Ein Kunde hat die Aufnahmeprüfung durchlaufen und beantragt anschließend eine Auszahlung an eine neue Adresse. Das Compliance-Team muss nachvollziehen können, welche Beteiligten und Kennungen geprüft wurden, was die Ergebnisse bedeuten und wer über die Ausführung entscheiden darf. Ein Vermerk wie „Wallet geprüft“ lässt zu viele dieser Fragen offen.
Dieser Leitfaden unterstützt Virtual Asset Service Providers (VASPs), Anbieter von Kryptowerte-Dienstleistungen (CASPs) und Zahlungsunternehmen mit Kryptodienstleistungen dabei, Kundenprüfungen, Prüfungen von Wallet-Adressen und die Prüfung von Transfers miteinander zu verbinden. Der beschriebene Ablauf ist eine Empfehlung für die Praxis. Er muss an die angebotenen Dienstleistungen, die maßgeblichen Rechtsordnungen und die internen Vorgaben angepasst werden und ist keine allgemeingültige gesetzliche Checkliste.
Für jede Kontrolle eine konkrete Frage festlegen
Am Anfang steht eine Übersicht darüber, welche Fragen die einzelnen Kontrollen beantworten. An einer Entscheidung über die Kundenaufnahme oder einen Transfer können mehrere Systeme mitwirken.
| Kontrolle | Welche Frage sie beantwortet | Abgrenzung |
|---|---|---|
| Sanktionsprüfung von Kunden und Unternehmen | Ergibt der Abgleich der übermittelten Identitätsdaten mit relevanten Sanktionsdaten einen möglichen Treffer? | Ein möglicher Treffer erfordert eine Prüfung. Ein Abgleich ohne Namenstreffer klärt weder Eigentum und Kontrolle noch sämtliche anwendbaren Beschränkungen. |
| PEP-Prüfung | Liegen zu einer Person relevante Angaben zu einer politischen Exponiertheit vor? | Der PEP-Status ist für die Sorgfaltspflichten relevant. Er ist weder eine Sanktionierung noch ein Nachweis von Fehlverhalten. |
| Sanktionsprüfung einer Wallet-Adresse | Ergibt die übermittelte Adresse einen möglichen Treffer beim Abgleich mit unterstützten Sanktionskennungen? | Die Prüfung belegt weder die Inhaberschaft der Wallet noch ihre Transaktionshistorie oder indirekte Sanktionsbezüge. |
| Blockchain-Analyse oder KYT | Welche Hinweise ergeben sich aus Blockchain-Aktivitäten, der Zuordnung von Adressen oder der Analyse von Risikobezügen? | Dafür ist eine eigenständige Funktion erforderlich, deren Abdeckung und Methoden nachvollziehbar sein müssen. |
| Travel-Rule-Prozess | Werden die erforderlichen Angaben zu Originator und Begünstigtem für erfasste Transfers erhoben, überprüft und übermittelt? | Die Prüfung der Beteiligten übernimmt nicht den Informationsaustausch. |
| Verhaltensbezogenes Transaktionsmonitoring | Gibt eine Aktivität im jeweiligen Kunden- und Transaktionskontext Anlass für eine Untersuchung? | Der Abgleich von Namen und Kennungen analysiert keine Verhaltensmuster. |
Die Ressourcensammlung zu Krypto-AML und Travel Rule bietet den übergreifenden Einstieg. Die grundsätzliche Abgrenzung erläutert der Beitrag Transaktionsprüfung und Transaktionsmonitoring im Vergleich.
Zuerst Beteiligte und Daten festlegen, dann den Prüfzeitpunkt
Für jede Dienstleistung – Kontoeröffnung, Aufnahme eines Unternehmenskunden, Einzahlung, Auszahlung oder Transfer – sollte feststehen, wer geprüft wird und woher die Angaben stammen. Eine Person, ein Unternehmenskunde, ein Begünstigter und eine Wallet-Adresse dürfen nicht zu einem undifferenzierten Suchbegriff zusammengefasst werden.
