Ein Warnsignal ist eine Frage, kein Urteil
Kryptozahlungen können sich schnell bewegen, mehrere Dienste durchlaufen und von einer bisher unbekannten Adresse eintreffen. Transaktionsmuster helfen deshalb bei der Priorisierung, lassen sich aber auch leicht falsch deuten. Eine geteilte Zahlung kann durch ein Wallet Limit entstehen. Eine neue Adresse kann zur normalen Treasury Praxis gehören. Auch eine schnelle Weiterleitung kann betrieblich notwendig sein.
Die Financial Action Task Force stellt in ihrem Bericht über Warnsignale bei virtuellen Vermögenswerten klar: Ein einzelnes Signal bedeutet nicht zwangsläufig kriminelle Aktivität. Bedeutsamer wird ein Fall, wenn mehrere Signale zusammentreffen, ein nachvollziehbarer Geschäftszweck fehlt oder die Erklärung den verfügbaren Belegen widerspricht.
Die folgenden zwölf Muster sind daher Anlässe für eine angemessene Prüfung. Sie sind keine universelle Checkliste und entscheiden nicht über eine Meldepflicht. Maßgeblich sind Rolle, Rechtsraum, Kundenbeziehung und interne Richtlinie.
12 Transaktionsmuster, die eine genauere Prüfung verdienen
1. Eine Zahlung wird in viele kleine Transfers aufgeteilt
Warum das relevant ist: Wiederholte Überweisungen knapp unter einem Grenzwert oder die Begleichung einer Rechnung durch zahlreiche Kleinbeträge ohne praktischen Grund können auf Stückelung hindeuten. FATF nennt kleine Transfers zur Umgehung von Aufzeichnungs- oder Meldeschwellen als Warnsignal.
Nächster Prüfschritt: Vergleichen Sie Gesamtwert, Rechnung, Zeitpunkt, Absenderadressen, angegebene Wallet Limits und früheres Zahlungsverhalten. Dokumentieren Sie eine plausible betriebliche Erklärung, statt jeden Transfer isoliert zu bewerten.
2. Eine neue oder inaktive Wallet wird plötzlich sehr aktiv
Warum das relevant ist: Eine große erste Transaktion oder eine Serie hoher Werte nach langer Ruhe kann vom erwarteten Profil abweichen. Ebenso kann eine eigens vorbereitete Durchlaufadresse dahinterstehen.
Nächster Prüfschritt: Ermitteln Sie den Beginn der Aktivität, die ursprüngliche Finanzierung, die Übereinstimmung des Volumens mit dem Kundenprofil und den Grund für die jetzige Nutzung.
3. Eingegangene Mittel werden fast sofort weitergeleitet
Warum das relevant ist: Eine schnelle Weiterleitung über mehrere Wallets oder Dienste kann zusätzliche Ebenen zwischen Quelle und Ziel schaffen. Geschwindigkeit allein ist nicht verdächtig, besonders bei Zahlungsabwicklern und Treasury Systemen. Entscheidend ist der fehlende Geschäftszweck.
Nächster Prüfschritt: Stellen Sie die ersten relevanten Schritte dar, messen Sie die Zeitabstände, identifizieren Sie bekannte Gegenparteien und klären Sie den wirtschaftlichen Zweck jeder Bewegung.
4. Viele unabhängige Wallets zahlen auf eine Adresse ein, danach folgt die Bündelung
Warum das relevant ist: FATF nennt viele kleine Eingänge aus nicht verbundenen Wallets mit anschließender Weiterleitung oder vollständiger Umwandlung in Fiatgeld. Dasselbe Muster kann bei Händlerkonten oder Einzahlungsadressen einer Plattform legitim sein.
Nächster Prüfschritt: Prüfen Sie, ob die Sammelfunktion dokumentiert ist. Vergleichen Sie Beziehungen der Absender, Zahlungsreferenzen, Werte und Endziel mit dem beschriebenen Geschäftsmodell.
