Bitcoin-ATM-Betrug: Was Banken über AML und On-Chain-Risiken wissen müssen

Bitcoin-ATM-Betrug trifft die Compliance-Abteilungen der Banken mit wachsender Wucht. Ein Kunde hebt Bargeld am Schalter ab, steckt es auf Anweisung eines Fremden in einen Kiosk, und die Gelder werden in Kryptoassets umgewandelt, bevor jemand bei der Bank Anlass hat, genauer hinzusehen. Das Internet Crime Complaint Center (IC3) des FBI verzeichnete für 2025 einen Anstieg der Verluste durch Krypto-ATM-Betrug um 58 Prozent im Jahresvergleich, und die Aufsichtsbehörden in den USA, Großbritannien, Australien und Kanada reagieren mit neuen Vorschriften, die Blockchain-Analysen ausdrücklich als erforderliche Kontrolle nennen. Compliance-Teams, die dies als Problem anderer betrachten, sind bereits im Rückstand.

Wie der Betrug tatsächlich funktioniert

Die Mechanik ist so beständig, dass sie eine anerkannte Typologie darstellt. Das Verständnis des Drehbuchs ist der Ausgangspunkt für die Entwicklung von Kontrollen, die es unterbrechen können.

Das vierstufige Betrugsmuster

Zunächst nimmt der Betrüger eine glaubwürdige Identität an: eine Regierungsbehörde, das Betrugsteam der eigenen Bank des Opfers, die Strafverfolgung, ein Versorgungsunternehmen, ein Verwandter in Not oder ein romantischer Kontakt, der über Wochen des Nachrichtenaustauschs aufgebaut wurde. Zweitens wird Dringlichkeit erzeugt, typischerweise eine Drohung mit einer harten Frist, überfällige Steuern, die ohne sofortige Begleichung zur Verhaftung führen, ein eingefrorenes Konto, das entsperrt werden muss, oder ein Familiennotfall, der sofortiges Bargeld erfordert. Drittens wird das Opfer zu einem bestimmten Kiosk dirigiert und erhält einen QR-Code, der die Einzahlung direkt in eine vom Betrüger kontrollierte Wallet leitet. Viertens bewegen sich die Gelder schnell durch Börsen, Mixer und manchmal über Blockchains hinweg, um die Nachverfolgung zu erschweren.

Der Kiosk wird bewusst gewählt. Er beseitigt die Reibung, die Banküberweisungen und Kartenzahlungen mit sich bringen: keine Bedenkzeit, keine Zwei-Faktor-Authentifizierung, die mit den Geräten des Opfers verknüpft ist, und kein Relationship Manager, der eine unangenehme Frage stellen könnte. Sobald das Bargeld im Automaten ist, erfolgt die Umwandlung nahezu augenblicklich.

Warum Kioskbetreiber Teil des Problems sind

In den Vereinigten Staaten werden Krypto-ATM-Betreiber als Money Services Businesses (MSBs) eingestuft und müssen Bank Secrecy Act (BSA)-konforme Anti-Geldwäsche-Programme unterhalten. FinCEN hat jedoch festgestellt, dass eine erhebliche Anzahl von Betreibern überhaupt nicht als MSB registriert ist oder die von der Einstufung geforderten Kontrollen nicht implementiert hat. Diese Compliance-Lücke ist nicht zufällig, sondern macht den Kiosk zu einem attraktiven Ausgangspunkt für Betrüger. Ein Automat mit schwacher Know-Your-Customer-Verifizierung und ohne Transaktionsüberwachung ist faktisch eine reibungsarme Brücke von Bargeld zu Krypto, bei der kaum Fragen gestellt werden.

Das Fiat-seitige Signal: Was Banken sehen können, bevor das Bargeld das Haus verlässt

Für eine Bank ist das Zeitfenster für ein Eingreifen eng und liegt vollständig auf der Fiat-Seite. Sobald Bargeld den Schalter passiert, verliert die Bank die Sicht. Das macht das Abhebungsereignis selbst zum handlungsrelevantesten Datenpunkt, den das Institut besitzt.

