Ein Compliance-Beauftragter an einer US-Börse öffnet das Prüferschreiben. Die Feststellungen wiederholen sich mit jedem Zyklus. Das Monitoring lief nur beim Onboarding. Verdachtsmeldungen wurden verspätet eingereicht. Die Lizenzverlängerung stockte aufgrund von Registrierungslücken. AML-Compliance für eine Kryptobörse ist keine einzelne Aufgabe. Es ist ein Stapel aus fünf Verpflichtungen, die ein Anbieter virtueller Vermögenswerte – oder VASP – kontinuierlich erfüllen muss. Wird eine Schicht vernachlässigt, geraten die Lizenz, die Bankpartner oder beide unter Druck.
Was AML-Compliance für eine Kryptobörse bedeutet
AML-Compliance für eine Kryptobörse ist die Gesamtheit der Geldwäschebekämpfungs- und Terrorismusfinanzierungspräventions-Pflichten, die ein VASP erfüllen muss, um legal zu operieren. Die Verpflichtungen werden durch die FATF-Empfehlungen für virtuelle Vermögenswerte und in den Vereinigten Staaten durch die FinCEN-Regeln für Gelddienstleistungsunternehmen festgelegt. Die Börse trägt die Verantwortung für alle fünf Schichten, nicht nur für die Kundenprüfung beim Onboarding.
Ein VASP ist die aufsichtsrechtliche Bezeichnung für jede Einrichtung, die virtuelle Vermögenswerte für Kunden tauscht, überträgt oder verwahrt. Eine Börse trägt dieses Label in dem Moment, in dem sie ein Token-Paar listet. Ihre AML-Pflichten sind keine Kopie des Programms einer Bank. Sie bauen auf On-Chain-Adressen und Transaktionen auf, die sich in Sekunden bewegen, kettenübergreifend und häufig durch Mixer.
Diese Geschwindigkeit verändert die Form der Arbeit. Eine Bank prüft eine Zahlung gegen eine Namensliste und eine Gegenparteidatenbank. Eine Börse prüft eine Einzahlung, die möglicherweise drei Hops zuvor durch einen Mixer geleitet wurde, und das Risiko zeigt sich erst, wenn der Geldfluss nachverfolgt wird. Die Kundendatei trägt dieses Signal nicht. Die Blockchain tut es. Deshalb hat eine der fünf Verpflichtungen – das Transaktionsmonitoring – kein bankenseitiges Äquivalent in derselben Geschwindigkeit und muss die Blockchain selbst lesen.
Dieser Artikel definiert den Rahmen und bleibt beim Was. Das operative Wie, der Screening-Workflow und der Berichtsexport sind in einem separaten Implementierungs-Leitfaden beschrieben. Den globalen Standard, der das VASP-Label und seine Verpflichtungen definiert, finden Sie in der FATF-Leitlinie zu virtuellen Vermögenswerten.
Die fünf zentralen VASP-Verpflichtungen im Detail
Der Rahmen umfasst fünf Verpflichtungen. Jede entspricht einer FATF-Empfehlung und für US-Börsen einer FinCEN-Regel. Ein Compliance-Programm, das nur einen Teil davon abdeckt, besteht die Prüfung nicht. Die ersten zwei und die letzte sind traditionelle Compliance-Infrastruktur. Die mittleren zwei sind die Bereiche, in denen On-Chain-Daten die Hauptarbeit übernehmen.
1. Registrierung und Lizenzierung. Bevor eine Börse Kunden bedienen darf, muss sie sich bei der zuständigen Behörde registrieren. In den Vereinigten Staaten bedeutet das die Registrierung als Gelddienstleistungsunternehmen bei FinCEN sowie das Halten staatlicher Geldtransferlizenz. Das EU-MiCA-Regime und New Yorks BitLicense fügen eigene Genehmigungsschritte hinzu. Ein Betrieb ohne Registrierung ist selbst ein Verstoß, unabhängig von späteren AML-Fehlern. Der GENIUS Act (Public Law 119-27), im Juli 2025 unterzeichnet und vorbehaltlich der FinCEN-Regelgebung ab Januar 2027 wirksam, bringt Emittenten von Zahlungs-Stablecoins unter den Bank Secrecy Act, sodass Börsen, die Stablecoin-Ströme abwickeln, nun im selben AML-Perimeter wie die Emittenten selbst liegen.
2. Sorgfaltspflichten gegenüber Kunden. Die Börse muss ihre Kunden identifizieren, ihr Risiko bewerten und bei Hochrisiko-Beziehungen eine verstärkte Sorgfaltspflicht anwenden. Die Identitätsprüfung ist Teil dieser Säule. Sie bestätigt, wer der Kunde zu sein behauptet. Sie sieht die Transaktion nicht. Ein Kunde kann das Onboarding bestehen und dennoch eine Einzahlung tätigen, deren Mittel aus einem Mixer stammen, da Identität und Geldfluss unterschiedliche Objekte sind.
