AML-Screening für Krypto-Börsen

Beim AML-Screening gleicht ein Unternehmen seine Kunden und deren Zahlungen mit den Listen ab, auf denen sanktionierte und hochriskante Personen und Einrichtungen stehen. Ein lizenziertes Haus führt die Prüfung durch, um deren Geld von seinen Konten fernzuhalten und um nachweisen zu können, dass es das getan hat.

Der Nachweis ist bei einer Krypto-Börse oder einem Broker die teure Hälfte: Dort beginnt die Arbeit in dem Moment, in dem ein Name mit einer Liste übereinstimmt. Als die Financial Conduct Authority (FCA) die Sanktionskontrollen von mehr als 150 Unternehmen prüfte, schlossen nur 44 % einen Namensscreening-Alarm innerhalb eines Arbeitstags ab, und mehr als ein Viertel brauchte drei bis fünf Tage – lang genug, damit ein neu designierter Kunde Gelder abziehen konnte.

Dieser Leitfaden behandelt die vier Prüfungen, die Aufsichtsbehörden, die sie bewerten, und drei Wege, sie zu betreiben – darunter das integrierte Back Office von B2BROKER.

Was ist AML-Screening?

Das Screening zur Geldwäscheprävention (AML) gleicht jeden Kunden, jede Gegenpartei und jede Zahlung, die ein reguliertes Unternehmen abwickelt, mit Sanktions-, PEP- und Adverse-Media-Daten ab, auf der Suche nach dem Risiko der Geldwäsche und der Terrorismusfinanzierung.

Das Screening läuft, solange das Konto besteht. Eine Sanktionsliste kann über Nacht einen Namen aufnehmen, und ein Privathändler mit geringem Risiko kann ein Jahr nach dem Onboarding zum Geschäftspartner einer PEP werden.

In der EU gilt die Anti-Geldwäsche-Verordnung (AMLR) ab dem 10. Juli 2027 unmittelbar in allen 27 Mitgliedstaaten und ersetzt nationale Umsetzungen, durch die derselbe Kunde je nach Land unterschiedlichen Prüfungen unterliegen konnte.

Die zentralen Prüfungen im AML-Screening

Jede der vier Prüfungen eines vollständigen Screenings deckt ein Risiko ab, das die anderen drei in der Regel nicht erfassen.

Sanktionsprüfung

Bei der Sanktionsprüfung wird der Name jedes Kunden und jeder Gegenpartei mit amtlichen Listen abgeglichen, darunter die SDN-Liste des Office of Foreign Assets Control (OFAC) und die UK Sanctions List, beim Onboarding und erneut bei jeder Änderung einer Liste.

Nur rund zwei Drittel der von der FCA geprüften Unternehmen spielen eine Listenaktualisierung innerhalb eines Tages ein. Im eigenen Test der Aufsicht erfassten die Screening-Systeme die sanktionierte Person in 90 % der Alarme bei exakter Namensübereinstimmung, aber in 75 % bei abweichender Schreibweise .

PEP-Prüfung

Die PEP-Prüfung erkennt Kunden, die ein wichtiges öffentliches Amt bekleiden oder bis vor Kurzem bekleidet haben, samt unmittelbaren Familienangehörigen und bekanntermaßen nahestehenden Personen, und leitet das Konto in die verstärkten Sorgfaltspflichten (EDD).

Ein PEP-Treffer verlangt verhältnismäßige Sorgfalt: eine dokumentierte Mittel- und Vermögensherkunft, einen kürzeren Überprüfungszyklus und die Freigabe durch ein Mitglied der Führungsebene, bevor über das Konto gehandelt wird. Eine Ablehnung ist nicht vorgeschrieben. In diesen Akten stellt die FCA am häufigsten fest, dass die Sorgfalt zwar angewendet, aber nie dokumentiert wurde – bei der nächsten Überprüfung ist dann nichts vorzuweisen.

Adverse-Media-Prüfung und Prüfung der wirtschaftlich Berechtigten

Die Adverse-Media-Prüfung kennzeichnet einen Kunden, der in glaubwürdiger Berichterstattung über Betrug, Korruption oder Sanktionsumgehung genannt wird. Die Prüfung der wirtschaftlich Berechtigten ermittelt die Person, die ein Firmenkonto hinter den Holdinggesellschaften tatsächlich kontrolliert. Beide erfassen das Risiko, bevor eine amtliche Liste das tut.

