AML-Risikoanalyse für Krypto-Unternehmen: Leitfaden

Eine AML-Risikoanalyse (Geldwäsche-Risikoanalyse) ist eine dokumentierte Untersuchung, wie ein Unternehmen für Geldwäsche, Terrorismusfinanzierung oder Sanktionsumgehung missbraucht werden könnte, wie wahrscheinlich und schwerwiegend jedes Risiko ist und wie gut die Kontrollen es mindern. Für eine Krypto-Börse oder ein anderes Unternehmen im Bereich virtueller Assets ist sie das Fundament des gesamten AML-Compliance-Programms: Sie entscheidet, wo verstärkte Sorgfaltspflichten greifen, welche Regeln zur Transaktionsüberwachung laufen und wohin das Compliance-Budget fließt.

Dieser Leitfaden behandelt die unternehmensweite Risikoanalyse für Krypto-Unternehmen: die abzudeckenden Risikofaktoren, eine beispielhafte Bewertungsmatrix, die US-amerikanischen „fünf Säulen“ eines BSA/AML-Programms und die Anforderungen der EU-Geldwäscheverordnung. Zum Schluss folgt ein kurzer Hinweis für Nutzer, warum Risikoeinstufungen ihre Konten beeinflussen.

Zwei Ebenen der Risikoanalyse

Ein risikobasierter Ansatz arbeitet auf zwei Ebenen, die man klar auseinanderhalten sollte:

• Unternehmensweite Risikoanalyse. Sie betrachtet das Unternehmen als Ganzes: Kundenstamm, Produkte, Länder und Vertriebswege. Sie legt die Richtlinien fest, etwa welche Kunden verstärkte Prüfungen brauchen und welche Produkte zusätzliche Kontrollen erfordern.
• Kundenbezogene Risikobewertung. Sie stuft jeden einzelnen Kunden anhand des Rahmens ein, den die unternehmensweite Analyse geschaffen hat, und entscheidet, wie viel Sorgfalt bei diesem Kunden angewendet wird. Unser Leitfaden CDD vs. EDD behandelt diese Ebene.

Ist die unternehmensweite Analyse schwach, sind alle nachgelagerten Kontrollen falsch kalibriert – deshalb verlangen Aufsichtsbehörden sie meist als Erstes.

Was die EU-AMLR verlangt

Die EU-Geldwäscheverordnung, Verordnung (EU) 2024/1624 (AMLR), gilt ab dem 10. Juli 2027. Anbieter von Krypto-Dienstleistungen (CASPs) fallen unter ihre Definition von Finanzinstituten und sind damit Verpflichtete. Artikel 10 regelt die unternehmensweite Risikoanalyse. Unternehmen müssen ihre Risiken der Geldwäsche und Terrorismusfinanzierung sowie das Risiko der Nichtumsetzung oder Umgehung gezielter finanzieller Sanktionen ermitteln und bewerten und dabei mindestens Folgendes berücksichtigen:

• die Risikovariablen in Anhang I sowie die Faktoren für ein geringeres und ein höheres Risiko in den Anhängen II und III;
• die Risikobewertung auf EU-Ebene durch die Europäische Kommission und die nationalen Risikobewertungen der Mitgliedstaaten;
• einschlägige Veröffentlichungen internationaler Standardsetzer, der Kommission oder der neuen Behörde zur Bekämpfung der Geldwäsche (AMLA);
• von den zuständigen Behörden bereitgestellte Informationen über Risiken; und
• Informationen über den eigenen Kundenstamm.

Artikel 10 verlangt außerdem eine neue Bewertung, bevor neue Produkte, Dienstleistungen, Vertriebswege oder Technologien eingeführt oder ein neues Kundensegment oder Land erschlossen wird. Die Analyse muss dokumentiert, aktuell gehalten und regelmäßig überprüft, vom Compliance-Beauftragten erstellt, vom Leitungsorgan genehmigt und den Aufsichtsbehörden auf Anfrage vorgelegt werden. Nach Artikel 10 Absatz 4 musste die AMLA bis zum 10. Juli 2026 Leitlinien zu ihrem Mindestinhalt herausgeben.

