Verdeckte Intermediäre, Compliance-Lücken und neue Ansätze der Blockchain-Forensik
Whitepaper 2026
Warum die sichtbare Kryptobörse nicht zwingend der tatsächliche wirtschaftliche Transaktionsdienstleister ist – und welche Folgen dies für Ermittlungen, Sanktionskontrollen, Compliance und die Bewertung von Zahlungsflüssen hat.
Quellenbasis: Originalanalyse von Crystal Intelligence (August 2026), FATF, EBA, EU-Recht, BaFin und US-Finanzministerium. Eigene Leistung: unabhängiger Quellenabgleich, methodische Prüfung, Risikoeinordnung und forensisches Prüfmodell.
Nested Services sind Krypto-Dienstleister, die ihre Kunden über Konten, Wallets oder Liquiditäts- und Zahlungsinfrastruktur anderer Anbieter bedienen. Eine On-Chain-Transaktion lässt deshalb häufig die Host-Börse erkennen, nicht aber den tatsächlich kundenführenden Zwischenanbieter oder dessen Endkunden. Diese Unschärfe kann sowohl reguläre Geschäftsmodelle als auch Hochrisikoaktivitäten betreffen. [1]
Crystal Intelligence erfasst in einem Datensatz für 2017 bis 2025 etwa 7,97 Mrd. USD Bruttotransaktionsvolumen, 2.275.270 Transaktionen, 2.052 zugeschriebene Wallet-Adressen und 39 Host-Börsen. 87,4 % des erfassten Volumens entfallen laut Studie auf einen Host. Diese Zahlen beschreiben die von Crystal identifizierte Teilmenge – weder den gesamten Markt noch nachgewiesene illegale Geldflüsse. [1]
Die eigene Recherche zeigt, dass das Thema inzwischen ausdrücklich in internationalen Standards und europäischen Aufsichtsleitlinien adressiert wird. Die FATF behandelt regulatorische Lücken bei Offshore-VASPs und der indirekten Nutzung regulierter Plattformen; die EBA-Leitlinien und die EU-Travel-Rule verlangen risikoadäquate Sorgfalt und den Umgang mit fehlenden Transferinformationen. [2–6]
Zentrale Erkenntnisse
Ein Nested Service kann als Broker, OTC-Desk, Swap-Service, Zahlungsabwickler oder informelle Wechselstelle tätig sein und für Einzahlungen oder Auszahlungen Infrastruktur eines größeren Virtual Asset Service Provider (VASP) beziehungsweise Crypto-Asset Service Provider (CASP) nutzen. Für Nutzer tritt der kleinere Anbieter als unmittelbarer Vertragspartner auf, während die Blockchain an einer relevanten Stelle nur ein Konto oder eine Hot-Wallet des Hosts zeigt. [1]
| Modell | Kennzeichen | Hauptproblem |
|---|---|---|
| Offengelegtes Hosting | Formale Geschäftskundenbeziehung zwischen Nested Service und Host | Host kennt die Geschäftsbeziehung, aber nicht zwangsläufig jeden Endkunden |
| Nicht offengelegtes Hosting | Als Privat- oder Normalkonto geführte Infrastruktur für Drittgeschäfte | Kundenvolumen und tatsächliche Dienstleisterrolle können verschleiert werden |
| Hybrides / mehrstufiges Hosting | Eigene Wallets und fremde Börsenkonten werden kombiniert | Zurechnung und Zuständigkeiten über mehrere Ebenen erschwert |
Wesentlich ist die Unterscheidung von drei Identitätsebenen: Kontoinhaber beim Host, operativer Betreiber der kundenorientierten Plattform und wirtschaftlich handelnder Endkunde. Keine dieser Ebenen darf ohne Beleg mit einer anderen gleichgesetzt werden.
