Wrench Attacks: über 350 Krypto-Raubüberfälle, Einfallstore und vermeidbare Fehler

Diese Seite wertet die öffentlich dokumentierten Fälle aus der laufend gepflegten Sammlung Known Physical Bitcoin Attacks von Jameson Lopp danach aus, welches Einfallstor aus der jeweiligen Quellenbeschreibung erkennbar ist. Von über 350 dokumentierten Angriffen ließen sich zum Stand 29. August 2026 bei 256 Fällen konkrete Angriffswege zuordnen. Statt Namen von Opfern in den Mittelpunkt zu stellen, fragen wir: Welche Entscheidung erhöhte das Risiko, welche Warnzeichen wurden übersehen – und was lässt sich daraus für andere Krypto-Halter ableiten?

Gemeint ist die sogenannte 5-Dollar-Wrench-Attack, im Deutschen auch Schraubenschlüssel-Attacke oder Schraubenschlüsselangriff. Der Begriff geht auf den Webcomic XKCD #538 „Security“ zurück, in dem ein Angreifer statt aufwendiger Kryptoanalyse einfach zum Schraubenschlüssel greift: Statt Verschlüsselung anzugreifen, sucht der Täter den Bitcoin-Besitzer auf, nötigt ihn und lässt ihn selbst überweisen. Im Polizeideutsch heißen solche Taten Home-Jacking, Raub in der Wohnung oder räuberische Erpressung. Nach unserer Recherche zum Stand 29. August 2026 ist uns keine deutschsprachige Auswertung bekannt, die diese Fälle systematisch nach konkreten Einfallstoren und daraus ableitbaren Verhaltensfehlern aufbereitet.

Die häufigsten vermeidbaren Fehler vor einer Wrench Attack

Von den 256 Fällen mit erkennbarem Einfallstor lässt sich bei 99 Fällen eine konkrete Handlung des Betroffenen belegen. Die übrigen 157 Fälle stehen im Abschnitt darunter. Jeder Fall ist genau einer Kategorie zugeordnet, Mehrfachzählungen gibt es hier nicht.

← Tabelle seitlich scrollen →

Eigene Auswertung alarm.de auf Basis von Known Physical Bitcoin Attacks, Jameson Lopp; Datenstand 29.08.2026. Grundgesamtheit 256 Fälle mit erkennbarem Einfallstor, je Fall genau eine Kategorie, nur Fälle mit belegter Handlung des Betroffenen.

Die vermeidbaren Einfallstore im Vergleich, 99 von 256 Fällen. Quelle: eigene Auswertung alarm.de auf Basis von Known Physical Bitcoin Attacks, Jameson Lopp, Stand 29.08.2026.

Angriffswege ohne erkennbaren Fehler des Opfers

Bei 157 der 256 Fälle lässt sich aus der Quelle kein vermeidbares Verhalten belegen – das Ziel entstand auf anderem Weg, oder die Beschreibung nennt den entscheidenden Schritt nicht. Diese Gruppe gehört ausdrücklich dazu, weil sie zeigt, dass Vorsicht das Risiko senkt, aber nicht beseitigt.

← Tabelle seitlich scrollen →

99 vermeidbare und 157 nicht belegbar vermeidbare Fälle ergeben zusammen die 256 Fälle mit erkennbarem Einfallstor. Datenstand 29.08.2026.

Die Datenlage: Stand August 2026 über 350 dokumentierte Wrench Attacks

Grundlage ist die Liste bekannter physischer Bitcoin-Angriffe, die der Entwickler Jameson Lopp seit Jahren öffentlich pflegt und die von Forschung und Branche als Referenz genutzt wird. Sie führt Datum, Opfer, Ort und eine kurze Beschreibung mit Quellenlink. Wichtig für die Einordnung: Die Sammlung erhebt selbst keinen Anspruch auf Vollständigkeit, weil viele Überfälle nie öffentlich werden. Die tatsächliche Zahl liegt höher.

Eigene Auszählung der Einträge nach Jahr, Datensatzstand 29. August 2026.

2026 ist ein laufendes Jahr; die Balkenlänge zeigt die Fälle je Jahr im Verhältnis zum stärksten Jahr. Quelle: eigene Auszählung alarm.de auf Basis von Known Physical Bitcoin Attacks, Jameson Lopp, Stand 29.08.2026.

Der Anstieg der Wrench Attacks seit 2024 ist deutlich, und er deckt sich mit dem, was Analysefirmen und Verbände unabhängig voneinander berichten. Der Grund liegt auf der Hand: Je mehr Menschen ihre Coins selbst verwahren und je einfacher sich Bestände öffentlich zuordnen lassen, desto attraktiver wird der direkte Weg über den Besitzer.

Krypto-Gewalt nimmt zu – die wichtigsten Fälle und Muster der letzten Jahre haben wir dort bereits zusammengetragen, mit Schwerpunkt auf der Entwicklung über die Zeit. Diese Seite hier setzt eine Ebene tiefer an und fragt nicht, wie viele Fälle es gibt, sondern was im Einzelfall schiefgelaufen ist. Beide Beiträge ergänzen sich: Der eine zeigt das Ausmaß, dieser die Ursachen.

Tatarten und Angriffssituationen im Überblick

Diese Tabelle zeigt etwas anderes als die Fehlerauswertung weiter oben: Sie ordnet die Taten nach Art und Situation, nicht nach vermeidbarem Verhalten. Entführung oder Überfall in der Wohnung sind Tatarten, keine Fehler. Bezugsgröße ist hier der vollständige Datensatz von über 350 Einträgen, und Mehrfachnennungen sind möglich – ein als Polizist getarnter Täter, der eine Familie in der Wohnung festhält, zählt in drei Zeilen. Deshalb liegen diese Zahlen höher als die der Fehlertabelle.

← Tabelle seitlich scrollen →

Eigene Auswertung der Fallbeschreibungen, Mehrfachnennung möglich.

In keinem der 256 von uns nach Einfallstoren klassifizierten Fälle beschreibt die Quelle das Brechen der Kryptografie oder eines Sicherheitschips als entscheidenden Zugriffsweg. Soweit der Hergang dokumentiert ist, gelang der Zugriff stattdessen durch Gewalt, Zwang, Täuschung, Gerätezugriff oder zuvor bekannt gewordene Informationen. In den ausgewerteten Fällen lag der entscheidende Angriffspunkt regelmäßig beim Menschen oder seinem physischen Umfeld – nicht beim Brechen der zugrunde liegenden Kryptografie.

114 Wrench Attacks aus 2025 und 2026 mit erkennbarem Einfallstor

Die folgende Tabelle enthält die Fälle aus 2025 und 2026, bei denen die Quelle das Einfallstor erkennen lässt – 114 Einträge. Fälle ohne beschriebenen Hergang haben wir weggelassen, ebenso Überfälle auf Automaten, Wechselstuben und Mining-Anlagen: Die treffen Betreiber, nicht normale Halter. Übrig bleibt, was jedem passieren kann.

← Tabelle seitlich scrollen →

Die deutschen Kurzbeschreibungen wurden von alarm.de anhand der Fallsammlung und – wo vertieft geprüft – der jeweils verlinkten Ereignisquellen eigenständig zusammengefasst. Es handelt sich nicht um wörtliche Übersetzungen. Datenstand August 2026.

142 Wrench Attacks von 2014 bis 2024 mit erkennbarem Einfallstor

Wer nur die aktuellen Meldungen liest, hält den Krypto-Raubüberfall für ein neues Phänomen der Millionenbeträge. Die dokumentierten Fälle aus den Jahren 2014 bis 2024 zeigen etwas anderes: Dieselben Maschen laufen seit einem Jahrzehnt, nur mit kleineren Summen und gegen ganz normale Halter. Genau deshalb sind diese älteren Fälle für die meisten Leser die lehrreicheren – sie treffen Menschen ohne Millionenbestand.

← Tabelle seitlich scrollen →

Eigene Auswertung der Einträge bis einschließlich 2024, Mehrfachnennung möglich.

