Prüfungen zur Geldwäscheprävention im Krypto-Bereich sind wichtig, weil Fraud-Analysten wissen müssen, was sie prüfen sollten, warum es die jeweilige Prüfung gibt und wo ihre Grenzen liegen. Dieser Leitfaden richtet sich an Fraud-Analysten bei Banken, Fintechs und Krypto-Börsen, die im Tagesgeschäft eingehende und ausgehende Krypto-Risiken bearbeiten. In der Praxis bedeutet das, Gegenparteien zu identifizieren, Herkunft und Ziel von Geldern nachzuvollziehen, Typologien zu erkennen und Fälle zu eskalieren, wenn Aktivitäten nicht zum Kundenprofil passen. Dazu gehört auch, Kontext aus Bank- und Krypto-Zahlungsschienen gemeinsam zu nutzen, zusammen mit verwandten Prüfungen wie Prüfungen zur Travel Rule. Dieser Artikel erklärt die wichtigsten Prüfungen in einfacher Sprache und zeigt anschließend, wie von Betrügern gelieferte Wallet-Informationen Prüfungen stärken können, ohne die fallbezogene Beurteilung zu ersetzen.
Was Prüfungen zur Geldwäscheprävention im Krypto-Bereich leisten sollen
Prüfungen zur Geldwäscheprävention im Krypto-Bereich sollen eine praktische Frage beantworten: Was an dieser Krypto-Aktivität muss jetzt geprüft werden, und was kann warten? Für Fraud-Analysten besteht die Aufgabe nicht darin, jede ungewöhnliche Transaktion sofort als verdächtig einzuordnen. Es geht darum, gewöhnliches Verhalten von Aktivitäten zu trennen, die auf Geldwäsche, Betrug, Sanktionsumgehung oder andere Risiken im Bereich illicit finance hindeuten könnten.
Weiterlesen: Sanktionsscreening: Was Fraud-Teams prüfen
Dafür braucht es einen risikobasierten Blick über den gesamten Fallverlauf hinweg:
- beim Onboarding und bei der Kundenprüfung
- während der Transaktionsüberwachung und Alert-Bearbeitung
- in der manuellen Untersuchung und Eskalation
Was Krypto besonders macht, ist nicht nur der Vermögenswert selbst. Es sind auch das Fehlen stabiler Identitätsanker, die Geschwindigkeit der Bewegungen und die Leichtigkeit, mit der Werte zwischen Wallets, Services und Ländern verschoben werden können. Deshalb sollen Prüfungen zur Geldwäscheprävention im Krypto-Bereich Unsicherheit verringern. Analysten prüfen, ob die Kundengeschichte, der Transaktionspfad, die Gegenparteien und der Zeitpunkt zusammenpassen.
Diese Prüfungen helfen Teams auch dabei zu entscheiden, welche Art von Problem sie möglicherweise vor sich haben. Ein Fall kann ein Geldwäscherisiko, eine direkte Betrugsexponierung oder einen Kunden betreffen, der manipuliert wurde, Geld oder Krypto an jemand anderen zu senden. Ziel der Prüfung ist es, das Risiko korrekt einzuordnen, bevor Maßnahmen ergriffen werden.
Externer Scam-Kontext kann helfen, wenn interne Signale schwach sind. Teams können wöchentliche Scam-Briefings aus Live-Gesprächen oder monatliche Berichte zu Scam-Daten nutzen, um wiederkehrende Zahlungsanweisungen, Kontaktpunkte und Wallet-Nutzung in aktiven Betrugsfällen zu verstehen. Solcher Kontext entscheidet einen Fall nicht allein, kann aber die Triage schärfen und Ermittlern helfen, früh bessere Fragen zu stellen.
Weiterlesen: Wallet-Screening in Betrugsfällen
Die wichtigsten Prüfungen, die Analysten üblicherweise durchführen
Eine praxisnahe Krypto-AML-Prüfung funktioniert meist am besten als einfacher Workflow:
- Kundenprüfung
- Transaktionsprüfung
- Gegenparteienprüfung
- Netzwerk- oder Musterprüfung
Die Kundenprüfung beginnt mit der Frage der Passung. Analysten vergleichen die Aktivität mit dem, was über den Kunden bereits bekannt ist: erwarteter Anwendungsfall, Herkunft der Mittel, geografischer Bezug, Produktnutzung und normales Transaktionsverhalten. Die Frage ist nicht nur, ob die Transaktion groß oder ungewöhnlich ist. Entscheidend ist, ob sie für diesen Kunden zu diesem Zeitpunkt plausibel ist.