Verhaltensindikatoren in der Filiale

Bestimmte Abhebungsmuster treten in Fällen von Bitcoin-ATM-Betrug immer wieder auf. Filialmitarbeiter und Transaktionsüberwachungsteams sollten auf Folgendes achten:

• Eine angegebene Begründung, die eine Regierungsbehörde, das eigene Betrugsteam der Bank, einen Krypto-Automaten, eine "sichere Wallet" oder eine IRS-Geldstrafe betrifft. Opfer wiederholen oft fast wörtlich das ihnen vorgegebene Skript.
• Eine einzelne ungewöhnlich große Barabhebung oder eine Abfolge von Abhebungen, die knapp unter den Meldegrenzen strukturiert sind, was auf eine Anleitung durch den Betrüger hindeuten kann, um eine Prüfung zu vermeiden.
• Sichtbare Not, ungewöhnliche Dringlichkeit oder Anzeichen dafür, dass der Kunde während der Transaktion telefoniert oder Echtzeit-Anweisungen erhält.
• Demografischer Kontext: Ältere Kunden, die Schalter statt digitaler Kanäle nutzen, sind in den Opferdaten zu ATM-Betrug überproportional vertreten, und Filialmitarbeiter sind oft der einzige menschliche Kontaktpunkt in der Kette.

Mitarbeiterbefragung und Eskalationsprotokolle

Ein kurzer, nicht anklagender Fragenkatalog kann die meisten unklaren Fälle schnell klären. Wer hat den Kunden zu dieser Abhebung aufgefordert? Wie hat diese Person Kontakt aufgenommen? Wurde der Kunde gebeten, die Gelder an einem Automaten einzuzahlen oder einen QR-Code zu scannen? Klare dokumentierte Regeln sollten festlegen, wann eine Abhebung fortgesetzt werden kann, wann sie bis zur Rücksprache mit dem Betrugsteam zurückgehalten werden sollte und wann sie sofort eskaliert werden muss. Jeder Entscheidungspunkt muss dokumentiert werden, sowohl für interne Prüfungszwecke als auch weil dieser Nachweis für eine spätere strafrechtliche Untersuchung oder einen freiwilligen Informationsaustausch nach Section 314(b) mit einer anderen Bank relevant werden kann.

Die On-Chain-Seite: Was Blockchain-Analysen zurückgewinnen können

Die Annahme, auf die der Betrug setzt, ist, dass die Gelder verschwunden sind, sobald Bargeld zu Kryptoassets wird. Öffentliche Blockchains machen diese Annahme falsch. Jede Transaktion wird dauerhaft aufgezeichnet und ist mit den richtigen Werkzeugen bekannten Entitäten, einschließlich bestimmter Kioskbetreiber, zuzuordnen.

Wallet-Attribution und Expositionsmessung

Blockchain-Analyselösungen ordnen Wallets und Transaktionscluster bekannten Krypto-ATM-Betreibern zu. Wenn eine Bank die Wallet eines Kunden oder einer Gegenpartei prüft, zeigt die Exposition gegenüber gekennzeichneten Kiosken, ob die Gelder direkt von einem Kiosk kamen oder mehrere Hops später über Zwischenwallets eingegangen sind. Das verwandelt "möglicherweise ist ein Kiosk beteiligt" von einer nicht überprüfbaren Vermutung in einen quantifizierbaren Risikoindikator. Für eine Bank, die Kryptoassets verwahrt, kryptobezogene Dienstleistungen anbietet oder einfach auf eine Anfrage der Strafverfolgung reagiert, ist diese Messung der Unterschied zwischen einer nützlichen Antwort und einem leeren Bildschirm.

Eine Durchsetzungsmaßnahme vom Dezember 2025 veranschaulicht, was dies in der Praxis ermöglicht. Das US-Justizministerium hat mehr als 200.000 US-Dollar für vier ältere Opfer zurückgewonnen, nachdem Betrüger, die sich als Betrugsteams ihrer Banken ausgaben, sie angewiesen hatten, Bargeld an Krypto-ATMs einzuzahlen. Die Ermittler nutzten On-Chain-Tracing, um die Gelder durch Wallets, Börsen und über Blockchains hinweg zu einer Wallet bei einer auf den Seychellen registrierten Börse zu verfolgen. Die Rückgewinnung wäre ohne Blockchain-Analysen in Attributionsqualität bei jedem Schritt dieser Spur nicht möglich gewesen.

