Kryptospezifische Technologierisiken

Kryptowerte bringen eine Risikokategorie mit sich, mit der sich traditionelle AML-Programme kaum befassen mussten: die Technologie selbst. Ob ein Unternehmen einen Privacy Coin unterstützt, Einzahlungen über eine Bridge akzeptiert oder Kunden Auszahlungen an beliebige Adressen ermöglicht, beeinflusst sein Risiko ebenso stark wie die Identität seiner Kunden. Der Compliance-Beauftragte muss jede Funktion gut genug verstehen, um sie zu bewerten, zu kontrollieren und dem Leitungsorgan zu erklären, warum das Unternehmen sie akzeptiert, einschränkt oder ablehnt.

Technologie als Risikokategorie

Empfehlung 15 verpflichtet Unternehmen, die Risiken neuer Produkte, Geschäftspraktiken, Bereitstellungsmechanismen und Technologien vor ihrer Einführung zu bewerten. Die aktualisierten FATF-Leitlinien zu virtuellen Vermögenswerten von 2021 behandeln Funktionen, die die Anonymität erhöhen oder Zahlungsströme verschleiern. In der unternehmensweiten Risikobewertung (siehe die Lektion Der risikobasierte Ansatz) werden in der Kategorie Technologien für jede Funktion drei Fragen gestellt:

1. Unterbricht sie die Transaktionsspur? Können Werte ohne eine sichtbare Verbindung zwischen Herkunft und Ziel übertragen werden?
2. Beseitigt sie den Intermediär? Können Werte übertragen werden, ohne dass ein Verpflichteter Kundensorgfaltspflichten (CDD) anwendet?
3. Können wir sie sehen? Decken unsere Screening- und Analysetools die Blockchain, den Token oder das Protokoll ab?

Die Antwort „ja, ja, nein“ entspricht dem Profil einer Funktion mit hohem Risiko.

Privacy Coins, Mixer und CoinJoin

Privacy Coins, die FATF als Kryptowährungen mit erhöhter Anonymität bezeichnet, verbergen konstruktionsbedingt Absender, Empfänger oder Beträge, beispielsweise durch Ringsignaturen, Stealth-Adressen oder Zero-Knowledge-Beweise. Einige bieten optionale Privatsphäre; in diesem Fall bleiben transparente Transaktionen nachverfolgbar. Für einen VASP ist das Problem konkret: Sobald Gelder in einen abgeschirmten Pool gelangen, lässt sich mit Analysetools nicht mehr feststellen, woher die Einzahlungen stammen.

Mixer bündeln Gelder vieler Nutzer und zahlen sie an neue Adressen aus. Zentralisierte Mixer übernehmen die Verwahrung; Smart-Contract-Mixer wie Tornado Cash funktionieren ohne einen Betreiber, der die Gelder hält. CoinJoin kombiniert Inputs mehrerer Nutzer in einer Transaktion mit gleichwertigen Outputs. Mixing dient legitimen Zwecken des Datenschutzes, doch Mixer spielten auch eine zentrale Rolle bei der Geldwäsche von Ransomware-Erlösen und Erlösen aus Diebstählen mit Verbindung zur DPRK. Die FATF-Warnindikatoren (September 2020) führen Gelder auf, die direkt von Mixing-Diensten stammen. Wie sich Mixing auf der Blockchain darstellt, behandeln die IDFE-CF-Lektionen Verwahrende Mixer, CoinJoin und Smart-Contract-Mixer; Sanktionen gegen Smart Contracts behandelt die Lektion Wallet- und Transaktionsscreening.

Bridges, Chain-Hopping, DeFi und DEXs

Bridges übertragen Werte zwischen Blockchains, indem sie diese auf einer Blockchain sperren oder vernichten und auf einer anderen freigeben oder neu erzeugen. Chain-Hopping bezeichnet die Nutzung von Bridges und Swaps, um Werte schnell über mehrere Blockchains zu bewegen, sodass jede Analyseansicht nur einen Ausschnitt erfasst. Nach dem Diebstahl von etwa 620 Millionen USD aus der Ronin-Bridge im Jahr 2022 und dem Bybit-Diebstahl im Jahr 2025, die beide Akteuren mit Verbindung zur DPRK zugeschrieben wurden, wurden gestohlene Vermögenswerte innerhalb weniger Tage über mehrere Blockchains bewegt. Bridges sind auch selbst Ziele von Hackerangriffen.

