Gefälschte AML-Prüfung für Krypto-Wallets: Woran du die Betrugsseiten erkennst

Eine seriöse AML-Prüfung einer Krypto-Adresse braucht genau eine Angabe von dir: die öffentliche Adresse. Sie braucht keinen Zugriff auf deine Wallet, keine Verbindung, keine Unterschrift und schon gar keine Vorauszahlung. Wer dich auffordert, für eine Geldwäsche-Prüfung deine Wallet zu verbinden, betreibt keine Prüfung. Genau darauf setzt eine Betrugswelle, die die Sicherheitsfirma Malwarebytes am 19. August 2026 beschrieben hat und deren Infrastruktur nach unserer eigenen Messung zwölf Tage später noch in Betrieb ist.

Gefälschte AML-Prüfung: Was Malwarebytes im August 2026 gefunden hat

Stefan Dasic, Malware-Forscher bei Malwarebytes, hat eine Reihe von Webseiten dokumentiert, die sich als Prüfdienste für Krypto-Adressen ausgeben. Sie ahmen den legitimen Anbieter AMLBot nach oder treten unter farblosen Allerweltsnamen wie „AML Check" auf. Der Aufbau ist in allen Fällen ähnlich: Du wählst eine Kryptowährung aus, klickst auf eine Schaltfläche mit der Aufschrift „Check Wallet" und wirst dann aufgefordert, deine Wallet zu verbinden.

Ab diesem Punkt ist die Seite kein Prüfwerkzeug mehr, sondern eine Bühne. Ein Fortschrittsbalken läuft, dazu erscheinen Zwischenmeldungen wie „Checking wallet history…" und „Verifying compliance…". Danach folgt eine erfundene Fehlermeldung: Die Prüfung lasse sich nicht abschließen, das Guthaben reiche nicht, eine kleine Aufladung sei nötig, um die Gebühr zu decken. Wer auf „Retry" klickt, sieht dieselbe Animation noch einmal und am Ende ein beruhigendes Ergebnis, meist ein „Clean, Low Risk".

Das Ergebnis ist frei erfunden. Es gibt keine Prüfung, keine Datenbankabfrage und keine Bewertung. Was es gibt, ist eine Verbindung zwischen deiner Wallet und einer fremden Seite, und diese Verbindung ist der eigentliche Zweck des ganzen Aufbaus.

AML-Prüfung erklärt: Wozu eine Wallet-Adresse überhaupt geprüft wird

AML steht für Anti-Money-Laundering, also Geldwäschebekämpfung. Eine AML-Prüfung für Krypto ist eine Auskunft darüber, ob eine öffentliche Blockchain-Adresse in der Vergangenheit mit auffälligen Gegenparteien in Verbindung stand, etwa mit einem gehackten Handelsplatz, einem Mischdienst oder einer sanktionierten Adresse. Anbieter solcher Auskünfte werten dafür öffentlich einsehbare Transaktionsdaten aus und ordnen Adressen bekannten Akteuren zu.

Der entscheidende Punkt an dieser Definition steht schon im Wort „öffentlich". Alles, was eine solche Auskunft braucht, liegt ohnehin offen in der Blockchain. Die Adresse ist der Schlüssel zur Abfrage, und die Adresse ist eine Zeichenkette, die du kopieren und in ein Feld einfügen kannst. Ein Zugriff auf dein Guthaben ist dafür so wenig nötig wie eine Kontovollmacht für die Abfrage eines öffentlichen Grundbuchauszugs.

Warum interessieren sich Privatanleger überhaupt dafür? Weil eine als auffällig markierte Adresse Ärger machen kann. Wer Guthaben auf einen regulierten Handelsplatz einzahlt, kann in eine Rückfrage der Compliance-Abteilung geraten, und im ungünstigen Fall wird eine Auszahlung verzögert, bis die Herkunft geklärt ist. Diese Sorge ist real, und sie ist der Hebel, an dem die Betrugsseiten ansetzen.

Woran du eine echte Prüfseite erkennst

Eine seriöse Auskunft verlangt ein Eingabefeld und sonst nichts. Du fügst die Adresse ein, du bekommst eine Einschätzung, und deine Wallet-Software wird während des gesamten Vorgangs nicht ein einziges Mal geöffnet. Erscheint stattdessen das Verbindungsfenster deiner Wallet, ist die Prüfung an dieser Stelle bereits vorbei, und zwar zu deinen Ungunsten. Malwarebytes formuliert es als schlichte Faustregel: Wer statt der öffentlichen Adresse eine Wallet-Verbindung verlangt, ist ein Warnsignal.

