Direkte Exposition bedeutet, dass eine Wallet selbst mit einer sanktionierten oder illegalen Entität Transaktionen durchgeführt hat. Bei indirekter Exposition liegt der Kontakt einen oder mehrere Transaktionsschritte vorgelagert bei einer Gegenpartei. Eine belastbare Bewertung verbindet in beiden Fällen Abstand im Transaktionspfad, belasteten Anteil, Entitätszuordnung und Zeitpunkt, statt eine Kennzeichnung binär zu behandeln. Diese Seite ist Teil des AML-Compliance-Wissensportals.
Ein Analyst, der eine wegen indirekter Exposition markierte Adresse sieht, steht genau vor dieser Abwägung. Die Wallet selbst hatte nie Kontakt mit einer sanktionierten Entität, eine vorgelagerte Gegenpartei jedoch schon, zwei Schritte entfernt. Die Identitätsprüfung des Eigentümers war unauffällig. Die Frage lautet, ob der vorgelagerte Kontakt ein echtes Risiko oder nur ein Störsignal ist. Ein reiner Blacklist-Abgleich würde ihn entweder vollständig übersehen oder unterschiedslos eskalieren. Diese in jeder Warteschlange wiederkehrende Frage beantwortet die Expositionsbewertung.
Exposition ist kein binärer Zustand. Sie erfordert eine mehrschichtige Bewertung der Risikoausbreitung in Geldflüssen: direkter Kontakt, indirekter Kontakt, Transaktionsabstand, belasteter Anteil und die Entität hinter jedem Schritt. Dieser Artikel erläutert die Onchain-AML-Compliance- und Untersuchungsmethodik für die Expositionsbewertung. Er trennt direkte von indirekter Exposition, erklärt, warum der Abstand allein nicht genügt, und zeigt, wie Signale zu einer Entscheidung zum Zulassen, Prüfen oder Blockieren zusammengeführt werden.
Direkte und indirekte Exposition: Wann vorgelagerter Kontakt zum Risikosignal wird
Die Unterscheidung zwischen direkter und indirekter Exposition bildet die Grundlage aller weiteren Bewertungen. Direkte Exposition bedeutet, dass eine Wallet selbst mit einer sanktionierten oder anderweitig illegalen Adresse Transaktionen durchführt. Dies ist das stärkste mögliche Signal und reicht in der Regel zur Eskalation aus. Indirekte Exposition bedeutet, dass die Gelder einer Wallet einen oder mehrere Schritte zuvor mit einer Risikoquelle in Berührung kamen. Die Wallet erscheint isoliert unauffällig, die durch sie fließenden Gelder sind es jedoch nicht.
Die eigentliche Abwägung liegt bei der indirekten Exposition. Eine Wallet mit unauffälliger Identitätsprüfung, auch als unauffälliges Know-Your-Customer-Profil (KYC) bezeichnet, erhält Gelder, die ein oder zwei Schritte zuvor durch einen Mixer oder eine sanktionierte Entität liefen. Der Eigentümer ist nicht der illegale Akteur. Die Gelder können dennoch Risiken tragen. Ob diese wesentlich sind, hängt vom belasteten Anteil des Geldflusses, vom Abstand zur Quelle, von deren Identität und vom Zeitpunkt des Kontakts ab. Keine dieser Dimensionen lässt sich auf Ja oder Nein reduzieren.
Die Unterscheidung ist wichtig, weil die beiden Fehlermöglichkeiten spiegelbildlich sind. Ein Tool, das nur direkte Exposition erfasst, übersieht gewaschene Gelder, die durch unauffällige Wallets fließen – und das betrifft den Großteil. Ein Tool, das jeden indirekten Kontakt ohne Gewichtung von Expositionsanteil und Abstand markiert, lässt die Warteschlange im Rauschen versinken. Der folgende Rahmen verhindert beide Fehler.
