer Website verbinden, lohnt es sich, eine kurze gedankliche Checkliste durchzugehen: Sind Sie über die eigene Eingabe der Adresse oder ein Lesezeichen auf diese Seite gelangt, statt über einen Link? Stimmt die Domain exakt mit der offiziellen überein, ohne zusätzliche Zeichen oder vertauschte Buchstaben? Wird Dringlichkeit erzeugt – ein Countdown, die Behauptung begrenzter Verfügbarkeit, eine Warnung, dass die Zeit abläuft? Zeigt Ihre Wallet-Oberfläche bei einer Signaturanfrage eine verständliche Beschreibung dessen, was sie bewirkt, und stimmt diese Beschreibung mit dem überein, was Sie erwartet haben? Schon eine einzige dieser Prüfungen, die nicht bestanden wird, ist Grund genug, innezuhalten und unabhängig zu verifizieren, bevor Sie fortfahren.

Wenn Sie bereits eine Transaktion genehmigt haben, die Sie bereuen, erläutert unser Leitfaden zum Widerrufen von Token-Freigaben Schritt für Schritt, wie Sie bestehende Berechtigungen überprüfen und aufheben können, bevor sie gegen Sie verwendet werden können.

Wenn Sie vermuten, Opfer von Phishing geworden zu sein

Geschwindigkeit ist entscheidend. Wenn Sie vermuten, dass ein Wallet durch einen Phishing-Link kompromittiert wurde, verschieben Sie verbleibende Gelder sofort in ein neues Wallet mit einer frisch erzeugten Seed-Phrase, statt zu versuchen, das alte zu bereinigen. Interagieren Sie nicht weiter mit der betroffenen Seite oder dem betroffenen Vertrag, und dokumentieren Sie jeden Transaktions-Hash, Zeitstempel und jede erhaltene Nachricht, da diese Aufzeichnung die Grundlage für jede spätere Ermittlung oder Beschwerde bei einer Börse bildet. Firmen wie Coin Trace arbeiten mit Opfern zusammen, um nachzuverfolgen, wohin gestohlene Gelder nach einem Phishing-Vorfall geflossen sind, und um die Dokumentation vorzubereiten, die Börsen und Strafverfolgungsbehörden üblicherweise verlangen – wobei kein seriöser Ermittler versprechen kann, dass Gelder zurückerlangt werden.

Häufig gestellte Fragen

Quellen und weiterführende Informationen

• Wallet Drainer Phishing Losses Fall to $84M in 2025, Down 83% · Cryptonews
• Scam Sniffer 2025: Crypto Phishing Losses Fall 83% to $84 Million · Scam Sniffer
• Cryptocurrency and AI Scams Bilk Americans of Billions · Federal Bureau of Investigation

Verwandte Beiträge