Kontinuierliche Überwachung: Warum eine einmalige Crypto-Screening-Prüfung zur Haftung werden kann
Ein Wallet, das beim Onboarding eine saubere Bewertung erhält, kann drei Monate später Gelder über einen sanktionierten Mixer leiten – und Ihr System zeigt immer noch die ursprüngliche grüne Flagge. Diese stille Veralterung ist eines der unterschätzten Compliance-Risiken im Kryptobereich und wird nun direkt durch ereignisgesteuerte kontinuierliche Überwachungstechnologie adressiert, die registrierte Adressen erneut überprüft, sobald sich etwas Wesentliches ändert.
Das Veralterungsproblem beim Crypto-Screening
Traditionelles AML-Screening basierte auf einem Modell, bei dem sich Risiken langsam entwickelten. Eine periodische Überprüfung, wöchentlich oder monatlich, war im Allgemeinen ausreichend, um bedeutende Änderungen in den Profilen der Gegenparteien zu erfassen. Krypto funktioniert nicht nach diesem Rhythmus. Gelder können innerhalb von Stunden über mehrere Zwischenschritte bewegt werden, und das Risikoprofil eines Wallets kann zwischen zwei manuellen Prüfungen von vernachlässigbar auf kritisch umschlagen.
Wie aus einer sauberen Bewertung ein Hochrisikoeintrag wird
Die Mechanik ist einfach. Beim Onboarding überprüft ein Compliance-Team ein Wallet und weist ihm einen niedrigen Risikowert zu, zum Beispiel 0,5 von 10. Dieser Eintrag bleibt im System. Wochen oder Monate später werden die Gelder in diesem Wallet an einen Darknet-Marktplatz weitergeleitet. Nichts an der ursprünglichen Überprüfung war zum Zeitpunkt ihrer Durchführung falsch. Aber das Wallet ist jetzt, bei jeder vernünftigen Bewertung, eine 10. Wenn niemand zufällig eine manuelle erneute Überprüfung durchführt, bleibt 0,5 der operative Wert. Das Team behandelt weiterhin eine Hochrisiko-Gegenpartei als eine geprüfte.
Dies ist kein hypothetischer Grenzfall. Es ist eine strukturelle Lücke in der Art und Weise, wie die meisten Compliance-Workflows die Überwachung nach dem Onboarding handhaben, und sie wird mit steigenden Transaktionsvolumina immer schwieriger zu handhaben. Jedes registrierte Wallet und jede Transaktion kontinuierlich von Hand erneut zu überprüfen, ist in großem Maßstab operativ nicht machbar. Der einzige Weg, die Lücke zu schließen, ohne die Analysten mit Arbeit zu überhäufen, ist eine Automatisierung, die an aussagekräftige Ereignisse gekoppelt ist.
Zwei Wege, wie bestehende Überwachungstools zu kurz greifen
Die meisten Überwachungsansätze, die Compliance-Teams heute zur Verfügung stehen, liegen an einem von zwei wenig hilfreichen Extremen. Das Verständnis ihrer Schwachstellen hilft zu verdeutlichen, was eine gut konzipierte Lösung anders machen muss.
Nur-Label-Überwachung übersieht Transaktionsrisiken
Einige Tools beobachten Label-Änderungen an verbundenen Adressen und lösen einen Alarm aus, wenn ein Label erscheint oder sich ändert. Die Einschränkung besteht darin, dass das Risiko steigen kann, ohne dass sich überhaupt ein Label ändert. Eine neue Transaktion, die Gelder durch ein Hochrisiko-Cluster leitet, oder eine neue Verbindung zu einem illegalen Akteur, wird keinen labelbasierten Alarm auslösen. Die Labels des Wallets bleiben unverändert, das Überwachungssystem bleibt stumm, und die Gefährdung sammelt sich unsichtbar an.
Undifferenzierte Alarme erzeugen Rauschen, nicht Signale
Am anderen Ende lösen einige Überwachungssysteme bei jeder Label-Änderung einen Alarm aus, unabhängig von deren Wesentlichkeit. Compliance-Teams, die diese Ansätze verwenden, berichten, dass sie von Benachrichtigungen überflutet werden, die nichts mit echten Risikoänderungen zu tun haben. Wenn alles markiert wird, wird nichts priorisiert. Analysten verbringen Zeit damit, Alarme mit geringer Bedeutung zu triagieren, anstatt die Änderungen zu untersuchen, die tatsächlich von Bedeutung sind – ein Ressourcenproblem und gleichzeitig ein Problem der Prüfungsqualität.
