Ein Compliance-Beauftragter gibt eine Wallet-Adresse in eine Suchleiste ein und wartet. Die Adresse war im letzten Quartal bei einer Hintergrundprüfung unauffällig, doch die Gegenparteilandschaft rund um sie verändert sich mit jedem Block. Was der Beauftragte braucht, ist keine weitere Identitätsdatei. Was er braucht, ist eine Risikobewertung der Adresse selbst, schnell genug zurückgegeben, um handeln zu können, bevor die Mittel weiterbewegt werden. Das Krypto-Adress-Risikoscreening ist genau diese Bewertung. Sie übermitteln eine einzelne Wallet-Adresse. Das System gleicht sie mit einer Datenbank bekannter Adressen ab, prüft sie gegen einen festen Satz von Risikoindikatoren und gibt ein Risikoniveau mit einer Exponierungszahl zurück, auf deren Basis das Team handeln kann.
Was Krypto-Adress-Risikoscreening tatsächlich bedeutet
Krypto-Adress-Risikoscreening ist die einmalige AML- und CFT-Risikobewertung einer einzelnen Wallet-Adresse. Sie übermitteln eine Adresse, das System wertet sie gegen alle aktiven adressbasierten Risikomodule aus und gibt ein Risikoniveau mit Exponierungswerten zurück. Screening überprüft nicht, wer der Kunde ist. Es liest das Risikoprofil der Adresse selbst, als Momentaufnahme zum Zeitpunkt der Abfrage.
Das Schlüsselwort ist einmalig. Screening beantwortet eine punktuelle Frage: Wie hoch ist das Risiko dieser Adresse genau jetzt. Ein Compliance-Team führt ein Screening durch, wenn eine Einzahlung ausstehend ist, wenn eine Gegenpartei auftaucht oder wenn ein Analyst eine Adresse zur Überprüfung aufruft. Das Ergebnis ist ein Standbild, kein Feed.
Das unterscheidet Screening von Monitoring. Screening ist eine einzelne Bewertung, ausgelöst durch eine manuelle oder API-Abfrage. Monitoring ist kontinuierlich. Sobald eine Adresse unter Beobachtung gestellt wird, führt das System die Analyse nach einem dynamischen Zeitplan erneut durch und sendet Warnmeldungen, wenn sich das Risikoniveau ändert oder ein neuer Risikoindikator auftaucht – ohne dass jemand die Adresse erneut einreichen muss. Screening ist die Momentaufnahme. Monitoring ist der Live-Feed. Die definitorische Ausführung zur kontinuierlichen Seite findet sich im Leitfaden zum adressbasierten AML-Monitoring.
Screening ist die kleinste Aktionseinheit von Know Your Address, kurz KYA. Es ist der atomare Schritt, auf dem jeder umfassendere AML-Workflow aufbaut. Ein Compliance-Programm kann Tausende von Screenings durchführen, die riskanten eskalieren und eine Teilmenge unter Beobachtung stellen. Aber das Screening ist die Basiseinheit, und sie präzise zu definieren ist der Einstiegspunkt in den restlichen Kontrollstapel. Diese Pflicht ist im risikobasierten Ansatz der FATF verankert, der erwartet, dass ein VASP das Risiko vor einer Transaktion bewertet. Das Adress-Screening ist die kleinste Einheit, die dieser Anforderung auf der Wallet-Ebene gerecht wird, gemäß der FATF-RBA-Leitlinien für VASPs.
Wie Screening funktioniert: Der Vier-Schritte-Mechanismus
Der Screening-Vorgang gliedert sich in vier aufeinanderfolgende Schritte, und jeder Schritt entspricht einem konkreten Daten- oder Entscheidungsknoten. Der Mechanismus ist nicht abstrakt. Er ist die Produktlogik des KYA-Moduls (Adress-Screening) von Phalcon Compliance, sodass die Definition der Funktionsweise des Screenings zugleich die Definition der Funktionsweise des Produkts ist.
Schritt eins ist die Adresseingabe. Ein Compliance-Analyst übermittelt eine einzelne Adresse über die Adress-Screening-Funktion oder lädt eine CSV-Batch-Datei mit bis zu hundert Adressen pro Datei hoch. Die Adresse wird automatisch gegen alle aktiven adressbasierten Risikomodule im Projekt geprüft. Es ist keine Modulauswahl zum Zeitpunkt der Abfrage erforderlich, da die Adresse den vollständigen aktiven Satz durchläuft.
