VASP-Onboarding: Der AML-Due-Diligence-Rahmen, den Finanzinstitute jetzt brauchen
Die Debatte darüber, ob regulierte Finanzinstitute mit Anbietern virtueller Vermögenswerte (Virtual Asset Service Providers, VASPs) zusammenarbeiten sollten, ist faktisch beendet. Banken verwahren Krypto-Assets, Stablecoins fließen durch gängige Zahlungswege, und Vermögensverwalter halten digitale Vermögenswerte im Auftrag ihrer Kunden. Die eigentliche Compliance-Frage im Jahr 2026 lautet nicht mehr, ob ein VASP angebunden werden soll, sondern wie dies in einer dokumentierten, konsistenten und gegenüber Aufsichtsbehörden verteidigbaren Weise geschehen kann. Dieser Artikel beschreibt die Kernkomponenten dieses Rahmens und stützt sich dabei auf Leitlinien, die von Elliptic für Finanzinstitute veröffentlicht wurden, die ihre VASP-Aufnahmeprozesse aufbauen oder verbessern.
Warum "Abwarten" keine Option mehr ist
Aufsichtsbehörden in den wichtigsten Rechtsräumen haben durch Durchsetzungsmaßnahmen, thematische Überprüfungen und veröffentlichte Erwartungen signalisiert, dass eine passive Behandlung von VASP-Geschäftspartnern nicht akzeptabel ist. Der entscheidende Wandel liegt in der Transparenz: Ein wesentlicher Teil der Aktivitäten eines VASP findet auf einem öffentlichen Ledger statt. Sobald diese Daten zugänglich sind, sieht sich eine Compliance-Abteilung, die sie ignoriert, einer direkten aufsichtsbehördlichen Frage gegenüber: Warum haben Sie die Ihnen verfügbaren Informationen nicht genutzt?
Diese Sichtweise ist wichtig, weil sie die Beweislast verschiebt. Institute, die bisher fehlende zuverlässige Daten als Grund für eine weniger strenge VASP-Due-Diligence anführten, haben dieses Argument nicht mehr. On-Chain-Analysen sind eine ausgereifte Fähigkeit. Die Erwartung ist, dass regulierte Institute sie einsetzen.
Der Wandel von "ob" zu "wie"
Finanzinstitute, die bereits VASP-Kunden integriert haben oder Krypto-exponierte Geschäftspartner in ihren Büchern halten, benötigen eine Methodik, die sie konsistent beim Onboarding, bei der periodischen Überprüfung und bei ereignisgesteuerten Neubewertungen anwenden können. Diejenigen, die ihren Ansatz noch entwickeln, müssen schnell handeln. Insbesondere die Stablecoin-Adoption beschleunigt den Zeitplan: Korrespondenzbankbeziehungen, Zahlungsabwicklung und sogar Handelsabwicklung umfassen heute VASP-Geschäftspartner in einer Weise, die vor einigen Jahren noch theoretisch war.
Das Institut vorbereiten, bevor das Onboarding beginnt
Die Qualität der Due Diligence wird durch die institutionelle Bereitschaft begrenzt. Bevor ein einzelner VASP bewertet wird, muss die Compliance-Abteilung klare Antworten auf mehrere interne Fragen haben.
Governance und Risikoappetit
Wer trifft die Entscheidung über das VASP-Onboarding? In den meisten Instituten liegt diese Verantwortung bei Compliance, Legal und der jeweiligen Geschäftslinie, aber die Entscheidungsrechte und der Eskalationsweg müssen explizit sein. Der Risikoappetit für VASP-Exposition muss auch auf Kategorieebene definiert werden: Zentralisierte Börsen, dezentrale Protokolle, Verwahrer und Zahlungsabwickler haben jeweils ein eigenes Risikoprofil. Ohne diese Taxonomie werden Einzelfallentscheidungen inkonsistent sein.
