Onchain-AML: Screening, Überwachung und Untersuchungen

Die Grundlage jeder belastbaren Onchain-AML-Entscheidung

Onchain-AML nutzt Blockchain-Daten, um illegale Aktivitäten zu erkennen, Wallet- und Transaktionsrisiken zu bewerten und verdächtige Geldflüsse nachzuverfolgen und daraus aufsichtstaugliche Belege zu gewinnen. Vier Fähigkeiten greifen dabei als durchgängiger Prozess ineinander: Wallet-Screening, Transaktionsüberwachung in Echtzeit, nachvollziehbare Risikoinformationen und Cross-Chain-Untersuchungen.

Phalcon Compliance vereint KYA, KYT, Alarmbearbeitung und Berichterstattung in einem Workflow. Erfordert ein Fall eine tiefergehende Analyse, führt MetaSleuth die Untersuchung über Blockchains, Bridges, Mixer und Entitäten hinweg fort, ohne die Beweiskette zu unterbrechen.

Phalcon Compliance kostenlos testen · MetaSleuth entdecken

Einen handlungsorientierten Onchain-AML-Workflow aufbauen

Dieses Krypto-AML-Wissensportal erkunden

• Grundlagen verstehen: Was Onchain-AML ist und wie KYA, KYT und Identitätskontrollen zusammenwirken.
• Die Plattform bewerten: Screening, Überwachung, nachvollziehbares Scoring, APIs, Preise und Vertrauenswürdigkeit des Anbieters.
• Das Programm aufbauen: Risikobewertung, Einführung, Alarmtriage und aufsichtsrechtliche Meldungen.
• Illegale Geldflüsse untersuchen: Gelder über Bridges, Mixer, DEXs und Ziel-Blockchains hinweg mit Cross-Chain-Untersuchungen und Nachverfolgung durch Mixer verfolgen.
• Auf kommende Entwicklungen vorbereiten: Programmierbare Compliance und DeFi-Kontrollen sowie Cross-Chain-Risiken.

Was Onchain-AML ist

Onchain-AML nutzt Blockchain-Daten, um illegale Aktivitäten zu erkennen, Wallet- und Transaktionsrisiken zu bewerten und verdächtige Gelder zu verfolgen. Herkömmliche Kundenprüfungen beantworten eine Frage: Wer ist dieser Kunde? Onchain-Screening beantwortet die weiteren Fragen. Es zeigt, woher die Gelder des Kunden stammen, mit welchen Entitäten die Wallet interagiert hat und ob sich ihr Risiko seit dem Onboarding verändert hat.

Ein Kunde kann am Montag die Identitätsprüfung bestehen und am Dienstag Gelder mit Sanktionsbezug empfangen. KYA prüft das Wallet-Risiko, bevor Gelder bewegt werden. KYT überwacht anschließend Transaktionen und laufende Aktivitäten. Travel-Rule-Systeme übermitteln die zwischen Instituten auszutauschenden Informationen. Der risikobasierte Ansatz der FATF erläutert, wie diese Kontrollen auf virtuelle Vermögenswerte anzuwenden sind.

In der Praxis gleicht eine Screening-Engine eine Adresse mit Kennzeichnungen und Onchain-Informationen ab. Sie liefert ein Risikobewertungsergebnis samt den zugrunde liegenden Signalen. Die Überwachung führt diese Prüfung nach dem Onboarding fort und löst einen Alarm aus, wenn die Adresse neue Risikoexpositionen aufweist. Die in diesem Wissensportal verlinkten Leitfäden erläutern die KYA- und KYT-Workflows im Detail.

Kernfunktionen einer Onchain-AML-Plattform

Eine Onchain-AML-Plattform beruht auf vier Fähigkeiten: Adress-Screening, Transaktionsüberwachung, nachvollziehbares Risikoscoring und Echtzeit-API-Integration. Jede beantwortet eine konkrete Frage aus dem Compliance-Alltag. Zusammen bestimmen sie, was eine Plattform leisten muss, um als ernst zu nehmendes Onchain-AML-Tool zu gelten.

