Wallet gehackt: Steuerliche Einordnung und was der Bericht nicht zeigt
Ein Anleger legt einen CoinTracking-Bericht vor, abgeglichen, ohne einen einzigen Fehlerhinweis. Erst die Blockchain zeigt, dass in einer Nacht über mehrere Chains hinweg ein Großteil seiner Bestände abgezogen wurde. Ein typischer Fall: was der Bericht nicht zeigt, wie man den Hack findet und welche steuerlichen Wege es gibt.
- Ein Bericht ohne Fehlerhinweise heißt nicht, dass die Buchhaltung vollständig ist. Ein Hack erscheint dort als gewöhnliche Auszahlung, nicht als Verlust.
- Die Blockchain zeigt das Muster: gleiche Sammeladressen, gleiche Aufteilung, Freigaben an Drainer-Contracts, Gas vom Angreifer und Signatur mit den Schlüsseln der eigenen Wallets.
- Nicht jeder Abgang ist ein Diebstahl. Eigenes muss von Fremdem getrennt werden, bevor gebucht wird.
- Nach § 23 EStG entsteht kein Verlust, weil ein Diebstahl keine Veräußerung ist. Unser Weg ist der Abzug bei § 22 Nr. 3 EStG mit Rücktrag auf das Vorjahr.
- Ob das trägt, entscheidet der belegte Sachverhalt: Strafanzeige, Wallet-Nachweise und eine lückenlose Dokumentation.
Ausgangslage: Bericht ohne Fehler
Formal war alles in Ordnung.
Der Anleger hält Kryptowerte auf mehreren Wallets und Chains, erzielt Staking- und Lending-Erträge und führt seine Buchhaltung in CoinTracking. Er hat getan, was man empfiehlt: alle Wallets angebunden, Importe abgeglichen, offene Warnungen bereinigt. Der Jahresbericht zeigt keinen Fehlerhinweis.
Bevor wir Mandanten Fragen stellen, prüfen wir die Wallets selbst auf der Blockchain. In Fällen wie diesem fällt dabei eine einzelne Nacht auf, in der fast alle Wallets innerhalb weniger Stunden geleert wurden: Dutzende Abgänge, viele verschiedene Token, verteilt über mehrere Chains.
Was der Bericht nicht zeigt
Abgänge statt Verlust.
CoinTracking kennt eigene Buchungsarten für Verlust und Diebstahl. Es setzt sie aber nicht selbst. Ein Abfluss an eine fremde Adresse wird als Auszahlung (Withdrawal) importiert, steuerlich neutral, so als hätte der Anleger Coins an eine andere eigene Wallet geschickt. Kein Posten ist als Verlust gebucht.
Für die Prüfsoftware ist das kein Fehler: Die Bestände gehen auf, die Salden stimmen, jeder Abgang hat eine Transaktion. Ob der Empfänger der Anleger selbst ist oder ein Angreifer, kann die Software nicht wissen. Genau dort liegt die Lücke, und sie wirkt in beide Richtungen. Bleiben die gestohlenen Einheiten im Bestand, rechnet die Verbrauchsfolge bei späteren Verkäufen mit Anschaffungskosten von Coins, die gar nicht mehr da sind.
Ein fehlerfreier Bericht beweist, dass die Daten zueinander passen. Er beweist nicht, dass sie den Sachverhalt richtig abbilden.
Was die Blockchain zeigt
Ein Muster, das sich über alle Wallets und Chains wiederholt.
- FreigabeDie Wallets haben einem fremden Contract unbegrenzte Freigaben (Approvals) für ihre Token erteilt.
- Gas und SignaturDer Angreifer zahlt das Gas ein. Die Transaktion ist mit dem Schlüssel der Opfer-Wallet signiert.
- AbflussDie Token fließen an Sammeladressen, häufig in einer festen Aufteilung auf zwei Empfänger.
- WeiterleitungSweeper-Contracts leiten jeden späteren Zufluss sofort weiter, Monate nach dem Angriff.
Entscheidend ist der zweite Schritt. Dass die Abflüsse mit den Schlüsseln der eigenen Wallets signiert sind, heißt: Die Schlüssel sind offengelegt. Das ist kein Fehler einzelner Freigaben, sondern ein vollständiger Kontrollverlust. Alle betroffenen Wallets sind deshalb als verloren zu behandeln, auch wenn sie heute leer erscheinen. Die Sweeper-Contracts auf diesen Adressen waren noch Monate später aktiv.
