Know Your Transaction (KYT): Der umfassende Leitfaden zur Krypto-Transaktionsüberwachung
Jede Einzahlung und jede Auszahlung an einer Kryptobörse verlangt eine Entscheidung, die das Compliance-Team in Echtzeit verantwortet. Genau hier setzt KYT an: Es analysiert jede Transaktion, bewertet ihr Risiko und leitet eine Maßnahme ab, bevor Gelder bewegt werden. Zugleich entstehen Aufzeichnungen, die auch danach einer Prüfung standhalten. Phalcon Compliance, die KYT- und KYA-Engine von BlockSec, vereint Echtzeit-Screening, transparentes Scoring, laufende Überwachung, STR-Export und einen Audit-Trail in einem Workflow. Dieses Wissensportal erklärt KYT als eigenständige Produktdisziplin und zeigt anschließend, wie Sie die Funktionen anhand einer konkreten Plattform bewerten können.
Transaktionen mit Phalcon Compliance prüfen · Die KYT-API entdecken
Dieses KYT-Wissensportal erkunden
Was KYT ist
KYT steht für Know Your Transaction und bezeichnet das Screening von Onchain-Transaktionsrisiken in Echtzeit. Eine KYT-Engine verarbeitet eine Adresse oder Transaktion, analysiert deren Onchain-Verhalten und die Risikoexposition gegenüber Gegenparteien und liefert ein Risikobewertungsergebnis, auf dessen Grundlage ein Compliance-Team unmittelbar handeln kann. Entscheidend ist der vorausschauende Ansatz: KYT greift vor oder während einer Transaktion, nicht erst, wenn die Gelder bereits abgeflossen sind.
KYT, Blockchain-Analyse und Identitätsprüfung im Vergleich
In Gesprächen über Krypto-Compliance werden drei Ebenen oft vermischt. Jede beantwortet jedoch eine andere Frage.
Die Identitätsprüfung bestätigt beim Onboarding, dass ein Dokument zu einer Person gehört. Danach erfasst sie jedoch nicht, was in deren Wallet geschieht. KYT schließt diese Lücke, indem es Transaktionen fortlaufend analysiert. So wird auch eine Adresse erkannt, die beim Onboarding unauffällig war, später aber Verbindungen zu einem Mixer aufweist. Die Blockchain-Analyse verfolgt Gelder nach einem Exploit oder einer Sanktionslistung und erzeugt eine Beweiskette statt einer Echtzeitentscheidung. Ein tragfähiges Programm nutzt alle drei Ebenen.
Warum VASPs KYT brauchen
Beim risikobasierten Ansatz der FATF für Anbieter von Dienstleistungen für virtuelle Vermögenswerte knüpft die Verpflichtung an das Verhalten an, nicht an eine Kennzeichnung. FATF-Empfehlung 10 verlangt von VASPs, Transaktionen laufend zu überwachen und verdächtige Aktivitäten zu erkennen. Empfehlung 11 fordert prüfbare Aufzeichnungen, und Empfehlung 20 verlangt die Meldung verdächtiger Transaktionen an die zentrale Meldestelle für Finanztransaktionsuntersuchungen, die der Überwachung nachgelagert ist. Ein VASP, der Wallet-Adressen prüft, ihr Risiko nachvollziehbar bewertet und jede Bearbeitungsentscheidung dokumentiert, leistet genau diese Arbeit. FinCENs Vorschrift zu AML-Programmen (31 CFR 1022.210) und Vorschrift zur Meldung verdächtiger Aktivitäten (31 CFR 1022.320) machen zusammen mit FinCENs Leitlinien zu virtuellen Währungen von 2019 (FIN-2019-G001) eine laufende Überwachung für Kryptobörsen und andere US-amerikanische Money Services Businesses erforderlich.
