AML-Sperren auf Krypto-Börsen: Das 154-Milliarden-Dollar-Problem hinter Ihrem gesperrten Konto

Stellen Sie sich einen Türsteher mit Klemmbrett vor. Er weiß nicht, ob Sie ein Unruhestifter sind, aber er weiß, dass der Mann, der für Sie gebürgt hat, letzte Woche Hausverbot bekam – und der Mann, der für ihn gebürgt hat, in drei Ländern auf einer Beobachtungsliste steht. Das ist ungefähr die Lage, in der sich eine Compliance-Engine einer Krypto-Börse befindet, wenn sie Ihre Einzahlung prüft. Und im Jahr 2025 haben laut Chainalysis Adressen mit Verbindungen zu illegalen Aktivitäten mindestens 154 Milliarden Dollar in Kryptowährungen erhalten. Das ist die Zahl, die das Klemmbrett des Türstehers immer voller macht.

Die Zahlen

154 Milliarden Dollar ist die Schlagzahl, die man sich vergegenwärtigen muss. Wie incrypted berichtete, ist das das Volumen, das Chainalysis für das gesamte Jahr 2025 illegitim verknüpften Adressen zuschreibt. Es ist ein kleiner Bruchteil des gesamten On-Chain-Volumens, aber mehr als das jährliche BIP eines mittelgroßen europäischen Landes, das durch Wallets fließt, die jeder Compliance-Beauftragter auf den ersten Blick markieren würde.

Das ist der Druck hinter jeder „AML-Sperre", die ein Nutzer zu sehen bekommt. Der Begriff selbst umfasst ein ganzes Spektrum: das Einbehalten einer Einzahlung, das Aussetzen von Auszahlungen, das Anfordern zusätzlicher Dokumente oder die vorübergehende Einschränkung eines Kontos. Vier verschiedene Maßnahmen, alle unter einem beängstigenden Begriff gebündelt, und jede durch ein anderes Signal in der Risiko-Engine ausgelöst.

Der regulatorische Hintergrund ist hier entscheidend, denn er erklärt, warum Börsen von „wir schauen uns das an" zu „beweisen Sie es, oder wir halten es zurück" übergegangen sind. In der Europäischen Union unterliegen Anbieter von Krypto-Asset-Dienstleistungen nun der Markets in Crypto-Assets Regulation (MiCA), und Informationsweitergaberegeln für digitale Vermögenswerte fallen unter die Verordnung (EU) 2023/1113. In den Vereinigten Staaten sind der Bank Secrecy Act, FinCEN und OFACs Sanktionsregime die drei Säulen des Systems. Auf globaler Ebene setzt die FATF den Maßstab: Empfehlung 15 bezieht virtuelle Vermögenswerte und VASPs in den AML/CFT-Rahmen ein, und Empfehlung 16 macht die Travel Rule für VASP-Transfers verbindlich.

Wer jemals versucht hat, einen MiCA-konformen Einzahlungsablauf mit einer FinCEN-Checkliste für Geldtransferdienstleister abzugleichen, weiß, dass sich diese Rahmenwerke nicht sauber überschneiden. Dieselbe Transaktion kann bei einer Börse grün und bei einer anderen gelb sein, schlicht weil die internen Risikorichtlinien von verschiedenen Anwälten in verschiedenen Rechtsräumen festgelegt wurden. Das ist kein Fehler im System. Das ist das System.

Die technischen Abläufe dahinter sind jedoch einheitlich. Börsen analysieren vier Dinge: Adressen, Transaktionshistorie, Kontoverhalten und die Herkunft der Gelder. Gegenprüfungen laufen gegen On-Chain-Daten, Sanktionslisten und Kundeninformationen, die die Börse bereits gespeichert hat. Ein einzelner Risikoindikator allein beweist kein Fehlverhalten, reicht aber aus, um eine tiefergehende Prüfung auszulösen – und eine tiefergehende Prüfung ist das, was die meisten Nutzer als „mein Konto wurde ohne Grund gesperrt" erleben.

Was wirklich neu ist

Die echte Veränderung liegt nicht darin, dass AML auf Krypto-Börsen existiert. Es ist, dass der risikobasierte Ansatz so weit gereift ist, dass allein eine Verhaltensabweichung eine Sperre auslösen kann. Einzahlungsmuster, die nicht zu Ihrem KYC-Profil passen, ein plötzlicher Anstieg der Gegenparteivielfalt, eine eingehende Überweisung von einer Wallet drei Schritte von einem Mixer entfernt: Jedes dieser Elemente kann den Schalter umlegen.

