AML-Warnsignale bei Krypto: die Red Flags der FATF erklärt

AML-Warnsignale bei Krypto (Red Flags) sind Hinweise darauf, dass eine Transaktion oder ein Kunde mit Geldwäsche oder Terrorismusfinanzierung in Verbindung stehen könnte: Einzahlungen, die in kleine Beträge aufgeteilt werden, um unter Meldeschwellen zu bleiben, Coins, die durch Mixer laufen, ein neues Konto, das plötzlich große Summen bewegt, oder Gelder mit Bezug zu Hochrisikoländern. Die Referenzliste ist der FATF-Bericht zu Red-Flag-Indikatoren für virtuelle Vermögenswerte, veröffentlicht am 14. September 2020, der sie in sechs Kategorien einteilt.

Ein Warnsignal ist kein Beweis für eine Straftat, sondern nur ein Grund, genauer hinzusehen. Dieser Leitfaden geht jede FATF-Kategorie durch, erklärt, was eine Börse tut, wenn etwas markiert wird, und beantwortet die Frage, die Nutzer tatsächlich stellen: Warum wurde mein Konto eingefroren?

Was sind AML-Warnsignale?

Anti-Geldwäsche-Vorschriften (AML) verpflichten regulierte Krypto-Unternehmen, die die FATF als Dienstleister für virtuelle Vermögenswerte (VASPs) bezeichnet, verdächtige Aktivitäten zu überwachen und zu melden. Red Flags sind die Muster, abgeleitet aus realen Fällen, die FATF-Mitglieder eingereicht haben, die einem Analysten zeigen, wo er hinsehen muss.

Die FATF ist eindeutig, wie sie zu verwenden sind. Im Fazit des Berichts heißt es, die Indikatoren seien „weder abschließend noch in jeder Situation anwendbar“ und kein einzelner Indikator dürfe isoliert betrachtet werden. Das FATF-Merkblatt für VASPs ergänzt, dass eine Transaktion mit mehreren Indikatoren und wenig oder keiner logischen geschäftlichen Erklärung weiter überwacht und gegebenenfalls gemeldet werden muss.

Die eigentliche Frage lautet: „Passt diese Aktivität zu diesem Kunden?“ Deshalb bauen Red Flags auf KYC und der Kundensorgfaltspflicht auf: Das Unternehmen kann nur beurteilen, was ungewöhnlich ist, wenn es weiß, was für Sie normal ist.

Die sechs Red-Flag-Kategorien der FATF

Der FATF-Bericht ordnet seine Indikatoren in sechs Gruppen. Die folgenden Beispiele stammen daraus, leicht umformuliert.

1. Höhe und Häufigkeit von Transaktionen

• Structuring (Stückelung): Krypto-Tauschgeschäfte oder Überweisungen werden in kleine Beträge aufgeteilt, oder in Beträge unter Aufzeichnungs- oder Meldeschwellen, dieselbe Technik, die seit Langem mit Bargeld angewendet wird.
• Mehrere hochvolumige Transaktionen in kurzer Folge, etwa innerhalb von 24 Stunden, oder in einem gestaffelten, regelmäßigen Muster, gefolgt von einer langen Phase ohne Aktivität. Die FATF merkt an, dass Letzteres bei Ransomware-Fällen besonders häufig ist.
• Coins werden sofort an mehrere VASPs übertragen, insbesondere in anderen Ländern ohne Bezug zum Wohn- oder Arbeitsort des Kunden oder mit schwacher AML-Regulierung.
• Coins werden eingezahlt und sofort wieder abgehoben, ohne zu handeln, oder ohne klaren Grund in mehrere andere Coins getauscht. Laut FATF „macht dies die Börse/den VASP faktisch zu einem Geldwäsche-Mixer“.

2. Transaktionsmuster

• Ein neuer Nutzer tätigt eine große Ersteinzahlung, die nicht zu seinem Profil passt.
• Ein neuer Nutzer zahlt den gesamten Betrag am ersten Tag ein und handelt oder hebt alles am selben oder am nächsten Tag ab.
• Ein neuer Nutzer versucht, das gesamte Guthaben zu handeln oder alles von der Plattform abzuziehen.
• Transaktionen mit mehreren virtuellen Vermögenswerten oder Konten ohne logische geschäftliche Erklärung.

Blockchain-Analyse-Firmen ergänzen eigene Mustererkennung, etwa „Peel Chains“, bei denen ein großes Guthaben über eine lange Reihe von Wallets bewegt und bei jedem Schritt ein kleiner Betrag abgezweigt wird. Wie diese Werkzeuge funktionieren, lesen Sie unter Blockchain-Analyse erklärt.