Bei den Eigentumsverhältnissen taten sich die Unternehmen nach den Feststellungen der FCA am schwersten. Sie konnten Eigentümer in den vorgelagerten Ebenen mehrstufiger Strukturen nicht nachverfolgen und eine Gegenpartei nicht mit einer designierten Person in Verbindung bringen, wenn die Verbindung über einen Intermediär lief. Bei einem Firmenkunden muss die Prüfung die wirtschaftlich Berechtigten hinter der Gesellschaft erreichen.

Das regulatorische Umfeld der Geldwäscheprävention

Die Alarmdaten sind heute der Nachweis, mit dem eine Aufsicht arbeitet. Seit Februar 2022 prüft die FCA die Kalibrierung des Screenings bei den Unternehmen selbst und hält sie gegen deren eigene Meldungen zur Finanzkriminalität. Veröffentlicht hat sie, wo die Kalibrierung versagt hat – bis hin zu Anreden, die einen Treffer unter die Alarmschwelle gedrückt haben.

Die EU bündelt dieselbe Erwartung bei einer einzigen Aufsicht. Das erste Programmplanungsdokument der Behörde zur Bekämpfung der Geldwäsche und Terrorismusfinanzierung (AMLA), veröffentlicht im Februar 2026, verpflichtet die neue Behörde zu einem einheitlichen AML-Regelwerk und einer konvergenten Aufsicht in den Mitgliedstaaten bis 2028. Um das zu leisten, wächst die Behörde von 120 auf 432 Beschäftigte.

Wer AML-Screening braucht und warum

Wer als lizenzierter Forex-Broker, als Krypto-Börse, als Prime Broker oder als Fintech Kundengelder hält oder bewegt, zählt zu den Verpflichteten nach dem Geldwäscherecht des Landes, das die Lizenz erteilt hat. Danach unterscheiden sich die Unternehmen darin, welche AML-Prüfungen sie durchführen, auf welche Geschäftsbeziehungen sie sie anwenden und welche Aufsicht das Ergebnis bewertet.

Wie stark diese Aufsicht Druck macht, folgt dem Prüfungszyklus des Landes bei der Financial Action Task Force (FATF), die in der inzwischen fünften Runde die Wirksamkeit in der Praxis bewertet. Ein Land, das auf seinen Vor-Ort-Besuch wartet – das Vereinigte Königreich auf den Juni 2027 –, nimmt seine Unternehmen im Vorfeld in der Regel stärker in die Pflicht.

Forex-Broker und MiFID-Pflichten

Ein nach der Richtlinie über Märkte für Finanzinstrumente (MiFID) lizenzierter Forex-Broker prüft seine Kunden beim Onboarding nach dem Geldwäscherecht. Die Marktmissbrauchsverordnung (MAR) hält ihn darüber hinaus dazu an, das Handelsverhalten zu beobachten und verdächtige Aufträge und Geschäfte zu melden. Die Kundeneinstufung nach MiFID II fließt in dieses Monitoring ein: Eine geeignete Gegenpartei, die große Positionen absichert, und ein Privatkunde, der wenige Lots handelt, hinterlassen unterschiedliche Spuren.

Schichtung erscheint als gewöhnlicher Handel in einer ansonsten sauberen Akte nach den Know-your-Customer-Vorgaben (KYC). Sichtbar wird sie nur dort, wo Handelsüberwachung und Screening dieselbe Kundenakte lesen.

Krypto-Börsen und VASP-Pflichten

Eine Krypto-Börse ist nach Empfehlung 15 der FATF ein Anbieter virtueller Vermögenswerte (VASP). Zusätzlich zu den Prüfungen eines Forex-Brokers gleicht sie Wallet-Adressen ab und tauscht nach der Travel Rule die Daten von Auftraggeber und Begünstigtem mit dem VASP der Gegenpartei aus. In der EU werden diese Daten bei jeder Übertragung mitgegeben, unabhängig vom Betrag.

Die Gesetzgebung ist der Aufsicht vorausgeeilt. Das Update der FATF vom Juli 2026 zählt 91 von 109 befragten Jurisdiktionen mit in Kraft getretener Travel-Rule-Gesetzgebung , gegenüber 73 % der Befragten ein Jahr zuvor, während 60 % dieser 91 noch keine einzige Aufsichtsmaßnahme auf dieser Grundlage ergriffen haben.

