Blockchain-Analytik und Sanktions-Compliance: Was Krypto-Firmen jetzt tun müssen

Wirtschaftssanktionen verändern die Compliance-Pflichten jedes Unternehmens, das mit Kryptowährungen zu tun hat. Ob Sie eine Krypto-Börse betreiben, ein Digital-Asset-Treasury verwalten oder Kunden bei der Krypto-Compliance-Berichterstattung beraten – die Frage ist nicht mehr, ob Sanktionsregeln für Sie gelten, sondern ob Ihre Monitoring-Infrastruktur die Exposure tatsächlich erkennen kann, deren Erfassung die Aufsichtsbehörden von Ihnen erwarten. Ein neuer Leitfaden von Elliptic legt genau dar, warum indirekte Exposure der Compliance-Blindfleck ist, den Durchsetzungsmaßnahmen am wahrscheinlichsten ausnutzen, und was Blockchain-Analytik tun muss, um diese Lücke zu schließen.

Warum Sanktionsrisiken im Krypto-Bereich größer sind, als die meisten Firmen annehmen

Das konventionelle Modell der Sanktionsprüfung stellt eine einfache Frage: Haben wir mit einer gelisteten Entität transagiert? Im traditionellen Finanzwesen ist diese Frage beherrschbar. Gegenparteien werden beim Onboarding identifiziert, Transaktionen fließen über bekannte Korrespondenzbanken, und Screening-Datenbanken können gegen benannte Personen und Institutionen abgeglichen werden.

Krypto verändert die Geometrie dieses Problems vollständig.

Das Problem der indirekten Exposition

Indirekte Exposition entsteht, wenn Gelder, die über Ihre Plattform fließen, nicht durch eine direkte Transaktion, sondern über einen oder mehrere Zwischenschritte mit einer sanktionierten Entität verbunden sind. Eine Wallet, die vor zwei oder drei Hops Gelder von einer sanktionierten Adresse erhalten hat, kann weiterhin ein Compliance-Risiko darstellen, selbst wenn keine Ihrer unmittelbaren Gegenparteien auf einer Watchlist erscheint.

Die Leitlinien von Elliptic machen deutlich, dass indirekte Exposition über mehrere Hops und sogar über Chains hinweg bestehen kann. Ein Unternehmen kann daher exponiert werden, ohne jemals wissentlich mit einer sanktionierten Partei zu transagieren. Die praktische Implikation ist erheblich: Wenn nur unmittelbare Gegenparteien geprüft werden, verfügt ein Unternehmen über ein Compliance-Programm, das Aufsichtsbehörden in den USA, Großbritannien und der EU wahrscheinlich als unzureichend ansehen werden.

Stablecoins als Sanktionsvektor

Stablecoins fügen eine spezifische Risikodimension hinzu, die Compliance-Teams nicht unterschätzen dürfen. Da sie den Wert von Fiat-Währungen, insbesondere des US-Dollars, abbilden, geben sie sanktionierten Akteuren eine Möglichkeit, dollaräquivalente Werte zu halten und zu bewegen, ohne das Korrespondenzbankensystem zu nutzen. Die Forschung von Elliptic deutet darauf hin, dass mit dem Iran verbundene Akteure US-Dollar-Stablecoins im Wert von mindestens einer halben Milliarde Dollar erworben haben. Diese Zahl sollte jede Annahme widerlegen, dass Stablecoins aus Sanktionsperspektive eine risikoärmere Anlageklasse sind.

Für den Kontext, wie Stablecoin-Bilanzierung mit Sanktionsdurchsetzung zusammenhängt, bietet die OFAC-Maßnahme gegen Xinbi Guarantee eine direkte Parallele – siehe unsere frühere Berichterstattung zu OFAC-Sanktionen gegen Xinbi Guarantee und was das für die Krypto-Bilanzierung bedeutet.

Was Blockchain-Analytik tatsächlich leisten muss

Das Elliptic-Framework basiert auf dem Prinzip, dass eine wirksame Sanktions-Compliance im Krypto-Bereich Attribution und Tracing sowohl über mehrere Transaktions-Hops als auch über mehrere Chains hinweg erfordert. Keine der beiden Fähigkeiten allein ist ausreichend.

Multi-Hop-Tracing

Eine Blockchain-Analytik-Lösung muss bewerten, wie eng eine gegebene Wallet oder Transaktion mit sanktionierten Entitäten verbunden ist – nicht nur einen Schritt entfernt, sondern über eine konfigurierbare Anzahl von Hops hinweg. Die Fähigkeit, unterschiedliche Risikoschwellen bei unterschiedlichen Hop-Distanzen festzulegen, ist wichtig. Eine direkte Verbindung zu einer OFAC-gelisteten Wallet erfordert einen sofortigen Alarm und eine Transaktionssperre. Eine indirekte Verbindung mehrere Hops entfernt kann eine erhöhte Sorgfaltspflicht oder eine Verdachtsmeldung statt einer sofortigen Sperre rechtfertigen, erfordert aber dennoch eine Reaktion.

