Transaktionsüberwachung für Kryptowerte & Blockchain-Forensik

Öffentliche Blockchains verzeichnen jeden Transfer, aber Adressen sind pseudonym, und Gelder lassen sich binnen Minuten aufteilen, zwischen Chains überbrücken und vermischen. Spezialisierte Analyseplattformen ordnen Adressen realen Akteuren zu, bewerten das Risiko jeder Ein- oder Auszahlung in Echtzeit und lassen Ermittler Gelder über Chains hinweg verfolgen; maschinelles Lernen und zunehmend LLM-Agenten sichten Alarme und entwerfen Fallakten. Für regulierte Krypto-Dienstleister (CASPs), Banken mit Krypto-Bezug und Behörden ist dies das Krypto-Gegenstück zur Geldwäsche-Transaktionsüberwachung (ANOM-002).

Problem & Nutzen

• Heute: CASPs, Börsen, Verwahrer und Banken müssen Gegenparteien prüfen und verdächtige Flüsse erkennen. Gelder von Hand über Explorer zu verfolgen skaliert nicht, und Verschleierung (Peel Chains, Mixer, Cross-Chain-Brücken, Wechsel zwischen Stablecoins) überlistet einfache Regeln.
• KI-Nutzen: Risikobewertung auf Basis der Attribution (direkte und indirekte Exposition), Graphanalyse für Clustering und Flussverfolgung, überwachte Modelle zur Erkennung illegaler Muster und LLM-Assistenten, die einen Fall zusammenfassen und den Bericht entwerfen. Anbieter positionieren KI-Agenten so, dass sie Routineschritte bei Prüfung und Ermittlung übernehmen, während Menschen wesentliche Entscheidungen freigeben [1][2][3].
• Regulatorischer Sog in der EU: MiCA gilt seit Dezember 2024 in vollem Umfang mit CASP-Zulassung (die nationale Bestandsschutzregelung endete spätestens am 1. Juli 2026) [4]; die Verordnung (EU) 2023/1113 dehnt die „Travel Rule“ auf Krypto-Transfers aus; die Geldwäsche-Verordnung (EU) 2024/1624 gilt ab Juli 2027, und die AMLA (Frankfurt) baut ihre Aufsichtsrolle auf [5][6]. Zugelassene CASPs brauchen daher eine dokumentierte, prüfbare Transaktionsüberwachung.
• Zum Anteil illegalen Volumens wird hier keine belastbare öffentliche Zahl genannt; nutzen Sie die jährlichen Kriminalitätsberichte der Anbieter als Ausgangspunkt und behandeln Sie deren Zahlen als Schätzungen der Anbieter.

Varianten

• CASP-/Börsen-Compliance (Kern): Prüfung von Einzahlungen, Auszahlungen und Travel-Rule-Gegenparteien vor und nach der Transaktion.
• Exposition von Banken/Zahlungsinstituten: Prüfung von Fiat-On-/Off-Ramp-Flüssen und Kunden mit Krypto-Aktivität (Verbindung zu ANOM-002, ANOM-022).
• Ermittlungen (Unternehmen und Behörden): fallbezogene Verfolgung bei Hacks, Ransomware, Anlagebetrug; für Behörden ist dies Strafverfolgungsarbeit und wird hier nur auf Grundsatz- und Architekturebene dokumentiert.
• Überwachung von DeFi-/Smart-Contract-Protokollen: Prüfung von Wallets, die mit Protokollen interagieren, und Erkennung laufender Exploits.
• Sanktions-Compliance: Prüfung auf Wallet-Ebene gegen gelistete Adressen (siehe ANOM-016).
• Privatnutzung: kein Anwendungsfall für Verbraucher; Einzelpersonen können kostenlose Explorer und die Betrugsprüfungen von Wallet-Apps nutzen.

