„Ich habe nichts getan – warum wurde mein Konto markiert?” Dieser Leitfaden erklärt auf der Ebene der tatsächlichen Branchenpraxis die vier Kategorien von AML-Überwachungssignalen, die jedes regulierte Institut beobachten muss: Structuring, Abweichung von der Basislinie, Typologie-Abgleich und On-Chain-Adressscreening – und warum ein Signal eine Prüfung auslöst, kein Urteil.
Im vorigen Teil dieser Reihe wurden die vier groben Kategorien umrissen, die zu einer Sperre eines aktiven Kontos führen können: die Überwachung von Transaktionsmustern, das On-Chain-Screening von Adressen, Meldungen Dritter und schützende Auslöser auf Nutzerseite. Die erste Kategorie ist diejenige, nach der Nutzer am häufigsten fragen, meist in irgendeiner Variante der Frage „ich habe doch nichts getan, warum wurde mein Konto markiert?“. Dieser Leitfaden beantwortet diese Frage auf der Ebene, auf der die Branche tatsächlich arbeitet. Er beschreibt die Kategorien von Signalen, die regulierte Finanzinstitute zu beobachten verpflichtet sind. Er beschreibt nicht die internen Regeln irgendeiner bestimmten Plattform, einschließlich Bitbase.
Wer definiert „verdächtig“
„Verdächtig“ ist kein Etikett, das eine Börse selbst erfindet. Es ist eine Kategorie, die von internationalen Rahmenwerken zur Bekämpfung der Geldwäsche definiert und durch öffentliche Berichte fortlaufend aktualisiert wird.
Die institutionelle Geschichte verläuft entlang dreier Meilensteine. Der US-amerikanische Bank Secrecy Act von 1970 führte Currency Transaction Reports („CTRs“) ein – die erste bundesrechtliche Pflicht, Bargeldtransaktionen oberhalb einer Schwelle zu melden, und die erste offizielle Anerkennung, dass ein Verhalten, das darauf abzielt, diese Schwelle zu umgehen, selbst ein Signal ist. Die Financial Action Task Force („FATF“), 1989 in Paris von den G7 gegründet, veröffentlicht seither wiederkehrende Typologies Reports – fallbasierte Kataloge dessen, wie Geldwäsche, Terrorismusfinanzierung und verwandte Missbräuche in Finanzsystemen tatsächlich in Erscheinung treten. Nach 2013 trat die Methodik der Blockchain-Analytik als dritte Schicht hinzu und wandte adressbasierte Mustererkennung auf Daten des öffentlichen Registers an.
Die meisten regulierten Finanzinstitute – Banken, Brokerhäuser, Geldtransferdienstleister, Kryptobörsen – konvergieren auf höchst ähnliche Überwachungsdimensionen. Der Grund ist struktureller Natur: Sie sind demselben Korpus internationaler Standards verpflichtet. FATF Recommendation 10 (Sorgfaltspflichten gegenüber Kunden), Recommendation 11 (Aufbewahrung von Aufzeichnungen) und Recommendation 20 (Meldung verdächtiger Transaktionen) bilden das gemeinsame Rückgrat.
Eine Anmerkung zur Terminologie, bevor wir zu den Kategorien kommen. AML-Praktiker bezeichnen Überwachungssignale als „red flag indicators“ („Warnindikatoren“) – beobachtbare Muster, die weitere Aufmerksamkeit verdienen, und keine Feststellungen eines Fehlverhaltens. Dieser Leitfaden verwendet das Wort „Signal“ durchgehend in diesem Sinne.
Signaltyp eins – Structuring
Structuring ist das Lehrbuchsignal der AML. Das Konzept ist Jahrzehnte älter als Kryptowährungen. In seiner ursprünglichen Form aus der BSA-Ära bedeutete Structuring, eine einzelne große Bareinzahlung in mehrere kleinere aufzuteilen, jede knapp unterhalb der Schwelle, die eine CTR-Meldung auslöste, um die Meldepflicht zu umgehen. Das US-Recht behandelt Structuring seit 1986 als eigenständige Straftat, als 31 U.S.C. § 5324 – eine Bestimmung des Bank Secrecy Act – es dazu machte.
Der Grund, warum dieses Muster so beharrlich markiert wird, ist, dass es sich ohne jeden Zugang zur Absicht des Kunden beobachten lässt. Ein Überwachungssystem muss nicht wissen, warum die Transaktionen so bemessen sind. Es muss lediglich beobachten, dass sie beständig knapp unterhalb der Meldeschwellen liegen, dass sie in ungewöhnlichen Häufungen auftreten oder dass sie sich über Konten in einer Weise verteilen, die statistisch eher einem ausweichenden Structuring als normaler Geschäftstätigkeit ähnelt.
