Fiktives Beispiel.Alle Personen, Unternehmen, Domains, Konten und Wallets in diesem Bericht sind erfunden. Er zeigt Format und Tiefe eines echten Ergebnisses in gekürzter Form.
Beispielbericht Komplexe Untersuchung
Daria Vellacourt
Domainübergreifender Beschaffungsbetrugsfall, fiktives Prüfobjekt
- Stand
- Handhabung
- Vertraulich. Nur für den Mandanten und den angegebenen Zweck.
- Beweismittel
- 9
Erkenntnisbedarf
Für das interne Ermittlungsteam des Mandanten: Eine Einkaufsleiterin steht im Verdacht, Aufträge an einen Lieferanten zu lenken, den sie heimlich kontrolliert. Jede Verbindung zwischen ihr, dem Lieferanten und den Zahlungen kartieren.
In der Fallfreigabe erfasster rechtmäßiger Zweck: Untersuchung von Betrug, Korruption oder Fehlverhalten (fraud_investigation).
Umfang und Ausschlüsse
Im Umfang
- Das Prüfobjekt, ihre Unternehmensbeteiligungen und die Organmitglieder dieser Unternehmen
- Der Lieferant, seine Organmitglieder, Domains und Infrastrukturhistorie
- Gemeldete Exponierung von Zugangsdaten auf den Domains des Lieferanten
- Öffentliche Konten und Wallets, die mit der Infrastruktur des Lieferanten verbunden sind
- Mit diesen Konten und Wallets verbundene Rechtsträger
Nicht enthalten
- Nicht öffentliche Aufzeichnungen, Bank- oder Kontodaten und alles hinter einem Login, auf das wir keinen rechtmäßigen Zugriff haben
- Geleakte Zugangsdaten oder Inhalte aus Datenlecks: Erfasst wird nur, dass eine Exponierung gemeldet wurde
- Aufenthaltsermittlung oder Kontaktaufnahme mit Personen, Pretexting oder verdeckte Ansprache
- Gesundheit, Religion, Sexualleben, ethnische Herkunft oder andere geschützte Merkmale
- Befragung des Prüfobjekts oder ihrer Kolleginnen und Kollegen
- Interne E-Mails und Zahlungsunterlagen des Mandanten, die der Mandant gesondert prüft
Zusammenfassende Lagebewertung
Eine Kette aus neun Verbindungen verknüpft das Prüfobjekt mit dem Lieferanten und mit einem Unternehmen, das Zahlungen erhält. Die gesellschaftsrechtlichen Verbindungen sind durch Register bestätigt. Die Infrastruktur- und Kontoverbindungen sind Einschätzungen mittlerer bis niedriger Konfidenz. Zusammen rechtfertigen sie ein internes Gespräch und eine Prüfung der Unterlagen, nicht aber den Schluss auf Betrug.
Wesentliche Feststellungen
Das Prüfobjekt hält 50 % an der Orrin Tallow Trading Ltd.
TatsacheKonfidenz: BestätigtBeweismittel: E-X-0001
Marek Ostrel ist Direktor sowohl der Orrin Tallow Trading Ltd als auch des Lieferanten Quorvane Logistics Ltd.
quorvane-logistics.example und tallow-trade.example teilten sich 2023 eine Hosting-Adresse.
EinschätzungKonfidenz: MittelBeweismittel: E-X-0005
Eine Wallet in einem Forenprofil, das das E-Mail-Präfix des Lieferanten wiederverwendet, erhielt Gelder, die auch an die Brask Meridian Ltd gingen.
Entitäten- und Beziehungsgraph
Verbindung 1: Daria Vellacourt hält 50 % Orrin Tallow Trading Ltd (Unternehmen A)
TatsacheKonfidenz: BestätigtBeweismittel: E-X-0001
Verbindung 2: Orrin Tallow Trading Ltd direktor von Marek Ostrel (Direktor)
TatsacheKonfidenz: BestätigtBeweismittel: E-X-0002
Verbindung 3: Marek Ostrel ebenfalls direktor von Quorvane Logistics Ltd (Unternehmen B)
TatsacheKonfidenz: HochBeweismittel: E-X-0003
Verbindung 4: Quorvane Logistics Ltd betreibt quorvane-logistics.example (Domain)
TatsacheKonfidenz: HochBeweismittel: E-X-0004
Verbindung 5: quorvane-logistics.example gemeinsamer host mit der domain von unternehmen a Hosting-Adresse, 2023 (Historische Infrastruktur)
EinschätzungKonfidenz: MittelBeweismittel: E-X-0005
Verbindung 6: Hosting-Adresse, 2023 konto auf der domain, in einem datenleck gemeldet Exponiertes Mitarbeiterkonto (Datenleck-Indikator)
EinschätzungKonfidenz: MittelBeweismittel: E-X-0006
Verbindung 7: Exponiertes Mitarbeiterkonto verwendet das e-mail-präfix des kontos erneut Forenprofil (Verbundenes Konto)
HypotheseKonfidenz: NiedrigBeweismittel: E-X-0007
Verbindung 8: Forenprofil veröffentlicht Wallet bc1q...example (Wallet)
TatsacheKonfidenz: MittelBeweismittel: E-X-0007, E-X-0008
Verbindung 9: Wallet bc1q...example als zahlungsempfänger genannt von Brask Meridian Ltd (Verbundener Rechtsträger)
EinschätzungKonfidenz: MittelBeweismittel: E-X-0009
Chronologie
| Datum | Ereignis | Beweismittel |
|---|---|---|
| 2019-05 | Orrin Tallow Trading Ltd gegründet; das Prüfobjekt übernimmt 50 % | Beweismittel: E-X-0001 |
| 2021-03 | Marek Ostrel zum Direktor der Quorvane Logistics Ltd bestellt | Beweismittel: E-X-0003 |
| 2023-01 | Die Domains beider Unternehmen lösen auf eine Hosting-Adresse auf | Beweismittel: E-X-0005 |
| 2024-08 | Benachrichtigung über Datenleck listet ein Konto auf der Lieferantendomain | Beweismittel: E-X-0006 |
| 2025-10 | Wallet in einem Forenprofil mit demselben E-Mail-Präfix veröffentlicht | Beweismittel: E-X-0007 |
Widersprüche und alternative Hypothesen
Die gemeinsame Hosting-Adresse gehört einem Massenanbieter, den Tausende kleiner Websites nutzen, die Überschneidung ist also Zufall.