Dieselbe Aufbereitung für die Jahre 2014 bis 2024: 142 Fälle mit erkennbarem Einfallstor. Die Liste zeigt deutlicher als jede Statistik, wie wenig Vermögen es braucht, um Ziel zu werden – und wie alltäglich die Situationen sind, in denen es passiert.

← Tabelle seitlich scrollen →

Einträge vor 2025 mit erkennbarem Einfallstor. Die deutschen Kurzbeschreibungen wurden von alarm.de anhand der Fallsammlung und – wo vertieft geprüft – der jeweils verlinkten Ereignisquellen eigenständig zusammengefasst; es handelt sich nicht um wörtliche Übersetzungen. Fälle ohne beschriebenen Hergang sind nicht aufgeführt. Datenstand August 2026.

Die Lehre daraus ist unbequem, aber einfach: Die Maschen sind nicht neu, und sie richten sich nicht nur gegen Wale. Wer 2018 mit ein paar tausend Euro zum Treffen ging, wurde nach demselben Muster überfallen wie heute jemand mit sechsstelligem Bestand. Wer sich schützen will, muss deshalb nicht die Technik verstehen, sondern drei Situationen vermeiden: den persönlichen Handel an einem fremden Ort, die geöffnete Wohnungstür und das Gespräch über eigene Bestände.

Die bislang identifizierten Gefahrenquellen aus den Fällen

Aus den 114 Fällen aus 2025 und 2026, den 142 Fällen davor und den vertieft recherchierten Originalberichten haben wir jede Situation herausgezogen, die einem Täter den Zugriff ermöglicht hat, und zu 46 Gefahrenquellen zusammengefasst. Diese Liste ist ausdrücklich nicht abgeschlossen: Jeder Originalbericht, den wir zusätzlich auswerten, kann eine weitere Vorstufe sichtbar machen. Gleichartige Fehler stehen dabei zusammen; jede eigenständige Gefahr wird aber mindestens einmal benannt. Ergänzt haben wir die Wege, die in den Fallbeschreibungen fehlen, aber von Analysefirmen und der Forschung übereinstimmend genannt werden – etwa die öffentlich zuordenbare Wallet-Adresse und geleakte Kundendaten. Alles hier ist dokumentierte Praxis, nichts davon ausgedacht.

Die Wohnadresse ist bekannt

Mit 57 Fällen ist der Krypto-Raubüberfall in der eigenen Wohnung das häufigste Muster überhaupt. Die Adresse stammte aus einem Handelsgeschäft, aus einer Paketlieferung, aus dem Bekanntenkreis oder aus öffentlich auffindbaren Angaben. Wer Kryptowährung hält, sollte seine Anschrift wie eine sicherheitsrelevante Information behandeln: Lieferungen an Packstation oder Büroadresse, keine Fotos mit erkennbarem Wohnumfeld, kein voller Name am Klingelschild und getrennte Adressen für Impressum und Privatanschrift.

Die Tür wird für einen angeblichen Zusteller geöffnet

Paketbote, Essenslieferung, Postbote, Kurierdienst: Diese Tarnung taucht seit 2018 auf und ist bei den Wrench Attacks der Jahre 2025 und 2026 das am schnellsten wachsende Muster. In einem Fall bat der vermeintliche Zusteller um ein Glas Wasser, in einem anderen übergab ein angeblicher Postbote einen Forderungsbrief, in einem dritten nutzten die Täter den Zugang zum Lieferdienst-Konto des Opfers. Merksatz: Unangekündigte Zusteller werden nicht eingelassen – Pakete kann man vor der Tür abstellen lassen, und im Zweifel klärt eine Rückfrage beim Absender, ob eine Lieferung überhaupt erwartet wird.

Angebliche Polizei, Militär oder Bundesbeamte

Elf Fälle mit falscher Polizei, dazu falsche Soldaten und falsche Bundesbeamte. Die Uniform ersetzt den Einbruch, weil kaum jemand einer Amtsperson die Tür verweigert. Bei Zweifeln vor dem Einlass die Identität über eine selbst recherchierte offizielle Rufnummer der zuständigen Dienststelle überprüfen; eine vom Besucher genannte Telefonnummer nicht ungeprüft verwenden.

Echte, aber korrupte Amtsträger

Acht Fälle betreffen Polizisten, die selbst die Täter waren, unter anderem in Indien, der Ukraine, Nigeria, Russland, Pakistan und den USA. Dieses Muster ist besonders unangenehm, weil die üblichen Ratschläge dort nicht greifen. Praktisch bleibt: bei Kontrollen keine Angaben zu Vermögenswerten machen, Telefon gesperrt halten und im Zweifel auf einer Vorladung zur Dienststelle bestehen.

Angebliche Handwerker, Techniker und Gutachter

Servicetechniker, Bauarbeiter, Maler, Versicherungsgutachter: Auch diese Rollen wurden genutzt, um in Wohnungen zu gelangen. In einem Fall prügelten drei angebliche Techniker das Passwort aus dem Besitzer heraus. Handwerkstermine gehören deshalb angekündigt und bestätigt, und unangekündigte Besuche werden nicht eingelassen.

Das persönliche Handelstreffen

33 Krypto-Raubüberfälle beginnen mit einem Tausch von Hand zu Hand, dazu Treffen im Hotelzimmer, im Parkhaus, auf Parkplätzen und in Cafés. Der Ort wurde häufig vom Gegenüber vorgeschlagen, mehrfach kannten sich beide Seiten seit Wochen. Wenn ein persönliches Geschäft nötig ist: öffentlicher, videoüberwachter Ort, nie allein, kein Bargeld in großer Menge und keine vorherige Nennung von Beträgen.

Kleine erfolgreiche Testgeschäfte als Vertrauensaufbau

Der Fall aus Bangkok zeigt ein Muster, das jede Vorsichtsregel aushebelt: Dieselbe Gruppe hatte den Opfern zuvor zweimal problemlos Kryptowährung verkauft, für 200.000 und 300.000 Baht. Weil beide Geschäfte reibungslos liefen, erhöhten die Käufer beim dritten Mal auf 3,4 Millionen Baht – und genau dort schlugen die Täter zu. Zwei gelungene Geschäfte sind also kein Sicherheitsnachweis, sondern können Teil der Vorbereitung sein. Wer den Betrag nach guten Erfahrungen deutlich erhöht, sollte die Sicherheitsmaßnahmen im selben Verhältnis erhöhen, nicht senken.

Der Treffpunkt wird nach Beginn des Treffens verlegt

Im selben Fall traf man sich zunächst in einem Café im Einkaufszentrum – also genau an dem öffentlichen, belebten Ort, den jede Sicherheitsempfehlung nennt. Ausgeraubt wurden die Opfer erst danach, im Parkhaus desselben Zentrums. Der sichere Treffpunkt schützt nur so lange, wie das Treffen dort stattfindet. Eine Verlegung während des Termins – ins Auto, in die Tiefgarage, in ein Zimmer, an einen zweiten Ort – ist der Moment, an dem der Handel beendet gehört, egal wie plausibel die Begründung klingt.

Kontaktanbahnung über Gruppen und Foren

Die Täter in Bangkok traten nach Angaben der Ermittler in einer Facebook-Gruppe als Krypto-Vermittler auf und lockten so zum Treffen. Handelsgruppen in sozialen Netzwerken und Messengern sind praktisch, aber sie enthalten keine Prüfung: Ein Profil mit Bewertungen und freundlichen Antworten kostet nichts. Wer dort handelt, sollte die Gegenseite unabhängig prüfen und den Betrag begrenzen.

Vermögensnachweis gezeigt, bevor die Gegenseite geliefert hat

Ein Käufer war eigens nach Singapur gereist, um Bitcoin gegen 365.000 Singapur-Dollar in bar zu erwerben. Im Hotelzimmer zeigte er den angeblichen Verkäufern das Geld – unmittelbar danach wurde er geschlagen und der Rucksack war weg. Der Vorgang wirkt harmlos und ist doch der Kipppunkt: Wer zuerst nachweist, dass er zahlungsfähig ist, hat den Beweis erbracht, dass sich der Überfall lohnt. Zahlungsfähigkeit gehört, wenn überhaupt, nur Zug um Zug und an einem gesicherten Ort gezeigt, niemals vorab und nicht in einem privaten Raum.

