Blockchain-Analysen für Compliance-Zwecke

Blockchain-Analysen machen die Überwachung von Kryptowerten anders als die Überwachung von Bankgeschäften: Das Compliance-Team kann sehen, woher die Gelder eines Kunden stammen und wohin sie geflossen sind – weit über die unmittelbare Gegenpartei hinaus. Die Ausgabe eines Analysetools ist jedoch eine Schlussfolgerung, keine Tatsache. Compliance-Fachleute müssen wissen, worauf ein Risikoscore beruht, wie das Exposure gemessen wird und wo die Tools versagen, denn jede Entscheidung, eine Transaktion zurückzuhalten, die Geschäftsbeziehung zu beenden oder Meldung zu erstatten, hängt von dieser Beurteilung ab.

Von Adressen zu Entitäten

Öffentliche Blockchains zeichnen Adressen und Transfers auf, keine Namen. Analyseanbieter machen diese Daten in zwei Schritten nutzbar:

• Clustering fasst Adressen zusammen, von denen angenommen wird, dass sie von derselben Entität kontrolliert werden. Dabei kommen Heuristiken wie das Eigentum an gemeinsamen Inputs bei UTXO-Blockchains und die Wiederverwendung von Einzahlungsadressen bei kontobasierten Blockchains zum Einsatz.
• Attribution versieht ein Cluster mit einer Bezeichnung aus der realen Welt. Dafür dienen Quellen wie eigene Testtransaktionen des Anbieters mit Diensten, selbst veröffentlichte Adressen, Open-Source-Recherchen sowie öffentliche Veröffentlichungen von Strafverfolgungsbehörden oder Sanktionsbehörden.

Beide Schritte erzeugen Hypothesen mit einer gewissen Fehlerquote. Im IDFE-BA-Kurs wird erläutert, wie sie funktionieren und wie sie überprüft werden können (siehe die Lektionen Was Clustering ist und warum es wichtig ist, Attribution und Kennzeichnung und Bewertung der Clusterqualität). Für Compliance-Zwecke genügen drei Punkte: Ein Cluster kann fälschlicherweise zwei Entitäten zusammenführen, eine Kennzeichnung kann falsch oder veraltet sein, und ein Cluster, der zu einem Verwahrdienst gehört, zeigt, wer die Schlüssel kontrolliert – nicht, wer die Kunden des Dienstes sind.

Risikokategorien

Anbieter ordnen gekennzeichnete Entitäten Risikokategorien zu. Die Bezeichnungen unterscheiden sich, aber die meisten Taxonomien umfassen die folgenden Kategorien. Jedes Unternehmen sollte sie seiner eigenen Risikobereitschaft zuordnen:

„Unbekannt“ verdient besondere Aufmerksamkeit. Die meisten Adressen weltweit sind nicht zugeordnet. Würden unbekannte Adressen als unbedenklich behandelt, bliebe der größte Teil des Risikos verborgen; würden sie als hochriskant behandelt, würde fast alles markiert. Unternehmen berücksichtigen unbekanntes Exposure üblicherweise nur in Verbindung mit anderen Signalen.

Sanktionsbezogene Kategorien und der Umgang mit designierten Adressen werden in der Lektion Wallet- und Transaktionsprüfung behandelt. In dieser Lektion geht es um Analysen als Überwachungseingabe.

Direktes und indirektes Exposure

Direktes Exposure bedeutet, dass die Gegenpartei der Übertragung selbst einer Risikokategorie angehört: Die Einzahlung des Kunden stammt direkt von einem Darknet-Markt-Cluster oder eine Auszahlung geht direkt an einen Mixer. Indirektes Exposure bedeutet, dass die risikobehaftete Quelle oder das risikobehaftete Ziel einen oder mehrere Hops entfernt ist und dazwischen nicht zugeordnete oder andere Adressen liegen.

