Seriöse Airdrops erkennen: ein Punkteraster statt Bauchgefühl

Ein seriöser Airdrop ist einer, den tatsächlich das Projekt durchführt, auf das er sich beruft, mit einem Contract und Regeln, die dieses Projekt veröffentlicht hat. Die Definition ist absichtlich eng. Über den Wert des Tokens sagt sie nichts. Halte die beiden Fragen auseinander: Erstens, ist der Airdrop echt? Zweitens, lohnt er deine Zeit? Diese Seite beantwortet die erste Frage. Was passiert, wenn die Antwort Nein lautet, beschreibt der Ratgeber zum Airdrop-Betrug.

Wer nach „Airdrop seriös“ oder „Airdrop kostenlos“ sucht, landet schnell auf Seiten, die Gratis-Token für alle versprechen. Gratis ist ein Airdrop nur in dem Sinn, dass du für die Token selbst nichts zahlst. Gas-Gebühren, Zeit und das Risiko einer falschen Signatur trägst du trotzdem. Das Raster hilft dir, dieses Risiko klein zu halten.

Das 10-Punkte-Raster

Jede Prüfung hat ein Gewicht. Es richtet sich danach, wie schwer der Punkt für Betrüger zu fälschen ist und wie teuer es wird, wenn er fehlt. Die Gewichte sind unsere redaktionelle Einschätzung, kein Branchenstandard, und sie ergeben zusammen 100. Hake nur ab, was du selbst überprüft hast, nicht was die Seite behauptet. Nichts davon wird übertragen, der Stand bleibt in deinem Browser.

So liest du die Punktzahl

Unter 50

Nichts signieren. Entweder bist du mit der Prüfung nicht fertig, oder die Belege sind schwach.

50 bis 79

Unklar. Wenn du weitermachst, dann mit einer frischen Wallet, kleinem Guthaben und ohne Freigaben.

80 und mehr

Wahrscheinlich echt. Lies trotzdem jede Signaturanfrage.

Offizielle Kanäle prüfen

Das Prinzip ist eine Vertrauenskette. Sie beginnt bei etwas, das du unabhängig gefunden hast, und endet bei der Claim-Seite. Jedes Glied muss nach vorn zeigen, nie von der Claim-Seite zurück auf eine behauptete Autorität.

1. 1

   Bei einer selbst gefundenen Quelle starten

   Suche nach dem Projektnamen plus Docs oder nutze ein früher gespeichertes Lesezeichen. Starte nicht mit dem Link, der dein Interesse geweckt hat.

2. 2

   Offizielle Website und Dokumentation finden

   Prüfe, ob die Doku auf derselben Domain-Familie liegt wie die Website und ob sie den Airdrop sachlich beschreibt.

3. 3

   Dem Link nach außen zum Claim folgen

   Die offizielle Ankündigung sollte auf die Claim-Domain verlinken. Taucht die Claim-Domain nur in einem Social-Media-Beitrag auf, frag dich, warum.

4. 4

   Das Repository ansehen

   Echte Projekte haben meist öffentlichen Code. Achte auf Contract-Quellcode, Commits über Monate und aktive Issues. Ein Repo mit einem einzigen Commit von letzter Woche ist ein schwacher Beleg.

5. 5

   Prüfen, ob die Social-Media-Konten in beide Richtungen verlinkt sind

   Die Website verlinkt auf die Konten, und die Konten verlinken zurück auf dieselbe Website. Geklonte Konten scheitern meist an einer Richtung.

Ein Hinweis, der im deutschsprachigen Raum besonders oft gebraucht wird: Echte Projekte und echte Börsen schreiben dich nicht privat über WhatsApp oder Telegram an, um dir einen Airdrop anzubieten. Die BaFin beschreibt Betrugsmaschen, die genau so beginnen, mit einer unaufgeforderten Gruppeneinladung, angeblichen Profis und inszenierten Gewinnspielen mit Kryptowerten, und rät, solche Einladungen gar nicht erst anzunehmen.

Domain-Alter per RDAP erklärt

Viele gefälschte Claim-Seiten werden wenige Tage vor dem Einsatz registriert. Die Registrierungsdaten können das verraten. Früher war WHOIS das übliche Abfrageprotokoll. ICANN beschreibt RDAP als Nachfolger, entwickelt in der IETF-Community, mit standardisiertem Zugriff und einheitlichen Antworten. Seit dem 28. Januar 2025 müssen Registries und Registrare generischer Top-Level-Domains laut ICANN kein WHOIS mehr anbieten, außer für .com, .name und .post, RDAP aber weiterhin (ICANN). In der Praxis werden beide Begriffe für dieselbe Art Abfrage verwendet.