3. Anonymität

• Nutzung mehr als einer Art von Krypto-Asset trotz zusätzlicher Gebühren, insbesondere von anonymitätsfördernden Kryptowährungen (Privacy Coins).
• Coins werden von einer transparenten öffentlichen Blockchain an eine zentralisierte Börse übertragen und sofort gegen einen Privacy Coin getauscht.
• Kunden, die auf Peer-to-Peer-Plattformen (P2P) als nicht registrierter oder nicht lizenzierter VASP auftreten, große Volumina für andere abwickeln und hohe Gebühren verlangen.
• Gelder, die an Mixing- oder Tumbling-Dienste gesendet oder von diesen empfangen werden, oder mit direkter oder indirekter Verbindung zu Darknet-Märkten, Ransomware, fragwürdigen Glücksspielseiten oder gemeldeten Diebstählen.

Die FATF betont, dass diese Merkmale nicht immer illegal sind und mit dem Kundenprofil und jeder legitimen Erklärung abgewogen werden müssen.

4. Absender und Empfänger

• Bei der Kontoeröffnung: Eröffnung mehrerer Konten unter verschiedenen Namen, um Limits zu umgehen, Verbindungen von IP-Adressen in sanktionierten oder bereits markierten Ländern oder wiederholte Versuche, Konten von derselben IP-Adresse zu eröffnen.
• Während der Sorgfaltsprüfung: unvollständige KYC-Angaben, Weigerung, Fragen zur Herkunft der Mittel zu beantworten, falsche Angaben zu einer Transaktion oder Gegenpartei oder gefälschte und bearbeitete Ausweisdokumente.
• Profil-Abweichungen: Kennungen oder Zugangsdaten, die mit einem anderen Konto geteilt werden, IP-Adressen, die nicht zum Profil passen, oder eine Wallet-Adresse, die in Foren mit Bezug zu illegalen Aktivitäten auftaucht.
• Mögliche Finanzagenten (Money Mules) oder Betrugsopfer: ein Absender ohne Krypto-Erfahrung, ein Kunde, der deutlich älter ist als der typische Nutzer der Plattform und viele Transaktionen durchführt, oder große Käufe, die das bekannte Vermögen des Kunden nicht erklärt.
• Sonstiges ungewöhnliches Verhalten: häufige Änderungen von E-Mail, IP oder Finanzdaten (was auch auf eine Kontoübernahme hindeuten kann) oder Nachrichtenfelder, die auf illegale Waren verweisen.

5. Herkunft der Mittel oder des Vermögens

• Transaktionen mit Adressen oder Bankkarten, die mit Betrug, Erpressung, Ransomware, sanktionierten Adressen oder Darknet-Märkten verbunden sind.
• Einzahlungen, die deutlich höher als üblich sind, aus unbekannter Quelle stammen und schnell in Fiat umgetauscht werden, was auf gestohlene Gelder hindeuten kann.
• Gelder, die direkt von Mixern oder Tumblern stammen, oder ein Vermögen, das überwiegend aus Krypto, ICOs oder Plattformen ohne AML-Kontrollen stammt.

An dieser Stelle führen Red Flags zu Anfragen nach der Mittelherkunft. Unser Leitfaden zu Mittelherkunft vs. Vermögensherkunft erklärt, welche Nachweise diese Anfragen beantworten.

6. Geografische Risiken

• Gelder, die von einer Börse kommen oder an eine Börse gehen, die in dem Land, in dem der Kunde oder die Börse ansässig ist, nicht registriert ist.
• Nutzung einer Börse oder eines Geldtransferdienstes in einem Hochrisikoland mit schwachen oder fehlenden AML-Regeln für Krypto.
• Überweisungen an VASPs in Ländern ohne Krypto-Regulierung oder die Verlagerung eines Unternehmens in solche Länder.