DeFi-Protokolle und dezentrale Börsen (DEXs) ermöglichen Nutzern den Tausch sowie die Vergabe und Aufnahme von Krediten ohne Verwahrer. Das Risiko für einen VASP ist indirekt: Gelder, die von einem DEX-Router oder Kreditpool eingehen, enthalten keine Informationen darüber, wer sie bereitgestellt hat, und das Protokoll wendet keine CDD an. Ihre Kontrollen bestehen aus der Analyse der On-Chain-Exposition, der Abdeckung der beteiligten Blockchains und den blockchainübergreifenden Nachverfolgungsmethoden, die in der IDFE-CF-Lektion Chain-Hopping und blockchainübergreifende Nachverfolgung beschrieben werden.

Unhosted Wallets, P2P und OTC

Unhosted Wallets werden vom Nutzer ohne Intermediär kontrolliert. Die meisten Transfers zu und von ihnen sind legitim, doch P2P-Transfers zwischen Unhosted Wallets finden vollständig außerhalb des Geltungsbereichs für Verpflichtete statt – eine Lücke, auf die die FATF in ihren gezielten Aktualisierungen wiederholt hingewiesen hat. Die Kontrollen eines VASP setzen an der Schnittstelle an: Informationen über die Gegenpartei erheben, bei entsprechendem Risiko die Inhaberschaft von Adressen nachweisen lassen und die Exposition überwachen (siehe die Lektion Unhosted Wallets und selbstverwahrte Transfers).

P2P-Plattformen und OTC-Broker schaffen ein verwandtes Risiko: Ein Kunde, der in großem Umfang für andere handelt, betreibt möglicherweise über sein Konto bei Ihnen eine nicht registrierte Börse, einen sogenannten Nested Service. OTC-Handelsstellen, die große Geschäfte in bar oder über Dritte abwickeln, sind ein klassischer Weg, um kriminelle Fiatgelder in Kryptowerte und zurück umzuwandeln.

Kioske, NFTs und Stablecoins in großem Maßstab

Krypto-Geldautomaten und -Kioske verbinden Bargeld mit der sofortigen Bereitstellung von Kryptowerten. Wiederkehrende Risiken sind Betrugsopfer, die zur Einzahlung von Bargeld angeleitet werden, Finanzagenten, die viele kleine Transaktionen durchführen, und schwache Identitätsprüfungen bei niedrigen Beträgen. Betreiber mindern diese Risiken durch Transaktionslimits, Identitätsprüfung, Warnhinweise auf dem Bildschirm, die Überwachung wiederholter Nutzung über mehrere Kioske hinweg und das Screening von Zieladressen.

NFTs fallen bei einer Nutzung als Sammlerstücke im Allgemeinen nicht unter die VA-Definition (siehe die Lektion Der VASP als Verpflichteter). Auf Marktplätzen kommen jedoch Wash-Trading, Preismanipulation und Verkäufe mit hohem Wert zwischen miteinander verbundenen Wallets vor, die Werttransfers verschleiern können.

Stablecoins sind inzwischen für viele legitime und illegale Zahlungsströme der wichtigste Vermögenswert zur Abwicklung. Der gezielte FATF-Bericht zu Stablecoins und Unhosted Wallets (März 2026) stützte sich auf Branchendaten, denen zufolge sie zur am häufigsten genutzten Anlageklasse bei illegalen Zahlungsströmen mit virtuellen Vermögenswerten geworden sind. Diese Entwicklung erklärt sich durch ihre Preisstabilität, Liquidität und Reichweite über mehrere Blockchains hinweg. Für die Risikobewertung bedeutet dies, dass die Stablecoin-Exposition nach Token und Blockchain einen wesentlichen eigenständigen Faktor darstellt. Stablecoins bieten zudem eine Risikominderungsmöglichkeit, die den meisten Vermögenswerten fehlt: Viele Emittenten können Adressen einfrieren. Derselbe Bericht führte es als bewährte Praxis auf, von Emittenten die Fähigkeit zu verlangen, Token auf dem Sekundärmarkt einzufrieren, zu vernichten oder einzuziehen. Ein Compliance-Team sollte wissen, welche Stablecoins es auf welchen Blockchains unterstützt und ob deren Emittenten in der Praxis Einfrierungen vornehmen.

Wie die einzelnen Funktionen in die Risikobewertung einfließen

Bewertungen sollten auf Ihren eigenen Daten beruhen, nicht auf einer allgemeinen Tabelle. Die folgende Abfrage misst, welcher Anteil des monatlichen Eingangsvolumens direkt aus jeder Analysekategorie stammt. Dies gibt der EWRA eine faktische Grundlage und ermöglicht dem Leitungsorgan, Trends zu erkennen.

