Sanktionsrisiken und Screening · Lektion 2 von 5
Kryptospezifische Sanktionsrisiken
8 Min. Lesezeit
Kryptowerte verändern die Art und Weise, wie Sanktionsrisiken entstehen. Eine gelistete Partei kann innerhalb von Sekunden eine Wallet eröffnen, Werte ohne eine Bank grenzüberschreitend übertragen und sich hinter Diensten verbergen, die die Gelder vieler Nutzer bündeln. Gleichzeitig hinterlässt jeder Transfer eine dauerhafte öffentliche Aufzeichnung, die ein gut ausgestattetes Compliance-Team nachverfolgen kann. Diese Lektion stellt die kryptospezifischen Sanktionsrisiken dar, damit die Screening-Kontrollen in den nächsten Lektionen auf die richtigen Ziele ausgerichtet sind.
Gelistete Adressen und ihre Grenzen
Seit 2018 führen einige autonome Sanktionsregime Adressen für virtuelle Vermögenswerte in ihren Listungseinträgen auf. Diese dienen als Identifikatoren einer gelisteten Person oder Organisation, ähnlich wie eine aufgeführte Reisepassnummer. Ein Transfer an eine solche Adresse oder von einer solchen Adresse stellt eine direkte Transaktion mit der gelisteten Partei dar.
Adresslistungen sind nützlich, aber begrenzt:
- Abdeckung. Die konsolidierte Sanktionsliste der UN enthält kein eigenes Feld für Adressen für virtuelle Vermögenswerte. Daher erfassen UN-Listungen Kryptowerte in der Regel über Namen und Organisationen, nicht über Adressen. Autonome Listen veröffentlichen nur für einige Listungen Adressen.
- Vielzahl. Eine gelistete Partei kann kostenlos neue Adressen generieren. Eine gelistete Adresse zeigt, wo die Partei aktiv war, nicht alle Orte, an denen sie aktiv ist.
- Format. In Listen veröffentlichte Adressen können eine fehlende, mehrdeutige oder falsche Chain- oder Token-Kennzeichnung aufweisen, und dieselbe Zeichenfolge kann auf mehreren EVM-kompatiblen Chains gültig sein.
- Ausgangspunkte, keine Grenzen. Gelistete Adressen sollten als Ausgangspunkte behandelt werden. Die Blockchain-Analyse erweitert sie zu Clustern von Adressen, die wahrscheinlich von derselben Partei kontrolliert werden (siehe die IDFE-CF-Lektionen zum Clustering). Das Screening deckt dann den Cluster ab.
Die praktische Regel lautet: Ein Unternehmen, das nur gegen veröffentlichte Adressen prüft, wird die meisten Sanktionsbezüge übersehen. Adressen sind eine Informationsquelle; Namen, Organisationen, Geografie und Verhalten sind die weiteren.
Sanktionierte Dienste
Autonome Sanktionsregime haben nicht nur Einzelpersonen, sondern auch Kryptodienste gelistet: Börsen, denen die Abwicklung von Erlösen aus Ransomware und dem Darknet vorgeworfen wird, Mixer, die zur Geldwäsche nach staatlich verbundenen Diebstählen genutzt werden, und in einem Fall eine Reihe von Smart Contracts: 2022 listeten die Vereinigten Staaten den Mixer Tornado Cash durch die Aufnahme seiner Vertragsadressen in die Sanktionsliste (siehe die Lektion Wallet- und Transaktionsscreening). Wird ein Dienst gelistet, entsteht für Gegenparteien bei jeder ihm zugeordneten Einzahlungsadresse und Hot Wallet ein Sanktionsbezug.
Zwei Muster treten wiederholt auf. Erstens setzt eine gelistete Börse ihren Betrieb häufig fort, manchmal unter einem neuen Namen oder über eine Nachfolgeorganisation, die ihre Kunden und Liquidität übernimmt. Zweitens können Kunden eines gelisteten Dienstes zu anderen Plattformen wechseln und dabei Gelder mit direktem oder indirektem Sanktionsbezug mitbringen. Beides bedeutet, dass auf Listenaktualisierungen Aktualisierungen der Analysedaten folgen müssen und dass die Sorgfaltsprüfung von VASP-Gegenparteien (siehe die Lektion Identifizierung und Überprüfung der Gegenpartei) nach Sanktionsverbindungen fragen muss, nicht nur nach der Bereitschaft zur Umsetzung der Travel Rule.
Staatlich verbundener Diebstahl: der Fall der DVRK
Das wichtigste staatliche Sanktionsrisiko im Kryptobereich sind Diebstähle durch Akteure mit Verbindungen zur Demokratischen Volksrepublik Korea, über die häufig unter dem Namen Lazarus Group berichtet wird. Die DVRK unterliegt Sanktionen des UN-Sicherheitsrats gemäß Resolution 1718 (2006) und späteren Resolutionen, die darauf abzielen, die Finanzierung ihrer Waffenprogramme zu unterbinden.