Indirektes Exposure muss gemessen werden. Das Ergebnis hängt von der Tracing-Methode ab (proportional oder „Haircut“, First-in-first-out und andere Methoden, die in der IDFE-BA-Lektion Geldflüsse vorwärts und rückwärts nachverfolgen erläutert werden) sowie von der Hop-Begrenzung. Mehr Hops bedeuten eine größere Abdeckung und mehr Rauschen: Fast jeder Coin ist nur wenige Hops von etwas Unangenehmem entfernt.

Ein ausgearbeitetes Beispiel. Ein Kunde zahlt 2,00 BTC von einer nicht zugeordneten Adresse ein. Bei einer rückwärts gerichteten Nachverfolgung mit einer proportionalen Methode und einer Begrenzung auf fünf Hops ordnet das Tool 1,40 BTC (70 %) einer regulierten Börse einen Hop zurück, 0,30 BTC (15 %) einem Darknet-Markt zwei Hops zurück und 0,30 BTC (15 %) nicht zugeordneten Quellen jenseits der Begrenzung zu. Die Analystin oder der Analyst fragt nun:

• Liegen 15 % bei zwei Hops über dem Schwellenwert des Unternehmens für diese Kategorie und dieses Segment?
• Sind die Gelder zwischendurch über einen Dienst geflossen (eine Börse, die die Spur unterbrochen hat) oder nur über nicht verwahrte Adressen?
• Wie alt ist die Kennzeichnung des Darknet-Markts, und woher stammt sie?

Ein Beispieldatensatz, den ein Überwachungssystem für diese Einzahlung speichern könnte:

{
  "txid": "4f3a…c21e",
  "direction": "IN",
  "asset": "BTC",
  "amount": "2.00000000",
  "customer_id": "C-10482",
  "counterparty": { "cluster_id": "cl-88…1d", "entity": null, "category": "unknown" },
  "exposure": [
    { "category": "exchange", "type": "indirect", "hops": 1, "share": 0.70 },
    { "category": "darknet_market", "type": "indirect", "hops": 2, "share": 0.15,
      "label_source": "public law-enforcement release", "label_date": "2025-11-03" },
    { "category": "unknown", "type": "beyond_limit", "share": 0.15 }
  ],
  "method": { "tracing": "proportional", "max_hops": 5 },
  "dataset_version": "2026-10-20",
  "risk_score": 62
}

Der Datensatz speichert die Eingaben, auf denen der Score beruht, nicht nur den Score selbst: Jede Exposure-Zeile enthält ihre Kategorie, den Typ, die Hop-Distanz und den Anteil, und bei der risikobehafteten Kennzeichnung werden Quelle und Datum gespeichert. Außerdem enthält der Datensatz die Tracing-Methode, die Hop-Begrenzung und die Datensatzversion. So kann eine prüfende Person später nachvollziehen, warum der Alarm ausgelöst wurde – auch nachdem der Anbieter seine Kennzeichnungen aktualisiert hat.

Exposure-Prozentsätze der Gegenpartei

Wird dieselbe Methode auf ein ganzes Cluster angewandt, ergibt sich ein Exposure-Profil der Gegenpartei: Welcher Anteil aller Gelder, die eine Gegenpartei erhalten (oder gesendet) hat, stammte aus den einzelnen Risikokategorien? Es wird in zwei Bereichen eingesetzt:

• Sorgfaltsprüfung von VASP-Gegenparteien. Wenn 4 % der Gelder, die eine ausländische Börse im vergangenen Jahr erhalten hat, direkt auf Betrugsmaschen und Mixer zurückzuführen sind – verglichen mit deutlich unter 1 % bei vergleichbaren Börsen –, ist das ein Hinweis auf ihre Kontrollen (siehe die Lektion Gegenparteien identifizieren und prüfen).
• Erkennung verschachtelter Dienste. Ein „Kunde“, dessen Einzahlungen das Zuflussprofil einer kleinen Börse aufweisen (viele nicht zusammenhängende Absender, häufige kleine Beträge, anschließende gebündelte Überweisungen), betreibt möglicherweise einen Dienst über das Konto des Unternehmens.

