Lazarus Group: April-2026-Krypto-Hacks – was Geschädigte wissen sollten

Im April 2026 wurden innerhalb von zwanzig Tagen 623 Millionen US-Dollar aus DeFi-Protokollen gestohlen. Dabei entfallen nahezu 95 Prozent auf zwei Angriffe der Lazarus Group auf Drift Protocol und KelpDAO. Indes stellen sich für deutsche Anlegerinnen und Anleger konkrete Rechtsfragen nach § 823 BGB, § 263a StGB sowie nach den Haftungsregeln der MiCAR-Verordnung.

Viele Betroffene suchen nach Antworten: Was bedeutet der Lazarus Group-Hack für meine Einlagen? Habe ich Ansprüche gegen das Protokoll, die Börse oder eine Bank? Welche Normen gelten bei staatlich gesteuerten Cyberangriffen auf Krypto-Infrastruktur? Insofern richtet sich dieser Artikel an Personen, die in Drift Protocol oder KelpDAO investiert hatten und nun Verluste verbuchen.

Was regelt die Lazarus-Group-Zuordnung als staatlicher Akteur?

Die US-Behörden und das Bundeskriminalamt haben die Lazarus Group offiziell dem nordkoreanischen Staatsapparat zugeordnet — technisch unter dem Tracknamen UNC4736. Deshalb ist der April-2026-Angriff kein gewöhnlicher Cyberbetrug, sondern ein staatlich gesteuerter Eingriff in privatwirtschaftliche Infrastruktur. § 263a StGB erfasst Computerbetrug und findet Anwendung, soweit die Angreifer Datenverarbeitungssysteme unbefugt manipuliert haben. Ferner kommt § 303b StGB für Computersabotage in Betracht.

Zudem ist relevant, ob betroffene Protokoll-Betreiber nach Art. 70 ff. MiCAR eine Meldepflicht für erhebliche Sicherheitsvorfälle hatten. Gleichzeitig sind Drift Protocol und KelpDAO als Crypto-Asset Service Provider einzustufen, sofern sie Dienstleistungen für EU-Bürgerinnen und EU-Bürger erbracht haben. Folglich entsteht ein Kontrollrahmen, der neben der strafrechtlichen Verantwortung der Angreifer auch eine zivilrechtliche Haftung der Protokoll-Betreiber nach Art. 75 MiCAR i.V.m. § 280 BGB denkbar macht, wenn die Sicherheitsarchitektur unzureichend war.

Welche Verfahrenslücke schließt die MiCAR-Norm nach diesen Hacks der Lazarus Group?

Vor dem vollständigen Wirksamwerden der MiCAR-Verordnung am 30. Dezember 2024 operierten DeFi-Protokolle weitgehend im regulatorischen Graubereich. Art. 143 Abs. 3 der Verordnung (EU) 2023/1114 sieht eine Übergangsregelung vor, die es vor dem Stichtag tätigen Anbietern erlaubte, unter nationalem Recht fortzuführen. Somit haben alle CASPs, die bis zum 1. Juli 2026 keine Lizenz erworben haben, in einem normativ unsicheren Bereich operiert. Darüber hinaus gilt ab diesem Stichtag die vollständige Zulassungspflicht ohne Ausnahme.

Diese Lücke ist für Geschädigte insofern relevant, als der Zugang häufig über eine regulierte deutsche Bank oder einen deutschen Broker stattgefunden hat. Wer hingegen über eine zugelassene Depotbank in Drift oder KelpDAO investiert hat, kann die Haftungsfrage an diesen Intermediär richten. Daher empfiehlt sich eine genaue Prüfung der vertraglichen Grundlage zwischen dem Anleger und dem deutschen Dienstleistungsanbieter, über den der Zugang erfolgte.

Was stellen die Behörden zu den April-2026-Hacks fest – und was nicht?