Wie ereignisgesteuerte kontinuierliche Überwachung funktioniert
Der Ansatz, der beide Fehlermodi adressiert, kombiniert zwei komplementäre Ebenen: ereignisgesteuerte Erkennung und planmäßiges Re-Screening. Zusammen stellen sie sicher, dass Risikoänderungen erfasst werden, sobald sie auftreten, und dass nichts unbemerkt über die Zeit abdriftet.
Schritt 1: Ereigniserkennung
Das System überwacht registrierte Screenings auf die spezifischen Ereignisse, die ein Risikoergebnis verändern können: ein neues oder geändertes Label an einer gescreenten Adresse oder Gegenpartei oder eine Änderung der Cluster, zu denen eine Adresse gehört. Jedes qualifizierende Ereignis löst ein vollständiges Re-Screening aus, keinen zwischengespeicherten Abruf. Dies ist wichtig, weil ein vollständiges Re-Screening die Adresse gegen den aktuellen Stand des Attributionsgraphen prüft und so transaktionale Änderungen erfasst, die eine Label-Prüfung übersehen würde.
Schritt 2: Ihre Risikoregeln, nicht ein generischer Schwellenwert
Das Re-Screening wird gemäß den eigenen Risikoregeln des Unternehmens bewertet, nicht nach einem anbieterdefinierten Standard. Dies bedeutet, dass eine Änderung, die für ein Zahlungsinstitut mit hohem Retail-Volumen wesentlich wäre, anders konfiguriert werden kann als der Schwellenwert, den eine Krypto-native Börse oder eine Unternehmens-Treasury-Funktion anwenden würde. Kritisch ist, dass diese Regeln aktualisiert werden können, ohne einen Support-Request zu stellen, sodass die Überwachungslogik parallel zur eigenen Risikobereitschaft und zum regulatorischen Umfeld des Unternehmens weiterentwickelt wird.
Schritt 3: Benachrichtigung nach Ihren Bedingungen
Alarme werden per Webhook oder Slack nur dann gesendet, wenn eine Risikoänderung die vom Unternehmen festgelegten Kriterien überschreitet: ein Score, der einen definierten Schwellenwert überschreitet, eine ausgelöste Risikoregel, eine Änderung der Höhe des Risikoscores oder eine bestimmte Screening-Quelle. Teams werden nicht über Änderungen benachrichtigt, die unter ihrer eigenen Wesentlichkeitsgrenze liegen. Für Unternehmen, die dies in Workflows für Fallmanagement oder Digital Asset Accounting Software integrieren, leitet der Webhook-Output nur relevante Änderungen in die bestehende Pipeline weiter, sodass kein separates System eingerichtet werden muss.
Die planmäßige Re-Screening-Ebene
Zusätzlich zur Ereigniserkennung wird jedes registrierte Wallet und jede Transaktion in regelmäßigen Abständen als vollständige Neuberechnung erneut überprüft. Die beiden Ebenen ergänzen sich: Die Ereigniserkennung erfasst Änderungen, sobald sie auftreten, während das planmäßige Re-Screening sicherstellt, dass nichts, das nicht durch ein diskretes Auslöseereignis erfasst wurde, unbegrenzt abdriftet. Die Kombination soll Compliance-Teams das Vertrauen geben, dass keine wesentliche Änderung unbemerkt bleibt, während das Alarmvolumen proportional zur tatsächlichen Risikobewegung gehalten wird.
Compliance-Anwendungsfälle nach Unternehmenstyp
Das Design berücksichtigt mehrere unterschiedliche operative Kontexte, jeweils mit unterschiedlichen Einschränkungen hinsichtlich Analystenzeit, Alarmtoleranz und Prüfungsanforderungen.