Die Abgrenzung zwischen KYT und Travel Rule
Die Travel Rule gemäß FATF-Empfehlung 16 ist eine eigenständige Verpflichtung. KYT entspricht den Empfehlungen 10 und 11: Transaktionen überwachen und prüfbare Aufzeichnungen führen. Als Ergebnisse entstehen ein Risikoscore, eine Bearbeitungsentscheidung und ein Audit-Trail. Die Travel Rule entspricht Empfehlung 16 und verlangt, bei einer Übertragung Angaben zum Auftraggeber und Begünstigten zwischen VASPs zu übermitteln. Wer beides gleichsetzt, riskiert entweder eine Überwachungs- oder eine Übermittlungslücke. Ein VASP, der beiden Pflichten unterliegt, benötigt zwei Kontrollen – eine für jede Verpflichtung.
Was eine KYT-Engine leisten muss
Ein KYT-Produkt beruht auf vier Fähigkeiten. Zusammen bestimmen sie, was ein KYT-Tool leisten muss, um als ernst zu nehmende Lösung zu gelten.
Echtzeit-Screening vor der Transaktion
Eine Fiat-Überweisung lässt sich zurückrufen oder einfrieren; ein bestätigter Blockchain-Transfer nicht. Deshalb ist eine Risikobewertung, die erst nach Ausführung einer Auszahlung eintrifft, ein Bericht und keine Kontrolle. Das Latenzbudget ist knapp: Als praktische Obergrenze gelten wenige Hundert Millisekunden über den gesamten Ablauf. BlockSec gibt für Echtzeit-Einzelprüfungen über die Phalcon Compliance API eine Antwortzeit von unter 100 ms an. Jede interne SLA sollte anhand des eigenen Datenverkehrs gemessen werden. Die Freigabelogik ordnet dem Score eine im Code definierte Bearbeitungsentscheidung zu:
Der größte Teil des Volumens muss unter „Zulassen“ fallen. „Zurückhalten“ erfasst uneindeutige Fälle, und „Blockieren“ leistet die Prävention, die nachträglich nicht mehr möglich ist. Die Stärke liegt in der Prüfkette: Jede Bearbeitungsentscheidung muss Monate später reproduzierbar sein – bis hin zum zurückgegebenen Score, den ausschlaggebenden Indikatoren und der Maßnahme der Freigabelogik.
Nachvollziehbares, transparentes Risikoscoring
Jede KYT-Engine liefert einen Risikoscore. Die Frage ist, ob sie auch die zugrunde liegenden Belege liefert. Phalcon Compliance quantifiziert die Exposition gegenüber illegalen Geldern mit zwei Kennzahlen: Exposure Value, dem absoluten Betrag illegaler Gelder, die über nachverfolgte Pfade zur Adresse gelangt sind, und Exposure Percentage, diesem Betrag als Anteil der gesamten Zuflüsse. Zusätzlich zur Exposition bündelt der Score 17 Risikoindikator-Kategorien auf Grundlage von mehr als 600 Millionen gekennzeichneten Adressen. Diese decken die von Prüfern erwarteten Bereiche ab – von sanktionierten Entitäten und Darknet-Marktplätzen bis zu Mixern, gestohlenen Geldern und Ransomware. Jeder Indikator ist ein gekennzeichnetes, zuordenbares Signal, das sich überprüfen und in eine Meldung aufnehmen lässt. Darüber liegt eine Behavioral Risk Engine, die Verschleierungs- und Stückelungsmuster erkennt, für die möglicherweise noch keine Kennzeichnung vorliegt.
Laufende Überwachung statt einmaliger Prüfung
Eine einmalige Prüfung ist eine Momentaufnahme; laufende Überwachung ist der Film. Eine beim Onboarding unauffällige Wallet erhält eine Risikoexposition, sobald sie Gelder von einer sanktionierten, mit einem Mixer verbundenen oder betrugsbezogenen Gegenpartei empfängt. Denn die Blockchain friert die Liste der Gegenparteien einer Adresse nicht zum Prüfzeitpunkt ein. Der Monitor-Modus von Phalcon Compliance analysiert bereits geprüfte Adressen nach einem dynamischen Zeitplan erneut, wenn sich ihr Risiko verändert, ohne das Screening-Kontingent für Einzelprüfungen zu verbrauchen. So kann das Team belegen: Die Adresse war bei der Prüfung unauffällig, wurde seither überwacht, und bei einer Veränderung wurde sofort ein Alarm ausgelöst. Genau diese Aussage erwarten Prüfer.
