Der Rollout von Krypto-Compliance-Software umfasst fünf Phasen: Bewertung, Machbarkeitsnachweis, Integration, Produktivstart und laufende Überwachung. Wird eine davon übersprungen, bleibt das Screening von Ein- und Auszahlungen getrennt, oder nach dem Start entstehen Alarme ohne zuständige Person. Eine Lizenz zu kaufen ist der einfache Teil. Die Arbeit besteht darin, Screening in Ein- und Auszahlungsabläufe einzubinden, Alarme zu konfigurieren, Verantwortliche festzulegen, den Workflow zu testen und nach dem Start zu optimieren. Dieser Leitfaden gliedert den Rollout in fünf Phasen – von Bewertung und Machbarkeitsnachweis über Integration und Produktivstart bis zur laufenden Überwachung. Den übergeordneten Workflow erläutert Phalcon Compliance. Diese Seite ist Teil des AML-Compliance-Wissensportals.
Warum Einführungsplanung wichtig ist
Ein übereilt eingeführtes Tool erzeugt drei Fehler zugleich. Erstens eine Abdeckungslücke: Eine lizenzierte, aber nicht in Ein- und Auszahlungen eingebundene Screening-Engine prüft nichts, bis ein Mensch sie manuell abfragt. Gelder bewegen sich schneller als eine manuelle Abfrage. Zweitens Alarmrauschen: Die Standard-Risikoschwellen des Anbieters sind auf eine allgemeine Nutzergruppe statt auf das Transaktionsaufkommen der jeweiligen Börse abgestimmt. Sie überfluten das Team mit Fehlalarmen oder bleiben bei echten Risiken stumm. Drittens Unklarheit im Team: Fehlen vor dem Produktivstart Weiterleitung, Zuständigkeit und Eskalationsregeln, wird jeder Alarm zur Ad-hoc-Entscheidung. Solche Entscheidungen halten einer aufsichtsrechtlichen Prüfung nicht stand.
FinCEN verlangt von Money Services Businesses einschließlich Kryptobörsen ein AML-Programm (31 CFR 1022.210) und die Meldung verdächtiger Transaktionen (31 CFR 1022.320). Diese Kombination macht in der Praxis eine kontinuierliche Transaktionsüberwachung nötig. Ein lizenziertes Tool ohne Einbindung in einen dauerhaften Überwachungsworkflow lässt eine Lücke zwischen regulatorischer Pflicht und tatsächlich laufender Kontrolle. Prüfer sehen darin einen Mangel im AML-Programm, keine bloße Entscheidung zur Art der Einführung.
Die Käuferseite bestätigt das. Keine Kombination fertiger Drittanbieter-Tools passt zum Anwendungsfall einer Börse, solange sie keinen Zugriff auf interne Systeme erhält. Die unterschätzte Herausforderung ist daher die Integration, nicht die Zahl der Funktionen. Mit einem Einführungsplan macht die Compliance-Leitung aus einer Funktionsliste eine wirksame Kontrolle. Genau diesen Plan verlangt ein Prüfer bei der Programmbewertung.
Der Einführungsrahmen mit fünf Phasen
Zeitplan und Rollout einer Krypto-Compliance-Software umfassen fünf Phasen: Bewertung und Auswahl, POC-Test, Systemintegration, Produktivstart und Regeloptimierung sowie laufende Überwachung mit regelmäßiger Überprüfung. Jede Phase hat ein eigenes Ziel, eine verantwortliche Person und ein Abschlusskriterium. Die folgenden Zeitspannen sind Planungsschätzungen, keine Anbieter-SLAs. Sie verkürzen oder verlängern sich mit Teamgröße, Infrastrukturreife und regulatorischer Frist.
