Blockchain-Analytik für die Compliance

Blockchain-Analytik unterscheidet die Überwachung von Kryptowerten von der Überwachung im Bankwesen: Das Compliance-Team kann weit über die unmittelbare Gegenpartei hinaus erkennen, woher die Mittel eines Kunden stammen und wohin sie geflossen sind. Das Ergebnis eines Analysetools ist jedoch eine Schlussfolgerung, keine Tatsache. Compliance-Fachkräfte müssen wissen, worauf ein Risikowert beruht, wie Exposition gemessen wird und wo die Tools Fehler machen, denn jede Entscheidung, Mittel zurückzuhalten, eine Geschäftsbeziehung zu beenden oder eine Meldung abzugeben, beruht auf dieser Beurteilung.

Von Adressen zu Entitäten

Öffentliche Blockchains zeichnen Adressen und Transfers auf, keine Namen. Analyseanbieter machen daraus in zwei Schritten nutzbare Informationen:

• Clustering gruppiert Adressen, von denen angenommen wird, dass sie von derselben Entität kontrolliert werden. Dabei werden Heuristiken verwendet, etwa die Heuristik des gemeinsamen Eigentums an Transaktionseingängen für UTXO-Blockchains und die Wiederverwendung von Einzahlungsadressen für kontobasierte Blockchains.
• Attribution ordnet einem Cluster eine Bezeichnung aus der realen Welt zu. Als Quellen dienen beispielsweise eigene Testtransaktionen des Anbieters mit Diensten, selbst veröffentlichte Adressen, Recherchen in offenen Quellen sowie öffentliche Mitteilungen von Strafverfolgungsbehörden oder zu Sanktionen.

Beide Schritte erzeugen Hypothesen mit Fehlerquoten. Der IDFE-CF-Kurs erläutert, wie sie funktionieren und wie sie überprüft werden können (siehe die Lektionen Clustering und die Heuristik des gemeinsamen Eigentums an Transaktionseingängen, Von der Adresse über die Entität zur Person: Attribution und Kennzeichnung und Bewertung der Clusterqualität). Für Compliance-Zwecke genügen drei Punkte: Ein Cluster kann fälschlicherweise zwei Entitäten zusammenführen, eine Kennzeichnung kann falsch oder veraltet sein, und ein Cluster, der zu einem Verwahrdienst gehört, zeigt, wer die Schlüssel kontrolliert, nicht, wer die Kunden dieses Dienstes sind.

Risikokategorien

Anbieter ordnen gekennzeichnete Entitäten Risikokategorien zu. Die Bezeichnungen variieren, doch die meisten Taxonomien umfassen die folgenden Kategorien, und jedes Unternehmen sollte sie mit seiner eigenen Risikobereitschaft abgleichen:

„Unbekannt“ verdient Aufmerksamkeit. Die meisten Adressen weltweit sind nicht attribuiert. Würde man „unbekannt“ als unbedenklich behandeln, bliebe daher der Großteil des Risikos verborgen; würde man es als hohes Risiko behandeln, würde nahezu alles markiert. Unternehmen berücksichtigen unbekannte Exposition in der Regel nur zusammen mit anderen Signalen.

Sanktionsbezogene Kategorien und der Umgang mit gelisteten Adressen werden in der Lektion Wallet- und Transaktionsprüfung behandelt; diese Lektion befasst sich mit Analytik als Eingangsgröße für die Überwachung.

Direkte und indirekte Exposition

Direkte Exposition bedeutet, dass die Gegenpartei des Transfers selbst einer Risikokategorie angehört: Die Einzahlung des Kunden kam unmittelbar aus einem Darknet-Marktplatz-Cluster, oder eine Auszahlung ging unmittelbar an einen Mixer. Indirekte Exposition bedeutet, dass die riskante Quelle oder das riskante Ziel einen oder mehrere Hops entfernt ist und nicht attribuierte oder andere Adressen dazwischenliegen.