Für Krypto-Unternehmen ergänzt Erwägungsgrund 30, dass die Analyse Transaktionen mit selbst gehosteten Adressen berücksichtigen sollte, und Artikel 79 untersagt CASPs, anonyme Krypto-Konten oder Konten zu führen, die die Anonymisierung oder verstärkte Verschleierung von Transaktionen ermöglichen, auch durch anonymitätsfördernde Coins. Die Zulassung nach MiCA ist ein eigenes Regime; siehe unseren Leitfaden zur CASP-Lizenz nach MiCA.

Was US-Regeln verlangen: die fünf Säulen

In den USA gelten Unternehmen, die konvertierbare virtuelle Währung tauschen oder übertragen, in der Regel als Money Services Businesses (MSBs), wie FinCEN in seiner Leitlinie FIN-2019-G001 von 2019 darlegte. Unser Leitfaden zur Money-Transmitter-Lizenz behandelt die Registrierung. MSBs müssen nach 31 CFR 1022.210 ein AML-Programm betreiben, das schriftlich festgelegt und den Risiken des Geschäfts „angemessen“ sein muss und mindestens Folgendes umfasst:

1. Richtlinien, Verfahren und interne Kontrollen zu Kundenidentifizierung, Meldungen, Aufbewahrung und Anfragen der Strafverfolgungsbehörden;
2. einen benannten Compliance-Beauftragten, der für die tägliche Compliance verantwortlich ist;
3. Schulungen für das zuständige Personal, auch zur Erkennung verdächtiger Transaktionen; und
4. eine unabhängige Überprüfung, risikoangemessen, durch eine andere Person als den Compliance-Beauftragten.

Das sind die klassischen „vier Säulen“. Banken und andere erfasste Finanzinstitute haben eine fünfte: risikobasierte Kundensorgfalt, die nach 31 CFR 1020.210 bedeutet, Art und Zweck der Kundenbeziehungen zu verstehen, um ein Kundenrisikoprofil zu erstellen, sowie eine laufende Überwachung. Krypto-Unternehmen mit Banklizenz oder Bankpartnern werden oft an allen fünf gemessen.

Die geltenden Regeln verlangen eine schriftliche Risikoanalyse nicht ausdrücklich. Das BSA/AML-Prüfungshandbuch des FFIEC hält fest, dass sie zwar „keine spezifische gesetzliche Anforderung“ ist, eine gut ausgearbeitete Risikoanalyse einer Bank aber hilft, ihre Risiken zu erkennen und Kontrollen zu gestalten; es beschreibt ein zweistufiges Verfahren: Risikokategorien identifizieren (Produkte, Dienstleistungen, Kunden, Geografie) und anschließend die Daten in jeder Kategorie analysieren. Das könnte sich ändern. Am 10. April 2026 schlug FinCEN eine Vorschrift zur Reform der Anforderungen an AML/CFT-Programme vor, nach der interne Richtlinien, Verfahren und Kontrollen Prozesse zur Risikoanalyse umfassen würden. Die Kommentierungsfrist endete am 9. Juni 2026, und als wir das Federal Register am 9. Oktober 2026 prüften, befand sich die Vorschrift noch im Entwurfsstadium.

Risikofaktoren, die ein Krypto-Unternehmen abdecken sollte

Beide Regime ordnen Risiken auf dieselbe Weise. Anhang I der AMLR gruppiert die Risikovariablen in Kunden-, Produkt-/Dienstleistungs-/Transaktions- und Vertriebswegrisiken, Anhang III ergänzt die Hochrisiko-Geografie. Für ein Krypto-Unternehmen bedeutet das:

• Kunden: Privat- vs. institutionelle Kunden, Unternehmenskunden mit komplexen Eigentumsstrukturen, politisch exponierte Personen, vermögende Nutzer, Kunden in Hochrisikoberufen und der Anteil der Kunden mit früheren Alerts.
• Produkte und Dienstleistungen: Spot-Handel, OTC-Desk, Fiat-On- und -Off-Ramps, Verwahrung, Staking, Krypto-Karten, Token-Listings und jedes Produkt, das Anonymität begünstigt.
• Transaktionen: Volumina, Ticketgrößen, Geschwindigkeit von Zu- und Abflüssen, Übertragungen an und von selbst gehosteten Wallets, Berührungspunkte mit Mixern, Bridges und Hochrisikodiensten, die über Blockchain-Analyse erkannt werden.
• Geografie: wo Kunden wohnen, von wo sie sich verbinden und Berührungspunkte mit Ländern auf den Überwachungslisten der FATF oder unter Sanktionen. Siehe unseren Leitfaden zur OFAC-Sanktionsliste.
• Vertriebswege: vollständig digitales Onboarding, Vermittler und Affiliates, API- und White-Label-Partner sowie andere Börsen, mit denen Sie zusammenarbeiten.