Adress-Screening, häufig KYA für Know Your Address genannt, ist der Einstieg. Eine Plattform nimmt eine Wallet-Adresse entgegen und gleicht sie mit einer Datenbank gekennzeichneter Adressen ab. Umfang und Aktualität dieser Datenbank entscheiden über den Nutzen des Ergebnisses. Ein kleiner oder veralteter Kennzeichnungsbestand liefert ausgerechnet bei den entscheidenden Adressen keine Treffer. Eine Abdeckung von Hunderten Millionen Adressen, die rund um die Uhr statt nur in monatlichen Chargen gepflegt wird, gibt Analysten auch um drei Uhr morgens eine Handlungsgrundlage.

Die Transaktionsüberwachung, häufig KYT für Know Your Transaction genannt, erweitert das Screening auf laufende Aktivitäten. Eine beim Onboarding risikoarme Adresse kann eine Woche später Verbindungen zu illegalen Geldern aufweisen. Die Überwachung beobachtet neue Transaktionen, Gegenparteien und Expositionen und benachrichtigt das Team, wenn sich das Risikoprofil verändert.

Nachvollziehbares Risikoscoring zeigt, warum eine Adresse oder Transaktion markiert wurde. Analysten prüfen die Risikoindikatoren, den Expositionsbetrag und die Aktivitäten hinter dem Ergebnis, bevor sie einen Alarm entkräften oder eskalieren. Das verkürzt die Prüfung, sorgt für konsistente Entscheidungen und hinterlässt Aufzeichnungen, die einem Audit standhalten.

Die Echtzeit-API-Integration ermöglicht es, diese Funktionen in das eigene Onboarding oder den Transaktionsablauf eines Unternehmens einzubetten, statt sie in einem separaten Browser-Tab zu nutzen. Antworten im Millisekundenbereich, Batch-Endpunkte und Webhook-Callbacks für laufende Expositionsänderungen sind die Integrationsbausteine. Ohne API-Zugriff wird das Screening zu einem manuellen Schritt, der unter Druck übersprungen wird. Mit API-Zugriff läuft es bei jeder Entscheidung als Kontrollpunkt mit.

Wie Phalcon Compliance diese vier Fähigkeiten umsetzt

Phalcon Compliance folgt demselben Betriebsmodell wie die übrigen Compliance-Seiten von BlockSec: Risiken früh erkennen, den vollständigen Onchain-Kontext erfassen und in einem strukturierten Workflow reagieren. Teams prüfen Gegenparteien, priorisieren Alarme mit konkreten Belegen und halten die Aufzeichnungen für interne Prüfungen oder aufsichtsrechtliche Meldungen bereit.

Phalcon Compliance vereint diese Fähigkeiten auf einer Plattform. Es nutzt eine fortlaufend aktualisierte Datenbank mit mehr als 600 Millionen gekennzeichneten Adressen und über 200 Signaltypen in 17 Risikoindikator-Kategorien. Die Behavioral Risk Engine ergänzt aktivitätsbasierte Signale, während Risk Exposure den mit erkannten Risiken verbundenen Wert ausweist. Die API unterstützt Echtzeit-, Batch- und Überwachungsworkflows. Praxisbeispiele finden Sie in den Leitfäden zu direkter und indirekter Exposition, weniger Fehlalarmen und KYT-API-Integration.

Ein Onchain-AML-Programm aufbauen

Tools sind nur ein Teil eines AML-Programms. Teams benötigen außerdem klare Regeln für Risikobewertung, Screening und Überwachung, Alarmtriage und Meldungen. Ein Audit schließt den Kreislauf. Ein praxistaugliches Programm umfasst vier operative Phasen.

Diese vier Phasen bilden einen Lebenszyklus von der Risikobewertung bis zum Audit ab, der sich in sechs Schritte gliedert. Die risikobasierte Bewertung erfasst die Expositionen des Unternehmens. Das KYA-Screening prüft jede Adresse beim Onboarding. Die KYT-Überwachung beobachtet danach jede Transaktion. Die Alarmtriage ordnet jedem Treffer eine dokumentierte Bearbeitungsentscheidung zu. Bei einer Eskalation der Exposition wird im Rahmen des aufsichtsrechtlichen Meldewesens eine Verdachtsmeldung gemäß 31 CFR 1022.320 eingereicht. Ein unabhängiges Audit prüft, ob das Programm weiterhin tragfähig ist. Jeder Schritt liefert die Grundlage für den nächsten. Die Bewertung bestimmt, wo geprüft wird. Screening und Überwachung erzeugen die Alarme. Die Triage bestimmt deren Bedeutung. Das Meldewesen übermittelt das Ergebnis an die Aufsicht. Das Audit schließt den Kreislauf und führt die Erkenntnisse in die Risikobewertung zurück. Ein risikobasiertes Programm im Sinne der Aufsicht durchläuft diesen Kreislauf fortlaufend und nicht nur einmal jährlich zur Verlängerung.