Verschachtelte Betreiber und die Grenzen der oberflächlichen Prüfung

Die Attributionsqualität ist am wichtigsten, wenn der Kiosk als verschachtelter Dienst (nested service) operiert und sein Geschäft über ein Konto bei einer größeren, bekannteren Börse abwickelt. On-Chain ähneln solche Ströme eher der Host-Börse als dem zugrunde liegenden Kiosk, was sowohl den Betreiber als auch das von ihm ausgehende Risiko verschleiert. Ein Screening-Durchlauf, der bei der Börsenkennzeichnung stehen bleibt, liefert ein sauberes Ergebnis. Einer, der den dahinter liegenden verschachtelten Betreiber identifizieren kann, liefert den Risikoindikator, den Compliance-Teams tatsächlich benötigen. Die Lücke zwischen diesen beiden Ergebnissen ist die Lücke zwischen Attributionstiefe und Oberflächenkennzeichnung, und genau diese Lücke sollen sophisticated Betrugstypologien ausnutzen.

Due Diligence zu Kioskbetreibern als direkte Gegenparteien

Banken sehen sich gelegentlich einem anderen Szenario gegenüber: Ein Krypto-ATM-Betreiber beantragt ein Geschäftskonto, um seine Automaten zu finanzieren. On-Chain-Aktivitäten gehören ins Zentrum dieser Due-Diligence-Prüfung. Die Transaktionsströme sollten mit den angegebenen Geschäftsvolumina und dem Kundenprofil des Betreibers übereinstimmen. Zu den von Aufsichtsbehörden und Blockchain-Analyseanbietern identifizierten Warnsignalen gehören Ströme, die nicht mit dem erklärten Durchsatz übereinstimmen, die Konzentration von Einzahlungen aus einer kleinen Anzahl von Wallets und Muster schneller Weiterleitung in Hochrisikoländer oder zu Mixing-Diensten. Wo diese Indikatoren auftreten, sollte die Due Diligence sie mit demselben Gewicht behandeln wie eine Verdachtsmeldung und nicht als Hintergrundrauschen.

Dies steht in direktem Zusammenhang mit den umfassenderen AML-Pflichten, mit denen sich Compliance-Teams bereits befassen. Für Kontext dazu, wie sich die regulatorischen Erwartungen an AML-Kontrollen in angrenzenden Bereichen verschieben, siehe wie der Rückzug der FinCEN-CVC-Mixing-Regel die AML-Pflichten neu gestaltet, und vergleichen Sie mit was die südkoreanische Anordnung zur Blockierung von Börsen für AML-Compliance-Teams bedeutet.

Die regulatorische Verschärfung: Wo jede Jurisdiktion steht

Aufsichtsbehörden in mehreren Jurisdiktionen sind zu dem Schluss gekommen, dass das Ausmaß der Ausbeutung direktes Eingreifen rechtfertigt, und das Tempo dieser Eingriffe nimmt zu.

Vereinigte Staaten

Mehrere US-Bundesstaaten haben Maßnahmen zur Kontrolle oder Einschränkung von Krypto-ATMs ergriffen, wobei Indiana, Tennessee und Minnesota ein vollständiges Verbot erlassen haben. Die in Betracht gezogene Bundesgesetzgebung würde Betreiber dazu verpflichten, sich zu registrieren, Transaktionslimits anzuwenden, die Kundenverifizierung durchzuführen, Betrugswarnungen anzuzeigen und neuen Kunden, die innerhalb von 30 Tagen Betrug melden, vollständige Rückerstattungen zu gewähren. Bemerkenswert ist, dass der Gesetzesentwurf Blockchain-Analysen als erforderliche Kontrolle nennt, was signalisiert, wohin die Aufsichtserwartungen gehen, selbst wenn das Gesetz noch nicht verabschiedet ist. Die Federal Trade Commission hat Krypto-ATMs als primäres Vehikel für die Sammlung und Geldwäsche von Betrugserlösen bezeichnet, eine Einordnung, die mit den bestehenden Bedenken von FinCEN gegenüber nicht konformen MSB-Betreibern übereinstimmt.