Schritt zwei ist der Abgleich mit der Label-Bibliothek. Die übermittelte Adresse wird mit der von BlockSec verifizierten Adressdatenbank abgeglichen, die mehr als 600 Millionen beschriftete Adressen enthält. Labels werden vom System generiert und sind unveränderlich; sie stammen aus dieser verifizierten Datenbank, sodass ein Analyst ein Label nicht manuell bearbeiten kann, um ein Ergebnis abzumildern. Ein Label kann beispielsweise eine bekannte Exchange-Hot-Wallet oder einen erkannten illegalen Dienst kennzeichnen. Neben Labels trägt die Adresse auch Tags. System-Tags, wie „sanktioniert" oder „Mixer", sind unveränderlich. Benutzerdefinierte Tags sind bearbeitbar, mit einer Obergrenze von fünf Tags pro Adresse insgesamt.
Schritt drei ist der Risikoindikator-Treffer. Die Risk Exposure Engine bewertet, ob die Adresse mit einem der siebzehn Risikoindikatoren in Verbindung steht. Der vollständige Indikatorensatz:
-
Sanktioniert
-
Angriff
-
Betrug
-
Ransomware
-
Kindesmissbrauchsmaterial
-
Geldwäsche
-
Mixing
-
Dark Market
-
Darkweb-Geschäft
-
Gesperrt
-
Glücksspiel
-
Exchange ohne KYC
-
Terrorismusfinanzierung
-
FATF-Graulistenjurisdiktion
-
FATF-Hochrisikojurisdiktion
-
Menschenhandel
-
Drogenhandel
Die Engine wertet drei Vorlagen aus: Entity, ein Risikolabel auf der Adresse selbst; Interaction, eine Verbindung zu einer bekannten Risikoentität im Interaktionsgraph; und Blacklist, eine direkte Transaktion mit einer auf der schwarzen Liste stehenden Adresse.
Schritt vier ist die Risikobewertung und die Ausgabe der Exponierung. Die Adresse wird einem von sechs Risikoniveaus zugeordnet, von Kritisch abwärts über Hoch, Mittel, Niedrig und Informativ bis Kein Risiko. Neben dem Niveau gibt die Engine den Exponierungswert zurück. Das ist der gesamte USD-Wert der Vermögenswerte, die aus einer Risikoquelle stammen oder jemals mit ihr interagiert haben. Sie gibt auch den Exponierungsprozentsatz zurück, den Anteil kontaminierter Vermögenswerte am gesamten Zu- oder Abflusswert der Adresse. Das Niveau sagt dem Team, wie schwerwiegend. Die Exponierungswerte sagen ihnen, wie viel.
Diese vier Schritte – von der Eingabe bis zur Exponierungsausgabe – sind das, was der Begriff Adress-Risikoscreening in der Praxis bezeichnet. Um zu sehen, wie dieselbe Pipeline in einem Wallet-Screening-Workflow läuft, findet sich die operative Beschreibung auf der Seite Krypto-Wallet-Screening.
Risikoniveaus und die siebzehn Risikoindikatoren
Die Ausgabe eines Screenings ist zweidimensional. Eine Achse ist der Schweregrad, erfasst durch die sechs Risikoniveaus. Die andere ist die Kategorie, erfasst durch die siebzehn Risikoindikatoren. Zusammen teilen sie einem Compliance-Beauftragten sowohl die Schwere als auch die Art des Risikos mit.
Die Bedeutung jedes Risikoniveaus in Bezug auf Richtlinien wird von der Organisation selbst definiert, konfiguriert entsprechend ihrem internen Compliance-Programm und ihrer Risikobereitschaft. Die Plattform liefert den Rahmen. Das Team legt die Schwellenwerte fest.
Die siebzehn Risikoindikatoren sind der feste Kategoriesatz, der im Abschnitt zum Mechanismus oben aufgeführt ist. Für eine detailliertere Erläuterung, wie jeder Indikator einem Risikoniveau zugeordnet wird, siehe unsere Vertiefung zum Adress-Screening.