Multi-Chain-Abdeckung
Chain-Hopping über Bridges, Mixer und dezentrale Börsen ist die Standardmethode der Geldwäsche. Eine Single-Chain-Engine verliert die Sicht auf Gelder, sobald sie in ein zweites Netzwerk wechseln. Phalcon Compliance deckt zehn Blockchains nativ ab: Ethereum, Tron, BNB Chain, Polygon, Base, Optimism, Avalanche C-Chain, Arbitrum, Bitcoin und Solana. Die Liste wird regelmäßig erweitert. Abdeckungslücken äußern sich nicht durch Alarme, sondern durch Stille. Entscheidend ist deshalb, ob das Tool jede vom Institut genutzte Blockchain abdeckt, nicht die Gesamtzahl der unterstützten Netzwerke.
Regeln optimieren und Fehlalarme reduzieren
Ein KYT-Produkt ist nur so gut wie seine konfigurierten Regeln. Die oben beschriebenen Fähigkeiten zeigen, was die Engine leisten kann. Regeln bestimmen, was sie in einem konkreten Unternehmen mit einem bestimmten Risikoappetit tatsächlich tut. Eine Regel ist eine Hypothese mit begrenzter Haltbarkeit: Gegenpartei-Cluster verändern sich, Bridges treten an die Stelle von Mixern, und Sanktionslistungen werden aktualisiert. Ein nicht angepasstes Regelwerk verliert daher seine Passgenauigkeit.
Fehlalarme sind die strukturellen Kosten einer unzureichenden Konfiguration. Ihre Quote ist in der Krypto-Überwachung durchgehend hoch und schwankt gerade deshalb stark, weil sich die Konfigurationsqualität unterscheidet. Die mechanische Falle: Wer Störsignale durch einen höheren globalen Schwellenwert unterdrückt, unterdrückt auch das nächste echte Signal mit demselben Muster. Ein transparentes System bietet einen Ausweg. Ein Team, das mit benannten Risikoindikatoren arbeitet, kann gezielt den störenden Indikator schwächer gewichten und die aussagekräftigen erhalten. Bei einem Black-Box-Score bleibt nur der Gesamtschwellenwert. Den Optimierungsworkflow, die fünf vorgefertigten Regelvorlagen und ein am risikobasierten FATF-Ansatz ausgerichtetes Standardregelwerk erläutern die folgenden weiterführenden Leitfäden.
SARs erstellen und Prüfungen bestehen
KYT ist nicht abgeschlossen, wenn die Freigabelogik eines Unternehmens auf Grundlage des Ergebnisses eine Transaktion blockiert. Es ist abgeschlossen, wenn die von der Aufsicht erwarteten Aufzeichnungen vorliegen. In den Vereinigten Staaten ist dies ein Suspicious Activity Report, der innerhalb von 30 Kalendertagen nach der ersten Feststellung bei FinCEN eingereicht wird. In anderen Ländern ist das entsprechende Instrument ein Suspicious Transaction Report gemäß FATF-Empfehlung 20. Ein Krypto-SAR muss einen Graphen beschreiben und Geldflüsse über Adressen ohne zugeordneten Eigentümer, Mixer und Bridges so erläutern, dass auch Nichtfachleute folgen können. Deshalb kann das Verfassen einer belastbaren Meldung Stunden dauern. Eine solche Meldung beruht auf vier Belegblöcken: dem Geldfluss, der quantifizierten Exposition, den benannten ausgelösten Risikoindikatoren und der Begründung der Bearbeitungsentscheidung. Phalcon Compliance bündelt die Zusammenstellung in einem einzigen Fallexport, der ab Essential verfügbar ist und die Nachverfolgung, Expositionswerte und Indikatoren mit dem zugehörigen Audit-Trail enthält.