Adresse eingeben statt Wallet verbinden: Der eine Unterschied, der alles entscheidet

Zwei Vorgänge, die im Browser ähnlich aussehen, haben grundverschiedene Folgen. Eine Adresse einzugeben ist ein Lesevorgang. Du gibst eine Information heraus, die ohnehin jeder Blockchain-Betrachter anzeigt, und die Gegenseite kann damit nichts tun, was sie nicht auch ohne dich könnte.

Eine Wallet zu verbinden ist etwas anderes. Damit erlaubst du einer Webseite, mit deiner Wallet-Software zu sprechen. Die Seite sieht anschließend deine Adresse und dein Guthaben, und vor allem darf sie dir Transaktionen zur Bestätigung vorlegen. Sie kann diese Transaktionen nicht selbst auslösen, aber sie kann sie so vorbereiten und beschriften, dass ein Klick von dir genügt. Die Sicherheitsarchitektur einer Wallet ist an dieser Stelle unbestechlich: Sie führt aus, was du freigibst.

Genau deshalb bauen die dokumentierten Seiten ihre Inszenierung so sorgfältig auf. Sie brauchen keine Schwachstelle in deiner Wallet. Sie brauchen einen Moment, in dem ein Bestätigungsfenster für dich wie ein normaler Schritt einer Sicherheitsprüfung aussieht. Wenn du an dieser Stelle verstehst, dass du dich in einem Prüfvorgang wähnst, während du in Wahrheit eine Vollmacht unterschreibst, ist die Masche durchschaut.

Der Ablauf der Betrugsseite: Vom Fortschrittsbalken bis zur angeblichen Gebühr

Die Reihenfolge der Schritte ist kein Zufall, sie folgt einer Dramaturgie. Zuerst kommt die Auswahl der Kryptowährung, ein harmloser Vorgang, der Vertrauen aufbaut und dich in eine Klickstrecke bringt. Dann folgt die Verbindung, die im Kontext einer angeblichen Prüfung plausibel wirkt. Erst danach beginnt die eigentliche Manipulation.

Der Fortschrittsbalken erfüllt dabei zwei Aufgaben. Er lässt die Seite arbeiten, wo nichts arbeitet, und er verschafft der Gegenseite Zeit, deine Adresse anzusehen und eine passende Transaktion vorzubereiten. Was dir danach vorgelegt wird, ist auf dein Guthaben zugeschnitten. Die anschließende Fehlermeldung über eine fehlende Gebühr ist der Vorwand, der eine Zahlung oder eine Freigabe rechtfertigen soll. Und das abschließende „Clean, Low Risk" sorgt dafür, dass du die Seite beruhigt verlässt, ohne nachzusehen, was du unterwegs bestätigt hast.

Bemerkenswert an dieser Masche ist, wen sie trifft. Sie zielt nicht auf Leichtsinn, sondern auf Vorsicht. Wer eine AML-Prüfung sucht, hat sich bereits Gedanken über die Sauberkeit seiner Adresse gemacht. Diese Zielgruppe ist überdurchschnittlich informiert, und sie kommt aus eigenem Antrieb, ohne dass ein Angreifer sie anschreiben müsste.

Token-Freigabe statt Passwort: Wie der Abfluss technisch funktioniert

Bei einem Angriff dieser Art fällt kein Passwort und kein Wiederherstellungssatz. Der übliche Weg führt über eine Token-Freigabe, im Englischen Approval. Eine Freigabe ist eine Erlaubnis, die du einer fremden Adresse erteilst, eine bestimmte Sorte Token aus deiner Wallet zu bewegen. Diese Erlaubnis ist im Alltag notwendig, jede dezentrale Börse braucht sie, und sie bleibt bestehen, bis du sie widerrufst.

Die Gefahr liegt in der Höhe und in der Dauer. Viele Freigaben werden unbegrenzt erteilt, weil das bequem ist und weil das Bestätigungsfenster den Betrag nicht immer verständlich anzeigt. Eine einmal erteilte unbegrenzte Freigabe wirkt weiter, auch wenn du die Seite längst geschlossen hast, auch nach einem Neustart des Rechners und auch dann, wenn du die Verbindung im Wallet-Menü trennst. Das Trennen der Verbindung beendet den Gesprächskanal, es nimmt die Vollmacht nicht zurück.