5. Der Weg enthält wiederholte Swaps, Bridges oder Netzwerkwechsel
Warum das relevant ist: Mehrere Umwandlungen oder Bewegungen zwischen Netzwerken verursachen zusätzliche Kosten und können den Pfad schwerer verständlich machen. Bridges und Swaps sind nicht an sich riskant. Auffällig ist unnötige Komplexität ohne wirtschaftliche Begründung.
Nächster Prüfschritt: Rekonstruieren Sie den Weg über die unterstützten Netzwerke, markieren Sie Änderungen der Nachvollziehbarkeit und fragen Sie nach dem Grund für Asset und Route.
6. Es besteht eine wesentliche Verbindung zu einem Mixer oder Verschleierungsdienst
Warum das relevant ist: FATF und die FinCEN Hinweise zu konvertierbarer virtueller Währung beschreiben Mixing als Methode, die Verbindung zwischen sendenden und empfangenden Adressen zu verschleiern. Datenschutz kann legitim sein, deshalb bleibt der Kontext entscheidend.
Nächster Prüfschritt: Unterscheiden Sie direkte Nutzung von einer entfernten indirekten Verbindung. Betrachten Sie Wert, Zeitpunkt, Transaktionsdistanz, Herkunftserklärung und Wesentlichkeit für die konkrete Zahlung.
7. Die Wallet ist mit einem bekannten illegalen oder beschränkten Dienst verbunden
Warum das relevant ist: Direkte Verbindungen zu bekanntem Betrug, Diebstahl, Ransomware, Darknet Aktivität oder sanktionierten Quellen verlangen schnelle Aufmerksamkeit. Eine mehrere Schritte entfernte Verbindung ist nicht mit einem direkten Eingang gleichzusetzen.
Nächster Prüfschritt: Prüfen Sie Zuordnung, Datum und Quelle, Zahlungsrichtung, Distanz, relevanten Betrag und geltende Rechtsordnung. AML und Sanktionskontrollen können unterschiedliche Maßnahmen erfordern.
8. Dienst oder geografischer Bezug passen nicht zur Kundenerklärung
Warum das relevant ist: Anbieter oder Rechtsräume ohne erkennbaren Bezug zum Wohnsitz oder Geschäft des Kunden können das Risiko erhöhen, besonders bei schwacher Aufsicht. Geografie darf jedoch kein Ersatzurteil über eine Nationalität sein.
Nächster Prüfschritt: Klären Sie den geschäftlichen Grund, identifizieren Sie den Dienst, prüfen Sie dessen aktuellen Regulierungsstatus und vergleichen Sie die Route mit Kundenprofil und Rechnung.
9. Zahler ändert unerwartet Wallet, Asset oder Netzwerk
Warum das relevant ist: Eine kurzfristige Änderung kann harmlos sein, aber auch auf kompromittierte Kommunikation, Adressaustausch oder die Umgehung einer früheren Prüfung hindeuten. Das FBI empfiehlt bei geänderten Zahlungsanweisungen eine unabhängige Bestätigung.
Nächster Prüfschritt: Bestätigen Sie die Änderung über einen vertrauenswürdigen zweiten Kanal. Prüfen Sie die vollständige Adresse, den Token Vertrag und das Netzwerk. Untersuchen Sie die neue Quelle oder das neue Ziel vor der Freigabe.
10. Transaktion und erklärte Mittelherkunft widersprechen sich
Warum das relevant ist: Börsenbeleg, Rechnung oder mündliche Erklärung können von Wallet Verlauf, Betrag, Zeitpunkt oder Kontoinhaber abweichen. Unvollständige oder wechselnde Angaben wiegen schwerer, wenn weitere Signale vorliegen.
Nächster Prüfschritt: Fordern Sie Belege an, die Person, Konto, Wallet und konkrete Transaktion verbinden. Die Erklärung muss überprüfbar werden. Mehr dazu im Beitrag über die Bedeutung der Mittelherkunft bei Krypto.
11. Ein Dritter scheint die Zahlung zu kontrollieren oder zu finanzieren
Warum das relevant ist: Ein Kunde kann ein Börsenkonto, Bankkonto oder eine Wallet einer anderen Person ohne klare Beziehung vorlegen. Dahinter können ein Finanzkurier, verdecktes wirtschaftliches Eigentum oder eine legitime Zahlung durch ein verbundenes Unternehmen stehen.