Im Kryptobereich hat Structuring Varianten. Die Aufteilung einer großen Überweisung in mehrere kleinere Überweisungen an denselben Kontrahenten oder von ihm. Das Routing ähnlicher Beträge über mehrere Konten unter verschiedenen Namen. Testtransaktionen über kleine Beträge, denen unmittelbar eine große folgt, in einer Abfolge, die bekannte Geldwäsche-Skripte nachbildet. Die FATF benennt diese Muster in ihrem Typologiekatalog in der Updated Guidance for a Risk-Based Approach to Virtual Assets and VASPs (Juni 2019, überarbeitet im Oktober 2021).
Zwei Merkmale von Structuring als Signal. Erstens: Überwacht wird das Muster, nicht irgendeine einzelne Transaktion. Eine einzelne Transaktion unterhalb einer beliebigen Schwelle ist unauffällig. Was registriert wird, ist die Form einer Abfolge. Zweitens: Das oberflächliche Erscheinungsbild von Structuring impliziert für sich genommen keine unrechtmäßige Absicht – viele rechtmäßige Verhaltensweisen (wiederkehrende Lieferantenzahlungen in standardisierten Beträgen, Lohnzyklen, routinemäßige Aufteilung von Abonnements) können oberflächliche Ähnlichkeiten erzeugen. Genau deshalb löst das Signal eine Überprüfung aus und keine Schlussfolgerung.
Signaltyp zwei – Abweichung von der Baseline
Jedes Konto bildet im Laufe seiner Nutzung eine verhaltensbezogene Baseline aus. Deren Dimensionen sind jedem vertraut, der einen Kontoauszug gelesen hat: typische Geldquellen, typische Kontrahenten, typische Anlagekategorien, typische Transaktionsgrößen, typische Zeiten. Die Baseline selbst wird dem Kontoinhaber nicht offengelegt, und für Überwachungszwecke muss sie das auch nicht.
Wenn die Aktivität in einer Weise von dieser Baseline abweicht, die das übersteigt, was normale Schwankung erklären würde, gelangt das Konto in die Überprüfung. Abweichungen, die häufig Aufmerksamkeit auslösen, fallen in mehrere Muster: eine Zunahme der Transaktionsgrößen um eine Größenordnung; eine Verlagerung der Geldquellen von etablierten Kanälen zu neuen; neue Kontrahenten, die in Regionen mit höherem Risiko konzentriert sind. Auch rasche Veränderungen in der Zusammensetzung der Vermögenswerte werden registriert – etwa ein Konto, das lange Werte mit hoher Marktkapitalisierung gehandelt hat und plötzlich eine Reihe von Token mit geringer Liquidität durchläuft. Ebenso Transaktionen, die zu ungewöhnlichen Zeiten relativ zum etablierten Rhythmus des Kontos gehäuft auftreten.
Die Baseline ist von ihrer Anlage her nicht strafend. Ihre Funktion ist die umgekehrte: Sie liefert den Vergleichsmaßstab, der es dem System erlaubt, normale Kontoaktivität als normal zu behandeln, statt jede Transaktion standardmäßig als überprüfungswürdig zu betrachten. Der Preis dieses Ansatzes ist, dass jede hinreichend scharfe Abweichung von der Baseline – selbst eine mit einer harmlosen Erklärung – als Signal registriert wird.
Praktisch können Lebensereignisse mit rechtmäßigen Erklärungen Abweichungen von der Baseline erzeugen. Das Erben von Geld, der Verkauf eines Unternehmens, der Erhalt eines hohen Bonus, der Beginn einer neuen Anlagestrategie oder schlicht die Wiederaufnahme der Aktivität nach einer langen Phase der Ruhe – all dies kann sich als Abweichung zeigen. Das Überwachungssystem hat keinen Zugang zum zugrunde liegenden Grund. Es registriert die Form der Veränderung. Die Verifizierung, die der Nutzer im Zuge der Überprüfung beibringt, ist der Mechanismus, durch den die Erklärung in den Datensatz gelangt.
Der einordnende Punkt: Eine Abweichung von der Baseline ist kein Urteil darüber, dass etwas nicht stimmt. Sie ist die Feststellung des Systems, dass sich das Bild verändert hat und dass ein menschlicher Prüfer einen Blick darauf werfen sollte.
Signaltyp drei – Typologie-Abgleich
Die FATF und ihre regionalen Gremien veröffentlichen seit den 1990er-Jahren fortlaufend Typologies Reports. Dasselbe tun nationale Financial Intelligence Units – FinCEN in den Vereinigten Staaten, die FCA im Vereinigten Königreich, AUSTRAC in Australien und andere. Diese Berichte sind fallbasierte Kataloge dessen, wie sich bestimmte Missbrauchsmuster in beobachteten Fällen gezeigt haben: Betrug durch Kontoübernahme, Layering-Ketten in Geldwäscheoperationen, Drehbücher der Marktmanipulation, Zahlungsströme bei Ransomware, Methoden der Sanktionsumgehung.