Die Lizenzierung macht die Kontrollen zur Voraussetzung für den Marktzugang. Hongkong verlangt seit dem 1. August 2025 eine Lizenz für die Ausgabe fiat-referenzierter Stablecoins, an die eine Leitlinie zu Geldwäsche und Terrorismusfinanzierung (AML/CFT) geknüpft ist. Nur wenige Unternehmen erhalten eine. Im April 2026 hat die Aufsicht zwei Lizenzen bei 36 Anträgen erteilt .

Prime Broker und institutionelle Desks

Das Risiko eines Prime Brokers zieht sich durch jedes Unternehmen seiner Abwicklungskette. Deshalb stehen Gegenparteien, Custodians und Liquiditätsanbieter für die gesamte Dauer jeder Geschäftsbeziehung unter Screening.

Hier kommt es auf die Prüfung an, wem die Gegenpartei gehört und wer sie kontrolliert. In den Fällen der FCA reichte eine Verbindung innerhalb einer Unternehmensgruppe, um zu verbergen, ob eine Gegenpartei einer designierten Person gehörte. Unternehmen, die in derselben Prüfung gut abschnitten, verglichen die Aktivität jeder Gegenpartei mit dem beim Onboarding angegebenen Geschäftsmodell.

Wie das AML-Screening funktioniert

Das Screening läuft in drei verbundenen Stufen: Onboarding, laufendes Monitoring und Eskalation. Die meisten Fehler, von denen die Aufsicht berichtet, liegen in der Übergabe zwischen den Stufen. Führen die drei Stufen getrennte Akten, gibt ein Zahlungssystem die Auszahlung frei, die das Monitoring bereits markiert hatte.

Onboarding und Kundensorgfaltspflichten

Das Screening beim Onboarding prüft die Identität nach den KYC-Vorgaben, gleicht den Namen mit Sanktionslisten und der PEP-Datenbank ab und vergibt einen Risikoscore, bevor das Konto handeln darf.

Ein risikobasierter Ansatz legt anschließend fest, wie umfangreich die Akte wird. Ein Privatkunde aus einem Land mit geringem Risiko erhält die allgemeinen Kundensorgfaltspflichten (CDD). Ein Firmenkonto aus einem Land auf der grauen Liste der FATF braucht dagegen eine dokumentierte Mittelherkunft und die Freigabe der Führungsebene, bevor es eröffnet wird.

Die Schwellen, die diese Prüfungen auslösen, liegen bei Krypto niedriger als in jedem anderen Sektor. Nach der AMLR der EU gelten für einen Anbieter von Kryptowerte-Dienstleistungen die vollständigen Sorgfaltspflichten schon bei einer gelegentlichen Transaktion von 1.000 € , und auch unter diesem Betrag wird der Kunde identifiziert. Bei den meisten anderen Finanzinstituten liegt die erste Schwelle bei 10.000 €.

Laufendes Transaktionsmonitoring

Jede Änderung einer Sanktionsliste stößt ein erneutes Screening des gesamten Kundenbestands an. Das Echtzeit-Monitoring arbeitet in die andere Richtung und gleicht jede Einzahlung, jede Auszahlung und jedes Geschäft mit der Aktivität ab, die für den Kunden beim Onboarding erwartet wurde.

Die Verstoßberichte der FCA zeigen, was dabei auffällt: Gelder, die innerhalb weniger Tage nach der Designierung des Inhabers abflossen, oder Geld, das über Krypto-Wallets geleitet wurde, um eine Verbindung zu einer designierten Person zu verbergen. Beides wird nur in vollständigen Zahlungsdaten sichtbar, die dem Konto zugeordnet sind.

In B2CORE laufen Ein- und Auszahlungen aller Zahlungsanbieter über einen einzigen Zahlungsdienst (Payment System Service) , der den erhaltenen Betrag und die Gebühr zum Zeitpunkt der Einzahlung protokolliert.

Ein gestohlener Zugang macht aus einem unauffälligen Konto einen Kanal für fremdes Geld und rückt die Kontosicherheit neben das Monitoring. Die iOS-App von B2CORE sendet eine Benachrichtigung bei einer Anmeldung von einem unbekannten Standort, einem Zurücksetzen des Passworts oder einer Änderung der Zwei-Faktor-Authentifizierung (2FA) .

Eskalation und Meldung verdächtiger Aktivitäten

Die Eskalation überführt einen Monitoring-Alarm innerhalb einer festen Frist ab der Entdeckung in eine dokumentierte Entscheidung. Eine in den USA als Money Services Business (Geldtransferdienstleister) registrierte Krypto-Börse reicht ihre Verdachtsmeldung innerhalb von 30 Kalendertagen nach der Entdeckung bei Transaktionen von 2.000 US-Dollar oder mehr ein. Weitere 30 Tage gibt es nur, wenn sie keinen Verdächtigen identifizieren kann.