Vermittler und Broker als Informationsleck

Im selben Fall stammte der Kontakt zu den vermeintlichen Verkäufern aus dem eigenen Vermittlerkreis des Käufers. Nach den Gerichtsberichten erfuhr ein in der Bitcoin-Vermittlung tätiger Mann von der geplanten Bargeldtransaktion und beauftragte zwei Bekannte damit, den Käufer im Hotel auszurauben. Ein Vermittler ist damit kein Sicherheitsnachweis, sondern eine zusätzliche Stelle, an der die Information über Betrag, Zeitpunkt und Aufenthaltsort abfließen kann. Je größer der Betrag, desto kleiner sollte der Kreis der Mitwisser sein.

Bargeld vor oder nach dem Tausch

Mehrere Opfer wurden nicht wegen ihrer Coins überfallen, sondern wegen des Bargelds, das sie zum Kauf mitgebracht oder nach einem Verkauf erhalten hatten – in einem Fall fünf Millionen Euro in einer Tasche. Die Coins sind digital geschützt, das Bargeld ist es nicht. Wer Beträge in bar bewegt, plant den Weg dorthin und zurück wie einen eigenen Sicherheitsvorgang.

Verkaufsanzeigen, Tauschplattformen und Foren

Wer öffentlich anbietet, macht sich für einen Krypto-Raubüberfall auffindbar. In den Fällen finden sich Überfälle nach Kleinanzeigen, nach Geschäften über Tauschplattformen und ein Angriff auf einen Forum-Moderator. Anzeigen sollten keine Rückschlüsse auf Bestand, Wohnort oder Erreichbarkeit zulassen.

Vorgetäuschte Geschäfte, Investitionen und Reisen

Acht Fälle beruhen auf einem erfundenen Anlass: ein angebliches Investment, ein Beratungstermin, eine Geschäftsreise, ein Kaufinteresse. Führungskräfte wurden zu einer Scheinreise gelockt und um zwölf Millionen USDT gebracht. Je professioneller der Anlass wirkt, desto genauer gehört geprüft, wer wirklich einlädt.

Angehörige als Druckmittel

In sechzehn Fällen wurden Partner, Kinder, Eltern oder Geschwister zum Hebel – entführt, festgehalten oder bedroht, damit der eigentliche Besitzer zahlt. Betroffen waren auch Kleinkinder und Menschen über siebzig. Wer größere Bestände hält, muss die Familie einbeziehen: abgesprochenes Verhalten an der Tür, klare Regel, dass niemand über Vermögen spricht, und ein Notfallwort.

Täter aus der eigenen Familie

Ein Sohn betäubte seinen Vater und entwendete Bitcoin im Wert von 400.000 Dollar. Die wissenschaftliche Untersuchung zum Thema führt dafür sogar eine eigene Kategorie ein: wirtschaftlicher Missbrauch innerhalb von Beziehungen. Gegen diesen Angriffsweg helfen weder Alarmanlage noch Türspion, sondern nur getrennte Zugänge und eine Verwahrung, die nicht im gemeinsamen Haushalt liegt.

Freunde, Bekannte und Geschäftspartner

Freunde, die einen Bekannten folterten, ein Paar, das einen Raub vortäuschte, ein Geschäftspartner, ein Mitstudent, ein Mitglied desselben Fitnessstudios: Der Hinweis kam regelmäßig aus dem eigenen Umfeld. Das ist der Grund, warum die wichtigste Regel nicht technisch ist – niemand muss wissen, wie viel du hältst.

Flüchtige Bekanntschaften in Bar, Hotel und Nachtleben

Ein Händler erzählte fremden Männern im Hotel von seiner Tätigkeit und wurde später in deren Wohnung festgehalten. Eine Gruppe freundete sich in einer Bar an, folgte dem Opfer nach Hause und öffnete dessen Konten per Gesichtserkennung. Im Nachtleben und auf Reisen ist der Beruf die heikelste Information überhaupt.

Dating-Apps, Chat-Portale und Sexversprechen

Mehrere Fälle beginnen mit einer Verabredung: über eine Dating-App, über ein Chat-Portal, über ein Versprechen in sozialen Netzwerken. In Kanada wurden Opfer über Kontaktbörsen gezielt angelockt, in Südkorea betäubte eine Chat-App-Bekanntschaft ihr Opfer und räumte dessen Telefon leer. Für das erste Treffen gilt dasselbe wie beim Handel: öffentlicher Ort, kein Zutritt zur Wohnung, keine Angaben zum Vermögen.

Betäubungsmittel im Getränk

In mehreren Fällen wurden Opfer betäubt, bevor sie beraubt wurden – bei Verabredungen, in Hotels, in Privatwohnungen. Danach reichte der Zugriff auf das entsperrte Telefon. Getränke nicht unbeaufsichtigt lassen ist damit auch eine Krypto-Sicherheitsregel.

Prahlen in sozialen Netzwerken

Blogger, Influencer, Streamer: Wer Vermögen zeigt, wird für eine Wrench Attack ausgewählt. Eine Streamerin veröffentlichte den Screenshot einer Wallet über 20 Millionen Dollar und wurde kurz darauf zu Hause überfallen; in Brasilien wird ein Mord ausdrücklich auf Angeberei in sozialen Netzwerken zurückgeführt. Beträge, Gewinne und Screenshots gehören nicht ins Netz.

Der eigene Follower wird zum Täter

Ein bekannter französischer Krypto-YouTuber öffnete morgens die Wohnungstür und stand einem bewaffneten Mann gegenüber; er konnte die Tür zuschlagen. Der Angreifer war nach Berichten ein Follower aus seinen eigenen sozialen Netzwerken. Der Betroffene zog anschließend um und gibt seither deutlich weniger persönliche Informationen preis. Reichweite bedeutet also nicht nur Publikum, sondern auch eine unbekannte Zahl von Menschen, die den eigenen Alltag verfolgen – und für die der Schritt vom Zuschauer zum Täter kürzer sein kann, als man denkt.

Privatadresse als Impressums- oder Firmenadresse

Wer in Deutschland eine Website betreibt oder selbstständig ist, muss eine ladungsfähige Anschrift veröffentlichen – und das ist bei vielen die Wohnadresse. Dazu kommen Handelsregister, Gewerbeanmeldung und Rechnungen. Wer öffentlich mit Kryptowährung zu tun hat, verknüpft damit ohne weiteres Zutun seinen Namen, sein Thema und seinen Wohnort. Abhilfe schaffen eine getrennte Geschäftsadresse, ein Büroservice mit ladungsfähiger Anschrift oder ein Geschäftssitz, der nicht die eigene Wohnung ist. Das ist einer der wenigen Punkte, an denen sich mit überschaubarem Aufwand ein ganzes Angriffsmuster abschneiden lässt.

Kompromittierte Alltagskonten verraten Routinen

Im Fall aus Sunnyvale nutzten die Täter den Zugang zum Lieferdienst-Konto des Opfers, um als dessen Fahrer aufzutreten. Das verbindet einen digitalen Angriff mit einem körperlichen: Wer Zugriff auf Liefer-, Fahrdienst- oder Paketkonten hat, kennt Adresse, Bestellzeiten und den Moment, in dem ein Klingeln erwartet wird – und wirkt damit an der Tür völlig unverdächtig. Diese Konten verdienen deshalb dieselbe Aufmerksamkeit wie die Börsenkonten: eigenes Passwort, Zwei-Faktor-Anmeldung, regelmäßiger Blick in die Anmeldeverläufe.