Das BKA und die US-amerikanische CISA haben die technische Zuordnung zur Lazarus Group auf Basis von Blockchain-Forensik und Netzwerkanalyse vorgenommen. Sie haben dabei festgestellt, dass die Angreifer Schwachstellen in Bridge-Protokollen ausgenutzt haben, um Token aus gesperrten Smart Contracts zu transferieren. Allerdings können die Behörden keine unmittelbare zivilrechtliche Haftung der Protokoll-Betreiber als Mittäter feststellen. Vielmehr bleibt diese Frage den Zivilgerichten und der individuellen Vertragsanalyse vorbehalten.

Nach Darstellung mehrerer betroffener Anleger wurden Gelder über Drittanbieter-Wallets eingezahlt, ohne dass eine ausreichende Risikoaufklärung erfolgte. Dieser Umstand ist rechtlich bedeutsam: Ein Anlageberater, der den Einsatz in hochriskante Protokolle empfohlen hat, ohne auf das staatliche Bedrohungspotenzial hinzuweisen, kann nach § 63 WpHG i.V.m. § 280 BGB haften. Folglich ist die Dokumentation jedes Beratungsgesprächs ein zentrales Beweismittel.

Welche forensischen Ansatzpunkte ergeben sich nach dem Lazarus-Angriff?

Wer als Anleger Verluste durch den April-2026-Angriff erlitten hat, sollte zunächst alle Transaktionsnachweise sichern: Wallet-Adressen, Transaktions-Hashes, Einzahlungszeitpunkte und alle Kommunikationen mit dem genutzten Protokoll oder Broker. Sodann bilden diese Daten die Grundlage für eine forensische Blockchain-Analyse, bei der Sachverständige die Geldflüsse bis zu den Empfänger-Wallets der Lazarus Group zurückverfolgen. Die Methodik erläutert der Leitfaden zu Blockchain-Forensik bei Krypto-Betrug auf anwalt.de systematisch.

Zudem bieten internationale Rechtshilfemechanismen eine Ergänzung zur deutschen Strafverfolgung. Das BKA kann über Europol und die EuStA koordinierte Einfrierungsmaßnahmen einleiten, sofern Wallets auf regulierten Exchanges identifiziert werden. Je früher eine Anzeige erstattet und eine anwaltliche Sicherungsmaßnahme beantragt wird, desto höher ist die Chance, Geldflüsse zu blockieren. Eine Übersicht über aktive Warnlagen bietet das Kryptoschaden-Warnungsregister auf kryptoschaden.de.

Was bedeutet der Lazarus Group-Hack für Personen mit Verlusten?

Für Anlegerinnen und Anleger mit Verlusten aus dem April-2026-Angriff gilt: Die strafrechtliche Verantwortung liegt bei den staatlichen Akteuren hinter der Lazarus Group, doch die zivilrechtliche Rückforderung richtet sich gegen die Protokoll-Betreiber, etwaige Broker und Finanzintermediäre. Ein direkter Anspruch gegen Nordkorea ist praktisch nicht durchsetzbar. Allerdings eröffnen Sicherheitsmängel im Protokoll, unzureichende Aufklärung durch Berater und mögliche MiCAR-Verletzungen gangbare Klagewege vor deutschen Zivilgerichten.

Dabei lohnt es sich, nicht zu lange zu warten: Die zivilrechtliche Verjährungsfrist beginnt mit Kenntnis des Schadens zu laufen. Zudem steigen die Chancen auf eine forensische Rückverfolgung der Wallet-Geldflüsse, je früher diese in Auftrag gegeben wird. Zu den Grundlagen der Rückforderung informiert der Beitrag über Rückforderung von Kryptowerten bei unerlaubten Anbietern auf anwalt.de praxisnah.

Anna Orlowa, LL.M., Rechtsanwältin und Fachanwältin für Bank- und Kapitalmarktrecht, zertifizierte Spezialistin für Kryptowerte und Steuern