-- Monatliches Eingangsvolumen nach Kategorie der direkten Exposition (fiktives Schema)
SELECT DATE_TRUNC('month', d.block_time)          AS month,
       COALESCE(e.category, 'unlabeled')          AS category,  -- Mixer, Bridge, DEX...
       COUNT(*)                                   AS deposits,
       SUM(d.amount_usd)                          AS volume_usd,
       SUM(d.amount_usd) * 1.0 / SUM(SUM(d.amount_usd))
         OVER (PARTITION BY DATE_TRUNC('month', d.block_time)) AS share_of_month
FROM deposits d
LEFT JOIN address_exposure e
  ON  e.address = d.source_address
  AND e.exposure_type = 'direct'
  AND e.snapshot_date = d.screened_on          -- zum Screening-Zeitpunkt bekanntes Label
GROUP BY DATE_TRUNC('month', d.block_time), COALESCE(e.category, 'unlabeled')
ORDER BY month, volume_usd DESC;

Die Abfrage verknüpft jede Einzahlung mit dem Analyselabel, das am Tag des Screenings für ihre Quelladresse galt. Die Zahlen spiegeln daher wider, was das Unternehmen damals wusste. Ein Left Join behält Einzahlungen ohne Label in der Gesamtsumme bei und verhindert so, dass die Anteile überhöht werden. Die Fensterfunktion teilt das Volumen jeder Kategorie durch die Monatssumme. Datumsfunktionen unterscheiden sich je nach Datenbanksystem (einige verwenden DATETRUNC oder DATE_FORMAT). Indirekte Exposition und die Grenzen von Labels werden in der Lektion Blockchain-Analyse für Compliance behandelt.

Risikominderung versus pauschales De-Risking

Bei einer risikobehafteten Funktion steht einem Unternehmen eine abgestufte Auswahl an Optionen zur Verfügung: mit Überwachung akzeptieren, Limits oder verstärkte Sorgfaltspflichten anwenden, die Funktion einschränken (beispielsweise Einzahlungen zulassen, aber keine Auszahlungen an bestimmte Protokolle) oder sie vollständig ablehnen. Der RBA verlangt, dass die Entscheidung im Einzelfall aus der Bewertung folgt.

Die FATF hat wiederholt vor pauschalem De-Risking gewarnt, also davor, ganze Kategorien von Kunden oder Aktivitäten auszuschließen, um Risiken zu vermeiden, statt sie zu steuern. In ihrer Erklärung vom Oktober 2014 hieß es, der RBA bedeute Einzelfallentscheidungen und kein pauschales De-Risking. Ihre Bestandsaufnahme der unbeabsichtigten Folgen der Standards vom Oktober 2021 stellte fest, dass De-Risking Aktivitäten in weniger transparente Kanäle drängt und der finanziellen Inklusion schadet. Die Änderungen vom Februar 2025 an der Auslegungsnote zu R.1 fordern Aufsichtsbehörden auf, auf eine übermäßige Erfüllung von Anforderungen zu achten, die auf einem unvollständigen Verständnis der Risiken beruht.

Die Ablehnung einer Funktion bleibt legitim, wenn das Unternehmen sie tatsächlich nicht kontrollieren kann, etwa bei einem Privacy Coin, dessen Transaktionen seine Tools nicht screenen können. Entscheidend ist, ob die Entscheidung dokumentiert ist, auf der eigenen Bewertung des Unternehmens beruht und überprüft wird, wenn sich Tools oder Fakten ändern. „Wir haben alle Transfers an Unhosted Wallets blockiert, weil es einfacher war“ besteht diese Prüfung nicht; „wir listen Vermögenswert Z nicht, weil keine Screening-Abdeckung besteht; vierteljährliche Überprüfung“ besteht sie.

Prüfungsschwerpunkt: die Pflicht nach R.15, neue Technologien vor ihrer Einführung zu bewerten; die drei Fragen (Unterbrechung der Transaktionsspur, Wegfall des Intermediärs, Sichtbarkeit) zur Bewertung einer Funktion; die Risiken von Privacy Coins, Mixern und CoinJoin, Bridges und Chain-Hopping, DeFi und DEXs, Unhosted Wallets und P2P, OTC und Nested Services, Kiosken, NFTs und Stablecoins; warum Stablecoins sowohl ein bedeutender Kanal für illegale Zahlungsströme als auch eine Quelle der Risikominderung durch Einfrierungen seitens der Emittenten sind; Messung der Exposition mit zeitpunktbezogenen Labels; die abgestuften Optionen zur Risikominderung und warum die FATF pauschales De-Risking ablehnt, dokumentierte Ablehnungen jedoch zulässt.