Beruf und Branchenzugehörigkeit sind bekannt

Entwickler, Vorstände, Börsenbetreiber, Veranstalter und Projektmitarbeiter wurden gezielt angegriffen, weil ihre Rolle öffentlich war. Wer beruflich mit Kryptowährung zu tun hat, kann das kaum verbergen – sollte aber Wohnadresse, Tagesablauf und Familienangaben umso konsequenter trennen.

Das beiläufige Gespräch mit Dienstleistern

Eine Frau erzählte einem Bauarbeiter während der Renovierung von ihren Krypto-Anlagen und wurde anschließend überfallen. Handwerker, Reinigungskräfte, Umzugshelfer und Pflegepersonal sehen die Wohnung von innen. Das ist keine Frage von Misstrauen, sondern von Zurückhaltung beim Thema Geld.

Sichtbarer Luxus

Uhren, Autos und Schmuck führten mehrfach zum Angriff, die Coins waren erst der zweite Schritt. Ein Mann wurde wegen einer Luxusuhr angeschossen, ein anderer aus seinem Sportwagen heraus entführt. Auffälliges Auftreten wirkt hier wie eine Einladung: Wer teure Dinge sichtbar trägt, wird nach demselben Muster für einen Krypto-Raubüberfall ausgewählt wie jeder andere Wohlhabende.

Falsche Fahrdienste

Ein angeblicher Fahrer betäubte einen Touristen und leerte dessen Wallets; ein anderer nahm Fahrgästen die Telefone ab und räumte deren Börsenkonten leer. Fahrzeug, Kennzeichen und Fahrername gehören vor dem Einsteigen abgeglichen – gerade nachts und im Ausland.

Auf der Straße, im Auto, auf dem Heimweg

Neun Krypto-Raubüberfälle spielen im öffentlichen Raum: abgepasst nach Feierabend, aus dem Fahrzeug heraus entführt, auf einer Einkaufsstraße überwältigt. Wer regelmäßig zur selben Zeit denselben Weg nimmt, ist leicht planbar. Wechselnde Wege und Zeiten sind die einfachste Gegenmaßnahme.

Vorherige Beobachtung, GPS-Sender und Ortung

In Frankreich fanden Ermittler einen GPS-Sender am Auto der Opfer; in einem US-Verfahren verfolgte ein Mittäter den Standort über das Cloud-Konto des Opfers, während der Einbruch lief. In zwei weiteren Fällen wurde das Ziel vorab wochenlang ausgekundschaftet, bevor zugegriffen wurde. Standortfreigaben in Apps, Cloud-Ortung und öffentlich sichtbare Routinen sind damit ein Angriffsweg – die Freigaben gehören regelmäßig kontrolliert.

Verwechslung und falsches Ziel

Sieben Fälle trafen die falsche Person: eine Ärztin ohne Coins, ein Streamer ohne Coins, ein Paar, dem fälschlich Bestände zugeschrieben wurden, eine Frau an der falschen Hausnummer. Der Ruf, Kryptowährung zu besitzen, reicht bereits aus. Auch wer wenig hält, sollte deshalb nicht als Halter erkennbar sein.

Wiederholte Angriffe auf dasselbe Ziel

In Frankreich griff dieselbe Gruppe ein Paar innerhalb weniger Wochen dreimal an und scheiterte erst beim dritten Mal an der Alarmanlage; ein weiterer Fall zählt vier Versuche. Auch die wissenschaftliche Untersuchung zu Wrench Attacks berichtet von Mehrfachbetroffenen. Nach einem Angriff ist die Gefahr nicht vorbei, sondern erhöht.

Reisen, Hotels und Ferienorte

Touristen wurden in Ferienwohnungen, Hotelzimmern, Cafés und sogar im Schlaf überfallen, mehrfach durch Landsleute, die sie vor Ort kennengelernt hatten. In Costa Rica wurde sogar eine ganze Reisegruppe überfallen und um mehr als zehn Bitcoin gebracht. Auf Reisen gilt: nur ein Alltagsgerät mit kleinem Bestand mitnehmen, keine Angaben zum Beruf gegenüber Fremden, Zimmertür auch tagsüber verschlossen halten.

Betreiber von Automaten, Wechselstuben und Mining-Anlagen

Vierzehn Fälle betreffen Bitcoin-Automaten, fünf Wechselstuben, acht Mining-Anlagen und mehrere Geschäftsräume. Hier trifft es Unternehmer, nicht private Halter – die Lehre gilt aber für beide: Wo Bargeld oder Hardware sichtbar lagert, wird eingebrochen, unabhängig von jeder Verschlüsselung.

Sonderfälle, die man sonst nirgends liest

Ein Student wurde in der ersten Uni-Woche im Wohnheim ausgeraubt, in einer Haftanstalt zwangen Häftlinge Mitgefangene zu Überweisungen, ein Fernsehauftritt wurde während einer Live-Übertragung überfallen. Diese Fälle zeigen, dass es keinen Ort gibt, an dem das Thema grundsätzlich keine Rolle spielt.

Die eigene Wallet-Adresse ist öffentlich zuordenbar

Analysefirmen und Sicherheitsdienste nennen übereinstimmend einen Weg, den kaum jemand auf dem Schirm hat: die Blockchain selbst. Wer eine Adresse öffentlich mit seinem Namen verbindet – als Spendenadresse, im Profil, unter einem Beitrag, über einen Namensdienst – macht seinen Bestand für jeden einsehbar, der einen Blockchain-Explorer bedienen kann. Aus einer Adresse plus einem Namen wird ein Ziel. Bestände gehören deshalb auf Adressen, die nicht öffentlich mit der eigenen Person verknüpft sind.

Verkaufte Daten aus Behörden und Unternehmen

Über Frankreich wurde berichtet, ein Steuerbeamter habe Dossiers über vermögende Krypto-Besitzer verkauft. Wo Behörden und Dienstleister Vermögensdaten führen, entsteht ein Markt für genau diese Listen – und der Betroffene erfährt davon nichts. Dagegen hilft nur, die eigene Anschrift und die Zuordnung zwischen Person und Beständen so klein wie möglich zu halten, weil sich der Rest der Kette der eigenen Kontrolle entzieht.

Datenlecks bei Börsen, Diensten und Behörden

Wenn ein Anbieter Namen, Anschriften, Telefonnummern und Ausweisdaten seiner Kunden verliert, entsteht daraus eine Liste von Menschen mit nachweisbarem Krypto-Bezug und bekannter Wohnadresse. Genau solche Datensätze werden im Untergrund gehandelt, und mehrere Sicherheitsfirmen führen sie als Ausgangspunkt für Überfälle. Betroffene können das Leck nicht rückgängig machen – sie können aber die Wohnadresse ändern lassen, wo es geht, Lieferungen umleiten und die Aufmerksamkeit auf ihr Zuhause senken.

Branchenveranstaltungen, Meetups und Konferenzen

Auf Fachveranstaltungen trifft sich genau die Zielgruppe, und Namensschilder, Vorträge und Teilnehmerlisten machen die Zuordnung leicht. Ein Fall aus Las Vegas betraf den Gastgeber einer Krypto-Veranstaltung, der anschließend entführt wurde. Wer auftritt, sollte danach nicht allein und nicht zu Fuß ins Hotel zurückgehen und im Gespräch keine Bestände nennen.

Auftragstäter aus dem Messenger

Der Fall aus der französischen Somme zeigt eine Entwicklung, die für die Einschätzung des eigenen Risikos wichtig ist: Beteiligte wurden über Telegram angeworben und für die Tat bezahlt, ein Fahrer bekam 300 Euro für den Transport von Brecheisen, Sturmhauben und Kabelbindern. Angreifer müssen also keine eingespielte Bande sein – es reicht, dass jemand einen Hinweis hat und Leute anheuert. Das senkt die Schwelle erheblich und erklärt, warum auch mittlere Bestände zum Ziel werden.