Richtlinien- und Verfahrensinfrastruktur
VASP-spezifische Onboarding-Richtlinien sollten sich von den standardmäßigen Unternehmens-KYC-Verfahren des Instituts unterscheiden. VASPs sind in den meisten Rechtsräumen regulierte Einheiten, aber ihre zugrunde liegende Kundenbasis, die Breite der berührten Vermögenswerte und die grenzüberschreitende Natur ihrer Aktivitäten schaffen Risikofaktoren, die generische CDD-Vorlagen nicht erfassen. Die Richtlinieninfrastruktur muss aufgebaut werden, bevor die Arbeitsbelastung eintrifft, nicht nachträglich von Fall zu Fall.
Die zwei Schichten der Due Diligence
Ein verteidigbarer VASP-Onboarding-Prozess arbeitet auf zwei unterschiedlichen Ebenen: einer strukturierten, fragebogenbasierten Überprüfung des Unternehmens selbst und einer On-Chain-Analyse seines tatsächlichen Transaktionsverhaltens. Keine Ebene allein ist ausreichend.
Ebene eins: Überprüfung auf Unternehmensebene
Die erste Ebene deckt den VASP als rechtliche und regulatorische Einheit ab. Zu den wichtigsten Bereichen gehören der Lizenzstatus in den Rechtsräumen, in denen er tätig ist, die Qualität und der Umfang seines eigenen AML- und KYC-Programms, die Governance-Struktur und die unterstützten Asset-Typen. Stablecoin-lastige VASPs erfordern beispielsweise eine spezifische Prüfung, wie sie Redemptions-Flüsse und Konzentration von Gegenparteien handhaben.
Ein strukturiertes Werkzeug für diese Ebene ist der Global Digital Finance VASP Due Diligence Questionnaire, bekannt als GDF VADDQ. Dies ist ein von der Branche entwickelter standardisierter Fragebogen, der es Finanzinstituten ermöglicht, vergleichbare Informationen von mehreren VASP-Geschäftspartnern zu sammeln. Die Verwendung eines anerkannten Standards ist für die Dokumentation wichtig: Sie zeigt der Aufsichtsbehörde, dass die Bewertungsmethodik nicht ad hoc ist.
Die Bereiche, die in jeder Überprüfung auf Unternehmensebene die meiste Aufmerksamkeit verdienen, sind die eigene Kundenakzeptanzpolitik des VASP, wie es mit Hochrisiko-Kundensegmenten umgeht und ob sein Sanktions-Screening umfassend in Bezug auf Rechtsräume ist. Ein VASP, der in einem Rechtsraum lizenziert ist, aber aktiv Kunden in Hochrisikogebieten ohne zusätzliche Kontrollen bedient, stellt eine erhebliche Lücke dar.
Ebene zwei: On-Chain-Expositionsanalyse
Die zweite Ebene ist der Punkt, an dem das öffentliche Ledger zu einem direkten Input in die Due Diligence wird, statt nur Hintergrundkontext zu sein. On-Chain-Analysen ermöglichen es einem Compliance-Team, zu bewerten, mit welchen Arten von Wallets und Diensten die Adressen eines VASP interagiert haben und in welchen Volumina.
Eine entscheidende Unterscheidung ist hier die Richtung. Zufluss-Exposition und Abfluss-Exposition erzählen unterschiedliche Geschichten über die Kontrollen eines VASP. Zufluss-Exposition, bei der Gelder aus Hochrisikoquellen an den Wallets des VASP angekommen sind, spricht in erster Linie für die Qualität der Kundenakzeptanz und Transaktionsüberwachung des VASP: Sie wirft die Frage auf, ob illegale Gelder in die Plattform gelangen. Abfluss-Exposition, bei der der VASP Gelder an Hochrisiko-Ziele gesendet hat, ist ein anderes Signal und kann darauf hindeuten, dass das eigene Sanktions-Screening oder die Abzugskontrollen des VASP Lücken aufweisen.