Compliance-Regeln sollten so konfigurierbar sein, dass sie dieses abgestufte Risiko widerspiegeln. Die Behandlung aller indirekten Expositionen identisch – ob einen Hop oder fünf Hops entfernt – führt entweder zu vielen Fehlalarmen oder zu vielen übersehenen Risiken.

Cross-Chain-Attribution

Illegale Akteure bewegen Werte routinemäßig über Blockchains hinweg mithilfe von Bridges und Cross-Chain-Protokollen, gerade weil viele Compliance-Tools nur eine einzelne Chain überwachen. Eine wirksame Sanktionsprüfung muss Gelder verfolgen, wenn sie von einem Netzwerk in ein anderes wechseln, und Aktivitäten sanktionsverbundenen Akteuren zuordnen, unabhängig davon, auf welcher Chain die relevante Transaktion abgewickelt wird. Ein Tool, das Bitcoin überwacht, aber nicht die Chain, auf die Gelder gebrückt wurden, bietet nur teilweise Abdeckung.

Konfigurierbare Regelsätze

Das Elliptic-Framework betont, dass Compliance-Teams die Möglichkeit benötigen, die Regeln zu konfigurieren, die bestimmen, wann ein Alarm ausgelöst wird. Unterschiedliche Unternehmen haben unterschiedliche Risikobereitschaft. Ein Zahlungsabwickler, der hohe Volumina von Kleinbetragstransaktionen im Einzelhandel abwickelt, wird Schwellenwerte anders kalibrieren als ein Verwahrer, der institutionelle Kundenvermögen hält. Die Analytikschicht sollte diese Konfigurierbarkeit unterstützen, anstatt eine Einheitsalarmlogik aufzuzwingen.

Der regulatorische Hintergrund in wichtigen Jurisdiktionen

Der Druck, Blockchain-Analytik für die Sanktions-Compliance einzusetzen, ist nicht theoretisch. Aufsichtsbehörden in den wichtigsten Kryptomärkten haben klargestellt, dass AML- und Sanktionsprogramme dem tatsächlichen Risikoprofil des Unternehmens angemessen sein müssen.

Vereinigte Staaten

OFAC wendet einen Strict-Liability-Standard für Sanktionsverstöße an. Die Tatsache, dass ein Unternehmen nicht wusste, dass es mit einer sanktionierten Partei transagierte, ist ein mildernder Faktor bei der Strafberechnung, keine Verteidigung. Dieser Standard schafft einen starken Anreiz, in Technologie zu investieren, die indirekte Exposition erkennt, bevor eine Transaktion abgewickelt wird, statt nachdem eine Durchsetzung begonnen hat. Die von FinCEN verwalteten Anforderungen des Bank Secrecy Act verpflichten betroffene Unternehmen ebenfalls, AML-Programme zu unterhalten, die vernünftigerweise darauf ausgelegt sind, verdächtige Aktivitäten zu erkennen und zu melden, und Aufsichtsbehörden haben konsequent signalisiert, dass Technologieinvestitionen Teil dessen sind, was „vernünftigerweise ausgelegt“ im Kontext digitaler Assets bedeutet.

Europäische Union

Die Markets in Crypto-Assets Regulation (MiCA) der EU und das bevorstehende Framework der Anti-Money Laundering Authority (AMLA) legen Krypto-Asset-Dienstleistern erhöhte Compliance-Pflichten auf. Travel-Rule-Anforderungen, die vorschreiben, dass Originator- und Beneficiary-Informationen mit einer Übertragung mitgeführt werden, erhöhen die Bedeutung einer präzisen Gegenpartei-Attribution. Risiken indirekter Exposition sind direkt relevant für die Travel-Rule-Compliance: Wenn Sie den Ursprung von Geldern nicht präzise zuordnen können, können Sie die Travel Rule nicht präzise erfüllen.

Vereinigtes Königreich

Das Registrierungsregime der Financial Conduct Authority für Kryptoasset-Unternehmen verlangt von Firmen, robuste AML-Kontrollen nachzuweisen. Das Office of Financial Sanctions Implementation (OFSI) des Vereinigten Königreichs hat Befugnisse, zivilrechtliche Strafen für Sanktionsverstöße zu verhängen, und die Schwelle für einen Verstoß erfordert keine Absicht. Im Vereinigten Königreich registrierte Krypto-Unternehmen stehen daher vor demselben strukturellen Anreiz wie ihre US-Pendants: indirekte Exposition erkennen und verhindern, bevor sie zu einer Durchsetzungsangelegenheit wird.

