Krypto-Zahlungssystem-Architektur: Die 6 Schichten und wie Geld durch sie fließt

Wenn Sie eine Krypto-Zahlungsinfrastruktur aufbauen, ist es verlockend, sie als eine einzige Sache zu betrachten: ein System, das Stablecoins von A nach B bewegt. In der Praxis sind diese „eine Sache" sechs verschiedene Schichten, die übereinander gestapelt sind, jede mit ihrer eigenen Aufgabe und ihrer eigenen Sicherheitsgrenze – und zwei verschiedene Geldflüsse, die über sie alle verlaufen.

Es hilft auch, gängige Missverständnisse zwischen den Schichten frühzeitig auszuräumen. Ein Beispiel: die Annahme, dass MPC-Signing allein eine Wallet zur selbst verwahrten Wallet macht – dabei hängt die Verwahrung tatsächlich davon ab, wer die Schlüsselanteile hält, die zur Erfüllung des Signing-Schwellenwerts benötigt werden, und nicht davon, mit welcher Technik der Schlüssel aufgeteilt wurde. Ein weiteres: Ein Kunde, der Sie bezahlt, und Sie, der jemand anderen bezahlt, sehen gleich aus – eine Stablecoin-Überweisung. Das sind sie nicht. Sie zu verwechseln – eine Auszahlung wie eine Einzahlung zu behandeln oder eine Prüfung zu überspringen, weil „es sich ja nur um eine Zahlung handelt" – ist der Grund, warum belastete Gelder gutgeschrieben werden oder eine Zahlung ausgeht, bevor sie jemand hätte genehmigen sollen.

Wir erläutern dies als Teil unseres umfassenderen Playbooks für Krypto-Zahlungssicherheit und Compliance, desselben Sechs-Schichten-Modells, das diese Serie verwendet, um die Verantwortlichkeit und Sicherheitsgrenze jeder Schicht zu kartieren.

Hier sind die einzelnen Schichten: das Blockchain- und Stablecoin-Fundament, die Wallet- und Verwahrungsschicht, On-Ramp/Off-Ramp, die Geschäftslogik, Compliance und die Anwendungsschicht – zusammen mit der jeweils relevanten Sicherheitsgrenze. Anschließend gehen wir beide Geldflüsse Schritt für Schritt durch und benennen die Checkpoints, die leicht falsch gebaut werden.

1. Das Blockchain- und Stablecoin-Fundament

Die Blockchain-Schicht ist die Grundlage des gesamten Zahlungssystems und die Hauptquelle vieler Vorteile von Stablecoins.

Was sie von einer Banküberweisung unterscheidet, ist einfach: Wertübertragung und Clearing/Settlement finden auf demselben, allgemein akzeptierten Ledger statt. Im traditionellen Finanzwesen sind Übertragung und Clearing zwei separate Schritte, die von verschiedenen Intermediären durchgeführt werden, gefolgt von einer institutions­übergreifenden Abstimmung. Auf einer Blockchain ist eine bestätigte Übertragung ein abgeschlossenes Settlement – es gibt keinen separaten Clearing-Schritt und keine nachträgliche Abstimmung. Dieser Mechanismus „gemeinsames Ledger, Übertragung gleich Settlement" ist genau das, was minutengenaue Finalität, Disintermediation, 24/7-Verfügbarkeit und Rückverfolgbarkeit liefert.

Auf diesem gemeinsamen Ledger ist ein Stablecoin ein vom Emittenten geprägter ERC-20-Token, der Admin-Funktionen hinzufügt – mint, burn, blacklist und pause – die ihn daran hindern, ein vollständig dezentrales Asset zu sein, da der Emittent die Kontrolle über den Token behält. Was diese Emittentenkontrolle für ein Unternehmen bedeutet, erläutern wir in stablecoin payments explained.

