VASP-Due-Diligence: Ein Onboarding-Framework, das Regulierungsprüfungen standhält

Finanzinstitute, die Virtual Asset Service Provider (VASPs) als Kunden bankieren, stehen heute vor einer Compliance-Hürde, die es vor fünf Jahren noch nicht gab: Regulierungsbehörden in den USA, der EU und anderen großen Jurisdiktionen erwarten dokumentierte, verteidigungsfähige Prozesse zur Bewertung von Krypto-Gegenparteien, und „wir haben einen Fragebogen geschickt“ reicht allein nicht mehr aus. Ein neuer praktischer Leitfaden, den Elliptic am 20. August 2026 veröffentlicht hat, zeigt, wie ein zweistufiges VASP-Onboarding-Framework aufgebaut wird, das traditionelle Due-Diligence-Fragebögen mit On-Chain-Analytik kombiniert – und wie diese Bewertung aktuell gehalten wird, wenn die Beziehung erst einmal lebt. Die Auswirkungen gehen weit über die Compliance-Teams hinaus: Die Datenanforderungen dieses Frameworks wirken sich direkt darauf aus, wie Unternehmen ihre Krypto-Buchhaltungssoftware und die darunterliegende digitale Asset-Buchhaltungsinfrastruktur auswählen und konfigurieren.

Warum sich VASP-Gegenparteien von allen anderen unterscheiden

Die standardmäßige Korrespondenz-Due-Diligence stützt sich fast ausschließlich auf Selbstauskünfte. Eine Bank kann nicht unabhängig beobachten, wie ein anderes Institut Zahlungsströme verarbeitet, also verifiziert sie, was sie kann, durch Sanktions-Screening, negative Medienberichterstattung und öffentliche Einreichungen und vertraut im Übrigen auf Annahmen. VASPs durchbrechen dieses Muster. Ein erheblicher Teil ihrer Aktivitäten liegt auf öffentlichen Ledgern, und wo diese Adressen der Entität zugeordnet werden können, kann eine Bank die Angaben des Antragstellers mit dem abgleichen, was die Chain tatsächlich zeigt. Das ändert die regulatorische Kalkulation: Sobald On-Chain-Daten leicht verfügbar sind, ist es schwierig, einer Aufsichtsbehörde zu erklären, warum man sich nicht dafür entschieden hat, sie zu konsultieren.

Es gibt auch eine strategische Dimension, die Elliptics Leitfaden hervorhebt. VASPs wurden historisch von Banken unterversorgt, aber sie benötigen Dienstleistungen, die nur lizenzierte Institute bieten können: Verwahrung von Kundengeldern, Verwaltung von Fiat-Reserven, die die Ausgabe von Stablecoins absichern, und Zugang zu Abwicklungswegen. Da digitale Assets in den Mainstream vordringen, schafft die Entwicklung der Fähigkeit, VASPs gut zu bankieren, einen echten First-Mover-Vorteil. Entscheidend ist, dass die Risikoinfrastruktur, die zur Bewertung einer VASP-Gegenpartei erforderlich ist, im Wesentlichen dieselbe Infrastruktur ist, die eine Bank benötigen würde, wenn sie beschließt, direkt digitale Asset-Produkte anzubieten – die Investition zahlt sich also in mehr als eine Richtung aus.

Die Governance-Fragen, die jedes FI beantworten muss, bevor es beginnt

Elliptics Framework beginnt mit zwei internen Fragen, die viele Institute in ihrem Eifer, den Antragsteller zu bewerten, überspringen. Sie richtig zu beantworten, prägt alles, was folgt.

Entscheidungsfindung und Eskalation

Wer darf was genehmigen? Der Leitfaden identifiziert drei Stufen: Fälle, die ein Relationship Manager eigenständig bearbeiten kann, solche, die eine Finanzkriminalitäts-Prüfung erfordern, und solche, die die Freigabe der Geschäftsleitung benötigen. Diese Schwellenwerte zu dokumentieren, bevor der erste Fragebogen verschickt wird, schützt das Institut, wenn ein Regulator oder Prüfer fragt, wie eine grenzwertige Onboarding-Entscheidung zustande kam.

Personalqualifikation

Alle, die in die VASP-Due-Diligence eingebunden sind, benötigen ein fundiertes Wissen über digitale Assets und die Fähigkeit, On-Chain-Daten im Kontext zu lesen. Ein Compliance-Beauftragter, der ein Transaktionsvolumen-Diagramm interpretieren kann, aber nicht zwischen einem selbst verwahrten Wallet und einem Mischdienst unterscheiden kann, wird aus der Analytik-Schicht falsche Schlüsse ziehen. Unternehmen sollten Qualifikationslücken hier als materielles Risiko behandeln, nicht als Trainings-Fußnote.