Die feste Aufteilung auf zwei Empfänger ist typisch für gemietete Drainer-Software, bei der der Anbieter einen Anteil einbehält. Sie ist das stärkste Einzelindiz, weil sie bei eigenen Umbuchungen nicht vorkommt. Getragen wird die Einordnung aber erst vom Muster insgesamt: gleiche Empfänger, gleiche Aufteilung, gleiches Zeitfenster, über alle Chains.
Eigenes von Fremdem trennen
Nicht jeder Abgang in der Nacht war ein Diebstahl, und nicht jeder Fehler hatte mit dem Hack zu tun.
Runde Beträge, eigene Adressen
Abgänge mit runden Beträgen, die zwischen Adressen desselben Anlegers wandern, zeigen das Muster des Angriffs nicht. Sie sind eigene Umbuchungen, kein Diebstahl, und werden mit dem Anleger geklärt, bevor etwas gebucht wird.
Eine Zeile „Stolen“, die keine ist
Steht in den Börsendaten bereits eine Buchung als Diebstahl, lohnt der Blick auf Datum und Menge. Oft ist es eine Fehlbuchung aus einem anderen Jahr, etwa von Zinsen, ohne Bezug zum Angriff.
Zahlung auf dem falschen Konto
Läuft eine Zahlung in CoinTracking über ein falsches Konto, kann der Saldo trotzdem stimmen, weil sich der Fehler an anderer Stelle ausgleicht. Auch das zeigt erst der Abgleich mit der Blockchain.
Eigene Aktivität rund um den Vorfall
Was der Anleger vor und nach dem Angriff selbst getan hat, bleibt, was es ist: Käufe, Verkäufe und Umbuchungen. Als Diebstahl gebucht wird nur, was zum Muster gehört.
Steuerliche Einordnung
Drei Wege mit sehr unterschiedlichen Aussichten.
§ 23 EStG
Kein VerlustEin Diebstahl ist keine Veräußerung. Das BMF-Schreiben versteht darunter die „entgeltliche Übertragung des angeschafften Wirtschaftsguts auf Dritte“ (Rn. 54), der BFH verlangt zusätzlich, dass die Übertragung wesentlich vom Willen des Steuerpflichtigen abhängt. Das FG Nürnberg hat Vorgänge aus einem Hackerangriff ausdrücklich weder als Veräußerung noch als Anschaffung behandelt.
Quellen: BMF 06.03.2025, Rn. 53 f., BFH IX R 28/18, BFH IX R 3/22, FG Nürnberg 3 K 760/22, § 23 EStG
§ 22 Nr. 3 EStG
Unser WegGestohlen wurden Bestände, die als Staking- und Lending-Rewards zugeflossen und versteuert waren und weiter Erträge abwarfen. Wir machen den Verlust als Werbungskosten bei den sonstigen Einkünften geltend. Der BFH lässt unfreiwillige Verluste nur ausnahmsweise als Erwerbsaufwand zu, wenn besondere Umstände sie der Erwerbssphäre zuordnen. Zum Krypto-Hack hat er nicht entschieden. Ein Überschuss ist nur mit Einkünften aus Leistungen verrechenbar, auch im Rücktrag auf das Vorjahr.
Quellen: § 22 Nr. 3 Satz 3 und 4 EStG, § 10d EStG, § 9 EStG, BFH VI B 7/13, BFH VI R 26/95
§ 20 Abs. 2 EStG
Nur bei echten ForderungenDer BFH erkennt den endgültigen Ausfall einer privaten Kapitalforderung als Verlust an. Das setzt eine Rückzahlungsforderung voraus, etwa gegen eine Lending-Plattform, die ausfällt. Ein Drainer, der Token aus der eigenen Wallet abzieht, lässt keine Forderung ausfallen. Tatsächliche Werbungskosten sind bei § 20 EStG ohnehin ausgeschlossen.
Quellen: BFH VIII R 13/15, BFH VIII R 28/18, § 20 Abs. 9 EStG
Warum § 22 Nr. 3 EStG. Die Rewards waren bei Zufluss mit dem Marktkurs als sonstige Einkünfte versteuert und gelten zugleich als angeschafft (BMF 06.03.2025, Rn. 65). Sie lagen weiter im Staking und Lending und dienten der Erzielung genau dieser Einkünfte, als sie gestohlen wurden. Darauf stützen wir die Zuordnung zur Erwerbssphäre. Die Gegenposition ist bekannt: Verluste in der privaten Vermögenssphäre bleiben bei Überschusseinkünften grundsätzlich außer Betracht (BFH VI B 7/13); als Ausnahme anerkannt hat der BFH bislang etwa den Diebstahl notwendigen Reisegepäcks auf einer Dienstreise (BFH VI R 26/95).
