Kontoübernahme bei Krypto: Ablauf und Schutz

Kontoübernahme-Betrug (Account Takeover) liegt vor, wenn ein Krimineller die Kontrolle über ein bestehendes Konto einer anderen Person erlangt, etwa einen Krypto-Börsen-Login, ein E-Mail-Postfach oder ein Bankkonto, und es nutzt, um Geld oder Daten zu stehlen. Bei Krypto richtet das besonders großen Schaden an, denn sobald Coins an eine externe Adresse abgehoben wurden, gibt es in der Regel keine Rückbuchung und keinen einfachen Weg, die Überweisung rückgängig zu machen.

Dieser Leitfaden erklärt, wie Kontoübernahmen ablaufen, warum Krypto-Konten ein bevorzugtes Ziel sind, wie Nutzer ihre Konten absichern können und wie Börsen Übernahmen erkennen und stoppen. Er richtet sich an normale Nutzer und an die Betrugs- und Compliance-Teams, die sie schützen.

Was Kontoübernahme-Betrug ist

Das FBI beschreibt Account-Takeover-Betrug (ATO) als unbefugten Zugriff von Kriminellen auf das Online-Konto einer Zielperson bei einem Finanzinstitut, einem Lohnabrechnungsdienst oder einem Gesundheitssparkonto, „mit dem Ziel, Geld oder Informationen zum persönlichen Vorteil zu stehlen“. In einer öffentlichen Warnung vom 25. November 2025 teilte es mit, dass das Internet Crime Complaint Center (IC3) seit Januar 2025 mehr als 5.100 ATO-Beschwerden mit Verlusten von über 262 Mio. $ erhalten hatte (FBI IC3, I-112525-PSA).

Zwei Details dieser Warnung sind für Krypto-Nutzer wichtig. Erstens werden gestohlene Gelder laut FBI oft auf von Kriminellen kontrollierte Konten überwiesen, „von denen viele mit Kryptowährungs-Wallets verknüpft sind“, sodass sie schnell verteilt werden und schwer nachzuverfolgen und zurückzuholen sind. Zweitens änderten die Kriminellen in fast allen Social-Engineering-Fällen das Kontopasswort und sperrten den Inhaber aus.

ATO unterscheidet sich vom Betrug mit Neukonten. Beim synthetischen Identitätsbetrug eröffnen Kriminelle neue Konten mit falschen Identitäten. Bei ATO kapern sie ein Konto, das bereits einem echten, verifizierten Kunden gehört, und genau das macht es wertvoll: Das Konto hat das KYC bestanden, hat eine Historie und enthält oft Guthaben.

Wie Angreifer Konten übernehmen

Die meisten Übernahmen nutzen eine Handvoll Techniken, oft kombiniert:

• Credential Stuffing. OWASP definiert es als „die automatisierte Eingabe gestohlener Kombinationen aus Benutzername und Passwort“ in Login-Formulare. Da viele Menschen Passwörter wiederverwenden, öffnen Zugangsdaten aus einem Datenleck auch Konten anderswo. OWASP bezeichnet es als eine der häufigsten Techniken zur Kontoübernahme (OWASP).
• Falscher Support und Phishing. Das FBI beschreibt Kriminelle, die sich als Bankmitarbeiter, Kundenservice oder technischer Support ausgeben, um Menschen zur Herausgabe von Zugangsdaten und Einmalcodes zu bewegen, und dann selbst das Passwort zurücksetzen. Es warnt auch vor „SEO Poisoning“: bezahlten Suchanzeigen, die auf überzeugende gefälschte Login-Seiten führen.
• SIM-Swaps. Ein Krimineller überredet einen Mobilfunkanbieter, die Nummer des Opfers auf eine SIM-Karte zu übertragen, die er kontrolliert, und empfängt dann die SMS-Codes und Nachrichten zum Zurücksetzen von Passwörtern. Unser Leitfaden zu SIM-Swap-Angriffen behandelt das ausführlich.
• Session-Hijacking. Statt des Passworts stiehlt der Angreifer eine angemeldete Sitzung, etwa über Malware auf dem Computer des Opfers, und handelt damit als Nutzer, ohne den Login-Schritt erneut durchlaufen zu müssen.
• Geleakte Kundendaten für gezielten Betrug. Daten, die einem Unternehmen gestohlen wurden, können einen falschen Support-Anruf weitaus überzeugender machen.

