Stablecoin-AML-Compliance: Was Banken jetzt wissen müssen

Stablecoins haben eine gemeinsame Marktkapitalisierung von über 300 Milliarden US-Dollar überschritten, und Banken schauen nicht mehr nur von der Seitenlinie zu. Abwicklungsdesks, Verwahrlösungen und Reserve-Dienstleistungen werden gerade jetzt rund um sie aufgebaut. Das Risiko der Finanzkriminalität ist real, aber laut der aktuellen Analyse von Elliptic ist es mit Rahmenwerken, die Banken bereits besitzen, beherrschbar – mit einer entscheidenden Ergänzung: der Fähigkeit zu sehen, was tatsächlich on-chain passiert, und es gegen das zu verifizieren, was eine Gegenpartei behauptet. Unternehmen, die robuste Krypto-Buchhaltungssoftware und AML-Kontrollen einsetzen wollen, müssen genau verstehen, wo das Stablecoin-Risiko in das Institut eindringt und wie die Reaktion zu dimensionieren ist.

Warum Stablecoins für Banken und ihre Compliance-Teams wichtig sind

Der geschäftliche Nutzen ist eindeutig. Grenzüberschreitende Abwicklungen, die in Minuten statt Tagen und rund um die Uhr erfolgen, bedeuten eine echte Verbesserung gegenüber dem Korrespondenzbankgeschäft. Eine wachsende Zahl von Instituten möchte an diesem Effizienzgewinn teilhaben.

Das Problem ist, dass genau die Eigenschaften, die Stablecoins für legitime Zahlungen nützlich machen, sie auch für illegale Finanzaktivitäten attraktiv machen. Die Analyse von Elliptic ist an diesem Punkt eindeutig: Stablecoins sind zur dominierenden Schiene für Geldwäsche mit Krypto-Assets geworden und erscheinen zunehmend in Sanktionsumgehungsszenarien, einschließlich solcher, die mit Russland und der Zentralbank des Iran in Verbindung stehen. Diese Realität ist ein Grund, das Risiko ordnungsgemäß zu steuern, kein Grund, den Markt zu verlassen.

Das Ausmaß der Verschiebung

Eine Marktkapitalisierung von 300 Milliarden US-Dollar bleibt nicht stehen. Sie fließt durch Korrespondenzkonten, Reserveportfolios, VASP-Beziehungen und zunehmend durch Privatkunden, deren Wallets Stablecoin-Schienen berühren. Jeder dieser Kanäle ist ein potenzieller Einstiegspunkt für Finanzkriminalitätsrisiken, und Compliance-Teams müssen wissen, mit welchem Kanal sie es zu tun haben, bevor sie die richtige Kontrolle kalibrieren können.

Drei Kanäle, über die Stablecoin-Risiken eine Bank erreichen

Das Rahmenwerk von Elliptic identifiziert drei unterschiedliche Kanäle. Den richtigen zu benennen ist der Ausgangspunkt für eine verhältnismäßige Reaktion.

Kanal 1: Der Emittent als Gegenpartei

Das Risiko entsteht hier, wenn ein Stablecoin-Emittent eine Bank bittet, Reserven zu halten oder Abwicklungskonten zu führen. Die Bank geht damit faktisch eine hochwertige Beziehung im Stil einer Korrespondenzbank mit einem Unternehmen ein, dessen On-Chain-Verhalten möglicherweise mit dem übereinstimmt, was in seiner Dokumentation steht, oder auch nicht. Traditionelle Due Diligence kann das Geschäftsmodell des Emittenten, die Governance-Struktur und die erklärten Kontrollen bewerten. Sie kann jedoch allein nicht sagen, ob die Wallet-Aktivität des Tokens mit diesen Darstellungen konsistent ist.

Kanal 2: Das eigene Stablecoin-Produkt der Bank

Wenn eine Bank beschließt, Stablecoin-Dienstleistungen direkt anzubieten, übernimmt sie die Designrisiken der Tokens, die sie zu unterstützen beschließt. Zentrale Fragen werden: Welche Stablecoins sind zulässig, welche Anwendungsfälle fallen in den Geltungsbereich, welche Überwachungsschwellen gelten und unter welchen Umständen sollte eine Transaktion eskaliert werden? Die Antworten hängen stark von den Designmerkmalen des jeweiligen Tokens ab.

