Kryptobörsen Outsourcing Türkei | KYC/AML, SOC, 24/7-Support

Zuletzt aktualisiert: 11. November 2026

Outsourcing für Kryptobörsen und Krypto-Asset-Plattformen bedeutet, dass Anbieter von Kryptowerte-Dienstleistungen klar abgegrenzte Aufgaben – Softwareentwicklung, KYC/AML-Operations, Transaktionsmonitoring, Betrugsanalyse, Security Monitoring und 24/7-Kundensupport – an ein spezialisiertes externes Team vergeben, während die regulatorische Verantwortung bei der Plattform bleibt. In dieser Branche ist Outsourcing keine reine Kapazitätsfrage: In der Türkei unterliegen Krypto-Dienstleister der Zulassung und Aufsicht durch die Kapitalmarktbehörde SPK, bei der Geldwäsche- und Terrorismusfinanzierungsprävention gelten die Vorgaben von MASAK. In der EU kommen MiCAR, die Geldtransfer-Verordnung (Travel Rule) und nationale Geldwäschegesetze hinzu – in Deutschland etwa die Aufsicht durch die BaFin. Jede ausgelagerte Tätigkeit muss deshalb so gestaltet werden, dass diese Pflichten nachweisbar erfüllt bleiben.

360 Soft stellt aus Istanbul Teams für Krypto-Plattformen bereit – von einer einzelnen Fachkraft bis zu mehr als 200 Personen, remote, vor Ort oder hybrid, auf Wunsch im 24/7-Schichtbetrieb. Ein typischer Start ist innerhalb von 1–2 Wochen möglich. Auf dieser Seite erläutern wir die typischen Engpässe von Krypto-Plattformen, welche Aufgaben ausgelagert werden können und welche nicht, den regulatorischen Rahmen im Überblick, Liefer- und Vertragsmodelle, SLA- und KPI-Struktur, Preisfaktoren, Risiken und Kriterien für die Anbieterauswahl. Diese Seite ist weder Anlageberatung noch Rechtsberatung.

Typische Herausforderungen von Krypto-Plattformen

Volatiles, schwer planbares Volumen: Bei starken Marktbewegungen vervielfachen sich Registrierungen, KYC-Anträge, Supportanfragen und Transaktionen innerhalb weniger Stunden. Eine fixe Belegschaft reicht in Spitzenzeiten nicht aus und ist in ruhigen Phasen unterausgelastet.
Hohe Compliance-Last: Kundenidentifizierung, risikobasierter Ansatz, Verdachtsmeldungen, Travel Rule und Aufbewahrungspflichten erfordern ein geschultes, spezialisiertes Operations-Team.
Sicherheitsdruck: Angriffe auf Hot Wallets, Account Takeover, Phishing und Social Engineering sind chronische Risiken der Branche – ein 24/7-Monitoring ist Pflicht.
Mangel an Spezialisten: Ingenieure und Analysten mit Erfahrung in Matching Engines, Blockchain-Integration, Wallet-Infrastruktur und Compliance-Analytik sind rar.
Sich ändernde Anforderungen im Zulassungsprozess: Aufsichtsbehörden stellen während der Lizenzierung Anforderungen an IT-Infrastruktur, IT-Audits und Organisation, die die Roadmap verschieben.
Mehrsprachiger Kundenservice: Internationale Nutzer erwarten Support rund um die Uhr in ihrer Sprache – insbesondere bei Auszahlungs- und Einzahlungsfragen.

Leistungsumfang: Rollen und Arbeitspakete

Die folgende Tabelle zeigt typische Arbeitspakete. Werkzeuge sind als Beispiele genannt; wir arbeiten in der Regel mit den Systemen und Zugriffsrechten der Plattform.