Für einen verwandten Blick darauf, wie die Klassifizierung von DeFi-Betreibern AML-Pflichten auf Gesetzesebene beeinflusst, siehe unsere Analyse dazu, wie der überarbeitete CLARITY Act nicht-dezentralisierte DeFi-Betreiber ins Visier nimmt.

Bilanzierungs- und operative Implikationen für Compliance-Teams

Sanktions-Compliance ist nicht nur eine rechtliche Verpflichtung. Sie hat direkte Konsequenzen für die Finanzberichterstattung, operative Kontrollen und die Integrität der Daten, die in jede Krypto-Bilanzierungssoftware oder Digital-Asset-Bilanzierungssoftware fließen, auf die Ihr Unternehmen angewiesen ist.

Datenqualität auf Transaktionsebene

Wenn Blockchain-Analytik eine Transaktion als indirekt exponiert gegenüber einer sanktionierten Entität kennzeichnet, hängt die nachgelagerte bilanzielle Behandlung davon ab, was als Nächstes geschieht. Wird die Transaktion vor der Abwicklung gesperrt, ist der Buchungssatz einfach: Die Transaktion wurde nie abgeschlossen. Wurde die Transaktion bereits abgewickelt, bevor die Kennzeichnung erfolgte, steht das Unternehmen vor einer komplexeren Situation, die möglicherweise die Einfrierung der Gelder, die Einreichung einer SAR und die Haltung des Betrags auf einem separaten Sperrkonto bis zur regulatorischen Klärung erfordert. Jedes dieser Ergebnisse hat eine andere bilanzielle Behandlung, und die von dem Unternehmen verwendete Krypto-Buchhaltungssoftware muss in der Lage sein, sie zu erfassen und zu unterscheiden.

Anforderungen an den Audit-Trail

Aufsichtsbehörden und Wirtschaftsprüfer erwarten einen dokumentierten Audit-Trail, der zeigt, dass eine Sanktionsprüfung stattgefunden hat, welches Ergebnis sie hatte und welche Maßnahme ergriffen wurde. Bei Feststellungen indirekter Exposition muss dieser Trail die Hop-für-Hop-Analyse, den zugewiesenen Risikoscore und die getroffene Compliance-Entscheidung zeigen. Unternehmen, die diese Dokumentation nicht auf Anfrage vorlegen können, tragen sowohl regulatorisches Risiko als auch das Risiko eines Prüfungsvermerks. Diesen Trail von Anfang an in den Workflow zu integrieren, ist weitaus kostengünstiger, als ihn im Nachhinein zu rekonstruieren.

Onboarding und laufende Überwachung

Das Elliptic-Framework gilt sowohl für die Onboarding-Phase als auch für die laufende Transaktionsüberwachung. Eine Wallet, die beim Onboarding die Prüfung besteht, kann anschließend Gelder von einer neu sanktionierten Entität erhalten. Laufende Überwachung ist daher nicht optional: Sie ist der Mechanismus, durch den indirekte Exposition, die sich nach der ersten Geschäftsbeziehung entwickelt, erkannt wird. Compliance-Programme, die das Onboarding-Screening als einmaliges Ereignis behandeln, sind strukturell unvollständig.

Praktische Schritte für Compliance-Beauftragte und CFOs

Sofortmaßnahmen

Compliance-Beauftragte und CFOs sollten Bilanz ziehen, ob ihre aktuellen Analytik-Tools indirekte ebenso wie direkte Exposition bewerten. Wenn die Antwort lautet, dass nur direkte Gegenparteien geprüft werden, ist die Abdeckungslücke wesentlich. Der nächste Schritt ist zu prüfen, auf welchen Chains das Unternehmen transagiert und ob die Analytikschicht alle abdeckt. Cross-Chain-Lücken sind eine häufige und ausnutzbare Schwäche.

Die Regelkonfiguration sollte überprüft werden, um sicherzustellen, dass Alarm-Schwellenwerte das tatsächliche Risikoprofil des Unternehmens widerspiegeln und dass bei unterschiedlichen Hop-Distanzen unterschiedliche Schwellenwerte gelten. Eine pauschale Regel, die alle indirekten Expositionen identisch behandelt, wird eine Aufsichtsbehörde, die die Methodik hinter dem Compliance-Programm sehen möchte, wahrscheinlich nicht zufriedenstellen.