Zwei Überschreibungsmechanismen liegen über der Standard-Engine. Eine auf der schwarzen Liste stehende Adresse wird automatisch als Kritisch eingestuft und umgeht das Standard-Risikoscreening. Jede Adresse, die direkt mit einer auf der schwarzen Liste stehenden Adresse Transaktionen durchführt, wird ebenfalls als Kritisch markiert. Eine auf der weißen Liste stehende Adresse wird automatisch als Kein Risiko eingestuft und umgeht ebenfalls die Standard-Engine. Diese Überschreibungen sind harte Überschreibungen, keine Empfehlungen. Sie ermöglichen es einem Compliance-Team, eine bekannte schlechte oder bekannte gute Adresse festzupinnen, sodass kein zukünftiges Screening sie durch den normalen Regelweg abschwächt oder eskaliert.
Vom Screening zum kontinuierlichen Monitoring
Die Definition ist der Einstiegspunkt. Sobald ein Compliance-Team benennen kann, was ein Screening ist, wie die vier Schritte ablaufen und was die sechs-mal-siebzehn Ausgabe bedeutet, stellt sich die nächste Frage: Was passiert nach der Momentaufnahme? Eine heute freigegebene Adresse kann nächste Woche mit illegalen Aktivitäten in Verbindung gebracht werden. Ein einmaliges Screening erfasst diese Veränderung nicht. Der natürliche nächste Schritt ist, die Adresse unter Beobachtung zu stellen. Das System führt dann die Analyse nach einem dynamischen Zeitplan erneut durch und benachrichtigt das Team, wenn sich das Risikoniveau ändert oder ein neuer Indikator auftaucht – ohne manuelle erneute Abfrage. Im nordamerikanischen Kontext ist das Adress-Screening auch die Mindestmaßnahme, die die OFAC-Sanktionsscreening- und FinCEN-AML-Programmanforderungen auf der Wallet-Ebene erfüllt, bevor eine Einzahlung gutgeschrieben wird.
Die kontinuierliche Seite ist eine separate Definition, die in der Monitoring-Beschreibung behandelt wird. Für eine eingehendere Lektüre darüber, wie das KYA-Screening in den umfassenderen AML- und CFT-Compliance-Stack passt, befindet sich die Hauptressource im Phalcon Compliance-Hub.
Häufig gestellte Fragen
Ist Krypto-Adress-Risikoscreening dasselbe wie Monitoring?
Nein. Screening ist eine einmalige Risikobewertung einer einzelnen Adresse, ausgelöst durch eine manuelle oder API-Abfrage. Monitoring ist kontinuierlich. Einmal aktiviert, führt das System die Analyse nach einem dynamischen Zeitplan erneut durch und sendet Warnmeldungen bei Risikoänderungen, ohne die Adresse erneut einzureichen.
Was ist die kleinste Screening-Einheit für eine Adresse?
Eine einzelne Wallet-Adresse. Ein Analyst kann jeweils eine Adresse screenen oder eine CSV-Batch-Datei mit bis zu hundert Adressen pro Datei hochladen. Jede Adresse wird automatisch gegen alle aktiven adressbasierten Risikomodule im Projekt geprüft.
Was messen Exponierungswert und Exponierungsprozentsatz?
Der Exponierungswert ist der gesamte USD-Wert der Vermögenswerte, die aus einer Risikoquelle stammen oder jemals mit ihr interagiert haben. Der Exponierungsprozentsatz ist der Anteil kontaminierter Vermögenswerte am gesamten Zu- oder Abflusswert der Adresse. Der erste Wert zeigt, wie viel exponiert ist. Der zweite zeigt den Anteil.
Wie wirken sich Blacklist- und Whitelist-Adressen auf das Screening aus?
Eine auf der schwarzen Liste stehende Adresse wird automatisch als Kritisch eingestuft und umgeht die Standard-Risikoengine. Jede Adresse, die direkt mit einer auf der schwarzen Liste stehenden Adresse Transaktionen durchführt, wird ebenfalls als Kritisch markiert. Eine auf der weißen Liste stehende Adresse wird automatisch als Kein Risiko eingestuft und umgeht ebenfalls die Standard-Engine. Beide sind harte Überschreibungen, keine Empfehlungsregeln.