Die Fragebogen-Ebene: Struktur und risikobasierte Kalibrierung

Der Standard für strukturierte VASP-Selbstauskunft ist der Fragebogen, der auf dem globalen Korrespondenzbank-Due-Diligence-Fragebogen (CBDDQ) der Wolfsberg-Gruppe basiert. Elliptics Leitfaden stellt fest, dass dieses Instrument vierzehn Abschnitte umfasst, was gründlich, aber anspruchsvoll für beide Seiten ist. Ein risikobasierter Ansatz, bei dem die vollständige Version an risikoreichere Antragsteller und eine kürzere Version an risikoärmere geht, gibt Instituten eine praktische Möglichkeit, die Belastung zu kalibrieren, ohne die Genauigkeit zu reduzieren.

Was der Fragebogen tatsächlich testet

Ein gut aufgebauter VASP-Fragebogen deckt Governance-Struktur, AML- und KYC-Richtlinien, geografische Präsenz, Lizenzstatus in verschiedenen Jurisdiktionen, bediente Kundensegmente und die Kontrollen für risikoreiche Produktlinien wie Privacy Coins oder Peer-to-Peer-Handel ab. Jeder Abschnitt erzeugt eine Reihe von Angaben, die die Analytik-Schicht dann bestätigen oder in Frage stellen kann.

Buchhaltungs- und Aufzeichnungsaspekte

Für Buchhaltungs- und Finanzteams, die eine VASP-Anwendung prüfen, haben die Fragebogenantworten einen sekundären Wert: Sie zeigen, wie die Beziehung in den eigenen Büchern des Instituts abgebildet werden muss. Ein VASP, der große Fiat-Reserven hält, die ein Stablecoin-Programm absichern, wirft beispielsweise besondere Fragen zur Klassifizierung und Offenlegung dieser Verbindlichkeiten auf. Unternehmen, die Krypto-Buchhaltungssoftware zur Verwaltung von Gegenparteipositionen nutzen, sollten die Fragebogenangaben direkt in ihre Kontenplan-Tagging-Logik abbilden, damit das Compliance-Bild und das Buchhaltungsbild von Anfang an übereinstimmen.

Die On-Chain-Analytik-Ebene: Screening vs. Entitätsbewertung

Hier weicht die VASP-Due-Diligence am stärksten vom Standard-Korrespondenzbanking ab. Elliptics Leitfaden zieht eine klare Linie zwischen zwei verschiedenen analytischen Operationen, und ihre Vermischung ist eine häufige Schwäche, die Regulierungsbehörden beanstanden.

Adress-Level-Screening

Beim Screening wird eine einzelne Adresse oder ein Transaktionsfluss gegen bekannte Risikokategorien geprüft: sanktionierte Wallets, Darknet-Marktadressen, Ransomware-Zahlungsempfänger, Mischdienste, bestätigte Exploit-Adressen und betrugsbezogene Wallets. Das Ergebnis zeigt, welches Risiko an einer bestimmten On-Chain-Interaktion hängt. Diese Operation läuft kontinuierlich, sobald die Beziehung aktiv ist, und ist das wichtigste Werkzeug, wenn die Zuordnung dünn ist, zum Beispiel wenn nur institutionelle Abwicklungsadressen bekannt sind.

Entitäts-Level-Bewertung

Die Entitätsbewertung betrachtet die Gegenpartei als Ganzes. Sie kombiniert On-Chain-Aktivität mit Off-Chain-Informationen wie Lizenzhistorie, jurisdiktioneller Präsenz und Eigentümerstruktur zu einem konsolidierten Risikoprofil. Das Ergebnis charakterisiert das Geschäft: woher der Großteil der Zuflüsse stammt, wohin die Abflüsse gehen, welcher Anteil der Aktivität illegale Kategorien berührt und wie sich diese Anteile im Laufe der Zeit entwickeln. Diese Ebene unterstützt die Onboarding-Entscheidung selbst, weil sie das aggregierte Verhalten des VASPs betrachtet, nicht eine einzelne Transaktion.

Warum beide Ebenen nötig sind

Keine Ebene ersetzt die andere. Ein VASP kann saubere einzelne Adressen haben und dennoch auf Entitätsebene Muster zeigen, die in der Summe bedenklich sind. Umgekehrt kann eine isolierte, als riskant markierte Adresse eine Einzahlung eines Kunden widerspiegeln, nicht die Aktivität des VASPs selbst. Beide Ergebnisse zusammen zu lesen, im Kontext der im Fragebogen gemachten Angaben, führt zu einer verteidigungsfähigen Bewertung.

