Geldwäsche und Terrorismusfinanzierung mit Kryptowerten

Jede Kontrollmaßnahme in einem Krypto-Compliance-Programm dient dazu, eine bestimmte Form des Missbrauchs von Kryptowerten zu verhindern, aufzudecken oder zu melden. Wenn Sie nicht beschreiben können, wie Kriminelle tatsächlich Werte über Börsen, Wallets und Protokolle bewegen, können Sie nicht beurteilen, ob eine Regel, ein Screening-Schwellenwert oder eine Kundenrisikobewertung zweckmäßig ist. Diese Lektion überträgt das klassische Geldwäschemodell auf Kryptowerte, erläutert die wichtigsten Typologien und erklärt, warum das öffentliche Transaktionsregister für Compliance-Teams ebenso ein wirksames Instrument wie ein Risiko ist.

Die drei Phasen, übertragen auf Kryptowerte

Das Lehrbuchmodell der Geldwäsche umfasst drei Phasen. Es ist eine Vereinfachung (reale Vorgehensweisen überspringen, wiederholen oder verbinden Phasen), bleibt aber das gemeinsame Vokabular von Ermittlern, Aufsichtsbehörden und zentralen Meldestellen für Finanztransaktionsuntersuchungen.

Zwei Merkmale verändern das Bild gegenüber Fiatgeld. Erstens überspringt kryptonative Kriminalität (Ransomware, Hacks, in Kryptowerten bezahlter Betrug) die Platzierung vollständig: Die Erträge entstehen bereits on-chain, sodass die Hauptaufgabe des Geldwäschers in der Verschleierung und einem zuverlässigen Auszahlungsweg besteht. Zweitens ist der Auszahlungsweg der Engpass. Fast jedes Vorgehen benötigt irgendwann einen verwahrenden Dienstleister, in der Regel eine Börse, einen OTC-Handelsschalter oder einen Zahlungsdienstleister, um Kryptowerte in ausgabefähiges Fiatgeld umzuwandeln. Dieser Dienstleister ist Ihr Unternehmen.

Die wichtigsten Typologien

Die FATF, die Überwachungsteams des UN-Sicherheitsrats und die zentralen Meldestellen für Finanztransaktionsuntersuchungen beschreiben wiederkehrende Muster. Eine Compliance-Fachkraft sollte jedes davon erkennen und die darauf ausgerichtete Kontrollmaßnahme benennen können.

Mehrere dieser Typologien überschneiden sich. Staatlich verbundene Hacker kombinieren Diebstahl, Verschleierung und Sanktionsumgehung. Betrugsnetzwerke nutzen Finanzagenten, die Konten bei Börsen eröffnen, um sich die Gelder der Opfer auszahlen zu lassen. Die detaillierten Warnsignale für jedes Muster werden in der Lektion Warnsignale und Typologien behandelt; hier geht es darum, zu wissen, welche Muster existieren und dass jedes in Ihre Risikobewertung einfließt.

Öffentliche Fälle zur Veranschaulichung

Öffentliche Fälle zeigen, was versagt hat – genau daraus muss ein Compliance-Team lernen.

• Ransomware: Im Jahr 2021 zahlte der Betreiber einer bedeutenden Treibstoffpipeline ein Lösegeld von etwa 75 BTC. Ermittler verfolgten später den Großteil davon zu einer einzigen Adresse zurück und stellten ihn sicher. Dies zeigt, dass Ransomware-Erträge on-chain sichtbar bleiben, bis sie einen kooperierenden Intermediär erreichen.
• Staatlich verbundene Diebstähle: Im März 2024 berichtete das Sachverständigengremium des UN-Sicherheitsrats zur DVRK, dass es 58 mutmaßlich von der DVRK verübte Cyberangriffe auf kryptobezogene Unternehmen zwischen 2017 und 2023 mit einem Gesamtwert von etwa 3 Milliarden USD untersuche. Der Diebstahl von etwa 1,46 Milliarden USD bei der Börse Bybit im Februar 2025, der nordkoreanischen Akteuren zugeschrieben wurde, war damals der größte jemals dokumentierte Einzeldiebstahl. Die gestohlenen Vermögenswerte wurden innerhalb weniger Tage getauscht und über Bridges zwischen Blockchains transferiert.
• Verschleierung von Geldern aus Hacks: Die wegen der Geldwäsche im Zusammenhang mit dem Bitfinex-Diebstahl von 2016 verurteilten Personen nutzten Tausende automatisierter Transaktionen, Chain-Hopping, Konten auf Darknet-Marktplätzen als Durchlaufkonten, die Umwandlung in Privacy Coins und unter falschen Identitäten eröffnete Konten bei Börsen. Diese Konten waren das Tor zur Auszahlung, weshalb die Identitätsprüfung bei jeder Börse wichtig war.
• Terrorismusfinanzierung: Im Jahr 2020 unterbanden Behörden Online-Kampagnen terroristischer Gruppen, die Unterstützer um Bitcoin-Spenden baten und dazu Adressen in sozialen Medien und Messaging-Kanälen veröffentlichten. Sobald diese Adressen bekannt waren, konnten sie in das Screening aufgenommen werden.

