Geldwäsche und Terrorismusfinanzierung mit Krypto-Assets

Jede Kontrolle in einem Krypto-Compliance-Programm dient dazu, eine bestimmte Form des Missbrauchs von Krypto-Assets zu verhindern, aufzudecken oder zu melden. Wenn Sie nicht beschreiben können, wie Kriminelle tatsächlich Werte über Börsen, Wallets und Protokolle bewegen, können Sie nicht beurteilen, ob eine Regel, ein Schwellenwert für das Screening oder ein Kundenrisikowert zweckmäßig ist. Diese Lektion überträgt das klassische Geldwäschemodell auf Krypto, führt durch die wichtigsten Typologien und erklärt, warum das öffentliche Hauptbuch für Compliance-Teams ebenso sehr eine Waffe wie ein Risiko ist.

Die drei Phasen, auf Krypto übertragen

Das Lehrbuchmodell der Geldwäsche umfasst drei Phasen. Es ist eine Vereinfachung (reale Methoden lassen Phasen aus, wiederholen oder verbinden sie), bildet aber weiterhin die gemeinsame Terminologie von Ermittlern, Aufsichtsbehörden und Financial Intelligence Units.

Zwei Merkmale verändern das Bild im Vergleich zu Fiat. Erstens überspringt Krypto-native Kriminalität (Ransomware, Hacks, Betrug, bei dem in Krypto bezahlt wird) die Einspeisung vollständig: Die Erlöse entstehen direkt auf der Blockchain, sodass die Hauptaufgabe des Geldwäschers in der Verschleierung und darin besteht, einen zuverlässigen Ausstieg in Fiat zu finden. Zweitens ist der Ausstieg in Fiat der Engpass. Fast jede Methode benötigt letztlich einen Verwahrdienst, in der Regel eine Börse, einen OTC-Handelsplatz oder einen Zahlungsdienstleister, um Krypto in verfügbares Fiat umzuwandeln. Dieser Dienst ist Ihr Unternehmen.

Die wichtigsten Typologien

Die FATF, die Überwachungsteams des UN-Sicherheitsrats und Financial Intelligence Units beschreiben wiederkehrende Muster. Eine Fachkraft im Compliance-Bereich sollte jedes davon erkennen und die Kontrolle benennen können, die darauf abzielt.

Mehrere dieser Typologien überschneiden sich. Staatlich verbundene Hacker kombinieren Diebstahl, Verschleierung und Sanktionsumgehung. Betrugsnetzwerke nutzen Finanzagenten, die Konten bei Börsen eröffnen, um die Gelder der Opfer auszuzahlen. Die detaillierten Warnsignale zu den einzelnen Mustern werden in der Lektion Warnsignale und Typologien behandelt. Hier geht es darum, die vorhandenen Muster zu kennen und zu wissen, dass jedes davon in Ihre Risikobewertung einfließt.

Öffentliche Fälle als Beispiele

Öffentliche Fälle zeigen, was schiefgelaufen ist – genau das muss ein Compliance-Team daraus lernen.

• Ransomware: 2021 zahlte der Betreiber einer großen Treibstoffpipeline ein Lösegeld von etwa 75 BTC. Ermittler verfolgten den Großteil später bis zu einer einzigen Adresse zurück und konnten ihn sicherstellen. Das zeigt, dass Ransomware-Erlöse auf der Blockchain sichtbar bleiben, bis sie einen kooperierenden Intermediär erreichen.
• Staatlich verbundene Diebstähle: Im März 2024 berichtete das Expertengremium des UN-Sicherheitsrats zu Nordkorea (DVRK), dass es 58 mutmaßliche Cyberangriffe der DVRK auf kryptobezogene Unternehmen zwischen 2017 und 2023 untersuchte, deren Wert sich auf etwa 3 Milliarden USD belief. Der Diebstahl von etwa 1,46 Milliarden USD von der Börse Bybit im Februar 2025, der nordkoreanischen Akteuren zugeschrieben wurde, war zu diesem Zeitpunkt der größte einzelne Diebstahl, der jemals verzeichnet worden war. Die gestohlenen Assets wurden innerhalb weniger Tage über verschiedene Chains getauscht und verschoben.
• Verschleierung gehackter Gelder: Die Personen, die wegen der Geldwäsche im Zusammenhang mit dem Bitfinex-Diebstahl von 2016 verurteilt wurden, nutzten Tausende automatisierter Transaktionen, Chain-Hopping, Konten bei Darknet-Marktplätzen als Durchlaufkonten, die Umwandlung in Privacy-Coins und Konten, die bei Börsen unter falschen Identitäten eröffnet wurden. Diese Konten waren das Einfallstor für die Auszahlung. Deshalb war die Identitätsprüfung bei jeder Börse wichtig.
• Terrorismusfinanzierung: 2020 zerschlugen Behörden Online-Kampagnen terroristischer Gruppen, die Unterstützer um Bitcoin-Spenden baten und dafür Adressen in sozialen Medien und Nachrichtenkanälen veröffentlichten. Diese Adressen konnten einem Screening unterzogen werden, sobald sie bekannt waren.