Wie Börsen Warnsignale erkennen

Die meisten Red Flags werden von Software erkannt. Ein typischer Aufbau hat drei Ebenen:

• Onboarding-Prüfungen: Dokumenten- und Selfie-Verifizierung, Sanktions- und PEP-Screening sowie Geräte- oder IP-Signale, die doppelte Konten und sanktionierte Standorte erkennen.
• Transaktionsüberwachung: Regeln, die Beträge, Geschwindigkeit und Muster über die Historie eines Kunden prüfen, zum Beispiel „Summe der Einzahlungen über 24 Stunden“ oder „Auszahlung innerhalb einer Stunde nach Einzahlung ohne Handel“. Siehe unseren Leitfaden zur AML-Transaktionsüberwachung bei Krypto.
• Blockchain-Analyse (KYT): Screening der Adressen, an die ein Kunde sendet und von denen er empfängt, sowie Bewertung des Risikos durch Mixer, Darknet-Märkte, sanktionierte Wallets und gestohlene Gelder.

Warnmeldungen landen in einer Prüfwarteschlange, in der ein Analyst entscheidet, ob die Aktivität eine harmlose Erklärung hat. Die Transaktionsüberwachungssoftware von iDenfy etwa kombiniert benutzerdefinierte und Velocity-Regeln mit Sanktions-, PEP- und Negativpresse-Screening und leitet Warnmeldungen durch einen mehrstufigen Prüfprozess, der in einer exportierbaren Verdachtsmeldung (SAR) endet. Für einen breiteren Vergleich siehe die beste Krypto-Transaktionsüberwachungssoftware 2026.

Was passiert, wenn eine Aktivität markiert wird

Wenn die Prüfung die Warnmeldung nicht ausräumt, ist das Unternehmen gesetzlich verpflichtet, sie zu melden. Die Einzelheiten unterscheiden sich je nach Land:

• Europäische Union. Nach Artikel 33 der Geldwäscherichtlinie (EU) 2015/849 müssen Verpflichtete der zentralen Meldestelle (FIU) des jeweiligen Landes umgehend Meldung erstatten, wenn sie wissen, vermuten oder berechtigten Grund zu der Annahme haben, dass Gelder aus Straftaten stammen, „unabhängig von der Höhe des betreffenden Betrags“. Auch versuchte Transaktionen müssen gemeldet werden. Die neue AML-Verordnung (EU) 2024/1624 bekräftigt dies in Artikel 69 und gilt ab dem 10. Juli 2027. Ihr Artikel 71 verpflichtet Unternehmen, eine verdächtige Transaktion zurückzuhalten, bis sie sie gemeldet haben; sie dürfen sie ausführen, wenn die FIU nicht innerhalb von drei Arbeitstagen etwas anderes angewiesen hat.
• Vereinigte Staaten. Die FinCEN-Leitlinien von 2019 bestätigen, dass Krypto-Tauschanbieter in der Regel als Money Transmitter gelten, eine Form von Money Services Business. Nach 31 CFR 1022.320 muss ein Money Services Business für verdächtige Transaktionen ab 2.000 USD eine Verdachtsmeldung (SAR) einreichen, spätestens 30 Kalendertage nach erstmaliger Feststellung der Fakten. Structuring zur Umgehung bundesrechtlicher Meldepflichten ist nach 31 U.S.C. 5324 selbst eine Straftat.

Zudem ist es Unternehmen untersagt, Sie zu informieren. Das EU-Recht verbietet, dem Kunden mitzuteilen, dass eine Meldung erstattet wurde oder wird oder dass eine Analyse läuft (Artikel 39 der Richtlinie, Artikel 73 der AMLR). In den USA sind eine SAR und alle Informationen, die ihre Existenz offenlegen würden, nach 31 CFR 1022.320(d) vertraulich. Dieses Verbot der Informationsweitergabe („Tipping-off“) ist der Grund, warum Support-Mitarbeiter zu einem eingefrorenen Konto oft vage Antworten geben.

„Warum wurde mein Konto eingefroren?“

Für Nutzer zeigt sich ein Warnsignal als zurückgehaltene Auszahlung, eingeschränktes Konto oder Dokumentenanforderung. Häufige harmlose Auslöser:

• Eine erste Einzahlung, die deutlich über dem bei der Registrierung angegebenen Einkommen oder Beruf liegt.
• Schnelles Ein- und Auszahlen ohne Handel, oft beim Verschieben von Coins zwischen Plattformen.
• Der Empfang von Coins von einer Adresse, die Analysetools direkt oder mehrere Schritte zurück mit einem Mixer, einer gehackten Börse oder einer sanktionierten Stelle verknüpfen.
• Geld für jemand anderen zu senden, was genauso aussieht wie die Tätigkeit eines Finanzagenten.