Der Audit-Trail bildet die zweite Hälfte des Ergebnisses. Denn aus Sicht eines Prüfers lässt sich eine ausgeführte, aber nicht dokumentierte Kontrolle nicht von einer nie ausgeführten Kontrolle unterscheiden. Phalcon Compliance erfasst alle drei Ebenen – Alarmverlauf, Untersuchungsverlauf und Entscheidungsverlauf – über Audit Trails, Audit Logs und Risk Engine Details. Jede lässt sich als PDF oder CSV exportieren. Eine aufsichtsrechtliche Prüfung beurteilt die Aufzeichnungen eines Programms, nicht dessen Absichten. Werden Unterlagen erst nach der Anforderung rekonstruiert, ist bereits das ein Hinweis darauf, dass sie zuvor nicht geführt wurden. Den Meldeworkflow, die Debatte um automatische Fallschließungen und die Checkliste für eine Probeprüfung erläutern die folgenden weiterführenden Leitfäden.
Wer ein KYT-Programm aufbaut, muss sich früher oder später für einen Anbieter entscheiden. Die Folgen einer Fehlentscheidung zeigen sich Monate später, wenn die Aufsicht fragt, warum eine Prüfung versagt hat. Die Auswahl erfolgt anhand von sechs Kriterien, die jeweils durch Messungen statt durch Anbieterangaben geprüft werden.
Die typischen Warnsignale spiegeln diese Kriterien wider: Ein Black-Box-Score zwingt das Team, zurückgehaltene Transaktionen ohne Belege zu rechtfertigen. Single-Chain-Abdeckung erzeugt einen blinden Fleck. Ohne Audit-Trail müssen Unterlagen während einer Prüfung manuell rekonstruiert werden. Ein starres Abonnement ohne PAYG-Option zeigt, für wen der Anbieter das Produkt entwickelt hat. Gewichten Sie die Kriterien anhand Ihres Unternehmensprofils: Für eine Börse mit hohem Volumen zählen Latenz und Preis stärker, für einen kleineren VASP Regelkonfigurierbarkeit und Audit-Trail.
Das traditionelle Preismodell ist ein angebotsbasiertes Enterprise-Abonnement, dessen Umfang individuell nach Blockchains, Nutzerplätzen, API-Volumen und Region bestimmt wird. Es erschwert mittelgroßen Teams den Zugang zu dieser Produktkategorie. Der neuere Ansatz ist Pay-as-you-go (PAYG), getrieben von der sogenannten Abonnementmüdigkeit: Teams sind an Jahresverträge gebunden und zahlen für ungenutztes Volumen zu viel oder sind bei Volumenspitzen unzureichend abgedeckt. PAYG verkürzt den Beschaffungsprozess und wandelt fixe jährliche Gemeinkosten in variable Kosten um. Bei Phalcon Compliance bildet PAYG den Einstieg in eine Struktur mit fünf Tarifstufen:
Der Weg durch die Tarifstufen erfolgt schrittweise: Beginnen Sie mit Free oder PAYG, um das Scoring zu validieren und das Volumen einzuschätzen. Wechseln Sie zu Essential, wenn interaktive Prüfungen zur Routine werden, und zu Scale, wenn das Screening Teil eines Produktablaufs sein soll. Denn Echtzeit-API-Zugriff ist Scale und Enterprise vorbehalten. Enterprise ist für die Zusammenarbeit über mehrere Nutzerplätze oder einen Rahmenvertrag vorgesehen. Maßgeblich ist das Volumen: Bei geringem Volumen passt PAYG, bei hohem und planbarem Volumen ein Abonnement.
Wie sich KYT weiterentwickelt
KYT verändert sich weiterhin in drei Bereichen: Screening und Überwachung wachsen zu einer durchgängigen Funktion zusammen; Belege zu Risikoindikatoren werden programmatisch zugänglich, damit unternehmenseigene Systeme darauf basierend weiterleiten, eskalieren oder blockieren können; und PAYG etabliert sich als kommerzielles Standardmodell. Teams, die jetzt Echtzeit-Screening, transparentes Scoring, laufende Überwachung, STR-Ausgabe und einen Audit-Trail einführen, sind auf diese Entwicklungen besser vorbereitet. Der nächste Schritt ist konkret: Prüfen Sie Transaktionen mit Phalcon Compliance anhand des obigen Bewertungsrahmens statt anhand einer Vertriebspräsentation.