So funktioniert es

1. chain nodes / indexers (Bitcoin, EVM, Solana, Tron, ...)
2. normalisation into transaction + entity graph
3. address attribution & clustering (exchanges, services, mixers, sanctioned, scams)
4. real-time screening: direct + indirect exposure, rule + ML risk score
5. alert triage (ML ranking, LLM case summary)
6. investigator workbench (graph tracing, cross-chain, Travel-Rule data)
7. human decision (hold / release / offboard)
8. STR/SAR filing, audit log

• Die Attribution ist der Burggraben: kuratierte, belegte Labels auf Millionen von Adressen; Modelle allein können Identitäten nicht wiederherstellen.
• ML: Graph Neural Networks und Baum-Ensembles klassifizieren Transaktionen oder Adressen; der öffentliche Elliptic-Datensatz (über 200.000 Bitcoin-Transaktionen, 166 Merkmale, als illegal/legal gelabelt) ist der Standard-Benchmark, bei dem im Originalpapier Random Forest besser abschnitt als GCN [7].
• LLM/Agenten: Geldflüsse zusammenfassen, den Attributionsgraphen in natürlicher Sprache abfragen, Berichte entwerfen; verankert in den Attributionsdaten des Anbieters, um Halluzinationen zu begrenzen [1].
• Mensch-in-der-Schleife (Human-in-the-Loop): Jede Sperrung, Kündigung der Geschäftsbeziehung oder Verdachtsmeldung (SAR/STR) wird von einer Compliance-Fachkraft entschieden; Modelle ordnen und erklären nur.

Datenaufbereitung

Benötigte Daten: die eigenen Kunden-, Wallet- und Transaktionsdaten der Institution, Ein- und Auszahlungsadressen, Travel-Rule-Nachrichten, KYC-Akten sowie frühere Alarm- und Verdachtsmeldungsergebnisse. Blockchain-Daten sind öffentlich, Attributionsdaten kommen jedoch von Anbietern. Intern liegen die Daten in der Börsen- oder Verwahrplattform, im KYC-System, in einem Fallwerkzeug und in Tabellen manueller Ermittlungen.

Typische Lücken: Kundendaten, die nicht mit Wallet-Adressen verknüpft sind, uneinheitliche Adressformate über Chains hinweg, fehlende Verknüpfungen zwischen Alarmen und Ergebnissen, verstreute Ermittlungsnotizen und kein klarer Dateneigentümer für Compliance-Entscheidungen.

Schritte der Aufbereitung: eine saubere Zuordnung von Kunden zu Adressen und Transaktionen aufbauen (siehe PREP-005, PREP-011), Alarmentscheidungen als Labels einsammeln (PREP-020), ein Kategorienschema für Risikotypen wie Mixer, Sanktionen oder Betrug festlegen (PREP-019) und frühere Verdachtsmeldungsfälle als Testdatensatz sammeln (PREP-018). Exporte für die Modellentwicklung pseudonymisieren (PREP-022). Für eigene Analysen nutzen Sie Ethereum-ETL oder Node-Anbieter plus eine Graphdatenbank. Die APIs der Anbieter erledigen den Großteil der Chain-Daten, der Aufwand liegt also vor allem in der Integration und der Pflege der Labels: etwa 30 bis 40 Prozent des Projekts. GUIDE-003 bietet eine Bereitschaftsprüfung.

Umsetzungswege

Welcher Weg für wen

• enterprise (CASPs, Banken): A, weil von der Aufsicht akzeptierte Attributionslabels auf Millionen von Adressen der Burggraben sind und sich nicht intern aufbauen lassen; B ergänzt einen eigenen Workflow darüber.
• developer: C, weil Open-Source-Werkzeuge für Extraktion und Graphen Forschung und ergänzende Analysen erlauben, wenn auch ohne Attributionslabels.
• public (Strafverfolgung, Aufsicht): A, weil zertifizierte Ermittlungsplattformen mit gerichtsverwertbarer Attribution der praktische Weg sind; prüfen Sie EU-Hosting und Beschaffungsregeln.

