Fake-Airdrops erkennen: die Warnsignal-Checkliste

Wenn du unsicher bist, ob etwas echt ist, verlass dich nicht auf dein Bauchgefühl. Das ist der eine Satz, der bei mir hängen geblieben ist, nachdem ich selbst ein paar Mal reingefallen bin. Gerade das Bauchgefühl ist am unzuverlässigsten — je mehr du diesen Token willst, desto stärker verschiebt es sich Richtung „das wird schon echt sein“. Deshalb frag dich nicht „sieht das nach einem echten Airdrop aus?“, sondern stell die kältere Frage: Trifft es die Merkmale, die bei Fake-Airdrops immer wiederkehren? Genau diese Merkmale lege ich hier offen — als Liste, die du Punkt für Punkt abhaken kannst. Trifft ein Punkt zu, halt kurz inne; treffen zwei oder mehr zu, kannst du die Sache in aller Regel abbrechen.

Eins muss vorweg klar sein: Echte Airdrops gibt es. Seriöse Projekte verteilen ihre Token nach On-Chain-Aktivität an frühe, echte Nutzer — das ist eine legitime und verbreitete Form der Verteilung (die Grundlagen zu Token und Smart Contracts erklärt der ERC-20-Token-Standard der Ethereum Foundation). Gerade weil es echte gibt, haben die Fälschungen überhaupt Raum, sich zu tarnen. Diese Liste sagt also nicht „halte jeden Airdrop für Betrug“, sondern zeigt dir, an welchen Stellen Vorsicht wirklich angebracht ist. Jeder Abschnitt steht für ein Warnsignal, der letzte zeigt, wie du sie der Reihe nach abklopfst.

Warnsignale auf einen Blick

Zuerst die Übersicht, jeder Punkt wird danach ausgeführt. Du musst dir nicht alles merken — nimm die Tabelle als erstes Sieb, wenn dir ein Airdrop begegnet: Was zutrifft, dazu liest du den passenden Abschnitt und verstehst, warum es gefährlich ist.

Der Kern der Tabelle sind eigentlich nur zwei Dinge: Erstens will man dir die Kontrolle über deine Wallet abnehmen (Seed-Phrase, Approval, Blind-Sign), zweitens will man, dass du zuerst zahlst (Gebühr, Freischaltung). Alle Maschen drehen sich um diese beiden Punkte. Präg dir das ein, dann fällst du auch auf jede neue Tarnung nicht mehr herein. Diese Prüfung haben wir als punktebasierten Fake-Airdrop-Check nachgebaut — bei einem konkreten Fall kannst du ihn parallel nutzen.

Man will deine Seed-Phrase oder deinen Private Key

Das ist der Punkt, den du auf den ersten Blick abschießen solltest, die Untergrenze aller Untergrenzen: Jede Seite, die dich auffordert, deine Seed-Phrase (12 oder 24 Wörter) oder deinen Private Key einzugeben, ist ein Betrug — egal wie offiziell sie verpackt ist, ohne Ausnahme. Merk dir eine Tatsache: Die Seed-Phrase ist die vollständige Kontrolle über deine Wallet. Wer sie hat, kann alle Assets unter dieser Adresse, auf allen Chains, direkt abziehen. Selbst ein Widerruf von Approvals rettet dich dann nicht mehr, weil er längst der Besitzer der Wallet ist.

Ein seriöser Claim-Ablauf braucht nie die Seed-Phrase. Du verbindest deine Wallet über die Wallet-Erweiterung selbst (ein Klick auf „Connect“, bestätigt im Wallet-Popup); den Private Key verwaltet die App für dich. Diese Wortfolge darf niemals von Hand in eine Website, ein Formular, einen Chat oder ein Support-System wandern. Betrüger verpacken es mit wechselnden Vorwänden — „Assets synchronisieren“, „bestätigen, dass du der Besitzer bist“, „Claim-Rechte wiederherstellen“, „auf einen neuen Contract migrieren“ — die Formulierung ändert sich jedes Mal, das Ziel bleibt immer dasselbe.

