Red Flags bei Kryptowerten: Geldwäsche im Monitoring erkennen

Der regulatorische Rahmen

Die Financial Action Task Force (FATF) hat im September 2020 einen eigenen Bericht zu Red-Flag-Indikatoren für Geldwäsche und Terrorismusfinanzierung mit virtuellen Vermögenswerten veröffentlicht. Er gliedert die Indikatoren unter anderem nach Größe und Häufigkeit von Transaktionen, nach auffälligen Transaktionsmustern, nach Merkmalen von Sender und Empfänger sowie nach geografischen Risiken. Die FATF betont dabei ausdrücklich, dass die Liste nicht abschließend ist und ein einzelner Indikator kein Beleg für kriminelles Handeln ist.

In der EU sind die Erwartungen inzwischen deutlich konkreter. Die EBA hat ihre Leitlinien zu Geldwäsche-Risikofaktoren im Januar 2024 um eine eigene Leitlinie für Kryptowerte-Dienstleister ergänzt (EBA/GL/2024/01), die seit dem 30. Dezember 2024 gilt. Sie benennt typische Risikofaktoren und verlangt geeignete Monitoring-Instrumente einschließlich fortgeschrittener Analysewerkzeuge. Zugleich richtet sie sich an Kreditinstitute, die Kryptowerte-Dienstleister als Kunden haben oder anderweitig Kryptobezug aufweisen.

Ab dem 10. Juli 2027 gilt die EU-Geldwäscheverordnung (EU) 2024/1624, kurz AMLR, unmittelbar in allen Mitgliedstaaten. Für Kryptowerte-Dienstleister schreibt sie bei gelegentlichen Transaktionen ab 1.000 Euro die vollständige Sorgfaltsprüfung vor (Art. 19 Abs. 3 AMLR). Was sich mit der neuen Aufsichtsbehörde AMLA insgesamt ändert, behandeln wir in einem eigenen Beitrag. Die Informationspflichten bei Kryptotransfers nach der Geldtransferverordnung erläutern wir ausführlich im Beitrag zur Travel Rule für Kryptowerte.

Red Flags für Geldwäsche mit Kryptowerten

Mixer, Tumbler und Anonymisierungsdienste

Mixer bündeln Kryptowerte vieler Nutzer und geben sie in neu verteilten Beträgen wieder aus, sodass die Verbindung zwischen Herkunft und Ziel verwischt wird. Die EBA nennt Transaktionen mit Plattformen, die darauf abzielen, Transaktionen zu verschleiern und Anonymität zu ermöglichen, ausdrücklich als Risikofaktor. Ebenso führt sie den Erwerb oder Tausch von Kryptowerten mit erhöhtem Anonymitätsgrad auf, also sogenannte Privacy Coins. Die AMLR geht ab Juli 2027 noch weiter: Sie untersagt Kreditinstituten, Finanzinstituten und Kryptowerte-Dienstleistern, anonyme Kryptowertekonten zu führen oder Konten, die eine Anonymisierung oder verstärkte Verschleierung von Transaktionen ermöglichen, auch durch sogenannte Anonymity-Enhancing Coins (Art. 79 AMLR).

Im Monitoring ist entscheidend, zwischen direkter und indirekter Berührung zu unterscheiden. Eine Einzahlung, die unmittelbar aus einem bekannten Mixer stammt, hat ein anderes Gewicht als eine Zahlung, deren Herkunft fünf Transaktionen zuvor einmal einen solchen Dienst berührt hat.

Bridges und Chain-Hopping

Cross-Chain-Bridges verbinden zwei Blockchains und erlauben es, Werte von einem Netzwerk in ein anderes zu übertragen. Für legitime Nutzer ist das eine Komfortfunktion. Für Geldwäscher ist es eine Möglichkeit, die Spur zu unterbrechen, weil viele Analysewerkzeuge Transfers über Netzwerkgrenzen hinweg nur eingeschränkt verfolgen können. Die EBA nennt Kunden, die Protokolle nutzen, die zwei Blockchains verbinden, ausdrücklich als möglichen Risikofaktor. Ein typisches Muster ist der schnelle Wechsel über mehrere Netzwerke und Token hinweg, ohne dass ein wirtschaftlicher Zweck erkennbar ist.