Multi-Chain und Cross-Chain

Stablecoins existieren auf vielen Chains, jede mit ihrer eigenen Nische. Ethereum ist der Standard für DeFi und institutionelles Settlement, Solana eignet sich für Zahlungen mit hohem Durchsatz, TRON dominiert preisgünstige Überweisungen und Schwellenmärkte, und L2s wie Base und Arbitrum bieten kostengünstige Zahlungskanäle. Stand Mai 2026 hält Ethereum etwa 52 % des Stablecoin-Angebots und TRON etwa 28 % – keine einzelne Chain dominiert vollständig, daher benötigen die meisten Unternehmen letztendlich Multi-Chain-Unterstützung.

Wenn Sie Stablecoins zwischen Chains bewegen müssen, sind drei Ansätze üblich: Drittanbieter-Bridges, das native Cross-Chain-Protokoll eines Emittenten (wie Circles CCTP, das Burn-and-Mint für native USDC-Transfers verwendet) oder der Wechsel zwischen Chains über Ein- und Auszahlungen bei einer zentralisierten Börse. Cross-Chain ist keine Kernfunktion eines Zahlungssystems – wählen Sie je nach Bedarf. Entscheidend ist die Sicherheit jedes Ansatzes: Drittanbieter-Bridges und ihre gesperrten Liquiditätspools waren schon lange hochwertige Angriffsziele, während der Börsenweg Gegenpartei- und Einfrierrisiken mit sich bringt.

2. Die Wallet- und Verwahrungsschicht

Die Wallet- und Verwahrungsschicht verwaltet die Aufbewahrung und das Signing von Geldern und ist der Kern der Zahlungssystemsicherheit.

Die erste Entscheidung hier: Halten Sie die Schlüssel selbst, oder übergeben Sie sie an einen Dritten?

• Selbstverwahrung – die Schlüssel, die zur Erfüllung des Signing-Schwellenwerts benötigt werden, liegen vollständig in Ihren eigenen Händen, egal ob Sie private Schlüssel direkt halten oder MPC verwenden, um den Schlüssel als Anteile auf Ihre eigenen Mitarbeiter und Infrastruktur zu verteilen. Keine externe Partei kann allein Gelder bewegen. Der Vorteil ist keine Abhängigkeit von einem Dritten und kein Gegenparteirisiko; der Nachteil ist, dass die gesamte Sicherheitsverantwortung bei Ihnen liegt und ein verlorener oder gestohlener Schlüssel oder Anteil bedeutet, dass die Gelder unwiederbringlich verloren sind.
• Drittanbieter- (zentralisierte/qualifizierte) Verwahrung – ein lizenzierter Verwahrer hält die Schlüssel oder die Anteile, die den Schwellenwert erfüllen, und Sie verwalten Gelder über Konten und APIs. Sie lagern die Schlüsselsicherheit an Spezialisten aus, in der Regel mit Versicherungs- und Compliance-Zertifizierungen und geringerem Betriebsaufwand, auf Kosten des Gegenparteirisikos (der Verwahrer wird gehackt, geht in Konkurs oder friert Ihr Konto ein) und teilweisem Kontrollverlust.
• Hybrid-/Co-Verwahrung – Sie und der Verwahrer halten jeweils einen Teil der MPC-Schlüsselanteile, die Anteile keiner Seite reichen allein für das Signing aus, was Kontrolle mit professioneller Verwahrung ausbalanciert.

Ein Missverständnis ist es wert, hier klargestellt zu werden: MPC ist nur eine Technik, die es ermöglicht, dass ein Schlüssel als verteilte Anteile existiert und einen Single Point of Failure eliminiert – sie bestimmt nicht an sich die Art der Verwahrung. Um zu erkennen, welchen Typ Sie tatsächlich haben, schauen Sie auf eine Sache: wer die Schlüsselanteile hält, die zur Erfüllung des Signing-Schwellenwerts benötigt werden.

Weder Selbstverwahrung noch Drittanbieterverwahrung ist streng besser. Viele Zahlungsunternehmen entscheiden sich für eine Hybridstrategie: selbst verwahrte Hot Wallets für Schnelligkeit und Drittanbieterverwahrung oder Co-Verwahrung für große Reserven.

