Auf der Blockchain sieht man alles. Jede Transaktion, jeder Zeitstempel, jeder Geldfluss — öffentlich einsehbar, unveränderlich gespeichert, für immer. Im Korrespondenzbankgeschäft sieht man nichts. Das ist die zentrale Ironie der Krypto-Geldwäsche: Die Kriminellen operieren auf dem transparentesten Kassenbuch der Weltgeschichte. Und trotzdem funktioniert es.

I. Das Paradox der Pseudonymität

Bitcoin wurde 2009 als dezentrales Zahlungssystem gestartet — ohne Banken, ohne Mittler, ohne Aufsicht. Die Blockchain ist ein öffentliches Hauptbuch: Jeder kann sehen, dass Adresse A einen Betrag an Adresse B gesendet hat. Was man nicht sehen kann: Wer hinter Adresse A und B steht.

Diese Pseudonymität — nicht Anonymität, ein wichtiger Unterschied — hat Bitcoin zum bevorzugten Zahlungsmittel für Ransomware, Darknet-Marktplätze und Sanktionsumgehung gemacht. Gleichzeitig hat dieselbe Transparenz eine ganze Industrie von Blockchain-Analyse-Firmen hervorgebracht: Chainalysis, Elliptic, Crystal. Sie alle nutzen die öffentliche Natur der Blockchain, um kriminelle Geldströme zu verfolgen.

2019 hat Elliptic — in Zusammenarbeit mit dem MIT-IBM Watson AI Lab — den weltweit größten gelabelten Bitcoin-Transaktionsdatensatz veröffentlicht. Was folgt, ist unsere Analyse dieses Datensatzes.

II. Der Graph: 203.769 Transaktionen, 6 Milliarden Dollar

Der Elliptic Data Set ist kein CSV mit Zeilen und Spalten. Er ist ein Graph. Jeder Knoten ist eine Bitcoin-Transaktion. Jede Kante ist ein Zahlungsfluss — Bitcoin, die von einer Transaktion zur nächsten fließen. Zusammen bilden sie ein Netzwerk: 203.769 Knoten, 234.355 Kanten, ein Gesamtvolumen von 6 Milliarden Dollar.

Jeder Knoten trägt 166 Features — 94 lokale Transaktionsmerkmale (Volumen, Gebühren, Ein-/Ausgänge) und 72 aggregierte Nachbarschaftsmerkmale (Statistiken über direkte Vorgänger und Nachfolger im Graph). Die Features sind anonymisiert; Elliptic hat die genaue Zusammensetzung nicht offengelegt, um proprietäres Wissen zu schützen.

Die Daten erstrecken sich über 49 Zeitschritte — jeweils circa zwei Wochen. Innerhalb jedes Zeitschritts bilden die Transaktionen eine zusammenhängende Komponente: Alles, was innerhalb von drei Stunden auf der Blockchain erscheint, wird zu einem Subgraph verbunden.

III. Die Nadel im Graphen: 2 Prozent Illicit

Von den gelabelten Transaktionen sind 4.545 als „illicit“ markiert — Transaktionen, die nach Elliptics Erkenntnissen von kriminellen Akteuren ausgelöst wurden: Darknet-Marktplätze, Ponzi-Schemes, Ransomware, Hacks. 42.019 sind „licit“ — regulierte Exchanges, Wallet-Provider, Miner, legitime Dienste.

Das Verhältnis unter den gelabelten? Knapp 1:9 — auf jede illegale Transaktion kommen neun legale. Klingt besser als das 1:980 des traditionellen Bankings im IBM-AML-Datensatz. Aber die Zahlen trügen: Der Elliptic-Datensatz enthält nur Transaktionen, die bereits identifizierten Akteuren zugeordnet werden konnten. Die echte Illicit-Rate auf der Bitcoin-Blockchain ist unbekannt.

IV. Zeitwellen: Wann die Kriminellen aktiv sind

Der Datensatz zeigt etwas Faszinierendes: Kriminelle Aktivität kommt in Wellen. Die Verteilung der Illicit-Transaktionen über die 49 Zeitschritte ist alles andere als gleichmäßig — es gibt regelrechte Eruptionen.

Zeitschritt 32 ist der Höhepunkt: 342 Illicit-Transaktionen, ein Viertel aller gelabelten Transaktionen in diesem Fenster. Zeitschritte 9, 13, 20 und 29 zeigen ähnliche Spitzen — mit Illicit-Raten von 29 bis 36 Prozent unter den gelabelten Nodes.

Was diese Bursts verursacht, lässt sich aus dem anonymisierten Datensatz nicht ablesen. Plausible Erklärungen: ein großer Darknet-Takedown, der vorher einen Aktivitätspeak auslöst; ein Ransomware-Kampagnen-Zyklus; oder schlicht die Lebenszyklen krimineller Dienste, die auftauchen, aktiv werden und wieder verschwinden.

V. Die Topologie der Geldwäsche

Die Graph-Struktur offenbart, wie sich illegales Geld auf der Blockchain bewegt. Drei Muster stechen hervor.

1. Die Illicit-Ketten

998 Kanten im Datensatz verbinden eine Illicit-Transaktion direkt mit einer anderen Illicit-Transaktion. Diese Ketten bilden 366 verbundene Komponenten — eigenständige Cluster krimineller Aktivität. Die größte Komponente umfasst 183 Knoten: ein kleines, aber dichtes Netzwerk, das sich über mehrere Zeitschritte erstreckt.

Aber: 3.181 der 4.545 Illicit-Knoten stehen isoliert — sie haben keine direkte Illicit-zu-Illicit-Verbindung. Das bedeutet nicht, dass sie unverbunden sind. Sie sind über Unknown- oder Licit-Knoten verbunden — die klassischen Zwischenstationen der Geldwäsche.