Weg A — Kaufen (empfohlen)

• Globale Blockchain-Analyseplattformen: Chainalysis (KYT für Transaktionsüberwachung, Reactor für Ermittlungen, Alterya zur KI-Betrugsprävention, Agenten) [2]; Elliptic (Lens-Screening, Investigator, Discovery für Due Diligence bei VASPs, Copilot) [1]; TRM Labs (Überwachung, Forensik, Ardence als KI-Ermittlungsplattform, starker Fokus auf Strafverfolgung) [3]. Weitere relevante Anbieter: Crystal Intelligence (Crystal Blockchain), Merkle Science, Scorechain (Luxemburg, EU), Coinfirm/Lukka, Sumsub und Notabene für Travel-Rule-Nachrichten.
• A wählen, wenn: Sie ein CASP oder eine Bank sind und eine belastbare, von der Aufsicht akzeptierte Attribution und die Abdeckung vieler Chains brauchen. Prüfen: Chain-Abdeckung, Latenz, EU-Datenhosting, Erklärbarkeit der Werte, Anbindung von API und Fallmanagement, Travel-Rule-Unterstützung.

Weg B — Auf Cloud-KI-Diensten aufbauen

• Nutzen Sie die Screening-/KYT-APIs der Anbieter innerhalb Ihres eigenen Onboarding- und Auszahlungsablaufs, dazu ein LLM (EU-Region eines führenden Modellanbieters oder Mistral) für Fallzusammenfassungen und Entwürfe von Verdachtsmeldungen, orchestriert mit n8n oder einem eigenen Dienst.
• Öffentliche Chain-Daten über Node-Anbieter oder öffentliche BigQuery-Datensätze (Ethereum-ETL-Schemata) [8] für eigene Analysen.
• B wählen, wenn: Sie über der zugekauften Attribution einen eigenen Workflow, Mischungen von Bewertungen oder Berichte brauchen.

Weg C — Selbst betreiben (Open Source)

• Datenschicht: eigene Full Nodes; Ethereum-ETL (MIT) zur Extraktion [8]; mempool (AGPL, Bitcoin) als selbst betriebener Explorer [9]; Graphspeicher wie Neo4j Community (GPLv3) [10] oder eine andere Graphdatenbank.
• Modelle: PyTorch Geometric (MIT) für GNNs [11], Gradient Boosting für tabellarische Merkmale; Open-Weight-LLM (z. B. Qwen-, Llama-, Mistral-Familien) für Zusammenfassungen.
• Grenze: Open Source liefert keine Attributionslabels; ohne kommerziellen oder internen Labelbestand erkennen Sie Struktur, aber keine Akteure. Geeignet für Forschung, die Überwachung kleiner Chains oder als Ergänzung. HW2 genügt für die Modelle; Nodes brauchen große Festplatten (mehrere TB bei Archive Nodes).

Weg D — Eigenes Training

Nur für große Betreiber mit eigenen gelabelten Fällen (bestätigte Verdachtsmeldungen, Kündigungen von Geschäftsbeziehungen) lohnend: GNNs/Sequenzmodelle auf dem eigenen Transaktionsgraphen trainieren und Modelle zur Alarmpriorisierung feintunen. Benötigt Tausende bestätigter Ergebnisse; Labels aus Compliance-Entscheidungen sind zu dem verzerrt, was Regeln ohnehin schon erfasst haben, daher sorgfältig evaluieren.

Stand der Technik (2026)

• Cross-Chain-Verfolgung und Echtzeit-KYT sind in kommerziellen Plattformen Standard; Anbieter werben jetzt mit agentischer KI, die Routineprüfung und -ermittlung durchführt und Menschen um Freigabe der Entscheidungen bittet [1][2][3].
• Forschung: Graphlernen auf dem Elliptic-Datensatz bleibt der Referenz-Benchmark, ist aber auf Bitcoin beschränkt, alt und im Vergleich zum Produktionsmaßstab klein; Ergebnisse lassen sich oft nicht auf andere Chains oder auf sich anpassende, gegnerische Akteure übertragen [7].
• Grenzen und Fehlerbilder: Attributionslücken und falsches Clustering (gemeinsam genutzte Dienste, Custodial-Wallets) verursachen Falsch-Positive; Privacy-Werkzeuge und neue Chains hinken in der Abdeckung hinterher; „Schuld durch Assoziation“ über indirekte Exposition kann unbescholtene Kunden zu Unrecht belasten; LLM-Zusammenfassungen können Flüsse falsch wiedergeben, daher muss jede Zahl auf die zugrunde liegenden Transaktionen verweisen.