3. Transaktionsmonitoring. Die Börse muss die laufende Aktivität kontinuierlich auf verdächtige Muster überwachen. Im Kryptobereich bedeutet das, die Adressen zu screenen, mit denen sie interagiert, sowie die Transaktionen, die ihre Wallets berühren – nicht nur die Kundendatei. Das Risiko verändert sich nach dem Onboarding, daher muss das Monitoring kontinuierlich und in Echtzeit erfolgen. Eine am Montag freigegebene Adresse kann bis Donnerstag mit illegalen Aktivitäten in Verbindung gebracht werden, und eine Einzahlung am Freitag kann Mittel enthalten, die drei Hops zurück sauber und an der Quelle kontaminiert wurden.
4. Verdachtsmeldungen. Wenn das Monitoring Aktivitäten kennzeichnet, die wie Geldwäsche oder Terrorismusfinanzierung aussehen, muss die Börse einen Bericht einreichen. In den Vereinigten Staaten handelt es sich dabei um einen Suspicious Activity Report. Andere Jurisdiktionen nennen ihn Suspicious Transaction Report. In den USA beträgt das SAR-Einreichungsfenster 30 Kalendertage ab der ersten Entdeckung (bis zu 60, wenn der Verdächtige nicht identifiziert ist). Andere Jurisdiktionen haben engere Fristen – Hongkong verlangt die Einreichung innerhalb von 24 Stunden. Der Bericht muss ausreichend Beweise enthalten, um einen Prüfer zu überzeugen.
5. Aufzeichnungspflichten. Die Börse muss die Unterlagen aufbewahren, die belegen, dass sie die ersten vier Verpflichtungen erfüllt hat. Nach dem US Bank Secrecy Act bedeutet das, CDD-Akten, Monitoring-Protokolle und eingereichte Berichte fünf Jahre lang aufzubewahren. Prüfer werten fehlende Unterlagen als fehlende Kontrolle. Die Aufbewahrungsfrist überdauert die Kundenbeziehung, sodass die Protokolle noch lange nach dem Verschwinden der Wallet prüfbar sein müssen.
| # | VASP-Verpflichtung | Regulatorische Grundlage | On-Chain-Monitoring-Abdeckung |
|---|---|---|---|
| 1 | Registrierung & Lizenzierung | FinCEN MSB (31 CFR Ch. X), staatliche MTL, EU MiCA, NY BitLicense | Institution (Rechtsberatung) |
| 2 | Sorgfaltspflichten gegenüber Kunden (Identität) | FATF Rec 10 (CDD) | Institution (CDD-Anbieter) |
| 3 | Transaktionsmonitoring | FATF Rec 10 (laufende CDD) + Rec 15 (RBA für VASPs) + Rec 20 (STR) | Phalcon Compliance: KYA + KYT |
| 4 | Verdachtsmeldungen | FinCEN SAR / STR | Phalcon Compliance: STR-Export für mehrere wichtige Jurisdiktionen |
| 5 | Aufzeichnungspflichten | BSA 5-Jahres-Aufbewahrung | Phalcon Compliance Screening-Protokoll speist diese |
Die fünf Verpflichtungen sind die VASP-Perspektive. Sie beschreiben, was die Börse tun muss. Sie unterscheiden sich von den internen Säulen eines AML-Programms, die Richtlinien, einen designierten Compliance-Beauftragten, Schulungen, unabhängige Prüfungen und das CDD-Programm selbst umfassen. Diese Programmansicht ist eine separate Frage für eine separate Lektüre. Hier bleibt der Fokus auf den Verpflichtungen, die die Börse erfüllen muss.
Die Transaktionsmonitoring-Säule umsetzen
Von den fünf Verpflichtungen sind Transaktionsmonitoring und Verdachtsmeldungen die zwei, die auf On-Chain-Daten angewiesen sind, die eine Börse nicht mit Bankwerkzeugen lesen kann. Phalcon Compliance deckt diese zwei Säulen mit KYA und KYT ab. Es bietet keine CDD-Identitätsprüfung, Registrierungs- oder Lizenzierungsberatung oder Aufzeichnungsinfrastruktur. Der Geltungsbereich ist die Monitoring- und Screening-Schicht.
KYA, oder Know Your Address, prüft eine Wallet-Adresse auf AML- und CFT-Risiken anhand einer beschrifteten Adressdatenbank und des Interaktionsgraphen um sie herum. KYT, oder Know Your Transaction, prüft jeden Token-Transfer innerhalb einer Transaktion, verfolgt den Geldfluss in Einzahlungs- oder Auszahlungsrichtung und weist ein Risikoniveau zu. Zusammen beantworten sie zwei verschiedene Fragen. KYA beantwortet, was die Adresse ist. KYT beantwortet, was die Transaktion tut.