Laufende Überwachung: Die Bewertung aktuell halten

Onboarding ist kein einmaliges Ereignis. Elliptics Leitfaden ist deutlich: Das Framework muss aktiv bleiben – das bei der Einführung erstellte Risikoprofil auf Entitätsebene wird zur Basis, gegen die nachfolgende Screenings und Transaktionsüberwachungen gemessen werden. Änderungen in den Zuflussquellen eines VASPs, Verschiebungen seiner geografischen Exposition oder neue Lizenzmaßnahmen in wichtigen Jurisdiktionen können das Risikobild erheblich verändern, ohne dass eine Fragebogenaktualisierung ausgelöst wird.

Praktische Auswirkungen für B2B-Teams sind erheblich. Unternehmen sollten ihre Digital-Asset-Buchhaltungssoftware so konfigurieren, dass sie Aktivitäten der Gegenpartei markiert, die von der bei der Einführung erfassten Basis abweichen – nicht nur, um AML-Pflichten zu erfüllen, sondern auch, um eine Neubewertung von Kredit- und Betriebsrisiken anzustoßen. Wenn sich das Profil eines VASPs wesentlich ändert, muss die buchhalterische Behandlung von Guthaben, die bei oder für diese Gegenpartei gehalten werden, möglicherweise im selben Prüfzyklus überdacht werden. Teams, die Compliance- und Buchhaltungsdaten in getrennten Systemen ohne Integration führen, entdecken diese Unstimmigkeiten oft erst zum Jahresende – dann ist die Behebung kostspielig.

Regulatorische Erwartungen in den USA, der EU und darüber hinaus

Elliptics Leitfaden hebt hervor, dass Regulierungsbehörden in großen Jurisdiktionen zunehmend erwarten, dass Banken dokumentierte Prozesse zur Risikoverwaltung von Krypto-Gegenparteien haben. In den USA haben Bankenaufsichtsbehörden signalisiert, dass VASP-Beziehungen derselben Genauigkeit unterliegen müssen wie jede andere risikoreiche Korrespondenzbeziehung. In der EU stellen die Geldwäscheverordnung und die begleitenden Vorschriften zur Transfer-Verordnung Travel-Rule-Pflichten auf, die sich direkt darauf auswirken, wie VASP-zu-VASP-Transfers aufgezeichnet und verifiziert werden müssen. Globale Standards der Financial Action Task Force untermauern beide Rahmenwerke und sind die Referenz, die Aufsichtsbehörden verwenden, um zu bewerten, ob die Prozesse eines Instituts angemessen sind.

Für Wirtschaftsprüfungsgesellschaften, die FI-Kunden beraten, schafft dieses regulatorische Umfeld eine klare Service-Möglichkeit: Kunden dabei helfen, ihre bestehenden Due-Diligence-Workflows gegen das zweistufige Framework zu prüfen, Lücken zu identifizieren und eine Krypto-Buchhaltungssoftware auszuwählen, die die Datenpunkte erfasst, die Regulierungsbehörden sehen wollen. Unternehmen, die diese Fähigkeit für das VASP-Onboarding bereits entwickelt haben, sind gut positioniert, sie auf direkte Digital-Asset-Produktangebote auszuweiten, falls dies Teil der Strategie eines Kunden wird. Aktuell zu bleiben – auch im Hinblick auf den VASP-Onboarding-AML-Rahmen, den wir in unserer früheren Analyse behandelt haben – wird entscheidend sein, da sich die Aufsichtserwartungen weiterentwickeln.

Accounting- und Steuerimplikationen für B2B-Leser

Die praktischen Anforderungen an die Buchhaltung durch ein robustes VASP-Due-Diligence-Framework sind nicht trivial. Mehrere Punkte verdienen die Aufmerksamkeit von CFOs und leitenden Buchhaltungsfachleuten.

Anforderungen an die Datenerfassung

Eine Entitäts-Level-Risikobewertung einer VASP-Gegenpartei erzeugt strukturierte Daten zu On-Chain-Volumina, jurisdiktioneller Exposition und Anteilen illegaler Kategorien. Diese Daten sollten in die Krypto-Buchhaltungssoftware des Instituts einfließen, nicht in einem separaten Compliance-Datensatz liegen. Wenn ein Prüfer oder Regulator fragt, wie ein Gegenparteiguthaben klassifiziert und risikogewichtet wurde, muss die Antwort sowohl aus der Compliance-Bewertung als auch aus dem Buchhaltungsledger stammen.