Dokumentation und Governance

Jede vom Analytik-Tool generierte Compliance-Entscheidung sollte mit genügend Details protokolliert werden, um die Begründung zu rekonstruieren: die bewertete Wallet oder Transaktion, der erzeugte Risikoscore, die Hop-Distanz einer gekennzeichneten Verbindung, die beteiligte Chain oder Chains und die ergriffene Maßnahme. Dieses Protokoll sollte für Wirtschaftsprüfer und, falls angefordert, für Aufsichtsbehörden zugänglich sein. Die Governance-Dokumentation sollte festlegen, wer die Befugnis hat, einen Alarm zu übergehen, und welches Genehmigungsverfahren gilt.

Den Designationslisten vorausbleiben

Sanktionslisten ändern sich häufig. OFAC, die EU und OFSI fügen Einträge hinzu und entfernen sie, manchmal mit sofortiger Wirkung. Compliance-Programme müssen so konfiguriert sein, dass sie aktualisierte Designationsdaten nahezu in Echtzeit beziehen und bestehende Kunden-Wallets gegen neue Designationen neu prüfen, sobald sie veröffentlicht werden. Ein Unternehmen, dessen Screening-Datenbank auch nur wenige Tage veraltet ist, trägt Risiken, die es möglicherweise nicht eingepreist hat.

Häufig gestellte Fragen

Was ist indirekte Sanktions-Exposition im Krypto-Kontext?

Indirekte Exposition entsteht, wenn eine Wallet oder Transaktion nicht durch eine direkte Übertragung, sondern über eine oder mehrere Zwischentransaktionen mit einer sanktionierten Entität verbunden ist. Compliance-Risiken können mehrere Hops von der ursprünglichen sanktionierten Adresse entfernt bestehen bleiben, weshalb Multi-Hop-Tracing eine Kernanforderung für jedes angemessene Sanktionsprüfungsprogramm ist.

Unterliegen Stablecoins denselben Sanktionsregeln wie andere Krypto-Assets?

Ja. Stablecoins sind Krypto-Assets und unterliegen denselben Sanktionspflichten wie jedes andere digitale Asset. Die Tatsache, dass sie Fiat-Währungs werte abbilden, macht sie zu einem attraktiven Vehikel für sanktionierte Akteure, die dollaräquivalenten Wert suchen, ohne das traditionelle Bankensystem zu nutzen, weshalb Stablecoin-Transaktionen genau dasselbe Maß an Prüfungsstrenge erfordern wie Bitcoin- oder Ether-Transaktionen.

Gilt der Strict-Liability-Standard von OFAC für indirekte Exposition?

Der Strict-Liability-Standard von OFAC bedeutet, dass ein Sanktionsverstoß auch ohne tatsächliche Kenntnis davon, dass eine Gegenpartei sanktioniert ist, vorliegen kann. Während der Grad der indirekten Exposition und die Angemessenheit des Compliance-Programms für die Strafmilderung relevant sind, sind sie keine vollständige Verteidigung. Von Unternehmen wird erwartet, dass sie Kontrollen haben, die den Risiken, denen sie ausgesetzt sind, angemessen sind, und indirekte Exposition ist ein identifiziertes und dokumentiertes Risiko im Sektor digitaler Assets.

Wie schafft Cross-Chain-Aktivität Compliance-Lücken?

Illegale Akteure nutzen Cross-Chain-Bridges und Swap-Protokolle, um Werte von einer Blockchain auf eine andere zu bewegen, und nutzen dabei Tools aus, die nur eine einzelne Chain überwachen. Wenn ein Analytik-Tool Bitcoin-Transaktionen verfolgt, aber nicht die Ethereum- oder anderen Chain-Adressen, an die gebrückte Gelder gesendet werden, kann die indirekte Verbindung zu einer sanktionierten Entität mitten in der Chain aus der Compliance-Ansicht verschwinden. Cross-Chain-Attribution ist daher eine wesentliche Fähigkeit, keine optionale Erweiterung.

Welche Buchhaltungsunterlagen sollte ein Unternehmen aufbewahren, wenn ein Alarm generiert wird?

Mindestens sollte ein Unternehmen den Wallet- oder Transaktionsidentifikator, den Zeitstempel der Screening-Prüfung, den Risikoscore und die Hop-Distanz einer gekennzeichneten Verbindung, die beteiligte Chain oder Chains, die getroffene Compliance-Entscheidung, den Namen der Person, die diese Entscheidung getroffen hat, und das Datum aufbewahren. Wird eine Transaktion gesperrt, sollten dieser Umstand und die Grundlage für die Sperre aufgezeichnet werden. Werden Gelder bis zur regulatorischen Klärung eingefroren, sollten sie auf einem gesondert ausgewiesenen Sperrkonto mit klarer Kontierung gehalten werden. Diese Aufzeichnungen bilden den Audit-Trail, den sowohl externe Wirtschaftsprüfer als auch Aufsichtsbehörden anfordern können.

Source: Elliptic