Die Risikomaschine hinter beiden Screens verwendet 17 Risikoindikatoren, von Sanktioniert und Terrorismusfinanzierung bis zu Mixing, Ransomware und FATF-Graulistenjurisdiktion. Jede geprüfte Adresse oder Überweisung landet in einem von sechs Risikoniveaus, von Kritisch über Hoch, Mittel, Niedrig und Informativ bis Kein Risiko. Die Niveaus sind konfigurierbar, sodass ein Team jede Stufe seiner eigenen internen Richtlinie und Risikobereitschaft zuordnen kann. Standardmäßige Engines basierend auf FATF-Leitlinien werden mitgeliefert und können bearbeitet werden, um dem risikobasierten Ansatz der Börse zu entsprechen.
Wenn ein Screen eine Überweisung kennzeichnet, wird über die gewählten Kanäle des Teams ein Alert ausgelöst. Der Analyst bestätigt die Exposition und exportiert einen Verdachtstransaktionsbericht für diese Überweisung, wobei die Einzahlungs- oder Auszahlungsrichtung beim Screening angegeben wird. Dieser Bericht ist auf die wichtigsten regulatorischen Jurisdiktionen abgestimmt und kann über eine regionsspezifische Vorlage zur direkten Einreichung exportiert werden. Der exportierte STR ist der Beweis für die Berichtssäule. Das Screening-Protokoll speist die Aufzeichnungssäule. Ein Werkzeug schließt zwei Verpflichtungen.
Die drei Säulen, die BlockSec nicht abdeckt, sind traditionelle Compliance-Infrastruktur. Eine Börse bezieht die Registrierung von Rechtsberatern, die Identitätsprüfung von einem CDD-Anbieter und die Aufzeichnungsaufbewahrung von einem Aufzeichnungssystem. Die Monitoring- und Berichtssäulen sind die Bereiche, in denen On-Chain-natives Tooling seinen Platz verdient, da die Daten, auf die diese Säulen reagieren müssen, auf der Blockchain leben. Den operativen Leitfaden zur Ausführung von KYT über den Transaktionslebenszyklus einer Börse finden Sie im KYT Compliance-Leitfaden.
Vom Rahmen zur Aktion
Eine Definition ist der Einstiegspunkt, nicht das Ziel. Sobald ein Compliance-Team die fünf VASP-Verpflichtungen benennen kann, besteht der nächste Schritt darin, sie umzusetzen. Zwei Wege helfen dabei. Um den vollständigen AML-Compliance-Rahmen und die Plattform hinter der Monitoring-Säule zu lesen, besuchen Sie Phalcon Compliance. Um von der Definition zur Implementierung an einer Börse überzugehen, folgen Sie dem KYT-Compliance-Implementierungsleitfaden für Kryptobörsen.
Nordamerikanische Börsen sollten die FinCEN-MSB-Registrierung und die staatliche Geldtransferlizenzstufe zuerst abwägen, da der Betrieb ohne diese ein eigenständiger Verstoß ist. Die Monitoring- und Berichtssäulen kommen als nächstes, und sie sind diejenigen, die mit dem On-Chain-Volumen skalieren.
Häufig gestellte Fragen
Was ist AML-Compliance für eine Kryptobörse? Es ist die Gesamtheit der fünf VASP-Verpflichtungen, die eine Börse kontinuierlich erfüllen muss: Registrierung und Lizenzierung, Sorgfaltspflichten gegenüber Kunden, Transaktionsmonitoring, Verdachtsmeldungen und Aufzeichnungspflichten.
Sind die fünf VASP-Verpflichtungen dieselben wie die fünf Säulen eines AML-Programms? Nein. Die VASP-Verpflichtungen beschreiben, was die Börse tun muss. Die Säulen des AML-Programms beschreiben, wie ihre Compliance-Abteilung aufgebaut ist. Dieser Artikel behandelt die Verpflichtungen.
Zählt KYC als separate Verpflichtung? Nein. Die Identitätsprüfung ist der Schritt innerhalb der Sorgfaltspflichten-Säule gegenüber Kunden. Sie bestätigt, wer der Kunde ist. Sie prüft nicht die Transaktion.
Welche Verpflichtungen deckt das On-Chain-Monitoring ab? Transaktionsmonitoring und Verdachtsmeldungen. Adress- und Transaktions-Screening lesen die Blockchain, und der exportierte STR ist der Bericht.
Wie lange muss eine US-Börse AML-Unterlagen aufbewahren? Fünf Jahre gemäß dem Bank Secrecy Act. Die Aufbewahrung umfasst CDD-Akten, Monitoring-Protokolle und eingereichte Berichte.