| Kennzahl | Crystal-Auswertung 2017–2025 | Einordnung |
|---|---|---|
| Bruttovolumen | 7,97 Mrd. USD | Kumulierte Zu- und Abflüsse; kein Nettoschaden |
| Transaktionen | 2.275.270 | Erfasster Analysebestand, keine Vollerhebung |
| Wallet-Adressen | 2.052 | Attributionsgrundlage des Datensatzes |
| Host-Börsen | 39 | Als Host genutzte Börsen laut Crystal |
| Host-A-Konzentration | 87,4 % (ca. 6,97 Mrd. USD) | Starke Konzentration im Datensatz; Ergebnisse maßgeblich von einem Host geprägt |
| Historischer SUEX-Fall | 1,86 Mrd. USD separat | Aus Crystal-Gesamtsumme ausgenommen |
Zahlen und Methodik: Crystal Intelligence, August 2026, S. 9–16, 23, 30. [1]
Die Verteilung über die Jahre zeigt, warum neben dem Volumen auch die Transaktionsanzahl betrachtet werden muss: Crystal meldet für 2021 einen Volumengipfel von 2,64 Mrd. USD und 236.558 Transaktionen; 2025 hingegen 1.090.185 Transaktionen bei 941 Mio. USD. Der rechnerische Durchschnittsbetrag je Transaktion ist damit von rund 11.200 USD auf rund 860 USD gefallen. Für Monitoring-Systeme kann deshalb eine reine Konzentration auf Großbeträge unzureichend sein. [1]
Crystal ordnet etwa 39,2 % des Volumens BTC, 25,9 % USDT und 17,3 % ETH zu; die übrigen 17,6 % entfallen auf weitere Token. Diese Tokenverteilung kann auf unterschiedliche Geschäftsmodelle und Transferkosten hindeuten, sagt aber nichts über die Legalität eines einzelnen Transfers aus. [1]
Die Crystal-Zahlen beruhen auf einer proprietären Attributionsdatenbank. Eine unabhängige Replikation der 2.052 Adressen, der vollständigen Entity-Liste und sämtlicher Transfers ist ohne zugrunde liegende Adress- und Transaktionsdaten nicht möglich. Die hier vorliegende Recherche bestätigt daher die Konsistenz zentraler öffentlich prüfbarer Regulierungs- und Sanktionsaussagen, nicht die Vollständigkeit des proprietären Datensatzes.
Der Crystal-Report wird als Drittquelle mit Titel, Erscheinungsmonat und Seitenstellen ausgewiesen. Aus ihm werden keine Originalgrafiken und keine umfangreichen Passagen übernommen.
Die FATF veröffentlichte am 11. März 2026 einen Bericht zu Offshore-VASPs und am 16. Juli 2026 ihr siebtes Targeted Update zu Virtual Assets. Der Offshore-Bericht beschreibt ausdrücklich nicht lizenzierte Offshore-Dienstleister, die als vermeintliche Privatkunden Konten bei lizenzierten VASPs nutzen; dies entspricht dem Muster des nicht offengelegten Hostings. Im Targeted Update meldeten 91 von 109 hierzu befragten Jurisdiktionen (83 %) eine gesetzliche Umsetzung der Travel Rule (Absatz 24). Davon hatten 55 von 91 Jurisdiktionen (60 %) noch keine Feststellungen, Anordnungen oder sonstigen ausdrücklich auf die Travel Rule bezogenen Aufsichts- bzw. Durchsetzungsmaßnahmen gemeldet (Absatz 25). Diese Angabe betrifft nicht die gesamte VASP-Aufsicht. Die FATF-Selbstauskünfte sind keine unabhängige Wirkungsprüfung. [2, 3]
Seit dem 30. Dezember 2024 gelten die Zulassungs- und Aufsichtsanforderungen von Titel V MiCAR (Verordnung (EU) 2023/1114) für CASPs. [7] Dies schafft einen definierten Regelungsrahmen, verhindert aber nicht automatisch, dass nicht offengelegte Drittgeschäfte über fremde Infrastruktur laufen. Die EBA-Risikofaktorenleitlinien verlangen einen risikobasierten Umgang mit Kunden, Produkten, Vertriebskanälen und Geografie; sie adressieren auch Beziehungen von Finanzinstituten zu Kryptodienstleistern. [4]
Die Transfer-of-Funds-Verordnung (EU) 2023/1113 und die seit 30. Dezember 2024 geltenden EBA-Travel-Rule-Leitlinien regeln begleitende Angaben zu Absendern und Empfängern sowie die Behandlung fehlender und unvollständiger Informationen. Bei Nested Services bleibt zusätzlich die Frage, ob das formell übermittelte Datenset die tatsächliche Intermediärrolle sachgerecht abbildet. [5, 6]