Sanktionsbezüge

Sanktionsrisiken entstehen bei Kryptowerten nicht nur über Namen, sondern auch über Adressen, Plattformen und Token. Einige Sanktionsbehörden veröffentlichen Wallet-Adressen gelisteter Personen. Die EU hat mit ihrem 19. Sanktionspaket gegen Russland vom 23. Oktober 2025 unter anderem den rubelgestützten Stablecoin A7A5 ins Visier genommen; Transaktionen damit sind in der EU verboten. Für das Monitoring bedeutet das: Neben dem klassischen Namensabgleich braucht es ein Screening von Gegenadressen und genutzten Diensten, ergänzt um Geolokationssignale wie IP-Adressen aus sanktionierten Jurisdiktionen, die die FATF ebenfalls als Indikator nennt.

Self-hosted Wallets

Transfers von oder zu selbst verwahrten Wallets sind nicht per se verdächtig. Sie entziehen sich aber der Kontrolle eines regulierten Dienstleisters, weshalb die Gegenseite schwerer zu identifizieren ist. Die AMLR verpflichtet Kryptowerte-Dienstleister ausdrücklich, die Risiken solcher Transfers zu bewerten und risikoangemessene Maßnahmen zu ergreifen, etwa die Identifizierung von Auftraggeber oder Begünstigtem, zusätzliche Angaben zu Herkunft und Ziel der Kryptowerte oder eine verstärkte laufende Überwachung (Art. 40 AMLR). Bis zum 10. Juli 2027 muss die AMLA hierzu Leitlinien erlassen, auch dazu, wie geprüft wird, ob ein Kunde eine Adresse tatsächlich besitzt oder kontrolliert. Die EBA empfiehlt bereits heute, sich bestätigen zu lassen, dass eine Self-hosted Adresse unter der Kontrolle des Kunden steht.

Strukturierung und Smurfing

Die FATF nennt die Aufteilung von Transaktionen in kleine Beträge unterhalb von Melde- oder Aufzeichnungsschwellen als klassischen Indikator. Mit der Schwelle von 1.000 Euro für gelegentliche Kryptotransaktionen gewinnt dieses Muster an Bedeutung. Die AMLR erfasst deshalb ausdrücklich auch miteinander verbundene Transaktionen. Die AMLA hat am 1. Oktober 2026 einen finalen Entwurf technischer Regulierungsstandards veröffentlicht, der Kriterien für verbundene Transaktionen festlegt und an die Europäische Kommission übermittelt wurde. Verwandt ist das Sammeln vieler kleiner Beträge aus nicht zusammenhängenden Wallets, die anschließend gebündelt weitergeleitet oder in Fiatgeld getauscht werden.

Weitere Muster aus der Praxis

Die FATF beschreibt eine Reihe weiterer Auffälligkeiten: Kryptowerte werden unmittelbar nach Eingang an mehrere Dienstleister weitergeleitet, Werte werden ohne erkennbaren Grund mit Verlust oder gegen ungewöhnlich hohe Gebühren getauscht, Kunden wirken mit Kryptowerten unerfahren und passen nicht zum Transaktionsvolumen, was auf Finanzagenten oder Betrugsopfer hindeuten kann. Die EBA ergänzt Bezüge zum Darknet und Transaktionen mit DeFi-Anwendungen. Das FATF-Update vom 16. Juli 2026 hebt zudem hervor, dass der Großteil der identifizierten illegalen On-Chain-Aktivität mittlerweile Stablecoins betrifft und industriell organisierter Anlagebetrug zunimmt.

Red Flags im Monitoring erkennen

Drei Datenebenen zusammenführen

Wirksames Monitoring bei Kryptowerten arbeitet mit drei Ebenen. Die erste ist das Kundenprofil aus dem KYC-Prozess: Beruf, Herkunft des Vermögens, erwartetes Transaktionsvolumen. Die zweite ist das klassische Transaktionsmonitoring mit Regeln zu Beträgen, Frequenzen und Geschwindigkeit. Die dritte ist die On-Chain-Analyse, die Herkunft und Ziel von Kryptowerten über die Blockchain nachverfolgt. Die EBA erwartet von Kryptowerte-Dienstleistern geeignete Monitoring-Instrumente einschließlich fortgeschrittener Analysewerkzeuge, deren Umfang sich nach Art und Volumen der Geschäftstätigkeit richtet. Was solche Werkzeuge leisten und wo ihre Grenzen liegen, vertiefen wir in einem separaten Beitrag zur Blockchain-Analyse im Compliance-Alltag.

Erst die Verbindung dieser Ebenen macht einen Hinweis aussagekräftig. Eine Einzahlung mit indirekter Mixer-Berührung bei einem langjährigen Kunden mit plausibler Historie ist anders zu bewerten als derselbe Vorgang bei einem frisch eröffneten Konto, dessen Inhaber kurz darauf alles in Fiatgeld abzieht.