Die Expertengruppe, die den 1718-Ausschuss unterstützte, dokumentierte diese Aktivitäten über Jahre hinweg. In ihrem im März 2024 veröffentlichten Bericht erklärte sie, 58 mutmaßliche Cyberangriffe auf Unternehmen mit Kryptobezug zwischen 2017 und 2023 mit einem Wert von etwa 3 Milliarden USD zu untersuchen. Sie berichtete zudem, dass Cyberdiebstahl bis zur Hälfte der Deviseneinnahmen der DVRK generierte. Das Mandat der Expertengruppe endete am 30. April 2024, nachdem im März 2024 gegen einen Resolutionsentwurf zur Verlängerung ein Veto eingelegt worden war. Eine Gruppe von 11 Staaten richtete daraufhin außerhalb des UN-Rahmens ein Überwachungsteam ein, das weiterhin über Cyberdiebstahl durch die DVRK berichtet. Der Diebstahl von etwa 1,46 Milliarden USD bei der Börse Bybit im Februar 2025 wurde Akteuren der DVRK zugeschrieben.
Das in öffentlichen Berichten beschriebene Geldwäschemuster ist einheitlich: rascher Tausch gestohlener Token auf dezentralen Börsen, Nutzung von Mixern und Cross-Chain-Bridges, Umwandlung in Bitcoin oder Stablecoins sowie Auszahlung über OTC-Broker und Konten bei Börsen in Jurisdiktionen mit nachsichtiger Regulierung. Die Expertengruppe und spätere öffentliche Berichte beschrieben außerdem, wie IT-Fachkräfte der DVRK im Ausland falsche oder fremde Identitäten nutzen, um Fernarbeitsstellen und freiberufliche Aufträge zu erhalten, die häufig in Stablecoins bezahlt werden. Für einen VASP entsteht dadurch ein zweites Risiko: die Aufnahme eines Kunden, der tatsächlich für einen gelisteten Staat handelt.
Ransomware und gelistete Cyberkriminelle
Einige autonome Sanktionsregime listen Ransomware-Betreiber, die dahinterstehenden Personen und die Dienste, die ihre Erlöse waschen. Für VASPs ist dies in zweierlei Hinsicht relevant. Ein Opfer, das über eine Börse Kryptowerte kauft, um Lösegeld zu zahlen, kann diese an eine von einer gelisteten Partei kontrollierte Adresse senden. Dadurch kann die Zahlung zu einem Sanktionsverstoß werden, auch für jedes Unternehmen, das sie ermöglicht. Zudem gelangen Lösegelder später als Einzahlungen mit direktem oder indirektem Sanktionsbezug zu Börsen. Unternehmen, die Incident-Response-Unternehmen oder Opfer betreuen, benötigen ein Verfahren für lösegeldbezogene Transfers: Screening des Empfängers, Eskalation an den Sanktionsbeauftragten und Einbindung der zuständigen Behörde, bevor etwas gesendet wird.
Umgehungstypologien
| Typologie | Funktionsweise | Für einen VASP erkennbare Signale | Typische Kontrolle |
|---|---|---|---|
| Verschachtelte Dienste | Eine nicht lizenzierte Börse oder ein OTC-Handelsschalter wickelt sein Geschäft über ein Konto bei einem größeren VASP ab | Sehr hohe Volumina, viele nicht miteinander verbundene Gegenparteien, Einzahlungen aus Clustern sanktionierter Dienste | Sorgfaltsprüfung von Gegenparteien und Kunden; Verbot nicht offengelegter Verschachtelung |
| OTC-Broker | Broker wandeln außerhalb regulierter Handelsplätze große Beträge gegen Bargeld oder Banküberweisungen um | Geschäfte mit runden Beträgen, schnelle Ein- und Ausgänge, Verbindungen zu Diebstahl- oder Mixer-Clustern | Verstärkte Sorgfaltsprüfung bei Brokern; Screening auf Sanktionsbezüge |
| Chain-Hopping | Gelder werden über Bridges und Tauschdienste zwischen Chains verschoben, um die Spur zu unterbrechen | Einzahlungen aus Bridge-Verträgen kurz nach einem bekannten Diebstahl | Chain-übergreifende Analyse; Zurückhalten neuer Zuflüsse mit hohem Risiko |
| VPNs und Proxys | Nutzer in sanktionierten Gebieten verbergen ihren Standort | IP-Adressen von Hosting-Anbietern, Unstimmigkeiten bei Zeitzone oder Sprache | Geolokalisierungskontrollen mit VPN-Erkennung |
| Tarnunternehmen und Strohleute | Ein unbelasteter Name dient als Fassade für einen gelisteten Eigentümer | Kaum Unternehmenshistorie, Eigentümerwechsel nach einer Listung | Analyse von Eigentum und Kontrolle; erneutes Screening |
| Identitätsbetrug | Fremde oder falsche Identitäten, wie bei IT-Fachkräften der DVRK | Gemeinsam genutzte Geräte oder Auszahlungsadressen bei mehreren Konten, unstimmige Profile | Lebenderkennung, Geräteanalyse, Verhaltensüberwachung |
Diese Typologien werden miteinander kombiniert. Ein einzelner Fall kann einen Mixer, eine Bridge, einen OTC-Broker und ein verschachteltes Konto umfassen, wobei jeder Schritt die Wahrscheinlichkeit verringert, dass eine einfache Listenprüfung ihn erkennt. Die Lektionen Warnsignale und Typologien und Blockchain-Analyse für die Compliance behandeln die Überwachungsseite.