KYC war früher die Schranke. Bestehen Sie sie einmal, hinterlegen Sie Ihren Ausweis und einen Adressnachweis, und Sie galten als freigegeben. So funktioniert es nicht mehr. Eine erfolgreiche KYC-Verifizierung bedeutet nicht, dass die Börse aufhört, Ihre nachfolgende Aktivität zu analysieren. Die Überwachung ist kontinuierlich, und der Risiko-Score Ihres Kontos ist ein lebendes Dokument, das sich jedes Mal aktualisiert, wenn Sie Gelder bewegen.

Die zweite echte Veränderung ist das regulatorische Gewicht einzelner Jurisdiktionen. MiCA ist mit Nachdruck in Kraft getreten, und die Begleitverordnung (EU) 2023/1113 hat die Travel Rule von einer FATF-Empfehlung in eine europäische Rechtspflicht verwandelt. Börsen, die im EU-Raum tätig sind, müssen nun Auftraggeber- und Empfängerinformationen bei Überweisungen zwischen VASPs weitergeben, und diese Daten müssen gespeichert, abrufbar und gegengeprüft werden. Incrypteds früherer Beitrag vom Juni, „Time is Up: What Awaits the EU Crypto Market After July 1", markierte diese Frist als den Zeitpunkt, an dem die Schonfrist endete. Sie ist beendet.

Die dritte Veränderung ist das Ende des einheitlichen „AML-Ratings". Nutzer fragen immer noch, welcher Dienst ihnen einen definitiven Risiko-Score für eine Wallet liefert. Den gibt es nicht. Verschiedene Chain-Analytics-Anbieter gewichten Heuristiken unterschiedlich, Börsen legen eigene Richtlinien obendrauf, und eine Wallet mit 20/100 auf einer Plattform kann auf einer anderen 65/100 erzielen. Die Vorabprüfung einer Adresse hilft dabei, offensichtlich risikobehaftete Historien zu entdecken, ist aber ein Rauchmelder, keine Unbedenklichkeitsbescheinigung.

Für Engineering-Teams, die On-Ramps, Off-Ramps oder Custody-Produkte entwickeln, bedeutet dies praktisch: Compliance ist kein Zusatz mehr. Sie sitzt im Transaktionspfad, verursacht Latenz und benötigt eine eigene SRE-Disziplin. Die Compliance-Engine ist jetzt ein erstklassiger Dienst in der Architektur – und wenn sie ausfällt, fallen Auszahlungen mit ihr aus.

Was im Krypto- und DeFi-Bereich bereits eingepreist ist

Der Großteil der CTO-Leserschaft hatte bereits erwartet, dass MiCA Wirkung zeigt. Die Travel Rule war jahrelang absehbar. Was eingepreist ist: die Tatsache, dass CEXes Gelder einfrieren, Nachweise zur Mittelherkunft anfordern und Informationen bei Bedarf mit Behörden teilen werden. Das überrascht im Ernst niemanden in der Branche mehr.

Was meiner Ansicht nach weniger eingepreist ist, sind die indirekten Auswirkungen auf DeFi-Front-Ends und nicht-verwahrende Dienste. Wenn ein Nutzer eine DeFi-Position in eine regulierte Börse auszahlt, interessiert die Börse nicht, dass die Mittel aus legitimer Liquiditätsbereitstellung stammen. Sie interessiert sich für den On-Chain-Pfad. Zwei Schritte von einer sanktionierten Adresse entfernt sind zwei Schritte von einer sanktionierten Adresse entfernt, unabhängig davon, ob Sie wissentlich damit in Kontakt kamen. Jedes Team, das ein DeFi-Produkt entwickelt und erwartet, dass Nutzer irgendwann auszahlen, muss über Pfadhygiene nachdenken, nicht nur über Protokollkorrektheit. Der EIP-Prozess hat jahrelang standardisiert, wie Token sich verhalten; er hat sehr wenig Zeit damit verbracht, zu standardisieren, wie Token ihre Herkunft erklären.