Arbeitspaket	Rollen	Aufgaben	Technologie / Tools (Beispiele)
Softwareentwicklung	Backend-, Frontend- und Mobile-Entwickler, Blockchain-Entwickler, QA	Börsen-Frontend, Apps, Wallet-Integrationen, Node-Anbindung, Reporting	Go, Java, Node.js, React, Flutter, Kubernetes
KYC/Onboarding-Operations	KYC-Analysten, Teamleitung	Dokumenten- und Identitätsprüfung, Nacharbeit abgelehnter Fälle, EDD-Vorbereitung	KYC-Plattform der Kundin, Case-Management
Transaktionsmonitoring	AML-Analysten	Alarmbearbeitung, On-Chain-Analyse, Falldokumentation zur Entscheidung durch den Compliance-Verantwortlichen	Chain-Analytics-Tools, Regel-Engines
Fraud-Prävention	Fraud-Analysten	Account-Takeover-Erkennung, Chargeback- und Bonus-Missbrauch, Gerätesignale	Fraud-Scoring, Device Fingerprinting
Security Monitoring (SOC)	SOC-Analysten L1/L2	24/7-Überwachung, Incident-Triage, Eskalation	SIEM, EDR, Cloud-Security-Tools
DevOps und Betrieb	DevOps-/SRE-Ingenieure	Hochverfügbarkeit, Deployments, Monitoring, Backups	AWS/GCP, Terraform, Prometheus, Grafana
Kundensupport	Support-Mitarbeitende L1/L2	Chat, E-Mail, Ticket; Ein- und Auszahlungsfragen, Kontosperren	Zendesk, Intercom, Freshdesk

Was nicht ausgelagert werden sollte

Verwaltung privater Schlüssel, Signaturberechtigungen und Cold-Wallet-Prozesse
Die finale Entscheidung über Verdachtsmeldungen und die Funktion des Geldwäschebeauftragten
Freigabe von Listings, Limits und Risikoappetit
Kommunikation mit Aufsichtsbehörden und Verantwortung gegenüber der Aufsicht

Diese Aufgaben bleiben bei der Plattform. Das externe Team bereitet vor, dokumentiert und eskaliert – entschieden wird intern.

Regulatorischer Rahmen: SPK, MASAK und das Recht Ihres Landes

Da das Team in der Türkei arbeitet, sind türkische Vorgaben für die Leistungserbringung relevant. Für Ihre Plattform gelten zusätzlich die Regeln Ihres Sitz- und Zielmarktes. Die Übersicht ist allgemein gehalten und ersetzt keine rechtliche Prüfung.

Regelung / Behörde	Umfang (allgemein)	Bedeutung für das Outsourcing
SPK (Kapitalmarktbehörde, Türkei)	Zulassung und Aufsicht über Krypto-Dienstleister	Auslagerungen müssen mit den Anforderungen an Organisation und IT-Systeme vereinbar sein
MASAK (Türkei)	Geldwäsche- und Terrorismusfinanzierungsprävention	KYC- und Monitoring-Prozesse müssen dokumentiert und prüfbar sein
KVKK (Türkei)	Schutz personenbezogener Daten	Regelt die Verarbeitung durch das Team in der Türkei
MiCAR (EU)	Zulassung von Kryptowerte-Dienstleistern, Anforderungen an Auslagerungen	Auslagerungsvertrag, Kontroll- und Prüfrechte, Exit-Regelung
Geldtransfer-VO / Travel Rule (EU)	Übermittlung von Auftraggeber- und Begünstigtendaten	Prozesse und Tools für Datenübermittlung und Prüfung
DSGVO (EU)	Datenschutz	AVV nach Art. 28 DSGVO, Standardvertragsklauseln (SCC) für die Übermittlung in die Türkei

Für Deutschland, Österreich und die Schweiz gelten zusätzlich nationale Vorgaben, etwa das Geldwäschegesetz und die Aufsichtspraxis der BaFin, der FMA oder der FINMA. Wir empfehlen, Auslagerungsvorhaben vorab mit Ihrer Rechts- und Compliance-Abteilung abzustimmen.

Liefermodelle: remote, vor Ort, hybrid

Modell	Einsatz bei Krypto-Plattformen
Remote	Standard für Entwicklung, KYC-Operations, Monitoring und Support über gesicherte Zugänge (VDI, VPN, MFA)
Vor Ort	Bei Bedarf für Workshops, Onboarding oder Audits in Ihren Räumlichkeiten
Hybrid	Kernteam remote, Schlüsselpersonen zeitweise vor Ort; häufig in der Aufbauphase