Überwachungssysteme nutzen diese Typologien als Referenzvorlagen. Wenn die Aktivität eines Kontos genügend Ähnlichkeit mit einer bekannten Typologie aufweist – über Transaktionsmuster, Kontrahentenprofile, Zeitpunkte und weitere Merkmale hinweg –, überschreitet die Ähnlichkeitsbewertung eine Schwelle, und das Konto gelangt in die Überprüfung. Das ist mit „Typologie-Abgleich“ gemeint.
Zwei Merkmale sind wichtig.
Erstens ist der Abgleich probabilistisch. Ein Überwachungssystem erklärt nicht in einem binären Sinne, dass ein Konto zu einem Geldwäscheschema „passt“. Es erzeugt eine Ähnlichkeitsbewertung, die hoch, mittel oder niedrig sein kann. Treffer mit geringer Konfidenz müssen dennoch überprüft werden, weil die Kosten, einen tatsächlichen Fall zu übersehen, höher sind als die Kosten, einen Fehlalarm auszuräumen. Diese Kostenasymmetrie ist der Grund, warum die Überwachung in der Signalphase überinklusiv ausgelegt ist.
Zweitens werden Typologien aktualisiert. Neue Missbrauchsmuster treten auf; alte entwickeln sich weiter; der Katalog wird fortlaufend überarbeitet. Ein Kontoverhalten, das vor sechs Monaten keinen Treffer erzeugte, kann heute einen erzeugen – nicht weil sich das Konto verändert hat, sondern weil sich die Typologiebibliothek erweitert hat, um ein neu identifiziertes Muster abzudecken. Das ist einer der Gründe, warum die Überwachung als fortlaufend beschrieben wird und nicht als Prüfung zu einem einzelnen Zeitpunkt.
Was ein Typologie-Abgleich nicht ist: eine Feststellung, dass das Konto die Tätigkeit ausübt, die die Typologie beschreibt. Es ist die Beobachtung, dass die Oberfläche des Verhaltens – anhand der Merkmale, die das System messen kann – einem bekannten Muster genug ähnelt, um einen genaueren menschlichen Blick zu rechtfertigen.
Signaltyp vier – On-Chain-Screening von Adressen
Die ersten drei Signaltypen lesen das Verhalten des Nutzers. Dieser vierte Typ liest etwas anderes: die Vorgeschichte der Mittel des Nutzers.
Öffentliche Frameworks der Blockchain-Analytik – seit etwa 2013 von Firmen wie Chainalysis, Elliptic und TRM Labs entwickelt – pflegen umfangreiche Bibliotheken von Risiko-Labels auf Adressebene, abgeleitet aus öffentlichen On-Chain-Daten, öffentlichen Ermittlungen und Offenlegungen von Strafverfolgungsbehörden. Gängige Kategorien umfassen: Adressen, die mit von OFAC sanktionierten Einrichtungen verbunden sind; Adressen, die von bekannten Mixern betrieben werden; Adressen, die mit öffentlich zugeschriebenen Exploits, Diebstahlsvorfällen oder Ransomware-Zahlungen verknüpft sind; Adressen, die mit Darknet-Marktplätzen assoziiert sind; Adressen, die in bestätigte Betrugsoperationen verwickelt sind.
Wenn Mittel von einer Adresse mit einem dieser Labels auf einem Börsenkonto eingehen, kann das empfangende Konto unabhängig vom eigenen Verhalten des Nutzers in die Überprüfung gelangen. Die ausgehende Richtung funktioniert genauso: Eine Auszahlungsadresse, die zu einem Sanktions- oder Diebstahl-Label passt, löst vergleichbare Aufmerksamkeit aus. Die Transfer of Funds Regulation der Europäischen Union, die zeitgleich mit MiCA in Kraft trat, formalisiert eine parallele Pflicht der VASPs, für Transfers oberhalb festgelegter Schwellen Informationen über Auftraggeber und Begünstigten auszutauschen.
Die nutzerseitige Implikation ist, dass die Herkunft der Mittel – nicht nur ihr Ziel – den Kontostatus beeinflussen kann. Ein Nutzer, der eine Überweisung erhalten hat, deren Vorgeschichte ihm unbekannt war, kann feststellen, dass das empfangende Konto eine Verifizierung verlangt. Das ist ein strukturelles Merkmal dessen, wie die On-Chain-Transparenz mit den AML-Pflichten zusammenwirkt: Die Chain ist öffentlich, die Labels sind öffentliche Methodik, und regulierte Institute sind verpflichtet, beides zu lesen.