Die Drei-Stufen-Wallet-Architektur

Es ist auch leicht, die Temperatur einer Wallet (hot / warm / cold) mit ihrem Autorisierungsmodell (MPC / Multisig) zu verwechseln – aber das sind zwei unabhängige Dimensionen. Die Temperatur entscheidet, ob die Wallet online ist und wie schnell Gelder bewegt werden können; das Autorisierungsmodell entscheidet, wie viele Parteien signieren müssen. Die Branchenpraxis kombiniert beides in einer dreistufigen Struktur:

Getrennt von der Schlüsselaufbewahrung gibt es eine verwandte Frage: Wie verwalten Sie Empfangsadressen? HD-Wallets (Hierarchical Deterministic) lösen dies, indem sie für jeden Empfang eine eindeutige Adresse generieren, die Gelder isoliert halten, um Querkontamination zu vermeiden – was für die KYT-Risikosteuerung und Fondsverfolgung relevant ist. Wie HD-Ableitung, Selbstverwahrung, MPC und Multisig zusammenpassen, erläutern wir ausführlicher in crypto payment key management.

3. Die On-Ramp-/Off-Ramp-Schicht

Die On/Off-Ramp-Schicht ist die Brücke zwischen dem traditionellen Finanzwesen und der On-Chain-Welt.

• On-Ramp (Fiat → Stablecoin) – ein Nutzer zahlt in Fiat per Banküberweisung oder Karte, durchläuft KYC, und dann prägt der Emittent den Stablecoin oder der Nutzer kauft ihn über eine Börse.
• Off-Ramp (Stablecoin → Fiat) – der Stablecoin wird verbrannt oder über eine Börse verkauft, und Fiat wird dem Nutzer über eine Bank ausgezahlt.

Drei Ramp-Kanäle sind üblich, jeder mit unterschiedlichen Kosten und Hürden:

• Direktes Emittenten-Mint/Burn – geringste Kosten, da Prägung und Einlösung in der Regel kostenlos oder nahezu kostenlos sind und Banküberweisungsgebühren die Hauptkosten darstellen, erfordert jedoch in der Regel institutionellen Status und Compliance-Zertifizierungen.
• Börsein- und -auszahlungen – geringe Hürde und breite Coin-Abdeckung, aber höhere Kosten (Karte ist der teuerste Kanal, Banküberweisung günstiger), und es entsteht das Gegenpartei- und Einfrierrisiko der Börse.
• OTC-Desks – für große, institutionelle Konvertierungen, die zu einem ausgehandelten Kurs bewertet werden, mit Spreads, die nach Handelsgröße und Liquidität festgelegt werden, in der Regel enger als Einzelhandelskanäle für große Beträge. OTC-Desks arbeiten rund um die Uhr, unterstützen Wire/SWIFT und setzen am selben Tag ab, was sie zur Arbeitspferd für große Ramps macht.

Der Haken dabei: Die On-Chain- und Fiat-Teilstrecken einer Ramp laufen auf verschiedenen Uhren. Das On-Chain-Settlement kann minutengenau sein, aber die Fiat-Teilstrecke ist immer noch an die Betriebszeiten und Fristen von SWIFT, SEPA und lokalem Clearing gebunden – daher wird die tatsächliche Geschwindigkeit einer Ramp durch die langsamere Fiat-Teilstrecke bestimmt, nicht durch die schnellere. Auf der Compliance-Seite ist die Ramp das wichtigste Tor für KYC/KYB, Sanktionsscreening und Herkunftsprüfung der Mittel, die alle stattfinden müssen, bevor Gelder freigegeben werden. Die weiter unten beschriebenen Einzahlungs- und Auszahlungsdurchläufe verfolgen die Screening-Checkpoints innerhalb jedes Flusses.