Eine beispielhafte Risikobewertungsmatrix

Ein Pflichtformat gibt es nicht. Laut FFIEC-Handbuch haben Prüfer „keine Erwartung an eine bestimmte Methode oder ein bestimmtes Format“. Ein gängiger Ansatz bewertet das inhärente Risiko, beurteilt die Wirksamkeit der Kontrollen und leitet daraus das Restrisiko ab. Die folgende Tabelle ist ein veranschaulichendes Beispiel, keine regulatorische Vorlage; Ihre eigenen Gewichtungen sollten aus Ihren Daten stammen.

Das inhärente Risiko wird oft als Wahrscheinlichkeit mal Auswirkung bewertet, anhand messbarer Indikatoren wie Volumina, Kundenzahlen und Alert-Quoten. Die Wirksamkeit der Kontrollen sollte durch Nachweise wie Testergebnisse und Prüfungsfeststellungen belegt sein, nicht allein durch das Vorhandensein einer Richtlinie. Liegt das Restrisiko über dem Risikoappetit des Unternehmens, sollte die Analyse in einen datierten Maßnahmenplan mit Verantwortlichen münden.

Die Analyse Schritt für Schritt durchführen

1. Daten sammeln: Kunden- und Transaktionsdaten, On-Chain-Expositionsberichte, Statistiken zu Alerts und Verdachtsfällen, Prüfungsfeststellungen sowie einschlägige nationale und EU-Risikobewertungen.
2. Risiken identifizieren in jeder der oben genannten Kategorien, einschließlich geplanter neuer Produkte.
3. Inhärentes Risiko bewerten mit einer schriftlich festgelegten, wiederholbaren Methode.
4. Kontrollen beurteilen: Onboarding, Screening, Transaktionsüberwachung, Travel Rule und Meldewesen.
5. Restrisiko ableiten und mit dem Risikoappetit vergleichen.
6. Handeln: Überwachungsregeln anpassen, Onboarding-Schwellen ändern, EDD-Auslöser ergänzen und bei Bedarf Produkte oder Märkte aufgeben.
7. Genehmigen und überprüfen: Freigabe durch die Geschäftsleitung, dann Überprüfung mindestens jährlich und bei jeder wesentlichen Änderung, etwa einem neuen Produkt, einem neuen Land oder einer wichtigen neuen Typologie.

Die Überwachungstools sollten das Ergebnis widerspiegeln. Viele Anbieter ermöglichen es, Regeln und Risikoscores an die eigene Analyse anzupassen. Mit der Software zur Transaktionsüberwachung von iDenfy etwa können Compliance-Teams eigene Regeln schreiben, die konfigurierbare Risikoscores erzeugen. Unser Vergleich von Software zur Krypto-Transaktionsüberwachung stellt weitere Optionen vor, und der Krypto-AML-Compliance-Leitfaden behandelt das Programm insgesamt.

Häufige Fehler

• Kopierte Analysen, die allgemeine Krypto-Risiken beschreiben statt der eigenen Daten des Unternehmens.
• Keine Verbindung zu den Kontrollen: Die Analyse stuft ein Produkt als hochriskant ein, aber die Überwachungsregeln ändern sich nie.
• Richtlinien als Kontrollen bewertet, ohne sie zu testen.
• Veraltete Dokumente, die älter sind als neue Produkte, Chains oder Märkte.
• Sanktionsumgehung ignoriert, die die AMLR nun ausdrücklich neben Geldwäsche und Terrorismusfinanzierung nennt.