Vereinigtes Königreich

Das Registrierungssystem der britischen Financial Conduct Authority hat Krypto-ATMs für jeden Betreiber, der keine FCA-Registrierung erhalten hat, faktisch verboten. In der Praxis hat die FCA keinen Kioskbetreiber registriert, was bedeutet, dass ein rechtmäßiger Betrieb derzeit nicht möglich ist. Diese regulatorische Haltung spiegelt eine bewusste politische Entscheidung wider und nicht ein Versehen.

Australien und Kanada

Australien hat Transaktionslimits für Krypto-ATM-Aktivitäten eingeführt. Kanadas Finanznachrichtendienst FINTRAC hat Kioske als primäre Methode zur Sammlung und Geldwäsche von Betrugserlösen bezeichnet und eine entsprechend restriktive Aufsichtshaltung eingenommen. Die internationale Konsistenz dieser Reaktionen legt nahe, dass multijurisdiktionale Compliance-Teams die Krypto-ATM-Exposition als globale Typologie und nicht als US-spezifisches Risiko behandeln sollten.

Praktische Implikationen für Compliance- und Finanzteams

Banken und Wirtschaftsprüfungsgesellschaften, die Kunden mit AML-Pflichten unterstützen, sollten ihre Kontrollrahmen an den spezifischen Merkmalen dieser Typologie ausrichten. Die doppelte Natur des Risikos, Fiat-Abhebung auf der einen Seite, On-Chain-Bewegung auf der anderen, bedeutet, dass weder ein reines Bargeldüberwachungsprogramm noch ein reines Blockchain-Analyse-Abonnement ausreicht. Die Kontrollen müssen miteinander verbunden sein.

Auf der Fiat-Seite bedeutet das dokumentierte Eskalationsprotokolle auf Filialebene, Mitarbeiterschulungen, die auf die spezifische Sprache und die Dringlichkeitsmuster abgestimmt sind, die Opfer berichten, und Transaktionsüberwachungsregeln, die auf die oben beschriebenen Abhebungsverhalten abgestimmt sind. Auf der On-Chain-Seite bedeutet es Blockchain-Analysen, die Exposition nicht nur Börsen, sondern auch den dahinter liegenden verschachtelten Betreibern und Kiosk-Clustern zuordnen können und die Section 314(a)-Antworten an FinCEN und den freiwilligen Austausch nach Section 314(b) mit anderen Instituten mit einem reicheren Beweisbild als einer einfachen Wallet-Adresse unterstützen können.

Für Unternehmen, die Krypto-Buchhaltungssoftware oder Software für die Buchhaltung digitaler Assets verwenden, um Kundenportfolios oder interne Treasury-Positionen zu verwalten, sollte jede im Rahmen der Routineabstimmung geprüfte Wallet nun die Kiosk-Exposition als gekennzeichnete Kategorie enthalten. Die regulatorische Richtung macht es wahrscheinlich, dass dies in naher Zukunft eine Prüfererwartung und keine diskretionäre Verbesserung sein wird. Die Integration in bestehende Workflows jetzt ist wesentlich weniger disruptiv als ein nachträglicher Einbau unter Prüfungsdruck.

Die breitere Lehre aus der Rückgewinnung vom Dezember 2025 ist, dass On-Chain-Tracing funktioniert, aber nur, wenn Ermittler schnell Daten in Attributionsqualität zur Verfügung haben. Banken, die Blockchain-Analysen noch nicht in ihre BSA/AML-Programme integriert haben, arbeiten mit einem strukturellen blinden Fleck, der von dieser Typologie gezielt ausgenutzt wird.

Häufig gestellte Fragen

Haften Banken, wenn ein Kunde bei einem Bitcoin-ATM-Betrug Geld verliert?