Transaktionsabstand: Warum ein, zwei und mehrere Schritte nicht gleichwertig sind
Der Transaktionsabstand misst die Zahl der Schritte zwischen geprüfter Wallet und Risikoquelle. Mit zunehmendem Abstand wird das Signal schwächer. Eine Exposition über einen Schritt, bei der die Wallet direkt mit einer sanktionierten oder illegalen Adresse interagiert, ist das stärkste Signal und wird für sich genommen üblicherweise als hohes Risiko behandelt. Bei zwei Schritten interagiert die Gegenpartei mit einer Risikoquelle. Dieses Signal ist mäßig stark und muss vor einer Eskalation durch Expositionsanteil und Entitätszuordnung gestützt werden. Eine mehrstufige Exposition über drei oder mehr Schritte erfasst einen größeren Bereich. Das Signal je Verbindung ist jedoch schwach, und bei alleiniger Betrachtung der Schrittzahl entstehen leicht zu viele Alarme.
Der Abstand allein genügt nicht, weil Weitergabe nicht automatisch Abschwächung bedeutet. Eine Verbindung über zwei Schritte zu einer Ransomware-Auszahlungsadresse ist nicht zwangsläufig weniger schwerwiegend als ein direkter Kontakt zu einer Glücksspielseite. Die Schwere hängt von der Entität am anderen Ende, dem von dort stammenden Anteil und einer möglichen zwischenzeitlichen Verschleierung ab. Eine indirekte Exposition drei Schritte von einem Mixer entfernt kann je nach Volumen und Zeitpunkt bei einer Wallet unbedeutend und bei einer anderen wesentlich sein.
Hier liegt auch die Grenze zum Scoring. Der Abstand ist ein Eingabefaktor. Wie Abstand, Expositionsanteil und Entitätszuordnung zu einem nachvollziehbaren Risikoscore zusammengeführt werden, ist eine eigene Frage. Sie wird unter Wie Signale zu einem nachvollziehbaren Risikoscore werden ausführlich behandelt. Dieser Artikel beschränkt sich auf Eingaben und Bewertungslogik, nicht auf den Score selbst.
Expositionsanteil und Herkunft der Gelder: Warum eine Blacklist allein nicht genügt
Expositionsanteil und Herkunft der Gelder leisten den größten Beitrag zur Expositionsbewertung. Beide machen die Grenzen eines reinen Blacklist-Screenings sichtbar.
Der Expositionsanteil bezeichnet den belasteten Anteil am gesamten Wert der Zu- oder Abflüsse einer Adresse und verhält sich völlig anders als ein Blacklist-Treffer. Fünf Prozent Exposition gegenüber einem Mixer und fünfundneunzig Prozent gegenüber demselben Mixer verlangen völlig unterschiedliche Bewertungen. Ein Blacklist-Treffer behandelt sie jedoch gleich. Eine Wallet mit einer kleinen belasteten Einzahlung in einem viel größeren legitimen Geldfluss birgt nicht dasselbe Risiko wie eine Wallet, deren gesamter Bestand aus gewaschenen Erlösen besteht. Eine expositionsbezogene Bewertung muss das abbilden.
Die Herkunftsanalyse fragt, woher das Geld stammt, und verfolgt seinen Pfad, statt nur eine feste Liste abzugleichen. Eine Blacklist ist binär: Eine Adresse steht darauf oder nicht. Die Herkunftsanalyse ist durchgängig: Sie verfolgt den Geldfluss über vorgelagerte Schritte zurück, ordnet jeden Schritt einer Entität zu und quantifiziert den belasteten Anteil auf jeder Stufe. So wird indirekte Exposition verständlich. Ein reiner Blacklist-Abgleich übersieht sie entweder vollständig, weil die Wallet selbst nicht gelistet ist, oder erzeugt bei jeder kleinsten Belastung einen Alarm, weil jeder Kontakt als Treffer zählt.
In einer laufenden Engine wird diese Bewertung konkret. Ein Beispiel für mehrdimensionale Expositionsbewertung ist die Risk Exposure Engine von Phalcon Compliance. Sie kombiniert eine Adresskennzeichnungsdatenbank mit der Nachverfolgung von Onchain-Interaktionen, quantifiziert Exposure Value und Exposure Percentage und folgt Geldflüssen über mehrere Schritte, um indirekte Exposition sichtbar zu machen, die eine Blacklist übersehen würde. Zwei Größen bilden die Grundlage und werden hier ausdrücklich definiert. Exposure Value ist der gesamte USD-Wert von Krypto-Vermögenswerten, die aus einer bestimmten Risikoquelle stammen oder mit ihr interagiert haben. Exposure Percentage ist der Anteil belasteter Vermögenswerte am gesamten Wert der Zu- oder Abflüsse einer Adresse. Ein dritter Mechanismus verfolgt die indirekte Exposition über mehrere Schritte: Interaktionsbasierte Überwachung folgt Geldern über mehrere Transaktionsschritte und löst einen Alarm aus, wenn eine Adresse im Geldfluss eine Risikokennzeichnung trägt. Übertragungsrichtung und Betragsschwelle lassen sich dabei konfigurieren. Das sind die Grundlagen der Bewertung, nicht die Bewertung selbst.