Wie eine solche Bestätigung im Fenster aussieht und welche Felder du vor dem Klick lesen solltest, haben wir in unserem Beitrag über Wallet-Drainer und die Signatur-Freigabe ausführlich beschrieben. Wer nur eine einzige technische Fertigkeit aus diesem Themenfeld mitnehmen will, sollte es diese sein. Auf einer Kette wie Ethereum und den mit ihr kompatiblen Netzwerken ist die Freigabe der Standardmechanismus, über den Guthaben den Besitzer wechselt, ohne dass ein Schlüssel gestohlen werden müsste.

Was eine Freigabe technisch erlaubt

Eine Freigabe benennt drei Dinge: welchen Token sie betrifft, welche fremde Adresse verfügen darf und bis zu welchem Betrag. Fehlt die Begrenzung des Betrags, darf die fremde Adresse den gesamten Bestand dieses Tokens abziehen, jederzeit und ohne weitere Rückfrage bei dir. Wallets mit einer guten Oberfläche zeigen dir diese drei Angaben im Klartext an. Ältere oder schlicht gestaltete Bestätigungsfenster zeigen dir eine Zeichenkette, und genau darauf verlassen sich die Betreiber solcher Seiten.

Eigene Erhebung: Drei von fünf genannten Domains antworten zwölf Tage später noch

Diese Auswertung hat cryptoticker.io am 31. August 2026 selbst erhoben. Methode: Wir haben die fünf Domains, die Malwarebytes in seinem Bericht namentlich aufführt, am 31. August 2026 um 03:53 Uhr UTC einmal per HTTP-Abruf und per Namensauflösung geprüft und den Antwortcode notiert. Geprüft wurden fünf Domains aus dem Bericht sowie zusätzlich die Domain des nachgeahmten, legitimen Anbieters als Vergleichswert, also sechs Objekte insgesamt.

Das Ergebnis: Zwei der fünf Domains lassen sich nicht mehr auflösen, ihre Namenseinträge sind verschwunden. Zwei weitere antworten mit dem Code 200, liefern also eine Seite aus. Eine fünfte antwortet mit dem Code 403 und weist unseren automatisierten Abruf ab, hat aber einen aktiven Namenseintrag und einen antwortenden Server. Nach Namen sortiert: amlbot-clear[.]com antwortet, bitget-aml[.]com antwortet, swapstoken[.]app weist ab, audittrust[.]shop und search-aml[.]net sind nicht mehr auflösbar. Die Domain des echten Anbieters antwortet erwartungsgemäß ebenfalls.

Was diese Zahlen bedeuten, und was nicht: Gemessen haben wir ausschließlich die Erreichbarkeit, also ob ein Server unter dem Namen antwortet. Wir haben die ausgelieferten Seiten nicht geöffnet, ihren Inhalt nicht bewertet und deshalb auch nicht festgestellt, ob dort weiterhin die beschriebene Masche läuft, ob eine Parkseite steht oder ob ein Dritter die Domain übernommen hat. Ebenso wenig können wir sagen, wie viele Menschen die Seiten in diesem Zeitraum aufgerufen haben oder welcher Schaden entstanden ist. Belastbar ist allein die eine Aussage: Zwölf Tage nach der öffentlichen Warnung ist die dort benannte Infrastruktur nicht vollständig abgeräumt. Für dich als Leser ist das die relevante Größe, denn eine Warnung, deren Ziele längst offline sind, wäre Geschichte. Diese ist es nicht.

Nachgeahmte Namen: Was eine Domain über ein Unternehmen aussagt

Eine der genannten Domains kombiniert den Namen einer bekannten Handelsplattform mit dem Kürzel AML. Das verdient eine klare Einordnung, denn eine Domain ist frei wählbar, und wer sie registriert, braucht dafür weder die Erlaubnis noch das Wissen des Namensgebers. Aus einem Firmennamen in einer Adresszeile folgt daher nichts über das Unternehmen selbst. Im Gegenteil: Firmen, deren Namen auf diese Weise verwendet werden, sind Geschädigte der Masche, weil ihr über Jahre aufgebautes Vertrauen als Werkzeug gegen ihre eigenen Kunden eingesetzt wird. Das gilt hier für die nachgeahmte Prüf-Plattform ebenso wie für die Handelsplattform, deren Name in einer der Domains auftaucht.

Praktisch heißt das für dich: Ein vertrauter Name in einer Webadresse ist kein Prüfsiegel. Maßgeblich ist die vollständige Adresszeile, und maßgeblich ist vor allem, wie du auf der Seite gelandet bist. Ein Link aus einer Nachricht, aus einem Beitrag in einem sozialen Netzwerk oder aus einer bezahlten Suchanzeige verdient grundsätzlich mehr Misstrauen als ein Lesezeichen, das du selbst gesetzt hast.