Fiat-Reserven und Stablecoin-Exposition

VASPs, die Stablecoin-Programme absichern, halten Fiat-Reserven, die als Einlagen oder verwahrte Guthaben beim Bankinstitut erscheinen können. Die korrekte Klassifizierung dieser Guthaben hängt vom Verständnis der zugrunde liegenden vertraglichen und regulatorischen Struktur ab – Informationen, die der Fragebogen und die Entitätsbewertung liefern sollten. Buchhaltungsteams sollten diese Guthaben nicht als Routine-Einlagen behandeln, ohne die Due-Diligence-Ergebnisse zu prüfen.

Integrität der Audit-Trail

Regulierungsbehörden und Prüfer werden zeitnahe Aufzeichnungen verlangen, die zeigen, wie jede Onboarding-Entscheidung getroffen wurde. Die Analytik-Ergebnisse, Fragebogenantworten, Eskalationsaufzeichnungen und die endgültige Genehmigung müssen zeitgestempelt und in einer Form aufbewahrt werden, die mit den Buchhaltungsunterlagen integriert oder zusammen mit ihnen abrufbar ist. Unternehmen, die Krypto-Buchhaltungssoftware mit prüffähiger Dokumentation nutzen, werden diese Anforderung deutlich einfacher erfüllen als diejenigen, die auf Tabellenkalkulationen und E-Mail-Verläufen basieren.

Zur Einordnung, wie sich Rechnungslegungsstandards in Bezug auf digitale Asset-Guthaben, die bei und für Krypto-Gegenparteien gehalten werden, entwickeln, lohnt es sich, unsere kürzliche Berichterstattung zum Vorschlag der FASB zu Stablecoin-Cash-Äquivalenten zusammen mit diesem Framework zu lesen.

Häufig gestellte Fragen

Was ist VASP-Due-Diligence und warum unterscheidet sie sich von Standard-Gegenparteiprüfungen?

VASP-Due-Diligence ist die strukturierte Bewertung eines Virtual Asset Service Providers, bevor er als Kunde oder Gegenpartei aufgenommen wird. Im Gegensatz zu Standardprüfungen kann sie auf öffentliche Blockchain-Daten zurückgreifen, um das, was der VASP in einem Fragebogen über sich selbst angibt, zu bestätigen oder in Frage zu stellen – ein Verifikationswerkzeug, das es im konventionellen Korrespondenzbanking nicht gibt.

Was ist der Unterschied zwischen Adress-Screening und Entitäts-Level-Bewertung?

Adress-Screening prüft eine bestimmte Wallet oder Transaktion gegen bekannte Risikokategorien wie Sanktionslisten oder Darknet-Adressen. Die Entitäts-Level-Bewertung profiliert den VASP als gesamtes Unternehmen, indem sie On-Chain-Volumen- und Expositionsdaten mit Off-Chain-Informationen wie Lizenzierung und Jurisdiktion kombiniert. Beides ist nötig: Screening läuft kontinuierlich, während die Entitätsbewertung die Onboarding-Entscheidung steuert.

Wie wirkt sich ein VASP-Due-Diligence-Framework auf die Anforderungen an Krypto-Buchhaltungssoftware aus?

Das Framework erzeugt strukturierte Daten über das Gegenparteirisiko, die mit dem Buchhaltungs-Ledger verbunden sein müssen, nicht isoliert liegen dürfen. Unternehmen benötigen Krypto-Buchhaltungssoftware, die Compliance-Daten aufnehmen, Gegenparteiguthaben nach Risikoklassifikation markieren und eine Audit-Trail erzeugen kann, die Compliance- und Buchhaltungsunterlagen integriert.

Welcher Fragebogenstandard gilt für das VASP-Onboarding?

Der weithin referenzierte Standard basiert auf dem Korrespondenzbank-Due-Diligence-Fragebogen der Wolfsberg-Gruppe, angepasst für VASPs. Das vollständige Instrument umfasst vierzehn Abschnitte. Ein risikobasierter Ansatz mit einer gekürzten Version für risikoärmere Antragsteller ist ein praktischer Weg, die Belastung zu kalibrieren, ohne die Genauigkeit bei risikoreicheren Fällen zu verringern.

Wie interagieren laufende Überwachungspflichten mit Buchhaltungsunterlagen?

Das bei der Onboarding festgelegte Risikoprofil auf Entitätsebene wird zur Basis für die nachfolgende Transaktionsüberwachung. Wesentliche Änderungen in diesem Profil, wie Verschiebungen bei den Zuflussquellen oder neue regulatorische Maßnahmen, können sich darauf auswirken, wie Gegenparteiguthaben klassifiziert werden und ob zusätzliche Offenlegungen erforderlich sind. Buchhaltungs- und Compliance-Teams sollten diese Überprüfungen im selben Turnus durchführen, statt sie als getrennte Prozesse zu behandeln.

Quelle: Elliptic