Indirekte Exposition muss gemessen werden. Das Ergebnis hängt von der Nachverfolgungsmethode (proportional oder „Haircut“, First-in-first-out und weitere, erläutert in der IDFE-CF-Lektion Nachverfolgungsmethoden und ihre Folgen) und vom Hop-Limit ab. Mehr Hops bedeuten eine größere Abdeckung und mehr Rauschen: Nahezu jeder Coin ist nur wenige Hops von etwas Unerwünschtem entfernt.

Ein durchgerechnetes Beispiel. Ein Kunde zahlt 2,00 BTC von einer nicht attribuierten Adresse ein. Bei der Rückverfolgung mit einer proportionalen Methode und einem Limit von fünf Hops ordnet das Tool 1,40 BTC (70%) einer regulierten Börse einen Hop zurück, 0,30 BTC (15%) einem Darknet-Marktplatz zwei Hops zurück und 0,30 BTC (15%) nicht attribuierten Quellen jenseits des Limits zu. Der Analyst stellt nun folgende Fragen:

• Liegen 15% bei zwei Hops über dem Schwellenwert des Unternehmens für diese Kategorie und dieses Segment?
• Haben die Mittel dazwischen einen Dienst durchlaufen (eine Börse, die die Spur unterbrochen hat) oder ausschließlich selbstverwaltete Adressen?
• Wie alt ist die Darknet-Kennzeichnung, und woher stammt sie?

Ein Beispiel für den Datensatz, den ein Überwachungssystem zu dieser Einzahlung speichern könnte:

{
  "txid": "4f3a…c21e",
  "direction": "IN",
  "asset": "BTC",
  "amount": "2.00000000",
  "customer_id": "C-10482",
  "counterparty": { "cluster_id": "cl-88…1d", "entity": null, "category": "unknown" },
  "exposure": [
    { "category": "exchange", "type": "indirect", "hops": 1, "share": 0.70 },
    { "category": "darknet_market", "type": "indirect", "hops": 2, "share": 0.15,
      "label_source": "public law-enforcement release", "label_date": "2025-11-03" },
    { "category": "unknown", "type": "beyond_limit", "share": 0.15 }
  ],
  "method": { "tracing": "proportional", "max_hops": 5 },
  "dataset_version": "2026-10-20",
  "risk_score": 62
}

Der Datensatz bewahrt die Eingangsgrößen hinter dem Risikowert auf, nicht nur den Risikowert selbst: Jeder Expositionseintrag enthält Kategorie, Typ, Hop-Distanz und Anteil, und die risikobehaftete Kennzeichnung behält ihre Quelle und ihr Datum. Außerdem werden Nachverfolgungsmethode, Hop-Limit und Datensatzversion gespeichert, damit ein Prüfer später nachvollziehen kann, warum der Alarm ausgelöst wurde, selbst nachdem der Anbieter seine Kennzeichnungen aktualisiert hat.

Expositionsanteile von Gegenparteien

Wird dieselbe Technik auf einen gesamten Cluster angewendet, entsteht ein Expositionsprofil der Gegenpartei: Es zeigt, welcher Anteil aller von einer Gegenpartei empfangenen (oder gesendeten) Mittel aus der jeweiligen Risikokategorie stammt. Es wird in zwei Bereichen eingesetzt:

• Sorgfaltsprüfung des VASP der Gegenpartei. Wenn sich 4% der von einer ausländischen Börse im vergangenen Jahr empfangenen Mittel direkt auf Betrugsangebote und Mixer zurückführen lassen, verglichen mit deutlich unter 1% bei vergleichbaren Börsen, liefert dies Hinweise auf ihre Kontrollen (siehe die Lektion Identifizierung und Überprüfung der Gegenpartei).
• Erkennung eingebetteter Dienste. Ein „Kunde“, dessen Einzahlungen das Zuflussprofil einer kleinen Börse aufweisen (viele voneinander unabhängige Absender, häufige kleine Beträge, gebündelte Weiterleitungen), betreibt möglicherweise einen Dienst über das beim Unternehmen geführte Konto.