Dieser letzte Weg ist nicht hypothetisch. In einer Pflichtmitteilung vom 15. Mai 2025 legte Coinbase offen, dass ein Angreifer Auftragnehmer oder Mitarbeiter im Support außerhalb der USA bezahlt hatte, um Kundendaten aus internen Systemen zu sammeln, und anschließend Geld dafür verlangte, sie nicht zu veröffentlichen. Coinbase erklärte, dass keine Passwörter oder privaten Schlüssel kompromittiert wurden, lehnte die Forderung von 20 Mio. $ ab und schätzte die Kosten für Behebung und freiwillige Erstattungen auf rund 180 bis 400 Mio. $ (Coinbase Form 8-K). Der Blog von Coinbase erklärte das Ziel: eine Kundenliste, die die Kriminellen anrufen konnten, „während sie vorgaben, Coinbase zu sein“, um Menschen zur Herausgabe ihrer Krypto zu bringen (Coinbase).

Warum Krypto-Konten ein bevorzugtes Ziel sind

Die Übernahme eines Krypto-Börsenkontos ist aus drei Gründen attraktiv:

• Geschwindigkeit und Endgültigkeit. Eine Abhebung an eine externe Adresse ist in Minuten abgewickelt, und es gibt kein Kartennetzwerk, das sie rückgängig macht.
• Verifizierte Identität. Das Konto hat das KYC bereits bestanden, sodass ein Krimineller damit Gelder bewegen oder waschen kann, ohne eigene Dokumente vorzulegen. Das überschneidet sich mit der Tätigkeit von Money Mules.
• Verknüpfte Zugänge. Börsenkonten sind oft mit Bankkonten, Karten und API-Schlüsseln verbunden, was die Reichweite eines Angreifers vergrößert.

Self-Custody-Wallets haben kein Konto, das übernommen werden könnte, sind aber demselben Social Engineering ausgesetzt, das auf eine andere Beute zielt: die Seed-Phrase oder eine bösartige Signatur. Siehe Wallet Drainer und Approval-Phishing.

Warnzeichen, dass Ihr Konto ins Visier genommen wird

• Login-Benachrichtigungen oder E-Mails zum Zurücksetzen des Passworts, die Sie nicht angefordert haben.
• Unerwartete Anrufe oder Nachrichten vom „Support“ wegen verdächtiger Aktivitäten, besonders wenn nach einem Code oder Passwort gefragt wird oder Sie Guthaben auf eine „sichere“ Wallet übertragen sollen.
• Ihr Telefon verliert plötzlich den Empfang, was auf einen laufenden SIM-Swap hindeuten kann.
• Neue Auszahlungsadressen, API-Schlüssel oder Geräte in Ihrem Konto, die Sie nicht hinzugefügt haben.
• Änderungen an Ihrem E-Mail-Konto, etwa Weiterleitungsregeln, die Sie nicht eingerichtet haben.

Die eigene Warnung von Coinbase nach dem Vorfall 2025 ist eine gute Regel für jede Plattform: Sie werde „niemals nach Ihrem Passwort, Ihren 2FA-Codes fragen oder Sie auffordern, Vermögenswerte an eine bestimmte oder neue Adresse zu übertragen“.

So schützen Sie Ihr Konto

Die wichtigste Verbesserung ist der Wechsel von eingetippten Codes zu einer Phishing-resistenten Anmeldung:

1. Nutzen Sie Passkeys oder einen Hardware-Sicherheitsschlüssel, wo angeboten. Die CISA bezeichnet Phishing-resistente MFA wie FIDO/WebAuthn als „Goldstandard“ und weist darauf hin, dass andere MFA-Formen durch Phishing, Push-Bombing oder SIM-Swaps ausgehebelt werden können (CISA-Merkblatt). Die aktualisierten Authentifizierungsrichtlinien des NIST, im Juli 2025 finalisiert, stellen fest, dass Einmalcode- und Out-of-Band-Authentifikatoren nicht Phishing-resistent sind, weil ein auf einer gefälschten Seite eingegebener Code an die echte weitergeleitet werden kann (NIST SP 800-63B-4).
2. Wenn Sie Codes nutzen müssen, bevorzugen Sie eine Authenticator-App gegenüber SMS. Das NIST stuft SMS- und Sprachcodes als „eingeschränkten“ Authentifikator ein.
3. Verwenden Sie für jede Börse und Ihr E-Mail-Konto ein eigenes, langes Passwort. Das FBI empfiehlt eindeutige, zufällige Passwörter mit mindestens 16 Zeichen (FBI IC3, April 2024). Ein Passwortmanager macht das praktikabel.
4. Aktivieren Sie eine Whitelist für Auszahlungsadressen und jede Wartezeit, die die Plattform für neue Adressen anbietet. Ein Dieb, der sich Zugang verschafft, kann dann kein Guthaben direkt an seine eigene Wallet senden.
5. Speichern Sie Login-Seiten als Lesezeichen. Das FBI rät davon ab, Login-Seiten über Suchergebnisse oder Anzeigen aufzurufen, und warnt: „MFA schützt Sie nicht, wenn Sie auf einer betrügerischen Login-Seite landen.“
6. Auflegen und zurückrufen. Wenn jemand behauptet, von Ihrer Börse zu sein, beenden Sie das Gespräch und kontaktieren Sie das Unternehmen über seine offizielle App oder Website.

Bewahren Sie langfristige Bestände nach Möglichkeit in einer Wallet auf, die Sie selbst kontrollieren, statt auf einer Börse. Die Apps von JewelSwap zum Beispiel sind nicht verwahrend (non-custodial): Sie verbinden Ihre eigene Wallet, statt ein JewelSwap-Konto anzulegen, sodass die Sicherheit davon abhängt, wie Sie diese Wallet schützen. Unser Self-Custody-Leitfaden erklärt die Grundlagen.

Wie Börsen Kontoübernahmen erkennen und stoppen

Für Plattformen besteht das Ziel darin, ein gestohlenes Passwort wertlos zu machen und genau dort Hürden einzubauen, wo Geld abfließt. Übliche Kontrollen sind:

• Gerätebindung und Risikosignale. Ein Login von einem neuen Gerät, aus einem neuen Land und von einer neuen IP-Adresse, gefolgt von einem Passwort-Reset und einer neuen Auszahlungsadresse, ist eine klassische Übernahmesequenz. Jeder Schritt für sich ist gewöhnlich; zusammen rechtfertigen sie eine Sperre oder Prüfung.
• Rate Limiting und Bot-Erkennung an Login- und Reset-Endpunkten, gezielt gegen Credential Stuffing.
• Wartezeiten nach Sicherheitsänderungen wie einer neuen E-Mail-Adresse, Telefonnummer, 2FA-Methode oder Auszahlungsadresse.
• Berücksichtigung von SIM-Wechseln. Laut NIST sollten Dienste, die noch Codes per SMS versenden, Risikoindikatoren wie einen Gerätewechsel, SIM-Wechsel oder eine Rufnummernportierung berücksichtigen, bevor sie sich darauf verlassen.
• Erneute Verifizierung (Step-up). Bei risikoreichen Aktionen den Kunden bitten nachzuweisen, dass er dieselbe Person ist, die das Konto eröffnet hat, meist mit einem Live-Selfie, das mit dem ursprünglichen KYC-Datensatz abgeglichen wird. Nach dem Vorfall 2025 kündigte Coinbase an, dass markierte Konten bei großen Abhebungen zusätzliche Identitätsprüfungen durchlaufen müssen.

Step-up-Prüfungen funktionieren nur, wenn sie sich nicht durch ein Foto oder ein wiedergegebenes Video täuschen lassen, deshalb ist Lebenderkennung wichtig. Identitätsanbieter wie iDenfy bieten Gesichtsabgleich mit Lebenderkennung, den Plattformen in solchen Momenten auslösen können, nicht nur bei der Registrierung.

Im Hintergrund hilft die Transaktionsüberwachung, ein gekapertes Konto zu erkennen, über das fremdes Geld bewegt wird, und eine bestätigte Übernahme zur Geldwäsche kann eine Verdachtsmeldung erfordern.