Wenn diese beiden Dimensionen getrennt gelesen werden, anstatt sie zu einem einzigen Score zu aggregieren, ergibt sich ein nuancierteres und genaueres Bild davon, wo das Risiko tatsächlich liegt. Compliance-Teams, die Krypto-Buchhaltungssoftware verwenden, die On-Chain-Analysen integriert, sollten sicherstellen, dass ihr Arbeitsablauf beide Richtungen erfasst, nicht nur die Gesamtexpositionsprozentsätze.
Aktivität über Ketten hinweg fügt eine weitere Komplexitätsebene hinzu. VASPs, die Brücken zwischen Blockchains unterstützen oder Vermögenswerte über mehrere Ketten halten, erfordern Analysen, die Assetflows über diese Ketten hinweg verfolgen, anstatt jede Kette isoliert zu behandeln. Eine rein einzelkettige Sicht kann erhebliche Exposition übersehen, die über Brückenprotokolle geleitet wird.
Interpretation dessen, was die Analysen tatsächlich zeigen
Rohe On-Chain-Expositionsdaten erfordern Interpretation. Ein VASP, der eine gewisse Exposition gegenüber Hochrisiko-Gegenparteien zeigt, ist nicht automatisch ein Problem: Große zentralisierte Börsen verarbeiten enorme Volumina, und statistische Exposition gegenüber einer breiten Palette von Wallet-Typen ist zu erwarten. Entscheidend sind Art, Anteil und Konzentration dieser Exposition sowie ob sie mit dem angegebenen Geschäftsmodell des VASP übereinstimmt.
Rote Flaggen, die eine Eskalation rechtfertigen
Bestimmte Muster sollten unabhängig von der Größe oder dem Lizenzstatus des VASP eine Eskalation auslösen. Dazu gehören eine hohe Konzentration der Exposition gegenüber sanktionierten Adressen oder Rechtsräumen, erhebliche Flüsse über Mixing- oder Verschleierungsdienste, Exposition gegenüber Darknet-Markt-Wallets über einer De-minimis-Schwelle und Muster, die nicht mit dem deklarierten geografischen Umfang oder der Kundenbasis des VASP übereinstimmen.
Ebenso ist ein VASP, dessen On-Chain-Profil sauberer ist, als es sein Fragebogen auf Unternehmensebene vermuten lässt, nicht unbedingt mit geringerem Risiko verbunden: Es kann einen kleineren Stichprobenzeitraum, einen kürzlich gestarteten Betrieb oder eine Plattform widerspiegeln, deren Volumen schnell wächst. Analysen sollten zusammen mit der Unternehmensüberprüfung gelesen werden, nicht als Ersatz dafür.
Für Wirtschaftsprüfungsgesellschaften, die wie maschinelles Lernen Blockchain-Analysen und AML-Workflows neu gestaltet, ist die wichtigste betriebliche Implikation, dass maschinell generierte Risikobewertungen in der Eskalationsphase eine menschliche Validierung erfordern. Eine Punktzahl ist ein Triage-Werkzeug, keine Entscheidung.
Laufende Überwachung und Neubewertungsrhythmen
Die Onboarding-Genehmigung ist keine dauerhafte Freigabe. Risikoprofile von VASPs können sich in kurzer Zeit erheblich ändern: Regulatorische Maßnahmen in einem Schlüsselrechtsraum, ein Eigentümerwechsel, ein Verstoß gegen die eigenen Systeme des VASP oder eine Änderung des unterstützten Asset-Mixes können die Risikoberechnung erheblich verändern.
Risikogestaffelte Überprüfungspläne
Die Häufigkeit der Neubewertung sollte auf die beim Onboarding zugewiesene Risikostufe abgestimmt sein. VASPs mit höherem Risiko erfordern häufigere periodische Überprüfungen als Geschäftspartner mit geringerem Risiko. Der spezifische Rhythmus sollte in der Richtlinie des Instituts dokumentiert und konsistent angewendet werden: Eine Ad-hoc-Überprüfung, auch wenn sie gründlich ist, ist gegenüber einer Aufsichtsbehörde schwerer zu verteidigen als ein geplantes Programm mit klaren Auslösern.
