Eine markierte Einzahlung trifft um 02:00 Uhr ein. Sie durchlief drei Hops, bevor sie das Plattform-Wallet erreichte. Identitätsprüfungen beim Onboarding wurden bereits bestanden. Die Frage lautet nicht mehr, für wen der Kunde sich ausgibt. Es geht darum, ob das Institut über ein System verfügt, das diesen Geldfluss erkennt, dokumentiert und meldet. Dieses System ist die Geldwäschebekämpfung. AML ist das Programm, nicht die Straftat.
Was ist Geldwäschebekämpfung (AML)?
Compliance-Beauftragte, die neu in diesem Bereich sind, verwechseln häufig zwei Begriffe, die ähnlich klingen. Geldwäsche ist die Straftat. Sie bewegt illegale Gelder durch Platzierung, Verschleierung und Integration, bis die Herkunft verschleiert ist. Geldwäschebekämpfung ist die Antwort darauf. Es handelt sich um die Gesamtheit der Richtlinien, Kontrollen, Mitarbeiter und Meldepflichten, die ein Institut aufbaut, um diese Straftat zu erkennen, zu unterbinden und zu melden.
AML ist kein einzelnes Werkzeug. Es ist ein risikobasiertes Programm, das Identitätsprüfungen, Transaktionsüberwachung, Aufzeichnungspflichten und Prüfung zu einer einzigen Verpflichtung zusammenführt. Ein Regulierer fragt nicht, ob ein Unternehmen Software gekauft hat. Er fragt, ob das Programm funktioniert. Der risikobasierte Ansatz ist das Rückgrat dieses Programms. Er lenkt eine intensivere Prüfung auf Kunden, Produkte und Geldflüsse, die ein höheres Risiko aufweisen, sodass ein Unternehmen sein Compliance-Budget dort einsetzt, wo eine tatsächliche Gefährdung besteht, anstatt es gleichmäßig auf alle Konten zu verteilen. Für die verhaltensbezogene Seite der Definition siehe, was Geldwäsche selbst bedeutet (unser Leitfaden Was ist Geldwäsche). Dieser Beitrag behandelt das System, das dagegen vorgeht.
Die fünf Säulen eines AML-Programms
Ein AML-Programm stützt sich auf fünf Säulen, die durch die FinCEN-Regel zum Bank Secrecy Act festgelegt sind: interne Richtlinien und Kontrollen, ein benannter Compliance-Beauftragter, laufende Schulungen, unabhängige Prüfung und risikobasierte Kundensorgfaltspflicht. Jede Säule benennt eine Funktion, kein Werkzeug. Die fünf zusammen definieren das Mindestprogramm, das ein erfasstes Institut betreiben muss.
Die vier Kernsäulen gehen auf die BSA-AML-Programmregeln des FinCEN für erfasste Institute zurück – zum Beispiel 31 CFR 1022.210 für Gelddienstleistungsunternehmen und 31 CFR 1020.210 für Banken. Die fünfte Säule – risikobasierte Kundensorgfaltspflicht – wurde durch die CDD-Regel des FinCEN von 2018 unter 31 CFR 1010.230 hinzugefügt. Jede benennt eine Funktion, die das Institut betreiben muss, kein Produkt, das es kaufen muss.
-
Interne Richtlinien, Verfahren und Kontrollen. Das Unternehmen verfasst die Regeln, die festlegen, wie es prüft, eskaliert und dokumentiert. Im Kryptobereich wird die Kontrollschicht On-Chain als Adress-Screening und Transaktionsüberwachung umgesetzt, wobei Wallets und Transfers die Objekte unter der Richtlinie sind.
-
Ein benannter Compliance-Beauftragter. Ein verantwortlicher Eigentümer führt das Programm, reicht Berichte ein und steht dem Regulierer gegenüber. Der Titel ist eine Rolle, keine Einstellung.
-
Laufende Mitarbeiterschulungen. Die Mitarbeiter lernen die Risikoausrichtung, Typologien und Eskalationspfade des Unternehmens. Die Schulung ist kontinuierlich, weil sich die Bedrohung weiterentwickelt.
-
Unabhängige Prüfung oder Tests. Eine Partei, die nicht der geprüften Funktion untersteht, prüft, ob das Programm funktioniert. Unabhängigkeit ist die Absicherung gegen Eigenbeurteilung.
-
Risikobasierte Kundensorgfaltspflicht. Das Unternehmen verifiziert den Kunden, wendet bei hohem Risiko eine erweiterte Sorgfaltspflicht an und überwacht die Beziehung im Zeitverlauf. Diese Säule hat zwei Unterschichten. Die Identitätsschicht ist das institutseigene KYC. Die laufende Überwachungsschicht beobachtet Risiken, die nach dem Onboarding entstehen.
Säule fünf ist der Punkt, an dem das Framework auf die Chain trifft. Die Identitätsprüfung erfolgt einmalig. Die Überwachung läuft für die gesamte Dauer der Beziehung. Wird eine Säule weggelassen, bricht das Programm zusammen: ohne Prüfung kontrolliert niemand die Kontrollen; ohne Schulung übersehen die Mitarbeiter die Signale; ohne Compliance-Beauftragten hat niemand den Fund zu verantworten. Die Säulen sind voneinander abhängig, nicht optional. Den internationalen Standard, der diese Pflichten auf Anbieter virtueller Vermögenswerte überträgt, finden Sie in der FATF-Leitlinie zu virtuellen Vermögenswerten. Die US-amerikanische Regel, die die fünf Säulen festlegt, finden Sie unter FinCEN zur Geldwäsche.