Nach dem Bank Secrecy Act in der durch den USA PATRIOT Act geänderten Fassung führt dieselbe Börse zudem ein schriftliches AML-Compliance-Programm mit internen Kontrollen, einem namentlich benannten Compliance-Beauftragten und laufender Schulung der Mitarbeiter.

Das Erkennen ist hier selten der Fehler. Eine Bank in der Prüfung der FCA sah ihre Alarme bei einer neu designierten Person auslösen und musste anschließend zusehen, wie Zahlungen trotzdem abflossen, bevor jemand Beschränkungen verhängte. Die Aufsicht benennt die Übergabe zwischen den Teams als Ursache. Die Praktiken, die sie als stark einstufte, sind ganz alltägliche:

• eine interne Frist für das Abschließen eines Alarms
• eine schriftliche Begründung zu jedem abgeschlossenen Alarm
• ein zweiter Prüfer, der diese abgeschlossenen Alarme stichprobenartig auf Qualität sichtet

Robuste Monitoring-Regeln einrichten

Eine Monitoring-Regel rechtfertigt sich, wenn sie echtes Risiko erkennt, ohne die Analysten mit Alarmen zu überschütten. Echte Treffer sind so selten, dass die Feinjustierung ebenso viel Gewicht hat wie die Regel selbst.

In den Daten der FCA hatten 95 % der Unternehmen mit wiederholtem Kundenscreening seit 2022 keinen einzigen echten Sanktionstreffer gefunden . Bei diesen Unternehmen war jeder Alarm, den ein Analyst öffnete, ein falsch-positiver Treffer.

Eine Regel enger zu fassen verschiebt diese Kosten, beseitigt sie aber nicht. Der Alarm löst weiter aus, und das eigene Servicelevel des Unternehmens entscheidet, ob ihn jemand erreicht, bevor die Gelder abfließen. Wo ein Anbieter Schwellen mit maschinellem Lernen justiert, muss das Unternehmen die Einstellungen weiterhin selbst erklären können. Die Feststellungen der FCA werten es als schlechte Praxis, sie ungeprüft zu lassen.

Transaktionsschwellen und Signale für Schichtung

Schwellenregeln schlagen bei einer einzelnen Transaktion oberhalb eines festgelegten Betrags an. Schichtungsregeln erfassen das Muster, das so angelegt ist, dass es darunter bleibt.

Gehen Sie von der Meldevorschrift aus, der Sie unterliegen, etwa der Untergrenze von 2.000 US-Dollar, ab der ein Money Services Business in den USA eine verdächtige Transaktion meldet, und setzen Sie die Erkennungsschwellen darunter an, damit ein Muster sichtbar wird, bevor die Pflicht zur Meldung greift. Drei Muster verdienen jeweils eine eigene Regel:

• mehrere Einzahlungen an einem Tag knapp unter der Meldeschwelle – so sieht Strukturierung aus
• eine Kette von Überweisungen über Konten, die in derselben Woche eröffnet wurden
• eine Einzahlung, die innerhalb einer Stunde wieder ausgezahlt wird, ohne dass dazwischen gehandelt wird

Kennzeichen für Hochrisikojurisdiktionen

Ein Jurisdiktionskennzeichen rechnet den Länderbezug des Kunden in den Score der Regel ein. Grundlage sind die FATF-Listen der Jurisdiktionen unter verstärkter Überwachung und der Jurisdiktionen, die einem Aufruf zum Handeln unterliegen. Der Länderbezug reicht über den Reisepass hinaus zu Wohnsitz und der Bank, von der die Mittel stammen; jeder dieser Punkte trägt einen eigenen Score.

Bewerten Sie die Länder selbst. Wo Unternehmen Länderbewertungen von einem Anbieter kauften und sie nie hinterfragten, stellte die FCA eine Schwäche fest und fand diese Bewertungen in einzelnen Fällen nicht im Einklang mit den eigenen Einschätzungen der FATF.

Eine Aufsicht bewertet die Warteschlange hinter Ihren Alarmen, und der eine echte Treffer wartet in derselben Schlange wie die falsch-positiven Treffer.