Gemeinsame Bausteine & Kombinationen

• Gleicher Stack wie ANOM-002 (Geldwäsche-Transaktionsüberwachung): Alarmmanagement, Fallmanagement, Workflow für Verdachtsmeldungen, Graphanalyse; ANOM-016 (Sanktions-/PEP-Screening) liefert den Listenabgleich, ANOM-022 (APP-Betrug und Geldkurier-Konten) deckt die Fiat-Seite der Auszahlung von Betrugserlösen ab, ANOM-001 teilt die Echtzeit-Scoring-Infrastruktur, ANOM-014 (Ausweis- und Liveness-Prüfung) deckt das KYC beim Onboarding ab.
• Bausteine: Graphdatenbank + graph-ml, Streaming-Erfassung, tabular-ml-Scoring-Dienst, LLM-Agent für Fallzusammenfassungen (Workflow im Stil von AGENT-006); ein HW2-GPU-Server kann Modelle für mehrere ANOM-Anwendungsfälle hosten.

Aufwand, Kosten & Kennzahlen

• Weg A: Wochen bis wenige Monate (Integration, Regelabstimmung, Dokumentation für die Aufsicht); die Lizenzkosten skalieren mit Volumen und Chain-Abdeckung und sind meist angebotsbasiert.
• Weg B: 3–6 Monate für einen integrierten Workflow plus LLM-Werkzeuge.
• Weg C/D: 6–12+ Monate und ein spezialisiertes Team; die Attributionsdaten bleiben der Engpass.
• Kennzahlen: Präzision der Alarme und Falsch-Positiv-Rate, Zeit bis zur Sichtung und bis zur Verdachtsmeldung, Latenz des Screenings (ms), Anteil des Volumens mit Abdeckung der indirekten Exposition, bestätigtes verhindertes illegales Volumen, Feststellungen bei Prüfungen durch die Aufsicht.

Menschen & Veränderung

Beziehen Sie zuerst die Leitung, die Geldwäschebeauftragte bzw. den Geldwäschebeauftragten und Compliance ein, denn sie verantworten Risikoappetit und Entscheidungen zu Verdachtsmeldungen. IT und IT-Sicherheit binden die Screening-API in Onboarding- und Auszahlungsabläufe ein; die Datenschutzbeauftragte bzw. der Datenschutzbeauftragte und die Rechtsabteilung prüfen den Anbietervertrag (Art. 28 DSGVO) und den Umgang mit Wallet-Adressen, die mit identifizierbaren Personen verknüpft sind und damit personenbezogene Daten darstellen. Eine Datenschutz-Folgenabschätzung (DSFA) ist wahrscheinlich, wo Kunden systematisch bewertet werden.

Betriebsrat: kommt darauf an. Wenn das Unternehmen einen hat, ist er relevant, wo Analystenwerkzeuge die individuelle Fallbearbeitung protokollieren (§87 Abs. 1 Nr. 6 BetrVG), doch das Screening selbst überwacht Kunden, nicht Beschäftigte; informieren Sie ihn trotzdem nach §90 Abs. 1 Nr. 3. Öffentliche Stellen beteiligen den Personalrat.

Maßnahmen zur KI-Kompetenz (AI Act Art. 4) sollten Ermittler dabei unterstützen, die Verlässlichkeit der Attribution, indirekte Exposition und die Grenzen von LLM-Fallzusammenfassungen zu verstehen. Führen Sie einen Pilot für ein Produkt oder eine Chain parallel zum aktuellen Prozess durch und vergleichen Sie die Alarmqualität. Typische Bedenken sind Falsch-Positive, die ehrliche Kunden blockieren, und die Prüfung durch die Aufsicht; begegnen Sie ihnen mit dokumentierten Schwellenwerten, einer menschlichen Entscheidung bei jeder Sperrung, Kündigung oder Verdachtsmeldung und einem Prüfprotokoll. Siehe GUIDE-005, GUIDE-009 und GUIDE-010.

