Ein Compliance-Officer an einer US-Börse öffnet das Schreiben der Aufsichtsbehörde. Die Feststellungen wiederholen sich in jedem Prüfzyklus. Das Monitoring lief nur beim Onboarding. Verdächtige Transaktionsmeldungen wurden verspätet eingereicht. Die Lizenzverlängerung stockte wegen Lücken bei der Registrierung. AML-Compliance für eine Krypto-Börse ist keine einzelne Aufgabe. Es ist ein Stapel aus fünf Pflichten, die ein Anbieter virtueller Vermögenswerte – kurz VASP – kontinuierlich erfüllen muss. Wer auch nur eine Ebene vernachlässigt, bringt die Lizenz, die Bankpartner oder beides unter Druck.
Was AML-Compliance für eine Krypto-Börse bedeutet
AML-Compliance für eine Krypto-Börse ist die Gesamtheit der Geldwäschebekämpfungs- und Terrorismusfinanzierungspräventionspflichten, die ein VASP erfüllen muss, um legal zu operieren. Die Pflichten werden durch die FATF-Empfehlungen für virtuelle Vermögenswerte und in den USA durch die FinCEN-Regeln für Gelddienstleistungsunternehmen festgelegt. Die Börse ist für alle fünf Ebenen verantwortlich – nicht nur für die Kundenprüfung beim Onboarding.
Ein VASP ist die regulatorische Bezeichnung für jede Einheit, die virtuelle Vermögenswerte für Kunden tauscht, überträgt oder verwahrt. Eine Börse trägt dieses Label in dem Moment, in dem sie ein Token-Paar listet. Ihre AML-Pflichten sind keine Kopie des Programms einer Bank. Sie bauen auf On-Chain-Adressen und Transaktionen auf, die sich in Sekunden, kettenübergreifend und häufig durch Mixer bewegen.
Diese Geschwindigkeit verändert die Form der Arbeit. Eine Bank prüft eine Zahlung gegen eine Namensliste und eine Gegenparteidatenbank. Eine Börse prüft eine Einzahlung, die möglicherweise drei Hops zuvor durch einen Mixer gelaufen ist – und die Risikoexposition zeigt sich erst, wenn der Mittelpfad zurückverfolgt wird. Die Kundendatei trägt dieses Signal nicht. Die Chain schon. Deshalb hat eine der fünf Pflichten – das Transaktionsmonitoring – kein bankseitiges Äquivalent mit derselben Geschwindigkeit und muss die Chain selbst auslesen.
Dieser Artikel definiert den Rahmen und bleibt beim Was. Das operative Wie, der Screening-Workflow und der Berichtsexport sind in einer separaten Implementierungsanleitung beschrieben. Den globalen Standard, der das VASP-Label und seine Pflichten definiert, finden Sie in der FATF-Leitlinie zu virtuellen Vermögenswerten.
Die fünf zentralen VASP-Pflichten im Detail
Der Rahmen umfasst fünf Pflichten. Jede entspricht einer FATF-Empfehlung und, für US-Börsen, einer FinCEN-Regel. Ein Compliance-Programm, das nur einen Teil davon abdeckt, besteht die Prüfung nicht. Die ersten beiden und die letzte Pflicht sind traditionelle Compliance-Infrastruktur. Bei den mittleren beiden leisten On-Chain-Daten die eigentliche Arbeit.
1. Registrierung und Lizenzierung. Bevor eine Börse Kunden bedient, muss sie sich bei der zuständigen Behörde registrieren. In den USA bedeutet das die Registrierung als Gelddienstleistungsunternehmen bei FinCEN sowie das Halten staatlicher Geldtransferlizenz. Das EU-MiCA-Regime und New Yorks BitLicense sehen eigene Genehmigungsschritte vor. Der Betrieb ohne Registrierung ist selbst ein Verstoß – unabhängig von späteren AML-Verstößen. Der GENIUS Act (Public Law 119-27), im Juli 2025 unterzeichnet und ab Januar 2027 vorbehaltlich der FinCEN-Regelgebung in Kraft, bringt Emittenten von Zahlungs-Stablecoins unter den Bank Secrecy Act; Börsen, die Stablecoin-Transaktionen abwickeln, befinden sich damit im selben AML-Perimeter wie die Emittenten selbst.
2. Sorgfaltspflichten gegenüber Kunden. Die Börse muss ihre Kunden identifizieren, ihr Risiko einschätzen und bei risikoreichen Beziehungen eine verstärkte Sorgfaltspflicht anwenden. Die Identitätsprüfung ist Teil dieser Säule. Sie bestätigt, wer der Kunde zu sein behauptet. Sie sieht die Transaktion nicht. Ein Kunde kann das Onboarding bestehen und dennoch eine Einzahlung vornehmen, deren Mittel aus einem Mixer stammen – denn Identität und Mittelfluss sind verschiedene Objekte.