Szenarien statt Einzelregeln

Viele Institute starten mit isolierten Regeln, etwa jeder Berührung mit einer Risikokategorie. Das erzeugt hohe Alarmvolumina. Wirksamer sind Szenarien, die mehrere Indikatoren verknüpfen: Eingang aus einer Self-hosted Wallet, schneller Tausch in einen Stablecoin, Weiterleitung über eine Bridge innerhalb weniger Stunden. Solche Szenarien sollten aus der eigenen Risikoanalyse abgeleitet, regelmäßig kalibriert und nachvollziehbar dokumentiert werden.

Prüfung vor und nach der Transaktion

Bei Kryptowerten lohnt sich die Prüfung vor der Ausführung besonders, weil Transfers praktisch nicht rückholbar sind. Ausgehende Transaktionen an Adressen mit Sanktions- oder schwerem Kriminalitätsbezug sollten vor der Freigabe gestoppt werden können. Eingehende Transaktionen lassen sich nicht verhindern, wohl aber die weitere Verfügung über die Mittel, bis der Fall geklärt ist.

Vom Alarm zur Verdachtsmeldung

Ein Alarm ist noch kein Verdacht. Entscheidend ist eine strukturierte Fallbearbeitung mit klaren Eskalationsstufen, dokumentierter Begründung und einer Entscheidung, ob eine Verdachtsmeldung an die zentrale Meldestelle, in Deutschland die FIU, erforderlich ist. Die AMLA muss bis Juli 2027 Leitlinien zu Indikatoren für verdächtige Aktivitäten veröffentlichen, die für Meldestellen und Verpflichtete gleichermaßen relevant sein werden.

Besonderheiten für Banken und Sparkassen

Kreditinstitute sind auf zwei Wegen betroffen. Erstens, wenn sie selbst Kryptowerte-Dienstleistungen anbieten, etwa über eine Kooperation oder ein eigenes Angebot nach MiCA. Zweitens über das Fiatgeschäft: Zahlungen von und zu Kryptobörsen, Kunden mit Krypto-Vermögen oder Geschäftsbeziehungen zu Kryptowerte-Dienstleistern. Die EBA nennt hier unter anderem Geschäftsbeziehungen zu Kryptowerte-Dienstleistern, die nicht nach der MiCA-Verordnung zugelassen sind, als risikoerhöhenden Faktor. Da die Übergangsfristen der MiCA spätestens am 1. Juli 2026 ausgelaufen sind, ist die Zulassung eines Gegenübers heute ein einfach zu prüfendes und aussagekräftiges Kriterium.

Für Korrespondenzbeziehungen zu Kryptowerte-Dienstleistern außerhalb der EU schreibt die AMLR ab Juli 2027 verstärkte Sorgfaltspflichten vor, darunter die Prüfung von Lizenz oder Registrierung und die Zustimmung der Geschäftsleitung (Art. 37 AMLR). Für die Herkunft von Vermögen, das aus Kryptowerten stammt, bleiben belastbare Nachweise zentral: Börsenabrechnungen, Wallet-Historien und eine plausible Erklärung der Erwerbszeitpunkte.

Was Institute jetzt tun sollten

Prüfen Sie zunächst, ob Ihre institutsweite Risikoanalyse die hier beschriebenen Muster ausdrücklich abdeckt, und leiten Sie daraus Monitoring-Szenarien ab, statt nur Einzelregeln zu pflegen. Legen Sie fest, wie direkte und indirekte Risikoberührungen gewichtet werden, und dokumentieren Sie die Schwellenwerte und deren Begründung. Richten Sie für Self-hosted Wallets einen risikobasierten Prozess zum Nachweis der Verfügungsgewalt ein, der auch die erwarteten AMLA-Leitlinien aufnehmen kann.

Ergänzen Sie das Sanktionsscreening um Adressen, Token und Dienste und testen Sie, ob ausgehende Transaktionen rechtzeitig angehalten werden können. Schließlich sollten Sie die Fallbearbeitung schulen: Mitarbeitende müssen On-Chain-Befunde lesen, einordnen und gegenüber Revision und Aufsicht erklären können. Die EBA betont ausdrücklich, dass Schulungen auch die Interpretation der Ergebnisse von Monitoring-Werkzeugen umfassen sollten.

Weiterbildung für Compliance-Teams

Wer Red Flags bei Kryptowerten sicher erkennen und bewerten will, braucht ein solides Verständnis von Technik, Marktstruktur und Regulierung. Die TheClueX-Spezialisierung Compliance und AML vertieft genau diese Themen für Fachkräfte in Instituten, aufbauend auf dem Grundlagenzertifikat.

Häufige Fragen

Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechts-, Steuer- oder Anlageberatung im Einzelfall. Stand: 14. Oktober 2026.