Risiken, Regulierung & Compliance

• KI-Verordnung (AI Act): in der Regel minimales Risiko; Transaktionsüberwachung zur Geldwäschebekämpfung ist keine Kategorie des Anhangs III. Wird heikel, wenn die Werte in Entscheidungen über den Zugang natürlicher Personen zu wesentlichen Diensten einfließen (z. B. Kreditwürdigkeit, Anhang III Nr. 5 Buchst. b) oder wenn das Profiling von Einzelpersonen die Grenzen von Art. 5 berührt; der Einsatz durch Strafverfolgungsbehörden unterliegt gesonderten Hochrisiko- und Verbotsregeln (Art. 5, Anhang III Nr. 6) und liegt über die Grundsatzebene hinaus außerhalb dieses Eintrags [12].
• DSGVO: Adressen, die mit identifizierbaren Personen verknüpft sind, sind personenbezogene Daten; die Unveränderlichkeit der Blockchain steht im Konflikt mit der Löschung, daher keine personenbezogenen Daten on-chain schreiben; Art. 22 bei rein automatisierter Sperrung; DSFA empfohlen; Rechtsgrundlage ist typischerweise die rechtliche Verpflichtung (Art. 6 Abs. 1 Buchst. c).
• Branchenrecht: MiCA-Zulassung [4]; Geldtransferverordnung (EU) 2023/1113 (Travel Rule, in Anwendung seit 30. Dez 2024); AMLR (EU) 2024/1624 ab Juli 2027, einschließlich Beschränkungen anonymer Kryptokonten und datenschutzfördernder Coins bei CASPs [5]; DORA für die IKT-Resilienz der Anbieter; Sanktionsregime (EU-Listen) sind in der Praxis Gefährdungshaftung [6].
• Gegenmaßnahmen: menschliche Entscheidungen bei Sperrungen, Beschwerdeverfahren für Kunden, dokumentierte Modell-Governance, Due Diligence bei Anbietern, Nachweiskette für jeden Alarm.

Erste Schritte

1. Ermitteln Sie Ihren regulatorischen Status (MiCA-CASP, Bank, sonstige) und die daraus folgenden Pflichten zu Travel Rule und Überwachung.
2. Fordern Sie Demos von 2–3 Anbietern an (z. B. Chainalysis, Elliptic, TRM, Scorechain) und testen Sie sie an Ihren eigenen historischen markierten Fällen.
3. Binden Sie das Screening bei Einzahlung, Auszahlung und Onboarding ein; legen Sie Risikoschwellen und eine Vier-Augen-Prüfung für Sperren fest.
4. Ergänzen Sie Fallmanagement und einen LLM-Zusammenfasser mit strikter Angabe der Transaktions-Hashes.
5. Verfolgen Sie Kennzahlen zu Falsch-Positiven und Zeit bis zur Entscheidung monatlich und dokumentieren Sie die Modell-Governance für die Aufsicht.

Quellen

1. Elliptic — platform and AI copilot/agent overview — https://www.elliptic.co/
2. Chainalysis — KYT, Reactor, Alterya and AI agents — https://www.chainalysis.com/
3. TRM Labs — Ardence AI investigations platform — https://www.trmlabs.com/
4. ESMA — Markets in Crypto-Assets Regulation (MiCA), application dates and transitional measures — https://www.esma.europa.eu/esmas-activities/digital-finance-and-innovation/markets-crypto-assets-regulation-mica
5. Regulation (EU) 2024/1624 (AML Regulation) — https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:32024R1624
6. AMLA — EU Anti-Money Laundering Authority — https://www.amla.europa.eu/index_en
7. Weber et al. — Anti-Money Laundering in Bitcoin (Elliptic data set) — https://arxiv.org/abs/1908.02591
8. Ethereum ETL (MIT) — https://github.com/blockchain-etl/ethereum-etl
9. mempool (AGPL-3.0) — https://github.com/mempool/mempool
10. Neo4j Community Edition (GPLv3) — https://github.com/neo4j/neo4j
11. PyTorch Geometric (MIT) — https://github.com/pyg-team/pytorch_geometric
12. Regulation (EU) 2024/1689 (AI Act) — https://eur-lex.europa.eu/eli/reg/2024/1689/oj