4. Die Geschäftslogikschicht

Die Geschäftslogikschicht verpackt die zugrundeliegenden Fähigkeiten in ein tatsächliches Zahlungsprodukt. Ihre Hauptkomponenten:

• Zahlungs-Routing-Engine – wählt automatisch den optimalen Pfad basierend auf Coin, Chain, Betrag und Gaspreis.
• FX-Engine – Echtzeit-Kurse, Slippage-Kontrolle, Preisfenster.
• Rechnungsstellung und Auftragsmanagement – Erstellung von Zahlungsanforderungen, Statusverfolgung, Timeout-Behandlung.
• Abstimmung und Settlement – automatische Zuordnung von On-Chain-Transaktionen zu Geschäftsaufträgen mit Behandlung von Abweichungen.

Wenn Ihr Unternehmen mehr tut als eine Transaktion durchzuleiten – wenn Sie Kundenguthaben verwahren und halten und damit bankähnliche Funktionen übernehmen – benötigt diese Schicht auch Kontrollen für Auszahlungsgenehmigungen. Kundenauszahlungen durchlaufen Risikogenehmigung, Limits und Mehrpersonenprüfung; Kundenmittel werden von Ihren eigenen Betriebsmitteln getrennt; und die Solvenz ist jederzeit gewährleistet, d. h. es gibt immer eine entsprechende Reserve für das, was Kunden abheben können. Das ist sowohl eine Risikomanagementpraxis als auch in den meisten Ländern und Regionen eine Compliance-Anforderung für das Halten von Kundenmitteln.

5. Die Compliance-Schicht

Die Compliance-Schicht erstreckt sich über jede Transaktion und greift in Echtzeit ein, während eine Transaktion stattfindet, anstatt sie nachträglich zu überprüfen. Ihre Funktionen umfassen KYC/KYB (Kunden-Onboarding), KYT (Echtzeit-Transaktionsüberwachung), Sanktionsscreening und SAR (Meldung verdächtiger Aktivitäten). Wie diese Funktionen tatsächlich funktionieren – und das Stablecoin-Einfrierrisiko, das damit einhergeht – erläutern wir in on-chain compliance for crypto payments.

6. Die Anwendungsschicht

Die Anwendungsschicht ist die Schnittstelle für Endnutzer und Händler: Händler-SDKs, Zahlungsseiten, Admin-Konsolen und API-Gateways. Es gibt hier zwei Bereitstellungsmodelle – nur Software, bei dem das Unternehmen Banken und On-Chain-Knoten selbst integriert, und gebündelte Rails, bei denen eine Plattform einen All-in-One-Service bereitstellt.

Der Einzahlungsfluss: Von der Zahlungsanforderung bis zum Settlement

Mit den vorhandenen Schichten hier ist, wie Geld tatsächlich über sie fließt. Ein vollständiger Stablecoin-Empfangsfluss funktioniert so:

1. Der Händler erstellt eine Zahlungsanforderung über die API.
2. Das System generiert eine HD-abgeleitete Adresse – eine eindeutige Adresse pro Empfang.
3. Der Nutzer überweist Stablecoin an diese Adresse.
4. Das System überwacht On-Chain und wartet auf 3–6 Block-Bestätigungen (Schutz vor Doppelausgaben).
5. KYT-Risikobewertung bewertet das Risiko der sendenden Adresse und ihres Pfades.
6. Sobald das Risiko bestätigt ist, wird die Zahlung gutgeschrieben.
7. Sweep: Die über abgeleitete Adressen verteilten Gelder werden in einer Sammel-Wallet zusammengeführt und dann gemäß Richtlinie dem operativen (Hot-)- oder Reserve-(Cold-)Pool zugeteilt.
8. Optional: Die Gelder werden automatisch konvertiert und in Fiat oder einer anderen Währung abgerechnet.
9. Der Händler wird per Webhook benachrichtigt.

Jeder dieser Schritte ist für sich genommen ein Sicherheits-Checkpoint: Die Bestätigungsanzahl ist der wichtigste Parameter gegen Doppelausgaben, der KYT-Risiko-Score entscheidet, ob die eingehenden Gelder überhaupt akzeptiert werden, und der Sweep entscheidet, in welchem Risikozustand diese Gelder in den Hauptpool eintreten.