Ebenfalls unterbewertet: die operativen Kosten der Reaktion auf eine Sperre. Wenn ein Nutzer aufgehalten wird, verlangt die Börse typischerweise Dokumente. Herkunftsnachweis der Gelder. Nachweis, dass die Gegenpartei die ist, die sie vorgibt zu sein. Screenshots der Handelshistorie von einer anderen Plattform. Für institutionelle Nutzer, die achtstellige Summen bewegen, ist das ein Compliance-Ops-Workflow, der auf beiden Seiten vorhanden sein muss. Privatnutzer geben meistens auf und nehmen den Verlust hin – was wohl das schlechteste Ergebnis für alle Beteiligten ist.

Die Durchsetzungshaltung der SEC in den USA fügt eine weitere Ebene hinzu, betrifft aber eher die Wertpapierklassifizierung als streng genommen AML. Der Bank Secrecy Act und OFAC leisten die Hauptarbeit bei der Geldwäschebekämpfung.

Eine Gegenposition

Hier ist das unbequeme Gegenargument. Der risikobasierte Ansatz, der von Börsen im großen Maßstab angewendet wird, die ihre eigene regulatorische Absicherung optimieren, ist ein stumpfes Instrument, das mehr gutgläubige Nutzer erfasst als tatsächliche Täter. Ausgefuchste Geldwäscher wissen genau, wie Heuristiken funktionieren. Sie fragmentieren Transaktionen, nutzen frische Wallets, leiten über Chains mit schwächerer Analytics-Abdeckung um. Die Menschen, die im Netz hängen bleiben, sind unverhältnismäßig oft Nutzer, die vor zwei Jahren eine P2P-Zahlung von jemandem akzeptiert haben, dessen Wallet eine schlechte Geschichte hatte.

Die 154-Milliarden-Dollar-Zahl ist real, aber die Rückgewinnungsquote bei gesperrten Mitteln im Zusammenhang mit tatsächlichen Strafverfolgungsverfahren ist ein kleiner Bruchteil des Gesamtwerts, der jedes Jahr in AML-Prüfungen aufgehalten wird. Der Rest ist Reibungsverlust, der legitimen Aktivitäten auferlegt wird, um einer regulatorischen Haltung gerecht zu werden, die Aufwand statt Ergebnis misst. Das ist kein Argument gegen AML. Es ist ein Argument dafür, dass die aktuelle Umsetzung eher einem Sicherheitstheater am Flughafen gleicht als gezielten Ermittlungen – und die Branche sagt das selten laut, weil lautes Aussprechen Aufmerksamkeit von Regulierern auf sich zieht, die niemand möchte.

Wichtigste Erkenntnisse

• Die Chainalysis-Zahl von 154 Milliarden Dollar für 2025 illegal verknüpfte Eingänge ist die politische Rechtfertigung für jede aktuell aktive Einfrierungspolitik.
• Eine „AML-Sperre" umfasst vier verschiedene Maßnahmen unter einem Begriff: Einzahlungssperre, Auszahlungssperrung, Dokumentenanforderung oder Kontobeschränkung. Zu wissen, mit welcher man konfrontiert ist, bestimmt die Reaktion.
• MiCA und die Verordnung (EU) 2023/1113 in der EU sowie der Bank Secrecy Act, FinCEN und OFAC in den USA bilden die regulatorischen Mindeststandards. Die FATF-Empfehlungen 15 und 16 setzen den globalen Ausgangspunkt.
• Es gibt kein einheitliches AML-Rating für eine Wallet. Vorabprüfungen helfen, schützen aber nicht vollständig, da jede Börse ihr eigenes Risikomodell unterschiedlich gewichtet.
• Das einmalige Bestehen von KYC ist nicht das Ende der Überprüfung. Die Verhaltensüberwachung ist kontinuierlich, und Abweichungen von Ihrem etablierten Muster sind selbst ein Auslöser.

Zurück zum Türsteher mit dem Klemmbrett. Er wird nicht über Nacht klüger, und die Liste der Namen, die er überprüft, wird nur länger. Die realistische Aufgabe für Engineering-Teams und Nutzer gleichermaßen ist es, zu verstehen, wie er denkt, die eigenen Unterlagen in Ordnung zu halten und zu akzeptieren, dass die Schlange gelegentlich langsam vorankommt, ohne dass man selbst daran schuld ist. Das ist der Preis dafür, dass die Tür überhaupt offen bleibt.