AML- und Sanktions-Compliance für digitale Vermögenswerte: Best Practices von BDO für Unternehmen

Der regulatorische Druck auf die Compliance bei digitalen Vermögenswerten ist kein Randthema mehr. Die US-Börsenaufsicht SEC und das Justizministerium DOJ verschärfen beide ihre Durchsetzungsmaßnahmen gegenüber Kryptobörsen und Investitionshaltern, und die Beratungspraxis von BDO hat mit einem Rahmenwerk aus Best Practices reagiert, das Wirtschaftsprüfungsgesellschaften, Abschlussprüfer und CFOs als operative Grundlage betrachten sollten – nicht als Wunschliste. Im Zentrum dieses Rahmenwerks steht eine direkte Herausforderung: Dieselben Blockchain-Eigenschaften, die digitale Vermögenswerte effizient machen, geben auch böswilligen Akteuren wirkungsvolle Werkzeuge, um Herkunft, Eigentum und Bewegung von Geldern zu verschleiern.

Warum digitale Vermögenswerte AML- und Sanktionsprogramme verkomplizieren

Traditionelle AML-Programme wurden um Finanzintermediäre herum aufgebaut: Banken, Broker und Zahlungsabwickler, die zwischen den Vertragsparteien sitzen und identifizierende Informationen sammeln. Digitale Vermögenswerte stören dieses Modell auf verschiedene Weise.

Pseudonymität und Dezentralisierung

Blockchain-Adressen sind nicht inhärent mit rechtlichen Identitäten verbunden. Eine Wallet-Adresse verrät nichts darüber, wer sie kontrolliert, es sei denn, zusätzliche On-Chain- oder Off-Chain-Informationen werden hinzugefügt. In Kombination mit der Dezentralität vieler Netzwerke bedeutet dies, dass eine Transaktion in Minuten grenzüberschreitend abgewickelt werden kann, ohne dass ein einziger Intermediär die volle Sicht auf die Kette der Gegenparteien hat.

Geschwindigkeit und globale Reichweite

Kryptowährungstransaktionen können weltweit in Sekunden abgewickelt werden. Die Geschwindigkeit, die Blockchain für legitime grenzüberschreitende Zahlungen attraktiv macht, ist dieselbe Geschwindigkeit, die es ermöglicht, Layering-Strategien anzuwenden, um Gelder durch mehrere Wallets zu bewegen, bevor ein Compliance-Team überhaupt einen Alarm ausgelöst hat. Stablecoins, die nun sowohl im Einzelhandel als auch bei institutionellen Märkten eine gewisse Größe erreicht haben, fügen eine weitere Dimension hinzu: Sie kombinieren die nahezu sofortige Abwicklung von Krypto mit einer Wertstabilität, die das Volatilitätsrisiko eliminiert, und sind damit ein praktisches Vehikel, um große Summen effizient zu bewegen.

Volumen und Datenkomplexität

Eine einzelne Blockchain kann Millionen von Transaktionen pro Tag aufzeichnen. Die rohe Menge an On-Chain-Daten, die für den Kundenstamm eines Unternehmens relevant ist – sei es direkt über Börsenkonten oder indirekt über Gegenparteien, die digitale Vermögenswerte halten –, übersteigt schnell das, was manuelle Prüfungsteams verarbeiten können. BDOS Leitlinien sind eindeutig: Unternehmen müssen diese Daten durch automatisierte Tools nutzen und sich nicht auf stichprobenbasierte oder periodische Überprüfungen verlassen.

Der regulatorische Hintergrund: SEC, DOJ und eine sich verändernde Landschaft

BDO stellt fest, dass sowohl SEC als auch DOJ ihre Durchsetzungsaktivitäten gegen Kryptobörsen und Investitionshalter intensiviert haben. Diese Doppelrolle der Behörden ist für Compliance-Teams bedeutsam, da Exposition auf zwei getrennten Wegen entstehen kann: Verstöße gegen Wertpapiergesetze und strafrechtliche Geldwäsche- oder Sanktionsumgehungsvorwürfe. Unternehmen, die digitale Vermögenswerte als Nischenproduktkategorie behandeln und nicht als Mainstream-Compliance-Verpflichtung, tragen daher gleichzeitig ein nicht kalkuliertes Risiko auf beiden Wegen.