Die Beziehung zwischen dem Kunden und jeder übermittelten Partei muss erkennbar bleiben. Bei einem Geschäftskonto können dazu bereits identifizierte wirtschaftlich Berechtigte, kontrollierende Personen oder Bevollmächtigte gehören, soweit die internen Vorgaben dies erfordern. Die Prüfung dieser Parteien ermittelt nicht die Eigentümerstruktur. Diesen gesonderten Ablauf erläutert der Leitfaden zur Prüfung wirtschaftlich Berechtigter und verbundener Parteien.
Auch Herkunft und Aktualität der Identitätsangaben gehören zum Prüfkontext. Namen, Aliasnamen und vorhandene zusätzliche Kennungen unterstützen Analysten dabei, ähnlich benannte Personen oder Unternehmen zu unterscheiden. Fehlende Angaben dürfen weder durch Vermutungen ergänzt noch als Beleg dafür gewertet werden, dass ein möglicher Treffer eine andere Person betrifft.
Wallet-Adressen benötigen ein eigenes Eingabefeld und einen Bezug zur Transaktion. Der übermittelte Wert und vorhandene Angaben zum Netzwerk sollten erhalten bleiben. Der Umgang mit nicht unterstützten oder unvollständigen Eingaben muss vor dem produktiven Einsatz festgelegt sein.
Bei der Kundenaufnahme: den Kundenkontext klären
Zu prüfen sind der Kunde oder das Unternehmen sowie weitere Parteien, die nach den internen Vorgaben einzubeziehen sind. Sanktionsergebnisse, PEP-Angaben und Erkenntnisse aus negativen Medienberichten müssen unterscheidbar bleiben: Sie beantworten unterschiedliche Fragen und können unterschiedliche Folgemaßnahmen erfordern.
Identitätsverifizierung und Unternehmensverifizierung gehören zum umfassenderen Aufnahmeprozess. Ein Prüfergebnis beweist nicht, dass der Antragsteller die genannte Person ist, dass ein Unternehmensnachweis echt ist oder dass der Antragsteller eine Wallet kontrolliert.
Für jeden möglichen Treffer muss ein zuständiger Analyst benannt und die zur Klärung verwendete Tatsachengrundlage dokumentiert werden. Wirft eine Unternehmensbeziehung Fragen zu Eigentum oder Kontrolle auf, müssen diese der entsprechenden Analyse zugeführt werden – auch wenn kein direkter Namenstreffer vorliegt. Den rechtlichen Rahmen erläutert der Praxisleitfaden zur Sanktionsprüfung.
Wenn mehrdeutige Namen wiederholt Prüfaufwand verursachen, unterstützt der Leitfaden zur Verringerung von Fehlalarmen bei der Planung und Erprobung einer geeigneten Kalibrierung. Für die Untersuchung von Medienberichten gibt es den Leitfaden zur Prüfung und Dokumentation negativer Medien. Keiner dieser Prozesse sollte auf eine automatische Ablehnungsregel reduziert werden.
Beim Transfer: das Prüfergebnis mit dem Vorgang verbinden
Festzulegen ist, an welcher Stelle die Sanktionsprüfung in den Transferprozess einfließt. Ein Auszahlungsauftrag kann einen neuen Begünstigten, eine neue Gegenpartei oder eine neue Zieladresse enthalten. Eine frühere Kundenprüfung belegt nicht, dass diese neuen Angaben geprüft wurden.
Ein beispielhafter Ablauf für die Prüfung einer Auszahlung:
- Kundenreferenz, Transferreferenz, relevante übermittelte Parteien und Zieladresse erfassen.
- Die für diese Beteiligten erforderlichen Prüfungen mit der gewählten Konfiguration ausführen.
- Abgeschlossene Prüfungen, mögliche Treffer mit Klärungsbedarf sowie technische Fehler oder Datenprobleme unterscheiden.
- Das interne Prüf- und Eskalationsverfahren anwenden und weitere erforderliche Kontrollen berücksichtigen.
- Den Prüflauf und die von der zuständigen Stelle getroffene Entscheidung mit dem Transferdatensatz verknüpft aufbewahren.