Prozentsätze müssen im Kontext betrachtet werden. Bei einer großen Börse wird es immer in absoluten Zahlen einen gewissen Zufluss aus illegalen Quellen geben. Aussagekräftig sind Vergleiche mit anderen Anbietern, mit der eigenen Historie der Gegenpartei und in der relevanten Richtung (eingehendes Exposure zeigt, was ein Dienst annimmt; ausgehendes Exposure zeigt, wohin die Gelder seiner Kunden fließen).

Einschränkungen

Analyseergebnisse weisen bekannte Fehlerquellen auf. Ein Programm sollte so gestaltet sein, dass es diese berücksichtigt, statt sie einfach zu ignorieren.

Privacy-Coins, Mixer und Cross-Chain-Swaps beeinträchtigen die Nachverfolgung ebenfalls. Ihr Vorhandensein ist gemäß den FATF-Indikatoren für Warnsignale selbst ein Risikosignal (siehe die Lektion Warnsignale und Typologien), bedeutet aber auch, dass die Exposure-Zahlen weniger vollständig sind.

Überprüfung von Analyseergebnissen

Da das Unternehmen und nicht der Anbieter für seine Entscheidungen verantwortlich ist, sollte es überprüfen, was es einkauft, und festhalten, worauf es sich dabei stützt.

1. Die Methode kennen. Dokumentation zum Clustering-Ansatz des Anbieters, zu den Quellen der Kennzeichnungen, deren Einstufung, der Tracing-Methode und der Aktualisierungshäufigkeit einholen.
2. An bekannten Fällen testen. Eigene Ein- und Auszahlungsadressen des Unternehmens, Adressen von VASP-Gegenparteien, die über Travel-Rule-Börsen bestätigt wurden, sowie Adressen aus öffentlichen Veröffentlichungen von Strafverfolgungsbehörden testen und prüfen, wie sie klassifiziert werden.
3. Alarme stichprobenartig manuell prüfen. Bei einer Stichprobe von Alarmen verfolgt eine Analystin oder ein Analyst den Geldfluss unabhängig nach und prüft, ob das angegebene Exposure plausibel ist.
4. Quellen vergleichen. Wenn ein zweiter Anbieter oder ein internes Dataset verfügbar ist, die Abweichungen anhand einer Stichprobe messen und große Differenzen untersuchen.
5. Versionen dokumentieren. Datensatzversion, Methode und Daten der Kennzeichnungen bei jeder Entscheidung speichern, damit sie später erklärt werden kann.
6. Rückmeldungen geben. Bei Untersuchungen gefundene falsche Kennzeichnungen dem Anbieter melden und nachverfolgen, ob sie korrigiert werden.

Die Ergebnisse der Überprüfungen gehören zur Modell-Governance (siehe die Lektion Abstimmung, Kennzahlen und Modell-Governance) und zu den Auswahlkriterien, die in der Lektion Der Compliance-Technologie-Stack behandelt werden.

Prüfungsschwerpunkt: Clustering und Attribution als Hypothesen sowie Cluster von Verwahrdiensten, die den Dienst statt seiner Kunden repräsentieren; gängige Risikokategorien und weshalb „unbekannt“ nicht gleichbedeutend mit geringem Risiko ist; direktes und indirektes Exposure sowie die Auswirkungen von Hop-Begrenzungen und Tracing-Methoden auf das Ergebnis; Berechnung eines Exposure-Anteils anhand eines ausgearbeiteten Tracing-Beispiels; Exposure-Profile von Gegenparteien für die Sorgfaltsprüfung von VASPs und die Erkennung verschachtelter Dienste; die wichtigsten Einschränkungen (falsche und fehlende Attribution, veraltete Kennzeichnungen, abweichende Anbieterangaben, Lücken in der Abdeckung); die Schritte zur Überprüfung sowie die Dokumentation der Methode und der Datensatzversion bei jeder Entscheidung.