Warum indirekte Exposition Fehlalarme verursacht
Indirekte Exposition ist die größte Einzelquelle für Fehlalarme in der Krypto-AML-Überwachung. Der Mechanismus ist strukturell. Häufige indirekte Quellen sind Mixer, sanktionierte Entitäten und illegale Dienste wie Drainer, Darknet-Marktplätze und Ransomware-Auszahlungsadressen. Jede davon berührt eine große, weit verteilte Menge nachgelagerter Wallets. Zwei oder drei Schritte nach einem Mixer ist die Zahl der Wallets mit irgendeiner messbaren Exposition enorm, während nur ein kleiner Teil davon tatsächlich ein Risiko darstellt.
Der Fehler ist leicht zu beschreiben. Ein ausschließlich schritt- oder blacklistbasierter Alarm reagiert auf jede Wallet in diesem Bereich. Die Warteschlange füllt sich mit Alarmen zu unbedenklichen Aktivitäten: ein Zahlungsabwickler, der eine Transaktion für einen Börsenkunden bearbeitet hat, der früher einmal einen Mixer nutzte; eine Händler-Wallet mit einem winzigen belasteten Anteil in einer Einzahlung; ein Nutzer, der mit einem DeFi-Pool interagierte, der ebenfalls belastete Zuflüsse erhielt. Keiner dieser Fälle rechtfertigt eine Blockierung. Alle erfüllen eine Schritt- oder Listenregel. Analysten müssen manuell einordnen, und echte Untersuchungen gehen unter.
Die Lösung ist nicht ein besserer Schwellenwert, sondern eine mehrdimensionale Bewertung, die nicht aufgrund eines einzelnen Signals eskaliert. Eine Wallet mit Mixer-Kontakt über zwei Schritte wird bei zwei Prozent Exposition anders beurteilt als bei sechzig Prozent. Liegt der Kontakt drei Tage oder achtzehn Monate zurück, ändert sich die Bewertung erneut. Der detaillierte Leitfaden zur Reduzierung von Fehlalarmen in der Krypto-AML-Überwachung steht auf einer eigenen Seite, weil der Optimierungsworkflow eine gesonderte Behandlung verdient. Entscheidend ist hier die Struktur: Ungewichtete indirekte Exposition erzeugt immer zu viele Alarme. Nur Gewichtung hält die Warteschlange nutzbar.
Mehrdimensionale Bewertung: Von Expositionssignalen zum Zulassen, Prüfen oder Blockieren
Analysten entscheiden letztlich, ob eine Wallet zugelassen, geprüft oder blockiert wird. Diese Entscheidung ist nur belastbar, wenn sie auf mehr als einem Signal beruht.