Kanal 3: Indirekte Exposition über Kunden und VASPs

Elliptic kennzeichnet dies als den Kanal, den Banken am häufigsten übersehen. Es ist dokumentiert, dass illegale Akteure die Umwandlung von Bargeld in Stablecoins über mehrere Stufen vollziehen, die vom Bankensystem weit entfernt sind. Wenn Stablecoin-Ströme einen Kunden einer Bank oder einen VASP in ihrem Korrespondenznetzwerk berühren, kann die ursprüngliche Quelle bereits stark verschleiert sein. Die Aufgabe der Bank besteht hier darin, zu erfassen, welche Kunden und VASPs Stablecoins senden oder empfangen, die dahinterstehenden Gegenparteien zu identifizieren und zu prüfen, wie häufig sie mit bekannten Geldwäsche-, Sanktionsumgehungs- und Betrugstypologien in Berührung kommen.

Fünf Designfaktoren, die das Risikoprofil eines Stablecoins bestimmen

Nicht alle Stablecoins tragen dasselbe Risiko. Die Analyse von Elliptic nennt fünf Faktoren auf Designebene, die ein Compliance-Team bei der Bewertung eines Tokens berücksichtigen sollte, bevor es ihn in ein Produkt, ein Reservekonto oder einen überwachten Zahlungsstrom aufnimmt.

1. Peer-to-Peer-Umlauf

Je freier ein Token außerhalb eines regulierten Intermediärs zirkuliert, desto höher sein Risikoprofil. Die Analyse der FATF hat ergeben, dass die meisten illegalen Stablecoin-Aktivitäten heute in diesem Sekundärmarkt stattfinden, da Tokens zwischen Inhabern und über Chains hinweg bewegt werden, ohne dass eine AML-verpflichtete Einheit am Transaktionsweg beteiligt ist.

2. Nutzerbasis und Jurisdiktion

Ein Stablecoin, der überwiegend von institutionellen Gegenparteien in Jurisdiktionen mit geringerem Risiko genutzt wird, unterscheidet sich stark von einem mit breiter Privatkundenakzeptanz, die über Hochrisiko-VASPs läuft. Das geografische und gegenparteiliche Profil der Nutzerbasis ist ein wesentlicher Risikofaktor.

3. Regulatorischer Rahmen des Emittenten

Ein Stablecoin, der unter einem formalen Regulierungsregime ausgegeben wird, wie dem US-amerikanischen GENIUS Act oder der Markets in Crypto-Assets Regulation (MiCA) der EU, trägt ein kategorisch anderes Risikoprofil als einer, der ohne nennenswerte Aufsicht ausgegeben wird. Die Existenz eines regulatorischen Anknüpfungspunkts verändert die Durchsetzungslandschaft sowohl für den Emittenten als auch für die Institute, die mit ihm interagieren.

4. Smart-Contract-Einfrier- und Sperrfähigkeiten

Einige Emittenten bauen die Möglichkeit ein, Tokens auf Smart-Contract-Ebene einzufrieren oder zu sperren, was Betrugsaufklärung und Sanktions-Compliance unterstützt. Andere tun dies bewusst nicht. Letzteres birgt ein höheres Restrisiko, da der Emittent nicht einseitig handeln kann, um eine als problematisch identifizierte Transaktion umzukehren oder zu blockieren. Für Banken, die Emittenten-Gegenparteien bewerten, ist dies ein konkreter technischer Due-Diligence-Punkt, keine abstrakte politische Frage.

5. Wallet- und Transaktionsscreening durch den Emittenten

Ob ein Emittent Wallets und Transaktionen aktiv screenet und diese Ergebnisse dann in seinen Smart Contracts durchsetzt, verändert, wie viel Risiko sein Token in den breiteren Markt trägt. Ein Emittent, der screenet, aber nicht on-chain durchsetzt, bietet schwächeren Schutz als einer, dessen Kontrollen direkt in die Logik des Tokens eingebettet sind.

Due Diligence bei einem Stablecoin-Emittenten durchführen

Bestehende Korrespondenzbank-Rahmenwerke sind ein gültiger Ausgangspunkt für die Bewertung eines Stablecoin-Emittenten als Gegenpartei. Die Lücken sind jedoch real und erfordern zusätzliche Fähigkeiten.

Was traditionelle Due Diligence abdeckt

Geschäftsmodell, Governance-Struktur, erklärte AML- und Sanktionskontrollen sowie der regulatorische Status des Emittenten können alle mit Rahmenwerken bewertet werden, die in jeder regulierten Bank bereits vorhanden sind. Diese bilden die dokumentarische Ebene der Bewertung.

Wo Blockchain-Analytik den entscheidenden Unterschied macht

Die dokumentarische Ebene kann nicht bestätigen, ob die On-Chain-Aktivität mit dem übereinstimmt, was der Emittent behauptet. Blockchain-Analytik-Tools schließen diese Lücke, indem sie einer Bank ermöglichen, das tatsächliche Wallet-Verhalten des Emittenten zu überwachen, die an den Token-Strömen beteiligten Gegenparteien zu verifizieren und Exposition gegenüber sanktionierten oder Hochrisiko-Akteuren zu identifizieren. Dies ist keine ergänzende Prüfung; die Analyse von Elliptic positioniert sie als die wesentliche Ergänzung zu dem, was ansonsten eine Standard-Hochrisiko-Korrespondenzprüfung wäre. Wenn die On-Chain-Realität vom erklärten Risikoprofil abweicht, hat die Bank Anlass zu handeln, bevor ein Problem ihre eigene Bilanz oder ihre Konten erreicht.