Vertrags- und Zusammenarbeitsmodelle

Modell	Wann sinnvoll	Worauf achten
Dediziertes Team (Dienstvertrag)	Laufender Betrieb, z. B. KYC- oder SOC-Schichten	Klare Leistungsbeschreibung, Weisungsrecht bleibt beim Dienstleister
Projekt (Werkvertrag)	Abgegrenzte Entwicklung, z. B. Wallet-Integration	Abnahmekriterien, Change-Request-Verfahren
Managed Service mit SLA	Monitoring und Support rund um die Uhr	Messbare KPIs, Eskalationsmatrix, Reporting
Erweiterung bestehender Teams	Kurzfristiger Kapazitätsbedarf	Abgrenzung zur Arbeitnehmerüberlassung beachten

Unsere Leistungen erbringen wir als Dienst- oder Werkvertrag – keine Arbeitnehmerüberlassung. Die Mitarbeitenden bleiben bei 360 Soft angestellt und werden von uns geführt. Damit Ihr Vorhaben nicht in den Anwendungsbereich des AÜG fällt oder Risiken der Scheinselbständigkeit entstehen, sollten Leistungsbeschreibung und gelebte Praxis übereinstimmen; eine rechtliche Prüfung im Einzelfall empfehlen wir.

So funktioniert ein KYC/AML-Prozess mit externem Team

Der Kunde registriert sich, das KYC-Tool führt automatisierte Prüfungen durch (Dokument, Liveness, Sanktionslisten).
Fälle, die die Automatik nicht entscheidet, landen in der Queue des externen KYC-Teams.
Analysten prüfen Dokumente nach Ihrem Regelwerk, fordern fehlende Unterlagen an und dokumentieren das Ergebnis.
Erhöhte Risiken (PEP, Hochrisikoländer, auffällige On-Chain-Herkunft) werden mit Vorschlag an Ihr Compliance-Team eskaliert.
Im Transaktionsmonitoring bearbeiten Analysten Alarme, ergänzen On-Chain-Analysen und bereiten Fallakten vor.
Die Entscheidung über eine Verdachtsmeldung trifft Ihr Geldwäschebeauftragter.

Methode	Funktionsweise	Einsatz bei Krypto-Plattformen
Vier-Augen-Prinzip	Zweite Prüfung bei kritischen Entscheidungen	Hochrisiko-Onboarding, Kontofreigaben
Stichproben-QA	Regelmäßige Qualitätsprüfung abgeschlossener Fälle	Messung der Fehlerquote
Eskalationsmatrix	Definierte Schwellen und Ansprechpartner	PEP, Sanktionstreffer, Mixer-Herkunft
Playbooks	Schriftliche Arbeitsanweisungen je Falltyp	Einheitliche Bearbeitung über Schichten hinweg
Audit-Trail	Lückenlose Protokollierung jeder Aktion	Nachweis gegenüber Prüfern und Aufsicht

Ablauf und typische Dauer

Schritt	Inhalt	Typische Dauer
1. Bedarfsanalyse	Umfang, Volumen, Sprachen, Schichten, regulatorische Anforderungen	wenige Tage
2. Angebot und Due Diligence	Leistungsbeschreibung, Sicherheitsfragebogen, Auslagerungsanalyse	1–2 Wochen (abhängig von Ihrer Prüfung)
3. Vertrag	Dienst-/Werkvertrag, NDA, AVV mit SCC, SLA	parallel zur Due Diligence
4. Teamauswahl	Profile, Interviews, Hintergrundprüfungen	meist 1–2 Wochen
5. Onboarding	Zugänge, Schulung auf Ihre Playbooks und Tools	1–2 Wochen
6. Pilotphase	Begrenzter Umfang mit engem QA	einige Wochen
7. Regelbetrieb	Volle Übernahme, monatliches Reporting, regelmäßige Reviews	laufend

SLA- und KPI-Tabelle

Konkrete Zielwerte legen wir gemeinsam fest. Die folgenden Kennzahlen sind übliche Messgrößen, keine zugesicherten Ergebnisse.