2. Die Integration: Illicit → Licit

915 Kanten führen von einer Illicit-Transaktion zu einer Licit-Transaktion. Das ist der Integration-Moment — der Punkt, an dem illegales Geld in das legitime System eintritt. In der Bitcoin-Welt heißt das typischerweise: Einzahlung bei einer regulierten Exchange, die den Betrag in Fiat-Währung umwandelt.

3. Die Hubs: Massiver Zufluss

Die Illicit-Knoten mit dem höchsten Connectivity-Score sind nicht Sender — sie sind Empfänger. Der Top-Hub hat einen In-Degree von 177: Er empfängt Bitcoin-Ströme von 177 verschiedenen Vorgänger-Transaktionen, sendet aber nichts weiter. Das Profil eines Sammelpunkts — einer Wallet, die Gelder konsolidiert, bevor sie an eine Exchange weitergeleitet werden.

VI. Warum Blockchain transparenter ist als SWIFT

An dieser Stelle lohnt sich ein Kontrastbild. Im traditionellen Banking — dem Korrespondenzbankensystem — fließt Geld über SWIFT-Nachrichten von Bank zu Bank. Jede Bank sieht nur ihre eigene Seite der Transaktion. Die Gesamtkette? Unsichtbar. Keine zentrale Datenbank, kein öffentliches Hauptbuch.

Die Ironie: Bitcoin wurde geschaffen, um Intermediäre zu umgehen. Aber genau die Abwesenheit von Intermediären macht die Blockchain zu einem besseren Überwachungsinstrument als das traditionelle System. Jede Transaktion, jeder Pfad, jeder Geldfluss ist permanent und öffentlich. Was fehlt, ist nur die Zuordnung Adresse → Person. Und genau daran arbeiten Firmen wie Elliptic.

VII. Was Machine Learning sieht — und was nicht

Der Elliptic-Datensatz wurde explizit für die Evaluation von Graph Neural Networks (GNNs) geschaffen. Die Idee: Nutze die Graph-Struktur — nicht nur einzelne Features — um Illicit von Licit zu unterscheiden.

Die Original-Studie von Weber et al. (2019) verglich Logistic Regression, Random Forest, MLP und Graph Convolutional Networks. Random Forest erzielte die höchste Accuracy, aber GCNs zeigten den entscheidenden Vorteil: Sie extrahieren relationale Information aus dem Graphen — Muster, die in tabellarischen Daten unsichtbar sind.

Spätere Arbeiten auf dem Datensatz haben diese Ergebnisse weiter verbessert. GCN-Varianten erreichen Accuracies von 98,5 Prozent und F1-Scores, die selbst bei der extremen Klassenungleichheit brauchbar sind. Aber: Diese Modelle funktionieren auf gelabelten Daten. In der Praxis sind 77 Prozent der Transaktionen — die „Unknown“ — das eigentliche Problem.

VIII. Elliptic2: Die nächste Generation

2024 hat Elliptic nachgelegt. Der Elliptic2-Datensatz ist eine Größenordnung komplexer: 49 Millionen Cluster-Knoten, 196 Millionen Kanten, 122.000 gelabelte Subgraphen. Statt einzelne Transaktionen zu klassifizieren, geht es jetzt um Subgraph-Klassifikation — die Erkennung von Laundering-„Formen“ im Netzwerk.

Die Idee: Geldwäsche hat eine Form. Ein Scatter-Gather-Muster sieht anders aus als ein Chain-Hopping-Pfad. Elliptic2 ermöglicht es, diese geometrischen Signaturen zu lernen — nicht als einzelne Transaktion, sondern als Netzwerk-Motiv. Die Autoren nennen es „The Shape of Money Laundering“.

IX. Fünf Erkenntnisse — und eine unbequeme Wahrheit

1. Die Blockchain ist ein besseres Überwachungsinstrument als SWIFT. Vollständige Transaktionshistorie, öffentlich, unveränderlich, graph-nativ. Was im Korrespondenzbankwesen fragmentiert und bilateral ist, ist auf der Blockchain global und zusammenhängend.

2. Illicit-Aktivität kommt in Wellen. Die 49 Zeitschritte zeigen massive Spitzen — Zeitschritt 13 mit 36 Prozent Illicit-Rate, Zeitschritt 32 mit 342 kriminellen Transaktionen. Monitoring-Systeme müssen für Bursts kalibriert sein, nicht für Durchschnitte.

3. Hubs sind Sammelpunkte, nicht Verteiler. Die Top-10 Illicit-Knoten sind reine Empfänger — bis zu 177 eingehende Verbindungen, null ausgehende. Das Muster: Konsolidierung vor dem Exit über eine Exchange.

4. 70 Prozent der Illicit-Knoten stehen allein. 3.181 von 4.545 Illicit-Transaktionen haben keine direkte Illicit-Nachbarschaft. Sie sind über Unknown-Knoten verbunden — die Zwischenstationen, die kein Label tragen. Graph-basierte Methoden, die über die unmittelbare Nachbarschaft hinausschauen, sind hier entscheidend.

5. 77 Prozent sind die eigentliche Herausforderung. Kein Datensatz, kein Modell, keine Firma hat vollständige Labels. Die „Unknown“-Klasse ist nicht Datenlücke — sie ist das Problem. Wer behauptet, Blockchain-AML sei gelöst, hat den Datensatz nicht gelesen.

X. Quellenverzeichnis

Primäre Datenquelle

Wissenschaftliche Publikationen

Institutionelle Quellen & Branchenkontext