Die Höchstfrist nach Art. 143 Abs. 3 MiCAR endete EU-weit am 1. Juli 2026, sofern Mitgliedstaaten nicht kürzere Übergangsfristen vorsahen. Für die in § 50 Abs. 1 KMAG bestimmten Unternehmen endete die Fortgeltung ihrer bisherigen Erlaubnis nach § 50 Abs. 2 Nr. 3 KMAG spätestens mit Ablauf des 31. Dezember 2025; sie konnte nach Nr. 1 oder 2 auch früher entfallen. § 50 KMAG enthält unterschiedliche Konstellationen, insbesondere für ehemals erlaubnisfreie Tätigkeiten. Deshalb darf diese Frist nicht pauschal auf jeden Anbieter übertragen werden. Maßgeblich bleiben Geschäftsmodell, einschlägiger Erlaubnistatbestand und individuelle Zulassungslage. [8, 11]
OFAC sanktionierte SUEX OTC, S.R.O. am 21. September 2021. Das US-Finanzministerium führte an, dass mehr als 40 % der bekannten Transaktionshistorie mit illegalen Akteuren in Verbindung standen und Transaktionen zu mindestens acht Ransomware-Varianten gehörten. Das ist ein unabhängig belegtes Beispiel für Sanktionsrisiken bei vermittelnden Kryptodienstleistern. Die zusätzlich von Crystal für SUEX genannten 1,86 Mrd. USD Nested-Volumen sind demgegenüber Crystal-eigene Auswertungsdaten. [1, 9, 10]
Das nachfolgende Prüfmodell wurde für die praktische Fallarbeit strukturiert. Es unterscheidet technische Wahrscheinlichkeit, geschäftliche Identität und belastbare Tatsachenfeststellung.
| Signal | Mögliche Erklärung | Erforderliche Gegenprobe |
|---|---|---|
| Automatisierter Sweep | Host-basierte Einzahlungskonten oder reguläres Treasury | Zeitserie, mehrere unabhängige Einzahlungsvorgänge, Clusterzuordnung |
| Viele Zahler, ein Zielcluster | Broker-/Payment-Sammelkonto oder Kundenaggregation | Transaktionszweck, Einzahlungsanweisungen, Off-Chain-Belege |
| Hot-Wallet-Auszahlung | Custody durch Börse | Kontoauszüge oder Börsenauskunft zur initiierenden Partei |
| Interne ID / UID / Pay-ID | Nutzung börseninterner Transfers | Authentizität der Zahlungsinstruktion und Plattformzuordnung |
| Mehrere Host-Börsen | Redundanz, Liquidität oder Verschleierung | Separate Nachweise für jede Geschäftsbeziehung |
| Fehlende Lizenzangaben | Informationsdefizit oder tatsächliche Erlaubnislücke | Registerabfrage mit Zeitstempel und Rechtsträgerabgleich |
Bei Bitcoin sind Common-Input-Heuristiken nur unter Berücksichtigung von CoinJoin- und UTXO-Ausnahmen belastbar. Auf accountbasierten Chains können Sweep-Verhalten und Gas-Funding Hinweise liefern, aber Smart Contracts und Exchange-interne Buchungen erschweren Eigentumszuordnungen. Clusterlabels externer Analyseanbieter sind Hypothesen, deren Belastbarkeit von Quelle und Aktualität abhängt.
Wenn ein angebliches Investmentportal eine Deposit-Adresse nutzt, die zu einer bekannten Börse gehört, folgt daraus nicht, dass die Betrugsplattform mit dieser Börse identisch ist. Denkbar sind ein Kundenkonto der Betreiber beim Host oder ein zwischengeschalteter Dienstleister. Ermittlungsrelevant sind der Zeitraum, in dem die Deposit-Adresse eindeutig einem Konto zugeordnet war, die Konto-/Subkonto-Zuordnung und die Weiterverfügung über die Mittel. Ohne Auskunft des Hosts bleibt der wirtschaftliche Initiator häufig unbekannt.
Bei Bargeld- oder P2P-basierten Wechselstellen können viele Zahlungen über wenige Host-Konten konzentriert werden. Auffällig ist weniger die Existenz der Börsenanbindung als die Kombination aus ungeklärtem Endkunden-KYC, ungewöhnlichen Volumina, fehlender Unternehmensidentität und inkonsistenten Herkunftsnachweisen.