Ereignisgesteuerte Neubewertung
Zusätzlich zu kalenderbasierten Überprüfungen sollten bestimmte Ereignisse eine sofortige Neubewertung auslösen, unabhängig davon, wann die letzte periodische Überprüfung stattfand. Dazu gehören öffentliche behördliche Maßnahmen gegen den VASP, glaubwürdige negative Medienberichterstattung, wesentliche Änderungen des Lizenzstatus des VASP, erhebliche Änderungen des Transaktionsvolumens oder des Asset-Mixes sowie alle On-Chain-Analyse-Flags, die beim Onboarding nicht vorhanden waren. Eine klare Liste von Auslöseereignissen in der Richtlinie zu verankern, anstatt dies dem Ermessen der Analysten zu überlassen, stellt sicher, dass das Überwachungsprogramm konsistent und prüfbar ist.
Für Firmen, die Kunden zu VASP-Beziehungen beraten, zeigt das Verständnis von Koreas VASP-Registrierungshandbuch-Überarbeitung und was sie für Compliance-Teams bedeutet, wie schnell sich das regulatorische Umfeld ändern kann, was Institute dazu zwingt, Geschäftspartner neu zu bewerten, die beim Onboarding vollständig konform waren, aber möglicherweise geänderten Lizenzbedingungen gegenüberstehen.
Dokumentation: Ein Protokoll erstellen, das der Prüfung standhält
Der oben beschriebene Rahmen ist nur so nützlich wie die Dokumentation, die er generiert. Aufsichtsbehörden, die das VASP-Compliance-Programm eines Unternehmens bewerten, werden nach Beweisen suchen, dass Entscheidungen auf der Grundlage definierter Kriterien getroffen, konsistent über Fälle hinweg angewendet und in angemessenen Abständen überprüft wurden.
Was die Akte enthalten muss
Mindestens sollte die VASP-Akte den ausgefüllten Due-Diligence-Fragebogen mit Antworten, die, wo möglich, gegen Primärquellen verifiziert wurden, den On-Chain-Analysebericht mit dem Datum seiner Erstellung und der verwendeten Methodik, die zugewiesene Risikostufe mit der Begründung, den Genehmigungsnachweis mit der Ebene, auf der die Genehmigung erteilt wurde, sowie das geplante Datum für die nächste periodische Überprüfung enthalten. Ereignisgesteuerte Neubewertungen sollten als Ergänzungen zur ursprünglichen Akte dokumentiert werden, nicht als separate, nicht verknüpfte Aufzeichnungen.
Der Dokumentationsstandard ist auch für Workflows in der Buchhaltungssoftware für digitale Vermögenswerte wichtig. Wo VASP-Geschäftspartnerdaten in die Finanzberichterstattung einfließen, beispielsweise im Korrespondenzbankwesen, in der Zahlungsabwicklung oder in der Fondsverwaltung, müssen die Compliance-Akte und der Buchhaltungsdatensatz verknüpft sein. Ein Wirtschaftsprüfer, der die Stablecoin-Zahlungsströme eines Unternehmens prüft, sollte beispielsweise in der Lage sein, auf den VASP-Due-Diligence-Datensatz des Geschäftspartners zurückzugreifen, der diese Stablecoins ausgegeben oder eingelöst hat.
Häufig gestellte Fragen
Was ist ein VASP im Sinne der AML-Due-Diligence?