Die erste Phase ist die risikobasierte Bewertung. Ein Unternehmen erfasst seine Exposition nach Kundentypen, Vermögenswerten, Rechtsräumen und Transaktionsmustern. Anhand dieser Übersicht bestimmt es, wo am intensivsten geprüft werden sollte. Ein Programm, das jeden Kunden gleich intensiv prüft, verschwendet Aufwand bei risikoarmen Segmenten und investiert zu wenig dort, wo die tatsächlichen Expositionen liegen. Die risikobasierte Bewertung zwingt das Unternehmen, diese Abwägungen offenzulegen. Die Aufsicht erwartet eine Dokumentation dieser Phase, denn genau diese wird geprüft, wenn etwas schiefläuft.

Die zweite Phase ist die Einführung von Screening und Überwachung. Das Unternehmen bindet KYA in das Onboarding ein, damit jede neue Wallet vor Ausführung der ersten Transaktion geprüft wird. Es integriert KYT in laufende Aktivitäten, um nach dem Onboarding entstehende Expositionen zu erkennen. Die API wird in die unternehmenseigenen Systeme eingebunden, damit das Screening als Kontrollpunkt und nicht als manueller Schritt abläuft. In dieser Phase werden die Fähigkeiten aus dem vorigen Abschnitt praktisch nutzbar.

Die dritte Phase ist die Alarmtriage. Jeder Treffer aus Screening und Überwachung wird zu einem Alarm, und jeder Alarm benötigt eine Bearbeitungsentscheidung. Ohne standardisierte Arbeitsanweisung zur Triage versinkt ein Programm in Alarmen. Mit einer solchen Anweisung führt jeder Alarm zu einer definierten Maßnahme, einer dokumentierten Entscheidung und dem von der Aufsicht erwarteten Audit-Trail. Der Umgang mit Fehlalarmen gehört zum Kern der Triage. Fehlalarmquoten in der Krypto-AML-Überwachung schwanken stark, gerade weil die Qualität der Triage variiert. Eine Plattform, die die Gründe hinter jedem Score offenlegt, erlaubt es Analysten, Fehlalarme schnell zu verwerfen. Ein Black-Box-Score zwingt zur Untersuchung von Grund auf – und dort summieren sich die Kosten.

Die vierte Phase ist das aufsichtsrechtliche Meldewesen. Wenn aus einem Alarm eine tatsächliche Risikoexposition wird, muss das Programm einen für die Aufsicht verständlichen Bericht erzeugen. Es benötigt eine Meldung, auf deren Grundlage eine zentrale Meldestelle handeln kann, und ein Belegpaket für die Übergabe an Strafverfolgungsbehörden. Im Meldewesen zeigt sich, ob das Programm trägt oder scheitert. Ein Programm, das sorgfältig prüft, aber unzureichend berichtet, ist kaum besser als eines, das gar nicht prüft.

DeFi-Teams nutzen dieselben vier Phasen, setzen sie aber anders um. Screening kann an einem Interaktionspunkt mit einem Smart Contract oder an einem Frontend-Gateway stattfinden. Die Überwachung muss mit Aktivitäten Schritt halten, die sich innerhalb von Minuten verändern. Der Leitfaden zum Aufbau eines Onchain-AML-Programms behandelt die Umsetzung für Börsen und DeFi-Teams.

Untersuchungen und Forensik

Screening und Überwachung erkennen Risiken. Untersuchungen folgen den Geldern. Wenn ein Exploit bereits stattgefunden hat oder eine Adresse von einer Sanktionslistung betroffen ist, müssen Ermittler sehen, wohin die Vermögenswerte geflossen sind und wer sie erhalten hat.