Warum die Masche in Deutschland auf vorbereiteten Boden fällt

Deutsche Anlegerinnen und Anleger werden seit Anfang 2026 von ihren Anbietern in einer Weise nach Nachweisen gefragt, die vorher unüblich war. Mit der Umsetzung der EU-Richtlinie DAC8 müssen Krypto-Dienstleister seit dem 1. Januar 2026 ihre Kunden identifizieren, Transaktionen erfassen und steuerliche Selbstauskünfte einholen. Wer nicht reagiert, wird erinnert, dann verwarnt, und der Anbieter kann Konten einschränken.

Das erzeugt eine Gewöhnung, die für Betrüger Gold wert ist. Aufforderungen zu Nachweisen, Prüfungen und Bestätigungen haben derzeit weniger den Klang eines Alarmsignals als den von Verwaltungsalltag. Eine Seite, die eine Geldwäsche-Prüfung anbietet, passt in dieses Bild, und der Gedanke „das muss ich wohl machen" liegt näher als vor einem Jahr. Ein ähnliches Muster haben wir bei den Krypto-Jobangeboten mit eigenem Bankkonto beobachtet, bei denen ebenfalls ein amtlich klingender Vorgang den Rahmen für den eigentlichen Schaden lieferte.

Es hilft, sich den Unterschied einmal klarzumachen. Wenn dein Handelsplatz etwas von dir will, findest du diese Aufforderung nach dem Einloggen in deinem Konto. Kein regulierter Anbieter schickt dich zur Erfüllung einer Pflicht auf eine fremde Webseite, und keiner verlangt dafür eine Wallet-Verbindung. Wo diese Pflichten tatsächlich geregelt sind und welche Anbieter unter europäischer Aufsicht stehen, kannst du im Überblick über regulierte Kryptobörsen nachlesen.

Token-Freigaben prüfen und widerrufen: So gehst du vor

Der wirksamste Schritt nach einem unklaren Kontakt mit einer solchen Seite ist die Durchsicht deiner erteilten Freigaben. Jede größere Kette hat dafür einen Bereich in ihrem Blockchain-Betrachter, in dem du deine Adresse eingibst und alle offenen Freigaben mit der jeweils berechtigten Gegenadresse aufgelistet bekommst. Ein Widerruf ist eine gewöhnliche Transaktion und kostet die übliche Netzgebühr.

Geh die Liste in Ruhe durch und achte auf zwei Dinge: auf unbegrenzte Beträge und auf Gegenadressen, die du keinem Vorgang zuordnen kannst. Eine Freigabe, deren Anlass du nicht mehr erinnerst, ist ein Kandidat für den Widerruf, auch wenn bisher nichts passiert ist. Der Aufwand ist gering, der mögliche Schaden ist es nicht.

Wo du deine Schlüssel verwahrst, entscheidet mit darüber, wie teuer ein Fehlklick werden kann. Eine Übersicht der Geräte und ihrer Bedienung findest du in unserem Hardware-Wallet-Vergleich; wer ohne Zusatzgerät arbeitet, findet im Software-Wallet-Vergleich die Unterschiede bei der Anzeige von Bestätigungsfenstern, und genau diese Anzeige ist hier der sicherheitsrelevante Punkt.

Nach einer bestätigten Transaktion: Warum Trennen allein nicht reicht

Angenommen, du hast bestätigt und bemerkst es kurz darauf. Dann ist die Reihenfolge deiner Schritte wichtiger als ihre Geschwindigkeit. Die Verbindung im Wallet-Menü zu trennen ist sinnvoll, aber es ist der kleinste der Schritte, weil es die erteilte Vollmacht unberührt lässt. Wichtiger ist der Widerruf der Freigabe, und noch wichtiger ist die Frage, ob nur eine Freigabe erteilt oder ein Wiederherstellungssatz eingegeben wurde.

Wurde eine Freigabe erteilt, reicht der Widerruf in der Regel aus. Wurde dagegen ein Wiederherstellungssatz oder ein privater Schlüssel irgendwo eingetippt, ist die Wallet dauerhaft verloren, und das verbliebene Guthaben gehört auf eine frisch erzeugte Wallet mit einem neuen Wiederherstellungssatz. Ein Wiederherstellungssatz kennt keinen Widerruf; er lässt sich nur ersetzen.