Noch ein Grundsatz zur Aufbewahrung: Hat deine Seed-Phrase je eine Website, einen Screenshot, eine Cloud-Notiz oder einen Chatverlauf berührt, betrachte sie als kompromittiert und lagere in dieser Wallet nichts Wichtiges mehr. Dieser Punkt wiegt schwerer als jeder technische Schutz, weil der zugehörige Verlust unumkehrbar ist — bei Approval-Phishing kannst du wenigstens noch widerrufen, bei einer geleakten Seed-Phrase ist meist alles auf einmal weg.

Erst zahlen, dann claimen

Die zweithäufigste Masche: Man erzählt dir, „der Airdrop ist bereits gutgeschrieben, aber du musst erst eine Gebühr / Gas / Freischaltgebühr / Kaution zahlen, um die Coins abzuheben“, und gibt dir eine Empfängeradresse, an die du überweisen sollst. Das ist klassischer Vorschussbetrug — die On-Chain-Version von „erst zahlen, dann liefern“.

Um es zu durchschauen, musst du verstehen, wie Gas bei einem echten Claim funktioniert. Auf Chains wie Ethereum kostet jede Transaktion, die du selbst auslöst (auch die Claim-Transaktion), Gas — aber dieses Gas ist der Coin des Netzwerks (etwa ETH), den deine Wallet automatisch von deinem Guthaben abzieht, keine „Gebühr“, die an eine Projekt-Adresse überwiesen wird. Anders gesagt: Die Kosten eines echten Airdrops sind das Gas, das deine eigene Wallet abbucht — niemals „erst eine Summe an eine Adresse schicken“. Was Gas genau ist und an wen es geht, erklärt die Gas-Dokumentation der Ethereum Foundation, ausführlicher auch unser Artikel Gas-Gebühr erklärt.

Die Regel ist also glasklar: Wer verlangt, dass du „erst Geld an eine Adresse überweist, um claimen zu können“, ist immer eine Fälschung. Beim echten Claim fließt das Geld immer zu dir, nie zahlst du zuerst an die Gegenseite. Der übliche Zusatz-Trick lautet „deine Token sind mehrere Tausend Euro wert, für ein paar Euro Gebühr schaltest du sie frei“ — ein riesiger Köder soll die kleine Vorauszahlung lohnend wirken lassen. Genau darin liegt die Gefahr: Je mehr die Rechnung nach „wenig Geld gegen viel Geld“ klingt, desto größer die Vorsicht.

Unbekannte Token, die aus dem Nichts auftauchen

Du öffnest eines Tages deine Wallet, und im Guthaben liegt plötzlich ein Token, an dem du nie teilgenommen hast — der Name klingt nach „Belohnung“ oder „Voucher“ eines Projekts, und der angezeigte Wert ist gar nicht so niedrig. Freu dich nicht zu früh: Das ist mit hoher Wahrscheinlichkeit ein Phishing-Köder. Solche Token werden von Betrügern massenhaft an unzählige Adressen verschickt (sogenanntes Dusting); jede Adresse kann sie bekommen. Dass sie in deiner Wallet auftauchen, heißt weder, dass sie etwas wert sind, noch dass du „gewonnen“ hast.

Sie sind ein Angelhaken. Im Namen des Tokens, in der verknüpften Website oder in der Contract-Beschreibung steht „auf Website X claimen/tauschen/freischalten“. Sobald du dieser Spur folgst und dort deine Wallet verbindest, beginnt das eigentliche Approval-Phishing. Die Regel ist deshalb einfach: Token unbekannter Herkunft, die ohne jede Teilnahme von selbst auftauchen, nicht anklicken, nicht auf die verlinkte Seite gehen und schon gar nicht zu verkaufen versuchen. Schon der Verkaufsversuch kann verlangen, dass du einem bösartigen Contract ein Approval erteilst.