Cross-Chain-Nachverfolgung ist wichtig, weil illegale Gelder selten in einem einzigen Netzwerk bleiben. Vermögenswerte können eine Bridge, einen Mixer und eine dezentrale Börse durchlaufen, bevor sie eine neue Adresse auf einer anderen Blockchain erreichen. Eine Single-Chain-Sicht verliert die Spur an der Bridge. Eine Cross-Chain-Untersuchung setzt bei der Zieltransaktion an und hält den Geldfluss zusammen.

Die Antwort besteht darin, Gelder über jeden Zwischenschritt hinweg zu verfolgen, ohne den Zusammenhang zu verlieren. Ein leistungsfähiges Tool setzt einmal an einer Ausgangsadresse an und verfolgt die von ihr ausgehenden Geldflüsse durch die Bridge. Es greift die Aktivitäten auf der Ziel-Blockchain im selben Arbeitsbereich auf und verfolgt sie durch den Mixer oder den DEX-Swap weiter. Der gesamte Pfad erscheint als ein zusammenhängender Graph. Ermittler analysieren diesen Pfad, statt ihn erst zusammensetzen zu müssen. Die Alternative ist, an jeder Bridge eine Adresse zu exportieren, ein zweites Tool für die Ziel-Blockchain zu öffnen und die Fragmente manuell zusammenzufügen. Das ist langsam, führt an jeder Schnittstelle zu Informationsverlust und lässt sich schwer begründen.

Ermittler müssen auch mit Mixern, Datenschutz-Tools, DEX-Swaps und wiederholten Blockchain-Wechseln umgehen können. Diese Techniken werden häufig kombiniert, um Herkunft und Ziel von Geldern zu verschleiern. Den vollständigen Workflow erläutern die Leitfäden zur Auswahl eines Cross-Chain-Untersuchungstools und zur Nachverfolgung gestohlener Krypto-Vermögenswerte durch einen Mixer.

Die standardisierte Arbeitsanweisung zur Geldflussnachverfolgung, auf der dieser blockchainübergreifende Ansatz beruht, bleibt in ihrer Grundform gleich, auch wenn sich Adressen und Blockchains von Fall zu Fall ändern. Ein Ermittler beginnt an einem bekannten Kompromittierungspunkt, setzt ihn als Quelle und folgt den Geldern vorwärts statt rückwärts, weil die Vorwärtsanalyse dem tatsächlichen Fluss des gestohlenen Geldes folgt. Jeder Zwischenschritt wird als Knoten mit Adresse, Blockchain, Vermögenswert, Betrag, Zeitstempel und Kontext zur gekennzeichneten Entität dokumentiert. Führt der Pfad über eine Bridge oder in einen Mixer, wird die Nachverfolgung auf der Ziel-Blockchain oder bei den Ausgängen nach dem Mixing fortgesetzt. Sie endet nicht am Verschleierungsschritt. Der Pfad wird als zusammenhängender Graph statt als Reihe unverbundener Screenshots rekonstruiert. Jede Aussage darüber, wohin die Gelder geflossen sind, muss sich aus diesem Graphen reproduzieren lassen. Einen nicht reproduzierbaren Pfad wird die Verteidigung anfechten.

MetaSleuth ist die Plattform von BlockSec für Krypto-Nachverfolgung und Untersuchungen. Sie verfolgt Geldflüsse über DeFi-Protokolle, Mixer, Bridges und mehrere Blockchains hinweg in einem Arbeitsbereich. Außerdem nutzt sie dieselben Adressinformationen wie Phalcon Compliance, sodass Ermittler beim Verfolgen eines Falls den Entitäts- und Risikokontext sehen.

Eine Untersuchung benötigt außerdem ein klares Belegpaket. Dokumentieren Sie den Geldpfad, Zeitstempel, Transaktions-Hashes, Entitätskontext und die Quellen hinter jeder Schlussfolgerung. Damit erhalten Börsen, Aufsicht oder Strafverfolgungsbehörden eine ausreichende Grundlage, um den Fall zu prüfen und zu handeln. Der Leitfaden zur Nachverfolgung gestohlener Krypto-Vermögenswerte durch einen Mixer erläutert den gesamten Prozess.