| Säule | Funktion | Krypto-Implementierung | BlockSec-Rolle |
|---|---|---|---|
| 1 | Interne Richtlinien, Verfahren, Kontrollen | Wird On-Chain als Adress-Screening + Transaktionsüberwachung umgesetzt | Screening- & Überwachungsschicht |
| 2 | Benannter Compliance-Beauftragter | Verantwortlicher Eigentümer; unverändert | Institution |
| 3 | Laufende Schulungen | Kontinuierlich; Bedrohung entwickelt sich weiter | Institution |
| 4 | Unabhängige Prüfung | Testet, ob On-Chain-Kontrollen funktionieren | Institution |
| 5 | Risikobasierte CDD | Unterteilt in Identität (einmalig) + laufende Überwachung (kontinuierlich) | Institution verantwortet Identität; Phalcon Compliance führt laufende Überwachung durch (KYA + KYT) |
Warum Krypto-AML schwieriger ist und wo die Überwachung ansetzt
Drei strukturelle Lücken machen es schwieriger, die fünf Säulen On-Chain zu betreiben als im traditionellen Finanzwesen.
Erstens die Zeit. Eine Chain schließt ab in Sekunden. Eine Kontrolle, die nach der Finalität ausgeführt wird, hat kein Zeitfenster. Die Kontrollen aus Säule eins und die Überwachung aus Säule fünf müssen im Moment der Übertragung erfolgen, nicht in einem nächtlichen Batch.
Zweitens die Reichweite. Gelder springen über Chains, Bridges und Mixer. Ein Graph, der beim ersten Hop endet, übersieht das Layering. Die Kontrollen aus Säule eins benötigen einen Tracer, der den Wert über Chains hinweg verfolgt, nicht nur innerhalb eines Ledgers.
Drittens die Identität. Eine Entität hält viele Adressen. Eine Adresse dient vielen Entitäten. Die Identitätsschicht und die On-Chain-Schicht sind entkoppelt. Eine Kontrolle, die nur die Identitätsdatei liest, kann den Geldfluss nicht erkennen.
Phalcon Compliance deckt die Überwachungs- und Screening-Säulen in diesem Stack ab. KYA, oder Know Your Address, prüft das Wallet-Risiko anhand einer Datenbank mit mehr als 600 Millionen bezeichneten Adressen und siebzehn Risikoindikatoren, darunter Sanktioniert, Mixing und FATF-Hochrisikoland. KYT, oder Know Your Transaction, überwacht jeden Transfer in Echtzeit, verfolgt Gelder über Chains mit unbegrenzten Hops hinweg und markiert Layering-Muster durch Verhaltensregeln, die an die FATF-Standardmaschine angelehnt sind. Wenn ein Transfer als verdächtig eingestuft wird, exportiert die Plattform einen Verdachtsmeldebericht, der auf wichtige regulatorische Zuständigkeitsbereiche abgestimmt ist und regionsspezifische Vorlagen für die direkte Einreichung verwendet.
Was Phalcon Compliance nicht tut, ist ebenso klar definiert. Es führt keine Identitätsprüfung durch, die innerhalb der Kundensorgfaltspflicht aus Säule fünf liegt. Es führt keine unabhängige Prüfung gemäß Säule vier durch. Es liefert keine Schulungen gemäß Säule drei. Diese bleiben die eigenen Pflichten des Instituts. Phalcon Compliance ist die Screening- und Überwachungsschicht, die den Rest des Programms speist. Die vollständige Plattformbeschreibung finden Sie unter AML-Compliance-Plattform für Krypto.
Die fünf Säulen in der Praxis
Die fünf Säulen zu benennen ist der Einstiegspunkt. Sie zu betreiben ist die eigentliche Arbeit. Das Institut verantwortet Richtlinie, Beauftragten, Schulung und Prüfung. Die On-Chain-Überwachungs- und Screening-Schicht ist der Bereich, in dem ein Krypto-Compliance-Team am häufigsten ein zweckgebundenes Werkzeug benötigt, weil Säule eins und Säule fünf bei der Übertragung auf die Chain treffen.
Häufig gestellte Fragen
Ist AML dasselbe wie Geldwäsche?
Nein. Geldwäsche ist die Straftat der Verschleierung illegaler Gelder. AML ist das Compliance-Programm, das Institute aufbauen, um diese Straftat zu erkennen, zu unterbinden und zu melden.
Gelten die fünf Säulen nur für Banken?
Nein. Die BSA-AML-Programmregel gilt für eine Reihe erfasster Finanzinstitute. Gemäß FATF-Empfehlung 15 trägt ein VASP gleichwertige Pflichten. Die fünf Säulen sind das Programmgerüst.
Wie verhält sich die CDD aus Säule fünf zu KYT?
CDD hat zwei Unterschichten: Identitätsprüfung und laufende Überwachung. KYT ist die On-Chain-Umsetzung der laufenden Überwachungsunterschicht. Es prüft Transfers und Adressen, keine Identitäten.
Wie oft sollte die unabhängige Prüfung durchgeführt werden?
Die Häufigkeit ist risikobasiert. Es gibt kein festgelegtes gesetzliches Intervall. Die verbindliche Regel ist die Unabhängigkeit: Der Prüfer darf nicht der geprüften Funktion unterstehen.
Für Leser, die die Überwachungssäule in einem echten Workflow eingesetzt sehen möchten, führt unser Leitfaden zur rechtlichen Blockchain-Compliance von diesem Framework in das operative Bild über. Geben Sie eine Adresse auf der Plattform-Startseite ein, um zu sehen, wie ein KYA-Risikoscore erstellt wird.