Die Transaktionsprüfung konzentriert sich auf die Bewegung selbst. Teams betrachten Asset-Typ, Wert, Zeitpunkt, Häufigkeit, Geschwindigkeit, genutzte Chain und Finanzierungsweg. Sie bewerten außerdem, ob die Aktivität so wirkt, als sei sie strukturiert worden, um Aufmerksamkeit zu vermeiden, etwa durch Aufteilung in kleinere Beträge oder durch zeitliche Muster, die nicht zum angegebenen Zweck passen.
Die Gegenparteienprüfung richtet den Blick nach außen. Analysten untersuchen Wallet-Adressen, bekannte Ziel-Services, Verbindungen zu früheren Alerts oder Fällen und ob die empfangende Partei zur Erklärung des Kunden passt. Wenn der angegebene Zweck nicht mit dem Ziel übereinstimmt oder dieselbe Gegenpartei schon in früheren Prüfungen aufgetaucht ist, spricht das für eine vertiefte Prüfung.
Die Musterprüfung führt den Fall über die Zeit hinweg zusammen. Dazu gehören viele kleine Transaktionen, schnelle Sprünge zwischen Wallets oder Services, die wiederholte Nutzung neuer Wallets oder plötzliche Verhaltensänderungen, die auf Layering oder Bewegungen im Auftrag eines anderen Akteurs hindeuten können. Eine einzelne Transaktion kann unauffällig wirken, während die Abfolge darum herum etwas ganz anderes zeigt.
Kein einzelner Datenpunkt sollte einen Fall für sich allein entscheiden. Im Krypto-Bereich zeigt sich Risiko oft in mehreren kleinen Unstimmigkeiten, die erst in der Gesamtschau Bedeutung bekommen.
Hilfreich ist es auch, Bank- und Krypto-Zahlungsschienen nebeneinander zu prüfen, wenn das relevant ist. Betrugs- und Geldwäscherisiken zeigen sich oft über beide hinweg, nicht nur in einem Kanal.
Deshalb überschneiden sich Krypto-AML-Prüfungen oft mit Betrugsprüfungen. Manchmal wirkt eine Aktivität nicht deshalb verdächtig, weil der Kunde Geld wäscht, sondern weil er betrogen wird oder durch Social Engineering dazu gebracht wurde, Geld oder Krypto an jemand anderen zu senden.
Woran gute Belege in einer Krypto-AML-Untersuchung zu erkennen sind
Bei Geldwäscheprävention im Krypto-Bereich sind gute Belege solche, die ein anderer Analyst nachvollziehen kann. Sie sollten zeigen, was gesehen wurde, wann es gesehen wurde, woher es stammt und wie stark es zum Fall passt. Das ist wichtig, wenn eine Prüfung vom ersten Alert zur Eskalation übergeht oder wenn ein Fall später erneut geöffnet wird.
Die stärksten Fallakten kombinieren in der Regel aufbewahrtes Ausgangsmaterial mit extrahierten Indikatoren. Je nach Untersuchung kann das Folgendes umfassen:
- Wallet-Adressen auf BTC, ETH, TRON oder SOL
- Bankdaten wie IBAN oder SWIFT
- Telefonnummern
- E-Mail-Adressen
- Messenger-Konten
- URLs
- Gutscheinkarten
- Payment-Handles
- Datei-Hashes
- Foto-Hashes
Aufbewahrte Originale sind wichtig, weil Betrugsinfrastruktur instabil ist. Eine Nachricht kann nach dem Versand bearbeitet oder gelöscht werden. Eine Datei kann verschwinden. Ein Foto kann unter einer anderen Geschichte wiederverwendet werden. Wenn die ursprüngliche Nachricht, Datei, Sprachnachricht oder das Bild beim ersten Eingang gespeichert wird, hängt die Prüfung nicht davon ab, ob der Absender später versucht, es zu löschen.