Großvolumige Prozessoren
Unternehmen, die eine große Anzahl zeitkritischer Screenings verarbeiten, müssen sofort reagieren können, sobald eine geprüfte Einheit riskant wird. Kontinuierliche Überwachung hält das Risiko aktuell, ohne manuelle Überprüfungszyklen, und der konfigurierbare Webhook-Output leitet nur die relevanten Änderungen in bestehende Fall-Workflows weiter. Dies ist besonders wichtig für Unternehmen, die Krypto-Buchhaltungssoftware-Integrationen verwalten, bei denen Transaktionsdatensätze den aktuellen Compliance-Status widerspiegeln müssen, nicht nur Schnappschüsse zum Zeitpunkt des Onboardings.
Kleinere Compliance-Teams mit Prüfungspflichten
Teams mit begrenzter Analystenkapazität, die dennoch eine fortlaufende, prüfbare Überwachung aufrechterhalten müssen, profitieren von einer Lösung, die das Zeitfenster zwischen planmäßigen Überprüfungen abdeckt und gleichzeitig das Alarmrauschen gering hält. Der Prüfpfad, der durch jedes automatisierte Re-Screening erzeugt wird, liefert die dokumentierten Nachweise, die benötigt werden, wenn ein Regulierer oder Prüfer fragt, wie eine Risikoentscheidung getroffen wurde und wann.
Zahlungs- und Börsenbetriebe
Für Betriebe, die Transaktionsgenehmigungen schnell halten müssen, ohne Risiken bei Ein- und Auszahlungen zu übersehen, unterstützen konfigurierbare Risikoschwellenwerte Entscheidungen über Halten oder Freigeben mit prüfbaren Nachweisen. Dies ist direkt relevant für Unternehmen, die unter MiCA-CASP-Zulassungsanforderungen arbeiten, bei denen fortlaufende Überwachungspflichten ab dem ersten Tag an die Lizenz gebunden sind. Unsere frühere Berichterstattung über MiCA-CASP-Zulassungsanforderungen beschreibt, wie diese Pflichten in der Praxis aussehen.
Unternehmens-Treasuries und DeFi-Teilnehmer
Einrichtungen, die Ökosystem-Adressen oder Gegenparteibeziehungen in dezentralen Finanzen verwalten, können bekannte Adressen auf wesentliche Änderungen überwachen, ohne manuelles Re-Screening. Dies hält das Krypto-Risikoexpositionsprofil über ein Portfolio von Beziehungen hinweg genau, anstatt die Prüfung auf Onboarding-Momente zu beschränken.
Warum die Qualität der Attributionsdaten das gesamte System untermauert
Ein automatisiertes Re-Screening-System ist nur so nützlich wie die zugrunde liegenden Attributionsdaten, auf die es zurückgreift. Risikobewertungen, die aus flachen oder veralteten Blockchain-Attributionen erzeugt werden, können genauso leicht falsche Beruhigung erzeugen wie ein manueller Prozess, der nicht häufig genug durchgeführt wird. Unternehmen, die eine kontinuierliche Überwachungsfähigkeit bewerten, sollten die gleiche Datenqualitätsprüfung auf die Re-Screening-Ebene anwenden, die sie auf das anfängliche Screening-Tool anwenden würden. Unser Beitrag über Due Diligence zur Datenqualität von Blockchain-Analysen behandelt die spezifischen Fragen, die Unternehmen zur Attributionsmethodik, Abdeckung und Aktualisierungshäufigkeit stellen sollten.
Der Wert des automatisierten Re-Screenings skaliert mit der Breite und Aktualität des dahinterliegenden Attributionsgraphen. Ein ereignisgesteuertes Re-Screening, das gegen veraltete Cluster-Daten läuft, kann selbst bei korrekt funktionierendem Auslösemechanismus immer noch aktuelle Risikoverbindungen übersehen. Dies ist besonders relevant für EU-ansässige Unternehmen, bei denen MiCAs fortlaufende Überwachungspflichten verlangen, dass Risikobewertungen aktuelle Informationen widerspiegeln, nicht punktuelle Schnappschüsse von Monaten zuvor.
Was dies für Compliance-Aufzeichnungen und Prüfungsbereitschaft bedeutet
Die regulatorische Erwartung in den meisten Jurisdiktionen mit entwickelten Crypto-AML-Rahmenwerken ist nicht einfach, dass Unternehmen beim Onboarding screenen. Es wird erwartet, dass Unternehmen aktuelle Risikobewertungen aufrechterhalten und nachweisen können, wie diese Bewertungen zustande gekommen sind. Ein Compliance-Nachweis, der nur ein einziges Onboarding-Screening ohne nachfolgende Überwachungsaktivität zeigt, ist zunehmend schwer zu verteidigen, wenn ein Regulierer oder Prüfer nach einer Einheit fragt, die später als Hochrisiko identifiziert wurde.