Die Haftung hängt von der Jurisdiktion und den konkreten Umständen ab, aber die unmittelbarere Frage für die meisten Banken ist regulatorischer Natur. Wenn die Transaktionsüberwachung einer Bank Abhebungsmuster, die mit bekannten Betrugstypologien übereinstimmen, nicht gekennzeichnet hat oder wenn Filialmitarbeiter nicht zu den relevanten Warnsignalen geschult wurden, ist das ein Mangel des BSA/AML-Programms, unabhängig davon, ob die Bank eine zivilrechtliche Haftung gegenüber dem Kunden trägt. Die beiden Fragen sind getrennt, und die regulatorische taucht in der Regel zuerst auf.

Was ist der Unterschied zwischen direkter und verschachtelter Krypto-ATM-Exposition in Blockchain-Analysen?

Direkte Exposition bedeutet, dass eine Wallet Gelder erhalten hat, die direkt aus dem Cluster eines Kioskbetreibers stammen. Verschachtelte Exposition bedeutet, dass der Kiosk seine Aktivität über eine größere Börse abgewickelt hat, sodass die Wallet die Börsenkennzeichnung statt des Kiosks anzeigt. Die Identifizierung verschachtelter Exposition erfordert Analysen, die hinter die Börsenkennzeichnung bis zum zugrunde liegenden Betreiber blicken können. Deshalb ist die Attributionstiefe ein wichtiges Unterscheidungsmerkmal bei der Auswahl oder Bewertung einer Blockchain-Analyselösung.

Gilt der Informationsaustausch nach Section 314(b) für Untersuchungen von Krypto-ATM-Betrug?

Ja. Section 314(b) des USA PATRIOT Act erlaubt es US-Finanzinstituten, freiwillig Informationen untereinander über Personen oder Organisationen auszutauschen, von denen sie vermuten, dass sie an Geldwäsche oder Terrorismusfinanzierung beteiligt sind. Krypto-ATM-Betrug ist eine Geldwäschetypologie. Wenn eine Bank Fiat-seitige Erkenntnisse und eine andere On-Chain-Daten hat, kann ein 314(b)-Austausch beide zu einem vollständigeren Bild für die Strafverfolgung kombinieren. Blockchain-Analysen erhöhen den Wert dieses Austauschs erheblich.

Wie sollten Wirtschaftsprüfungsgesellschaften Kunden beraten, die Konten von Krypto-ATM-Betreibern halten?

Jeder Kunde, der ein Krypto-ATM-Geschäft betreibt oder bankt, sollte anhand der von Aufsichtsbehörden identifizierten Compliance-Indikatoren bewertet werden: BSA/MSB-Registrierungsstatus, Vorhandensein eines dokumentierten AML-Programms, Transaktionsüberwachung und Kundenverifizierungsverfahren. Die On-Chain-Due-Diligence zu den Wallet-Strömen des Betreibers sollte Teil des Beratungsprozesses und kein optionales Extra sein. Das regulatorische Umfeld in den USA, Großbritannien, Australien und Kanada bedeutet, dass nicht konforme Betreiber einem erhöhten Durchsetzungsrisiko ausgesetzt sind, was direkte Auswirkungen auf die mit ihnen verbundenen Banken und Berater hat.

Was sollte eine Bank tun, wenn ein Kunde nach der Meldung eines Betrugs eine Bitcoin-ATM-Wallet-Adresse vorlegt?

Die Wallet-Adresse sollte unverzüglich an die Blockchain-Analyseplattform der Bank zur Attribution und Nachverfolgung weitergegeben werden. Die Ausgabe zeigt, ob sich die Gelder noch an der Empfangsadresse befinden, ob sie zu einer Börse bewegt wurden, wo eine Beschlagnahme durch Strafverfolgungsbehörden möglich sein könnte, oder ob sie durch Mixing oder Cross-Chain-Aktivitäten verschleiert wurden. Diese Trace-Ausgabe sollte jeder Verdachtsmeldung (SAR) beiliegen, die bei FinCEN in den USA, der National Crime Agency in Großbritannien, AUSTRAC in Australien oder FINTRAC in Kanada eingereicht wird. Geschwindigkeit ist entscheidend: Je länger das Intervall zwischen Einzahlung und Nachverfolgung, desto weiter bewegen sich die Gelder und desto schwieriger wird die Rückgewinnung.

Source: Elliptic