Biometrie gegen den betäubten oder festgehaltenen Besitzer

Gesichtserkennung und Fingerabdruck sind bequem und in genau dieser Lage ein Nachteil: Beides lässt sich an einem Menschen anwenden, der sich nicht wehren kann. In London schlugen Täter ihr Opfer nieder und öffneten die Konten per Gesichtserkennung. In Südkorea betäubte eine über eine Chat-App kennengelernte Frau ihr Opfer und griff anschließend über dessen Telefon auf Kryptowährung im Wert von rund 87.000 Dollar zu; koreanischen Medienberichten zufolge nutzte sie dafür seinen Fingerabdruck und ein zuvor beobachtetes Entsperrmuster. Eine Auswertung von NBC News über 67 Entführungsfälle nennt Gesichtserkennung ausdrücklich als Faktor, der Tätern den Zugriff erleichtert. Für Anwendungen mit Zugriff auf Guthaben gehört deshalb eine zusätzliche Sperre, die nicht am Gesicht oder Finger hängt – und ein Blick darauf, wer beim Entsperren zusieht.

Zugangsdaten am selben Ort wie das Gerät

Ein Fall aus New York zeigt die Kehrseite und zugleich die wirksamste Maßnahme: Die Täter nahmen dem Opfer Geräte und Ausweis ab und erzwangen über Wochen das Passwort. Es lag jedoch auf einem Rechner in einem anderen Raum – und genau auf dem Weg dorthin konnte das Opfer fliehen. Wer Zugangsdaten, Wiederherstellungswörter und Zweitfaktor am selben Ort und auf demselben Gerät verwahrt wie die Wallet, verschenkt beides: die Verzögerung und die Gelegenheit. Der Zweitfaktor auf demselben Telefon ist damit kein zweiter Faktor mehr.

Entsperrtes Gerät unter harmlosem Vorwand aus der Hand gegeben

Dieses Muster taucht in mehreren Fällen mit völlig verschiedenen Tätern auf, und der Vorwand ist jedes Mal harmlos. In Pattaya bat ein Bekannter darum, kurz das Telefon benutzen zu dürfen, um Telegram-Kontaktdaten für ein Gespräch über Krypto-Handel auszutauschen – Sekunden später lag ein Messer auf dem Tisch. In Scottsdale gab sich ein Mann als bestellter Fahrer aus und sagte entweder, sein eigenes Telefon sei leer, oder bot an, ein Problem mit der Fahrdienst-App zu beheben; sobald er die entsperrten Geräte in der Hand hatte, übertrug er Guthaben von den Börsenkonten seiner Fahrgäste. Die konkreten Vorwände, an denen sich das wiedererkennen lässt: Kontaktdaten austauschen, kurz telefonieren, ein technisches Problem lösen, ein Foto machen, eine Adresse eingeben. Deshalb: das entsperrte Gerät niemandem in die Hand geben. Kontaktdaten lassen sich diktieren, scannen oder auf dem fremden Gerät eintippen, und für Anwendungen mit Zugriff auf Guthaben lohnt eine zusätzliche Sperre, die nicht am Entsperren des Telefons hängt.

Ein Fremder kennt den eigenen Namen

Im Fall aus Scottsdale rief der Täter die Namen der wartenden Fahrgäste auf – dadurch hielten sie ihn für ihren bestellten Fahrer und stiegen ein. Woher er die Namen kannte, ist laut den Gerichtsunterlagen nicht bekannt. Der Mechanismus dahinter ist übertragbar: Wer den eigenen Namen nennt, wirkt legitim, ganz ohne Ausweis oder Beleg. Bei Fahrdiensten hilft der Abgleich von Kennzeichen, Fahrzeug und Fahrername in der App, bei Lieferungen und angeblichen Dienstleistern eine Rückfrage über den offiziellen Weg.

Die entsperrte Wallet als Vermögensnachweis vorgezeigt

Der einzige in Deutschland dokumentierte Fall zeigt diesen Mechanismus lehrbuchartig: Ein 29-Jähriger traf sich im März 2021 auf einem Parkplatz in München zu einem Bitcoin-Geschäft, entsperrte sein Smartphone und zeigte den beiden Männern seine Wallet mit einem Betrag im hohen fünfstelligen Bereich. In genau diesem Moment griffen zwei weitere Täter an, hielten ihn fest und rissen ihm das Telefon aus der Hand. In Pattaya lief es ähnlich: Erst das gezeigte Portfolio machte klar, dass sich der Aufwand lohnt. Der Vorgang wirkt wie ein normaler Geschäftsschritt und liefert dem Gegenüber vier Dinge auf einmal – dass Vermögen vorhanden ist, wie viel ungefähr, dass das Gerät entsperrt ist und dass es in Reichweite liegt. Zahlungsfähigkeit gehört deshalb nie über die entsperrte Wallet nachgewiesen.

Das Telefon in der Hand des Täters

Gesichtserkennung wurde gegen den Willen des Besitzers ausgelöst, Passwörter wurden erzwungen, Telefone einfach mitgenommen. Sobald das entsperrte Gerät beim Täter ist, hilft bei einem Krypto-Raubüberfall keine Wallet-Technik mehr. In einem US-Verfahren musste sich das Opfer unter Waffengewalt nur einloggen – die Überweisung führte danach ein Mittäter selbst aus. Für Anwendungen mit Zugriff auf Guthaben lohnt eine zusätzliche Sperre, die nicht am Gesicht hängt.

Diese Gefahren im Detail

Zu vier der oben genannten Gefahrenquellen haben wir eigene Beiträge, die tiefer gehen als eine Absatzlänge – Datenlecks als Ausgangspunkt, das Gespräch über eigene Bestände, die falsche Amtsperson an der Tür und die bauliche Absicherung der Wohnung.

Falsche Polizei, Schockanruf und Enkeltrick funktionieren nach demselben Muster wie die getarnten Zusteller in dieser Auswertung: Eine Rolle, der man nicht widerspricht, erzeugt Handlungsdruck. Der Beitrag zeigt die Erkennungsmerkmale solcher Auftritte und die Sätze, mit denen sich ein Gespräch sofort beenden lässt. Für ältere Angehörige ist er der wichtigere Text von beiden.

Einbruchschutz für Krypto-Halter setzt an derselben Stelle an, nur baulich: Wohnungstür, Gegensprechanlage, Sichtschutz und die Frage, was das Klingelschild verrät. Bei einem Muster, in dem 43 Fälle in der eigenen Wohnung enden, ist das keine Nebensache. Der Beitrag geht durch, welche Maßnahmen tatsächlich etwas bringen und welche nur teuer sind.

Über Krypto-Besitz reden: wem du es nicht erzählen solltest vertieft genau diesen Punkt und ist die logische Ergänzung zu den Fällen oben. Es geht dabei weniger um soziale Netzwerke als um Alltagssituationen: das Gespräch im Verein, der Kollege, der Handwerker in der Wohnung. Der Beitrag ordnet, welche Information wirklich heikel ist und welche unbedenklich bleibt.

Datenlecks als Auslöser von Wrench-Angriffen zeigt den zweiten Weg, auf dem Täter an ihre Ziele kommen – ganz ohne Zutun des Opfers. Wenn ein Anbieter Namen, Adressen und Ausweisdaten seiner Kunden verliert, entsteht daraus eine Liste von Menschen mit nachweisbarem Krypto-Bezug und bekannter Anschrift. Wir sammeln dort die belegten Fälle und erklären, was sich nach einem solchen Leck noch tun lässt.

Ergänzende Fälle und Erkenntnisse aus weiteren Quellen

Die Sammlung erfasst vor allem englischsprachig berichtete Fälle. Bei der Recherche sind uns Ergänzungen begegnet, die dort nicht oder nur verkürzt stehen. Sie sind hier bewusst getrennt aufgeführt und fließen nicht in die Zahlen der Fehlerauswertung ein.