Auch die Bewertung ist wichtig. Indikatoren sollten bewertet und nicht als gleich stark behandelt werden. Ein sauberer struktureller Treffer mit unterstützendem Kontext verdient mehr Gewicht als eine teilweise Zeichenfolge oder ein Element mit unklarer Relevanz.
Auch das Verknüpfen erhöht den Beweiswert. Wenn getrennte Gespräche dieselben Zahlungsdaten, ein wiederverwendetes Foto oder ein weitergeleitetes Konto teilen, können sie einem Akteur zugeordnet werden. So erhalten Analysten eine Grundlage, um einzuschätzen, ob eine Wallet oder ein Bankdetail Teil eines größeren Scam-Setups ist und nicht nur isoliert auftaucht.
Wie von Betrügern gelieferte Wallet-Informationen Prüfungen stärken können
Active Defense ist eine Quelle für von Betrügern gelieferte Informationen für AML-Arbeit im Krypto-Bereich. Das Produkt betreibt KI-Köder-Personas, die Betrüger auf Telegram und per E-Mail im Gespräch halten, und macht aus den von ihnen übergebenen Informationen einen Threat-Intelligence-Feed.
Aus diesen laufenden Scam-Chats extrahiert Active Defense Krypto-Wallets auf BTC, ETH, TRON und SOL und versieht jede Wallet mit einem Confidence Score. Derselbe Feed kann außerdem Folgendes enthalten:
- Bankdaten
- Telefonnummern
- Messenger-Konten
- Links
- Gutscheinkarten
- Payment-Handles
- Datei-Hashes
- Foto-Hashes
Diese größere Menge an Indikatoren ist wichtig, weil Krypto-Bewegungen selten isoliert auftreten. Eine Wallet ergibt oft mehr Sinn, wenn sie zusammen mit einer Telefonnummer, einem Payment-Handle, einem wiederverwendeten Bild oder Bankdaten erscheint, die zum selben Vorgehen gehören.
Der Feed unterstützt außerdem die Verknüpfung von Akteuren. Wenn getrennte Chats einen Indikator, ein wiederverwendetes Foto oder ein weitergeleitetes Konto gemeinsam haben, werden sie einem Akteur zugeordnet. Für Analysten hilft das dabei, die Prüfung von einem einzelnen Alert zu einer Wallet auf eine breitere Sicht auf wiederholt genutzte Infrastruktur und wiederkehrendes Scam-Verhalten zu erweitern.
Es gibt auch eine operative Schutzmaßnahme bei der Behandlung dieser Gespräche. Antworten an Betrüger werden von KI entworfen und standardmäßig vor dem Versand von einem menschlichen Operator freigegeben. Jede Nachricht wird in dem Moment gespeichert, in dem sie eingeht. Wenn ein Betrüger später also „delete for everyone“ nutzt, entfernt das die gespeicherte Kopie nicht.
In einem AML-Workflow ist der praktische Einsatz unkompliziert: Ein Analyst kann eine Wallet aus einem Kundenfall mit von Betrügern gelieferten Indikatoren abgleichen, um Priorisierung, Eskalation oder eine vertiefte Prüfung zu unterstützen. Das ersetzt keine Fallbeurteilung, kann aber früher zusätzlichen Kontext liefern. Jeder Kunde erhält einen eigenen Feed mit STIX-2.1-Export.
Grenzen, False Positives und wie Teams die Daten nutzen sollten
Krypto-Prüfungen zur Geldwäscheprävention brauchen Zurückhaltung ebenso wie Geschwindigkeit. Ein scambezogener Treffer kann relevant sein, ohne bereits entscheidend zu sein.
Die wichtigsten Grenzen sind einfach:
- ein Akteur kann Zahlungsdaten über eine andere Person weitergeben
- ein Kontaktpunkt kann kopiert oder weitergeleitet werden
- dasselbe Bild oder dieselbe Datei kann in mehr als einem Setup auftauchen
- ein Wallet-Treffer kann eine Berührung mit einem Scam-Ablauf zeigen, nicht Eigentum
Deshalb sollten Sie von Betrügern gelieferte Daten als bewertete Informationen behandeln, die geprüft werden müssen, nicht als endgültige Schlussfolgerung. In der Praxis lautet die richtige Frage: Was fügt dieser Treffer dem Fall hinzu, den Sie bereits haben?