Bereich	Kennzahl	Erläuterung
KYC	Bearbeitungszeit je Fall	Zeit von Eingang in der Queue bis Entscheidung oder Eskalation
KYC	Qualitätsquote	Anteil fehlerfreier Fälle in der Stichproben-QA
AML	Alarm-Backlog	Anzahl offener Alarme über dem vereinbarten Alter
Fraud	Reaktionszeit	Zeit bis zur Sperre bei bestätigtem Account Takeover
SOC	Time to Triage	Zeit bis zur Erstbewertung eines Sicherheitsereignisses
Support	Erstreaktionszeit	Zeit bis zur ersten Antwort je Kanal
Entwicklung	Lieferquote je Sprint	Umgesetzte gegenüber geplanten Stories

Preisfaktoren

Wir nennen hier bewusst keine Preise, da sie stark vom Einzelfall abhängen. Folgende Faktoren bestimmen das Angebot:

Anzahl und Seniorität der Rollen (z. B. L1-Support vs. Senior-Blockchain-Entwickler)
Schichtmodell: Bürozeiten, erweiterte Zeiten oder 24/7
Sprachen im Kundensupport
Sicherheitsanforderungen (dedizierte Räume, Clean-Desk, eigene Hardware)
Volumen und Schwankungsbreite bei KYC- und Supportfällen
Liefermodell (remote, vor Ort, hybrid) und Reiseaufwand
Vertragslaufzeit und Kündigungsfristen

Outsourcing für Kryptobörsen und Krypto-Asset-Plattformen — overview

Internes Team, Freelancer oder Outsourcing im Vergleich

Kriterium	Internes Team	Freelancer	Outsourcing-Partner
Skalierbarkeit bei Marktspitzen	gering	mittel	hoch
24/7-Abdeckung	aufwendig	kaum realistisch	über Schichtmodell möglich
Compliance-Dokumentation	voll intern	schwer steuerbar	vertraglich und über Playbooks geregelt
Ersatz bei Ausfall	eigene Aufgabe	meist keine Vertretung	Ersatzprozess durch den Partner
Kontrolle über Kernprozesse	maximal	gering	über SLA, Reporting und Audits
Anlaufzeit	Monate (Recruiting)	kurz, aber einzeln	typisch 1–2 Wochen

Risiken und Gegenmaßnahmen

Risiko	Gegenmaßnahme
Datenabfluss	Least-Privilege-Zugänge, VDI, DLP, Protokollierung, NDA je Person
Insider-Risiko	Hintergrundprüfungen, Vier-Augen-Prinzip, keine Schlüsselzugriffe
Qualitätsschwankungen	Playbooks, Stichproben-QA, Kalibrierungsrunden
Abhängigkeit vom Dienstleister	Dokumentation, Exit-Plan, Wissenstransfer
Regulatorische Beanstandung	Prüfrechte für Sie und die Aufsicht, Audit-Trail
Personalfluktuation	Ersatzprozess, Schattenbesetzung für Schlüsselrollen

Sicherheit, DSGVO, KVKK, NDA und geistiges Eigentum

Datenschutz: Auftragsverarbeitungsvertrag nach DSGVO mit Standardvertragsklauseln für die Übermittlung in die Türkei; die Verarbeitung im Team erfolgt zudem im Rahmen des türkischen KVKK.
Vertraulichkeit: NDA mit dem Unternehmen und individuelle Vertraulichkeitserklärungen der Teammitglieder.
Geistiges Eigentum: Rechte an Code und Arbeitsergebnissen werden vertraglich vollständig auf Sie übertragen.
Zugriff: MFA, rollenbasierte Rechte, keine lokale Speicherung von Ausweis- oder biometrischen Daten.
Eigenhandel: Regeln für private Krypto-Transaktionen der Teammitglieder (Offenlegung, Sperrfristen) können vertraglich vereinbart werden.

Checkliste zur Anbieterauswahl

Erfahrung mit regulierten Finanz- oder Krypto-Prozessen?
Bereitschaft zu Due Diligence, Audits und Prüfrechten der Aufsicht?
AVV mit SCC, KVKK-Konformität und dokumentierte Sicherheitsmaßnahmen?
Schichtfähigkeit und belegbarer Ersatzprozess?
Klare Abgrenzung: Dienst-/Werkvertrag statt Arbeitnehmerüberlassung?
Transparente Preisfaktoren und Exit-Regelung?
Sprachabdeckung für Ihre Zielmärkte?