Wie viele Fälle betreffen den deutschsprachigen Raum? Nach einer auf der GLOK-Datenbank basierenden Auswertung von CoinPro waren zum dortigen Datenstand vier Fälle im deutschsprachigen Raum erfasst: einer in Deutschland, drei in Österreich und keiner in der Schweiz. Der eine deutsche Fall stammt aus München: Ein 29-Jähriger entsperrte im März 2021 bei einem Bitcoin-Geschäft auf einem Parkplatz sein Smartphone, um seine Wallet zu zeigen – und wurde in diesem Moment von zwei hinzukommenden Tätern überfallen, die ihm das Telefon entrissen. Vier Fälle sind die gute Nachricht – und zugleich der Grund, warum das Thema hier kaum ernst genommen wird. Die Muster wandern jedoch mit: Die getarnte Zustellung, das Handelstreffen und der Hinweis aus dem Bekanntenkreis funktionieren in Hamburg genauso wie in Lyon.

Berlin, 2025: geplante Entführung eines Krypto-Millionärs. Vor dem Landgericht Berlin muss sich ein 45-Jähriger wegen Verabredung zum erpresserischen Menschenraub verantworten. Nach der Anklage sollte ein Geschäftsmann in Berlin-Mitte in ein Fahrzeug gezerrt und in eine Wohnung nach Polen verschleppt werden, um ihn zur Übertragung von rund zwei Millionen Euro in Kryptowährung zu bewegen. Der Angeklagte weist die Vorwürfe zurück. Der Fall zeigt zweierlei: Die Planung solcher Taten findet auch in Deutschland statt – und sie wurde durch verdeckte Ermittlungen aufgedeckt, bevor etwas passierte.

Somme, 2026: die Täter wurden über einen Messenger angeworben. Der Fall mit den drei Angriffen auf dasselbe Haus hat einen Hintergrund, der in der Kurzfassung fehlt: Die eigentlichen Krypto-Besitzer waren längst ausgezogen, getroffen hat es die neuen Eigentümer. Einer der Beteiligten soll über Telegram angeworben worden sein und bis zu 30.000 Euro erhalten haben, ein Fahrer 300 Euro für den Transport von Brecheisen, Sturmhauben und Kabelbindern. Teile der Tat wurden offenbar live über Snapchat übertragen.

Warum wir die Originalberichte prüfen, nicht nur die Kurzfassungen. Die Sammlung fasst jeden Fall in ein bis zwei Sätzen zusammen. Genau der Schritt, der für Leser am wichtigsten ist, fällt dabei oft weg. Aus „Tourist von Bekannten beraubt“ wurde im Polizeibericht: Das Opfer hatte vorher sein Portfolio gezeigt und sein entsperrtes Telefon aus der Hand gegeben. Aus „falscher Fahrer stiehlt Kryptowährung“ wurde in den Gerichtsunterlagen: Der Täter rief die Namen der Wartenden auf, damit sie ihn für ihren Fahrer hielten, und bat dann um ihr Telefon – mal mit dem Hinweis, sein eigenes sei leer, mal mit dem Angebot, ein App-Problem zu beheben. Woher er die Namen kannte, ist ausdrücklich nicht bekannt. Diese zweite Rechercheebene setzen wir Fall für Fall fort; die daraus gewonnenen Muster stehen oben bei den Gefahrenquellen.

Das Opfer entsperrt, der Täter überweist selbst. In einem US-Verfahren gegen drei Männer wegen eines Raubes über 6,5 Millionen Dollar heißt es in der Anklage, das Opfer sei mit vorgehaltener Waffe gezwungen worden, sich in seine Krypto-Konten einzuloggen – die Überweisung führte anschließend ein Mittäter selbst aus. Das ist der Vorgang, den viele unterschätzen: Es reicht nicht, das Gerät zu entsperren und zu hoffen, dass man selbst tippen darf. Wer einmal eingeloggt hat, hat die Kontrolle abgegeben, und was danach passiert, bestimmt der Täter.

Pattaya, Juli 2026: „Darf ich kurz dein Handy haben?“ Der Fall steht in der Sammlung nur mit einer Zeile, der Polizeibericht ist deutlich lehrreicher. Ein 24-jähriger Brite wurde von einem Bekannten zum WM-Spiel in eine Wohnung eingeladen. Dort bat einer der beiden Anwesenden um sein Telefon, um angeblich Telegram-Kontaktdaten für ein Gespräch über Krypto-Handel auszutauschen – dann zog er ein Messer, fesselte ihm die Hände mit Klebeband und ließ ihn Ether im Wert von rund 9.800 Pfund überweisen. Entscheidend ist der Satz der Ermittler: Das Opfer hatte den beiden vorher sein Portfolio gezeigt. Erst dadurch wussten sie, dass sich der Aufwand lohnt. Beide Täter kannte er über gemeinsame Freunde, der Kontakt lief über einen Messenger.

Serien statt Einzelfälle. Der Überfall in San Francisco im November 2025 – Täter als Pizzaboten getarnt, das Opfer mit Klebeband gefesselt, Schaden 13 Millionen Dollar – steht offenbar nicht allein: Drei weitere Taten in Sunnyvale, San Jose und Los Angeles in den Tagen und Wochen danach werden mit demselben Vorgehen in Verbindung gebracht. In unserer Fallliste stehen sie als vier getrennte Einträge; tatsächlich sieht es nach einer Serie aus. Wer eine Meldung aus der Nachbarschaft liest, sollte sie deshalb nicht als Einzelfall abtun.

Die Zahlen einer weiteren Auswertung. Andere Auswertungen zählen nach eigenen Kriterien – ihre Zahlen sind deshalb nicht mit unseren vergleichbar, sondern eine zweite Perspektive.

CertiK weist im Bericht zum ersten Halbjahr 2026 vom 23. Juli 2026 52 verifizierte Wrench Attacks weltweit aus, davon 39 in Europa und 33 allein in Frankreich – ein Plus von 33,3 Prozent gegenüber dem ersten Halbjahr 2025. Die dort genannten rund 124,1 Millionen US-Dollar bezeichnet CertiK ausdrücklich als recorded exposure: Darin können Lösegeldforderungen, tatsächlich übertragene Gelder sowie eingefrorene oder später zurückgeholte Werte enthalten sein. Es handelt sich also nicht um bestätigten Schaden. Weiter nennt der Bericht 20 Wohnungsüberfälle gegenüber einem einzigen im ersten Halbjahr 2025 und 16 Entführungen gegenüber 12.

Chainalysis misst etwas anderes: bekannte, tatsächlich erfolgreich entwendete Werte. Für 2025 nennt das Unternehmen einen Rekordwert von 58 Millionen US-Dollar, für die erste Hälfte 2026 mehr als 30 Millionen US-Dollar; Wohnungsüberfälle machen dort 37 Prozent der dokumentierten Angriffe des Jahres 2026 aus. Die Finanzzahlen von CertiK und Chainalysis sind nicht direkt vergleichbar: CertiK misst eine breitere finanzielle Exposition, Chainalysis hier bekannte erfolgreich entwendete Werte. Der französische Innenminister sprach für das erste Halbjahr 2026 von mehr als 70 gewalttätigen Vorfällen mit Krypto-Bezug allein in Frankreich.

Was die erste umfassende wissenschaftliche Studie zu Wrench Attacks zeigt

Neben der Fallsammlung gibt es inzwischen eine akademische Untersuchung: Forscherinnen und Forscher des University College London und der University of Cambridge haben Wrench Attacks erstmals systematisch untersucht – auf Basis von zehn Interviews mit Betroffenen und Fachleuten, 146 Nachrichtenberichten und 37 Forenquellen. Vier ihrer Befunde ändern das Bild, das die meisten vom Thema haben.

Erstens: Der Täter kommt oft aus dem eigenen Umfeld. Die Studie beschreibt Tätergruppen von der organisierten Kriminalität bis hin zu Freunden und Familienangehörigen. Sie führt dafür sogar eine eigene neue Kategorie ein – wirtschaftlichen Missbrauch innerhalb von Beziehungen, bei dem Kryptowährung das Druckmittel ist. Wer beim Thema Sicherheit nur an Fremde denkt, übersieht damit einen ganzen Angriffsweg.