Der Maßstab für glaubwürdige Belege hat sich mit der Anlageklasse weiterentwickelt. Ein Gericht, das über einen Betrugsvorwurf entscheidet, braucht mehr als einen Graphen. Es benötigt ein Paket, das eine zentrale Meldestelle, das Compliance-Team einer Börse und schließlich das entscheidende Gericht gleichermaßen lesen und verifizieren können. In fundierten Untersuchungen weist dieses Paket eine erkennbare Struktur auf. Es enthält die Quelladresse und das Ausgangsereignis, mit dem die Nachverfolgung begann. Es dokumentiert jeden wesentlichen Zwischenschritt mit Blockchain, Vermögenswert und Zeitstempel. Es fügt den Kontext der gekennzeichneten Entität zu jeder durchlaufenen Adresse bei. Es markiert den Ausstieg – ob in Fiatgeld an einer Börse, in einen Mixer oder in eine neue Wallet unter eigener Verwahrung. Den Abschluss bildet eine reproduzierbare Visualisierung, anhand derer Prüfer den gesamten Pfad nachvollziehen können, ohne dem Ermittler eine einzige Verbindung ungeprüft glauben zu müssen. Die belegbare Herkunft ist das tragende Element. Jeder Datenpunkt muss auf einen verifizierbaren Onchain-Datensatz zurückgehen, und jede Schlussfolgerung muss sich daraus ableiten lassen, statt bloß behauptet zu werden. Ein Belegpaket, das einer unabhängigen Prüfung standhält, macht aus einer Onchain-Spur einen Fall, der konkrete Maßnahmen ermöglicht. Ohne dieses Paket bleibt eine Spur bestenfalls ein Ermittlungsansatz.

Für reale Krypto-Compliance-Workflows entwickelt

Der Workflow sollte zum Betriebsmodell passen. Er sollte nicht jedes Team in dasselbe Kontrolldesign zwingen. Die spezialisierten Leitfäden in diesem Wissensportal zeigen, wie sich das gemeinsame Modell aus Screening, Analyse und Reaktion an die jeweilige Umgebung anpassen lässt.

Einen Onchain-AML-Anbieter auswählen und seine Vertrauenswürdigkeit prüfen

Ein Unternehmen, das ein Onchain-AML-Programm aufbaut, muss früher oder später einen Anbieter auswählen. Das ist schwierig: Die Kategorie ist unübersichtlich, die Versprechen klingen ähnlich, und die Folgen einer Fehlentscheidung zeigen sich Monate später, wenn die Aufsicht nach einem versagten Screening fragt. Die Auswahl beruht auf drei Kriterien: Preisflexibilität, unabhängig verifizierbare Wirksamkeit und Seriosität des Anbieters. Keines davon ist verzichtbar.

Der Preis ist der erste Faktor. Teams sollten das Screening testen können, bevor sie einen umfangreichen Jahresvertrag abschließen, und anschließend einen zu ihrem Volumen passenden Tarif wählen können. Phalcon Compliance bietet Free, nutzungsbasierte Screening Packages sowie die Tarife Essential, Scale und Enterprise. Screening Packages nutzen PAYG-Guthaben ab $95 für das Paket mit 50 Screenings. Je nach Paketgröße liegt der Stückpreis zwischen $1,10 und $1,90. Der Preisleitfaden für kleine VASPs erklärt die veröffentlichten Tarifstufen und wann nutzungsbasierte Abrechnung oder ein Abonnement besser passt.

Unabhängig verifizierbare Wirksamkeit ist das zweite Kriterium – und daran scheitern die meisten Anbieterbehauptungen. Jeder Anbieter verspricht präzise Prüfungen, wenige Fehlalarme und aktuelle Abdeckung. Nur wenige legen die Belege offen, mit denen sich diese Aussagen überprüfen lassen. Der Test ist nachvollziehbares Scoring. Ein Anbieter, der zu jedem Score die Risikoindikator-IDs offenlegt, die Exposition quantifiziert und Analysten die Reproduktion der Entscheidung ermöglicht, macht seine Wirksamkeit überprüfbar. Ein Anbieter, der lediglich einen Score ohne Aufschlüsselung liefert, verlangt blindes Vertrauen. Die ausführliche Checkliste zur unabhängigen Prüfung der Wirksamkeit eines Onchain-AML-Tools wird in einem eigenen Leitfaden behandelt. Entscheidend ist: Wirksamkeit ist eine überprüfbare Eigenschaft, kein Anbieterversprechen.