| Phase | Ziel | Geschätzter Zeitraum | Abschlusskriterium |
|---|---|---|---|
| 1. Bewertung und Auswahl | Anforderungen mit einem vorausgewählten Tool abgleichen | 1 bis 2 Wochen | Anforderungen freigegeben, Anbieter ausgewählt |
| 2. POC-Test | Abdeckung mit echten Adressen validieren | 1 bis 2 Wochen | POC-Bericht angenommen |
| 3. Systemintegration | Tool in Ein- und Auszahlungsabläufe einbinden | 2 bis 4 Wochen | API im produktiven Ablauf aktiv |
| 4. Produktivstart und Regeloptimierung | Umstellen und Schwellenwerte kalibrieren | 1 bis 2 Wochen | Alarmvolumen im Zielbereich |
| 5. Laufende Überwachung und Überprüfung | Abdeckung aufrechterhalten und nachjustieren | Fortlaufend | Vierteljährlicher Prüfzyklus festgelegt |
In Phase eins geht es um Anforderungen und Auswahl. Die Compliance-Leitung legt die abzudeckenden Anwendungsfälle, benötigten Datenquellen, relevanten Rechtsräume und die zum Budget passende Tarifstufe fest. Ergebnis sind ein Anforderungsdokument und eine Anbieterentscheidung, kein Funktionsvergleich. Phase zwei ist ein Machbarkeitsnachweis mit eigenen Adressen statt mit einem Demo-Bestand des Anbieters. Geprüft wird, ob die Risiko-Engine die tatsächlich vorkommenden Vermögenswerte und Gegenparteitypen abdeckt. Der POC-Bericht gibt das Tool entweder für die Integration frei oder führt zurück zu Phase eins.
Phase drei ist die technische Integration. Die Screening-API wird in Ein- und Auszahlungen eingebunden. Die Alarmweiterleitung führt in eine echte Warteschlange, und Schwellenwerte werden als Code statt nur als Richtlinie definiert. Phase vier umfasst Umstellung und Optimierung. Das Tool läuft produktiv, und das Team beobachtet Alarmvolumen und Präzision anhand eines vereinbarten Zielbereichs. Schwellenwerte werden angepasst, bis dieser stabil erreicht wird. Phase fünf ist der Dauerbetrieb. Die Überwachung läuft kontinuierlich, Schwellenwerte werden planmäßig überprüft, und das Programm wird an Bedrohungslage und eigenen Datenverkehr angepasst.
Der schnellste Weg: Bewerten, API integrieren, Monitor aktivieren
Phalcon Compliance unterstützt eine schrittweise Einführung. Teams können mit manuellen Adress- und Transaktionsprüfungen beginnen, API-Screening in produktive Abläufe integrieren und anschließend Monitor für laufende Risikoaktualisierungen aktivieren.
Eine Einführung muss nicht bis zum Vertragsabschluss warten, um Nutzen zu stiften. Phalcon Compliance ermöglicht interaktives Adress- und Transaktions-Screening über die Plattformoberfläche ab dem Free-Tarif. Das Tool ist vom ersten Tag an nutzbar, bevor Vertrags- oder Integrationsarbeiten beginnen. Das verkürzt die Bewertungsphase. Compliance-Verantwortliche können die Abdeckung echter Adressen bereits während der Auswahl statt erst nach der Beschaffung validieren. Der POC-Bericht der zweiten Phase beruht dann auf tatsächlichen Tool-Ergebnissen statt auf Anbieterfolien.
Der zweite Schritt ist die API-Integration. API-Zugriff ist ausschließlich ab Scale für $699 pro Monat und in Enterprise verfügbar. Free, Screening Packages und Essential enthalten keinen API-Zugriff. Wer Screening in Ein- und Auszahlungen einbettet, muss daher zuerst Scale erreichen. Die Bestätigung vor Phase drei verhindert die Entwicklung für einen nicht nutzbaren Tarif. Die Integration folgt derselben API-Struktur mit drei Modi: Echtzeit, Batch und Monitor. Sie ist im KYT-API-Integrationsplan für Kryptobörsen dokumentiert. Phase drei übernimmt dessen Endpunkt-, Rate-Limit- und Kontingentplanung, statt sie neu zu entwerfen. Die fünfstufige Tarifstruktur bietet Pay-as-you-go-Guthaben ab $95, gefolgt von Essential, Scale und Enterprise, ergänzt um eine Empfehlungsprämie von 20 Prozent auf qualifizierte Ausgaben. Ein Team kann für die Bewertung mit PAYG-Guthaben beginnen und zum Start der Integration auf Scale wechseln. Screenings werden in fester Reihenfolge verrechnet: zuerst das Abonnementkontingent, dann Top-up Screenings, danach Referral Rewards und schließlich Screening Packages. Budgetverantwortliche können so vorhersagen, welches Guthaben im Rollout zuerst verbraucht wird.