Die breitere regulatorische Landschaft entwickelt sich ebenfalls weiter. Die Zulassung von Bitcoin-ETFs hat institutionelles Kapital in den Raum gezogen und erhöht die Einsätze für Unternehmen, die Vermögensverwalter, Fondsverwalter oder Unternehmensfinanzabteilungen mit digitalen Vermögenswerten betreuen. Die Einführung von Stablecoins beschleunigt sich im grenzüberschreitenden Zahlungsverkehr, und Regulierungsbehörden weltweit bewegen sich dahin, Stablecoin-Emittenten und -Vertreiber in formelle AML-Perimeter einzubeziehen. Für Kontext, wie Durchsetzung schnell folgen kann, wenn diese Perimeter verletzt werden, ist die Fallstudie von wie Sanktionen und Blockchain-Analytik einen Rubel-Stablecoin kollabieren ließen aufschlussreich.

Die Kern-Best-Practices von BDO für AML- und Sanktionsprogramme

Die Leitlinien bündeln sich in mehreren voneinander abhängigen Säulen. Jede hat direkte Auswirkungen darauf, wie Wirtschaftsprüfungsgesellschaften die Kundenannahme strukturieren, wie CFOs interne Kontrollen entwerfen und welche Software für die Buchhaltung digitaler Vermögenswerte Unterstützung bieten muss.

Kontinuierliche Neubewertung der direkten und indirekten Exposition

Die erste Empfehlung von BDO lautet, dass Unternehmen ihre Exposition gegenüber digitalen Vermögenswerten kontinuierlich neu bewerten – sowohl direkt, über angebotene Produkte und Konten, als auch indirekt, über Gegenparteien, Korrespondenzbeziehungen und Anlageportfolios. Dies ist keine einmalige Übung. Die Anlageklasse entwickelt sich schnell: Ein Firmenkunde, der vor zwei Jahren noch kein Krypto hielt, könnte jetzt eine Treasury-Position in Stablecoins halten, und ein Zahlungsabwickler könnte stillschweigend Krypto-Ausstiegsoptionen hinzugefügt haben. Die Expositionserfassung muss in den jährlichen Risikobewertungszyklus eingebettet und durch wesentliche Änderungen im Kundenstamm oder Produktmix ausgelöst werden.

Automatisierte Kundensorgfaltspflichten (CDD)

Manuelle CDD-Prozesse können mit den Datenanforderungen der Compliance für digitale Vermögenswerte nicht skalieren. BDO fordert ausdrücklich automatisierte CDD-Tools, die On-Chain-Daten zusammen mit traditionellen Identitäts- und wirtschaftlichen Eigentumsinformationen verarbeiten können. Für Wirtschaftsprüfungsgesellschaften, die Kundenannahme-Workflows durchführen, bedeutet dies, Blockchain-Analytik-Ergebnisse in das Risikobewertungsmodell bei der Annahme zu integrieren – nicht als nachträglichen Gedanken. Für CFOs bedeutet es, sicherzustellen, dass der Compliance-Technologie-Stack des Unternehmens in der Lage ist, die Datenformate und -mengen zu bewältigen, die Blockchain-Intelligenzanbieter produzieren.

Sanktionsscreening mit Blockchain-Intelligenz

Namens- und Adressabgleich gegen die OFAC-SDN-Liste ist notwendig, aber nicht ausreichend, wenn die Gegenpartei eine Wallet-Adresse ist. Unternehmen benötigen Screening-Tools, die Wallet-Adressen gegen Sanktionsdesignierungen abgleichen können, Adressen identifizieren, die mit designierten Einheiten Transaktionen durchgeführt haben, und indirekte Exposition durch verunreinigte Transaktionshistorien kennzeichnen. Die Bedeutung dieser Fähigkeit wird durch die jüngsten Maßnahmen der OFAC veranschaulicht, einschließlich der Designierung von Wallets, die mit einem Hamas-Finanzierungsnetzwerk verbunden sind, wie in unserer Analyse der OFAC-Sanktionsmaßnahme gegen ein Hamas-Finanzierungsnetzwerk behandelt.

Transaktionsüberwachung kalibriert auf Krypto-Verhalten

Standard-Szenarien zur Transaktionsüberwachung, entwickelt für Banküberweisungen und Kartenzahlungen, lassen sich nicht direkt auf Blockchain-Aktivitäten übertragen. On-Chain-Muster, die auf Layering hindeuten, wie schnelle Durchlauftransaktionen über mehrere Wallets, die Nutzung von Datenschutzprotokollen oder die Konvertierung über dezentrale Börsen, erfordern Überwachungsregeln und maschinelle Lernmodelle, die auf kryptospezifische Typologien trainiert sind. Die Ansicht von BDO ist, dass das Volumen und die Komplexität von Blockchain-Daten automatisierte Überwachung nicht nur bevorzugt, sondern essenziell machen. Unternehmen, die sich weiterhin auf periodische manuelle Überprüfungen digitaler Vermögensaktivitäten verlassen, operieren mit einer erheblichen Lücke.