Diese Schritte beschreiben Zuständigkeiten, keine allgemeingültige Pflicht zum Zurückhalten oder Freigeben von Geldern. Die anwendbaren Vorgaben und die Entscheidungsbefugnisse im Unternehmen bestimmen die Reaktion.
Der dokumentierte Checklynx-Ablauf über POST /transactions fasst die übermittelten Parteien in einem Transaktionsprüflauf zusammen. Das Zahlungsinstrument wallet_address prüft die übermittelte Adresse, wenn im gewählten Profil der Identitätsabgleich gegen Sanktionsdaten aktiviert ist. Die zurückgegebene Prüflauf-ID sollte zusammen mit der eigenen Transferreferenz gespeichert werden, damit sich die Ausführung später abrufen lässt. Die Entwicklerdokumentation beschreibt die unterstützten Felder und das aktuelle Verhalten.
Wenn Ihre Plattform die gesamte Prüfdokumentation selbst führt und lediglich direkte Abfragen benötigt, kann ein anderes Integrationsmodell passender sein. Der Vergleich von Transaction Screening API und Sanctions & PEP API erläutert diese Entscheidung, die Zuordnung der Ergebnisse und den Umgang mit Wiederholungsversuchen.
Was das Ergebnis einer Wallet-Adressprüfung aussagt
Für US-Sanktionen erläutert OFAC FAQ 562, dass die Behörde digitale Währungsadressen veröffentlichen kann, die gesperrten Personen zugeordnet sind. Diese Angaben sind voraussichtlich nicht vollständig. Ein Abgleich mit veröffentlichten Kennungen kann daher nicht belegen, dass jede Adresse einer sanktionierten Person erfasst wurde.
Ein direkter Adresstreffer und ein indirekter Bezug über andere Adressen sind unterschiedliche Feststellungen. Die Untersuchung von Transaktionswegen, die Zuordnung von Wallets zu Personen oder Organisationen, die Bildung von Adressgruppen und die Analyse indirekter Sanktionsbezüge erfordern Funktionen, die über den Abgleich mit Sanktionskennungen hinausgehen. Ob zusätzlich ein Anbieter für Blockchain-Analysen oder andere Untersuchungswerkzeuge erforderlich ist, muss anhand der eigenen Risikobewertung entschieden werden.
Ein Ergebnis ohne möglichen Treffer sollte so dokumentiert werden, wie die Prüfung tatsächlich durchgeführt wurde: mit übermittelter Adresse, relevanter Prüfkonfiguration, Zeitpunkt und zurückgegebenem Ergebnis. Daraus dürfen keine Aussagen wie „sichere Wallet“, „verifizierter Inhaber“ oder „kein Kryptorisiko“ werden. Der Kunde, die Gegenpartei, Eigentumsfragen und der weitere Transferkontext können weiterhin Klärung erfordern.
Travel-Rule-Informationen nutzen und die Kontrollen getrennt halten
Angaben zu Originator und Begünstigtem können die Daten der zu prüfenden Parteien ergänzen. Es muss feststehen, wer diese Informationen entgegennimmt, Widersprüche klärt und die Prüfeingaben mit dem Transfer verknüpft hält.
In der EU legt die Verordnung (EU) 2023/1113 Informationspflichten für Geldtransfers und bestimmte Kryptowerte-Transfers in ihrem Anwendungsbereich fest. Sie ist verbindliches Recht. Anwendbarkeit, Ausnahmen und konkrete Pflichten sind für das jeweilige Unternehmen zu beurteilen. Prüfsoftware erfüllt nicht selbst die Pflichten zur Erhebung, Verifizierung oder Übermittlung dieser Informationen.
Im operativen Ablauf muss geregelt sein, was bei fehlenden, verspäteten oder nachträglich geänderten Pflichtangaben geschieht. Das Ergebnis dieses Informationsprozesses bleibt vom Sanktionsergebnis getrennt. Die Übermittlung einer Nachricht an einen anderen Anbieter belegt nicht, dass ihre Beteiligten geprüft wurden. Umgekehrt belegt die Prüfung der Beteiligten nicht, dass die erforderliche Nachricht übermittelt wurde.