Was du gefahrlos tun kannst: die Herkunft prüfen, ohne mit dem Token zu interagieren. Nimm die Contract-Adresse und sieh im Block-Explorer (etwa Etherscan) nach, wer wann an wie viele Adressen massenhaft verteilt hat. Hast du es verstanden, blende den Token in der Wallet einfach aus. Einen Token bloß zu empfangen und die verlinkte Seite nicht anzufassen, richtet in der Regel keinen Schaden an; der Schaden entsteht in dem Moment, in dem du dich zum Approval verleiten lässt.

Gefälschte Domains und Fake-Websites

Dieser Punkt ist der physische Eingang zu jedem Phishing. Betrüger bauen eine Seite, die dem echten Projekt fast aufs Haar gleicht — der einzige Verräter steckt oft in der Adressleiste: Die Domain weicht nur eine Winzigkeit vom Original ab. Gängige Tricks: ein Buchstabe zu viel oder zu wenig, ein Buchstabe durch ein ähnliches Zeichen ersetzt (kleines l als Ziffer 1, o als 0, bestimmte gleich aussehende Sonderzeichen), eine andere Endung (.io wird zu .org, .xyz, .app) oder der Projektname als Subdomain vor einer fremden Hauptdomain. Beim flüchtigen Blick kaum zu bemerken, beim zeichenweisen Vergleich sofort entlarvt.

Noch tückischer ist vergiftete Suchwerbung: Du suchst den Projektnamen, und die oberste „Anzeige“ ist eine von Betrügern gekaufte Fake-Website — du glaubst, du bist auf der offiziellen Seite, dabei war schon der Eingang falsch. Deshalb lohnen sich zwei Gewohnheiten: Erstens keine Krypto-Projekte über Anzeigen ganz oben in den Suchergebnissen aufrufen; zweitens die offiziellen Seiten und Tools, die du regelmäßig nutzt, als Lesezeichen speichern und immer von dort aus öffnen. Die offizielle Seite über unabhängige, vertrauenswürdige Quellen gegenzuprüfen ist verlässlicher als Erinnerung und Suche. Wie du bestätigst, ob eine Seite wirklich offiziell ist, führt Offizielle Kanäle erkennen aus.

Zur Domain-Prüfung gehört ein zweiter Schritt: die Contract-Adresse gegenprüfen, mit der du interagieren sollst. Selbst wenn die Domain stimmt, kann der „Claim-Contract“ auf der Seite gegen die Adresse eines Betrügers ausgetauscht sein. Prüf sie vor jeder Interaktion im Block-Explorer nach oder bestätige mit dem Tool Approval-Risiko, dass nichts vertauscht wurde.

Unaufgeforderte DMs und Fake-Support

Du stellst in einer offiziellen Gruppe, unter einem Tweet oder auf Discord eine Frage, und binnen Minuten schreibt dich ein „Support“, „Helfer“ oder „Admin“ per DM an, freundlich, bietet an, deinen „Anspruch zu prüfen“, ein „fehlgeschlagenes Claimen zu lösen“ oder eine „hängende Transaktion zu bearbeiten“ — und schickt dir dann einen Link oder will, dass du deine Wallet verbindest und signierst. Das läuft fast immer nach Schema F. Zum Erkennen reicht ein Satz: Seriöse Projekte schreiben dich so gut wie nie von sich aus an, und echter Support fordert dich per DM nie auf, deine Wallet zu verbinden, zu signieren oder eine Seed-Phrase herauszugeben.

Betrüger haben es gezielt auf Leute abgesehen, die in offenen Kanälen fragen, sich beschweren oder um Hilfe bitten — denn diese Leute sind gerade im Zustand „habe ein Problem, will es lösen, bin für Rat empfänglich“. Ihre falsche Identität ist sorgfältig verpackt: Avatar und Name täuschend echt, „Official Support“ in der Signatur, mitunter eine gefälschte „offizielle Support-Gruppe“ mit scheinbar vielen Mitgliedern, in die sie dich ziehen. So echt die Verpackung auch ist — die ungefragte DM selbst ist bereits das größte Warnsignal.