Für Nutzer: Warum Risikoeinstufungen Ihr Konto beeinflussen

Die Risikoanalyse Ihrer Börse entscheidet, welche Kunden zusätzlich geprüft werden. Wenn Sie ein Produkt mit höherem Risiko nutzen, Gelder von einer markierten Wallet einzahlen oder in einem Land mit höherem Risiko wohnen oder sich von dort verbinden, werden Sie möglicherweise um weitere Unterlagen gebeten, auch wenn Sie nichts falsch gemacht haben. Unser Leitfaden zu AML-Warnsignalen bei Krypto listet die Muster auf, die typischerweise Prüfungen auslösen. Die DeFi-Apps von JewelSwap sind non-custodial und führen diese Prüfungen nicht selbst durch; siehe KYC in DeFi erklärt.

Häufig gestellte Fragen

Was ist eine AML-Risikoanalyse?

Eine AML-Risikoanalyse ist eine dokumentierte Untersuchung, wie ein Unternehmen für Geldwäsche, Terrorismusfinanzierung oder Sanktionsumgehung missbraucht werden könnte, wie wahrscheinlich und schwerwiegend jedes Risiko ist und wie gut bestehende Kontrollen es mindern. Sie bestimmt Entscheidungen über Sorgfaltspflichten, Überwachung und Ressourcen.

Was ist der Unterschied zwischen einer unternehmensweiten und einer kundenbezogenen Risikoanalyse?

Eine unternehmensweite Analyse betrachtet das gesamte Unternehmen: Kunden, Produkte, Transaktionen, Länder und Vertriebswege. Eine kundenbezogene Risikobewertung stuft jeden einzelnen Kunden anhand dieses Rahmens ein und entscheidet, wie viel Sorgfalt bei ihm angewendet wird.

Was sind die fünf Säulen eines AML-Compliance-Programms?

In den USA sind das interne Richtlinien, Verfahren und Kontrollen; ein benannter Compliance-Beauftragter; laufende Mitarbeiterschulungen; unabhängige Prüfungen; und risikobasierte Kundensorgfalt. MSBs, zu denen die meisten US-Krypto-Börsen gehören, müssen nach 31 CFR 1022.210 die ersten vier vorweisen.

Ist eine schriftliche AML-Risikoanalyse Pflicht?

In der EU ja: Artikel 10 der AMLR, die ab dem 10. Juli 2027 gilt, verlangt eine dokumentierte unternehmensweite Risikoanalyse, die vom Leitungsorgan genehmigt wird. In den USA verlangen die geltenden Regeln sie nicht ausdrücklich, Prüfer erwarten sie aber, und ein FinCEN-Vorschlag vom April 2026 würde Prozesse zur Risikoanalyse zum Bestandteil der Programmanforderungen machen.

Wie oft sollte eine AML-Risikoanalyse aktualisiert werden?

Die EU-AMLR verlangt, dass sie aktuell gehalten und regelmäßig überprüft sowie vor der Einführung neuer Produkte, Vertriebswege, Technologien oder Märkte neu bewertet wird. Viele Unternehmen überprüfen sie mindestens einmal jährlich und nach jeder wesentlichen Änderung.

Welche Risikofaktoren sind für Krypto-Unternehmen am wichtigsten?

Kundentyp, Produkte wie OTC und Fiat-Ramps, Transaktionen mit selbst gehosteten Wallets und Berührungspunkte mit Mixern oder anderen Hochrisikodiensten, Geografie einschließlich sanktionierter Länder und Hochrisikoländer sowie digitale oder über Partner laufende Vertriebswege.

Weiterlesen

• Krypto-AML-Compliance-Leitfaden für Börsen und VASPs
• Allgemeine vs. verstärkte Sorgfaltspflichten
• Adverse-Media-Screening erklärt
• Was ist ein VASP?
• Lösungen für das Krypto-Risikomanagement 2026

Dieser Artikel dient der Information und ist keine Rechtsberatung. Die rechtlichen Verweise beziehen sich auf die Verordnung (EU) 2024/1624 (die AMLR, gültig ab 10. Juli 2027), 31 CFR 1022.210 und 1020.210, die FinCEN-Leitlinie FIN-2019-G001, das BSA/AML-Prüfungshandbuch des FFIEC und den am 10. April 2026 veröffentlichten Vorschriftsentwurf von FinCEN, alle geprüft am 9. Oktober 2026. Die Bewertungsmatrix ist ein veranschaulichendes Beispiel, keine regulatorische Vorlage. Regeln ändern sich; prüfen Sie die aktuellen Fassungen, bevor Sie sich darauf verlassen.