3. Transaktionsmonitoring. Die Börse muss laufende Aktivitäten auf verdächtige Muster überwachen. Im Krypto-Bereich bedeutet das, die Adressen, mit denen sie interagiert, und die Transaktionen, die ihre Wallets berühren, zu screenen – nicht nur die Kundendatei. Das Risiko verändert sich nach dem Onboarding, daher muss das Monitoring kontinuierlich und in Echtzeit erfolgen. Eine am Montag freigegebene Adresse kann bis Donnerstag mit illegalen Aktivitäten in Verbindung gebracht werden, und eine Einzahlung am Freitag kann Mittel enthalten, die drei Hops zuvor sauber und an der Quelle kontaminiert waren.
4. Meldung verdächtiger Transaktionen. Wenn das Monitoring Aktivitäten aufzeigt, die nach Geldwäsche oder Terrorismusfinanzierung aussehen, muss die Börse eine Meldung einreichen. In den USA ist diese Meldung ein Suspicious Activity Report. Andere Jurisdiktionen nennen es Suspicious Transaction Report. In den USA beträgt das Meldefenster für SARs 30 Kalendertage ab der ersten Feststellung (bis zu 60, wenn der Verdächtige nicht identifiziert ist). Andere Jurisdiktionen haben strengere Fristen – Hongkong verlangt eine Meldung innerhalb von 24 Stunden. Der Bericht muss ausreichende Belege enthalten, um einen Prüfer zu überzeugen.
5. Aufbewahrung von Unterlagen. Die Börse muss die Unterlagen aufbewahren, die belegen, dass sie die ersten vier Pflichten erfüllt hat. Gemäß dem US Bank Secrecy Act bedeutet das die Aufbewahrung von CDD-Dateien, Monitoring-Protokollen und eingereichten Berichten für fünf Jahre. Prüfer bewerten fehlende Unterlagen als fehlende Kontrolle. Die Aufbewahrungsfrist überdauert die Kundenbeziehung, sodass die Protokolle noch lange nach dem Verschwinden der Wallet prüfbar sein müssen.
| # | VASP-Pflicht | Regulatorische Grundlage | On-Chain-Monitoring-Abdeckung |
|---|---|---|---|
| 1 | Registrierung & Lizenzierung | FinCEN MSB (31 CFR Ch. X), staatliche MTL, EU-MiCA, NY BitLicense | Institution (Rechtsberatung) |
| 2 | Sorgfaltspflichten gegenüber Kunden (Identität) | FATF-Empfehlung 10 (CDD) | Institution (CDD-Anbieter) |
| 3 | Transaktionsmonitoring | FATF-Empfehlung 10 (laufende CDD) + Empfehlung 15 (RBA für VASPs) + Empfehlung 20 (STR) | Phalcon Compliance: KYA + KYT |
| 4 | Meldung verdächtiger Transaktionen | FinCEN SAR / STR | Phalcon Compliance: STR-Export für mehrere wichtige Jurisdiktionen |
| 5 | Aufbewahrung von Unterlagen | BSA 5-Jahres-Aufbewahrungspflicht | Phalcon Compliance Screening-Protokoll speist diese |
Die fünf Pflichten sind die VASP-Perspektive. Sie beschreiben, was die Börse tun muss. Sie unterscheiden sich von den internen Säulen eines AML-Programms, die Richtlinien, einen designierten Compliance-Officer, Schulungen, unabhängige Prüfungen und das CDD-Programm selbst umfassen. Diese Programmperspektive ist eine separate Frage für eine separate Lektüre. Hier bleibt der Fokus auf den Pflichten, die die Börse erfüllen muss.
Die Transaktionsmonitoring-Säule umsetzen
Von den fünf Pflichten sind Transaktionsmonitoring und die Meldung verdächtiger Transaktionen die beiden, die auf On-Chain-Daten angewiesen sind, die eine Börse nicht mit Bank-Tools auslesen kann. Phalcon Compliance deckt diese zwei Säulen mit KYA und KYT ab. Es bietet keine CDD-Identitätsprüfung, keine Registrierungs- oder Lizenzierungsberatung und keine Aufbewahrungsinfrastruktur. Der Geltungsbereich ist die Monitoring- und Screening-Ebene.
KYA, oder Know Your Address, screent eine Wallet-Adresse auf AML- und CFT-Risiko mithilfe einer Datenbank mit gekennzeichneten Adressen und dem sie umgebenden Interaktionsgraphen. KYT, oder Know Your Transaction, screent jeden Token-Transfer innerhalb einer Transaktion, verfolgt den Mittelpfad in der Einzahlungs- oder Auszahlungsrichtung und weist ein Risikolevel zu. Zusammen beantworten sie zwei verschiedene Fragen. KYA beantwortet, was die Adresse ist. KYT beantwortet, was die Transaktion tut.