Kontinuierliche Überwachung adressiert dies auf der Ebene der Aufzeichnungen: Jedes automatisierte Re-Screening erzeugt ein zeitgestempeltes, prüfbares Ereignis, das dokumentiert, was überprüft wurde, wann, welche Risikoregeln angewendet wurden und was das Ergebnis war. Für Unternehmen, bei denen Crypto-Accounting-Software oder Digital Asset Accounting Software im Zentrum des Compliance- und Berichtsworkflows steht, verringert die Möglichkeit, Transaktionsdatensätzen einen aktuellen Risikostatus zuzuordnen – anstatt Bewertungen zum Onboarding-Zeitpunkt – die Lücke zwischen dem Compliance-System of Record und der tatsächlichen Risikoposition des Portfolios.
Quelle: Elliptic
Was ist kontinuierliche Überwachung in der Crypto-AML-Compliance?
Kontinuierliche Überwachung bezieht sich auf automatisierte Systeme, die registrierte Wallet-Adressen und Transaktionen auf Ereignisse überwachen, die ihr Risikoprofil ändern können, und sie dann gemäß den Risikoregeln des Unternehmens erneut überprüfen und das Compliance-Team alarmieren, wenn eine wesentliche Änderung festgestellt wird. Sie fungiert zwischen periodischen manuellen Überprüfungen, um sicherzustellen, dass Risikobewertungen aktuell bleiben.
Warum wird eine geprüfte Screening-Prüfung im Kryptobereich veraltet?
Ein Screening zeichnet das Risiko zum Zeitpunkt seiner Durchführung auf. Danach kann das Wallet Gelder von neu sanktionierten Adressen erhalten, Gelder an Hochrisiko-Ziele weiterleiten oder durch Cluster-Änderungen mit illegalen Akteuren in Verbindung gebracht werden. Keine dieser Entwicklungen aktualisiert automatisch den ursprünglichen Screening-Eintrag, sodass das Compliance-System ein genaues, aber veraltetes Bild behält.
Wie unterscheidet sich ereignisgesteuertes Re-Screening vom planmäßigen Re-Screening?
Ereignisgesteuertes Re-Screening wird ausgelöst, wenn ein bestimmtes Ereignis eintritt: eine Label-Änderung, eine Neuzuordnung von Clustern oder eine neue Transaktionsverbindung. Planmäßiges Re-Screening läuft in definierten Intervallen unabhängig davon, ob ein Ereignis eingetreten ist. Ein robustes kontinuierliches Überwachungssystem verwendet beides: Ereignisse erfassen Risiken, sobald sie auftreten, und der Zeitplan stellt sicher, dass nichts durch Lücken zwischen den Ereignissen abdriftet.
Welche Auswirkungen hat MiCA auf die laufende Überwachung?
Nach MiCA haben autorisierte CASPs fortlaufende AML/CFT-Pflichten, die verlangen, dass Risikobewertungen aktuell bleiben – nicht beschränkt auf das Onboarding. Unternehmen, die sich ausschließlich auf Onboarding-Screenings ohne einen dokumentierten fortlaufenden Überwachungsprozess verlassen, sehen sich einer Compliance-Lücke gegenüber, auf die Regulierungsbehörden in der EU zunehmend achten. Kontinuierliche Überwachung mit prüfbaren Re-Screening-Aufzeichnungen adressiert diese Anforderung direkt.
Wie sollten Unternehmen die Datenqualität hinter automatisiertem Re-Screening bewerten?
Die Zuverlässigkeit eines kontinuierlichen Überwachungsoutputs hängt von den Attributionsdaten ab, die beim Re-Screening verwendet werden. Unternehmen sollten die Abdeckung, Aktualisierungshäufigkeit und Methodik des Blockchain-Analyse-Anbieters bewerten, der die zugrunde liegenden Daten liefert, und dabei die gleiche Sorgfalt anwenden wie beim anfänglichen Screening-Tool. Ein gut konzipiertes Re-Screening mit schlechten Attributionsdaten wird dennoch unzuverlässige Risikobewertungen liefern.