| Dimension | Was sie misst | Schwäche bei isolierter Betrachtung | Stärke in der Kombination |
|---|---|---|---|
| Transaktionsabstand | Schritte zwischen Wallet und Risikoquelle | Drei Schritte können Rauschen oder Signal bedeuten | Bestimmt die Nähe zur Quelle |
| Expositionsanteil | Belasteter Anteil am gesamten Geldfluss | Fünf und fünfundneunzig Prozent werden gleichgesetzt | Trennt minimale Spuren von wesentlichem Kontakt |
| Entitätszuordnung | Art der Quelle und der Zwischenstellen | Mixer-Treffer und Sanktionstreffer gelten als gleich | Unterscheidet die Schwere nach Entitätstyp |
| Transaktionsverhalten | Muster rund um das Expositionsereignis | Ignoriert die Weiterbewegung nach dem Kontakt | Zeigt Verschleierung oder rasche Durchleitung |
| Zeitliche Abwertung | Aktualität des vorgelagerten Kontakts | Ein Kontakt aus 2021 wird einem Kontakt aus der laufenden Woche gleichgesetzt | Gewichtet jüngere Kontakte stärker |
| Geldflussrichtung | Einzahlungsquelle oder Auszahlungsziel | Expositionsbewertungen ohne Berücksichtigung der Geldflussrichtung können irreführen | Trennt eingehende Belastung von ausgehendem Risiko |
Kein einzelnes Signal genügt. Eine belastbare Expositionsbewertung kombiniert Transaktionsabstand, Expositionsanteil, Entitätszuordnung, Transaktionsverhalten, zeitliche Abwertung und Geldflussrichtung, bevor daraus eine niedrige, mittlere oder hohe Risikostufe und eine Entscheidung zum Zulassen, Prüfen oder Blockieren abgeleitet werden. Jedes einzelne Signal kann fehlgehen. Dagegen schützt nur die Anforderung zusätzlicher Bestätigung.
Betrachten wir einen anonymisierten Fall. Eine Wallet erhält Gelder mit Mixer-Kontakt über zwei Schritte. Der Expositionsanteil ist mäßig und liegt bei etwa 15 Prozent. Die Entitätszuordnung bestätigt einen Mixer statt einer sanktionierten Adresse als Quelle. Der vorgelagerte Kontakt liegt erst wenige Wochen zurück. Das Verhalten rund um die Einzahlung ist unauffällig, ohne schnelle Durchleitung oder Stückelung. Die Richtung ist eine eingehende Einzahlung. Isoliert betrachtet könnten Schrittzahl und Aktualität eine Eskalation nahelegen. Zusammen betrachtet sprechen der mäßige Anteil, die Mixer-Quelle und das unbedenkliche Verhalten nach der Einzahlung eher für Prüfen statt Blockieren. Der Analyst dokumentiert die Grundlage, trifft die Bearbeitungsentscheidung und fährt fort. Das leistet mehrdimensionale Bewertung: eine auditfeste Entscheidung mit dokumentierten Dimensionen statt eines Bauchgefühls.
Die Risk Exposure Engine setzt dies operativ um. Sie nutzt eine Adresskennzeichnungsdatenbank gemeinsam mit Onchain-Interaktionen, um Risiken zu erkennen und zu bewerten, ob eine geprüfte Adresse oder Transaktion mit einer bekannten Risikoentität verbunden ist. Die Address Exposure Engine enthält drei Vorlagen für Entitätsrisiko, Interaktionsrisiko und Blacklist-Interaktion. Die Transaction Exposure Engine enthält drei Vorlagen für Teilnehmerrisiko, Interaktionsrisiko und Blacklist-Interaktion. Risiken werden in fünf Stufen eingeteilt: Kritisch, Hoch, Mittel, Niedrig und Kein Risiko. Die 17 Risikoindikator-Kategorien, darunter Sanktioniert, Mixing, Ransomware, Darknet-Marktplatz und Jurisdiktion auf der grauen Liste der FATF, geben Analysten ein einheitliches Vokabular für die Feststellungen jedes Schritts. Die Umwandlung dieser Eingaben in einen einzigen prüfbaren Score ist Thema der Seite zum nachvollziehbaren Scoring, nicht dieser Seite.
Die regulatorische Grundlage: FATF-Empfehlung 15 erwartet einen risikobasierten Ansatz, der Expositionen erkennt und bewertet, nicht nur statische Listen abgleicht. Dieselbe Logik liegt FinCENs Anforderungen an die Kundensorgfaltspflicht zugrunde. Sie verpflichten erfasste Institute, Kundenbeziehungen zu verstehen und auf verdächtige Aktivitäten zu überwachen, statt sich allein auf Listenabgleiche zu verlassen. Ein Programm, das nur direkte Treffer eskaliert, kann seine übersehenen Fälle nicht begründen. Eines, das jeden indirekten Treffer eskaliert, kann seinen Arbeitsaufwand nicht rechtfertigen. Der risikobasierte Ansatz der FATF für virtuelle Vermögenswerte macht die mehrdimensionale Expositionsbewertung zum Standard und nicht zum optionalen Feinschliff.