Wie bei den vorigen drei Signaltypen ist ein Abgleich mit einem Adress-Label ein Auslöser für eine Überprüfung und keine Feststellung. Viele Label-Zuordnungen lösen sich auf, sobald der Nutzer eine Dokumentation der Herkunft der Mittel vorlegt.
Ein Signal ist kein Urteil
Dieser Gedanke zieht sich durch jeden vorangegangenen Abschnitt.
In jeder der vier Kategorien ist die Aktion des Systems dieselbe: Ein Signal löst eine Überprüfungspflicht aus. Die Überprüfung wird von Menschen durchgeführt, in der Regel unter Mitwirkung des Nutzers. Der Nutzer wird gebeten, Kontext beizubringen – Erklärungen, Dokumentation, belegende Aufzeichnungen. Das Signal, die Erklärung des Nutzers und die dem Prüfer verfügbaren objektiven Fakten bestimmen gemeinsam, was als Nächstes geschieht.
Ein Signal für sich genommen ist keine Feststellung, dass etwas nicht stimmt. Es ist eine Markierung, die Aufmerksamkeit verdient. Die meisten Signale werden nach der Überprüfung ausgeräumt. Ein kleinerer Anteil führt zu weiteren Schritten, etwa zusätzlicher Verifizierung oder Kontobeschränkungen. In Fällen, die einen Verdacht auf schweren Missbrauch betreffen, folgt die Eskalation an die zuständigen Behörden dem gesetzlich festgelegten Weg. Die Anteile werden von keiner Plattform veröffentlicht, weil dies die Überwachungsfunktion zunichtemachen würde.
Für einen Nutzer, dessen Konto markiert wurde, ist die Implikation unmittelbar. Die Überprüfung ist verfahrensbezogen. Bei Verifizierungsanfragen mitzuwirken, genaue Dokumentation beizubringen und offizielle Kundenservicekanäle zu nutzen, sind die einzigen relevanten Handlungen. Es gibt keinen schnelleren Weg, keine Person „auf der Innenseite“, mit der man verhandeln könnte, keine Technik zur „Signalentfernung“. Das System ist darauf ausgelegt, Beweise abzuwägen. Die angemessene Antwort ist, sie beizubringen.
Dies ist Teil zwei einer Serie darüber, wie regulierte Börsen Kontokontrollen handhaben – folgen Sie weiteren Inhalten der Bitbase Academy.
Die Inhalte dieses Leitfadens (einschließlich, aber nicht beschränkt auf Produktfunktionen, unterstützte Netzwerke, Gebührenstrukturen und Betriebsabläufe) geben den Systemstatus und die allgemeinen Marktbedingungen zum Zeitpunkt der Veröffentlichung wieder. Angesichts der Volatilität der Märkte für digitale Vermögenswerte und der Weiterentwicklung des technischen Umfelds behält sich Bitbase das Recht vor, die vorgenannten Parameter jederzeit zu optimieren oder anzupassen. Nutzer sollten die in Echtzeit auf der offiziellen Bitbase-Website und in der Ausführungsoberfläche angezeigten Daten als maßgeblich betrachten.
Dieser Leitfaden ist lediglich ein Überblick über Produktfunktionen und Gebühren. Er stellt keine Anlageberatung und kein rechtliches Angebot dar. Bei Parametern, die sich unmittelbar auf Mittel auswirken (unterstützte Netzwerke, Gebühren, Mindestbeträge, Bearbeitungszeiten), überprüfen Sie die aktuellsten Informationen über das offizielle Bitbase Help Center, bevor Sie eine Transaktion ausführen.
Vor der Nutzung von Bitbase müssen Nutzer die Nutzungsbedingungen, die Risikooffenlegungserklärung und die Datenschutzrichtlinie lesen und ihnen zustimmen. Alle Bestimmungen zu Nutzerrechten, Vermögenssicherheit, Risikohinweisen und Streitbeilegung unterliegen den jeweils neuesten Versionen, die auf der offiziellen Bitbase-Website offengelegt werden.
Bitbase arbeitet nach den Grundsätzen der Compliance und der Risikotransparenz. Nutzer in bestimmten Rechtsordnungen können nach lokalem Recht von der Nutzung von Bitbase oder bestimmter Funktionen ausgeschlossen sein. Bitbase behält sich die endgültige Auslegung der jurisdiktionsbezogenen Beschränkungen vor.
FATF Typologies Reports und nationale aufsichtsrechtliche Leitlinien werden fortlaufend aktualisiert. Dieser Artikel gibt die öffentlich verfügbaren Standards zum Zeitpunkt der Veröffentlichung wieder und stellt keine Rechtsberatung dar.
Dieser Artikel beschreibt eine öffentlich dokumentierte Überwachungsmethodik der Branche. Er beschreibt nicht die internen Überwachungsregeln irgendeiner bestimmten Plattform.