Dies ist direkt relevant für Unternehmen, die Software für digitale Vermögenswerte im Rechnungswesen aufbauen: Die Daten, die von der Blockchain-Analytik in ein Buchhaltungssystem fließen, müssen zuverlässig und kontinuierlich abgestimmt sein, kein einmaliger Schnappschuss, der beim Onboarding erstellt wird.

Rechnungslegungs- und Steuerimplikationen für B2B-Praktiker

Compliance-Teams und CFOs in diesem Bereich sehen sich Verpflichtungen gegenüber, die über AML hinaus bis in die Rechnungslegungs- und Berichtsebene reichen. Mehrere Punkte sind für Wirtschaftsprüfungsgesellschaften und Finanzteams erwähnenswert.

Behandlung von Reservekonten

Wenn eine Bank Stablecoin-Reserven im Namen eines Emittenten hält, erfordert die buchhalterische Klassifizierung dieser Reserven nach IFRS oder US GAAP eine sorgfältige Analyse. Ob die Vereinbarung zu einer Verbindlichkeit in der Bilanz der Bank führt und unter welchen Bedingungen diese Vermögenswerte einer Konsolidierung unterliegen könnten, hängt von den konkreten Vertragsbedingungen und dem Grad der Kontrolle über die Reservevermögenswerte ab.

Transaktionsüberwachungsdaten als Prüfpfad

Ergebnisse der Blockchain-Analytik werden für die Prüfung zunehmend relevant. Für Wirtschaftsprüfungsgesellschaften, die mit Mandanten arbeiten, die Stablecoins halten oder damit transagieren, bietet der On-Chain-Transaktionsdatensatz einen verifizierbaren Prüfpfad, der das ergänzt, was in traditionellen Ledger-Umgebungen verfügbar ist, und in mancher Hinsicht übertrifft. Unternehmen, die Integrationen für Krypto-Buchhaltungssoftware aufbauen, müssen sicherstellen, dass diese Daten so erfasst, mit Zeitstempeln versehen und aufbewahrt werden, dass sowohl die AML-Aufbewahrungspflichten als auch die von Prüfern erwarteten Nachweisstandards für die Rechnungslegung erfüllt werden.

Sanktionsexposition als Risiko der Finanzberichterstattung

Wenn festgestellt wird, dass Stablecoin-Bestände oder -Ströme eines Unternehmens mit sanktionierten Gegenparteien in Berührung gekommen sind, können die Folgen für die Finanzberichterstattung erheblich sein: Einfrieren von Vermögenswerten, regulatorische Geldstrafen und mögliche Pflichten zur Neudarstellung. Die Analyse von Elliptic hebt ausdrücklich hervor, dass Halter und Emittenten von Dollar-Stablecoins aktive Erkennungs- und Reaktionsfähigkeiten für Verbindungen zu sanktionierten Jurisdiktionen benötigen. Für CFOs bedeutet dies, dass das Sanktionsrisikomanagementprogramm nicht vom Prozess des Finanzabschlusses getrennt werden kann.

Für den Kontext, wie Stablecoin-Einfriermechanismen bereits zu Rechtsstreitigkeiten geführt haben, siehe unsere frühere Berichterstattung über den Tether-USDT-Freeze im Zusammenhang mit einer brasilianischen Durchsetzungsmaßnahme, die veranschaulicht, wie Kontrollen auf Emittentenebene nachgelagerte rechtliche und buchhalterische Konsequenzen für Gegenparteien haben können. Auch der regulatorische Blickwinkel der EU ist hier relevant: unser Beitrag dazu, wie EU-Gesetzgeber Krypto in die Anti-Korruptionsstrategie einbetten, zeigt die Richtung für Unternehmen, die unter MiCA tätig sind.

Wie ein verhältnismäßiger Kontrollrahmen aussieht

Die Empfehlungen von Elliptic laufen auf ein praktisches Prinzip hinaus: Die Kontrollen sollten zum Kanal passen. Eine Beziehung mit einem Emittenten als Gegenpartei erfordert eine laufende On-Chain-Überwachung, nicht nur anfängliche Due Diligence. Das eigene Stablecoin-Produkt einer Bank erfordert dokumentierte Kriterien dafür, welche Tokens unterstützt werden, welche Anwendungsfälle zulässig sind und wie Überwachungsschwellen auf die oben genannten Designfaktoren abgestimmt werden. Die indirekte Exposition über Kunden und VASPs erfordert eine Transaktionsüberwachung, die Stablecoin-Ströme sichtbar machen kann, auch wenn kein Stablecoin-Produkt direkt angeboten wird.