Diese Social-Engineering-Maschen treten oft zusammen mit den Fake-Websites und Fake-Claim-Seiten von oben auf — die DM ist nur das Portal, das dich dorthin lockt. Nutze die Eingangs-Prüfung aus Fake-Airdrops & Phishing zusammen mit diesem Punkt, dann wirkt es noch besser.

Countdown-Druck

Fast jede Fake-Claim-Seite hängt einen Countdown daneben: „Nur noch 2 Stunden“, „nur noch 13 Plätze“, „Snapshot endet gleich, keine Nachverteilung“. Das ist kein Zufall, sondern Design. Der einzige Zweck der Dringlichkeit ist, dir keine Zeit zum Prüfen zu lassen — sobald du im Modus „wer zögert, verliert“ bist, übergehst du die Warnsignale, die dich eigentlich hätten stoppen sollen, ganz von selbst.

Das Gegenmittel ist simpel, braucht aber bewusstes Üben: Behandle die Dringlichkeit selbst als eigenständiges Warnsignal. Die Logik dahinter: Das Claim-Fenster eines seriösen Airdrops misst sich meist in Tagen, oft in Wochen; ein Projekt hat keinen Grund, dich zu einer Wallet-Aktion in wenigen Minuten zu drängen. Umgekehrt gilt: Je genauer es auf die Stunde tickt und je stärker es dich zu „sofort signieren“ treibt, desto wahrscheinlicher stimmt etwas nicht. Die richtige Reaktion auf einen Countdown ist also nicht schneller, sondern langsamer: erst dreißig Sekunden anhalten, die Warnsignale aus diesem Artikel durchgehen. Einen echten Airdrop zu verpassen ist bestenfalls ärgerlich; auf einen falschen zu klicken kostet echtes Geld — diese Rechnung ist nicht schwer.

Wenn ich die Male durchgehe, bei denen ich reingefallen bin, tickte fast immer ein Countdown. Später habe ich mir angewöhnt, bei jedem „nur begrenzt verfügbar“ zuerst die Seite zu verlassen und über die offiziellen Kanäle gegenzuprüfen — die Fälschungen fielen fast alle schon an diesem Schritt durch.

Blind-Signaturen nach dem Wallet-Connect

Die vorherigen Punkte lassen sich meist stoppen, bevor du auf den Link klickst. Dieser hier ist die letzte und zugleich entscheidende Hürde: der Moment, in dem das Wallet-Popup erscheint. Viele Fake-Airdrops machen die vorherigen Schritte sehr sauber, nur um dich genau hierher zu locken — damit du in der Euphorie des „gleich hab ich's“ beiläufig auf Bestätigen tippst. Dieses Popup zu verstehen ist die Kernkompetenz gegen Fake-Airdrops.

Der entscheidende Prüfpunkt: Beim Claim eines Airdrops sollten die Coins zu dir fließen — nicht du das Recht abgeben, über deine Assets zu verfügen. Ein echter Claim ist üblicherweise: Du löst eine Claim-Transaktion aus, zahlst selbst Gas, der Contract überweist dir die Coins. Verlangt „Claimen“ eines der folgenden Dinge, ist es ein Gefahrensignal:

• approve / Freigabe eines Limits (ERC-20). Du genehmigst einem Contract, wie viel von diesem Token er aus deinem Guthaben bewegen darf. Betrüger setzen dieses Limit auf unendlich und lassen es an eine von ihnen kontrollierte Adresse laufen — danach können sie deine Token ohne weitere Nachfrage wiederholt abziehen.
• setApprovalForAll / Vollfreigabe (NFT). Eine Signatur gibt die gesamte Verfügungsgewalt über eine deiner NFT-Serien ab. Fake-„Free-Mints“ lieben das.
• permit (Offline-Signatur-Freigabe). Kostet kein Gas, das Popup sieht aus wie ein normaler Login — aber du signierst in Wahrheit eine Freigabe, mit der die Gegenseite deine Token on-chain bewegen kann. Tückischer als approve, weil es die psychologische Hürde „Gas zahlen, zweite Bestätigung“ umgeht.
• Unlesbare Roh-Signatur (Blind-Sign). Die Wallet meldet „kann nicht dekodiert werden“, „Rohdaten“, „Signaturinhalt nicht anzeigbar“ — du signierst etwas ohne erkennbaren Sinn, das theoretisch jede beliebige Aktion sein kann.