Die hinter beiden Screenings stehende Risiko-Engine verwendet 17 Risikoindikatoren – von Sanctioned und Terrorist Financing bis hin zu Mixing, Ransomware und FATF Grey List Jurisdiction. Jede gescreente Adresse oder Übertragung wird einem von sechs Risikoleveln zugeordnet, von Critical über High, Medium, Low und Informational bis No Risk. Die Level sind konfigurierbar, sodass ein Team jede Stufe seiner eigenen internen Richtlinie und Risikobereitschaft zuordnen kann. Standard-Engines auf Basis der FATF-Leitlinien sind standardmäßig vorhanden und können an den risikobasierten Ansatz der Börse angepasst werden.
Wenn ein Screening eine Übertragung markiert, wird ein Alert über die gewählten Kanäle des Teams ausgelöst. Der Analyst bestätigt die Risikoexposition und exportiert einen Suspicious Transaction Report für diese Übertragung, wobei die Einzahlungs- oder Auszahlungsrichtung zum Zeitpunkt des Screenings angegeben wird. Dieser Bericht ist auf die wichtigsten regulatorischen Jurisdiktionen abgestimmt und kann über eine regionsspezifische Vorlage zur direkten Einreichung exportiert werden. Der exportierte STR ist der Beweis für die Meldepflicht. Das Screening-Protokoll speist die Aufbewahrungspflicht. Ein Tool schließt zwei Pflichten.
Die drei Säulen, die BlockSec nicht abdeckt, sind traditionelle Compliance-Infrastruktur. Eine Börse bezieht die Registrierung von Rechtsberatern, die Identitätsprüfung von einem CDD-Anbieter und die Aufbewahrung von Unterlagen von einem Archivsystem. Die Monitoring- und Meldepflichten sind der Bereich, in dem On-Chain-natives Tooling seinen Platz verdient, da die Daten, auf die diese Säulen zugreifen müssen, auf der Chain liegen. Die operative Anleitung, wie KYT über den Transaktionslebenszyklus einer Börse läuft, finden Sie im KYT Compliance-Leitfaden.
Vom Rahmen zur Umsetzung
Eine Definition ist der Einstiegspunkt, nicht das Ziel. Sobald ein Compliance-Team die fünf VASP-Pflichten benennen kann, ist der nächste Schritt deren Umsetzung. Zwei Wege helfen dabei. Um den vollständigen AML-Compliance-Rahmen und die Plattform hinter der Monitoring-Säule zu lesen, besuchen Sie Phalcon Compliance. Um von der Definition zur Implementierung an einer Börse überzugehen, folgen Sie dem Implementierungsleitfaden KYT-Compliance für Krypto-Börsen.
Nordamerikanische Börsen sollten zuerst die FinCEN-MSB-Registrierung und die staatliche Geldtransferlizenz-Ebene prüfen, da der Betrieb ohne diese ein eigenständiger Verstoß ist. Die Monitoring- und Meldepflichten folgen danach und sind diejenigen, die mit dem On-Chain-Volumen skalieren.
→ Buchen Sie eine Phalcon Compliance Demo und führen Sie die Monitoring-Säule in Ihrem Börsen-Workflow aus: Demo buchen
Häufig gestellte Fragen
Was ist AML-Compliance für eine Krypto-Börse? Es ist die Gesamtheit der fünf VASP-Pflichten, die eine Börse kontinuierlich erfüllen muss: Registrierung und Lizenzierung, Sorgfaltspflichten gegenüber Kunden, Transaktionsmonitoring, Meldung verdächtiger Transaktionen und Aufbewahrung von Unterlagen.
Sind die fünf VASP-Pflichten dasselbe wie die fünf Säulen eines AML-Programms? Nein. Die VASP-Pflichten beschreiben, was die Börse tun muss. Die Säulen des AML-Programms beschreiben, wie ihre Compliance-Abteilung aufgebaut ist. Dieser Artikel behandelt die Pflichten.
Gilt KYC als eigenständige Pflicht? Nein. Die Identitätsprüfung ist der Schritt innerhalb der Sorgfaltspflichten-Säule gegenüber Kunden. Sie bestätigt, wer der Kunde ist. Sie screent nicht die Transaktion.
Welche Pflichten deckt das On-Chain-Monitoring ab? Transaktionsmonitoring und die Meldung verdächtiger Transaktionen. Adressen- und Transaktionsscreening lesen die Chain aus, und der exportierte STR ist die Meldung.
Wie lange muss eine US-Börse AML-Unterlagen aufbewahren? Fünf Jahre gemäß dem Bank Secrecy Act. Die Aufbewahrungspflicht umfasst CDD-Dateien, Monitoring-Protokolle und eingereichte Berichte.