Der gemeinsame Nenner über alle drei Kanäle hinweg ist, dass dokumentarische Kontrollen allein nicht ausreichen. Die On-Chain-Verifizierungsebene gibt einer Bank die Sicherheit, dass das, was ihr gesagt wird, mit dem übereinstimmt, was tatsächlich passiert. Banken und Compliance-Teams, die diese Fähigkeit aufbauen, sind in der Lage, die geschäftliche Chance zu nutzen, ohne ungesteuerte Risiken der Finanzkriminalität einzugehen. Diejenigen, die sich allein auf Dokumentation verlassen, sind in dem Kanal exponiert, den sie am häufigsten übersehen: die indirekte Exposition über Kunden- und VASP-Ströme.

Quelle: Elliptic

Häufig gestellte Fragen

Was macht Stablecoins zu einem höheren Risiko der Finanzkriminalität als andere Krypto-Assets?

Stablecoins kombinieren nahezu sofortige, kostengünstige grenzüberschreitende Abwicklung mit fiat-gekoppelter Wertstabilität. Diese Eigenschaften machen sie für legitime Zahlungen effizient, aber dieselbe Effizienz gilt auch für illegale Transfers. Die Analyse der FATF hat ergeben, dass die meisten illegalen Stablecoin-Aktivitäten heute im Sekundärmarkt stattfinden, wo Tokens zwischen Inhabern bewegt werden, ohne dass ein AML-verpflichteter Intermediär an der Transaktion beteiligt ist.

Wie sollte eine Bank einen Stablecoin-Emittenten bewerten, für den sie Reserven halten möchte?

Beginnen Sie mit der bestehenden Hochrisiko-Korrespondenzbank-Due-Diligence: Geschäftsmodell, Governance, erklärte AML- und Sanktionskontrollen sowie regulatorischer Status. Ergänzen Sie dann Blockchain-Analytik, um zu verifizieren, dass das tatsächliche On-Chain-Verhalten des Emittenten mit diesen Darstellungen übereinstimmt. Die On-Chain-Überwachung sollte nach dem Onboarding fortgesetzt werden, nicht dort enden.

Was ist indirekte Stablecoin-Exposition und warum übersehen Banken sie?

Indirekte Exposition entsteht, wenn Kunden einer Bank oder VASP-Gegenparteien Stablecoins senden oder empfangen, selbst wenn die Bank kein direktes Stablecoin-Produkt hat. Es ist dokumentiert, dass illegale Akteure Bargeld in Stablecoins umwandeln, mehrere Schritte vom Bankensystem entfernt, was bedeutet, dass die Exposition eine Bank erreichen kann, ohne dass ein Emittent oder ein Produkt direkt beteiligt ist. Es ist der am häufigsten übersehene Kanal, weil er in Standard-Produktrisikobewertungen nicht auftaucht.

Verändert die MiCA-Verordnung der EU das Stablecoin-Risikobild für europäische Banken?

Ja, erheblich. Ein unter MiCA ausgegebener Stablecoin trägt ein anderes regulatorisches Risikoprofil als einer, der außerhalb eines Aufsichtsrahmens ausgegeben wird, da der Emittent der Zulassung, Reserveanforderungen und laufender Aufsicht durch eine zuständige EU-Behörde unterliegt. Banken in der EU oder solche, die mit EU-emittierten Stablecoins zu tun haben, sollten den MiCA-Status des Emittenten in ihre Gegenparteirisikobewertungen einbeziehen und diesen Status aktualisieren, wenn sich die Aufsichtslandschaft weiterentwickelt.

Welche Buchhaltungsunterlagen sollten Unternehmen für Stablecoin-Transaktionen aufbewahren, um Prüfer zufriedenzustellen?

Unternehmen sollten On-Chain-Transaktionsdatensätze mit Zeitstempeln, Wallet-Adressen, Transaktions-Hashes und den Ergebnissen der Blockchain-Analytik aufbewahren, die zur Bewertung des Gegenparteirisikos zum Zeitpunkt jeder Transaktion verwendet wurden. Diese Daten unterstützen sowohl die AML-Aufbewahrungspflichten als auch die Anforderungen an Prüfungsnachweise nach IFRS und US GAAP. Sicherzustellen, dass Krypto-Buchhaltungssoftware diese Daten in einem strukturierten, abrufbaren Format erfasst und bewahrt, ist vor Beginn eines jeden Prüfungszyklus unerlässlich.