Worauf du im Ergebnis achtest: Erstellungsdatum, Registrar und Nameserver. Eine Domain, die lange vor der Kampagne angelegt wurde und stabile Angaben hat, beruhigt. Eine, die vor ein paar Tagen bei einem Registrar entstanden ist, der für Wegwerf-Domains beliebt ist, warnt. Zwei Einschränkungen aus unserer Erfahrung: Datenschutzdienste verbergen Inhaberdaten auch bei seriösen Seiten, eine geschwärzte Angabe ist also kein Schuldbeweis. Und eine alte Domain kann gekapert oder nach Ablauf neu registriert worden sein, das Alter ist ein Signal, kein Beweis. Abfragen kannst du zum Beispiel mit ICANN Lookup.

Contracts on-chain prüfen und Audits einordnen

Der Claim-Contract ist die Stelle, aus der die Token tatsächlich kommen. Öffne die Adresse im Block-Explorer der jeweiligen Chain und prüfe vier Dinge.

• Die Adresse stimmt mit der Doku überein. Kopiere sie aus der offiziellen Dokumentation und vergleiche mindestens die ersten und letzten sechs Zeichen. Besser die ganze Zeichenkette.
• Der Quellcode ist verifiziert. Explorer können verifizierten Quellcode anzeigen, der zum eingesetzten Bytecode passt. Unverifizierte Contracts sind nicht automatisch bösartig, verdienen aber weniger Punkte.
• Die Funktion, die du aufrufst, ist ein Claim. Gesucht ist eine Funktion, die einen Nachweis oder die Berechtigung prüft und Token an dich sendet. Alarmierend ist Code, der Token von dir abzieht.
• Alter und Aktivität. Ein Claim-Contract ohne frühere Transaktionen kurz vor dem Start ist normal. Ein Contract, der vor Minuten von einer frisch aufgeladenen Adresse erstellt und nur per DM beworben wurde, ist es nicht.

Zu Audits: Gesucht ist ein Bericht, den der Prüfer selbst veröffentlicht, mit Umfang, Datum und Ergebnissen sowie einem Verweis auf den geprüften Commit. Ein Logo auf der Projektseite ist kein Audit. Ein Audit beweist auch nicht, dass die Claim-Seite vor dir das geprüfte Deployment nutzt. Unsere redaktionelle Haltung: Ein Audit ist ein Pluspunkt für das Projekt, aber nie ein Grund, beim Signieren lockerer zu werden.

Die Claim-Seite Schritt für Schritt

Du hältst den Airdrop für wahrscheinlich echt. Jetzt geht es um die Seite selbst.

1. Nutze eine Burner-Wallet oder eine Wallet mit wenig Guthaben für den ersten Test, soweit die Regeln das erlauben. Mehr dazu im Ratgeber zur Burner-Wallet. Die Berechtigung hängt an der Adresse, die sie verdient hat. Eine Burner-Wallet hilft also vor allem, wenn du schon für die Aktivität eine getrennte Wallet genutzt hast oder die Regeln eine Delegation erlauben.
2. Vergleiche die URL Zeichen für Zeichen mit der Adresse aus der offiziellen Doku.
3. Verbinden, aber noch nicht signieren. Ein echter Checker zeigt dir, ob deine Adresse berechtigt ist, bevor er irgendetwas verlangt.
4. Lies die erste Anfrage. Ein Claim sollte eine Transaktion an den verifizierten Claim-Contract sein. Alles, was einen Token-Spender freigibt, eine Permit-Berechtigung erteilt oder setApprovalForAll aufruft, ist ein Stoppschild. EIP-721 beschreibt, dass ein so freigegebener Operator die betroffenen NFTs übertragen kann, und EIP-2612, dass eine Permit-Signatur eine Freigabe setzt, ohne dass du eine Transaktion sendest.
5. Gleiche die Menge mit der veröffentlichten Formel ab. Hat das Projekt eine Formel oder Tabelle veröffentlicht, sollte die angezeigte Zahl darin liegen.
6. Prüfe nach dem Claim deine Freigaben. Mit dem Ratgeber Token-Freigaben widerrufen stellst du sicher, dass nichts erteilt wurde.

Echte Fälle und typische Fälschungen im Vergleich

Wer eine dokumentierte echte Verteilung neben die Fälschungen legt, denen man tatsächlich begegnet, sieht, welche Prüfungen die Arbeit machen. Die beiden echten Fälle stammen aus der Dokumentation der Projekte.