Nächster Prüfschritt: Identifizieren Sie den Dritten, Beziehung und Befugnis. Prüfen Sie, ob Drittzahlungen laut Richtlinie zulässig sind, und bewerten Sie Kundenkontext und Wallet Belege gemeinsam.
12. Dringlichkeit, Geheimhaltung oder Druck sollen Kontrollen umgehen
Warum das relevant ist: Betrüger erzeugen häufig Zeitdruck, um eine Bestätigung oder Intervention zu verhindern. Druck zur Warenfreigabe, Rückzahlung an eine andere Adresse, Missachtung eines Alarms oder falschen Beschreibung einer Zahlung ist Teil der Beweislage.
Nächster Prüfschritt: Verlangsamen Sie den Ablauf, sichern Sie Nachrichten, bestätigen Sie Anweisungen unabhängig und folgen Sie dem üblichen Freigabeweg. Die Warnung von FBI und IC3 vor Börsenimitatoren zeigt, wie Dringlichkeit zum Diebstahl von Zugangsdaten und Krypto eingesetzt wird.
So reagieren Sie auf ein auffälliges Muster
- Identifikatoren sichern: Erfassen Sie vollständige Adressen, Netzwerk, Asset, Betrag, Transaktionshash, Zeitpunkte, Kundenreferenz, Kommunikation und Alarmgrund.
- Richtiges Ziel prüfen: Klären Sie, ob Absender, Ziel, Transaktion oder mehrere verbundene Adressen untersucht werden müssen. Eine Adresse im falschen Netzwerk kann das Ergebnis unbrauchbar machen.
- Belege und Kontext vergleichen: Stellen Sie Wallet Erkenntnisse neben KYC Daten, Rechnung, erwartete Aktivität, Herkunftsnachweise und bisheriges Verhalten. KYC, KYT und AML beantworten unterschiedliche Fragen.
- Wesentlichkeit bewerten: Berücksichtigen Sie Richtung, Wert, Aktualität, Distanz, Sicherheit der Zuordnung und das Zusammenspiel mehrerer Signale.
- Unklarheiten gezielt klären: Stellen Sie eine konkrete Frage oder fordern Sie einen passenden Beleg an. Sammeln Sie keine Daten ohne definierten Zweck.
- Entscheiden und dokumentieren: Akzeptieren, pausieren, ablehnen oder eskalieren Sie nach Richtlinie. Halten Sie Prüfung, verantwortliche Person und Begründung fest. Nach einem bereits erfolgten Eingang hilft ein strukturierter Ablauf für die erste Stunde.
Die Rolle von Farona
Farona unterstützt Teams dabei, Risikoindikatoren zu Wallets und Transaktionen in einem strukturierten Bericht zu untersuchen. Verfügbare Blockchain Belege werden in einen Farona Score, eine Farona Stufe, ein verständliches Ergebnis und unterstützende Details übersetzt, die mit Kunden- und Zahlungskontext verglichen werden können.
Farona stellt nicht den rechtlichen Eigentümer jeder Wallet oder kriminelle Absicht fest und ersetzt kein AML Programm. Die Lösung hilft bei der Priorisierung und bei einer dokumentierten menschlichen Prüfung. Ein stärkeres Signal kann eine tiefere Untersuchung begründen, sollte aber ohne Betrachtung von Belegen und geltenden Regeln nicht automatisch zur Ablehnung führen.
Quellen und weiterführende Informationen
- FATF: Warnsignale für Geldwäsche und Terrorismusfinanzierung bei virtuellen Vermögenswerten
- FinCEN: Illegale Aktivitäten mit konvertierbarer virtueller Währung
- Europäische Bankenaufsichtsbehörde: Risikofaktoren für Kryptodienstleister
- FBI IC3: Kryptowährung bei Betrug mit Geschäftskommunikation
Die Quellen wurden am 31. August 2026 geprüft. Dieser Beitrag dient der allgemeinen Information und ist keine Rechtsberatung. Warnsignale, Meldepflichten und zulässige Maßnahmen unterscheiden sich nach Rechtsraum und Geschäftsmodell.