Compliance selbst bauen, kaufen oder mit einem Partner umsetzen

Sie können Werkzeuge für das AML-Screening selbst entwickeln, eine eigenständige Einzellösung kaufen oder das Screening als Teil einer integrierten Plattform beziehen. Jede Variante legt Ihre Screening-Daten an einen anderen Ort und lässt eine andere Person einen ausgebliebenen Alarm erklären.

Eine Eigenentwicklung gibt Ihnen die volle Kontrolle über die Regeln und das Datenmodell. Die Rechnung kommt jedes Jahr über Listenfeeds, erneute Tests nach jeder Listenänderung und Entwickler in Rufbereitschaft, wenn eine Aufsicht eine Schwelle verschiebt. Im Test der FCA überschritten lange Namen die Zeichengrenze eines Systems und fielen ohne Fehlermeldung durch. Ein Unternehmen, das seinen Filter selbst gebaut hat, findet diesen Fehler selbst.

Eine eigenständige Einzellösung ist binnen Tagen einsatzbereit und erledigt das Screening gut, in einer Akte, die sie getrennt vom CRM und vom Zahlungssystem führt. Der Alarm wird in einem System ausgelöst, das Konto liegt in einem zweiten, und die Auszahlung wird in einem dritten freigegeben.

Ein integrierter Partner legt das Screening in das System, das das Konto bereits eröffnet und die Einzahlung verarbeitet. Die Governance bleibt bei Ihnen. Als mehrere Unternehmen ihren Anbieter fragen mussten, warum ein Name keinen Alarm ausgelöst hatte, wertete die FCA diese Abhängigkeit als schlechte Praxis. Sie steuern eine Akte statt drei.

Der Vergleich auf einen Blick

Fünf Kriterien entscheiden über die Wahl.

Eine Eigenentwicklung passt zu einem Unternehmen mit eigenen Entwicklern, einem Produkt und einer Jurisdiktion – und rechnet sich nicht mehr, sobald die Akten über diesen Rahmen hinaus zersplittern.

AML-Screening im Ökosystem von B2BROKER

Im Ökosystem von B2BROKER läuft das AML-Screening in B2CORE , dem Back Office, das das Konto eröffnet, die KYC-Akte führt und die Einzahlung verarbeitet. Screening-Alarme und die Nachweise dahinter bleiben in derselben Kundenakte, neben den KYC-Unterlagen und der Zahlungshistorie.

B2CORE wird mit mehr als 150 fertigen Integrationen ausgeliefert, darunter Anbieter für KYC und Betrugsprävention. Was diese Anbieter zurückmelden, bleibt in der Kundenakte. Rollenbasierte Benutzergruppen legen fest, welcher Compliance-Beauftragte welche Kunden sieht, und der Audit-Trail hält fest, wer was wann geändert hat.

Dieselbe Akte versorgt die übrigen Bausteine. Multi-Asset-Liquidität liefert die Kurse, B2TRADER überträgt die Handelsaktivität in die Kundenakte, und der Partner von B2BROKER, B2BINPAY , in B2CORE integriert, deckt den Krypto-Zahlungsweg ab und hält Ein- und Auszahlungen in derselben Compliance-Akte.

Der Dienst unterliegt rechtlichen und jurisdiktionellen Einschränkungen. AGB hier prüfen .

B2CORE-CRM und integrierte Zahlungen

B2CORE hält die Compliance-Akte aktuell, ohne den Kunden zu sperren. Das Release v21 führte die dynamische Adressverifizierung ein, damit die Akte prüfungsbereit bleibt, wenn ein Kunde umzieht, ohne dass sein Handel unterbrochen wird. Die Segmentierung nach Jurisdiktion aus demselben Release schaltet Funktionen je nach Land des Kunden an oder aus.

Auf der Zahlungsseite übergibt der Payment System Service den Monitoring-Regeln eine einzige Zahlungsakte, wo sonst jeder Anbieter seine eigene führen würde.

Das Back Office stammt von einem regulierten Betreiber. B2BROKER baut seit 2014 Brokerage-Infrastruktur und hält selbst mehr als 10 regulatorische Lizenzen; jede davon stellt eine seiner Gesellschaften unter dieselben AML-Pflichten, die auch seine Kunden treffen. Mehr als 1.000 Unternehmenskunden nutzen diese Infrastruktur.

Welchen Weg Sie auch wählen, beginnen Sie dort, wo Alarm, KYC-Akte und Zahlung liegen werden, wenn eine Aufsicht sie anfordert, und gleichen Sie das mit Ihren Sparten und Jurisdiktionen ab – gemeinsam mit dem Team von B2BROKER.