Geografie: IP- und Standortkontrollen
Einige Sanktionen sind territorial: Sie verbieten Transaktionen mit Personen, die sich in einem Land oder einer Region befinden oder dort ihren gewöhnlichen Aufenthalt haben. Für ein Online-Unternehmen ohne Niederlassungen besteht die einzige Möglichkeit ihrer Anwendung darin, den Standort eines Kunden aus verfügbaren Daten abzuleiten. Nützliche Signale sind:
- das Land des Identitätsdokuments und die angegebene Wohnanschrift;
- die IP-Adresse bei der Kundenaufnahme, bei der Anmeldung und bei Auszahlungen, mit Kennzeichnungen für VPNs, Tor-Ausgangsknoten und Hosting-Anbieter;
- die Ländervorwahl der Telefonnummer und das Land verknüpfter Bankkonten oder Karten;
- Geräteeinstellungen wie Zeitzone und Sprache, die als unterstützende Hinweise und nicht als Beweis dienen.
Eine gute Kontrolle kombiniert diese Signale. IP-Adressen aus sanktionierten Gebieten bereits beim Zugang zu blockieren, ist das Minimum. Die Prüfung von IP-Daten bestehender Konten und das Reagieren auf Unstimmigkeiten unterscheiden ein wirksames Programm von einem rein kosmetischen. Ein Kunde, der die Kundenaufnahme mit einem Dokument aus einem zulässigen Land bestanden hat, sich aber Monat für Monat aus einem sanktionierten Gebiet anmeldet, ist ein Sanktionswarnfall und keine bloße Kuriosität.
Signale widersprechen sich mitunter, und das Verfahren sollte festlegen, was dann geschieht. Eine einzelne Anmeldung aus einem sanktionierten Gebiet durch einen langjährigen Kunden mit einer konsistenten Historie kann eine Aufforderung zur Erklärung rechtfertigen, etwa durch einen Reisenachweis. Wiederholte Anmeldungen, ein VPN-Muster, das unmittelbar nach der Kundenaufnahme beginnt, oder der Wechsel zu einer Telefonnummer mit der Vorwahl dieses Landes rechtfertigen eine Einschränkung des Kontos, bis der Standort des Kunden geklärt ist, und die Beendigung der Geschäftsbeziehung, wenn dies nicht möglich ist. Jede Entscheidung gehört einschließlich der vom Kunden vorgelegten Nachweise in die Fallakte. Die Lektion Betrieb eines Sanktions-Compliance-Programms zeigt anhand öffentlich bekannter Durchsetzungsmaßnahmen, wie Unternehmen bestraft wurden, die diese Daten erhoben und ignoriert hatten.
Prüfungsschwerpunkt: warum gelistete Adressen Ausgangspunkte und keine Grenzen sind und warum ein reines Adressscreening die meisten Sanktionsbezüge übersieht; dass die konsolidierte Sanktionsliste der UN kein eigenes Feld für Adressen für virtuelle Vermögenswerte enthält und UN-Listungen Kryptowerte über Namen und Organisationen erfassen; gelistete Dienste und Nachfolgeorganisationen; das Diebstahl- und Geldwäschemuster der DVRK und die Rolle der Expertengruppe (Zahlen dienen als zeitgebundener Kontext); IT-Fachkräfte der DVRK als Risiko bei der Kundenaufnahme; Lösegeldzahlungen als Sanktionsrisiko; die wichtigsten Umgehungstypologien und ihre Signale; die Kombination von IP-, Dokumenten-, Telefon- und Gerätesignalen bei territorialen Sanktionen sowie das Handeln auf Grundlage von IP-Daten bestehender Kunden.