Keine negativen Einnahmen. Der Diebstahl macht die versteuerten Rewards nicht rückgängig. Negative Einnahmen setzen voraus, dass eine Einnahme an den zurückgezahlt wird, der sie geleistet hat (BFH IX R 26/14). Ein Abfluss an einen Angreifer ist das nicht.
Verrechnung. Ein Überschuss der Werbungskosten ist nicht mit anderen Einkünften ausgleichbar. Er mindert nach Maßgabe des § 10d EStG die Einkünfte aus Leistungen des unmittelbar vorangegangenen Jahres oder der folgenden Jahre (§ 22 Nr. 3 Satz 3 und 4 EStG). Für einen Angriff im Jahr 2025 hieße das: Rücktrag auf die Staking- und Lending-Einkünfte 2024, der Rest wird vorgetragen.
Das Verfahren VIII R 22/25, das wir zur Einordnung von Lending-Erträgen führen, macht den Hack-Verlust nicht nutzbar. Es wirkt nur, soweit echte Kapitalforderungen bestehen. Zum Diebstahl von Kryptowerten gibt es weder eine Entscheidung des BFH noch eine Aussage im BMF-Schreiben.
Was Betroffene jetzt tun sollten
In dieser Reihenfolge.
- Wallets sperren und verbliebene Bestände, soweit möglich, auf eine neue Wallet mit neuem Schlüssel bringen. Die Schlüssel der alten Wallets gelten als offengelegt.
- Strafanzeige gegen Unbekannt erstatten und das Aktenzeichen sichern.
- Belege sichern: Wallet-Exporte aller betroffenen Chains, Transaktions-Hashes, Screenshots, Schriftverkehr mit Börsen.
- Zeitpunkt, Hergang und die eigene Aktivität vor und nach dem Vorfall schriftlich festhalten.
- Rückholung, Erstattung oder Versicherungsleistung dokumentieren; sie mindern den Verlust.
- In CoinTracking nicht selbst als „Lost“ oder „Stolen“ umbuchen, bevor Sachverhalt und Zeitpunkt geklärt sind.
- Den Verlust in der Erklärung offenlegen und begründen, den Bescheid mit Einspruch offenhalten. Ist zu einer Rechtsfrage ein Verfahren beim BFH anhängig, ruht der darauf gestützte Einspruch kraft Gesetzes (§ 363 Abs. 2 Satz 2 AO).
Fragen und Antworten
Kann ich gestohlene Kryptowerte steuerlich absetzen?
Warum ist der Diebstahl kein Verlust nach § 23 EStG?
Was ändert das BFH-Verfahren zu Lending (VIII R 22/25)?
Zeigt CoinTracking einen Hack automatisch an?
Woran erkenne ich einen Wallet-Drainer auf der Blockchain?
Welche Unterlagen brauche ich für das Finanzamt?
Rechtsstand: 14. November 2026. Fundstellen: §§ 9, 10d, 20 Abs. 2 und 9, 22 Nr. 3, 23 EStG; § 363 Abs. 2 Satz 2 AO; BMF-Schreiben vom 06.03.2025 (IV C 1 - S 2256/00042/064/043), Rn. 53, 54 und 65; BFH vom 14.02.2023, IX R 3/22; BFH vom 23.07.2019, IX R 28/18; BFH vom 30.07.2013, VI B 7/13; BFH vom 30.06.1995, VI R 26/95; BFH vom 16.06.2015, IX R 26/14; BFH vom 24.10.2017, VIII R 13/15; BFH vom 01.07.2021, VIII R 28/18; FG Nürnberg vom 22.01.2025, 3 K 760/22.
Verfahren: BFH VIII R 22/25 zur Einordnung von Lending-Erträgen, Vorinstanz FG Köln vom 10.09.2025, 3 K 194/23.
Der Fall ist ein typisiertes Beispiel aus unserer Praxis, kein konkreter Mandantenfall. Der Abzug gestohlener Kryptowerte bei § 22 Nr. 3 EStG ist unsere Rechtsauffassung; höchstrichterlich ist er nicht entschieden. Dieser Beitrag ersetzt keine Beratung im Einzelfall.
Weiterlesen
Noch eine Frage zu diesem Thema?
TaxTobi ist unser KI-Assistent für Krypto-Steuerfragen nach deutschem Recht. Er antwortet aus einer geprüften Wissensdatenbank mit Rechtsgrundlage und Stand, die erste Frage kostenlos. Einzelfallberatung ersetzt er nicht; dafür sprechen Sie mit uns.
TaxTobi zu diesem Thema fragen Was TaxTobi kann und was nicht →