Die Seriosität des Anbieters ist das dritte Kriterium. Wer sein Compliance-Screening einem Anbieter überträgt, vertraut ihm die Belege an, die die Aufsicht später prüfen wird. Dieser Anbieter braucht überprüfbare Qualifikationen, veröffentlichte Arbeiten, Erfahrungen aus realen Fällen und ein Unternehmen, das auch in zwei Jahren noch besteht. Wie sich die Seriosität eines Anbieters beurteilen lässt, wird in einem eigenen Leitfaden vertieft. Entscheidend ist, dass Seriosität überprüfbar ist. Wer auf diese Prüfung verzichtet, kauft Risiken statt Abdeckung.

Wie sich Onchain-AML weiterentwickelt

Onchain-AML verändert sich weiterhin in drei Bereichen.

Der erste ist die regulatorische Entwicklung bei DeFi. Aufsichtsbehörden klären noch, wie Pflichten, die für zentrale Vermittler geschaffen wurden, auf Protokolle ohne Vermittler anzuwenden sind. Die Travel Rule ist das deutlichste Beispiel. Sie wurde für identifizierte Vermittler formuliert. Ihre Anwendung auf eine Transaktion zwischen zwei Wallets unter eigener Verwahrung ist ein grundsätzliches Problem der Anwendbarkeit und kein Implementierungsdetail. Wenn Rechtsräume weitere Teile von Empfehlung 15 in nationales Recht umsetzen, muss das oben beschriebene Programmgerüst auch zu Protokollen passen, die kein Compliance-Budget haben und keine zusätzliche Latenz tolerieren.

Der zweite Bereich ist blockchainübergreifende Geldwäsche als systemische Bedrohung. Chain-Hopping ist bereits die Standardmethode der Geldwäsche. Mit dem wachsenden Bridge-Volumen schrumpft der Anteil, den ein Single-Chain-Tool abdecken kann. Die FATF hat blockchain- und dienstübergreifende Geldflüsse als strukturellen Geldwäschekanal hervorgehoben, der sich weder aus einem einzelnen Rechtsraum noch aus einer Single-Chain-Sicht vollständig erfassen lässt. Deshalb entwickelt sich die Untersuchungsseite hin zu einer lückenlosen Cross-Chain-Nachverfolgung.

Der dritte Bereich ist programmierbare Compliance. Im heutigen Modell wird ein Score ausgegeben, auf dessen Grundlage ein Mensch handelt. Das nächste Modell stellt die Belege programmatisch bereit und lässt die unternehmenseigenen Systeme darauf basierend weiterleiten, eskalieren oder blockieren. Bei folgenreichen Entscheidungen bleibt ein Mensch eingebunden. API-Zugriff, nachvollziehbares Risikoscoring und Echtzeitüberwachung sind die drei Voraussetzungen. Eine Plattform, die alle drei erfüllt, ist bereits einen Großteil des Weges gegangen.

Regulierung, blockchainübergreifende Geldwäsche und Workflow-Automatisierung werden weiterhin prägen, wie Teams Krypto-Risiken steuern. Teams, die jetzt Screening, Überwachung, Untersuchungen und Berichterstattung etablieren, sind auf veränderte Anforderungen besser vorbereitet.

Für ein Team, das Onchain-AML bewertet, ist der nächste Schritt konkret. Beurteilen Sie die Plattform anhand der vier Fähigkeiten, der vier Programmphasen und der drei Auswahlkriterien aus diesem Leitfaden. Bewerten Sie Phalcon Compliance für Onchain-AML anhand dieses Rahmens statt anhand einer Vertriebspräsentation. Oder erkunden Sie die Cross-Chain-Nachverfolgung mit MetaSleuth an einer echten Adresse und beurteilen Sie, ob sich die gesuchten Geldflüsse damit belastbar nachvollziehen lassen.