Pseudonymität ist keine Anonymität

Die meisten öffentlichen Blockchains sind pseudonym: Transaktionen sind mit Adressen und nicht mit Namen verknüpft, aber jede Transaktion ist öffentlich, dauerhaft und mit einem Zeitstempel versehen. Für die Compliance ergeben sich daraus drei Fakten.

1. Ein identifizierter Punkt erschließt die Historie. Wenn ein Kunde seine Identität bei Ihrem Unternehmen verifiziert, wird jede Adresse, von der aus er einzahlt oder an die er abhebt, in Ihren Unterlagen mit einer realen Person verknüpft. Die On-Chain-Historie dieser Adressen wird damit zu einem Beweismittel.
2. Analysen können Adressen gruppieren und kennzeichnen. Clustering-Heuristiken und Attribution ermöglichen es Analysten einzuschätzen, welche Adressen zu derselben Einheit gehören und welche zu Diensten, sanktionierten Parteien oder kriminellen Wallets gehören. Diese Einschätzungen haben Fehlerraten (siehe die IDFE-BA-Lektion Was Clustering ist und warum es wichtig ist).
3. Verschleierung hinterlässt Spuren. Die Nutzung eines Mixers, einer Bridge oder eines Privacy-Coins ist an den Übergängen selbst sichtbar: Sowohl die Einzahlung in den Mixer als auch die Abhebung auf Ihre Plattform erscheinen auf der Blockchain, selbst wenn die Verbindung zwischen ihnen unterbrochen ist.

Echte Anonymität ist schwieriger zu erreichen, als Kriminelle hoffen, aber nicht unmöglich. Privacy-Coins verbergen Beträge und Gegenparteien konstruktionsbedingt, und einige Mixing-Techniken vereiteln die Rückverfolgung in der Praxis. Die Lektion Technologierisiken speziell für Krypto behandelt diese Merkmale als Risikofaktoren.

Zahlen zum Umfang der Kriminalität richtig einordnen

Compliance-Teams werden oft gefragt, wie groß das Problem ist. Gehen Sie mit Zahlen sorgfältig um.

• Das Büro der Vereinten Nationen für Drogen- und Verbrechensbekämpfung (UNODC) verweist seit Langem auf Schätzungen, wonach jährlich 2 % bis 5 % des globalen BIP gewaschen werden. Die Zahl ist veraltet, sehr ungefähr und umfasst alle Kanäle, nicht nur Krypto.
• Blockchain-Analyseunternehmen veröffentlichen Schätzungen zum Anteil illegaler On-Chain-Transaktionen. Diese Schätzungen erfassen nur Adressen, die bereits als illegal gekennzeichnet wurden, und werden daher üblicherweise nach oben korrigiert, wenn weitere Adressen identifiziert werden.
• Auch die Zusammensetzung der Assets verändert sich. Stablecoins haben Bitcoin bei vielen Typologien als wichtigstes Asset bei illegalen Geldflüssen überholt. Das ist für die Token und Chains relevant, die ein Unternehmen einem Screening unterziehen können muss.

Betrachten Sie jede Zahl als zeitgebundenes Beispiel, das von der verwendeten Methode abhängt. Geben Sie in einem Vorstandspapier oder einer Risikobewertung an, wer die Zahl wann und wie geschätzt hat, und stützen Sie die Risikoeinstufung Ihres eigenen Unternehmens niemals auf einen branchenweiten Wert. Entscheidend ist das Risikopotenzial, das sich aus den eigenen Kunden und Geldflüssen ergibt.

Von der Typologie zur Kontrolle

Die praktische Gewohnheit, die dieser Kurs vermittelt, besteht darin, jede Typologie in eine Frage zu übersetzen, die Ihr Programm beantworten muss.

Jede Zeile taucht später im Kurs erneut als konkrete Kontrolle mit entsprechenden Nachweisen auf: Screening in der Lektion Wallet- und Transaktionsscreening, Überwachung in der Lektion Transaktionsüberwachung für Kryptounternehmen und Meldungen in der Lektion Meldepflichten für verdächtige Transaktionen.

Prüfungsschwerpunkt: Einspeisung, Verschleierung und Integration sowie ihre Entsprechungen in der Krypto-Welt; warum Krypto-native Erlöse die Einspeisung überspringen und warum der Ausstieg in Fiat der Engpass ist; die sieben wichtigsten Typologien und wo ein VASP auf die jeweilige Typologie stößt; was öffentliche Fälle (Rückgewinnung von Ransomware-Erlösen, Diebstähle durch die DVRK, die Geldwäsche im Fall Bitfinex, Spendenkampagnen terroristischer Gruppen) über Kontrollversagen zeigen; warum Pseudonymität keine Anonymität ist und wie ein verifizierter Kunde eine Adresshistorie mit seiner Identität verknüpft; warum veröffentlichte Zahlen zum Umfang der Kriminalität zeitgebundene, methodenabhängige Beispiele und keine Grundlage für die eigene Risikoeinstufung eines Unternehmens sind.