Ein Anbieter virtueller Vermögenswerte ist jede Einheit, die geschäftsmäßig eine oder mehrere der folgenden Tätigkeiten im Auftrag einer anderen Person ausführt: Austausch zwischen virtuellen Vermögenswerten und Fiat-Währungen, Austausch zwischen verschiedenen virtuellen Vermögenswerten, Übertragung virtueller Vermögenswerte, Verwahrung oder Verwaltung virtueller Vermögenswerte sowie Teilnahme an Finanzdienstleistungen im Zusammenhang mit dem Angebot oder Verkauf virtueller Vermögenswerte durch einen Emittenten. Die Definition der FATF ist der Referenzstandard, der von den meisten großen Rechtsräumen verwendet wird. Für Due-Diligence-Zwecke umfasst die Kategorie zentralisierte Börsen, Verwahrer, Zahlungsabwickler und je nach Rechtsraum bestimmte Betreiber von DeFi-Protokollen.
Was ist der GDF VADDQ und sollte unser Institut ihn verwenden?
Der Global Digital Finance VASP Due Diligence Questionnaire ist ein standardisierter Informationsanforderungsrahmen, der vom Industrieverband Global Digital Finance entwickelt wurde. Er soll es Finanzinstituten ermöglichen, vergleichbare, strukturierte Informationen von VASP-Geschäftspartnern zu sammeln. Die Verwendung eines anerkannten Standards ersetzt nicht die Notwendigkeit einer unabhängigen Verifizierung, zeigt aber den Aufsichtsbehörden, dass die Methodik des Instituts nicht ad hoc ist. Für Institute, die mehrere VASPs anbinden, macht er auch den Vergleich zwischen den Geschäftspartnern handhabbarer.
Warum ist die Richtung der On-Chain-Exposition wichtig?
Zufluss-Exposition und Abfluss-Exposition haben unterschiedliche Risikoimplikationen. Wenn hochriskante Gelder in die Wallets eines VASP fließen, wirft das Fragen über die Kundenakzeptanz- und Überwachungskontrollen des VASP auf. Wenn der VASP Gelder an hochriskante Ziele sendet, wirft das Fragen über sein Sanktions-Screening und seine Abzugskontrollen auf. Die Behandlung beider als eine einzige aggregierte Zahl verschleiert, wo das Risiko tatsächlich konzentriert ist, und kann zu einer Fehldiagnose des Risikoprofils des Geschäftspartners führen.
Wie häufig sollten VASP-Beziehungen neu bewertet werden?
Die Häufigkeit der Neubewertung sollte die beim Onboarding zugewiesene Risikostufe widerspiegeln, wobei VASPs mit höherem Risiko häufiger überprüft werden. Darüber hinaus sollte eine definierte Reihe von Auslöseereignissen, einschließlich behördlicher Maßnahmen, negativer Medienberichterstattung, Änderungen des Lizenzstatus und On-Chain-Analyse-Flags, eine sofortige Neubewertung auslösen, unabhängig davon, wann die letzte periodische Überprüfung stattfand. Die Liste der Auslöseereignisse sollte in der Richtlinie festgelegt werden, anstatt dem Ermessen der Analysten überlassen zu bleiben.
Wie hängt die VASP-Due-Diligence mit den Finanzberichterstattungspflichten zusammen?
Wenn ein VASP-Geschäftspartner an Transaktionen beteiligt ist, die durch die Bücher des Instituts fließen, beispielsweise Stablecoin-Abwicklungen, Krypto-Verwahrungsvereinbarungen oder Zahlungsabwicklung, ist die Compliance-Akte für diesen VASP direkt relevant für den Prüfpfad dieser Transaktionen. Wirtschaftsprüfer und Aufsichtsbehörden, die Finanzberichte mit digitalen Asset-Flüssen prüfen, erwarten, diese Flüsse auf eine dokumentierte, genehmigte Bewertung des Geschäftspartners zurückverfolgen zu können. Firmen, die Krypto-Buchhaltungssoftware verwenden, sollten sicherstellen, dass VASP-Compliance-Datensätze und Transaktionsdatensätze verknüpft und nicht getrennt sind.
Quelle: Elliptic