Teilweise gestützt: Die Adresse hostete 2023 212 weitere Domains. Konfidenz bleibt bei Mittel.
Das Forenkonto gehört einer unbeteiligten Person, die ein gängiges Präfix wiederverwendet.
Offen. Nichts sonst verbindet das Konto mit dem Lieferanten; Konfidenz bleibt bei Niedrig.
Erkenntnislücken
- Der wirtschaftlich Berechtigte der Quorvane Logistics Ltd: Ihr Registereintrag nennt einen Treuhänder.
- Ob die Zahlungen des Mandanten an den Lieferanten die Wallet erreicht haben. Dafür sind die eigenen Zahlungsunterlagen des Mandanten nötig.
Bewertung durch Analysten
Die gesellschaftsrechtlichen Verbindungen reichen aus, um einen internen Fall zu eröffnen und das Prüfobjekt aufzufordern, ihre Beteiligungen offenzulegen. Die Infrastruktur- und Wallet-Verbindungen sind als Hinweise zu behandeln, die anhand der Zahlungsunterlagen des Mandanten zu prüfen sind.
Freigabe durch Prüfer: Ein echter Bericht kann erst versendet werden, wenn er die QA-Regeln besteht und eine zweite Person, nicht der Analyst, ihn freigibt. Beide Namen und der Freigabezeitpunkt stehen auf dem Deckblatt. Dieses Beispiel enthält keine.
Beweismittelverzeichnis
| ID | Quelle | Klasse | Bewertung | Abgerufen | SHA-256 |
|---|---|---|---|---|---|
| E-X-0001 | Handelsregister: Gesellschafter, Orrin Tallow Trading Ltd | Amtlich | A3 | 2026-09-20 | 497548758b5f, gekürzt |
| E-X-0002 | Handelsregister: Organmitglieder, Orrin Tallow Trading Ltd | Amtlich | A2 | 2026-09-20 | 00a915efdbe6, gekürzt |
| E-X-0003 | Handelsregister: Organmitglieder, Quorvane Logistics Ltd | Amtlich | A2 | 2026-09-20 | 7e78cf684539, gekürzt |
| E-X-0004 | Fußzeile und Impressum von quorvane-logistics.example | Selbst veröffentlicht | D2 | 2026-09-21 | 5f6450f192e4, gekürzt |
| E-X-0005 | Passive DNS-Historie beider Domains | Aggregator | C3 | 2026-09-21 | a78f9f3cc03d, gekürzt |
| E-X-0006 | Benachrichtigungsdienst für Datenlecks, Domainübersicht | Aggregator | C3 | 2026-09-22 | 2974aa72f017, gekürzt |
| E-X-0007 | Öffentliche Forenprofilseite | Anonym | E6 | 2026-09-22 | 082f4b290938, gekürzt |
| E-X-0008 | Öffentlicher Blockchain-Explorer, Wallet-Transaktionen | Etabliert | B3 | 2026-09-23 | a37300e82152, gekürzt |
| E-X-0009 | Rechnungsseite der Brask Meridian Ltd mit Nennung der Wallet | Selbst veröffentlicht | D3 | 2026-09-23 | 3434cecf17e7, gekürzt |
Die Bewertung folgt dem Admiralty-Code und wird regelbasiert vergeben: Zuverlässigkeit A bis F nach Quellenklasse, Glaubwürdigkeit 1 bis 6 danach, wie viele andere unabhängige Quellen dieselbe Aussage stützen. Die Hashes in diesem Beispiel dienen nur der Veranschaulichung. In einem echten Bericht ist jeder davon der SHA-256 der gespeicherten Erfassung. So funktioniert die Bewertung