Zweitens: Erfahrung schützt nicht. Anders als bei digitalen Angriffen waren Nutzer mit fortgeschrittener Sicherheitserfahrung ausdrücklich nicht immun. Wer seine Schlüssel technisch perfekt verwahrt, ist gegen einen Menschen an der Wohnungstür genauso wehrlos wie jeder andere.

Drittens: Die Dunkelziffer ist hoch. Viele Taten werden nie gemeldet, weil Betroffene fürchten, dadurch erneut zum Ziel zu werden. Jede Statistik zu diesem Thema – auch die auf dieser Seite – bildet deshalb nur den sichtbaren Teil ab.

Viertens: Einmal betroffen heißt nicht sicher. Die Studie berichtet von Teilnehmern, die mehrfach angegriffen wurden. Das deckt sich mit den Einträgen aus der Fallsammlung, in denen dieselbe Tätergruppe ein Ziel dreimal hintereinander aufsuchte.

Bei den Empfehlungen sind sich Studie und Praxis einig: Acht von zehn Befragten nannten ein unauffälliges Auftreten als wichtigste Maßnahme. Multisignatur-Wallets bewerten die Autoren als wirksam, weil sie dem Opfer im Ernstfall glaubhaft machen, dass es allein gar nicht überweisen kann – mit dem ehrlichen Zusatz, dass die Einrichtung anspruchsvoller ist und ein selbst verschuldeter Zugriffsverlust drohen kann.

Digitale Gewalt in Beziehungen erkennen ist der Beitrag, der zu dieser neuen Kategorie passt und den kaum jemand auf dem Schirm hat, wenn er über Krypto-Sicherheit nachdenkt. Wenn Zugriff auf Konten, Geräte und Guthaben als Druckmittel in einer Partnerschaft eingesetzt wird, helfen weder Alarmanlage noch Multisig. Wir zeigen dort die Anzeichen und die Stellen, an denen es Unterstützung gibt.

Schutz vor Wrench Attacks: Einfallstor und Gegenmaßnahme

Die folgende Tabelle stellt den Mustern aus der Auswertung jeweils die Maßnahme gegenüber, die genau dieses Einfallstor schließt. Viele der wichtigsten Präventionsmaßnahmen kosten wenig oder nichts. Technische Konstruktionen wie Multisig erfordern dagegen sorgfältige Planung, sichere Wiederherstellung und ausreichendes Verständnis. Und unabhängig von jeder Maßnahme gilt: Bei unmittelbarer Gewalt steht der Schutz von Leben und Gesundheit über dem Schutz des Vermögens.

← Tabelle seitlich scrollen →

Zuordnung auf Basis der ausgewerteten Fallbeschreibungen.

Krypto-Bestand tarnen mit einer Decoy-Wallet beschreibt eine Maßnahme, die den unmittelbar erreichbaren Betrag begrenzen kann. Eine zweite Wallet mit kleinem, glaubwürdigem Betrag und echter Nutzungshistorie gibt dem Angreifer etwas, das er mitnehmen kann. Wir erklären dort, wie so eine Wallet aufgebaut sein muss, damit sie nicht auffliegt, und welche Fehler die Tarnung sofort zerstören.

Multisig-Wallet einrichten beantwortet die Frage nach der zweiten Verteidigungslinie: ab welchem Betrag sich mehrere nötige Unterschriften lohnen und wie sich das ohne Fachkenntnis umsetzen lässt. Der Vorteil im Ernstfall liegt auf der Hand – wer allein gar nicht überweisen kann, hat unter Zwang ein echtes Argument. Der Beitrag zeigt auch, wo der Aufwand in keinem Verhältnis steht.

Wenn der Krypto-Raubüberfall passiert: Verhalten im Ernstfall

Die dokumentierten Fälle enden sehr unterschiedlich, und in mehreren wurde das Opfer trotz Zahlung verletzt oder getötet. Sicherheitsbehörden raten deshalb übereinstimmend dazu, in der Situation selbst nachzugeben und keine Gegenwehr zu leisten. Was hilft, ist Vorbereitung: eine herausgebbare Wallet, ein zuvor abgesprochenes Verhalten in der Familie und die Gewissheit, dass der Hauptbestand ohne zusätzliche Schritte nicht erreichbar ist.

Nach dem Überfall zählt die Reihenfolge. Zuerst Polizei und ärztliche Versorgung. Danach von einem sauberen, nicht kompromittierten Gerät aus alle Zugänge sperren, Passwörter und Zwei-Faktor-Verfahren neu aufsetzen und Guthaben, das noch erreichbar ist, auf frisch erzeugte Adressen bewegen. Wichtig ist dabei die Annahme, dass Täter Zugangsdaten und Gerätezugriff mitgenommen haben – auch wenn sie im Moment des Überfalls nur eine Überweisung erzwungen haben.

Häufige Fragen zu Wrench Attacks und Krypto-Raubüberfällen

Was ist eine Wrench Attack?

Als Wrench Attack wird ein Angriff bezeichnet, bei dem Kriminelle nicht die Verschlüsselung angreifen, sondern den Menschen: Sie suchen den Besitzer auf, bedrohen oder verletzen ihn und zwingen ihn, seine Kryptowährung selbst zu überweisen. Der Name geht auf einen Comic zurück, in dem ein Angreifer statt aufwendiger Kryptoanalyse einfach zum Schraubenschlüssel greift. Im deutschen Sprachgebrauch passen die Begriffe Krypto-Raubüberfall, Home-Jacking oder erpresste Überweisung.

Was ist die 5-Dollar-Wrench-Attack?

Der Begriff stammt aus einem bekannten Webcomic: Statt einen teuren Angriff auf die Verschlüsselung zu fahren, schlägt ein Angreifer den Besitzer mit einem billigen Schraubenschlüssel, bis dieser das Passwort herausgibt. Gemeint ist jede Situation, in der körperlicher Zwang die Technik aushebelt – im Deutschen auch Schraubenschlüssel-Attacke genannt.

Wie oft kommen Wrench Attacks in Deutschland, Österreich und der Schweiz vor?

Nach einer auf der GLOK-Datenbank basierenden Auswertung von CoinPro waren zum dortigen Datenstand vier Fälle im deutschsprachigen Raum erfasst: einer in Deutschland, drei in Österreich und keiner in der Schweiz. Dazu kommt ein Berliner Verfahren wegen einer geplanten Entführung, das durch verdeckte Ermittlungen aufgedeckt wurde.

Wie viele Fälle sind dokumentiert?

Die öffentlich einsehbare Sammlung von Jameson Lopp führt mit Stand August 2026 über 350 Fälle seit 2014 und wird laufend ergänzt. Bei 256 davon lässt sich aus der Beschreibung ein konkretes Einfallstor erkennen – das ist die Grundlage unserer Fehlerauswertung. Über 80 Einträge entfallen auf 2025, mehr als 50 auf das laufende Jahr 2026. Die Liste erhebt ausdrücklich keinen Anspruch auf Vollständigkeit, weil viele Überfälle nie öffentlich berichtet werden – die Dunkelziffer liegt höher.

Welcher Fehler taucht in den Fällen besonders oft auf?

In der Auswertung der Fallbeschreibungen fällt ein Muster auf: Der Täter kommt nicht durch die verschlossene Tür, sondern wird hereingelassen. Angreifer geben sich als Paketbote, Essenslieferant, Postbote oder Polizist aus und stehen im Flur, bevor Verdacht aufkommt. Das zweite große Muster ist das persönliche Treffen zum Handel an einem selbst gewählten oder vom Gegenüber vorgeschlagenen Ort.

Schützt eine Hardware-Wallet vor einem Raubüberfall?

Eine Hardware-Wallet kann private Schlüssel gegen zahlreiche technische Angriffe und direkten Gerätezugriff schützen. Gegen eine Wrench Attack löst sie das Grundproblem jedoch nicht: Ein Täter kann den Besitzer zwingen, das Gerät selbst zu entsperren oder eine Transaktion zu autorisieren. Wirksam sind hier andere Werkzeuge: eine Zweitwallet mit kleinem Bestand für den Ernstfall, Aufteilung auf mehrere Unterschriften und vor allem die Vermeidung der Situationen, aus denen die dokumentierten Fälle entstehen.