Nach der Kundenaufnahme: Änderungen und erneute Prüfungen steuern
Kundendaten, verbundene Parteien und Sanktionsdaten können sich ändern. Prüfanlässe und erneute Abgleiche sollten sich nach den einschlägigen Vorgaben und internen Richtlinien richten. Ebenso muss feststehen, wer reagiert, wenn neue Informationen eine frühere Bewertung verändern. Es gibt kein allgemeingültiges Prüfintervall für jeden VASP oder Kunden.
Checklynx-Kundendatensätze können für ein im Dashboard konfiguriertes laufendes Monitoring verwendet werden. Dabei werden Kundendatensätze erneut geprüft; es handelt sich nicht um eine Beobachtung von Blockchain-Transaktionen oder eine Analyse von Verhaltensmustern bei Kryptoaktivitäten. Die aktuelle öffentliche API ermöglicht weder die Konfiguration noch die Ausführung dieses Monitorings.
Neue Erkenntnisse sollten mit der relevanten Kunden- oder Transferprüfung verbunden werden, ohne frühere Ergebnisse zu überschreiben. Die damalige Entscheidung muss verständlich bleiben: Welche Informationen lagen vor, was wurde geprüft und welche späteren Erkenntnisse waren Anlass für die erneute Prüfung?
Nachweise nutzen, ohne sie jedes Mal manuell zusammenzustellen
Dokumentation wird aufwendig, wenn Analysten Namen, Abfrageergebnisse und Transaktionsreferenzen wiederholt in separate Notizen kopieren. Deshalb sollte feststehen, welches System welchen Teil der Akte aufbewahrt. Derselbe Prüfkontext kann dann die Erstprüfung, eine Eskalation und spätere Kontrollhandlungen unterstützen.
Bei einer Transferprüfung gehören die eigene Transferreferenz, geprüfte Beteiligte, übermittelte Eingaben, Ausführungszeitpunkt und Konfiguration, Ergebnisse, gegebenenfalls die Fallreferenz sowie Begründung und autorisierte Entscheidung zusammen. Der Zugriff auf personenbezogene und finanzielle Informationen muss beschränkt sein; es gelten die Aufbewahrungsvorgaben des Unternehmens. Die ausführliche Dokumentationsmethode enthält der Leitfaden zur Untersuchung von Sanktionstreffern.
Checklynx-Transaktionsprüfläufe stellen abrufbare Prüfnachweise bereit und können Ergebnisse mit Handlungsbedarf mit einem Fall verknüpfen. Direkte AML-Abfragen legen keine Kunden- oder Falldatensätze an. Eine Integration mit diesen Abfragen muss daher eigene Entscheidungsnachweise aufbewahren. Diese Zuständigkeit für die Dokumentation gehört in die Auswahl des Integrationsmodells.
Für die technischen Tests stehen die Anforderungen an die technische Abnahme zur Verfügung. Die Anbieterauswahl behandelt der Kaufleitfaden für Sanktionsprüfsoftware.
Checklynx in Ihre Kryptoprüfungen einbinden
Checklynx unterstützt den Abgleich und die anschließende Prüfung: Sanktions- und PEP-Prüfungen für Kunden und Unternehmen, Prüfungen übermittelter Transferparteien, unterstützte Sanktionsprüfungen von Wallet-Adressen sowie einen gesonderten Prozess für negative Medien. Die Ausgestaltung der übergreifenden Kontrollen und die Entscheidungen bleiben in der Verantwortung Ihres Teams.
Ein konkretes Beispiel für die Kundenaufnahme und eines für einen Transfer schaffen eine gute Gesprächsgrundlage: Welche Beteiligten und Kennungen liegen vor, wer prüft die Ergebnisse und welche Nachweise müssen erhalten bleiben? Die Seite zur Prüfung für Kryptoplattformen und VASPs zeigt, wo Checklynx eingesetzt werden kann und welche Kontrollen eigene Systeme benötigen.