Beispielszenario (illustrativ)

Beispielszenario (illustrativ) – kein Kundenprojekt: Eine in der EU zugelassene Kryptobörse erwartet nach einem Produktlaunch deutlich steigende Registrierungen. Intern gibt es ein kleines Compliance-Team und einen Geldwäschebeauftragten. Gemeinsam wird ein Modell aufgesetzt: Ein externes KYC-Team bearbeitet im Zweischichtbetrieb die manuellen Prüfungen nach den Playbooks der Börse, ein AML-Team übernimmt die Erstbewertung von Monitoring-Alarmen, und ein mehrsprachiges Support-Team deckt Chat und E-Mail rund um die Uhr ab. Entscheidungen über Verdachtsmeldungen, Listings und Wallet-Freigaben bleiben intern. Nach einer Pilotphase mit enger Stichproben-QA wird der Umfang schrittweise erweitert; bei Marktspitzen kann das Team kurzfristig aufgestockt werden.

Referenz

Referenzprojekt: Coinone-Kryptobörsenplattform.

Häufig gestellte Fragen

Kann eine Krypto-Plattform KYC/AML-Aufgaben auslagern?

Ja, operative Tätigkeiten wie Dokumentenprüfung, Alarmbearbeitung und Falldokumentation lassen sich auslagern. Die Verantwortung gegenüber der Aufsicht und die finalen Entscheidungen bleiben bei der Plattform. Prüfen Sie die Anforderungen Ihres Aufsichtsrechts an Auslagerungen vorab.

Gibt das externe Team Verdachtsmeldungen ab?

Nein. Das Team bereitet Fallakten vor und eskaliert. Die Entscheidung und die Meldung erfolgen durch Ihren Geldwäschebeauftragten.

Arbeiten Sie auch für Plattformen ohne Zulassung?

Wir klären im Vorfeld den regulatorischen Status. Für Plattformen in einem Zulassungsverfahren unterstützen wir bei Entwicklung und Vorbereitung, regulierte operative Prozesse richten wir an den geltenden Vorgaben aus.

Kann das Team rund um die Uhr arbeiten?

Ja, 24/7-Schichtmodelle sind möglich, etwa für Security Monitoring, Transaktionsmonitoring und Kundensupport.

Was passiert, wenn das Volumen bei Marktbewegungen stark steigt?

Wir vereinbaren vorab ein Skalierungsmodell mit geschulten Reservekräften und Priorisierungsregeln für die Queues.

Hat das externe Team Zugriff auf private Schlüssel?

Nein. Schlüsselverwaltung, Signaturen und Cold-Wallet-Prozesse sollten intern bleiben. Das Team arbeitet mit minimal notwendigen Rechten.

Wie werden Ausweis- und biometrische Daten geschützt?

Über gesicherte virtuelle Arbeitsplätze, rollenbasierte Zugriffe, Protokollierung, keine lokale Speicherung sowie AVV mit Standardvertragsklauseln und KVKK-konforme Prozesse.

Wie werden private Krypto-Geschäfte der Teammitglieder geregelt?

Auf Wunsch vereinbaren wir Offenlegungspflichten und Handelsbeschränkungen für Teammitglieder mit Zugriff auf sensible Informationen.

Stellen Sie auch Blockchain-Entwickler?

Ja, neben Operations-Teams stellen wir Entwicklerteams für Börsen-Frontends, Apps, Wallet- und Node-Integrationen.

Unterstützen Sie bei Audits?

Ja. Wir stellen Dokumentation, Audit-Trails und Ansprechpartner bereit und gewähren vertraglich vereinbarte Prüfrechte.

Ist das Arbeitnehmerüberlassung?

Nein. Wir erbringen die Leistung als Dienst- oder Werkvertrag, die Mitarbeitenden bleiben bei 360 Soft angestellt und werden von uns geführt. Eine rechtliche Prüfung im Einzelfall empfehlen wir.

Unverbindliches Erstgespräch

Sie planen, Teile Ihrer Krypto-Plattform auszulagern? Wir besprechen Umfang, Schichtmodell und regulatorische Rahmenbedingungen und erstellen ein unverbindliches Angebot. Rufen Sie uns an unter +90 850 335 10 87, schreiben Sie an info@360-soft.com, kontaktieren Sie uns per WhatsApp oder nutzen Sie unser Kontaktformular. 360 Soft Marketing Yazılım ve Danışmanlık Ltd. Şti., Nidakule Ataşehir Batı, Barbaros Mah. Begonya Sk. No:1 D:2, 34746 Ataşehir/İstanbul.

Outsourcing für Kryptobörsen und Krypto-Asset-Plattformen