Wenn Sie sehen möchten, was eine bestimmte On-Chain-Transaktion tatsächlich getan hat, bevor sie gutgeschrieben oder gesweept wird, ermöglicht ein Tool wie Phalcon Explorer den direkten Einblick in Transaktionsdetails.

Der Sweep-Schritt ist leicht falsch zu machen

Dieser Schritt wird leicht übersehen, ist aber wichtig. Jeder Empfang landet in einer separaten abgeleiteten Adresse, und das Geld konsolidiert sich nicht von selbst – Sie müssen es aktiv in eine Sammel-Wallet sweepen. Hier sind zwei Dinge richtig zu machen.

Erstens, erneutes Screening vor dem Sweep. Obwohl die eingehenden Gelder beim Gutschreiben bereits KYT bestanden haben, ist der Sweep das Tor, durch das Gelder in den Hauptpool eintreten, und hochriskante Gelder sind schwer zu isolieren, sobald sie vermischt sind – also erneut bestätigen, bevor sie hineingehen.

Zweitens, Gas-Management. Eine abgeleitete Adresse enthält normalerweise nur Stablecoin und kein natives Token für Gas, daher benötigt der Sweep eine Gas-Station oder einen Gebühren-Sponsoring-Mechanismus, um Gas aufzuladen – sonst stecken die Gelder in der abgeleiteten Adresse fest.

Der Auszahlungsfluss: Warum Senden riskanter ist als Empfangen

Senden ist riskanter als Empfangen, da Gelder irreversibel sind, sobald sie On-Chain gesendet wurden. Ein vollständiger Auszahlungsfluss funktioniert so:

1. Eine Massenauszahlungsanforderung wird eingereicht.
2. Sanktionsscreening des Empfängers (KYA).
3. Transaktions-KYT-Prüfung.
4. Oberhalb eines Schwellenwerts wird eine Mehrpersonengenehmigung ausgelöst.
5. MPC-Signing (oder Multisig).
6. Die Transaktion wird On-Chain übertragen.
7. Der Status wird nach On-Chain-Bestätigung aktualisiert.
8. Der Anfragesteller wird per Webhook benachrichtigt.

Wichtige Kontrollen vor dem Abgang der Gelder

Wichtige Kontrollen hier umfassen Ratenlimits (Tages- und Transaktionsobergrenzen), Whitelisting (Auszahlungen nur an vorab genehmigte Adressen) und Mehrpersonengenehmigung (große Transaktionen müssen von mehreren Unterzeichnern bestätigt werden).

Der Zweck dieser Kontrollen ist nicht eine einzelne von ihnen – es ist, dass sie zusammen mehrere Verteidigungslinien aufbauen, bevor Gelder abgehen, sodass selbst wenn ein Insider kompromittiert oder ein System verletzt wird, der Verlust begrenzt ist.

Einige dieser Kontrollen, wie Mehrpersonengenehmigung und MPC-Signing, sind Teil der umfassenderen Praktiken, die ein Zahlungssystem rund um seine Signing-Umgebung benötigt – wir behandeln diese in key management and signing infrastructure.

Die sechs Schichten zusammenführen

Reiht man die sechs Schichten auf – Blockchain- und Stablecoin-Fundament, Wallet und Verwahrung, On-Ramp/Off-Ramp, Geschäftslogik, Compliance und Anwendung – zeichnet sich ein Muster ab: Jede Schicht hat ihre eigene Verantwortlichkeit und ihre eigene Sicherheitsgrenze. Die beiden Geldflüsse schneiden dann alle sechs durch, weshalb ein fehlender Checkpoint in einem der Flüsse als Lücke in einer bestimmten Schicht erscheint und nicht als vages „Zahlungsrisiko". Die Verwechslung einer Schicht mit einer anderen (ein Verwahrungsmodell mit einem Autorisierungsmodell, die On-Chain-Geschwindigkeit einer Ramp mit ihrer tatsächlichen Ende-zu-Ende-Geschwindigkeit) ist der Ort, an dem sich Lücken tendenziell öffnen. Für eine ausführlichere Erläuterung, wie sich diese Grenzen in tatsächliche Kontrollen übersetzen, laden Sie das vollständige Enterprise-Playbook (PDF) herunter.