Intelligenzgewinnung und -analyse

BDO betrachtet die öffentliche und unveränderliche Aufzeichnung der Blockchain nicht nur als Compliance-Herausforderung, sondern auch als Intelligenzquelle. Jede Transaktion hinterlässt eine Spur. Unternehmen, die in Tools und Fähigkeiten investieren, um diese Spur zu analysieren – Geldflussverfolgung, Identifizierung von Clustermustern und Korrelation von On-Chain-Aktivitäten mit Off-Chain-Intelligenz – haben einen strukturellen Vorteil sowohl bei der Erkennung verdächtiger Aktivitäten als auch bei der Verteidigung ihrer Compliance-Haltung gegenüber Regulierungsbehörden. Krypto-Buchhaltungssoftware, die transaktionsbezogene Blockchain-Daten integriert, anstatt nur aggregierte Salden, ist eine Voraussetzung für diese Art von Analyse.

Buchhaltungs- und Prüfungsimplikationen

Für Wirtschaftsprüfungsgesellschaften und Abschlussprüfer hat der BDO-Rahmen Implikationen, die über die Compliance-Funktion hinaus bis in die Finanzberichterstattung und Prüfungsmethodik reichen.

Kundenrisikoklassifizierung und -annahme

Unternehmen, die Kunden mit digitalen Vermögenswerten beraten oder prüfen, müssen diese Kunden von Anfang an in eine angemessene Risikostufe einordnen. Diese Klassifizierung sollte in den Umfang der Prüfungshandlungen, die Tiefe der Verifikation des wirtschaftlichen Eigentümers und die Häufigkeit der Transaktionsüberwachung einfließen. Die in der Prüfung verwendete Buchhaltungssoftware für digitale Vermögenswerte muss in der Lage sein, transaktionsbezogene Daten direkt von On-Chain-Quellen zu ziehen, damit die Prüfungsspur auf primären Blockchain-Daten basiert und nicht auf vom Kunden erstellten Zusammenfassungen.

Bewertung interner Kontrollen für CFOs

CFOs, die digitale Vermögenswerte in der Bilanz halten – sei es als Treasury-Bestände, Sicherheiten oder Kundeneinlagen – müssen sich vergewissern, dass die internen Kontrollen des Unternehmens die gesamte AML- und Sanktionsrisikofläche abdecken. Das bedeutet, zu fragen, ob die Kontrolldokumentation Wallet-Screening, Transaktionsüberwachungsschwellen, die auf digitale Vermögenswerte kalibriert sind, und einen klaren Eskalationspfad für den Fall, dass ein Sanktionsalarm ausgelöst wird, abdeckt. Für Unternehmen, die in mehreren Rechtsräumen tätig sind, muss der Kontrollrahmen auch unterschiedliche regulatorische Anforderungen berücksichtigen: FATF-Leitlinien, FinCEN-Regeln, EU-Geldwäscherichtlinien und bilaterale Sanktionsregime sind nicht immer deckungsgleich.

Vorausschauendes Risiko: Eine zunehmende Bedrohungsumgebung

BDO ist eindeutig, dass das Risiko, dass digitale Vermögenswerte zur Geldwäsche und Sanktionsumgehung genutzt werden, voraussichtlich zunehmen wird. Stabiles Coin-Wachstum ist ein besonderer Beobachtungspunkt: Mit steigenden Stablecoin-Volumina steigt auch ihre Attraktivität für Sanktionsumgehung, da sie die Liquidität und Übertragbarkeit von Fiat-Währungen mit der Pseudonymität von Krypto verbinden. Unternehmen, die Stablecoin-bezogene Dienstleistungen aufbauen oder Kunden prüfen, die dies tun, sollten den BDO-Rahmen als Boden, nicht als Decke, für ihr Compliance-Design betrachten.