Warum sind Angehörige so häufig betroffen?

In 84 der ausgewerteten Fälle taucht in der Beschreibung ein Familienmitglied auf – als Geisel, als Druckmittel oder als Zahlender. Angreifer wissen, dass Druck über Partner, Kinder oder Geschwister schneller wirkt als Gewalt gegen den Besitzer selbst. Wer größere Bestände hält, sollte deshalb auch die Angehörigen einbeziehen und mit ihnen absprechen, was im Ernstfall gesagt und was nicht gesagt wird.

Wie erkenne ich einen falschen Paketboten oder Polizisten?

Unangekündigte Fremde sollten nicht eingelassen werden. Von angeblichen Amtspersonen den Dienstausweis verlangen und bei Zweifeln vor dem Einlass die zuständige Behörde über eine selbst recherchierte Telefonnummer kontaktieren – nicht über eine Nummer, die der Besucher nennt. Handwerker nur einlassen, wenn sie selbst bestellt oder von Hausverwaltung beziehungsweise Vermieter angekündigt wurden. Im Zweifel durch die geschlossene Tür oder die Gegensprechanlage sprechen. Diese Empfehlungen decken sich mit den Hinweisen der Polizeilichen Kriminalprävention der Länder und des Bundes.

Was mache ich, wenn ich zu einem Handel eingeladen werde?

In den dokumentierten Fällen enden Treffen in Hotelzimmern, Privatwohnungen und Parkplätzen regelmäßig im Überfall – oft mit Gegenübern, die zuvor über Wochen Vertrauen aufgebaut haben. Wenn ein Handel persönlich stattfinden muss, dann an einem öffentlichen, videoüberwachten Ort, nicht allein, ohne Bargeldsumme in der Tasche und ohne vorherige Bekanntgabe der Beträge.

Sollte ich über meine Krypto-Bestände sprechen?

Die Fälle zeigen, wie schnell aus einer Erwähnung ein Ziel wird: Ein Trader erzählte fremden Männern im Hotel, was er beruflich macht, und wurde später in deren Wohnung festgehalten. Andere wurden über ihre Auftritte in sozialen Netzwerken ausgewählt. Für die Praxis heißt das: keine Beträge, keine Gewinne, keine Screenshots und keine Berufsbezeichnung, die auf eigene Bestände schließen lässt.

Hilft eine Zweitwallet als Köder?

Sie kann helfen, wenn sie glaubwürdig ist. Eine Wallet mit einem kleinen, aber nicht lächerlichen Betrag und echter Nutzungshistorie gibt dem Angreifer etwas, das er mitnehmen kann. Wichtig ist, dass der Hauptbestand technisch nicht in derselben Anwendung sichtbar ist – sonst führt der Blick auf das Display direkt zum eigentlichen Ziel.

Was sollte ich während eines Überfalls tun?

Sicherheitsbehörden raten übereinstimmend dazu, keinen Widerstand zu leisten und Sachwerte herauszugeben. Geld lässt sich ersetzen, Gesundheit nicht. Wer vorbereitet ist, hat genau dafür eine Wallet, die er herausgeben kann. Nach dem Überfall gilt: sofort Polizei, danach alle Zugänge von einem sauberen Gerät aus sperren und Guthaben, das noch erreichbar ist, auf neue Adressen bewegen.

Methode: wie diese Auswertung entstanden ist

Auf dieser Seite stehen zwei getrennte Auswertungen mit unterschiedlichen Bezugsgrößen. Wer die Zahlen übernehmen möchte, sollte den Unterschied kennen.

A) Musterstatistik des vollständigen Datensatzes. Grundlage sind alle über 350 Einträge der Sammlung. Hier sind Mehrfachzuordnungen möglich und ausdrücklich gewollt: Ein Fall kann gleichzeitig eine Entführung sein, Angehörige als Druckmittel enthalten und mit einer vorgetäuschten Polizeirolle begonnen haben – er erscheint dann in drei Zeilen. Die Werte dieser Tabelle beziehen sich immer auf den vollständigen Datensatz und liegen deshalb höher.

B) Einfallstor- und Fehlerauswertung. Grundlage sind die 256 Fälle, deren Beschreibung einen Ablauf erkennen lässt – 114 aus 2025 und 2026, 142 aus 2014 bis 2024. Jeder dieser Fälle erhält genau eine primäre Kategorie. Nennt eine Beschreibung mehrere mögliche Einfallstore, entscheidet der zeitlich erste Schritt, der dem Täter den Zugriff eröffnet hat: Wer zu einem vorgetäuschten Treffen geht und dort gefesselt wird, zählt unter „vorgetäuschtes Treffen“, nicht unter der späteren Gewalt. Von diesen 256 Fällen sind 99 als vermeidbarer Fehler klassifiziert, 157 nicht.

Als vermeidbaren Fehler zählen wir ausschließlich eine aus der Quelle erkennbare Handlung oder Unterlassung des Betroffenen. Dass Täter eine Adresse, eine Route oder eine Information kannten, genügt nicht – solche Fälle stehen in der Tabelle der Angriffswege ohne erkennbaren Opferfehler. Wo eine Beschreibung den entscheidenden Schritt nicht nennt, ergänzen wir keine Vermutung, und der Fall erscheint in keiner der Falltabellen. Ebenfalls ausgenommen sind Überfälle auf Automaten, Wechselstuben und Mining-Anlagen, weil sie Betreiber betreffen und nicht private Halter; in der Musterstatistik sind sie weiterhin enthalten.

Die deutschen Kurzbeschreibungen wurden von alarm.de anhand der englischsprachigen Fallsammlung und – wo vertieft geprüft – der jeweils verlinkten Ereignisquellen eigenständig zusammengefasst. Es handelt sich nicht um wörtliche Übersetzungen der Originalberichte. Die Zuordnung ist eine redaktionelle Einschätzung und lässt sich anhand der verlinkten Sammlung und der Einzelquellen nachprüfen.

Quellen und Datengrundlage

Diese Auswertung wäre ohne die Vorarbeit anderer nicht möglich. Die Fallsammlung stammt von Jameson Lopp, der sie seit Jahren öffentlich pflegt und laufend ergänzt; die Auswertung der Muster und die Zuordnung der Fehler stammen von uns.

Weiterlesen

Wrench Attack: warum Kriminelle Krypto-Halter zu Hause aufsuchen – der Grundlagenbeitrag zum Thema erklärt die Angriffsform selbst, ihre Entstehung und die Schutzmaßnahmen im Überblick. Er beantwortet die Frage nach dem Warum, während diese Seite die dokumentierten Fälle auswertet. Wer neu im Thema ist, liest ihn zuerst und kommt danach für die Fallanalyse hierher zurück.

Krypto-Notfallplan erstellen – was vor Verlust, Einbruch oder Tod vorbereitet sein sollte, gehört in dieselbe Vorbereitung wie das Verhalten an der Tür. Der Beitrag geht die Unterlagen, Zugänge und Absprachen durch, die im Ernstfall den Unterschied machen. Gerade für Familien ist das der praktischere Einstieg als jede technische Maßnahme.

Die unsichtbare Zielscheibe vor der Haustür – Lieferungen von Hardware-Wallets, Paketaufkleber und Klingelschilder verraten mehr, als den meisten bewusst ist. In den ausgewerteten Fällen war die bekannte Adresse regelmäßig die Voraussetzung für den Überfall. Der Beitrag zeigt, wie sich der Bezugsweg entkoppeln lässt.

Krypto auf Reisen schützen – mehrere der dokumentierten Überfälle trafen Reisende in Hotels und Ferienorten, oft nach einem beiläufigen Gespräch. Der Beitrag geht durch, was auf das Reisegerät gehört, was zu Hause bleibt und wie man im Ausland nicht zum Ziel wird.