FAQ

Was sind die sechs Schichten einer Krypto-Zahlungsarchitektur? Das Blockchain- und Stablecoin-Fundament, die Wallet- und Verwahrungsschicht, die On-Ramp-/Off-Ramp-Schicht, die Geschäftslogikschicht, die Compliance-Schicht und die Anwendungsschicht. Jede hat ihre eigene Verantwortlichkeit und Sicherheitsgrenze.

Was ist der Unterschied zwischen Selbstverwahrung und Drittanbieterverwahrung in der Verwahrungsschicht? Bei der Selbstverwahrung liegen die Schlüssel, die zur Erfüllung des Signing-Schwellenwerts benötigt werden, vollständig in Ihren eigenen Händen, sodass keine externe Partei allein Gelder bewegen kann – aber Sie tragen die gesamte Sicherheitsverantwortung. Bei der Drittanbieterverwahrung hält ein lizenzierter Verwahrer die Schlüssel und Sie operieren über Konten und APIs, wobei Sie etwas Kontrolle gegen professionelle Schlüsselsicherheit eintauschen, in der Regel mit Versicherungs- und Compliance-Zertifizierungen.

Macht MPC-Signing eine Wallet zur selbst verwahrten Wallet? Nicht von selbst. MPC ist eine Technik zum Aufteilen eines Schlüssels in verteilte Anteile und zum Eliminieren eines Single Point of Failure – sie bestimmt nicht die Verwahrung. Was die Verwahrung bestimmt, ist, wer die Schlüsselanteile hält, die zur Erfüllung des Signing-Schwellenwerts benötigt werden: ausschließlich das Unternehmen, ausschließlich ein Verwahrer oder aufgeteilt zwischen beiden.

Warum kann eine On-Ramp oder Off-Ramp länger dauern als das On-Chain-Settlement? Weil die On-Chain- und Fiat-Teilstrecken auf verschiedenen Uhren laufen. Das On-Chain-Settlement kann minutengenau sein, aber die Fiat-Teilstrecke ist immer noch an die Betriebszeiten und Fristen von SWIFT, SEPA und lokalem Clearing gebunden, sodass die tatsächliche Geschwindigkeit einer Ramp durch die langsamere Fiat-Teilstrecke bestimmt wird, nicht durch die Blockchain.

Warum ist ein Krypto-Auszahlungsfluss riskanter als ein Einzahlungsfluss? Da Gelder irreversibel sind, sobald sie On-Chain gesendet wurden, führt ein Auszahlungsfluss seine Prüfungen – KYA-Sanktionsscreening, KYT, Genehmigung und Signing – durch, bevor die Transaktion übertragen wird.

Warum muss der Sweep-Schritt erneut gescreent werden, wenn die Gelder bereits KYT bestanden haben? Weil der Sweep das Tor ist, durch das Gelder von einer isolierten abgeleiteten Adresse in den Hauptpool wechseln, und hochriskante Gelder schwer zu isolieren sind, sobald sie vermischt sind – das erneute Bestätigen des Risikos vor dem Sweep, nicht nur beim Gutschreiben, schließt diese Lücke.

Was passiert, wenn eine abgeleitete Adresse kein Gas hat, um den Sweep abzuschließen? Die Stablecoin-Gelder stecken in dieser abgeleiteten Adresse fest, weshalb der Sweep-Schritt eine Gas-Station oder einen Gebühren-Sponsoring-Mechanismus benötigt, um Gas aufzuladen, bevor der Sweep ausgeführt werden kann.