Was tun, wenn Ihr Konto übernommen wurde

Die Warnung des FBI vom November 2025 legt die Reihenfolge fest:

1. Kontaktieren Sie sofort die Plattform und bitten Sie sie, das Konto einzufrieren und alles zurückzurufen oder rückgängig zu machen, was möglich ist.
2. Setzen Sie kompromittierte Zugangsdaten zurück oder widerrufen Sie sie, auch auf allen anderen Websites, auf denen Sie dasselbe Passwort verwendet haben. Widerrufen Sie bei einer Börse auch API-Schlüssel und entfernen Sie unbekannte Auszahlungsadressen und Geräte.
3. Reichen Sie eine Beschwerde auf ic3.gov ein, mit möglichst vielen Details und den Worten „Account Takeover“ in der Beschreibung, wenn Sie sich in den USA befinden.
4. Informieren Sie das Unternehmen, für das sich die Täter ausgegeben haben, wie Sie angegriffen wurden, damit es andere warnen kann.

Sichern Sie anschließend Ihr E-Mail-Konto und Ihr Konto beim Mobilfunkanbieter, denn sie sind die Schlüssel zum Zurücksetzen aller anderen Zugänge. Seien Sie misstrauisch gegenüber jedem, der sich meldet und anbietet, Ihre Krypto gegen eine Gebühr zurückzuholen. Das ist ein häufiger Folgebetrug, den unser Leitfaden zu Krypto-Recovery-Betrug behandelt.

Häufig gestellte Fragen

Was ist Kontoübernahme-Betrug?

Dabei erlangt ein Krimineller die Kontrolle über ein bestehendes Online-Konto einer anderen Person, etwa bei einer Krypto-Börse, ein E-Mail- oder Bankkonto, und nutzt es, um Geld oder Informationen zu stehlen. Das FBI verzeichnete von Januar bis Ende November 2025 mehr als 5.100 Beschwerden und über 262 Mio. $ an Verlusten.

Wie übernehmen Kriminelle Konten bei Krypto-Börsen?

Meist durch wiederverwendete Passwörter, die automatisch auf Login-Seiten ausprobiert werden (Credential Stuffing), durch Phishing und falsche Support-Anrufe, die Passwörter und Einmalcodes abgreifen, durch SIM-Swaps, die SMS-Codes kapern, und durch Malware, die angemeldete Sitzungen stiehlt.

Verhindert die Zwei-Faktor-Authentifizierung eine Kontoübernahme?

Sie hilft, aber nicht jede Art gleich gut. Per SMS gesendete oder aus einer App abgetippte Codes können per Phishing abgegriffen oder abgefangen werden. Passkeys und Hardware-Sicherheitsschlüssel auf Basis von FIDO/WebAuthn sind Phishing-resistent, was die CISA als Goldstandard bezeichnet.

Kann ich meine Krypto nach einer Kontoübernahme zurückbekommen?

Manchmal, wenn Sie schnell handeln und das Guthaben die Plattform noch nicht verlassen hat. Kontaktieren Sie sofort die Börse und melden Sie den Vorfall dem FBI auf ic3.gov, wenn Sie sich in den USA befinden. Sobald Coins an eine externe Adresse abgehoben wurden, ist eine Rückholung schwierig, und wer eine garantierte Rückholung gegen Gebühr verspricht, ist wahrscheinlich ein Betrüger.

Warum verlangt meine Börse vor einer Abhebung ein Selfie?

Das ist eine Step-up-Prüfung. Der Abgleich eines Live-Selfies mit dem Gesicht aus Ihrem ursprünglichen KYC bestätigt, dass die Person, die Guthaben bewegt, der Kontoinhaber ist, und stoppt so einen Kriminellen, der nur Ihr Passwort oder Ihre Codes gestohlen hat.

Weiterlesen

• SIM-Swap-Angriffe: wie sie funktionieren und wie Sie Ihre Krypto schützen
• Lebenderkennung und Gesichtsverifizierung
• Wallet Drainer und Approval-Phishing
• Krypto-Betrug 2026
• Hot Wallet vs. Cold Wallet

Dieser Artikel dient der Information und stellt keine Rechts-, Sicherheits- oder Finanzberatung dar. Die Zahlen entsprechen den im Text verlinkten Quellen in der veröffentlichten Fassung: FBI-IC3-Warnung I-112525-PSA (25. November 2025), Coinbase Form 8-K (15. Mai 2025) und NIST SP 800-63B-4 (Juli 2025). Quellen geprüft am 9. Oktober 2026.