Was Wirtschaftsprüfungsgesellschaften und CFOs jetzt tun sollten

Die Übersetzung des BDO-Rahmens in konkrete Handlungsschritte bedeutet, kurzfristig drei Bereiche zu priorisieren. Erstens: Führen Sie eine Expositionskartierung durch, die sowohl direkte als auch indirekte digitale Vermögensrisiken erfasst, einschließlich Kunden- oder Gegenparteibeziehungen, die sich seit der letzten formellen Risikobewertung entwickelt haben. Zweitens: Überprüfen Sie den Technologie-Stack: Bestätigen Sie, dass CDD-, Sanktions-Screening- und Transaktionsüberwachungstools in der Lage sind, Blockchain-Daten im erforderlichen Umfang und in der erforderlichen Häufigkeit aufzunehmen und zu analysieren. Drittens: Überprüfen Sie die Kalibrierung bestehender Überwachungsszenarien gegen kryptospezifische Typologien und schließen Sie etwaige Lücken vor dem nächsten Regulierungsprüfungszyklus.

Unternehmen, die sich noch am Anfang ihrer Compliance-Fähigkeiten für digitale Vermögenswerte befinden, sollten auch darauf schauen, wie sich der regulatorische Rahmen international entwickelt. Die gezielten Aktualisierungen der FATF für Anbieter virtueller Vermögenswerte, die MiCA-Lizenzierungswelle der EU und die laufenden Durchsetzungsmaßnahmen von DOJ und SEC in den USA konvergieren alle hin zu einer Welt, in der AML-Compliance für digitale Vermögenswerte eine Standarderwartung ist und keine fortgeschrittene Spezialität. Die Infrastruktur jetzt aufzubauen, einschließlich der richtigen Krypto-Buchhaltungssoftware zur Unterstützung der Transaktionsanalyse, reduziert die Kosten und die Störungen eines späteren Nachholens.

Quelle: BDO Insights

Häufig gestellte Fragen

Warum gelten digitale Vermögenswerte als Hochrisiko für AML- und Sanktions-Compliance?

Blockchain-Transaktionen sind pseudonym, grenzenlos und werden innerhalb von Sekunden abgewickelt. Diese Eigenschaften erleichtern es böswilligen Akteuren, Gelder über Grenzen hinweg zu bewegen, ohne dass ein traditioneller Finanzintermediär vollständige Informationen über die Gegenpartei erfasst, wodurch Lücken entstehen, die Standard-AML-Kontrollen nicht schließen sollen.

Wie sieht eine automatisierte Kundensorgfaltspflicht für ein Unternehmen mit Krypto-exponierten Kunden aus?

Es bedeutet, On-Chain-Daten wie Wallet-Aktivitäten und Transaktionshistorien aus Blockchain-Analysetools in das CDD-Risikobewertungsmodell bei der Kundenannahme zu integrieren, zusammen mit standardmäßigen Identitäts- und wirtschaftlichen Eigentumsprüfungen. Das Ziel ist ein Risikoscore, der sowohl traditionelle als auch blockchain-spezifische Warnsignale vom ersten Tag der Kundenbeziehung widerspiegelt.

Wie sollte Sanktions-Screening für digitale Vermögenskunden im Vergleich zu traditionellen Kunden unterschieden werden?

Zusätzlich zum Abgleich von Name und Adresse gegen veröffentlichte Sanktionslisten müssen Unternehmen Wallet-Adressen direkt gegen OFAC- und gleichwertige Designierungen screenen und Adressen identifizieren, die Transaktionen mit designierten Wallets durchgeführt haben, auch indirekt. Dies erfordert Blockchain-Analysefähigkeiten, die über Standard-Sanktions-Screening-Software hinausgehen.

Welche Rolle spielt Krypto-Buchhaltungssoftware in der AML-Compliance?

Effektive Krypto-Buchhaltungssoftware sollte Transaktionsdaten direkt von Blockchain-Quellen ziehen, was sowohl eine genaue Finanzberichterstattung als auch die Art von granularer Transaktionshistorie ermöglicht, die AML-Überwachungs- und Prüfungsverfahren erfordern. Software, die nur Salden aggregiert, ist für beide Zwecke in einer robusten Compliance-Umgebung unzureichend.

Wie sollten CFOs das von BDO hervorgehobene wachsende Stablecoin-Risiko angehen?

CFOs sollten Stablecoin-Bestände und Zahlungsströme als eigene Risikokategorie innerhalb ihres AML-Kontrollrahmens behandeln und Wallet-Screening- und Transaktionsüberwachungsregeln anwenden, die auf stablecoinspezifische Muster kalibriert sind. Sie sollten auch regulatorische Entwicklungen beobachten, da stablecoinspezifische AML-Anforderungen in mehreren Rechtsräumen eingeführt werden und die Compliance-Baseline schnell steigt.