Entscheidend sind aktuelle Listen- und Länderprüfungen, Kontrollbeziehungen und die konkrete Rechtshoheit. Ein technischer Host-Match löst eine vertiefte Prüfung aus, ersetzt jedoch keine sanktionsrechtliche Subsumtion.
| Risiko | Prüffrage | Kontrollmaßnahme |
|---|---|---|
| Attribution | Ist der sichtbare Host tatsächlich der Kundenanbieter? | Entity-Level-Mapping und Herkunft des Labels |
| KYC/KYB | Wer kennt und prüft den Endkunden? | Vertragliche Offenlegung der Drittgeschäftstätigkeit |
| Sanktionen | Wer initiiert und kontrolliert die Verfügung? | Listenabgleich, Geografie und Ownership-/Control-Analyse |
| Regulierung | Ist die Tätigkeit im Zielmarkt erlaubnisgedeckt? | CASP-/VASP-Register, Zeitraum, Rechtsform |
| Dokumentation | Ist der Befund reproduzierbar? | Beweismittelkette, Hashes, Versionsarchiv |
| Stufe | Mindestgrundlage | Zulässige Formulierung |
|---|---|---|
| A – belegt | Originärbeleg und unabhängige Bestätigung | „Nachgewiesen ist …“ |
| B – stark gestützt | Mehrere konsistente On-/Off-Chain-Indizien | „Mit hoher Wahrscheinlichkeit …“ |
| C – plausible Hypothese | Einzelne passende Verhaltensmuster | „Es bestehen Hinweise …“ |
| D – unbestätigt | Nur Plattformbehauptung, Screenshot oder einzelnes Label | „Nicht verifiziert …“ |
Diese Matrix ist ein vorgeschlagener interner Prüfstandard, keine gesetzliche Klassifikation. Technischer Nachweis einer Host-Verbindung, strafrechtliche Verantwortlichkeit und wirtschaftlich Berechtigte sind voneinander abzugrenzen.
Nested Services sind keine Randerscheinung der Blockchain-Forensik, sondern eine strukturelle Grenze der rein adressbasierten Interpretation. Das entscheidende Risiko entsteht dort, wo eine regulierte Infrastruktur als Vertrauenssignal gelesen wird, obwohl der eigentliche Kundenkontakt über einen weniger transparenten Intermediär läuft. Die konsequente Trennung von Host, Intermediär und Endkunde kann die Qualität von Ermittlungen, Compliance-Entscheidungen und Sanktionsprüfungen deutlich verbessern.
Das Whitepaper benennt keine zusätzlichen, eigenständig identifizierten Täter, Hosts oder Transaktionen. Sein eigenständiger Forschungsbeitrag liegt im Primärquellenabgleich, der kritischen Interpretation einer proprietären Datengrundlage und der Entwicklung eines praktisch überprüfbaren Ermittlungsrasters.
Recherchezeitpunkt: 15. Oktober 2026. Die Ausgangsstudie wurde inhaltlich ausgewertet; öffentlich zugängliche Primärquellen von Aufsichten und Behörden wurden separat abgeglichen. Alle Zahlen aus der proprietären Analyse sind ausdrücklich Crystal Intelligence zugerechnet. Eigene Empfehlungen sind als fachliche Ableitungen zu verstehen. Es wurde kein unabhängiges On-Chain-Sample neu berechnet und kein Zugriff auf Crystal-Rohdaten behauptet.
Publikationshinweis
Diese Publikation dient der fachlichen Information. Sie ersetzt weder eine fallbezogene Blockchain-Untersuchung noch eine rechtliche, aufsichtsrechtliche oder sanktionsrechtliche Beratung. Alle Aussagen zu konkreten Marktteilnehmern sind an den angegebenen Stichtag und die jeweiligen Quellen gebunden.
David Lüdtke
Geschäftsführer · OSINT-Analyst & Krypto-Forensiker · Finanz Forensik GmbH
Gerichtsfeste Kryptotransaktionsanalysen, OSINT-gestützte Vermögensermittlung und gutachterliche Aufbereitung für Strafverteidiger, Insolvenzverwalter und Unternehmen. Zertifiziert als Crystal Expert (CECF · CEEI · CEUI). Finanz Forensik unterstützt Kanzleien, Unternehmen, Ermittlungsstellen und Insolvenzverwalter — Schwerpunkte: Blockchain-Forensik, Wallet-Analyse, gerichtsfeste Dokumentation, OSINT.
Kontakt: postfach@finanz-forensik.de · +49 6057 9189145 · finanz-forensik.de
Wir trennen Host, Intermediär und Endkunde: mit dokumentierter Attribution, Konfidenzgrad je Aussage und gesicherten Belegen für Kanzleien, Compliance und Ermittlungsstellen.