Prozentangaben benötigen Kontext. Bei einer großen Börse werden sich in absoluten Zahlen immer gewisse illegale Zuflüsse zeigen. Aussagekräftig sind Vergleiche mit ähnlichen Anbietern, mit der eigenen Historie der Gegenpartei und in der jeweils relevanten Richtung (die Exposition auf der Empfangsseite zeigt, was ein Dienst annimmt; die Exposition auf der Sendeseite zeigt, wohin das Geld seiner Kunden fließt).

Grenzen

Analyseergebnisse haben bekannte Fehlerquellen. Ein Programm sollte diese berücksichtigen, statt so zu tun, als gäbe es sie nicht.

Privacy Coins, Mixer und Cross-Chain-Swaps erschweren ebenfalls die Nachverfolgung. Ihr Vorhandensein ist gemäß den FATF-Warnindikatoren selbst ein Risikosignal (siehe die Lektion Warnsignale und Typologien), bedeutet aber auch, dass die Expositionsangaben weniger vollständig sind.

Validierung von Analyseergebnissen

Da das Unternehmen und nicht sein Anbieter für seine Entscheidungen verantwortlich ist, sollte es die eingekaufte Leistung prüfen und dokumentieren, worauf es sich gestützt hat.

1. Kennen Sie die Methode. Beschaffen Sie eine Dokumentation des Clustering-Ansatzes des Anbieters, der Kennzeichnungsquellen, der Einstufung der Kennzeichnungen, der Nachverfolgungsmethode und der Aktualisierungshäufigkeit.
2. Testen Sie anhand bekannter Fälle. Prüfen Sie die eigenen Einzahlungs- und Auszahlungsadressen des Unternehmens, Adressen von Gegenpartei-VASPs, die durch den Datenaustausch im Rahmen der Travel Rule bestätigt wurden, sowie Adressen aus öffentlichen Mitteilungen von Strafverfolgungsbehörden, und kontrollieren Sie deren Einstufung.
3. Prüfen Sie Alarme stichprobenartig manuell. Ein Analyst verfolgt für eine Stichprobe von Alarmen den Mittelfluss unabhängig nach und prüft, ob die angegebene Exposition plausibel ist.
4. Vergleichen Sie Quellen. Wenn ein zweiter Anbieter oder ein interner Datensatz vorhanden ist, messen Sie Abweichungen anhand einer Stichprobe und untersuchen Sie größere Unterschiede.
5. Dokumentieren Sie Versionen. Speichern Sie bei jeder Entscheidung Datensatzversion, Methode und Kennzeichnungsdaten, damit sie später erläutert werden kann.
6. Geben Sie Rückmeldung. Melden Sie dem Anbieter falsche Kennzeichnungen, die bei Untersuchungen gefunden wurden, und verfolgen Sie, ob sie korrigiert werden.

Validierungsergebnisse gehören in die Modell-Governance (siehe die Lektion Abstimmung, Kennzahlen und Modell-Governance) und in die Auswahlkriterien, die in der Lektion Der Compliance-Technologie-Stack behandelt werden.

Prüfungsschwerpunkt: Clustering und Attribution als Hypothesen sowie Cluster von Verwahrdiensten als Repräsentation des Dienstes statt seiner Kunden; gängige Risikokategorien und warum „unbekannt“ nicht risikoarm bedeutet; direkte gegenüber indirekter Exposition und wie Hop-Limits und Nachverfolgungsmethoden das Ergebnis verändern; Berechnung eines Expositionsanteils anhand einer beispielhaften Nachverfolgung; Expositionsprofile von Gegenparteien für die VASP-Sorgfaltsprüfung und die Erkennung eingebetteter Dienste; die wichtigsten Grenzen (falsche und fehlende Attribution, veraltete Kennzeichnungen, Abweichungen zwischen Anbietern, Abdeckungslücken); die Validierungsschritte sowie die Dokumentation von Methode und Datensatzversion bei jeder Entscheidung.