Der dritte Schritt ist die laufende Überwachung. Monitor analysiert bereits geprüfte Adressen bei Risikoänderungen nach einem dynamischen Zeitplan erneut, ohne das Screening-Kontingent zu verbrauchen. Das ist für die Einführungskosten wichtig. Nach dem Start der Echtzeit-Freigabe muss ein Team nicht zwischen unbeobachteten Bestandsadressen und dem Verbrauch des Einzelprüfungsbudgets für erneute Screenings wählen. Monitor erhält die Abdeckung des historischen Bestands, während die Echtzeit-API neue Vorgänge bearbeitet. Zusammen machen beide Ebenen aus einer Screening-Funktion ein dauerhaftes Überwachungsprogramm. Hinter beiden steht die Risk Engine von Phalcon Compliance mit 17 Risikoindikator-Kategorien und mehr als 600 Millionen gekennzeichneten Adressen. Diese Abdeckung wird in den Ablauf integriert. Sie umfasst sanktionierte Adressen anhand der OFAC-Sanktionsliste und Compliance-Leitlinien. Wer die Risk Engine integriert, bindet damit die Grundlage des Sanktionsadress-Screenings ein, die Prüfer bei jeder Ein- und Auszahlung erwarten.
Ressourcen und Zeitbedarf schätzen
Der Planungszeitraum ist nicht einfach die Summe der Phasenspannen. Hinzu kommt ein Puffer für die beiden häufigsten Verzögerungsquellen. Erstens Tarifvoraussetzungen: Setzt die Integration API-Zugriff voraus, während Scale noch nicht gebucht ist, wartet die Entwicklung auf die Beschaffung. Den Tarif vor Phase drei zu bestätigen ist die wichtigste Terminentscheidung des Projekts. Zweitens Alarmweiterleitung: Sind Webhook, Ticket-Warteschlange und Bereitschaftsdienst vor dem Produktivstart nicht definiert, erzeugt Phase vier Alarme ohne Handlungsweg. Die Optimierung kann erst beginnen, wenn die Weiterleitung steht.
Ein realistischer vollständiger Rollout für eine mittelgroße Börse mit Compliance-Leitung, einem Integrationsingenieur und bereits bestätigtem Tarif dauert insgesamt sechs bis zehn Wochen. Die ersten beiden Phasen zusammen benötigen zwei bis vier Wochen, wenn der POC während der Auswahl über interaktives Screening erfolgt. Phase drei dauert zwei bis vier Wochen, abhängig von den bestehenden Ein- und Auszahlungsabläufen sowie davon, ob Webhooks und Fallmanagement bereits vorhanden sind. Phase vier umfasst eine bis zwei Wochen Optimierung im Produktivbetrieb. Phase fünf ist fortlaufend und hat kein Enddatum.
Die verlängernden Risikofaktoren sind vorhersehbar. Wer Tarifvoraussetzungen erst in der Integration klärt, fügt eine Beschaffungswartezeit hinzu. Wer den POC überspringt und beim Produktivstart eine Abdeckungslücke entdeckt, kehrt zu Phase eins zurück. Wer die Alarmweiterleitung vor der Umstellung auslässt, baut in Phase vier Infrastruktur, statt Schwellenwerte zu optimieren. Das sind keine Tool-Probleme, sondern Planungsprobleme. Der Fünfphasenrahmen macht sie sichtbar, bevor sie Wochen kosten.
Eine Phalcon-Compliance-Einführung planen
Die Einführung von Krypto-Compliance-Software ist abgeschlossen, wenn fünf Bedingungen zugleich erfüllt sind: Das Tool wurde anhand eines echten Anforderungsdokuments ausgewählt. Der Machbarkeitsnachweis hat die Abdeckung eigener Adressen validiert. Die API ist im Tarif Scale oder höher in Ein- und Auszahlungen eingebunden. Die Alarmweiterleitung steht, und die Schwellenwerte sind auf einen Zielbereich abgestimmt. Monitor erhält die Abdeckung des historischen Bestands. Planen Sie eine Einführung von Phalcon Compliance: Beginnen Sie mit interaktivem Screening, wechseln Sie zum Integrationsbeginn auf Scale und sichern Sie nach dem Produktivstart die Abdeckung mit Monitor.