Auf das, was danach kommt, solltest du vorbereitet sein: Angebote zur angeblichen Rückholung. Wer nach einem Vorfall in Foren oder per Nachricht angesprochen wird und gegen Vorkasse eine Wiederbeschaffung verspricht, betreibt die zweite Stufe derselben Masche. Bestätigte Transaktionen auf einer Blockchain sind endgültig, und niemand kann sie gegen eine Gebühr zurückdrehen.

Getrennte Wallets und kleine Beträge: Was den Schaden begrenzt

Gegen einen Fehlklick hilft keine einzelne Maßnahme vollständig, aber die Aufteilung der Bestände hilft zuverlässig. Wer den größten Teil seines Guthabens auf einer Adresse hält, die niemals mit einer Webseite verbunden wird, kann in Ruhe experimentieren, ohne alles zu riskieren. Eine zweite Adresse mit einem überschaubaren Betrag übernimmt dann den Kontakt mit Anwendungen, und ein Schaden bleibt auf diesen Betrag begrenzt.

Ein Hardware-Gerät verstärkt diesen Effekt, weil es die Bestätigung auf ein Display außerhalb des Rechners verlagert. Es ist trotzdem kein Freibrief: Auch mit Hardware-Wallet gibst du eine Freigabe frei, wenn du sie am Gerät bestätigst. Der Gewinn liegt darin, dass die Angaben dort in einer Form erscheinen, die eine manipulierte Webseite nicht überschreiben kann. Wer diese Anzeige liest, statt zweimal auf denselben Knopf zu drücken, hat den größten Teil der Arbeit erledigt.

Wiederkehrende Freigabe-Kontrolle: Wann eine Durchsicht sinnvoll ist

Freigaben sammeln sich an, ohne dass es auffällt. Jede genutzte Anwendung hinterlässt eine, und nach zwei Jahren Nutzung stehen auf einer aktiven Adresse leicht mehrere Dutzend offene Vollmachten. Viele davon gehören zu Projekten, die es nicht mehr gibt, und eine aufgegebene Anwendung ist ein attraktives Ziel für die Übernahme durch Dritte.

Eine Durchsicht zweimal im Jahr ist ein vernünftiges Maß, dazu jeweils eine nach einem ungewöhnlichen Vorgang: nach dem Besuch einer Seite, die du über einen fremden Link erreicht hast, nach einer Bestätigung, deren Zweck dir hinterher nicht mehr einfällt, und nach jeder Meldung über eine kompromittierte Anwendung, die du selbst genutzt hast. Der Zeitaufwand liegt bei wenigen Minuten, sobald du den Ablauf einmal kennst.

Gefälschte AML-Prüfung erkennen: Was du daraus mitnimmst

1. Merk dir die Trennlinie. Eine echte Prüfung einer Krypto-Adresse verlangt nur die öffentliche Adresse in einem Eingabefeld. Sobald ein angeblicher Prüfdienst dich auffordert, die Wallet zu verbinden, eine Transaktion zu bestätigen oder eine Gebühr vorzustrecken, brich ab. Wenn du unsicher bist, wo solche Prüfungen ohnehin durch den Anbieter erledigt werden, hilft der Überblick über regulierte Kryptobörsen.
2. Sieh deine offenen Freigaben durch. Öffne den Blockchain-Betrachter deiner Kette, gib deine Adresse ein und widerrufe jede unbegrenzte oder unerklärliche Freigabe. Wie du ein Bestätigungsfenster vorher richtig liest, damit erst gar keine dazukommt, steht im Software-Wallet-Vergleich und in unserem Beitrag zur Signatur-Freigabe.
3. Trenne Aufbewahrung und Nutzung. Halte den größeren Teil deines Bestands auf einer Adresse, die nie mit einer Webseite verbunden wird, und nutze für Anwendungen eine zweite Adresse mit einem Betrag, dessen Verlust du verkraften könntest. Welche Geräte diese Trennung unterstützen und wie sie sich bedienen lassen, zeigt der Hardware-Wallet-Vergleich.

Die Belege zu diesem Beitrag: der Bericht von Malwarebytes vom 19. August 2026 sowie die unabhängige Aufbereitung bei Decrypt vom 20. August 2026. Die Erreichbarkeitsmessung der genannten Domains stammt von cryptoticker.io.

(Stand: 31. August 2026. Dieser Beitrag ist keine Anlageberatung. Kurse und Gebührenmodelle ändern sich; prüfe die Konditionen vor jedem Kauf beim Anbieter selbst.)