Pseudonymität ist keine Anonymität

Die meisten öffentlichen Blockchains sind pseudonym: Transaktionen sind mit Adressen verknüpft, nicht mit Namen, aber jede Transaktion ist öffentlich, dauerhaft gespeichert und mit einem Zeitstempel versehen. Daraus ergeben sich drei Tatsachen für die Compliance.

1. Ein identifizierter Punkt erschließt eine Historie. Wenn ein Kunde seine Identität bei Ihrem Unternehmen verifiziert, wird jede Adresse, von der er einzahlt oder an die er auszahlt, in Ihren Aufzeichnungen mit einer realen Person verknüpft, und die On-Chain-Historie dieser Adressen wird zum Beweismittel.
2. Analysen können Adressen gruppieren und kennzeichnen. Clustering-Heuristiken und Zuordnungen ermöglichen Analysten einzuschätzen, welche Adressen derselben Entität gehören und welche zu Diensten, sanktionierten Parteien oder kriminellen Wallets gehören. Diese Einschätzungen weisen Fehlerquoten auf (siehe die IDFE-CF-Lektion Clustering und die Common-Input-Ownership-Heuristik).
3. Verschleierung hinterlässt Spuren. Die Nutzung eines Mixers, einer Bridge oder eines Privacy Coins ist an den Übergängen selbst sichtbar: Sowohl die Einzahlung in den Mixer als auch die Auszahlung an Ihre Plattform erscheinen on-chain, selbst wenn die Verbindung zwischen ihnen unterbrochen ist.

Echte Anonymität ist schwieriger zu erreichen, als Kriminelle hoffen, aber sie ist nicht unmöglich. Privacy Coins verbergen Beträge und Gegenparteien konstruktionsbedingt, und einige Mixing-Techniken verhindern in der Praxis eine Rückverfolgung. Die Lektion Kryptospezifische Technologierisiken behandelt diese Merkmale als Risikofaktoren.

Zahlen zum Kriminalitätsvolumen einordnen

Compliance-Teams werden häufig gefragt, wie groß das Problem ist. Gehen Sie mit Zahlen sorgfältig um.

• Das Büro der Vereinten Nationen für Drogen- und Verbrechensbekämpfung zitiert seit Langem Schätzungen, wonach jährlich 2 % bis 5 % des weltweiten BIP gewaschen werden. Die Zahl ist alt, sehr ungenau und umfasst alle Kanäle, nicht nur Kryptowerte.
• Blockchain-Analyseunternehmen veröffentlichen Schätzungen zum illegalen Anteil des On-Chain-Volumens. Diese Schätzungen berücksichtigen nur Adressen, die bereits als illegal gekennzeichnet sind, und werden daher in der Regel nach oben korrigiert, wenn weitere Adressen identifiziert werden.
• Auch die Zusammensetzung der Vermögenswerte verändert sich. Stablecoins haben Bitcoin bei vielen Typologien als wichtigsten Vermögenswert in illegalen Finanzströmen abgelöst. Dies ist dafür relevant, welche Token und Blockchains ein Unternehmen prüfen können muss.

Behandeln Sie jede Zahl als zeitgebundene Veranschaulichung, die von ihrer Methodik abhängt. Geben Sie in einer Vorstandsvorlage oder Risikobewertung an, wer die Schätzung wann und wie vorgenommen hat, und stützen Sie die Risikoeinstufung Ihres eigenen Unternehmens niemals auf eine marktweite Zahl. Entscheidend ist die Risikoexposition, die sich aus Ihren eigenen Kunden und Finanzströmen ergibt.

Von der Typologie zur Kontrollmaßnahme

Die praktische Arbeitsweise, die dieser Kurs vermittelt, besteht darin, jede Typologie in eine Frage zu übersetzen, die Ihr Programm beantworten muss.

Jede Zeile erscheint später im Kurs erneut als konkrete Kontrollmaßnahme mit Nachweisen: Screening in der Lektion Wallet- und Transaktionsscreening, Überwachung in der Lektion Transaktionsüberwachung für Kryptounternehmen und Meldungen in der Lektion Verdachtsmeldepflichten.

Prüfungsschwerpunkt: Platzierung, Verschleierung und Integration sowie ihre Entsprechungen bei Kryptowerten; warum kryptonative Erträge die Platzierung überspringen und warum der Auszahlungsweg in Fiatgeld der Engpass ist; die sieben wichtigsten Typologien und wo ein VASP sie jeweils erkennt; was öffentliche Fälle (Sicherstellung von Ransomware-Erträgen, Diebstähle durch die DVRK, die Bitfinex-Geldwäsche, terroristische Spendenkampagnen) über das Versagen von Kontrollen zeigen; warum Pseudonymität keine Anonymität ist und wie ein verifizierter Kunde eine Adresshistorie mit einer Identität verknüpft; warum veröffentlichte Zahlen zum Kriminalitätsvolumen zeitgebundene, methodenabhängige Veranschaulichungen sind und keine Grundlage für die eigene Risikoeinstufung eines Unternehmens.