Was Sie tun sollten:

• Antworten Sie über die offizielle App oder das Support-Portal der Börse und beantworten Sie genau das, was gefragt wird.
• Legen Sie den vollständigen Weg der betreffenden Gelder offen: woher das Geld kam, über welche Börsen und Wallets es lief, mit Transaktions-Hashes und Kontoauszügen.
• Eröffnen Sie kein zweites Konto, um die Einschränkung zu umgehen. Separate Konten zur Umgehung von Limits gehören zu den von der FATF aufgeführten Red Flags.
• Ignorieren Sie alle, die anbieten, Ihr Konto gegen Gebühr „freizuschalten“. Das ist eine verbreitete Betrugsmasche; siehe Krypto-Recovery-Betrug.

Warnsignale und DeFi

Die FATF-Indikatoren richten sich an VASPs, also regulierte Intermediäre. Nicht verwahrende (non-custodial) DeFi-Protokolle haben kein Konto, das eingefroren werden könnte, und führen in der Regel kein KYC durch. Die DeFi-Apps von JewelSwap sind non-custodial und führen selbst kein KYC durch; siehe KYC in DeFi erklärt. Jede regulierte Börse, an die Sie später Gelder senden, prüft jedoch Ihre On-Chain-Historie, sodass dort dieselben Red Flags gelten.

Häufig gestellte Fragen

Was sind AML-Warnsignale bei Krypto?

Es sind Hinweise darauf, dass eine Krypto-Transaktion oder ein Kunde mit Geldwäsche oder Terrorismusfinanzierung in Verbindung stehen könnte, etwa gestückelte Einzahlungen unter Schwellenwerten, die Nutzung von Mixern, Ein- und Auszahlungen ohne Handel oder Aktivitäten, die nicht zum Kundenprofil passen.

Was sind die Red-Flag-Indikatoren der FATF für virtuelle Vermögenswerte?

Der FATF-Bericht vom September 2020 teilt sie in sechs Kategorien ein: Höhe und Häufigkeit von Transaktionen, Transaktionsmuster, Anonymität, Absender oder Empfänger, Herkunft der Mittel oder des Vermögens sowie geografische Risiken.

Bedeutet ein einzelnes Warnsignal, dass meine Transaktion illegal ist?

Nein. Laut FATF sind die Indikatoren nicht abschließend, gelten nicht in jeder Situation und sollten nicht isoliert betrachtet werden. Ein Warnsignal führt zu einer genaueren Prüfung, und viele Warnmeldungen werden nach der Prüfung ausgeräumt.

Teilt mir eine Börse mit, ob sie eine Verdachtsmeldung eingereicht hat?

Nein. Die Vorschriften in der EU und den USA verbieten Unternehmen, Kunden mitzuteilen, dass eine Verdachtsmeldung eingereicht wurde oder wird, daher können Support-Teams oft nicht erklären, warum ein Konto geprüft wird.

Was ist Structuring bei Krypto?

Structuring bedeutet, Transaktionen in kleinere Beträge aufzuteilen, um unter Aufzeichnungs- oder Meldeschwellen zu bleiben. Die FATF führt es als Red Flag für Krypto, und in den USA ist Structuring zur Umgehung bundesrechtlicher Meldepflichten selbst eine Straftat.

Was soll ich tun, wenn mein Krypto-Konto aus AML-Gründen eingefroren wurde?

Antworten Sie über die offiziellen Kanäle der Börse, legen Sie Dokumente vor, die zeigen, woher die Gelder stammen und wie sie bewegt wurden, eröffnen Sie kein weiteres Konto, um die Einschränkung zu umgehen, und ignorieren Sie alle, die anbieten, es gegen Gebühr freizuschalten.

Weiterlesen

• Mittelherkunft vs. Vermögensherkunft
• Blockchain-Analyse erklärt
• AML-Transaktionsüberwachung bei Krypto
• Krypto-AML-Compliance-Leitfaden für Börsen und VASPs
• Beste Sanktions-Screening-Software für Krypto-Börsen

Dieser Artikel dient der Information und stellt keine Rechts- oder Finanzberatung dar. Die Red-Flag-Indikatoren sind aus dem FATF-Bericht Virtual Assets Red Flag Indicators of Money Laundering and Terrorist Financing (September 2020) und dem FATF-Merkblatt für VASPs zusammengefasst. Rechtliche Verweise beziehen sich auf die Richtlinie (EU) 2015/849, die Verordnung (EU) 2024/1624, 31 CFR 1022.320, 31 U.S.C. 5324 und die FinCEN-Leitlinie FIN-2019-G001, alle geprüft am 8. Oktober 2026. Weitere Quellen sind im Text verlinkt.