Die Rechnung hinter der Fälschung ist einfach. Die Punkte 4, 6, 7, 8 und 9 können zufällig passen, etwa weil eine echte Contract-Adresse kopiert wurde. Die Gewichte für 1, 2, 3, 5 und 10 gehen aber verloren, und die machen zusammen 55 von 100 Punkten aus. Deshalb tragen genau diese fünf das meiste Gewicht.

Das feste Fenster bei Arbitrum lehrt noch etwas. Echte Claim-Fenster sind dokumentiert und enden. Eine Seite, die lange nach dem dokumentierten Ende anbietet, eine alte Verteilung abzuholen, verdient besonderes Misstrauen, denn laut Doku ist ARB nicht mehr abrufbar.

Was wir zuerst prüfen würden

Unsere eigene Reihenfolge, als redaktionelle Einschätzung: zuerst die Claim-Domain gegen die offizielle Doku, dann die Art der Signatur, dann die Contract-Adresse. Das dauert keine zwei Minuten und fängt das meiste ab, was wir sehen. Domain-Alter, Repository und Audits kommen danach, weil sie langsamer zu prüfen und leichter zu imitieren sind. Ein Logo, einen Thread oder sogar eine echte Contract-Adresse kann ein Betrüger kopieren. Die offizielle Doku dazu zu bringen, auf eine gefälschte Claim-Domain zu verlinken, ist viel schwerer.

Gewöhn dir noch etwas an: Notiere die Claim-URL und die Contract-Adresse, die du geprüft hast. Leitet die Seite später auf eine andere Domain um oder verlangt einen anderen Contract, behandle das als neuen, ungeprüften Claim und fang mit dem Raster von vorn an.

Börsen und Krypto-Dienste prüfen

Nicht jeder „Airdrop“ kommt von einem Protokoll. Manchmal steckt eine angebliche Börse oder Handelsplattform dahinter, die Gratis-Token als Lockmittel nutzt. Hier hilft ein zusätzlicher Check, den es in der EU seit MiCA gibt: Anbieter von Kryptowerte-Dienstleistungen brauchen eine Zulassung. Die BaFin veröffentlicht erteilte Zulassungen unter anderem in ihrer Unternehmensdatenbank, außerdem führt die europäische Wertpapieraufsicht ESMA ein vorläufiges MiCA-Register.

Taucht eine Plattform dort nicht auf, ist das ein starkes Warnsignal. Die BaFin rät ausdrücklich, zu prüfen, ob ein Anbieter von ihr oder einer Aufsicht im Europäischen Wirtschaftsraum lizenziert ist, und auf ein fehlendes oder widersprüchliches Impressum zu achten. In ihren Warnmeldungen nennt sie Websites und Plattformen, gegen die sie vorgeht. Für reine On-Chain-Airdrops eines Protokolls gibt es meist keinen solchen Registereintrag. Dort bleibt das Raster oben dein Werkzeug.

Was seriös nicht garantiert

• Wert. Ein geprüfter Airdrop kann wenig wert sein, und Kurse können schnell fallen, sobald die Token handelbar sind. Keine der Prüfungen oben misst das.
• Steuerliche Folgen. Ob und wann Airdrop-Token steuerpflichtig sind, hängt vom Einzelfall ab. Der Ratgeber zur Airdrop-Steuer erklärt die deutsche Lage und verweist auf die offiziellen Quellen. In Österreich und der Schweiz gelten eigene Regeln, dort ist die jeweilige Steuerverwaltung die richtige Adresse.
• Handelbarkeit. Ob du auf einer bestimmten Börse verkaufen kannst, entscheidet die Börse. Mehr dazu unter Airdrop-Token verkaufen.
• Sicherheit danach. Ein echter Claim, gefolgt von einer leichtsinnigen Freigabe anderswo, kostet dich trotzdem Geld.
• Deine Berechtigung. Ein Projekt kann ehrlich sein und du bekommst trotzdem nichts. Verspricht eine Seite, dass alle berechtigt sind, sei vorsichtig.

Wie es weitergeht

Nutze das Raster jedes Mal, nicht nur bei Kampagnen, die verdächtig wirken. Gefährlich ist die Kampagne, die sich normal anfühlt. Hast du schon etwas signiert, an dem du jetzt zweifelst, geh direkt zum Ratgeber Token-Freigaben widerrufen und melde die Seite danach bei Chainabuse. Bei einem Schaden ist laut BaFin die Polizei die richtige Stelle. Für den Einstieg ins Thema lies, was ein Krypto-Airdrop ist.

Geschrieben und geprüft von der Redaktion von airdrop.promo. Methode: so prüfen wir (EN). Fehler entdeckt? contacts@airdrop.promo. Nur zur Information, keine Finanz- oder Steuerberatung.