Die Technik hinter Approvals und Signaturen erklären wir ausführlicher in Fake-Airdrops & Phishing. Hier eine schlichte Faustregel: Signiere nur, wenn die Wallet dir in Klartext sagt „du erlaubst Contract X, deinen Token Y zu bewegen“ und genau das ist, was du willst; ist der Inhalt vage oder passt er nicht zu dem, was du zu tun glaubst, lehne ab. Wallets wie MetaMask zeigen bei riskanten Signaturen (besonders Blind-Signs) eine klare Warnung — umgeh eine rote Warnung nicht. Die offiziellen Erklärungen zu den Signaturmethoden findest du im MetaMask-Support-Center.

So prüfst du jedes Signal einzeln

Die Warnsignale sind durch, zum Schluss die Umsetzung in konkrete Prüfschritte. Genau diese Runde gehe ich bei jeder „Airdrop-Chance“ selbst durch — die Reihenfolge ist wichtig: erst die Identität prüfen, dann die Aktion ansehen, erst danach entscheiden, ob ich es anfasse.

In diesem Ablauf ist Schritt 3 die Wasserscheide. Mein Eindruck: Sobald du „das Claimen will von mir ein Approval/eine Signatur“ als Rot statt als Grün wertest, sinkt die Trefferquote von Fake-Airdrops deutlich. Kombiniert mit Schritt 5 (Gas zieht die Wallet ans Netzwerk ab, du überweist niemandem) kommt auch Vorschussbetrug kaum noch durch. Diese beiden Reflexe einzubrennen bringt mehr, als sich irgendeine einzelne Phishing-Domain zu merken — Domains wechseln täglich, die Struktur der Masche fast nie.

Noch ein Punkt zu Multi-Wallets: Viele legen fürs Farming viele Zweitkonten an. Das birgt für sich schon Sybil-Risiko (das Projekt kann es als Betrug werten und den Anspruch streichen) und erschwert die Approval-Verwaltung. Wenn du mit mehreren Wallets arbeitest, trenn die Haupt-Wallet strikt von den „Test-Wallets“, die du überall verbindest — nicht vermischen. Diesen und weitere typische Anfängerfehler behandeln wir zusammen in Die 10 größten Fehler.

Um diese Schritte handhabbar zu machen, gibt es zwei direkt nutzbare Checks, die du bei einem Airdrop parallel zu dieser Liste durchgehst: Der Fake-Airdrop-Check bewertet Herkunft, Domain und verlangte Aktion Punkt für Punkt und sagt dir schnell, wie echt es wirkt; das Approval-Risiko hilft dir einzuordnen, welche Art von Freigabe du gerade signieren sollst und wo die Risiken liegen. Extern gilt fürs Prüfen und Widerrufen von Approvals: revoke.cash und der Etherscan Token Approval Checker. Wer die Grundlagen solide verstehen will, findet in der Ethereum Foundation die lohnendste kostenlose Wissensquelle.

Zum Schluss: Die Maschen der Fake-Airdrops erneuern sich Jahr für Jahr, aber das Skelett besteht aus zwei Knochen — man will dir die Kontrolle über deine Wallet abnehmen, oder man will, dass du zuerst zahlst. Jedes Warnsignal in diesem Artikel zeigt am Ende auf eines dieser beiden. Wenn du unsicher bist, frag nicht „sieht das echt aus?“, sondern „trifft es diese Warnsignale?“ — tausch das Urteil vom Bauchgefühl gegen die Liste, und du hast den allermeisten On-Chain-Betrug gegen Privatanleger schon umgangen.