Nutzen Sie ihn, um:
- die Prüfpriorität festzulegen
- zu entscheiden, welche Gegenparteien vertieft geprüft werden müssen
- Fakten aus Krypto- und Bankseite zu vergleichen
- festzuhalten, ob der Treffer direkt, teilweise oder nur kontextuell ist
Wenn Analysten den Fall dokumentieren, sollten sie die Grundlage für den Treffer festhalten, welche Belege ihn gestützt haben und welche plausible alternative Erklärung ausgeschlossen wurde.
Häufige Fragen zur Geldwäscheprävention im Krypto-Bereich
Wann sollte ein Krypto-AML-Fall eskaliert werden, statt nur überwacht zu werden?
Eine Eskalation ist sinnvoll, wenn die Prüfung nicht mehr nur wie eine einzelne ungewöhnliche Transaktion aussieht, sondern wie eine zusammenhängende Risikogeschichte. Das kann passieren, wenn mehrere schwache Signale zusammenkommen, auch wenn keines davon allein ausreichen würde.
Häufige Auslöser für eine Eskalation sind:
- die Erklärung des Kunden ändert sich oder bleibt vage
- Ziel oder Herkunft passen nicht zum angegebenen Zweck
- zugehörige Kontaktdaten oder Zahlungsdaten tauchen im Fall mehrfach auf
- die Aktivität erstreckt sich über Bank- und Krypto-Zahlungsschienen in einer Weise, die nicht plausibel ist
- neue Informationen deuten darauf hin, dass der Kunde unter Druck oder auf Anweisung einer anderen Partei handelt
Monitoring ist eher geeignet, wenn die Faktenlage noch begrenzt ist und die Aktivität noch zu einem normalen Anwendungsfall passen kann.
Was macht Krypto-Belege in der Praxis nützlicher?
Nützliche Belege sind konkret, gesichert und später von einem anderen Analysten überprüfbar. Im Krypto-Bereich bedeutet das oft, sowohl das Originalelement als auch den extrahierten Indikator aufzubewahren, damit die Fallakte genau zeigt, was eingegangen ist.
Das ist wichtig, weil Scam-Kommunikation oft instabil ist. Active Defense speichert jede Nachricht in dem Moment, in dem sie eingeht, sodass ein späteres „delete for everyone“ die Kopie nicht entfernt. Außerdem extrahiert das Produkt Wallets auf BTC, ETH, TRON und SOL aus laufenden Scam-Chats und versieht jede mit einem Score.
Kann ein einzelner Scam-Akteur unter mehreren Identitäten auftreten?
Ja. Ein Akteur kann manche Elemente wiederverwenden und andere ändern. Eine Wallet kann sich ändern, während ein Foto gleich bleibt. Ein Messenger-Konto kann abweichen, während Bankdaten wiederkehren. Deshalb sollten Analysten auf Überschneidungen zwischen Indikatoren achten und nicht nur auf exakte Identitätsübereinstimmungen.
Bessere Krypto-AML beginnt mit besserem Kontext
Arbeit zur Geldwäscheprävention im Krypto-Bereich ist stärker, wenn Analysten vier Dinge kombinieren:
- Kundenkontext
- Transaktionsanalyse
- Gegenparteienprüfung
- gesicherte externe Informationen
Diese Mischung hilft Teams zu beurteilen, ob eine Wallet, ein Zahlungsweg oder ein zugehöriger Kontaktpunkt zum Fall passt oder auf ein größeres Scam-Muster hindeutet. Von Betrügern gelieferte Wallet-Informationen schaffen Mehrwert, weil sie Indikatoren und Akteursverknüpfungen früher sichtbar machen können, was bei der Fallpriorisierung hilft. Für scambezogene Ermittlungen per E-Mail lesen Sie weiter mit Scammer-E-Mail-Adresse prüfen: worauf Sie achten sollten.